Een basis in de Wet bescherming persoonsgegevens (Wbp)
In het algemeen geldt dat het verstrekken van persoonsgegevens verenigbaar moet zijn met het doel van het verzamelen daarvan. Of dit het geval is, hangt af van de concrete omstandigheden. Bij de vraag of een verstrekking verenigbaar is, spelen factoren een rol, zoals de verwantschap met het doel van verzamelen, de aard van de gegevens, de gevolgen van een verstrekking, de waarborgen die zijn getroffen en de verwachtingen van de betrokkene (dat is degene van wie u de gegevens wilt verstrekken). In artikel 8 Wbp staan zes gronden waarop een gegevensverstrekking gebaseerd kan zijn. Dat zijn de toestemming, de overeenkomst, de wettelijke verplichting, een vitaal belang van de betrokkene, de uitvoering van een publiekrechtelijke taak en het gerechtvaardigd belang. Een verstrekking moet terug te voeren te zijn op één van de zes gronden.
Toestemming
Met toestemming van de betrokkene kunnen persoonsgegevens verstrekt worden aan een bedrijf of instelling (hierna: organisatie). De toestemming is alleen dan rechtsgeldig, als duidelijk is waar de toestemming voor is en wat de gevolgen zijn van het geven van toestemming. De toestemming kan op elk moment worden ingetrokken, waarmee de grond voor de verstrekking vervalt. Het is dus aan te raden om, indien mogelijk, een gegevensverstrekking te baseren op één van de andere grondslagen. In het gegeven voorbeeld zou u gegevens met toestemming van de wettelijk vertegenwoordiger van de leerlingen kunnen verstrekken aan de sponsor.
Uitvoeren van een overeenkomst
U kunt persoonsgegevens verstrekken aan een organisatie als dit noodzakelijk is voor de uitvoering van een overeenkomst die u hebt of gaat sluiten met een betrokkene. Zo kan een telecombedrijf de persoonsgegevens van iemand die een mobiele telefoon bestelt, verstrekken aan TNT Post zodat deze de mobiele telefoon thuis kan bezorgen. Deze grondslag kan niet als basis dienen voor het verstrekken van leerlinggegevens aan de sponsor.
Wettelijke verplichting
Soms is het noodzakelijk om bepaalde persoonsgegevens te verstrekken die noodzakelijk zijn voor de uitvoering van een wettelijke plicht. Een voorbeeld van een dergelijke verplichting is artikel 47 van de Algemene wet inzake rijksbelastingen.
Op grond van dit artikel kan de belastinginspecteur alle gegevens die van belang kunnen zijn voor de belastingheffing vorderen.
Vitaal belang van betrokkene
Bij vitaal belang van de betrokkene kan gedacht worden aan een dringende medische noodzaak. Het verdient overigens altijd de voorkeur om toestemming van de betrokkene te vragen. Alleen als dat niet meer mogelijk is, bijvoorbeeld omdat de betrokkene buiten bewustzijn is, mogen zonder diens toestemming de persoonsgegevens verstrekt worden. Het spreekt voor zich dat u een verstrekking van leerlinggegevens niet op deze grondslag kunt baseren.
Noodzakelijk voor de goede vervulling van een publiekrechtelijke taak
Een overheidsorgaan mag op deze basis persoonsgegevens verstrekken als dat noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het overheidsorgaan of door een overheidsorgaan waaraan de gegevens worden verstrekt. Het gaat om taken die specifiek bij de organisatie zijn neergelegd. Het verstrekken van informatie over een strafbaar feit (bijvoorbeeld een fraudezaak) door het Openbaar Ministerie (OM) aan verzekeraars ten behoeve van het verhalen van schade op de dader, vloeit bijvoorbeeld voort uit de taak van het OM. Het OM heeft namelijk ook als taak de belangen van het slachtoffer van een strafbaar feit te dienen. Het verstrekken van leerlinggegevens aan een sponsor is niet noodzakelijk voor een goede vervulling van een publiekrechtelijke taak.
Gerechtvaardigd belang
Een gerechtvaardigd belang is in de regel aanwezig bij handelingen in het kader van de normale bedrijfsvoering of het dagelijks beheer van uw organisatie. Het verstrekken van gegevens moet noodzakelijk zijn voor uw gerechtvaardigd belang. Dat betekent dat u zich moet afvragen of u met minder gegevens of via een minder ingrijpende weg hetzelfde resultaat kunt bereiken. Ook moet u een privacytoets uitvoeren. Dit betekent dat u het belang en de rechten van de betrokkene dient af te wegen tegen uw belang bij het verstrekken van de gegevens. Deze belangenafweging moet u inzichtelijk kunnen maken voor de betrokkene en zo nodig voor het CBP of de rechter. Deze grondslag komt wellicht in aanmerking als basis voor verstrekking van de leerlinggegevens, maar deze verstrekking valt niet onder de noemer ‘normale bedrijfsvoering’. Ook kunt u na het uitvoeren van de privacytoets op goede gronden tot de conclusie komen dat het belang en de rechten van de leerlingen zwaarder wegen dan het belang dat u heeft bij het verstrekken. Toestemming is dan de enige grond waarop u de gegevens mag verstrekken.
Verstrekken bij ambts- of beroepsgeheim
Verstrekking van gegevens aan een andere organisatie is niet toegelaten als een ambts- of beroepsgeheim zich daartegen verzet. Uitsluitend met toestemming van de betrokkene kunt u dergelijke informatie verstrekken. Er zijn echter gevallen waarin de wet uitzondering maakt. Zo volgt uit de Wet op de geneeskundige behandelingsovereenkomst dat medische gegevens, zonder toestemming, verstrekt kunnen worden aan personen die noodzakelijkerwijze bij de behandeling van een patiënt betrokken zijn, de zogenaamde ‘functionele eenheid’. Zie verder het informatieblad Geheimhouding van medische gegevens.
Melden en vrijstellingen
Het gebruik van persoonsgegevens moet gemeld worden bij het CBP, tenzij hiervoor een vrijstelling geldt. In het Vrijstellingsbesluit zijn veel situaties uitgezonderd van deze meldingsplicht. Dit besluit geeft een indicatie aan wie u in bepaalde situaties gegevens mag verstrekken. U dient zich echter altijd aan de algemene bepalingen van de Wbp te houden. Zie verder het informatieblad Melden en vrijstellingen.
Waar kan een betrokkene klagen?
Een betrokkene kan bij een organisatie klagen als hij meent dat deze zijn persoonsgegevens ten onrechte aan een andere organisatie heeft verstrekt. Wat kan de betrokkene verder zelf doen?