Wanneer mag je en moet je meewerken aan een verzoek tot afgifte van persoonsgegevens aan derden?

Met enige regelmaat krijgen we de vraag wanneer je persoonsgegevens die betrekking hebben op klanten, patiënten of medewerkers moet of mag afgeven aan derden en hoe je zo’n afgifteverzoek moet beoordelen uit privacyrechtelijk oogpunt. Het gaat dan bijvoorbeeld om een verzoek aan internet– en social mediaproviders tot afgifte van naam- en adresgegevens van gebruikers, omdat die gebruiker bijvoorbeeld smadelijke uitlatingen heeft gedaan. Maar het kan ook om afgifte van NAW-gegevens van klanten of medische gegevens van patiënten gaan, meestal in het kader van een door de verzoekende partij te voeren gerechtelijke procedure. Die verzoekende partij is overigens niet zelden ook een klant of een medewerker. Dat dit onderwerp in de praktijk tot nogal wat vraagtekens leidt, blijkt uit de gestage stroom aan procedures worden gevoerd over dit soort afgifteverzoeken, recentelijk nog door Facebook. In die zaak oordeelde de rechter -vrij opmerkelijk- dat Facebook als voorwaarde voor afgifte mocht stellen dat er een gerechtelijk bevel tot afgifte bestond. Maar uit andere rechtspraak lijkt te volgen dat de houder van de gegevens een dergelijke voorwaarde niet (zonder meer) mag stellen. Er bestaat niet zelden een plicht om mee te werken aan een verzoek om afgifte (zie onder meer het standaardarrest Lycos/Pessers). Daarbij moet de houder wel steeds bekijken of de afgifte in het specifieke geval voldoet aan de eisen die de privacywetgeving stelt. Maar wanneer is zo’n afgifte nu toegestaan op grond van de wet?

Toetsingscriteria afgifteverzoek

Als u een verzoek van een derde krijgt tot afgifte van persoonsgegevens die u in uw bezit heeft moet u aan de volgende voorwaarden voldoen. 1) Er is een grondslag in de Wet Bescherming Persoonsgegevens (Wbp) nodig voor de verstrekking. In de praktijk gaat het om de volgende situaties:

• de afgifte is nodig voor het vervullen van een wettelijke plicht, bijvoorbeeld voldoen aan een rechterlijk bevel;

• de afgifte is noodzakelijk om een gerechtvaardigd belang van de verzoeker (of van uzelf) te behartigen tenzij het (privacybelang) van de betreffende klant of medewerker prevaleert. Een gerechtvaardigd belang van de verzoeker kan bijvoorbeeld het voeren van een procedure zijn. U moet wel proberen vast te stellen of de vordering die de verzoeker heeft voldoende aannemelijk is en dat is soms best lastig. Het privacybelang van de betrokkene kan prevaleren boven het belang van de verzoeker als door de afgifte aan de verzoeker wel heel onwenselijke informatie over de betrokkene wordt verstrekt. Bij afgifte van NAW-gegevens zal daarvan niet snel sprake zijn, bij afgifte van financiële gegevens bijvoorbeeld mogelijk wel;

• De betrokken klant of medewerker geeft (ondubbelzinnige) toestemming voor de afgifte. In sommige gevallen kan dat de minst omslachtige manier zijn om een afgifteverzoek te behandelen. Soms is het niet in het belang van de betrokkenen om toestemming te verlenen, maar soms ook wel (voorbeeld: als de derde de betrokkene wil benaderen om bijvoorbeeld een bedankje te sturen). Let er wel op dat de toestemming vrijelijk is gegeven en dat u deze goed vastlegt.

2) U verstrekt niet meer gegevens dan noodzakelijk is voor bijvoorbeeld de behartiging van het belang van de verzoeker of om aan de wettelijke plicht te voldoen. Als alleen naam en adres noodzakelijk is om iemand aansprakelijk te stellen, dan mag u niet ook een e-mailadres of telefoonnummer verstrekken (tenzij u dat doet om te voldoen aan een wettelijke plicht). 3) U informeert de betrokkenen over de (voorgenomen) afgifte om te voldoen aan de op u rustende verplichting om de betrokkenen te informeren over de verwerking van zijn persoonsgegevens. 4) Als de betrokkene gebruikt maakt van zijn recht om bezwaar te maken tegen de afgifte, dan mag u de persoonsgegevens meestal wel afgeven (mits u uiteraard aan de hiervoor genoemde voorwaarden heeft voldaan). Dat zal alleen anders zijn als de betrokkene heel specifieke redenen aanvoert waarom bijvoorbeeld de belangenafweging onjuist is gedaan. U moet de afwijzing van het bezwaar uiteraard wel goed motiveren.