1.5.2 De beginselen inzake de verwerking van persoonsgegevens

Iedere persoon heeft het recht op bescherming van de hem betreffende persoonsgegevens. Het recht op gegevensbescherming is een fundamenteel recht dat onder meer is vastgelegd in het Europees Handvest,1 het Europees Verdrag voor de Rechten van de Mens (EVRM)2 en het Verdrag betreffende de werking van de Europese Unie (VWEU).3 Alleen onder voorwaarden mag dit recht worden beperkt.4 Een beperking van het recht op gegevensbescherming moet bij wet worden gesteld en moet voldoen aan de eisen van noodzakelijkheid, proportionaliteit, subsidiariteit en effectiviteit.

De bescherming van persoonsgegevens is nader uitgewerkt in verschillende richtlijnen, kaderbesluiten en verordeningen. De AVG is daar de meest bekende van, maar er is bijvoorbeeld ook een Richtlijn gegevensbescherming bij rechtshandhaving, die van toepassing is op de verwerking van persoonsgegevens door bevoegde autoriteiten in het kader van de strafrechtelijke wetshandhaving.5

In dit onderzoek staan alleen de AVG en de UAVG centraal. Deze wetten zijn van toepassing op de verwerking van persoonsgegevens door de curator. In de verschillende hoofdstukken geef ik uitleg over voor de curator belangrijke bepalingen en overwegingen uit die wetgeving. Om hier een korte introductie te geven op de kern van de AVG, ga ik in op artikel 5 AVG dat als titel draagt: “Beginselen inzake verwerking van persoonsgegevens”.

Bij elke verwerking van persoonsgegevens moet worden voldaan aan deze in artikel 5 AVG opgenomen beginselen. Deze beginselen vormen de kern van de AVG en zijn op iedere verwerking van persoonsgegevens van toepassing. De beginselen zijn: rechtmatigheid, behoorlijkheid en transparantie; doelbinding; gegevensminimalisering; juistheid; opslagbeperking; integriteit en vertrouwelijkheid; verantwoordingsplicht.6 De beginselen die ten grondslag liggen aan de AVG zijn uitgewerkt in een aantal concrete verplichtingen.7

Zoals ik in de conclusie (hoofdstuk VIII) zal bespreken, zijn de problemen waar de curator tegenaan loopt in de praktijk vrijwel altijd terug te voeren tot een van deze beginselen. Door de open en brede formulering van deze beginselen zijn dit regels waar de curator altijd rekening mee moet houden. Hieronder bespreek ik kort de beginselen, om een beeld te geven van het wettelijk kader waaraan de curator is gebonden.

Allereerst moet elke verwerking “rechtmatig, behoorlijk en transparant” zijn.8 Het beginsel van rechtmatigheid is tweeledig. Het brengt mee dat persoonsgegevens alleen verwerkt mogen worden op een wijze die niet strijdig is met de wet. Dit ziet zowel op de AVG als op alle andere wetgeving. Hier is van bijzonder belang voor de verwerking van persoonsgegevens dat, naast de AVG, artikel 8 EVRM ook altijd onverkort van toepassing is. Dit betekent dat bij iedere verwerking van persoonsgegevens moet worden voldaan aan de beginselen van proportionaliteit en subsidiariteit.9 Een inbreuk op de belangen van betrokkenen mag niet onevenredig zijn in verhouding tot het doel waarvoor gegevens worden verwerkt. Daarnaast mag het doel waarvoor de persoonsgegevens worden verwerkt niet op een andere, voor de betrokkenen minder ingrijpende manier, ook kunnen worden bereikt.

Ten tweede vereist het beginsel van rechtmatigheid dat iedere verwerking van persoonsgegevens is gebaseerd op een grondslag uit de AVG. Deze grondslagen zijn limitatief opgesomd in artikel 6 AVG: toestemming,10 noodzakelijkheid voor de uitvoering van een overeenkomst,11 noodzakelijkheid om te voldoen aan een wettelijke verplichting, noodzakelijkheid om vitale belangen te beschermen, noodzakelijkheid voor de vervulling van een taak van algemeen belang en noodzakelijkheid voor de behartiging van gerechtvaardigde belangen.12 Voorafgaand aan de verwerking moet de grondslag bepaald zijn.13

Het principe van behoorlijkheid houdt in dat er een evenwicht moet bestaan tussen de bescherming van de grondrechten van betrokkenen en andere belangen.14 In de overwegingen van de AVG wordt ook gesteld dat elke verwerking van persoonsgegevens “behoorlijk en rechtmatig” dient te geschieden.15 Kort gezegd betekent dit dat persoonsgegevens alleen mogen worden verwerkt op een manier die mensen redelijkerwijs zouden verwachten en die voor betrokkenen geen ongerechtvaardigde nadelige gevolgen heeft.16

Transparantie betekent dat de betrokkene moet weten of en welke persoonsgegevens worden verzameld, gebruikt, geraadpleegd of verwerkt.17 Transparantie uit zich op drie verschillende manieren: aan betrokkenen moet informatie worden verstrekt, er worden eisen gesteld aan de wijze waarop verwerkingsverantwoordelijken communiceren met betrokkenen over hun rechten op basis van de AVG, en er worden eisen gesteld aan de wijze waarop verwerkingsverantwoordelijken betrokkenen helpen hun rechten uit te oefenen.18 Aan dit beginsel zijn verschillende concrete verplichtingen gekoppeld, zoals de verplichting om betrokkenen te infomeren voorafgaand aan de verwerking van hun persoonsgegevens.19

Het beginsel van doelbinding bepaalt dat persoonsgegevens alleen mogen worden verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Persoonsgegevens moeten worden verzameld voor een specifiek doel.20 Een verwerkingsverantwoordelijke kan niet zomaar persoonsgegevens gaan verzamelen zonder dat hij weet waarvoor dat noodzakelijk is.21 Het kan voorkomen dat een verwerkingsverantwoordelijke persoonsgegevens na verzameling alsnog ergens anders voor zou willen gebruiken. Wanneer gegevens voor een bepaald doel zijn verzameld, mogen ze in beginsel niet verder worden verwerkt op een met die doeleinden onverenigbare wijze.22 Onder voorwaarden mag je persoonsgegevens wel verder verwerken, namelijk wanneer die verdere verwerking berust op toestemming van de betrokkene, een wettelijke bepaling of verenigbaarheid van de doeleinden met elkaar.23

Het beginsel van minimale gegevensverwerking brengt specifiek mee dat alleen de ter zake dienende persoonsgegevens mogen worden verwerkt. Iedere verwerking van persoonsgegevens moet noodzakelijk, effectief en evenredig zijn.24 Er mogen niet meer gegevens worden verzameld en verwerkt dan noodzakelijk is om het doel van de verwerking te bereiken. Het beginsel van gegevensminimalisering houdt in dat de persoonsgegevens adequaat en relevant moeten zijn en beperkt moeten blijven tot wat nodig is in verband met het doel waarvoor ze worden verwerkt.25 Volgens de considerans van de AVG vereist dit “met name dat ervoor wordt gezorgd dat de opslagperiode van de persoonsgegevens tot een strikt minimum wordt beperkt”.26 Dit beginsel ziet op de hoeveelheid gegevens die wordt verwerkt.27 Vanaf het begin van de verwerking moet rekening worden gehouden met het beginsel van minimale gegevensverwerking in het ontwerp van de gegevensverwerking.28

Daarnaast heeft de verwerkingsverantwoordelijke een inspanningsverplichting om ervoor te zorgen dat de verwerkte gegevens juist zijn.29 Onder omstandigheden brengt dit mee dat gegevens geactualiseerd moeten worden. Alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren.30

Verder dienen gegevens niet langer te worden bewaard dan noodzakelijk is, aldus het beginsel van opslagbeperking.31 De termijn die noodzakelijk is moet worden bepaald aan de hand van de doeleinden waarvoor de gegevens verwerkt worden en dient tot een strikt minimum te worden beperkt.32 Voor bijvoorbeeld archivering mogen persoonsgegevens langer worden bewaard.33 De AVG bevat geen concrete bewaartermijn voor persoonsgegevens. Wettelijke bewaartermijnen uit andere wetten kunnen van invloed zijn op de duur van de bewaartermijn uit de AVG.

Ten slotte is er een gegevensbeschermingsbeginsel dat ziet op integriteit en vertrouwelijkheid.34 Dit beginsel bepaalt dat passende technische en organisatorische maatregelen moeten worden genomen om persoonsgegevens te beschermen tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging.35 Ook mogen gegevens alleen dusdanig worden verwerkt dat “een passende beveiliging ervan gewaarborgd is”.36 De getroffen beveiligingsmaatregelen moeten waarborgen dat verwerkingen een op het risico afgestemd beveiligingsniveau hebben.37

De AVG bevat naast deze inhoudelijke beginselen ook een meer formeel beginsel, de verantwoordingsplicht.38 Deze verantwoordingsplicht speelt in mijn onderzoek geen grote rol, maar is wel een belangrijk beginsel voor de praktijk. Dit beginsel is tweeledig: allereerst is de verwerkingsverantwoordelijke verantwoordelijk voor de naleving van de hierboven genoemde beginselen, maar daarnaast moet de verwerkingsverantwoordelijke die naleving ook kunnen aantonen. Dat betekent dat je er als verwerkingsverantwoordelijke verantwoordelijk voor bent om aan te tonen dat je aan de AVG voldoet door veel aspecten van het verwerkingsproces te registreren. Het doel van dit beginsel is om een betere naleving van de AVG te bevorderen door ervoor te zorgen dat gegevensbescherming doordringt in de organisatiestructuren van de verwerkingsverantwoordelijken, doordat zij de naleving van de AVG in hun beleid op moeten nemen. Daarnaast wordt het werk van de toezichthoudende autoriteiten vergemakkelijkt.39 Veel organisaties leggen bijvoorbeeld in een privacybeleid vast hoe zij voldoen aan de beginselen.40

Om te voldoen aan de verantwoordingsplicht noemt de AVG een aantal verplichte maatregelen. De verwerkingsverantwoordelijke moet een verwerkingsregister bijhouden.41 Dit is een register met informatie over de verwerkingen die onder de verantwoordelijkheid van de verwerkingsverantwoordelijke plaatsvinden.42 Daarnaast moet de verwerkingsverantwoordelijke voor bepaalde verwerkingen een gegevensbeschermingseffectbeoordeling (data protection impact assesement - DPIA) uitvoeren. Dit geldt voor verwerkingen met een hoog risico voor de rechten en vrijheden van natuurlijke personen.43 Verder moet de verwerkingsverantwoordelijke een register van datalekken bijhouden,44 een register bijhouden waarmee kan worden aangetoond dat een betrokkene daadwerkelijk toestemming heeft gegeven als een verwerking daarop is gebaseerd45 en onder omstandigheden een functionaris gegevensbescherming aanstellen.46 Ook moeten schriftelijke overeenkomsten worden gesloten met verwerkers en tussen gezamenlijke verwerkingsverantwoordelijken.

De hierboven omschreven beginselen vormen de basis van het gegevensbeschermingsrecht. Zij zijn van invloed op het handelen van iedereen die persoonsgegevens verwerkt, inclusief de curator. Als normadressaat van de AVG zal hij bewust moeten omgaan met persoonsgegevens die hij aantreft in het faillissement.