De AVG kent 7 belangrijke beginselen. Een van deze beginselen is ‘doelbinding’. Doelbinding houdt in dat persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden gebruikt (art. 5 lid 1 onder b AVG). Toch geeft de AVG ruimte om persoonsgegevens voor een ander doel te gebruiken. Dit wordt ‘verdere verwerking’ genoemd. Verdere verwerking houdt in dat persoonsgegevens voor andere doeleinden worden verwerkt dan de doelen waarvoor ze in eerste instantie zijn verzameld. 

Gemeentelijke praktijk

Er zijn vele situaties denkbaar waarbij het leerstuk van ‘verdere verwerking’ zich in de gemeentelijke praktijk kan opdringen. Gemeenten hebben immers een uitvoerig en verscheiden takenpakket, waarbij vaak ook (bijzondere) persoonsgegevens verwerkt worden. Daarbij is ook relevant dat ‘de gemeente’ is opgebouwd uit meerdere bestuursorganen, te weten de raad, het college van burgemeester en wethouders (college) en de burgemeester. Dit leidt ertoe dat dat de verwerking van persoonsgegevens binnen de gemeentelijke praktijk plaatsvindt door verschillende verwerkingsverantwoordelijken, afhankelijk van het verantwoordelijke bestuursorgaan. 

Illustratie: het nachtregister (I)

Ter illustratie bespreken we de verwerking van persoonsgegevens afkomstig uit het nachtregister. Het nachtregister is een administratie die wordt bijgehouden door personen die beroepsmatig aan personen nachtverblijf verschaffen. Hierbij moet gedacht worden aan aanbieders van o.a. hotels en vakantiehuisjes. In het nachtregister noteren zij de naam van de hoofdboeker, de woonplaats van de hoofdboeker, de dag van aankomst en de dag van vertrek. Deze gegevens kunnen door de burgemeester worden geraadpleegd in het kader van de algemene veiligheid. In geval van calamiteiten of als de openbare orde dreigt te worden verstoord kan deze administratie, als aanvulling op de Basisregistratie Personen en andere bronnen, benut worden om adequaat te kunnen handelen. Een aantal gemeenten werken daarbij met een digitaal nachtregister. Deze digitale administratie wordt dan in de lokale Algemene plaatselijke verordening verplicht gesteld. Hierdoor kan de burgemeester ook op meer structurele basis de gegevens uit het nachtregister raadplegen, mits nodig voor de eigen taakuitoefening. 

Het nachtregister kan ook een ander doel dienen. De juistheid en volledigheid van de Basisregistratie personen is voor zowel de betrokken burger als voor de overheid van groot belang. Het college heeft de taak om de Basisregistratie personen bij te houden. Daarnaast heeft het college de taak om toezicht te houden op de naleving van de verplichtingen die burgers hebben op grond van de Wet basisregistratie personen (Wbrp), zoals tijdig in- en uitschrijven. 

Op het moment dat het college voor deze taken het nachtregister op een structurele manier raadpleegt zonder dat daarvoor een concrete aanleiding is, krijgt het nachtregister een ‘signalerende functie’. Of dit is toegestaan moet onderzocht worden aan de hand van de AVG-criteria voor ‘verdere verwerking’. 

Verdere verwerking: artikel 6 lid 4 AVG

De grondslag voor de verdere verwerking van persoonsgegevens voor een ander doel dan waarvoor de persoonsgegevens zijn verzameld, is opgenomen in artikel 6, vierde lid, AVG. Hierin zijn de criteria opgenomen die per geval getoetst moeten worden. In essentie gaat het om:

‘Een evenwicht tussen de behoefte aan voorspelbaarheid en rechtszekerheid met betrekking tot de doeleinden van de verwerking van eerder verzamelde persoonsgegevens enerzijds, en een zekere mate van flexibiliteit voor de verwerkingsverantwoordelijke bij het beheer van die gegevens anderzijds, en dragen aldus bij tot de verwezenlijking van het in overweging 10 van verordening 2016/679 gehuldigde doel om natuurlijke personen een consistent en hoog beschermingsniveau te bieden’. (HvJ EU 20 oktober 2022 ECLI:EU:C:2022:805, r.o. 37). 

De volgende criteria moeten worden afgewogen:

1. Is er een verband tussen de oorspronkelijke doeleinden waarvoor de persoonsgegevens zijn verzameld en de doeleinden van de voorgenomen verwerking?
2. Wat waren de redelijke verwachtingen van de betrokkene als het gaat om het verdere gebruik van de persoonsgegevens?
3. Heeft de verdere verwerking betrekking op bijzondere persoonsgegevens?
4. Wat zijn de gevolgen van de verdere verwerking voor betrokkene? 
5. Zijn er passende waarborgen getroffen om onredelijke impact op betrokkene te voorkomen?

Als uit de uitgevoerde analyse blijkt dat er geen sprake is van onverenigbaarheid met het oorspronkelijke doel, mogen persoonsgegevens voor het nieuwe doel worden verwerkt. Daarnaast moet de verdere verwerking ook de overige AVG-beginselen naleven. Dit zijn rechtmatigheid, behoorlijkheid en transparantie, minimale gegevensverwerking, juistheid van gegevens, opslagbeperking en vertrouwelijkheid en integriteit (art. 5 lid 1 AVG).

Illustratie: nachtregister (II)

Dan nog even terug naar het nachtregister. Mag het college op structurele wijze een aantal persoonsgegevens uit het digitaal nachtregister verder verwerken? In deze rubriek kan helaas geen uitvoerig antwoord op deze vraag worden gegeven. Maar het (voorlopige) antwoord is dat verdere verwerking, onder een aantal voorwaarden, is toegestaan. Concreet betekent dit dat de burgemeester een beperkt aantal (persoons)gegevens uit het digitale nachtregister mag delen met de afdeling Burgerzaken ten behoeve van adreskwaliteitsonderzoeken. Hieraan zijn wel beperkingen verbonden.

De VNG werkt momenteel samen met BZK aan een Handreiking Digitaal Nachtregister. Hierin is de uitgebreide juridische uitwerking opgenomen en worden gemeenten gewezen op de mogelijke toepassingen van het digitaal nachtregister ten behoeve van de Basisregistratie Personen en het toezicht daarop (artikel 1.4 en 4.2 Wbrp). 

Meer informatie

Heeft u nog vragen of bent u op zoek naar meer informatie? Kijk dan op de website van de VNG of stel uw vraag op het forum arbeidsmigranten. Mailen kan ook naar arbeidsmigranten@vng.nl.