Artikel 8 sub b [Verwerking noodzakelijk voor uitvoering overeenkomst of precontractuele maatregelen]

Een gegevensverwerking is toelaatbaar indien deze noodzakelijk is om contractuele verplichtingen na te komen. Daarbij geldt als voorwaarde dat de betrokkene partij is bij de desbetreffende overeenkomst. Met het begrip 'partij' wordt gedoeld op een bewuste deelneming van de betrokkene aan de overeenkomst. Achterliggende gedachte is dat de betrokkene zelf in principe kan overzien met welke verwerkingen hij heeft rekening te houden en de mogelijkheid heeft objectief vast te stellen welke verwerkingen in dit kader toelaatbaar zijn. Partijen bij de overeenkomst zijn zij die hetzij rechtstreeks, hetzij door middel van een vertegenwoordiger, de overeenkomst hebben gesloten. Meestal is de persoon die in feite de voor het tot stand komen van de overeenkomst nodige wilsverklaringen aflegt, partij bij de overeenkomst, namelijk indien hij deze verklaringen aflegt namens zichzelf, ten einde voor zichzelf iets te bedingen of zichzelf te verbinden. Het is echter ook mogelijk dat de handelende persoon optreedt namens een ander. Bijvoorbeeld de wettelijke vertegenwoordiger, de gevolmachtigde of het tot vertegenwoordigen bevoegde orgaan van een rechtspersoon (Asser-Hartkamp II, blz. 349 e.v.). Rechtverkrijgenden van de partijen (rechtsverkrijgenden onder algemene of bijzondere titel) vallen niet onder het begrip 'partij' in dit voorschrift. Bij het aangaan van de overeenkomst is immers niet bekend wie later rechtverkrijgenden zullen zijn, dit hangt af van op dat moment toekomstige en onzekere feiten. Het bijzondere karakter van het voorschrift verzet zich er tegen hen met de oorspronkelijke partij te vereenzelvigen. Evenmin kan de begunstige als partij worden beschouwd. Hij geldt als derde jegens wie een der partijen gehouden is tot een prestatie.
De verantwoordelijke behoeft zelf geen partij te zijn bij de overeenkomst. Het gaat voorts om een situatie waarin de bedoelde overeenkomst niet is gericht op de verwerking van persoonsgegevens, maar waarbij deze een noodzakelijk uitvloeisel daarvan is.
Tevens is een gegevensverwerking geoorloofd indien deze noodzakelijk is in de precontractuele fase. Het moet allereerst gaan om handelingen die op verzoek van de betrokkene worden verricht ten einde een overeenkomst te kunnen sluiten. Het verzoek hoeft niet dermate gespecificeerd te zijn dat aan elke handeling een verzoek van de betrokkene ten grondslag ligt. Wel moeten de handelingen logischerwijze voortvloeien uit het verzoek en moet het voor de betrokkene redelijkerwijs te verwachten zijn dat deze handelingen worden verricht. In dit verband kan nog op het volgende worden gewezen. Ingevolge de Wet op het Consumentenkrediet (Stb. 1990, 395) dient in bepaalde gevallen – voordat consumptieve kredieten kunnen worden verstrekt – de schuldenpositie van de kredietaanvrager te worden getoetst. De Stichting Bureau Kredietregistratie toetst deze kredietwaardigheid van particulieren. De gegevensverwerkingen die voortvloeien uit deze toetsingstaak gelden weliswaar als zijnde noodzakelijke precontractuele stappen teneinde een kredietovereenkomst met de betrokkene te kunnen aangaan maar kunnen bezwaarlijk worden aangemerkt als handelingen die op verzoek van de betrokkene worden verricht. Deze handelingen beogen meer het gerechtvaardigd belang van de bank te dienen enige informatie te hebben over de financiële positie van de betrokkene alvorens met hem bepaalde overeenkomsten te sluiten. De gegevensverwerkingen die in het kader van deze handelingen plaatsvinden worden daarom ook gerechtvaardigd door artikel 8, onder f. De handelingen moeten voorts noodzakelijk zijn teneinde de overeenkomst te kunnen sluiten. De formulering van het voorschrift is aangepast overeenkomstig het advies van de Registratiekamer.
In jurisprudentie is reeds erkend dat in het kader van precontractuele verhoudingen verbintenissen uit de wet tussen de aspirantcontractpartijen kunnen ontstaan (HR 18 juni 1992, NJ 1983, 723). Afhankelijk van het stadium waarin de onderhandelingen worden afgebroken, kan de partij die de onderhandelingen staakt verplicht zijn tot vergoeding van de in het kader van de voorafgaande onderhandelingen gemaakte kosten of tot vergoeding van de gederfde winsten. Deze optiek is doorgetrokken in onderdeel b van artikel 8 in die zin dat het gegevensverkeer in het kader van de precontractuele fase een expliciete wettelijke grondslag heeft gekregen.
Het is denkbaar dat de betrokkene zijn toestemming verleent om in het kader van de uitvoering van de overeenkomst of in een precontractuele fase gegevens van hem te verwerken. De gegevensverwerking steunt dan op artikel 8, onder a, indien althans de toestemming rechtsgeldig is verleend. De betrokkene heeft dan te allen tijde het recht zijn toestemming in te trekken, ten gevolge waarvan de rechtsgrondslag aan de gegevensverwerking komt te ontvallen. Het is dan de verantwoordelijke niet toegestaan alsnog op grond van artikel 8, onder b, tot verwerking over te gaan. Dit stuit op de norm van artikel 6: de verwerking geldt dan als onbehoorlijk en onzorgvuldig ten opzichte van de betrokkene. Wel zal de verantwoordelijke in dat geval ontheven zijn van de verplichting zijn overeenkomst met de betrokkene na te komen en deze op wanprestatie kunnen aanspreken. Wordt de toestemming ingetrokken ten aanzien van verwerkingen die noodzakelijk zijn in de precontractuele fase, dan zal de verantwoordelijke van de betrokkene schadevergoeding kunnen claimen (zie hierboven).
Het komt voor dat de uitvoering van de overeenkomst met betrokkene eveneens vergt dat gegevens van derden, niet zijnde partij bij de overeenkomst, moeten worden verwerkt. Als iemand bijvoorbeeld zijn bank opdracht geeft een bepaalde geldsom over te maken naar de rekening van een derde, geldt de daarvoor noodzakelijke verwerking door de bank van de persoonsgegevens van de betrokkene als een uitvloeisel van de rekeningcourantovereenkomst die deze persoon heeft met zijn bank. Deze verwerkingsgrond geldt echter niet ten aanzien van de gegevens van de derde (te weten de derde aan wie het geld wordt overgemaakt) die de bank ter uitvoering van deze betalingsopdracht moet verwerken. Met de begunstigde heeft de bank van de opdrachtgever immers geen contractuele relatie. Deze gegevensverwerking is daarentegen noodzakelijk voor de bank om zijn reguliere bancaire werkzaamheden te kunnen verrichten. Dergelijke gegevensverwerkingen gelden als noodzakelijk voor de behartiging van een gerechtvaardigd belang van de verantwoordelijke en kunnen om die reden worden gebaseerd op onderdeel f van artikel 8. Onderdeel b vergt niet dat degene die de gegevens verwerkt contractspartij is.

[MvT, pagina 80-82]