MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Je mag persoonsgegevens alleen aan een derde doorgeven als die derde een gerechtvaardigd belang aantoont, er geen minder ingrijpende manier is om de gegevens te achterhalen en een belangenafweging in zijn voordeel uitvalt. Geeft een derde geen onderbouwing? Dan ben je in beginsel niet verplicht (en vaak zelfs niet bevoegd) om de gegevens vrij te geven. Verstrek je toch te makkelijk, dan riskeer je boetes en schadeclaims onder de privacywetgeving. Hieronder lees je per situatie wanneer doorgeven wél en wanneer níet mag, met voorbeelden uit de rechtspraak en een concreet stappenplan.
Wanneer mag je persoonsgegevens doorgeven aan een derde?
Bijna elke onderneming verzamelt en verwerkt persoonsgegevens van klanten, gebruikers of leveranciers. Daaraan zijn verplichtingen verbonden onder de Algemene verordening gegevensbescherming (AVG): je moet die gegevens goed beveiligen en zorgen dat ze niet uitlekken. Maar wat als een derde bij je aanklopt en om gegevens vraagt, bijvoorbeeld om een vordering te innen of een schadeclaim in te dienen? Moet je daar dan op ingaan?
Een kant-en-klaar “ja” of “nee” is er niet. Of je gegevens mag doorgeven hangt af van de concrete omstandigheden. De rechtspraak heeft hiervoor een aantal duidelijke criteria ontwikkeld. Kort gezegd geldt het uitgangspunt: geen gegevens vrijgeven, tenzij aan alle voorwaarden is voldaan. Wil je eerst begrijpen welke regels überhaupt op jouw verwerkingen van toepassing zijn? Lees dan meer over privacy en gegevensbescherming voor ondernemers.
De criteria uit het arrest Lycos/Pessers
In het bekende arrest Lycos/Pessers (Hoge Raad 25 november 2005, ECLI:NL:HR:2005:AU4019) oordeelde de Hoge Raad over een vergelijkbare situatie. Dit arrest is nog steeds een van de belangrijkste uitspraken op dit terrein. Een derde leed schade door beschuldigingen die op een website waren gepubliceerd en wilde via de hostingprovider de NAW-gegevens (naam, adres, woonplaats) van de websitehouder achterhalen. De Hoge Raad formuleerde een set criteria die nog altijd het uitgangspunt vormen. Alleen als aan deze voorwaarden is voldaan, kan een provider of onderneming verplicht zijn de gegevens te verstrekken.
De vier kerncriteria zijn:
- Het is voldoende aannemelijk dat de betreffende informatie of het handelen onrechtmatig en schadelijk is tegenover de derde.
- De derde heeft een reëel belang bij het verkrijgen van de gegevens.
- Het is aannemelijk dat er in het concrete geval geen minder ingrijpende mogelijkheid is om de gegevens te achterhalen.
- Na een belangenafweging tussen de derde, de verstrekkende partij en degene wiens gegevens het betreft, weegt het belang van de derde zwaarder.
Bij dat laatste punt telt bijvoorbeeld mee of vrijgave kan leiden tot reputatieschade of inbreuk op de privacy van de betrokkene. Het gaat dus om maatwerk: je beoordeelt elk verzoek op zijn eigen merites. Belangrijk is ook dat een intermediair zich niet kan verschuilen achter een absoluut weigerbeleid. Zijn alle criteria vervuld en weiger je dan toch, dan kun je zelf aansprakelijk worden gesteld.
Rechters beoordelen het gerechtvaardigd belang streng
Dat rechters niet lichtzinnig met deze criteria omspringen, blijkt uit latere rechtspraak. In een zaak voor de rechtbank Amsterdam wilde een verkoper op Marktplaats de gegevens verkrijgen van degene die een winnend bod van zesduizend euro op een postzegelpartij had uitgebracht. Volgens de verkoper was door bod en acceptatie een koopovereenkomst tot stand gekomen.
De rechter ging daar niet in mee, omdat de gebruiksvoorwaarden van het platform bepaalden dat biedingen niet bindend zijn. Zonder geldige overeenkomst was er onvoldoende grond om de persoonsgegevens vrij te geven. Het platform was dus niet verplicht de gegevens te verstrekken.
Pas als er wél een overeenkomst tot stand was gekomen én aan de overige criteria was voldaan, had het anders kunnen liggen. Maar dan nog had de verkoper zelf zijn reële belang moeten bewijzen en had het platform moeten nagaan of er minder ingrijpende mogelijkheden waren, bijvoorbeeld of de verkoper al via de chatfunctie contact had geprobeerd te leggen. En ook dan blijft de belangenafweging staan.
De belangenafweging kan in het voordeel van de particulier uitvallen
Hoe zwaar die belangenafweging weegt, laat een andere zaak rond Marktplaats zien. In de zaak Stokke/Marktplaats vroeg fabrikant Stokke de gegevens op van adverteerders die kinderstoelen aanboden. Het ging om aanbieders van vermeende namaak, waarmee de merkrechten van Stokke geschonden zouden zijn.
De rechter oordeelde dat het belang van Stokke kleiner was dan het privacybelang van de particuliere adverteerders. Stokke monitorde het aanbod immers voortdurend en gaf inbreuken door, waarna het platform die vrijwel meteen offline haalde. De resterende schade was te beperkt om zwaarder te wegen dan de privacy van particulieren. De rechtspraak kent veel gewicht toe aan de privacyrechten van particulieren.
Welke risico’s loop je als je te makkelijk gegevens deelt?
Persoonsgegevens zonder geldige grondslag doorgeven is zelf een verwerking onder de AVG. Doe je dat onterecht, dan kun je te maken krijgen met:
- Toezicht en handhaving door de Autoriteit Persoonsgegevens, met mogelijke boetes als gevolg.
- Schadeclaims van de betrokkene wiens gegevens onrechtmatig zijn gedeeld.
- Reputatieschade en verlies van vertrouwen bij klanten en gebruikers.
Andersom geldt: wijs je een terecht verzoek onder dwang van een rechter af, dan kan dat ook nadelig uitpakken. Het is dus belangrijk om elk verzoek zorgvuldig en navolgbaar te beoordelen. Meer over de hoogte en kans op sancties lees je in ons artikel over privacyboetes.
Stappenplan: zo beoordeel je een verzoek van een derde
Krijg je een verzoek om persoonsgegevens van een derde? Loop dan de volgende stappen na voordat je iets vrijgeeft:
- Vraag om onderbouwing. Laat de derde aantonen dat hij een gerechtvaardigd, reëel belang heeft.
- Toets de onrechtmatigheid. Is voldoende aannemelijk dat er sprake is van onrechtmatig en schadelijk handelen?
- Onderzoek alternatieven. Ga na of de derde de gegevens niet op een minder ingrijpende manier kan achterhalen.
- Maak een belangenafweging. Weeg het belang van de derde af tegen de privacy van de betrokkene en je eigen positie.
- Leg je beslissing vast. Documenteer waarom je wel of niet verstrekt, zodat je je keuze later kunt verantwoorden.
Wil je vooraf duidelijke afspraken maken over het delen van gegevens met andere organisaties? Leg dat dan vast in een data-uitwisselingsovereenkomst, zodat doel, grondslag en voorwaarden helder zijn.
Veelgestelde vragen
Ben ik verplicht persoonsgegevens te verstrekken als een derde daarom vraagt?
Niet automatisch. In beginsel geef je geen gegevens vrij, tenzij de derde een gerechtvaardigd belang aantoont, er geen minder ingrijpend alternatief is en de belangenafweging in zijn voordeel uitvalt. Pas als aan die voorwaarden is voldaan, kan er een verplichting ontstaan, soms via een rechterlijke uitspraak.
Wat is een gerechtvaardigd belang bij het opvragen van gegevens?
Dat is een concreet en reëel belang, bijvoorbeeld het innen van een vordering of het verhalen van schade door onrechtmatig handelen. Een vaag vermoeden of louter nieuwsgierigheid is niet genoeg. De derde moet zijn belang kunnen onderbouwen.
Welke gegevens worden meestal opgevraagd?
Vaak gaat het om NAW-gegevens (naam, adres en woonplaats) waarmee een derde een persoon kan identificeren of aanspreken, bijvoorbeeld om een procedure te starten. Ook andere identificerende gegevens kunnen worden gevraagd.
Wat gebeurt er als ik onterecht gegevens deel?
Dan verwerk je persoonsgegevens zonder geldige grondslag. Dat kan leiden tot handhaving door de Autoriteit Persoonsgegevens, boetes en schadeclaims van de betrokkene. Beoordeel een verzoek daarom altijd zorgvuldig en leg je afweging vast.
Moet ik een rechter inschakelen voordat ik gegevens vrijgeef?
Niet altijd, maar bij twijfel is het verstandig. Een derde kan via de rechter afgifte van gegevens vorderen. Geef je uit jezelf gegevens vrij terwijl niet aan de criteria is voldaan, dan draag je zelf het risico van een onrechtmatige verwerking. Juridisch advies vooraf voorkomt verkeerde keuzes.
Mag ik klantgegevens delen met een incassobureau om een onbetaalde factuur te innen?
Voor het innen van een eigen vordering heb je doorgaans een grondslag om noodzakelijke gegevens met een ingeschakelde partij te delen, mits je alleen deelt wat nodig is en goede afspraken maakt. Iets anders is het op verzoek vrijgeven van gegevens aan een buitenstaander: daarvoor gelden de strengere criteria uit dit artikel. Loopt een factuur op en wil je deze uit handen geven? Bekijk dan onze hulp bij incasso voor ondernemers.
Twijfel je? Win eerst advies in
Zowel de wetgever als de rechtspraak hecht veel waarde aan de privacybescherming van je gebruikers en klanten. Krijg je een verzoek om persoonsgegevens, laat de derde dan eerst aantonen dat hij een gerechtvaardigd belang heeft, onderzoek of er minder ingrijpende mogelijkheden zijn en maak een zorgvuldige belangenafweging. Alleen als al die signalen gunstig zijn, kun je gegevens vrijgeven.
Weet je niet zeker of je in een specifiek geval gegevens mag delen? Onze bedrijfsjuristen denken graag met je mee en beoordelen het verzoek samen met jou. Bekijk onze rechtshulp voor ondernemers of plan direct een intakegesprek in.
