Persoonsgegevens delen met toezichthouders: wettelijke bevoegdheden en AVG-grondslagen
In dit artikel:
Het artikel behandelt het bestuursrechtelijke kader rond het verstrekken van persoonsgegevens aan toezichthouders, zowel binnen Nederland als richting toezichthouders in derde landen, en onderzoekt welke grondslagen uit de AVG voor die doorgifte kunnen worden gebruikt. Centraal staan drie vragen: onder welke voorwaarden mogen overheden en toezichthouders gegevens uitwisselen; levert artikel 5:20 van de Awb een ‘wettelijke verplichting’ op zoals bedoeld in de AVG; en hoe complex zijn grensoverschrijdende doorgiften naar landen buiten de EU/EEA?
Wie en wanneer: het gaat vooral om bestuursorganen, toezichthouders en gereguleerde instellingen die persoonsgegevens delen in het kader van toezicht en handhaving. Dergelijke uitwisselingen vinden plaats zodra gegevensuitwisseling noodzakelijk is voor de uitoefening van toezichthoudende taken, bijvoorbeeld bij informatieverzoeken, sectoronderzoeken of grensoverschrijdende toezichtssamenwerking.
Wettelijke grondslagen volgens de AVG: het artikel bespreekt de relevante toestemmings- en verwerkingsgrondslagen uit artikel 6 AVG. De meest voor de hand liggende zijn (i) een wettelijke verplichting (artikel 6 lid 1 onder c) en (ii) de vervulling van een taak van algemeen belang of de uitoefening van openbaar gezag (artikel 6 lid 1 onder e). Daarnaast wordt het gerechtvaardigd belang (artikel 6 lid 1 onder f) als mogelijke alternatieve grondslag geanalyseerd, met aandacht voor de verplichte belangenafweging tussen openbaar belang en privacybelangen van betrokkenen.
Artikel 5:20 Awb: bijzondere aandacht is er voor de vraag of artikel 5:20 Awb — dat bestuursorganen in bepaalde gevallen toestaat informatie te delen — als ‘wettelijke verplichting’ in de zin van de AVG moet worden aangemerkt. Het artikel stelt dat niet iedere bestuursrechtelijke bevoegdheid automatisch voldoet aan de strikte eis van een wettelijke grondslag onder de AVG; de norm moet voldoende precies en voorspelbaar zijn en een duidelijke basis vormen voor verwerking. Daardoor is soms aanvullende wettelijke grondslag of zorgvuldige rechtsbescherming vereist voordat op grond van 5:20 Awb mag worden doorgegeven.
Gerechtvaardigd belang als alternatief: wanneer geen duidelijke wettelijke verplichting bestaat, kan een bestuursorgaan het gerechtvaardigd belang als grondslag overwegen. Dat vereist een zorgvuldige driedelige toets: noodzaak van de verwerking, proportioneel karakter en een belangenafweging met passende waarborgen om de rechten van betrokkenen te beschermen. Voor publiekrechtelijke taken blijft de ruimere grondslag van artikel 6(1)(e) doorgaans passender, maar in specifieke gevallen kan artikel 6(1)(f) te rechtvaardigen zijn.
Internationale doorgifte: het artikel benadrukt de extra complexiteit bij doorgifte naar derde landen. Naast een geldige verwerkingsgrondslag binnen de AVG moeten organisaties voldoen aan de regels voor internationale doorgifte: een adequaatheidsbesluit van de Commissie, passende waarborgen (zoals modelcontractbepalingen of bindende bedrijfsvoorschriften) of een uitzondering in artikel 49. Jurisprudentie (zoals Schrems II) en zorgen over buitenlandse surveillance maken dat uitvoerende checks, aanvullende technische en organisatorische maatregelen en soms aanvullende contractuele afspraken noodzakelijk zijn.
Praktische aandachtspunten en aanbevelingen: organisaties en bestuursorganen moeten vooraf documenteren welke grondslag zij kiezen, waarom de doorgifte noodzakelijk is, welke gegevens minimaal worden gedeeld en welke waarborgen gelden (encryptie, doelbinding, bewaartermijnen). Waar onzekerheid bestaat over de wettelijke basis of over grensoverschrijdende risico’s, is het raadzaam om een DPIA uit te voeren, overleg met de toezichthouder te zoeken en juridische toetsing te laten plaatsvinden.
Kortom: gegevensdeling met toezichthouders binnen en buiten Nederland is mogelijk maar niet vrijblijvend; het vereist een zorgvuldig juridische kader, duidelijke motivering van de gekozen AVG-grondslag, en aanvullende technische en contractuele waarborgen bij internationale doorgifte.