R e g i s t r a t i e k a m e r A Pensioen 2..'s-Gravenhage, 23 april 1999.. Onderwerp gegevensverstrekkking door prepensioenfonds aan A Bij brief van 24 maart 1999 heeft u de Registratiekamer verzocht om een standpunt te geven over de volgende situatie. Feiten Een VUT-stichting binnen een bepaalde bedrijfstak heeft door middel van haar werkgevers- en werknemersvertegenwoordigers besloten om bij een zeer groot aantal werknemers binnen de bedrijfstak een percentage van het loon in te houden met de intentie om deze premie in de toekomst, bij het verdwijnen van de VUT-regeling, aan te wenden voor een prepensioenregeling. Er is premie geheven van 1 januari 1995 tot 1 januari 1998. Inmiddels is een basis-prepensioenregeling tot stand gekomen. De ingehouden premies worden daarvoor niet aangewend. In december 1998 is door de CAO-partijen besloten om de gespaarde tegoeden aan te wenden voor een 'bijspaarmodule Vroegpensioen', bovenop de basis-prepensioenregeling. De totale premie-inleg zal worden overgedragen aan A die deze bijspaarmodule verzekert. Voor de uitvoering van de bijspaarmodule dient A te beschikken over een aantal gegevens van individuele werknemers. Het gaat om NAW-gegevens, geboortedatum en geslacht, hoogte van de inhouden premie, identiteit en adres van de werkgever, en NAWgegevens, geboortedatum en geslacht van de partner van de werknemer met het oog op eventuele restitutie bij overlijden. Verder zou A graag beschikken over het pensioengevend salaris en de parttime-factor van de werknemer, om te controleren of de per werknemer overgedragen premie correct is. Deze gegevens zouden deels moeten worden verstrekt door de uitvoerder van de prepensioenregeling, deels uit de pensioenadministratie van een ander fonds bij de huidige uitvoerder van de Prins Clauslaan 20 Uw brief Postbus 93374 Bijlagen 2 2509 AJ 's-gravenhage Contactpersoon Tel. 070-3811300 Doorkiesnummer Fax 070-3811301
Blad 2 basispensioenregeling, waar de overige pensioenen van de werknemers zijn verzekerd. De vraag van A is, of het daarbij om een gegevensverstrekking gaat die voortvloeit uit het doel van de registratie. Wettelijk kader Artikel 11, eerste lid, Wpr geeft de hoofdregel voor de toelaatbaarheid van verstrekkingen. Uit een persoonsregistratie mogen slechts gegevens worden verstrekt voor zover dit "voortvloeit uit het doel van de registratie, wordt vereist ingevolge een wettelijk voorschrift of geschiedt met toestemming van de geregistreerde". Bij een verstrekking die "voortvloeit uit het doel van de registratie" is vereist dat het doel van deze registratie meebrengt dat de betrokken verstrekking aan de derde geschiedt. Deze voorwaarde is stringenter dan "met het doel van de registratie niet onverenigbaar zijn". Het doel kan in een aanmeldingsformulier of een reglement omschreven zijn. De aard van het doel en de betekenis daarvan in het maatschappelijk verkeer zal hierbij mede in aanmerking moeten worden genomen. Bij de beoordeling in een concreet geval of de verstrekking van persoonsgegevens kan worden geacht uit het doel van de desbetreffende registratie voort te vloeien, dient onder meer te worden gelet op de aard van de te verstrekken informatie in het licht van de onderliggende rechtsverhouding. In bepaalde gevallen zullen daarbij tevens de opvattingen binnen de betrokken sector of beroepsgroep een rol kunnen spelen. Het antwoord op de vraag of een verstrekking voortvloeit uit het doel van een registratie, heeft een dynamisch karakter. De rechtsverhouding tussen houder en geregistreerde kan in de loop van de tijd evolueren. Ook andere feiten en omstandigheden kunnen bewerkstelligen, dat het eenmaal vastgestelde doel in het maatschappelijk verkeer een andere betekenis krijgt, waardoor nieuwe type derdenverstrekkingen toelaatbaar worden. De geregistreerde zal het opgebouwde verwachtingspatroon ten aanzien van het gebruik van zijn persoonsgegevens overeenkomstig bijstellen. Van een doelverstrekking is geen sprake als de belangen van geregistreerde (bij de bescherming van zijn persoonlijke levenssfeer) onvoldoende in acht worden genomen. Of gegevens aan een derde mogen worden verstrekt hangt mede af van de omstandigheden van het geval. Zo kan de verstrekking niet beschouwd worden als
Blad 3 voortvloeiend uit het doel indien de ontvanger meer gegevens zal ontvangen dan noodzakelijk kan worden geacht voor zijn taak. De verstrekking van meer gegevens dan noodzakelijk is, zal dan onrechtmatig zijn. Ook de aard van de verstrekte gegevens, de persoon van de derde, en de aard van diens rechtsbetrekking met geregistreerde zijn van belang. Verder kan ook het volgende van belang zijn. De uitvoerder van de prepensioenregeling beschikt over een administratie van werknemers die deelnemen aan de regeling. Een dergelijke administratie is een persoonsregistratie. Het is de Registratiekamer niet bekend of deze is aangemeld bij de Registratiekamer. Mogelijk is gebruik gemaakt van de mogelijkheid tot vrijstelling die wordt geboden door artikel 8 van het Besluit genormeerde vrijstelling. De tekst van het Besluit treft u hierbij aan. Als dat het geval is, kan een verstrekking op grond van artikel 11 Wpr, behoudens op grond van toestemming of wettelijke plicht, in dit geval slechts plaatsvinden als die 'noodzakelijk is met het oog op een voor de betrokkene geldende arbeidsvoorwaarde'. De invulling van 'noodzakelijk' dient daarbij te voldoen aan de beginselen van proportionaliteit en subsidiariteit. Als het met de verstrekking beoogde doel anderszins of met minder ingrijpende middelen kunnen worden gediend, is de voorgenomen gegevensverwerking niet toegestaan. De noodzaak dient ook in verhouding tot het doel te worden beoordeeld. Bij die afweging dienen de belangen van de betrokkene een zelfstandig gewicht in de schaal te leggen tegenover het belang van de verantwoordelijke. Bij de afweging speelt een rol de mate van gevoeligheid van de gegevens die de houder wil verstrekken en de maatregelen die zijn genomen om rekening te houden met de belangen van de betrokkene. Tenslotte wil ik u nog wijzen op het volgende. De persoonsgegevens van de werknemers zullen, na verstrekking door de uitvoerder van het prepensioen, door A worden opgenomen in haar verzekerdenadministratie. Artikel 28 Wpr bepaalt dat de geregistreerden over de (eerste) opname in een persoonsregistratie binnen vier weken schriftelijk worden geïnformeerd. Daarbij dient, naast naam, adres en woonplaats van de houder, ook het doel van de persoonsregistratie te worden aangegeven. Volledigheidshalve is bij deze brief een kopie van een deel van het aanmeldingsformulier van A verzekeringen ingesloten, waarop het doel van de persoonsregistratie is vermeld.
Blad 4 Tenslotte wijs ik u ook in dit verband ook op de artikelen 4.2.1 en 4.2.2 van de Gedragscode verwerking persoonsgegevens verzekeringsbedrijf. Daarin zijn eveneens verplichtingen ten behoeve van de transparantie van gegevensverwerkingen opgenomen. Op grond van het laatste artikel dient de verzekeringsmaatschappij betrokkenen (=geregistreerden) op de hoogte te stellen van de mogelijkheid van verzet als hun gegevens worden verwerkt met het oog op werving voor commerciële doelen. Toepassing op de vraagstelling De verstrekking van persoonsgegevens aan A staat ten dienste van de uitvoering van een bij CAO overeengekomen prepensioenregeling, in aanvulling op een al bestaand prepensioen, voor een gehele bedrijfstak. Het is aannemelijk dat de verstrekking van de beperkte set gegevens waarvan A aangeeft die nodig te hebben, te beschouwen is als noodzakelijk met het oog op een voor betrokkenen geldende arbeidsvoorwaarde, als zonder die gegevens de uitvoering van die regeling niet mogelijk zou zijn of op grote problemen zou stuiten. De verstrekking zou daarmee voldoen aan de striktere eisen, vergeleken met artikel 11 Wpr, die artikel 7 van het Besluit genormeerde vrijstelling formuleert, en daarmee ook aan de eisen van artikel 11 Wpr. Wel zal A dienen te voldoen aan de informatieverplichtingen jegens de geregistreerden die in artikel 28 Wpr en in de artikelen 4.2.1 en 4.2.2 van de Gedragscode verwerking persoonsgegevens verzekeringsbedrijf zijn geformuleerd. De Gedragscode neemt daarbij overigens een voorschot op de informatieverplichting die is opgenomen in het wetsvoorstel Wet bescherming persoonsgegevens dat thans bij de Tweede Kamer aanhangig is en op termijn de Wpr zal vervangen. Het is echter de vraag of datzelfde ook geldt voor de gegevens over pensioengevend salaris en parttime-factor van de deelnemer. Uw aanvullende brief geeft aan dat A graag in het bezit zou willen komen van die gegevens voor controle. Hieruit is niet op te maken of de controles die A zich voorstelt, als 'noodzakelijk' voor de uitvoering van de prepensioenregeling moeten worden beschouwd. De verstrekking van gegevens ten behoeve van controle is eveneens te beschouwen als een doelverstrekking, als die controle nodig is voor een goede uitvoering van die regeling. De verstrekking van gegevens die niet noodzakelijk zijn voor de uitvoering van de bijspaarmodule kan echter niet als een doelverstrekking worden gezien. In dat geval is tevens van belang dat
Blad 5 gegevens over het inkomen, hoewel dit geen 'gevoelige gegevens' zijn in de betekenis van artikel 7 Wpr, in het algemeen wel als vertrouwelijk worden beschouwd. Als de verstrekking van inkomensgegevens geen doelverstrekking is, is daarvoor de toestemming van de geregistreerden vereist. Wellicht is hiervoor een praktische oplossing te vinden door een opsplitsing van de verstrekkingen. In de hiervoor al genoemde mededeling over opname in het verzekerdenbestand van A zou dan de mogelijkheid en het doel van de verstrekking van inkomensgegevens en parttime-factor kunnen worden opgenomen. Een door geregistreerden in te vullen toestemmingsverklaring kan worden bijgesloten. Ik vertrouw u hiermee voldoende te hebben geïnformeerd. Hoogachtend, Voorzitter Registratiekamer