7.4.3 Het verstrekken van persoonsgegevens door de overdragende verzekeraar aan de verkrijgende verzekeraar na de “closing” van de transactie

In een latere fase van het overnameproces rijst dan opnieuw de vraag aan welke vereisten de overdragende verzekeraar moet voldoen, indien hij persoonsgegevens wil verstrekken. De verkrijgende verzekeraar zal immers verlangen dat tegelijk met de verzekeringsovereenkomsten ook de bijbehorende administratie wordt overgedragen. Dit bespreek ik in dit hoofdstuk 7.4.3.

Oók voor het verstrekken van de persoonsgegevens opgenomen in de administratie van de verzekeraar (betreffende de verzekeringsovereenkomsten), per de datum van overdracht van de verzekeringsportefeuille, aan de verkrijgende verzekeraar gelden de hiervoor al genoemde twee vereisten:

Ad 1^e: Het eerste vereiste om persoonsgegevens te mogen verstrekken is dus dat het verstrekken van de gegevens verenigbaar moet zijn met het doel waarvoor de gegevens zijn verzameld. Het voldoen aan dit eerste vereiste zal, anders dan in de fase van het due diligence onderzoek,1 waarschijnlijk juist geen probleem meer zijn. De rechten en verplichtingen uit verzekeringsovereenkomsten mogen immers alleen worden verkregen door een andere verzekeraar.2 De overdragende verzekeraar en de verkrijgende verzekeraar hebben waarschijnlijk beide als belangrijkste doelstelling het “uitvoeren” van verzekeringsovereenkomsten. Het verstrekken van de gegevens zal daarom verenigbaar zijn met het doel waarvoor de gegevens zijn verzameld.3 Ook hier geldt dat de verzekeraar die persoonsgegevens overdraagt zich bij het verstrekken van de persoonsgegevens ook aan de andere beginselen inzake verwerking van persoonsgegevens vermeld in art. 5 lid 1 AVG moet houden.4

Ad 2^e: Ook voor deze verstrekking van persoonsgegevens geldt dat deze gebaseerd moet zijn op één van de grondslagen vermeld in art. 6 AVG. Van de grondslagen vermeld in art. 6 lid 1 AVG is ook in deze fase de grondslag van gerechtvaardigd belang vermeld onder f zeer waarschijnlijk5 de grondslag waarop de verzekeraar die de verzekeringsportefeuille overdraagt aan de verkrijgende verzekeraar, de overdracht van de bijbehorende administratie met persoonsgegevens zal baseren. De juridische vraag is dus ook hier of de doorzending van de persoonsgegevens aan de verkrijgende verzekeraar noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de overdragende verzekeraar en de verkrijgende verzekeraar, en of bij een afweging van belangen de belangen van de overdragende en de verkrijgende verzekeraar zwaarder wegen dan die van de betrokkenen. Ten aanzien van de drie voorwaarden vermeld in art. 6 lid 1 onder f AVG kan met betrekking tot deze fase van het verkoopproces (dus: de fase na de “closing” van de transactie) het volgende opgemerkt worden.

1. Het gerechtvaardigd belang van de overdragende verzekeraar is het nakomen van de afspraken die hij in de koopovereenkomst heeft moeten maken om de administratie over te dragen aan de verzekeraar die de rechten en verplichtingen uit de verzekeringsovereenkomsten overneemt. De verkrijgende verzekeraar heeft alle rechten en verplichtingen uit de verzekeringsovereenkomsten op zich genomen en heeft dus een gerechtvaardigd belang bij het verkrijgen van de gehele verzekeringsadministratie om zijn rechten op grond van de verzekeringsovereenkomsten uit te oefenen en om zijn daaruit voortvloeiende verplichtingen na te kunnen komen.

2. De verstrekking van de persoonsgegevens is ook noodzakelijk om die belangen van de overdragende en de verkrijgende verzekeraar te behartigen. Volgens de normuitleg van de Autoriteit Persoonsgegevens van november 2019 moet er getoetst worden aan eisen van proportionaliteit en subsidiariteit. Hier staat de inbreuk voor de betrokkenen naar mijn mening in verhouding tot het met de verwerking te dienen doel. Het doel kan ook niet op een minder voor de betrokkenen nadelige wijze worden bereikt.6 Zonder de persoonsgegevens opgenomen in de bij de verzekeringsovereenkomsten behorende administratie is de verkrijgende verzekeraar niet in staat de rechten en verplichtingen uit de verzekeringsovereenkomsten ongewijzigd na te komen. Daarbij ga ik er dan wel vanuit dat de administratie van de overdragende verzekeraar voldeed aan de beginselen van art. 5 AVG, en er dus bijvoorbeeld sprake was van minimale gegevensverwerking. Zo niet, dan zal de administratie eerst geschoond moeten worden.

3. Ook is het in mijn ogen bij een afweging van de belangen evident dat de belangen van de verzekeraars hier zwaarder wegen dan die van de betrokkenen. Nu we het hier in beginsel hebben over de toepassing van de procedure voor een portefeuilleoverdracht zoals omschreven en mogelijk gemaakt door de Wft, is het niet goed voor te stellen dat een betrokkene gehoor zal vinden indien hij zich op het standpunt zou stellen dat de met de portefeuilleoverdracht samenhangende doorzending van persoonsgegevens opgenomen in de verzekeringsadministratie aan de verkrijgende verzekeraar, niet gerechtvaardigd is in verband met zijn fundamentele vrijheden. Ook hierbij ga ik er dan vanuit dat de administratie van de overdragende verzekeraar voldeed aan de beginselen van art. 5 AVG.

Het vereiste dat het verstrekken van persoonsgegevens gebaseerd moet zijn op één van de grondslagen vermeld in art. 6 AVG, zal in de praktijk in deze fase van de transactie dus waarschijnlijk weinig problemen opleveren.7

Art. 5 lid 1 onder a AVG bepaalt dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. De vraag kan gesteld worden of uit dit vereiste van transparantie voortvloeit dat de overdragende verzekeraar de betrokkenen ervan op de hoogte moet stellen dat hij de persoonsgegevens overdraagt aan een andere verzekeraar, en dat deze de verwerkingsverantwoordelijke wordt. Het vereiste van transparantie zoals vermeld in art. 5 lid 1 onder a AVG is nader uitgewerkt in art. 12, 13 en 14 AVG.9Art. 13 AVG10 beschrijft de te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld, en art. 14 AVG de te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen. De juridische vraag is hier dus of uit art. 13 AVG voor de overdragende verzekeraar een verplichting voortvloeit om betrokkenen te informeren. Dat dit het geval is, is verdedigbaar op basis van de richtsnoeren van de Article 29 Working Party over transparantie.11 Deze richtsnoeren zijn naderhand ook bekrachtigd12 door de European Data Protection Board.13 Onder het kopje “Veranderingen in de informatie van de artikelen 13 en 14” stelt de Article 29 Working Party zich daar op het standpunt “Veranderingen in een privacyverklaring/mededeling die altijd aan betrokkenen dienen te worden meegedeeld zijn onder andere: een verandering in het doel van de verwerking, een verandering in de wijze waarop betrokkenen hun rechten in verband met de verwerking kunnen uitoefenen.” Ook in juridische literatuur wordt wel verdedigd dat zowel de verkoper als de koper op grond van de AVG verplicht zijn om de betrokkenen van de overgang op de hoogte te stellen.14

De verkrijgende verzekeraar heeft naar mijn mening in ieder geval op grond van de AVG de verplichting de betrokkenen te informeren dat hij de verwerkingsverantwoordelijke is geworden. Hij heeft deze verplichting op grond van het in art. 14 AVG bepaalde.15 Daar is opgenomen dat de verwerkingsverantwoordelijke de betrokkene diverse informatie moet verstrekken, wanneer persoonsgegevens niet van de betrokkene zijn verkregen. Het gaat onder meer om de identiteit en de contactgegevens van de verwerkingsverantwoordelijke, de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd en de rechtsgrond voor de verwerking, alsmede de betrokken categorieën van persoonsgegevens.16 De meeste verzekeraars hebben een zogenoemd privacy statement opgesteld waarin al deze informatie is vermeld.17 De betrokkene zal er dus van op de hoogte moeten worden gesteld wie de verwerkingsverantwoordelijke is en waar het desbetreffende privacy statement op de website van de nieuwe verwerkingsverantwoordelijke te vinden is.

Het eerste scenario waarmee aan deze verplichting op grond van art. 14 AVG kan worden voldaan, is het versturen van een individuele kennisgeving kort na de portefeuilleoverdracht, waarin staat vermeld wie de nieuwe verwerkingsverantwoordelijke is en waar het privacy statement te vinden is. Het betreft dan dus een individuele kennisgeving die wordt verstuurd door de verkrijgende verzekeraar. Deze neemt in een dergelijke kennisgeving vaak ook andere relevante praktische informatie op, bijvoorbeeld de bereikbaarheidsgegevens in het geval van vragen over de verzekering of om een schade te melden (de bereikbaarheidsgegevens van het ‘service center’). Op grond van art. 14 lid 3 sub a AVG moet de verwerkingsverantwoordelijke de in de leden 1 en 2 van art. 14 AVG bedoelde informatie binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens, afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden verwerkt, verstrekken.

Mogelijk rijst bij de verkrijgende verzekeraar de vraag in hoeverre art. 14 lid 3 sub b AVG de ruimte biedt om deze informatie na een langere termijn dan een maand te verstrekken, namelijk op het moment dat hij voor het eerst uit hoofde van de verzekering met de polishouder communiceert. Ik denk dat die ruimte er niet is. In art. 14 lid 3 AVG is bepaald dat de verwerkingsverantwoordelijke de informatie moet verstrekken:

Over de hier relevante juridische vraag wat de onderlinge verhouding is van sub a en sub b in art. 14 lid 3 AVG is weinig juridische literatuur te vinden.18 In de Tekst & Commentaar bundel over de AVG wordt opgemerkt: “Verdedigbaar lijkt dat in alle gevallen de informatie binnen een redelijke termijn, en dus uiterlijk binnen een maand na de verkrijging ervan, wordt verstrekt. De tekst van de bepaling biedt echter ook ruimte voor een andere uitleg.”19 De richtsnoeren van de Article 29 Working Party over transparantie20 bevatten wel een expliciet standpunt over de onderlinge verhouding van sub a/sub b/sub c van art. 14 lid 3 AVG. Deze richtsnoeren zijn (zoals hiervoor al opgemerkt) naderhand ook bekrachtigd21 door de European Data Protection Board. Het standpunt van de Article 29 Working Party houdt kort gezegd in dat sub b de termijn van sub a alléén kan inkorten, en niet langer kan maken.22 Ook sub c kan naar de mening van de Article 29 Working Party de termijn van sub a alléén inkorten, en niet langer maken.23

Ook een tweede scenario waarmee aan deze verplichting op grond van art. 14 AVG wordt voldaan, is denkbaar. Art. 14 lid 5 AVG bepaalt dat de leden 1 tot en met 4 niet van toepassing zijn indien en voor zover de betrokkene reeds over de informatie beschikt. De verkrijgende verzekeraar hoeft dan dus niet meer te laten weten dat hij de verwerkingsverantwoordelijke is geworden en waar het privacy statement te vinden is. Dat kan met name het geval zijn indien de overdragende verzekeraar al in een individuele kennisgeving over de portefeuilleoverdracht heeft toegevoegd welke rechtspersoon aan de zijde van de verkrijgende verzekeraar de verwerkingsverantwoordelijke wordt en waar diens privacy statement te vinden is.24 Dit is uiteraard de aanpak die het meest is aan te bevelen. Zie hierover verder hoofdstuk 10.3 van dit onderzoek.

In enkele gevallen hebben verzekeraars er in het verleden voor gekozen om deze informatie toe te voegen in de advertenties die zij in opdracht van DNB in het kader van de toezichtrechtelijke procedure voor een portefeuilleoverdracht moesten plaatsen in verband met het bepaalde in art. 3:119 Wft (in geval van levensverzekeringen) of 3:120 Wft (in geval van schadeverzekeringen). Ik trof in enkele advertenties op grond van de Wft, teksten op grond van de Wet bescherming persoonsgegevens respectievelijk de AVG aan, bijvoorbeeld bij Allianz in 2018,25 Aegon en Allianz gezamenlijk in 2017,26 Aegon en Allianz gezamenlijk in 2016,27 en Allianz en London Verzekeringen gezamenlijk in 2014.28 Waarschijnlijk wordt dit thans niet meer gedaan, omdat het twijfelachtig is of met dergelijke advertenties (in de Staatscourant en drie dagbladen) wordt voldaan aan de transparantieverplichtingen die gelden op grond van de per 25 mei 2018 van toepassing geworden AVG. De kans is immers groot dat deze informatie de betrokkene niet bereikt.

Ten slotte verdient wat betreft het al dan niet bestaan van een informatieverplichting van de overdragende en de verkrijgende verzekeraar, opmerking dat het ook voorkomt dat verzekeraars die tot dezelfde groep behoren de directe of indirecte aandeelhouder hebben aangewezen als de verwerkingsverantwoordelijke. Deze beheert dan een centrale verzekeringsadministratie. Er is dan sprake van een centrale verwerkingsverantwoordelijke. Indien verzekeraars die een dochtermaatschappij zijn van deze centrale verwerkingsverantwoordelijke onderling een verzekeringsportefeuille overdragen (of er vindt een juridische fusie plaats van twee van dergelijke dochtermaatschappijen), dan verandert er voor wat betreft wie de verwerkingsverantwoordelijke is niets, en blijft hetzelfde privacy statement van toepassing. Strikt genomen beschikt de betrokkene dan ook al over de in art. 13 en 14 AVG genoemde informatie.