Misverstand 6: Convenanten

January 17, 2018

In de blogreeks "De 7 grootste misverstanden over de AVG" rekenen we af met de 7 meest gehoorde misverstanden. Deze week het misverstand van het convenant.

Convenant

In een convenant leggen partijen het voornemen vast om samen te gaan werken. Zo kunnen bijvoorbeeld een gemeente en een woningcorporatie in een convenant vastleggen dat zij persoonsgegevens met elkaar gaan delen om zo samen woonoverlast te bestrijden. Wat vaak wordt gedacht, is dat de convenantpartijen persoonsgegevens mogen delen omdat zij dit hebben afgesproken in een convenant. Dit is onjuist. De enkele afspraak of voornemen van de partijen om persoonsgegevens met elkaar te delen vormt geen grondslag voor het verwerken van persoonsgegevens. Dit misverstand gaat dus niet zozeer over convenanten, maar eigenlijk over de rechtmatigheid van een verwerking.

Grondslag vereist

Het eerste beginsel waar rekening mee moet worden gehouden bij het verwerken van persoonsgegevens is dat van rechtmatigheid. Verwerking van persoonsgegevens is alleen rechtmatig in 6 specifieke gevallen:

a) na toestemming betrokkene b) verwerking is noodzakelijk voor een overeenkomst waarbij de betrokkene partij is c) verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting d) verwerking is noodzakelijk om vitale belangen van iemand te beschermen e) verwerking is noodzakelijk voor een taak van algemeen belang f) verwerking is noodzakelijk voor de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke

Deze 6 specifieke gevallen worden ook wel grondslagen genoemd. Voordat je persoonsgegevens gaat verwerken moet je dus altijd een grondslag hebben; er moet sprake zijn van een van de 6 gevallen hierboven. Zonder grondslag is de verwerking onrechtmatig. Merk op dat ‘een convenant’ niet in het lijstje staat.

We keren terug naar het voorbeeld waarin de gemeente en een woningcorporatie persoonsgegevens delen om zo woonoverlast te bestrijden. De rechtmatigheid van de verwerking kan niet gebaseerd worden op het convenant. Want dit is geen grondslag. In het geval van een convenant kan de verwarring ontstaan doordat de convenantpartijen denken zich te kunnen baseren op grondslag b): verwerking is noodzakelijk voor een overeenkomst waarbij de betrokkene partij is. Dit is niet mogelijk want de betrokkene is geen partij bij het convenant. Om je op deze grondslag te kunnen beroepen moet het gaan om een overeenkomst waarbij de betrokkene partij is.

Is uitwisseling tussen gemeente en woningcorporatie dan onrechtmatig? Dat hoeft niet het geval te zijn. Maar punt b) kan in elk geval niet de grondslag vormen. Als het uitwisselen van de gegevens daadwerkelijk noodzakelijk is om woonoverlast te bestrijden, dan kan de verwerking worden gebaseerd op grondslag e): verwerking is noodzakelijk voor een taak van algemeen belang. Want een van de taken van algemeen belang van zowel gemeenten als woningcorporaties is om woonoverlast tegen te gaan. De uitvoering van deze taak vormt dan de grondslag van de verwerking.

Gezamenlijke verantwoordelijkheid

Kenmerkend bij een convenant is dat de partijen samenwerken op voet van gelijkheid. Er is dus geen sprake van een opdrachtgever en opdrachtnemer. De partijen bepalen gezamenlijk de doelen en middelen van de verwerking. Dit betekent dat de convenantpartijen gezamenlijk verantwoordelijk zijn voor de verwerking van persoonsgegevens. In plaats van in een verwerkersovereenkomst (de overeenkomst tussen verantwoordelijke en verwerker) leggen zij in het convenant of in een bijlage bij het convenant ieders verantwoordelijkheden vast. Met name is het belangrijk om goed op te schrijven bij wie betrokkenen terecht kunnen en wie van de convenantpartijen de betrokkenen informeert. Deze afspraken moeten ook aan de betrokkene beschikbaar worden gesteld, zodat de betrokkene weet wie zij moet aanspreken met vragen over zijn persoonsgegevens.

Hulp nodig bij het opstellen van een convenant, Privacy Company kan je hierbij helpen. Neem hiervoor gerust contact met ons op.

Download