Van de boete die de Autoriteit Persoonsgegeven (AP) aan de Belastingdienst heeft opgelegd wegens overtreding van de Algemene verordening gegevensbescherming (AVG) gaat een belangrijk signaal uit.

In art. 5 van de AVG staat dat een instantie die gegevens verwerkt moet voldoen aan de algemene beginselen die bepalen dat een gegevensverwerking rechtmatig, behoorlijk en transparant is. We kennen het begrip ‘behoorlijk’ als toets waar de overheid aan moet voldoen bij de behandeling van klachten. Het behoorlijkheidsbeginsel uit de AVG geldt echter voor iedereen die persoonsgegevens verwerkt, ook bedrijven of particulieren die gegevens verwerken moeten hieraan voldoen. In de Engelstalige versie van de AVG heet dit beginsel het ‘principle of fairness’. In de vertaling naar het Nederlands is dit nu het behoorlijkheidsbeginsel geworden, maar het had ook het eerlijkheidsbeginsel genoemd kunnen worden.  

Boete

De AP legt de boete op vanwege het onrechtmatige en onbehoorlijke gebruik van de dubbele nationaliteit van aanvragers van kinderopvangtoeslag. Het bezit van de Nederlandse nationaliteit is een eis bij het toekennen van een toeslag, maar een tweede nationaliteit speelt geen rol bij het nemen van dit besluit. Uit art. 6, onder e, AVG volgt dat de afdeling Toeslagen van de Belastingdienst persoonsgegevens mag verwerken met als doel het uitbetalen en eventueel terugvorderen van toeslagen, maar dit mogen alleen persoonsgegevens zijn die noodzakelijk zijn om dit doel te bereiken. De tweede nationaliteit is niet nodig, wordt in strijd met de AVG en dus onrechtmatig gebruikt.

Risicoclassificatiemodel

Terugkomend op de behoorlijkheid, de eerlijkheid van de verwerking, dit houdt ook in dat het gebruik van persoonsgegevens niet in strijd mag zijn met de grondrechten en fundamentele vrijheden van personen, zoals het discriminatieverbod. De Belastingdienst gebruikte de tweede nationaliteit als indicator in het risicoclassificatiemodel. Dit is een algoritme dat aanvragers van toeslagen beoordeelde op risico van fraude. Voor het gebruik van het gegeven van de tweede nationaliteit bestond echter geen objectief vast te stellen goede reden, terwijl dit wel leidde tot een nadeel in behandeling van de betrokkenen. Dit was dus een discriminerende verwerking van persoonsgegevens. Dus hoewel het verbod op discriminatie niet in de AVG staat, is een discriminerende verwerking door het behoorlijkheidsbeginsel toch in strijd met de AVG.

Signaal

Hier was de verwerking door de Belastingdienst onrechtmatig. Maar het kan zich ook voordoen dat een verwerking van persoonsgegevens volgens de letter van de wet rechtmatig is maar toch niet behoorlijk is, en daarmee in strijd met de AVG. Ik hoop en verwacht een verdere ontwikkeling van het behoorlijkheidsbeginsel in de praktijk. Hierdoor wordt de toepassing van de AVG niet slechts een afvinklijstje voor bedrijfsvoering. Deze boete is het signaal dat niet alleen het recht op privacy maar alle fundamentele grondrechten moeten worden beschermd bij het verwerken van persoonsgegevens.