Delen van gegevens door verhuurders: let op de privacywetgeving!

Een verhuurder (woningcorporatie) krijgt van de politie te horen dat een huurder zich schuldig maakt aan hennepteelt in de gehuurde woning. De politie verstrekt deze gegevens op basis van het regionale Convenant Aanpak Thuisteelt van Hennep waar onder meer de woningcorporatie, de politie, de gemeente en andere woningcorporaties bij zijn aangesloten. De verhuurder wil vervolgens de andere aangesloten woningcorporaties en Woningnet informeren dat strafbare feiten zijn gepleegd door de huurder. Verhuurders verstrekken dergelijke informatie meestal onderling middels een verhuurdersverklaring. Maar mag de verhuurder de gegevens over deze huurder zomaar delen met anderen?

Nee, volgens de kantonrechter Groningen in februari 2014[1]. En ook het Hof Arnhem-Leeuwarden die de zaak op dit moment in behandeling heeft lijkt niet overtuigd, blijkens haar tussenuitspraak.[2] Het gaat hier immers om (strafrechtelijke) persoonsgegevens en daarvoor heeft de Wet bescherming persoonsgegevens (Wbp) bepaalde waarborgen ingericht.

Onder welke omstandigheden mogen persoonsgegevens van huurders dan wel gedeeld worden met derden?

Algemene regels voor het delen van persoonsgegevens
Volgens de privacywetgeving mogen persoonsgegevens alleen gedeeld worden indien er (1) een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doeleinde is voor het delen van de gegevens, (2) het delen van deze gegevens noodzakelijk is om dit doel te bereiken en (3) er een bepaalde grondslag is voor het delen van de gegevens.

Het tegengaan van hennepteelt in sociale huurwoningen is op zich een gerechtvaardigd doel en dit kan ook een gerechtvaardigd belang voor de verhuurder (een van de mogelijke grondslagen voor de verwerking) opleveren. Of het delen van de gegevens noodzakelijk is hangt ervan af welke gegevens gedeeld worden en of het doel ook op andere manieren bereikt kan worden. Zo zal in het geval van hennepteelt het delen van de locatie van de hennepkwekerij noodzakelijk kunnen zijn, maar de relatiestatus van de huurder niet zozeer.

Let op bij bijzondere persoonsgegevens!
In het geval van hennepteelt is echter een extra complicatie dat het om strafrechtelijke gegevens gaat. Strafrechtelijke gegevens zijn bijzondere gegevens en het delen van dit soort gegevens is verboden, tenzij strikte voorwaarden in acht worden genomen. Deze voorwaarden houden in dat vooraf een melding moet worden gedaan bij de Autoriteit Persoonsgegevens en dat vervolgens extra waarborgen genomen moeten worden. De waarborgen zien er bijvoorbeeld op dat onbevoegden geen toegang tot de gegevens kunnen krijgen, dat de gegevens niet langer dan noodzakelijk worden bewaard en dat de gegevens met de grootste vertrouwelijkheid worden behandeld.

Volgens de kantonrechter Groningen zijn in de bovengenoemde casus geen passende waarborgen genomen en is het uitwisselen van de gegevens omtrent de hennepteelt dan ook in strijd met de Wbp. Ook in een eerdere zaak, eveneens in Groningen, ging het op dit punt mis.[3] Er was in deze zaak weliswaar een bepaald doel en de verhuurder had een gerechtvaardigd belang bij de gegevensdeling (het tegengaan van hennepteelt in sociale huurwoningen), maar de melding van de verhuurder aan de Autoriteit Persoonsgegevens was te algemeen, nu het doel van de gegevensdeling en het soort persoonsgegeven niet in de melding waren opgenomen. Het is dus van belang niet alleen een melding te doen bij de Autoriteit Persoonsgegevens, maar ook heel zorgvuldig vast te leggen met welk doel de gegevens gedeeld gaan worden, met welke partijen en om welk type persoonsgegevens het gaat.

De toekomst
Met de komst van de Algemene Verordening Gegevensbescherming (AVG) op 25 mei 2018, zal de meldplicht komen te vervallen. Nog altijd zal het doel bepaald moeten worden, moet er een noodzaak zijn tot het delen van de gegevens, moet er een grondslag zijn en zullen passende en specifieke waarborgen getroffen moeten worden, maar een melding vooraf zal niet langer vereist zijn. De uitvoeringswet AVG is nog niet vastgesteld en er is nog discussie of in plaats van de melding voorafgaande toestemming vereist zal zijn of dat een zogenoemde gegevensbeschermingseffectbeoordeling (een verzwaarde documentatieplicht) nodig zal zijn. In elk geval zal de verhuurder extra stappen moeten nemen voordat strafrechtelijke gegevens gedeeld kunnen worden.

Delen van persoonsgegevens: toegestaan, mits..
Gezien de eerdere uitspraken van de kantonrechter lijkt het erop dat de verhuurder in de casus meer acht zal moeten slaan op de privacywetgeving voordat de gegevens met derden gedeeld kunnen worden. Het feit dat in een convenant afspraken zijn gemaakt over het delen van gegevens, betekent nog niet dat het ook volgens de privacywetgeving is toegestaan gegevens van een huurder te delen.

De AVG kent in grote lijnen dezelfde verplichtingen als de Wbp, maar is hier en daar strenger. Verhuurders zullen dus nog alerter moeten zijn op welke persoonsgegevens zij precies delen, met welk doel en onder welke voorwaarden. Mocht u twijfels hebben of u in een specifieke situatie gegevens mag delen met derden, neem dan gerust contact op met Valegis Advocaten.

Meer informatie?
Heeft u vragen over dit onderwerp? Valegis Advocaten adviseert u graag over dit onderwerp en andere privacykwesties. Neem gerust contact op met Carolien BrederijeNatascha NiewoldDaphne Jerphanion of Andrea de Ruijter.

Dit artikel is geschreven door  Andrea de Ruijter.

[1] Rechtbank Groningen, 12 februari 2014, ECLI:NL:RBNNE:2014:691

[2] Hof Arnhem-Leeuwarden, 13 juni 2017, ECLI:NL:GHARL:2017:4976

[3] Rechtbank Groningen, 18 april 2013, ECLI:NL:RBNNE:2013:BZ7896