11 december 2019 - De relatie tussen de AVG/UAVG en de volmacht is voor velen ondoorzichtig. In deze whitepaper vindt u de belangrijkste zaken op een rij.
Kan een belastingadviseur aan een betrokkene een volmacht vragen voor het gebruik van zijn of haar Burgerservicenummer (BSN) ten behoeve van diens belastingaangifte? Een betrokkene kan immers op grond van de UAVG geen toestemming geven voor de verwerking van het BSN door de belastingadviseur. Is het werken met een volmacht een juridisch toegestaan alternatief? Ja, sterker nog, het is de enige mogelijkheid voor een belastingadviseur om het BSN te mogen verwerken.
Art. 46 UAVG schrijft immers voor dat het BSN “slechts (wordt) gebruikt ter uitvoering van de [belastingwetgeving])”. Omdat dat precies het doel van de volmacht is, valt de verwerking door de financieel adviseur dus binnen de toegestane doeleinden van art. 46 UAVG. Omgekeerd: zonder de volmacht is de verwerking van het BSN door belastingadviseurs juist verboden, omdat het BSN dan niet gebruikt wordt voor de uitvoering van de belastingwetgeving. De rechtshandeling waar de volmacht op ziet, is immers het doen van aangifte en dat is hier de “uitvoering” als bedoeld in art. 46 UAVG.
De relatie tussen de AVG/UAVG en de volmacht (Titel 3 Boek 3 Burgerlijk Wetboek) is voor velen ondoorzichtig. Met enige regelmaat zien we ook dat -soms ten onrechte- toestemming gevraagd wordt waar beter een volmacht had kunnen worden afgegeven of waar ondanks de volmacht alsnog om toestemming van de betrokkene wordt gevraagd. We zetten even een paar belangrijke zaken rondom volmacht en de AVG/UAVG op een rij:
1. Wat is een volmacht?
3:60 lid 1 Burgerlijk Wetboek omschrijft een volmacht als “de bevoegdheid die een volmachtgever verleent aan een ander, de gevolmachtigde, om in zijn naam rechtshandelingen te verrichten.” Het tweede lid vult dit aan “het in ontvangstnemen van verklaringen”. Een rechtshandeling is een op een rechtsgevolg gerichte wil die zich door een verklaring heeft geopenbaard (art. 3:33 BW), zoals een koop, een schenking, of het geven van toestemming als bedoeld in art. 6.1(a) AVG. Een volmacht kan “algemeen” zijn of “bijzonder”. Bij een algemene volmacht mag de gevolmachtigde alles tenzij iets specifiek is uitgesloten (art. 3:62 lid 1 BW). Bij een bijzondere volmacht geldt juist dat de gevolmachtigde zich moet beperken tot het doel van de volmacht, waarbij de wet tevens “daden van beheer en van beschikking die dienstig kunnen zijn tot het bereiken van het doel” toestaat. Wat de gevolmachtigde wel of niet mag, is dus afhankelijk van de inhoud van de volmacht.
2. De gevolmachtigde is verwerkingsverantwoordelijke
De AVG is niet van toepassing op de verwerking van persoonsgegevens door de betrokkene in het kader van zijn/haar persoonlijke of huishoudelijke activiteiten (art. 2.2(c) AVG). De voornoemde belastingaangifte door de betrokkene is zo’n activiteit. Het is dan overigens niet zo dat als de betrokkene een volmacht geeft om namens hem die persoonlijke of huishoudelijke activiteit uit te voeren, de gevolmachtigde zich óók op die uitzondering kan beroepen door zich als een soort ‘verwerker van de betrokkene’ te kwalificeren en zich op die manier volledig aan de toepassing van de AVG te onttrekken. Dat zou in strijd zijn met het doel van de AVG zoals neergelegd in art. 1 AVG: “de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens”.
De gevolmachtigde dient dus gekwalificeerd te worden als een verwerkingsverantwoordelijke, en wel als eentje met impliciete bevoegdheden om doel en middelen vast te stellen (zie de Artikel 29 Werkgroep in WP 169). De AVG is dus volledig van toepassing op de persoonsgegevens die de gevolmachtigde in het kader van de volmacht verwerkt.
3. Volmacht is geen grondslag voor de verwerking
De volmacht is niet tevens de grondslag van de verwerking door de gevolmachtigde. Een volmacht is ook niet hetzelfde als het geven van toestemming (art. 6.1(a) AVG). In het bovengenoemde voorbeeld van de belastingadviseur is de grondslag voor de verwerking van het BSN de overeenkomst tussen de belastingadviseur en de klant (art. 6.1(b) AVG) om de belastingaangifte te doen. Voor iedere verwerking op grond van een volmacht dient de gevolmachtigde dus een specifieke verwerkingsgrondslag in art. 6.1 AVG aan te wijzen, waarbij het -gelet op het karakter van het fenomeen volmacht- niet voor de hand ligt om de toestemmingsgrondslag te gebruiken. In dat geval zou de volmacht immers niet nodig zijn.
4. De gevolmachtigde mag alles wat de betrokkene zelf ook mag
Het bovengenoemde voorbeeld van het BSN bij hulp bij belastingaangifte is een goed voorbeeld van hoe een volmacht werkt onder de AVG. Omdat de betrokkene zijn/haar eigen BSN mag verstrekken aan de Belastingdienst ten behoeve van de uitvoering van de belastingwetgeving, mag de belastingadviseur dat met een volmacht van de betrokkene dus ook. Er hoeft binnen de AVG dus niet gezocht te worden naar aparte juridische constructies om bevoegdheden te creëren voor de gevolmachtigde om de persoonsgegevens van de volmachtgever jegens derden te mogen verwerken.
5. Geen toestemming nodig
Alle rechten van de betrokkene uit de AVG, zoals inzage, correctie of verwijdering, kunnen ook door een gevolmachtigde worden uitgeoefend, mits dit binnen de scope van de volmacht ligt. Omdat onder de volmacht ook valt het ontvangen van een verklaring, hoeft de volmachtgever dus geen aparte toestemming te geven aan een verwerkingsverantwoordelijke om bijvoorbeeld persoonsgegevens die betrekking hebben op de volmachtgever ter uitvoering van een inzageverzoek te verstrekken aan de gevolmachtigde. Idem voor een trusted third party die namens de betrokkene het dataportabiliteitsrecht uitoefent. Het enkele bewijs van het bestaan van de volmacht is voldoende om de verwerkingsverantwoordelijke tot actie te bewegen. Vanuit de verwerkingsverantwoordelijke gezien is een verstrekking van persoonsgegevens als gevolg van inzage of dataportabiliteit gewoon een derdenverstrekking, waarvoor geen overeenkomsten tussen de verstrekker en gevolmachtigde behoeft te worden gesloten, noch iets te worden overeengekomen om het risico op datalekken af te dichten.
6. Nevengebruik is verboden
Hoewel artikel 5.1(b) AVG het gebruik van persoonsgegevens in beginsel toelaat voor niet onverenigbare doeleinden, verbiedt het karakter van de volmacht per definitie dergelijk nevengebruik. De gevolmachtigde mag de persoonsgegevens immers nooit verwerken buiten de scope van de volmacht. Het maakt daarbij niet uit of het een algemene of een bijzondere volmacht is. Doorslaggevend is hier art. 6.4(b): het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft. Dat betekent dat de gevolmachtigde de gegevens zelfs niet in gepseudonimiseerde vorm voor andere doeleinden kan gebruiken (bijv. statistiek).
Conclusie
De AVG en de UAVG mogen niet in splendid isolation worden toegepast. Alle andere Nederlandse en Europese wetgeving, zoals het Burgerlijk Wetboek, blijft onverkort van toepassing, mits die niet onverenigbaar met de AVG zijn. De regeling voor volmachten in het Burgerlijk Wetboek kan een welkome aanvulling zijn op de AVG en de UAVG in situaties waar de verwerking anders verboden zou zijn, mits dit op een juiste en zorgvuldige wijze wordt vormgegeven.
Jeroen Terstegge is partner bij Privacy Management Partners
