Artikel 8 sub c [Verwerking noodzakelijk voor nakomen wettelijke verplichting]

De verantwoordelijke is gerechtigd gegevens te verwerken indien dit noodzakelijk is ter uitvoering van een wettelijke verplichting die op hem rust. Deze norm bevat twee toetsingscriteria: allereerst dient de gegevensverwerking noodzakelijk te zijn ter uitvoering van een wettelijke verplichting, voorts dient de verantwoordelijke te zijn belast met de uitvoering van de wettelijke verplichting.
Allereerst dient de wettelijke verplichting noodzakelijkerwijs met zich te brengen dat de desbetreffende gegevens worden verwerkt. Zonder verwerking van de gegevens moet het uitvoeren van de wettelijke verplichting redelijkerwijs niet goed mogelijk zijn. Er moet een evident verband bestaan tussen de gegevensverwerking en de (uitvoering van de) wettelijke verplichting. Een aantal voorbeelden mogen dit verduidelijken. Ingevolge artikel 56 van de Algemene wet bijzondere ziektekosten is een ieder verplicht aan onder meer de ziekenfondsen alle inlichtingen te geven die deze behoeven ter behoeve van de uitvoering van deze wet. Deze informatieplicht ziet slechts op informatie die benodigd is voor de vaststelling van de eigen bijdrage. Ze ziet bij voorbeeld niet op het verstrekken van informatie aan ziekenfondsen ten behoeve van het informeren van verzekerden over de verstrekkingen en betalingen. Zo is bij voorbeeld een bank op grond van dit voorschrift niet verplicht aan een ziekenfonds gegevens te leveren die deze nodig heeft ten behoeve van een informatieve mailing. Voorts geldt, indien ingevolge de artikelen 1 tot en met 3 van de Wet openbaarheid van bestuur een verplichting bestaat tot het verstrekken van informatie, waaronder persoonsgegevens, dat deze gegevensverstrekking onder artikel 8, onder c, valt. Op de verhouding tussen de Wet bescherming persoonsgegevens en de Wet openbaarheid van bestuur is reeds in het algemene deel van de toelichting ingegaan. Ook de gegevensverstrekking als gevolg van de openbaarheidsbepalingen van de Archiefwet 1995 valt onder artikel 8, onder c.
De term 'wettelijke verplichting' heeft betrekking op iedere verplichting tot gegevensverwerking die krachtens een algemeen verbindend voorschrift wordt opgelegd. Uiteraard dient wel te zijn voldaan aan het bepaalde in artikel 10, eerste lid, van de Grondwet en artikel 8 van het EVRM. Dat betekent dat een dergelijke verplichting alleen bij of krachtens een wet in formele zin in het leven kan worden geroepen voor zover dit in een democratische samenleving noodzakelijk is onder meer in het belang van het economische welzijn van het land. Of aan deze voorwaarde is voldaan, zal uiteindelijk door de rechter kunnen worden getoetst. De wettelijke verplichting behoeft geen expliciete opdracht tot de gegevensverwerking te bevatten. Een voorwaarde bij een financiële regeling kan als regel echter niet als zodanig worden opgevat. Dit kan anders zijn als de informatieverplichting die als voorwaarde aan de financiële regeling is verbonden, een toereikende wettelijke grondslag kent.
De taak een wettelijke verplichting uit te voeren rechtvaardigt niet iedere gegevensverwerking. De verantwoordelijke mag ter uitvoering van de wettelijke verplichting bij voorbeeld niet meer of andere gegevens verwerken dan noodzakelijk is voor de uitvoering van de wettelijke verplichting. Gelet op de aard van de inbreuk op de privacy is een belangenafweging van geval tot geval nodig. Daarbij dient onder meer gelet te worden op de aard van de in het geding zijnde taak en de aard van de betrokken gegevens.
Als tweede voorwaarde geldt dat alleen een beroep op onderdeel c kan worden gedaan in het geval de verantwoordelijke is onderworpen aan de nakoming van de wettelijke verplichting. Onderdeel f van artikel 8 biedt basis voor het geval de verantwoordelijke gegevens verwerkt ter voldoening van een wettelijke verplichting van een ander (te weten een 'gerechtvaardigd belang van een derde aan wie de gegevens worden verstrekt').
In zekere zin bouwt onderdeel c – althans voor zover het gaat om een persoonsregistratie in de publieke en semi-publieke sector betreft – voort op de norm van artikel 18, eerste en tweede lid, WPR: de gegevensverwerking dient noodzakelijk te zijn voor een goede vervulling van de (wettelijke) taak van de verantwoordelijke. De verwerkingsgrond van onderdeel c is beperkter in die zin dat het moet gaan om de vervulling van een wettelijke verplichting van de verantwoordelijke. Er buiten valt een verwerking die uitsluitend dient ter uitvoering van een wettelijk recht. Een dergelijke gegevensverwerking zal moeten kunnen worden gebaseerd op onderdeel e of f van artikel 8.
Met betrekking tot de derdenverstrekking borduurt het voorschrift voort op artikel 11, eerste lid, WPR. Hierin wordt bepaald dat uit een persoonsregistratie slechts gegevens aan een derde worden verstrekt voor zover zulks wordt vereist ingevolge een wettelijk voorschrift.
De wettelijke verplichting waarop onderdeel c ziet, zal in de praktijk doorgaans betrekking hebben op het vastleggen of bewaren van gegevens of het verstrekken daarvan aan derden. Als voorbeeld kan worden gewezen op de verplichting ingevolge artikel 47 van de Algemene wet inzake rijksbelastingen de inspecteur te voorzien van alle gegevens die van belang kunnen zijn voor de belastingheffing te zijnen aanzien.

[MvT, pagina 82-83]