Inhoudsopgave
- Juridisch kader
- Modelbepalingen
- Handvatten voor het opstellen van de wettekst en toelichting
- Voorbeelden en literatuur
Juridisch kader
De AVG en de UAVG stellen striktere regels aan het wettelijk mogelijk maken van de verwerking van bepaalde persoonsgegevens. Dit betreft bijzondere categorieën van persoonsgegevens, strafrechtelijke persoonsgegevens en nationale identificatienummers. Deze pagina biedt handvatten voor het duiden om welke categorie persoonsgegevens het gaat, voor het wettelijk vastleggen dat deze gegevens mogen worden verwerkt en voor het voldoen aan de daarbij geldende specifieke voorwaarden.
Wel of geen persoonsgegevens/AVG toepasselijk?
De AVG is uitsluitend van toepassing op de verwerking van ‘persoonsgegevens’. Een persoonsgegeven betreft ex. artikel 4, onder 1, AVG: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (“betrokkene”), zie ook: overweging 26 AVG. Het begrip persoonsgegevens moet breed worden opgevat. Het gaat om alle soorten gegevens, objectief of subjectief in de vorm van meningen en beoordelingen, zolang die aan een persoon zijn te koppelen via hun inhoud, doel of gevolg. Zulke informatie kan zich uiten in tekst, beeld of geluid (zie: HvJ EU 20 december 2017, C-434/16, ECLI:EU:C:2017:994 (Nowak)).
Aandachtspunten:
- Als identificatie alleen met onevenredige inspanning mogelijk is, zijn het geen persoonsgegevens. Een louter theoretische mogelijkheid tot identificatie is onvoldoende. Om uit te maken of van middelen redelijkerwijs valt te verwachten dat zij zullen worden gebruikt om de natuurlijke persoon te identificeren, moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd benodigd voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen (Rb Overijssel 2 februari 2024, ECLI:NL:RBOVE:2024:594 (AP/Enschede)).
- De AVG is niet van toepassing op anonieme persoonsgegevens, waardoor een persoon niet (meer) identificeerbaar is. Let op: het anonimiseren zelf is een verwerking van persoonsgegevens, waarvoor een wettelijke grondslag nodig is (zie ook: overweging 23 AVG en WP216 Advies 05/2014 over anonimiseringstechnieken.
- De AVG is niet van toepassing op de verwerking van persoonsgegevens van overleden personen.
- Hou er rekening mee dat het begrip ‘bijzonder persoonsgegeven’ ruim moet worden uitgelegd.
- Ogenschijnlijk reguliere persoonsgegevens kunnen worden aangemerkt als bijzondere persoonsgegevens of strafrechtelijke persoonsgegevens als de reguliere persoonsgegevens vanwege de specifieke context gerelateerd kunnen worden aan bijvoorbeeld gezondheidssituatie, ras, politieke opvattingen of andere bijzondere persoonsgegevens.
Categorieën persoonsgegevens
Er zijn diverse categorieën persoonsgegevens:
Reguliere persoonsgegevens
bv. naam, adres, woonplaats, leeftijd, IP-adres en rekeningnummer
Bijzondere persoonsgegevens
Artikel 9 AVG jo. artikel 1 UAVG)
- ras of etnische afkomst: huidskleur, afkomst en nationale of etnische afstamming;
- politieke opvattingen: lidmaatschap van een politieke partij;
- religie of levensbeschouwelijke overtuiging;
- lidmaatschap vakbond;
- genetische gegevens: erfelijke of verworven genetische kenmerken, zoals DNA, die unieke informatie geven over de fysiologie of gezondheid van een persoon (zie: artikel 4, onder 13, AVG);
- biometrische gegevens: gegevens die voortkomen uit technische metingen van fysieke of gedragskenmerken, zoals gezichtsherkenning, vingerafdrukken of stemgeluid; met het oog op de unieke identificatie van een persoon (zie: artikel 4, onder 14, AVG);
- gezondheid: gegevens over lichamelijke of geestelijke gezondheid in verleden, heden of toekomst (zie: artikel 4, onder 15, AVG en overweging 35 AVG);
- seksueel gedrag of seksuele gerichtheid.
Bijzondere persoonsgegevens zijn naar hun aard gevoeliger dan andere persoonsgegevens en verdienen daarom speciale bescherming. De verwerking van dergelijke gegevens kan risico’s opleveren voor grondrechten en de bescherming van persoonsgegevens van betrokkene. Het is in beginsel verboden om bijzondere persoonsgegevens te verwerken, tenzij één van de uitzonderingen van artikel 9 AVG (jo. art. 22 UAVG) van toepassing is.
Voor de wetgever zijn met name de volgende uitzonderingen relevant:
- a. toestemming van de betrokkene;
- b. arbeidsrecht en sociale zekerheids- en sociale beschermingsrecht;
- g. zwaarwegend algemeen belang;
- h. preventieve of arbeidsgeneeskunde, beoordeling arbeidsongeschiktheid, medische diagnosen, gezondheidszorg of sociale diensten, behandelingen en beheren stelsels en diensten;
- i. volksgezondheid;
- j. archivering en wetenschappelijk, historisch en statistisch onderzoek.
In deze gevallen geldt – met uitzondering van toestemming – dat de uitzondering op het verwerkingsverbod moet zijn vastgelegd in Unie- of lidstatelijk recht. Daarnaast kunnen aanvullende voorwaarden gelden, zoals het treffen van passende waarborgen ter bescherming van de rechten en belangen van de betrokkene (onderdelen b, g en i). In de UAVG zijn enkele uitzonderingen op het verwerkingsverbod geregeld (zie paragraaf 3.1 UAVG).
De AVG biedt lidstaten bovendien ruimte om aanvullende voorwaarden te stellen aan de verwerking van genetische gegevens, biometrische gegevens en gegevens over gezondheid. In de UAVG zijn deze mogelijkheden uitgewerkt in de artikelen 28 tot en met 30.
Strafrechtelijke gegevens
Persoonsgegevens van strafrechtelijke aard beslaat informatie over strafrechtelijke veroordelingen, strafbare feiten en gegronde verdenkingen of daarmee verband houdende veiligheidsmaatregelen, alsmede persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag (artikel 10 AVG jo. artikel 1 UAVG en overweging 13 AVG). Van belang is om naar de aard van het strafbare feit zelf te kijken alsook naar de zwaarte van de sanctie die aan betrokkene kan worden opgelegd. De gegevens moeten bovendien voor dat specifieke doel verzameld worden. Voorbeeld geen verwerking van strafrechtelijke gegevens: 2024-017968, p. 3;
Strafrechtelijke gegevens zijn geen bijzondere categorieën van persoonsgegevens. In art. 10 AVG is voor dergelijke persoonsgegevens een bijzondere regeling getroffen waarin aanvullende beperkingen zijn opgenomen voor de verwerking van deze gegevens. Artikel 10 AVG bepaalt dat strafrechtelijke gegevens alleen mogen worden verwerkt als:
- de verwerking geschiedt onder verantwoordelijkheid van de overheid;
- de verwerking is toegestaan bij wetgeving die ook passende waarborgen biedt voor de rechten en vrijheden van de betrokken personen. Zie nader: HvJ EU 22 juni 2021, C-439/19, ECLI:EU:C:2021:504 (B/Latvijas Republikas Saeima) en HR 29 mei 2009, ECLI:NL:HR:2009:BH4720.
De regimes voor bijzondere categorieën van gegevens (art. 9 AVG) en voor strafrechtelijke gegevens (art. 10 AVG) lopen deels parallel. Dit blijkt met name uit art. 32 UAVG. De artikelen 31 tot en met 33 UAVG stellen aanvullende voorwaarden aan de verwerking van strafrechtelijke gegevens.
Voor politie en justitie geldt dat zij naast de AVG te maken hebben met andere privacywetten op basis waarvan zij strafrechtelijke gegevens verwerken, afhankelijk van de taken die ze uitvoeren. Zoals de Wet politiegegevens (Wpg), de Wet justitiële en strafvorderlijke gegevens (Wjsg), het Wetboek van Strafvordering en de Politiewet. Deze wetten vloeien voort uit de Europese Richtlijn gegevensbescherming bij rechtshandhaving (RGR). Zie voor meer informatie: Privacywetgeving voor politie en justitie (Autoriteit Persoonsgegevens).
Nationaal identificatienummer
Nationaal identificatienummer of enige andere identificator van algemene aard (waaronder BSN) (artikel 87 AVG jo. artikel 4, onder 1, AVG).
Identificatienummer
Artikel 87 AVG geeft de nationale wetgever de bevoegdheid om specifieke voorwaarden te stellen aan de verwerking van een nationaal identificatienummer of een andere identificator van algemene aard. Daarbij geldt als voorwaarde dat passende waarborgen worden getroffen ter bescherming van de rechten en vrijheden van de betrokkene. Deze bescherming is van belang omdat identificatienummers de koppeling van verschillende gegevensbestanden aanzienlijk vergemakkelijken.
Artikel 46 UAVG (jo. art. 6, lid 4, AVG) bepaalt dat een bij wet voorgeschreven identificatienummer bij de verwerking van persoonsgegevens uitsluitend wordt gebruikt ter uitvoering van die wet of voor bij wet vastgestelde doeleinden. Het bekendste voorbeeld hiervan is het burgerservicenummer (BSN). Eventuele andere gebruikersdoeleinden dienen door de wetgever zelf – zonder de mogelijkheid van delegatie – te worden vastgesteld. Met betrekking tot de verdere verwerking van het BSN komt de verwerkingsverantwoordelijke dus geen afwegingsruimte toe. Bij amvb kunnen ex. art. 46, lid 2 UAVG, wel andere gevallen worden aangewezen waarin een dergelijk nummer kan worden gebruikt. Er kunnen geen nieuwe persoonsidentificerende nummers in het leven worden geroepen (doelbinding).
Het BSN is een hulpmiddel voor overheidsorganen en aangewezen organisaties om burgers eenduidig te identificeren en om hun gegevens op te zoeken (Kamerstukken II 2005/06, 30312, nr. 3, p. 2). Overheidsorganen mogen het BSN gebruiken als dat noodzakelijk is voor de uitvoering van hun taak. Ze zijn verplicht het BSN te gebruiken als gegevens over burgers onderling worden uitgewisseld (artikel 10 en 11 van de Wet algemene bepalingen burgerservicenummer (Wabb)). Voor instellingen die geen beroep kunnen doen op art. 10 Wabb, dient gebruik te zin voorgeschreven in sectorale wetgeving. Het gebruik van het BSN sluit aan bij de beginselen van minimale gegevensverwerking en juistheid. Het nummer zorgt voor een juiste identificatie en voorkomt dat meer persoonsgegevens worden verwerkt (z2018-16043, p. 3).
Modelbepalingen
- Model 1 (verwerking gezondheidsgegevens)
“Onze Minister verwerkt persoonsgegevens, waaronder gegevens over gezondheid als bedoeld in artikel 4, onderdeel 15, van de Algemene verordening gegevensbescherming, indien dat noodzakelijk is voor …” - Model 2 (verwerking uitvoering taak)
“Onze Minister kan, voor zover dit noodzakelijk is voor de uitvoering van de in artikel 2 bedoelde taak, gegevens, waaronder persoonsgegevens, verwerken: …” - Model 3 (verwerking persoonsgegevens van strafrechtelijke aard)
“Gelet op artikel 10 van de Algemene verordening gegevensbescherming kan Onze Minister persoonsgegevens van strafrechtelijke aard verwerken, indien de verwerking noodzakelijk is voor de uitoefening van zijn taak op grond van deze wet.”
Handvatten voor het opstellen van de wettekst en toelichting
Algemeen
- Maak duidelijk dat er persoonsgegevens worden verwerkt. Expliciteer om welke categorieën persoonsgegevens (reguliere, bijzondere, strafrechtelijke persoonsgegevens of een nationaal identificatienummer) het gaat.
Bijzondere categorieën van persoonsgegevens
Wettekst
- Bepaal welke bijzondere categorieën van persoonsgegevens noodzakelijkerwijs verwerkt moeten worden om de beoogde doeleinden te realiseren. Wees daarbij zo specifiek mogelijk: lang niet altijd zijn alle in artikel 9 AVG genoemde categorieën nodig;
- Beoordeel of een uitzondering op het verbod om bijzondere persoonsgegevens te verwerken van toepassing is op grond van de AVG of de UAVG.
Is dat niet het geval? Dan is een wettelijke regeling nodig. - Regel de verwerking van bijzondere persoonsgegevens in de wet (W06.23.00257/III).
Leg daarbij zo nauwkeurig mogelijk vast:- welke gegevens mogen worden verwerkt (z2019-21530, p. 5); en
- welke verwerkingen onder de uitzondering op het verwerkingsverbod vallen (z2023-02836, p. 3).
- Regel domeinoverstijgende uitzonderingen in de UAVG. Als de verwerking van bijzondere persoonsgegevens sterk afhankelijk is van de context van een specifiek beleidsterrein, ligt een sectorale wet meer voor de hand;
- Als een uitzonderingsgrond wordt gekozen, moet worden voldaan aan de specifieke voorwaarden die daarbij horen. Bij de uitzondering ‘zwaarwegend algemeen belang’ (onderdeel g) geldt het volgende:
Maak duidelijk wat het zwaarwegende algemeen belang is, waarom dat belang zwaarwegend is en dat dit belang daadwerkelijk de achtergrond van het wetsvoorstel vormt (z2021-17093, p. 1; z2021-17069, p. 3).
Het bestaan van een zwaarwegend algemeen belang moet concreet uit de wettekst én toelichting zijn af te leiden (z2019-27903, p. 2). Een gegevensverwerking dient een algemeen belang als zij voor de samenleving van betekenis is. Van een zwaarwegend algemeen belang is sprake als die betekenis meer dan gewoon is (Kamerstukken II 2005/06, 30327, nr. 3, p. 73; z2020-21452, p. 5). Uit jurisprudentie over artikel 8 EVRM blijkt dat daaronder valt: nationale veiligheid, openbare veiligheid, economisch welzijn land, voorkomen van wanordelijkheden en strafbare feiten, bescherming gezondheid of goede zeden en bescherming rechten en vrijheden van anderen. Concreet kan het bijvoorbeeld gaan om het voorkomen en bestrijden van witwassen (z2019-21482, p. 10), mensenhandel en seksueel geweld tegen kinderen, fraude en kansspelverslaving (z2018-21126). De zwaarwegendheid moet in het specifieke geval wel worden aangetoond. Het oordeel daarover is primair aan de wetgever.
- Onderbouwd de noodzaak van de verwerking. Een zwaarwegend algemeen belang vereist een belangenafweging tussen het belang dat gediend wordt met de verwerking van persoonsgegevens en het belang van de persoonlijke levenssfeer van degen op wie de persoonsgegevens betrekking hebben. Daarbij moet worden getoetst aan proportionaliteit en subsidiariteit (Kamerstukken II 2019/20, 35447, nr. 3, p. 8; z2021-08378, p. 14; z2020-03725, p. 2).
- Ga expliciet in op de eis dat passende en specifieke maatregelen worden getroffen ter bescherming van de rechten en vrijheden van betrokkene. De wetgever moet deze waarborgen concreet invullen, zodat de risico’s voor de betrokkene daadwerkelijk verminderen (z2023-303011, p. 2 en 3). Denk hierbij aan de mogelijkheid om bezwaar te maken zonder nadelige gevolgen (z2020-11065, p. 7), bewaartermijnen, geheimhoudingsplichten, beveiligingsvoorschriften en regels over verdere verwerking. Motiveer waarom deze waarborgen passend zijn en waarom geen andere waarborgen worden getroffen (z2018-01637, p. 3).
Memorie van toelichting
- Maak in de toelichting in elk geval duidelijk:
- dat bijzondere persoonsgegevens worden verwerkt, welke dat zijn en waarom dit (in het kader van het wetsvoorstel) noodzakelijk is;
- welke uitzonderingsgrond uit de (U)AVG wordt gebruikt en onderbouw hoe aan de voorwaarden van deze uitzonderingsgrond wordt voldaan (dit is relevant omdat de eisen per grond verschillen en zonder uitzonderingsgrond een verwerkingsverbod geldt). M.a.w. (1) is een uitzonderingsgrond uit artikel 9 AVG rechtstreeks van toepassing op de verwerking van bijzondere persoonsgegevens voorgeschreven of volgend uit het wetsvoorstel?, (2) voorziet nationaal recht (bv. art 23 UAVG) reeds in een nadere uitwerking van artikel 9 AVG die van toepassing is op de verwerking van bijzondere persoonsgegevens, voorgeschreven of volgend uit het wetsvoorstel of (3) wordt in het wetsvoorstel een nieuwe uitzonderingsgrond gecreëerd volgend uit artikel 9 AVG of nationaal recht?
- dat er een rechtsgrondslag is (art. 6. AVG) om persoonsgegevens te verwerken en verder is voldaan aan de specifieke voorwaarden van de AVG en UAVG (z2020/08874, p. 2-3);
- welke passende waarborgen zijn vastgelegd om de verwerking van bijzondere persoonsgegevens te beperken.
Strafrechtelijke persoonsgegevens
- Controleer of de verwerking van strafrechtelijke gegevens reeds op grond van artikel 32 of artikel 33 UAVG is toegestaan.
- Als dat het geval is, controleer dan of aan alle voorwaarden is voldaan en in voldoende waarborgen is voorzien. Leg vervolgens in de toelichting uit waarom de gekozen uitzondering van toepassing is en leg zo nodig uit waarom andere gronden niet van toepassing zijn.
- Zo niet, regel de verwerking van strafrechtelijke gegevens uitdrukkelijk in de wet (z2020-00734). Baken de gegevensverwerking zo nauwkeurig mogelijk af en beperk de verwerkingen tot het noodzakelijke (z2023-02457, p. 3). Zorg dat voor iedere verwerking van die gegevens een grondslag (en uitzondering op het verwerkingsverbod) is (z2020-15006, p. 6).
- Regel waarborgen voor de rechten en vrijheden van de betrokkene die passend zijn gelet op de risico’s. Denk aan specifieke bewaartermijnen. Zie de pagina over bewaartermijnen en technische en organisatorische maatregelen.
Memorie van toelichting
- Vermeld in de toelichting:
- dat strafrechtelijke gegevens worden verwerkt;
- de onderbouwing van de noodzaak van de verwerking van de strafrechtelijke gegevens. Maak hierbij de afweging inzichtelijk (z2022-02888, p. 2-3);
- dat er een rechtsgrond (art. 6 AVG) is om persoonsgegevens te verwerken. M.a.w. vind de verwerking van strafrechtelijke persoonsgegevens in het kader van het wetsvoorstel plaats onder toezicht van de overheid? Wordt de verwerking van strafrechtelijke persoonsgegevens vastgelegd in het wetsvoorstel? Of wordt er voortgeborduurd op een reeds bestaande wet waarin het verwerken van strafrechtelijke persoonsgegevens is vastgelegd?
- de onderbouwing dat aan de specifieke voorwaarden van de (U)AVG wordt voldaan en dat de geregelde waarborgen voor de rechten en vrijheden van de betrokkene in dit geval passend zijn (z2020-08874, p. 3; z2021-08378, p. 25).
Nationale identificatienummers / BSN
Wettekst
- Controleer of het creëren van een grondslag voor het verwerken van het BSN nodig is (of dat dit al in een bestaande wet is geregeld).
- Alle overheidsorganen mogen het nummer gebruiken in het kader van hun publieke taak, zonder dat daarvoor nadere regelgeving vereist is (artikel 10 Wet algemene bepalingen burgerservicenummer; z2019-26635).
- Voor het gebruik buiten de kring van overheidsorganen is een specifieke wettelijke grondslag nodig (Kamerstukken II 2005/06, 30312, nr. 3, p. 3). Wees hier terughoudend mee. Gelet op de mogelijkheden van koppeling van gegevensbestanden, brengt verwerken van het BSN een extra inbreuk op de bescherming van de persoonlijke levenssfeer mee met mogelijk ernstige gevolgen voor de betrokkene (z2020-12267, p. 8). De risico’s nemen toe naarmate het BSN breder bekend en toegankelijk is (z2019-21482, p. 8). Het gebruik van het BSN dient daarom zoveel mogelijk te worden beperkt (z2017-7507, p. 8).
- Wordt de grondslag in het wetsvoorstel vastgelegd? Zorg ervoor dat het verwerkingsdoeleinde van het wettelijk identificatienummer ook in het wetsvoorstel wordt vastgelegd.
- Eventuele andere gebruikersdoeleinden dienen door de wetgever zelf – zonder de mogelijkheid van delegatie – te worden vastgesteld. Met betrekking tot de verdere verwerking van het BSN komt de verwerkingsverantwoordelijke dus geen afwegingsruimte toe. Bij amvb kunnen ex. art. 46, lid 2 UAVG, wel andere gevallen worden aangewezen waarin een dergelijk nummer kan worden gebruikt. Er kunnen geen nieuwe persoonsidentificerende nummers in het leven worden geroepen (doelbinding).
- Overweeg waar mogelijk alternatieven voor het BSN, zoals pseudonieme identificatoren of sectorspecifieke nummers. Denk hierbij aan een zorgnummer in de gezondheidszorg of de Wet pseudonimisering onderwijsdeelnemers.
- Creëer voor het gebruik van het BSN een expliciete grondslag op wetsniveau. Formuleer de bepaling als een verplichting, niet als een bevoegdheid (z2020-07484, p. 2). Beperk het gebruik en baken in de regeling de doeleinden van het gebruik heel scherp af (z2020-20538, p. 5-6; z2018-00091, p. 7). Gebruik het BSN bijvoorbeeld niet tevens voor andere doeleinden (bv. als kenmerk voor dossiers of brieven die met derden worden gedeeld) (zie: z2020-06319, p. 2; z2019-05539, p. 11)
Memorie van toelichting
Besteed in de toelichting aandacht aan het volgende (dat geldt ook als het gaat om het gebruik door een overheidsorgaan):
- het gebruik van het BSN als zodanig (z2022-06495, p. 3);
- de onderbouwing van de noodzaak van het gebruik van het BSN (z2020-20538, p. 5-6; z2019-02433, p. 2) en dat het niet bovenmatig is (z2019-02365, p. 2).
- of de grondslag hiervoor in het wetsvoorstel wordt geregeld of dat dit in een bestaande wet is geregeld. Is de grondslag in een bestaande wet geregeld: beschrijf deze wet en het verwerkingsdoeleinde van het wettelijk identificatienummer.
Voorbeelden en literatuur
Voorbeelden uit wetteksten en toelichtingen
Bijzondere categorieën van persoonsgegevens
Artikel 6c, tweede tot en met vierde lid, van de Wet publieke gezondheid (Wpg)
- Het RIVM verwerkt de persoonsgegevens waaronder gegevens over gezondheid als bedoeld in artikel 4, onderdeel 15 van de Algemene verordening gegevensbescherming die noodzakelijk zijn voor de uitvoering van de taak, bedoeld in het eerste lid.
- Het RIVM verwerkt op grond van het eerste lid slechts persoonsgegevens indien daarop pseudonimisering als bedoeld in artikel 4, onderdeel 5 van de Algemene verordening gegevensbescherming, is toegepast en vervolgens onafgebroken is gecontinueerd.
- Artikel 21, eerste lid, tweede volzin, van de Algemene verordening gegevensbescherming is bij de verwerking door het RIVM niet van toepassing.
Artikel 9.1.2 van de Wet langdurige zorg (Wlz)
- Wlz-uitvoerders, zorgaanbieders, het CAK en het CIZ, verstrekken elkaar kosteloos de persoonsgegevens van de verzekerde, waaronder gegevens over gezondheid als bedoeld in artikel 4, onderdeel 15 van de Algemene verordening gegevensbescherming, dan wel stellen elkaar deze gegevens voor dit doel voor inzage of het nemen van afschrift ter beschikking, voor zover die gegevens noodzakelijk zijn voor:
- het nemen van indicatiebesluiten op grond van artikel 3.2.3, eerste lid, of artikel 3.2.4 en het onderzoek dat het CIZ daarvoor verricht,
- het sluiten van schriftelijke overeenkomsten met zorgaanbieders, bedoeld in artikel 4.2.2,
[enz.]
Artikel 37 van de Wet inburgering 2021
- Gelet op artikel 9, tweede lid, onderdeel g, van de Algemene verordening gegevensbescherming is het verbod om persoonsgegevens te verwerken waaruit religieuze of levensbeschouwelijke overtuigingen blijken, niet van toepassing als de verwerking geschiedt door Onze Minister of het college en voor zover de verwerking noodzakelijk is voor de vaststelling of de vreemdeling geestelijke bedienaar is.
- Gelet op artikel 9, tweede lid, onderdeel g, van de Algemene verordening gegevensbescherming, is het verbod om gegevens over gezondheid te verwerken niet van toepassing als de verwerking geschiedt door Onze Minister of het college en voor zover de verwerking noodzakelijk is voor:
- de beoordeling van de gehele of gedeeltelijke ontheffing van de inburgeringsplicht, bedoeld in artikel 5, eerste lid, of het tweede lid, en de verlenging van de termijn, bedoeld in artikel 12; of
- de afname van de brede intake, de vaststelling van het persoonlijk plan inburgering en participatie, bedoeld in artikel 15, derde lid, en de ondersteuning en begeleiding, bedoeld in artikel 17, eerste lid
Artikel 11p, eerste lid, Wet kwaliteitsregistraties zorg
De registratiehouder mag gegevens, waaronder persoonsgegevens, waaronder gegevens over gezondheid, genetische gegevens of persoonsgegevens waaruit ras of etnische afkomst blijken, verwerken, voor zover dit noodzakelijk is om de kwaliteit van zorg aan de cliëntenpopulatie waarop de betreffende kwaliteitsregistratie ziet te meten en te verbeteren.”
Artikel 14 Wet op de medische keuringen (jo. art. 9, lid 2, onder h, AVG)
- Bij algemene maatregel van bestuur worden nadere regels gesteld over het verrichten van keuringen als bedoeld in artikel 4, eerste lid, en de vragen welke ten aanzien van de gezondheid zullen worden gesteld, bedoeld in artikel 8 gebruik van gezondheidsgegevens voor medische keuringen.
Artikel 5 van de Wet politiegegevens (jo. art. 9, lid 2, onder g, AVG)
De verwerking van politiegegevens waaruit ras, etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuiging, of het lidmaatschap van een vakbond blijkt, en de verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een natuurlijke persoon, of gegevens over gezondheid, seksuele leven en seksuele gerichtheid vindt slechts plaats wanneer dit onvermijdelijk is voor het doel van de verwerking, in aanvulling op de verwerking van andere politiegegevens betreffende de persoon en de gegevens afdoende zijn beveiligd.
Strafrechtelijke gegevens
Artikel 26 Advocatenwet
3. Bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard als bedoeld in paragraaf 3.1 onderscheidenlijk paragraaf 3.2 van de Uitvoeringswet Algemene verordening gegevensbescherming kunnen worden verwerkt door de krachtens het eerste lid aangewezen deskundigen, voor zover deze gegevens noodzakelijk zijn voor de doelmatige en doeltreffende uitvoering van kwaliteitstoetsen.
Artikel 2a Archiefwet 1995
Bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard als bedoeld in paragraaf 3.1 onderscheidenlijk paragraaf 3.2 van de Uitvoeringswet Algemene verordening gegevensbescherming kunnen worden verwerkt, indien die verwerking verband houdt met:
- a. de vervanging van archiefbescheiden, bedoeld in artikel 7;
- b. de overbrenging van archiefbescheiden naar een archiefbewaarplaats, bedoeld in de artikelen 12 en 13;
- c. de opneming van archiefbescheiden als bedoeld in artikel 1, onderdeel c, onder 3°, in een archiefbewaarplaats, of;
- d. het beheer van archiefbescheiden die in een archiefbewaarplaats berusten, met uitzondering van het ter raadpleging of gebruik beschikbaar stellen van zodanige archiefbescheiden.
Artikel 68a Faillisementswet (na inwerkingtreding Verzamelwet UAVG)
3. Gelet op de artikelen 9, tweede lid, onder g, en 10 van de Algemene verordening gegevensbescherming kan de curator, voor zo ver dit noodzakelijk is voor de uitoefening van de in het eerste lid genoemde taak, de volgende gegevens verwerken: (..)
b. persoonsgegevens van strafrechtelijke aard als bedoeld in paragraaf 3.2 van de Uitvoeringswet Algemene verordening gegevensbescherming, voor zover het verwerken betrekking heeft op de in het tweede lid, onder a, c, f, h, i en j, genoemde gespecificeerde taken.
Nationale identificatienummers / BSN
Artikel 14b van het Wetsvoorstel toelating terbeschikkingstelling van arbeidskrachten
2. De inspectie-instellingen maken bij het verwerken van persoonsgegevens gebruik van het burgerservicenummer slechts voor zover dat noodzakelijk is voor de uitvoering van de bij of krachtens deze wet aan inspectie-instellingen toegekende taken.
Artikel 3a:63 Wet op het financieel toezicht
Bij algemene maatregel van bestuur kunnen regels worden gesteld over het in het belang van de afwikkeling verwerken van persoonsgegevens. Bij die maatregel kan worden bepaald dat bij de verwerking van persoonsgegevens het burgerservicenummer kan worden gebruikt.
Voorbeelden uit jurisprudentie
Voorbeelden van wanneer sprake is van een persoonsgegeven
- een (dynamisch) IP-adres kan een persoonsgegeven zijn (HvJ EU 19 oktober 2016, C-582/14, ECLI:EU:C:2016:779 (Breyer), r.o. 38-49 alsmede HvJ EU 17 juni 2021, C-597/19, ECLI:EU:C:2021:492 (Mircom), r.o. 102. Zie ook Rb Den Haag 5 oktober 2020, ECLI:NL:RBDHA:2020:9590, r.o. 7 en ABRvS 13 juli 2022, ECLI:NL:RVS:2022:1993);
- zelfs ogenschijnlijk algemene gegevens, zoals geslacht, nationaliteit, beroep van een ouder en subsidiebedrag, kunnen in een specifieke context persoonsgegevens vormen, bijvoorbeeld als mensen in dezelfde context de betrokken persoon kunnen identificeren (HvJEU 7 maart 2024, C-479/22, ECLI:NL:C:2024:215);
- een kenteken van een auto kan voor de één wel een persoonsgegeven zijn (bijvoorbeeld de RDW), maar voor de ander niet (zie Hof Amsterdam 7 januari 2016, ECLI:NL:GHAMS:2016:146, r.o. 4.5.3; HvJ EU 9 november 2023, C-319/22, ECLI:EU:C:2023:837 (Gesamtverband Autoteile-Handel/Scania)
Voorbeelden van ogenschijnlijk reguliere gegevens aangemerkt als bijzonder persoonsgegeven
- informatie op website van kerkelijke gemeente, met contactgegevens, hobby’s en gezondheidsklachten van leden betreft gezondheidsgegevens (HvJEG 6 november 2003, C-101/01 (Lindqvist);
- publicatie van persoonsgegevens die indirect de seksuele gerichtheid van een natuurlijke persoon kunnen onthullen, op de website van de overheidsinstantie die belast is met het verzamelen van de opgaven van particuliere belangen en het uitoefenen van controle op de inhoud daarvan (HvJ EU 1 augustus 2022, ECLI:EU:C:2022:601).
- het begrip ‘gegevens over gezondheid’ strekt zich ook uit tot de gegevens, zoals naam, afleveradres en informatie die nodig is om te weten om welke geneesmiddelen het gaat, die worden verwerkt door de exploitant van een apotheek die via een onlineplatform geneesmiddelen verkoopt die alleen in apotheken mogen worden verkocht, ook al zijn die geneesmiddelen verkrijgbaar zonder recept (HvJ EU 4 oktober 2024, ECLI:EU:C:2024:846 (Lindenapotheke).
- publicatie van dopingsancties jegens sporters kunnen gezondheidsgegevens en strafrechtelijke gegevens betreffen (conclusie A-G Spielmann van 25 september 2025, C‑474/24).
Bijzondere categorieën van persoonsgegevens
- ECLI:NL:RBMNE:2019:5275: Op grond van artikel 38b van de Ziektewet kan een werkgever bij een werknemer informeren naar een no-riskpolis. De rechtbank oordeelt dat dit artikel niet in strijd is met de AVG. Het wel of niet gelden van een no-riskpolis is geen 'gegeven over gezondheid'.
Strafrechtelijke gegevens
- Het HvJ EU heeft verder verduidelijkt dat niet voldoende is dat gegevens gebruikt kunnen worden in het kader van strafvervolgingen, de gegevens moeten voor dat specifieke doel verzameld worden (zie: HvJ EU 22 juni 2021, C-439/19, ECLI:EU:C:2020:504, r.o. 83-88 (Latvijas, strafpunten) en HvJ EU 24 februari 2022, C-175/20, ECLI:EU:C:2022:124, r.o. 45 (SS SIA). Zie ook: HvJ EU 27 september 2017, C-73/16, ECLI:EU:C:2017:725, r.o. 36-40 (Puskar)
- ECLI:NL:GHARL:2022:8676: Geen juridische grondslag die Ziggo verplicht om waarschuwingsbrieven van Stichting Brein door te sturen naar downloaders; geen grondslag voor Ziggo om strafrechtelijke persoonsgegevens te verwerken; art. 10 AVG; art. 32 en 33 UAVG;
- ECLI:NL:GHARL:2023:3598: Wel juridische grondslag: Ziggo verplicht om waarschuwingsbrief door te sturen naar haar klant via wiens IP-adres een bibliotheek met e-books online toegankelijk is voor internetgebruikers en als dat nodig is, de NAW-gegevens van deze klant aan Brein te verstrekken. Zowel Ziggo als Brein mogen deze (strafrechtelijke) persoonsgegevens verwerken.
- ECLI:NL:GHDHA:2019:3539: Voorbeeld van geen strafrechtelijk gegeven:
Anders dan in artikel 1 UAVG is bepaald, kan een door de civiele rechter opgelegd contactverbod niet worden aangemerkt als strafrechtelijk gegeven (Hof Den Haag 24 december 2019,).
NB: het wetsvoorstel Verzamelwet gegevensbescherming bevat een wijziging van artikel 1 UAVG, waarbij de passage “alsmede persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag” wordt geschrapt Kamerstukken II 2022/23, 36264, nr. 2, p. 1; Kamerstukken II 2022/23, 36264, nr. 3.
Aandachtspunten vanuit de AP en Raad van State
Bijzondere categorieën van persoonsgegevens
- Afdeling advisering van de Raad van State, advies W12.25.00080/III, punt 6: Voor de uitvoering van twee nieuwe taken heeft het UWV bijzondere persoonsgegevens nodig. De Afdeling merkt op dat daar in het voorstel geen bewaartermijn voor is opgenomen. Ook uit de toelichting blijkt niet hoe lang deze gegevens worden bewaard. Een duidelijke bewaartermijn is echter van belang. Daarbij moet onderscheid worden gemaakt tussen de bewaartermijn van gegevens die voor primaire doeleinden (de uitoefening van de taak) worden verwerkt en de bewaartermijn van gegevens die louter met het oog op archivering worden verwerkt.
- Afdeling advisering van de Raad van State, advies W05.25.00094/I, punt 4b: Het wetsvoorstel voorziet in de mogelijkheid om gegevens te verwerken over godsdienst, levensovertuiging en gezondheid in het kader van verzuimmeldingen in het onderwijs. Dit betreft een uitzondering op het verbod in de Wbp BES om bijzondere persoonsgegevens te verwerken. De Afdeling merkt op dat in de toelichting niet expliciet wordt ingegaan op de uitzonderingssystematiek van de Wbp BES voor het verbod op de verwerking van bijzondere persoonsgegevens. Zij wijst erop dat voor gegevens over gezondheid de uitzonderingsgrond in artikel 21, eerste lid, onder c, van de Wbp BES van toepassing kan zijn. Daarnaast wijst zij erop dat voor de gegevens over godsdienst en levensovertuiging de uitzonderingsgrond in artikel 23, eerste lid, sub e, van de Wbp BES van toepassing kan zijn. Voor de laatstgenoemde uitzonderingsgrond dient de regering in de toelichting de noodzaak met het oog op een zwaarwegend belang dragend te motiveren, en dienen er passende waarborgen te worden genomen ter bescherming van de persoonlijke levenssfeer.
Strafrechtelijke gegevens
- Afdeling advisering van de Raad van State, advies W06.24.00131/III, punt 3a:
In de toelichting wordt slechts gewezen op de verplichting voor openbare colleges en ambtenaren om op verzoek van de officier van justitie informatie te verstrekken over strafbare feiten ingevolge artikel 162, tweede lid, van het Wetboek van Strafvordering. Voor de beoordeling van de noodzaak van de voorgestelde grondslag voor gegevensverstrekking is het echter van belang dat de bestaande mogelijkheden voor gegevensdeling voldoende in kaart worden gebracht. - Zie ook punt 3b: Naast de uitwisseling met de politie, de KMar en de FIU zal de beoogde uitwisseling van gegevens ook plaatsvinden met de FIOD. De FIOD valt net als de Douane onder het Ministerie van Financiën. In het algemeen is een wettelijke grondslag voor de verstrekking van het ene dienstonderdeel van het ministerie aan een ander dienstonderdeel van datzelfde ministerie niet noodzakelijk. Er zijn niettemin redenen voor een wettelijke grondslag voor onderlinge gegevensuitwisseling wanneer het gaat om fiscale gegevens, concurrentiegevoelige gegevens of persoonsgegevens. Ook voor verdere verwerking van dit type gegevens binnen een organisatie, en in het bijzonder voor persoonsgegevens, geldt dat deze niet zomaar gebruikt mogen worden voor een ander doel of andere taak dan waarvoor zij oorspronkelijk zijn verzameld (doelbinding). Voor een dergelijk gebruik is een wettelijke grondslag noodzakelijk.
Nationale identificatienummers / BSN
- Afdeling advisering van de Raad van State, advies W04.22.00205/I, punt 2:
De Afdeling onderkent het belang van het niet verplicht opleggen van de digitale procedure aan bepaalde woningcorporaties en woningzoekenden. Tegelijkertijd rijst daarmee de vraag of nog sprake is van een wettelijke verplichting tot het gebruik van het BSN, zoals dit door de Wabb wordt vereist ten aanzien van niet-overheidsorganen. De wijze waarop het gebruik van het BSN in het voorstel is geregeld wijkt af van bepaalde vergelijkbare regelingen, die erdoor worden gekenmerkt dat op dwingende wijze het gebruik van het BSN wordt voorgeschreven. Tot slot blijkt uit de toelichting bij de Wabb dat het gebruik van het BSN door een niet-overheidsorgaan noodzakelijk dient te zijn, in de zin dat de betrokken handeling of dienst alleen kan worden verricht door gebruik te maken van het BSN.
Zie voor meer informatie:
- EDPS – Guidance for co-legislators on key elements of legislative proposals
- Autoriteit Persoonsgegevens – Informatiepagina Bijzondere persoonsgegevens
- Autoriteit Persoonsgegevens – Informatiepagina gezondheidsgegevens verwerken
- Autoriteit Persoonsgegevens – Informatiepagina strafrechtelijke gegevens
- Autoriteit Persoonsgegevens – Themapagina Burgerservicenummer
- Het grondslagen-oerwoud in de Algemene verordening gegevensbescherming (AVG) - Privacy1
- H.R. Kranenborg & L.F.M. Verhey, De Algemene verordening gegevensbescherming in Europees en Nederlands perspectief (Staats- en bestuursrecht Wetenschap), Deventer: Wolters Kluwer 2024, §§6.2, 9.3, 12.6.
Laatst gewijzigd op: 12-5-2026