De AVG biedt verwerkingsverantwoordelijken ruimte om persoonsgegevens te verwerken teneinde hun recht te halen, zoals het beschermen van eigendom. Het aanspraak maken op een recht kan kwalificeren als een gerechtvaardigd belang. De verwerkingsverantwoordelijke moet aantonen dat daadwerkelijk een recht wordt aangesproken en dat het verwerken van persoonsgegevens daarvoor noodzakelijk is. De AVG biedt ook ruimte om persoonsgegevens langer te bewaren voor dit doel. Minder duidelijkheid bestaat over de mogelijkheid van doeldoorbreking. Wel is duidelijk dat een onrechtmatige verwerking er niet automatisch toe leidt dat een eis of verweer faalt.
1 Inleiding
Het mag een feit van algemene bekendheid heten dat de Algemene verordening gegevensbescherming (AVG) bepaald niet uitblinkt in duidelijkheid en eenvoud. Voor rechtssubjecten is het daardoor lastig om te beoordelen of een verwerking van persoonsgegevens rechtmatig is. Om geen miljoenenboete van de Autoriteit Persoonsgegevens (hierna: AP) te riskeren, spelen veel verwerkingsverantwoordelijken het veilig. De onduidelijkheid en complexiteit van de regelgeving leidt zodoende tot verstarring.
Illustratief hiervoor is de situatie waarin een derde aan een gelaedeerde geen gegevens wil verstrekken die leiden tot de identiteit van de schadeveroorzaker, omdat het voor de derde onvoldoende zeker is of deze verstrekking van persoonsgegevens rechtmatig is. Deze vermeende onduidelijkheid vormt voor mij de aanleiding om deze bijdrage te schrijven.
De vraag die in dit artikel centraal staat is in hoeverre het mogelijk is om persoonsgegevens te verwerken teneinde juridische aanspraken te beschermen. Wat zijn de gevolgen van het gegevensbeschermingsrecht voor de mogelijkheid van de verwerkingsverantwoordelijke om zijn recht te halen?
Teneinde de omvang van het artikel te begrenzen, beperk ik mij hier tot de verplichtingen uit de AVG die direct relevant zijn voor het beantwoorden van de vraag of een verwerking toegestaan is. De verplichtingen die zien op het hoe van de verwerking, zoals de beginselen van transparantie, juistheid en integriteit en vertrouwelijkheid, laat ik buiten beschouwing. Eerst bespreek ik de rechtmatigheid van de verwerking (par. 2). Vervolgens bekijk ik het effect van de beginselen van doelbinding (par. 3) en van opslagbeperking (par. 4). Tot slot behandel ik de doorwerking van het gegevensbeschermingsrecht in een gerechtelijke procedure (par. 5).
2 Rechtmatigheid
Het alfa – en soms ook gelijk het omega – van het gegevensbeschermingsuniversum wordt gevormd door de zes welbekende rechtsgronden, genoemd in art. 6 lid 1 AVG. Behoudens uitzonderingen, bieden de rechtsgronden genoemd onder a tot en met e de verwerkingsverantwoordelijke geen grondslag voor het verwerken van persoonsgegevens om zijn recht te halen. De restgrond onder f blijft hiermee over.
Ingevolge de f-grond is een verwerking van persoonsgegevens rechtmatig indien deze noodzakelijk is voor ‘de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde’. Voor een geslaagd beroep op de f-grond moet aan drie cumulatieve voorwaarden worden voldaan: (1) er is een gerechtvaardigd belang, (2) het verwerken van persoonsgegevens is nodig om dat belang te behartigen en (3) de rechten en vrijheden van de betrokkene wegen niet zwaarder.HvJ EU 4 mei 2017, C-13/16, ECLI:EU:C:2017:336, r.o. 28 (Rīgas satiksme).
2.1 Gerechtvaardigd belang
De AVG geeft geen definitie van het begrip gerechtvaardigd belang of een opsomming van wat daaronder moet worden verstaan. De rechtsvoorganger van het Europees Comité voor gegevensbescherming, de Artikel 29-werkgroep (hierna: WP29), hanteert een grammaticale interpretatie. ‘Belang’ leest de werkgroep als ‘waarde’ en ‘voordeel’ van de gegevensverwerking voor de verwerkingsverantwoordelijke of de derde. En een belang is volgens de werkgroep gerechtvaardigd indien dat in overeenstemming is met het recht. Het begrip recht vat de werkgroep daarbij op in de breedste zin van het woord.Advies 06/2014, p. 29. Deze grammaticale interpretatie vindt aansluiting in de bewoordingen ‘wettig belang van een persoon’ en ‘wettige activiteiten’ zoals gebezigd in de overwegingen bij de Privacyrichtlijn, de voorloper van de AVG.R.o. 30 bij Richtlijn 95/46/EG. Advocaat-generaal Bobek concludeert dan ook: ‘[m]its op zichzelf wettig, bestaat er geen type van belang dat per se uitgesloten is’.Concl. A-G M. Bobek, ECLI:EU:C:2019:629, bij HvJ EU 19 december 2018, C-40/17, r.o. 122 (Fashion ID).
Je rechten halen als verwerkingsverantwoordelijke kan dus kwalificeren als een gerechtvaardigd belang. Tot deze conclusie zijn ook de AP en (Europese) rechters gekomen. Zo oordeelde het Hof van Justitie van de Europese Unie (hierna: HvJ EU) in de zaak Rīgas satiksme dat ‘het geen twijfel [lijdt] (…) dat het belang van een derde bij het verkrijgen van persoonsgegevens van degene die schade heeft aangebracht aan zijn eigendom, teneinde de schade op deze persoon in recht te verhalen, een gerechtvaardigd belang is’.HvJ EU 4 mei 2017, C-13/16, ECLI:EU:C:2017:336, r.o. 29 (Rīgas satiksme). En reeds in het arrest Ryneš oordeelde het HvJ EU dat de bescherming van eigendom als zodanig kwalificeert.HvJ EU 11 december 2014, C-212/13, ECLI:EU:C:2014:2428, r.o. 34 (Ryneš).
In Nederland zijn er veel zaken waarin een gerechtvaardigd belang werd aangenomen bij de bescherming van intellectueel eigendom en het bestrijden van onrechtmatig handelen via sociale media.Hof Arnhem-Leeuwarden 5 november 2019, ECLI:NL:GHARL:2019:9352 (DFW/Ziggo), Rb. Amsterdam (vrz.) 25 juni 2015, ECLI:NL:RBAMS:2015:3984 (Facebook) en Rb. Noord-Holland (vrz.) 5 juli 2016, ECLI:NL:RBNHO:2016:5535 (Instagram). Noemenswaard is een arrest waarin het gerechtshof ’s-Hertogenbosch uitsprak dat waarheidsvinding in een civiel geding op zichzelf kwalificeert als een gerechtvaardigd belang.Hof ’s-Hertogenbosch 14 oktober 2003, ECLI:NL:GHSHE:2003:AM7927, r.o. 3.8 (Jongerius Houten/Rockwool-Gordan). In casu kon dit dienen als grondslag voor het verstrekken van persoonsgegevens van werknemers teneinde deze als getuigen te kunnen oproepen.
Ook de AP en WP29 erkennen allerlei specifieke uitwerkingen van je recht halen als gerechtvaardigd belang. Zij noemen onder meer ‘het zoeken naar middelen om ervoor te zorgen dat (…) contractuele rechten worden gerespecteerd’ en ‘handhaving van juridische aanspraken’, waaronder schuldinning, het tegengaan van inbreuken op persoonlijkheids- of vermogensrechten en iemand aansprakelijk stellen voor schade.WP29 06/2014, p. 22, 30 en 73 en autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/ normuitleg_gerechtvaardigd_belang.pdf. De websites in dit artikel zijn laatstelijk geraadpleegd op 16 januari 2019.
In veel van de voornoemde adviezen, oordelen, uitspraken en arresten wordt erop gewezen dat het verwerkingsverbod voor bijzondere categorieën van persoonsgegevens niet van toepassing is indien de verwerking noodzakelijk is voor ‘de instelling, uitoefening of onderbouwing van een rechtsvordering’.Art. 9 lid 2 onder f AVG. In Nederland geldt deze uitzondering overigens tevens voor het verwerken van strafrechtelijke gegevens.Art. 32 onder d UAVG; zie ook art. 23 lid 1 onder c Wbp en AP 5 december 2017, z2017-02053, p. 4-5 (DFW). Het instellen, uitoefenen en onderbouwen van een rechtsvordering geldt ook als grond om een uitzondering te maken op het recht op gegevenswissing, het recht op beperking van de verwerking, het recht van bezwaar van de betrokkene en voor doorgifte van persoonsgegevens naar een derde land of internationale organisaties door de verwerkingsverantwoordelijke.Art. 17 lid 3 onder e, 18 lid 1 onder c en lid 2, 21 lid 1, 49 lid 1 AVG.
Uit andere vertaling van de AVG,In ieder geval de Duitse, Engelse, Franse, Italiaanse, Poolse, Portugese, Spaanse en Zweedse vertaling. de overwegingen bij de AVG en de tekst zoals die luidde in de Privacyrichtlijn blijkt dat de uitzondering ziet op zowel de vaststelling, de uitoefening als de verdediging van een recht.R.o. 52 van de AVG; art. 8 lid 2 onder e Privacyrichtlijn en art. 23 lid 1 onder c Wbp. Op basis hiervan concludeert de Information Commissioner’s Office, de toezichthoudende autoriteit in het Verenigd Koninkrijk, dat ook het verkrijgen van juridische advies hieronder valt.ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/exemptions. Tevens blijkt uit de overwegingen bij de AVG dat de uitzondering niet beperkt is tot rechtsvorderingen in gerechtelijke procedures, maar bijvoorbeeld ook geldt voor administratieve en buitengerechtelijke procedures.R.o. 52 van de AVG; WP29 06/2014, p. 30; zie ook Kamerstukken II 1997/98, 25892, nr. 3, p. 103.
Aan het bestaan van een gerechtvaardigd belang in een concreet geval stellen de AP en WP29 de voorwaarde dat deze werkelijk en aanwezig is.WP29 06/2014, p. 29. Hiermee doelen zij erop dat het gaat om een echt belang en niet om een mogelijk, speculatief belang in de toekomst, waarvan de verwerkingsverantwoordelijke niet zeker is. Het belang moet overeenkomen met de huidige activiteiten of voordelen die worden verwacht in de zeer nabije toekomst. Een al te strenge interpretatie van deze voorwaarde komt niet redelijk voor, daar het ontstaan van geschillen zich moeilijk laat voorspellen.
In aanvulling hierop voegt de AP de voorwaarde toe dat het gaat om een rechtstreeks belang van de verwerkingsverantwoordelijke of een derde.autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/normuitleg_gerechtvaardigd_belang.pdf. Het mag niet gaan om een algemeen belang van de samenleving, aldus de AP. In de praktijk zal dit mijns inziens niet snel tot problemen leiden. Oordelen en uitspraken laten zien dat ook organisaties die handelen namens of ten behoeve van anderen, een voldoende rechtstreeks belang kunnen behartigen.Cbp 16 april 2004, z2003-1660, p. 3 (Stichting Brein) en Hof Arnhem-Leeuwarden 5 november 2019, ECLI:NL:GHARL:2019:9352, r.o. 5.12 (DFW/Ziggo).
2.2 Noodzaak
Voor een geslaagd beroep op de f-grond moet voorts aan het noodzakelijkheidsvereiste worden voldaan: is het strikt noodzakelijk voor de verwerkingsverantwoordelijke om de betreffende persoonsgegevens op de voorgenomen wijze te verwerken teneinde zijn recht te halen? De noodzakelijkheidsbeoordeling vindt nadere uitwerking in de welbekende proportionaliteits- en subsidiariteitstoets: staat de inbreuk voor betrokkene in verhouding tot het doel van de gegevensverwerking? En is het doel niet op een andere manier te bereiken, die minder nadelig is voor de betrokkene?HvJ EU 4 mei 2017, C-13/16, ECLI:EU:C:2017:336, r.o. 30 (Rīgas satiksme); zie ook HvJ EU 9 november 2010, C-92/09, ECLI:EU:C:2010:662, r.o. 86 (Volker und Marcus Schecke) en HvJ EU 11 december 2014, C-212/13, ECLI:EU:C:2014:2428, r.o. 28 (Ryneš).
Het effectueren van rechten zal veelal niet kunnen zonder te beschikken over bepaalde gegevens van de wederpartij. Allereerst moet gedacht worden aan gegevens om de wederpartij aan te kunnen spreken. Het HvJ EU heeft geoordeeld dat louter een naam en voornaam niet altijd volstaan om iemand voldoende nauwkeurig te identificeren om hem voor de rechter te dagen. Het kan ook noodzakelijk zijn om het adres of een identificatienummer te verwerken, aldus het HvJ EU.HvJ EU 4 mei 2017, C-13/16, ECLI:EU:C:2017:336, r.o. 30 (Rīgas satiksme). Welke gegevens over de wederpartij in Nederland in ieder geval noodzakelijk zijn voor een rechtsgeldig inleidende exploot, volgt rechtstreeks uit de wet.Zie o.a. art. 45 lid 3, 111 lid 2 343 en 407 van het Rv.
Voorts zal het verzoek, de eis of het verweer zelf onvermijdelijk persoonsgegevens bevatten.Vgl. HvJ EU 17 juli 2014, C-141/12, ECLI:EU:C:2014:2081, r.o. 38 (Y.S.). Voor zover deze gegevens als mogelijk bewijsmiddel in de procedure kunnen dienen, zal snel voldaan zijn aan het noodzakelijkheidsvereiste.Rb. Oost-Brabant (vrz.) 27 juli 2018, ECLI:NL:RBOBR:2018:3609, r.o. 8 (Illegale hondenhandel). Wel dient enige selectie plaats te vinden. Het blindelings doorzetten van gegevens is bovenmatig.Cbp 3 juni 2005, z2004-1185, p. 6 (Terneuzen). De selectie hoeft niet al te stringent te zijn. Op voorhand is immers niet duidelijk welke gegevens de rechter bij zijn beoordeling betrekt. Illustratief hiervoor is dat de verwerkingsverantwoordelijke er rekening mee mag houden dat de voorzieningenrechter een bodemuitspraak kan doen.Cbp 13 mei 2004, z2004-0045, p. 2 (UWV).
Het kan ook noodzakelijk zijn om gegevens te verstrekken aan derden, voor zover deze direct betrokken zijn bij een procedure ter bewijs, verdediging of handhaving van rechten.AP 5 december 2017, z2017-02053, p. 6 (DFW). Het betrekken van deze derden dient evenwel zorgvuldig te geschieden. Het rauwelijks verstrekken van gegevens aan bijvoorbeeld incassobureaus is niet rechtmatig.Registratiekamer, De rekening van de arts, 1994, p. 21.
2.3 Belangenafweging
De laatste stap in de toepassing van de f-grond is een belangenafweging tussen de belangen van de verwerkingsverantwoordelijke en betrokkene. In het onderhavige geval concretiseert dit zich in een afweging tussen het recht op een effectieve rechtsbeschermingArt. 47 Handvest van de grondrechten van de Europese Unie en art. 13 Europees Verdrag voor de Rechten van de Mens en de fundamentele vrijheden. en het recht op bescherming van persoonsgegevens. Bij deze belangenafweging worden alle relevante feiten en omstandigheden meegewogen. Dit kunnen zijn: de aard van de persoonsgegevens, de gevolgen voor de betrokkene, de redelijke verwachtingen van betrokkene, de zwaarte van de rechtsvordering en welke gerechtelijke vervolgstappen worden gezet.Hof Arnhem-Leeuwarden 5 november 2019, ECLI:NL:GHARL:2019:9352, r.o. 5.12 (DFW/Ziggo). Rb. Noord-Holland (vrz.) 5 juli 2016, ECLI:NL:RBNHO:2016:5535, r.o. 4.7 (Instagram).
De f-grond geeft enkel een grondslag om persoonsgegevens te verwerken.HvJ EU 4 mei 2017, C-13/16, ECLI:EU:C:2017:336, r.o. 26 (Rīgas satiksme). In Nederland kan er evenwel soms een verplichting bestaan om persoonsgegevens te verwerken. Deze verplichting vloeit dan voort uit de ongeschreven zorgvuldigheidsnorm vervat in art. 6:162 Burgerlijk Wetboek.HR 25 november 2005, ECLI:NL:HR:2005:AU4019, r.o. 5.4.3 (Lycos/Pessers). Nu deze specifieke situatie reeds in andere artikelen uitgebreid besproken wordt, laat ik het in dit artikel verder buiten beschouwing.S.H. Kingma, ‘De botsing tussen IE- en privacyrechten. Het einde van het Lycos/Pessers-tijdperk’, P&I 2012/145, afl. 4, p. 171-176.
3 Doelbinding
De volgende stap is toetsing aan het beginsel van doelbinding. Dit beginsel bestaat uit twee delen. De verwerkingsverantwoordelijke mag alleen persoonsgegevens verwerken voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. En eenmaal verzameld, mag de verwerkingsverantwoordelijke de persoonsgegevens niet verder verwerken op een wijze die onverenigbaar is met die doeleinden.Art. 5 lid 1 onder b AVG; zie ook WP29 06/2014, p. 4.
Het eerste deel, de doelbepaling, is reeds gegeven met de vraagstelling en ligt in het verlengde van het gerechtvaardigde belang.WP29 06/2014, p. 29. Daarom beperk ik mij hier tot het tweede deel van het beginsel.
De verenigbaarheidstoets is uitgewerkt in art. 6 lid 4 AVG. Dit artikel bevat een niet-limitatieve opsomming van aspecten om rekening mee te houden bij de beoordeling van de verenigbaarheid. Het artikel bepaalt tevens dat de verenigbaarheid reeds op voorhand gegeven is indien de verwerking berust op toestemming van de betrokkene of op een wettelijke bepaling, in welk geval toestemming of die wettelijke bepaling de grondslag is van de gegevensverwerking. Voorts wordt een verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden verenigbaar beschouwd.Art. 5 lid 1 onder b AVG.
De AVG biedt, evenals de Privacyrichtlijn dat deed, de mogelijkheid om de reikwijdte van de rechten van de betrokkene en de beginselen inzake verwerking van persoonsgegevens – waaronder dus de doelbinding – bij nationaal recht te beperken. De wetgever kan uitzonderingen maken ter waarborging van onder meer de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures, de bescherming van de betrokkene of van de rechten en vrijheden van anderen en de inning van civielrechtelijke vorderingen.Art. 23 lid 1 onder f, i en j AVG en art. 13 lid 1 onder g Privacyrichtlijn. Net als bij de implementatie van de Privacyrichtlijn in de Wet bescherming persoonsgegevens (hierna: Wbp) heeft de wetgever bij de uitvoeringswet bij de AVG (hierna: UAVG) van deze mogelijkheid gebruikgemaakt.Art. 41 UAVG en art. 43 Wbp. Belangrijk verschil ten opzichte van de Wbp is evenwel dat in art. 41 UAVG enkel staat dat een beperking mogelijk is op de rechten van de betrokkene en niet meer op de beginselen. Het gevolg hiervan is dat afwijken van het beginsel van doelbinding op de in art. 41 UAVG genoemde gronden niet mogelijk is. In de consultatieversie van het wetsvoorstel van de uitvoeringswet stond nog wel de mogelijkheid om op deze grond af te wijken van de beginselen.internetconsultatie.nl/uitvoeringswetavg. Onder de Wbp was doeldoorbreking door de verwerkingsverantwoordelijke teneinde zijn recht te halen de normale, gebruikelijke usance.Zie bv. Rb. Amsterdam (vrz.) 26 april 2017, ECLI:NL:RBAMS:2017:4038 (XS News/Abavia), Hof Amsterdam 7 november 2002, ECLI:NL:GHAMS:2002:AF0091 (XS4ALL/Deutsche Bahn) en Cbp 4 maart 2003, z2002-1335 (College PG); zie ook Kamerstukken II 1997/98, 25892, nr. 3, p. 170-172. Deze verandering – helaas zonder toelichting – is opmerkelijk gelet op het door de wetgever geformuleerde uitgangspunt van een beleidsneutrale omzetting van de AVG ten aanzien van de Wbp.Kamerstukken II 2017/18, 34851, nr. 3, p. 17 en 43.
Doeldoorbreking teneinde recht te halen, zal nu moeten plaatsvinden op grond van de verenigbaarheidstoets van art. 6 lid 4 AVG. Het zou opmerkelijk en onwenselijk zijn als deze toets anders zou uitvallen dan onder de Wbp. Gelet op de bestaande rechtspraktijk en de daaruit voortvloeiende redelijke privacyverwachtingen, zal het niemand vreemd voorkomen dat gegevens ook gebruikt kunnen worden om aanspraak te maken op rechten. Temeer nu de AVG, nog explicieter dan de Privacyrichtlijn, uitzonderingen bevat voor rechtsvorderingen.
De vraag is in hoeverre dit in de rechtspraktijk tot problemen zal leiden. Veelal zal het aanspraak maken op rechten in een of andere vorm als nevendoel geëxpliciteerd zijn bij het verzamelen van de gegevens dan wel uit de wel geëxpliciteerde doeleinden voortvloeien. Zo heeft de Registratiekamer, de verre voorloper van de AP, eens geoordeeld dat verwerkingen gericht op de afwikkeling van de rechtsverhouding in het kader waarvan de gegevens zijn verkregen en ten dienste waarvan die registratie is aangelegd, kunnen worden aangemerkt als verwerkingen die voortvloeit uit het doel van de registratie.Registratiekamer 31 maart 2000, z2000-0295.01 (Oorlogsverzekeringen).
4 Opslagbeperking
Een vervolgvraag op de rechtmatigheid en verenigbaarheid van een verwerking, is de vraag hoe lang persoonsgegevens bewaard mogen worden. In hoeverre biedt de AVG ruimte om gegevens (langer) te bewaren voor juridische aanspraken?
De hoofdregel schrijft voor dat persoonsgegevens mogen worden bewaard zolang dat noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt.Art. 5 lid 1 onder e AVG. Daarna moet de verwerkingsverantwoordelijke de persoonsgegevens vernietigen dan wel anonimiseren. In overweging 65 van de AVG staat evenwel dat het rechtmatig moet zijn om gegevens langer te bewaren wanneer dat noodzakelijk is voor de vaststelling, uitoefening of onderbouwing van een rechtsvordering.
Bij de vaststelling van bewaartermijnen legt de wetgever veelal een koppeling met de verjaringstermijn voor rechtsvorderingen. Zo is de zevenjarentermijn in het fiscale recht het gevolg van een optelsom van de termijn van navordering van de fiscus en een redelijke termijn voor uitstel van het indienen en behandelen van de aangifte.Art. 52 lid 4 Algemene wet inzake rijksbelastingen; Kamerstukken II 1997/98, 25753, nr. 3, p. 2. Een ander voorbeeld is de bewaartermijn die rust op de colleges van burgemeester en wethouders voor aantekeningen van verstrekkingen uit de basisregistratie personen. Colleges moeten deze aantekeningen twintig jaar bewaren teneinde de betrokkene in staat te stellen geleden schade via een onrechtmatige daadsactie vergoed te krijgen.Art. 3.11, 3.22 en 3.23 Wet basisregistratie personen; Kamerstukken II 2011/12, 33219, nr. 3, p. 77-78. Het meest expliciet is de bewaartermijn van verkeersgegevens voor aanbieders van communicatiediensten (bijvoorbeeld wie met wie gebeld heeft). Zij mogen verkeersgegevens ook na overbrenging van de communicatie bewaren tot ‘het einde van de wettelijke termijn waarbinnen de factuur in rechte kan worden betwist of de betaling in rechte kan worden afgedwongen’.Art. 11.5 Telecommunicatiewet; Kamerstukken II 2002/03, 28851, nr. 3, p. 154-155.
De AP legt eveneens een direct verband tussen deze twee termijnen. Vanwege de maximale verjaringstermijn van twintig jaar voor bijstandsvorderingen, mag de sociale recherche de gegevens die noodzakelijk zijn voor het geval er na verloop van tijd nog een vordering ontstaat, twintig jaar bewaren.Cbp, Naleving informatieplicht sociale recherche, 2006, p. 33. En gelet op de verjaringstermijn voor rechtsvorderingen mogen openbaar vervoersbedrijven ter bestrijding van fraude transactiegegevens vijf jaar bewaren.Cbp 2 december 2010, z2010-00393, p. 21 (GVB), z2010-00394, p. 21 (RET).
Ook de rechter ziet een relatie tussen beide termijnen. In een zaak waarin werd verzocht om vernietiging van een dossier van Bureau Jeugdzorg, overwoog de rechter dat als het bureau gegevens moet vernietigen vooruitlopend op de verstrijking van de verjaringstermijn, hem dit, gelet op het procesrisico waaraan hij is blootgesteld, zou kunnen schaden in de bewijspositie.Rb. Den Haag 4 mei 2001, ECLI:NL:RBSGR:2011:BQ6062, r.o. 4.6 (AMK); zie ook Hof Arnhem-Leeuwarden 16 september 2019, ECLI:NL:GHARL:2019:7537, r.o. 5.11 (Veilig Thuis). Deze redenering heeft ook zijn weerslag gekregen in de AVG. De verwerkingsverantwoordelijke kan een verzoek om wissing of beperking van de verwerking afwijzen indien de gegevens noodzakelijk zijn voor de instelling, uitoefening of onderbouwing van een rechtsvordering.Art. 17 lid 3 onder e AVG; zie ook Rb. Oost-Brabant (vrz.) 27 juli 2018, ECLI:NL:RBOBR:2018:3609, r.o. 8-9 (Illegale hondenhandel) en Rb. Oost-Brabant 25 maart 2019, ECLI:NL:RBOBR:2019:1647, r.o. 8 (Illegale hondenhandel).
Het voorgaande ontslaat de verwerkingsverantwoordelijke niet om steeds een afweging te maken bij het bewaren van gegevens. Niet altijd zal het nodig zijn om alle gegevens tot het einde van de verjaringstermijn te bewaren, bijvoorbeeld indien een vordering volledig voldaan is.
5 In rechte
De hamvraag is tot slot welke gevolgen het niet naleven van de AVG heeft voor de slagingskans van een rechtsvordering. Zal de rechter het ingebrachte bewijs dan uitsluiten? Het antwoord op deze vraag verschilt per rechtsgebied.
De strafrechter maakt een fijngevoelige afweging gebaseerd op art. 359a Wetboek van Strafvordering. Onherstelbare vormverzuimen, ontstaan in het voorbereidend onderzoek naar de strafbare feiten waarvoor de verdachte terecht staat, kan de rechter sanctioneren met strafvermindering, bewijsuitsluiting of niet-ontvankelijkverklaring. De Hoge Raad heeft uitgesproken dat aan een schending van het recht op eerbiediging van de persoonlijke levenssfeer van de verdachte geen rechtsgevolgen behoeven verbonden te worden, mits zijn recht op een eerlijk proces wordt gewaarborgd.HR 7 juli 2009, ECLI:NL:HR:2009:BH8889, r.o. 4.5 (Bestorming ADO-home).
In het bestuursrecht geldt dat gebruik kan worden gemaakt van onrechtmatig verkregen bewijsmateriaal, tenzij dat op een wijze is verkregen die zozeer indruist tegen hetgeen van een behoorlijk handelende overheid mag worden verwacht, dat het gebruik onder alle omstandigheden als onrechtmatig moet worden geacht.HR 20 maart 2015, ECLI:NL:HR:2015:643, r.o. 2.3.3 (Valsmunterij). Bij schending van een grondrecht zal hier snel sprake van zijn.CRvB 11 oktober 2018, ECLI:NL:CRVB:2018:3205, r.o. 4.3.1 e.v. (Fraudeonderzoek WW-uitkering).
De burgerlijke rechter tilt zwaar aan de vrije bewijsleer en waarheidsvinding.Art. 21 en 52 Rv. Partijen moeten bewijs kunnen voeren met alle beschikbare middelen. De waardering van het bewijs wordt overgelaten aan het oordeel van de rechter. De Hoge Raad oordeelt dat het algemene maatschappelijk belang dat de waarheid in rechte aan het licht komt, in beginsel zwaarder weegt dan het belang van een behoorlijke, rechtens verantwoorde bewijsgaring. Slechts indien sprake is van bijkomende omstandigheden, is terzijdelegging van dat bewijs gerechtvaardigd. Een dergelijke omstandigheid was bijvoorbeeld aan de orde bij de overtreding van een gedragscode. Het zou niet stroken met het doel van zelfregulering om een schender daarvan te belonen door onrechtmatig verkregen bewijs tot haar voordeel te laten spreken.HR 18 april 2014, ECLI:NL:HR:2014:942, r.o. 3.4.6 (Achmea/Rijnberg); zie ook Rb. Rotterdam (ktr.) 9 januari 2019, ECLI:NL:RBROT:2019:91, r.o. 4.16 (FVH Facility).
6 Slot
De AVG biedt dus de verwerkingsverantwoordelijke ruimte om persoonsgegevens te verwerken teneinde zijn recht te halen. Het aanspraak maken op een recht kan kwalificeren als een gerechtvaardigd belang van de verwerkingsverantwoordelijk of een derde dat de grondslag vormt voor de gegevensverwerking. Wel dient te worden aangetoond dat daadwerkelijk een recht wordt aangesproken en dat het verwerken van persoonsgegevens daarvoor noodzakelijk is. De AVG en UAVG zijn minder duidelijk over de mogelijkheid van doeldoorbreking. Evenwel is niet te verwachten dat de verenigbaarheidstoets onder de AVG tot een andere uitkomst zal leiden dan onder de Wbp. De AVG biedt ook de ruimte om persoonsgegevens langer te bewaren met het doel je recht te halen. En tot slot zien we dat een onrechtmatige verwerking niet van rechtswege leidt tot bewijsuitsluiting. Het geheel onderstreept dat het recht op bescherming van persoonsgegevens niet absoluut is en altijd dient te worden afgewogen tegen andere (grond)rechten.