Gegevensuitwisseling door woningcorporaties: wanneer mag dat?

Woningcorporaties verwerken veel (bijzondere) persoonsgegevens van huurders, maar in welke gevallen mag dat? Los van de persoonsgegevens die woningcorporaties zelf verzamelen, ontvangen zij ook gegevens van andere instanties, zoals de Belastingdienst. Voor het verwerken van persoonsgegevens moet er altijd een grondslag zijn (artikel 8 Wbp/artikel 6 AVG). Een overzicht van de grondslagen en voorwaarden voor gegevensverwerking kunt u hier vinden. Het is voor woningcorporaties noodzakelijk om persoonsgegevens te verwerken, willen zij uitvoering kunnen geven aan de huurovereenkomst. Maar ook zullen zij hun wettelijke verplichting wat betreft het "passend toewijzen" en het tegengaan van scheefwonen moeten uitvoeren. Daarvoor zijn die (inkomens)gegevens hard nodig. Dit zijn dan ook grondslagen waar corporaties een beroep op kunnen doen. Verder zullen woningcorporaties in overige gevallen een beroep kunnen doen op de noodzakelijkheid om persoonsgegevens te verwerken om hun gerechtvaardigde belangen te behartigen. De (ondubbelzinnige en expliciete) toestemming van de huurder kan ook een grondslag zijn, maar let hierbij wel op dat de toestemming net zo makkelijk ook weer ingetrokken kan worden door de huurder, waarna die gegevens niet meer verwerkt mogen worden.

Woningcorporaties wisselen gegevens uit met diverse partijen, zoals aannemers, installateurs, gemeenten en politie. Daarnaast laten zij soms ook persoonsgegevens van hun huurders en/of personeel verwerken door bijvoorbeeld leveranciers van clouddiensten en externe salarisadministrateurs. Aan welke voorwaarden deze gegevensverstrekking en verwerking is onderworpen, is afhankelijk van de vraag in welke hoedanigheid partijen optreden. Is de ontvangende partij een medeverantwoordelijke of een verwerker? Gaat het om een medeverantwoordelijke, dan moet er een grondslag zijn voor het verstrekken van de gegevens. Gaat het om een verwerker, dan moet er een verwerkersovereenkomst gesloten zijn alvorens de gegevens worden verstrekt aan de verwerker. Voor meer informatie over de verwerkersovereenkomst en wat daarin moet komen te staan, kunt u deze blog lezen.

Er is sprake van een verwerker indien een derde partij ten behoeve van de woningcorporatie persoonsgegevens gaat verwerken. Voor het verwerken van die persoonsgegevens blijft de woningcorporatie dan de verantwoordelijke. Denk bijvoorbeeld aan de externe salarisadministrateur die persoonsgegevens van werknemers verwerkt of de softwareleverancier die persoonsgegevens van huurders verwerkt in het systeem of een huurdersportaal.

Er is sprake van een (mede)verantwoordelijke indien de derde partij niet zozeer wordt ingeschakeld om persoonsgegevens ten behoeve van de woningcorporatie te verwerken, maar om een eigen taak uit te voeren. In die hoedanigheid bepaalt de (mede)verantwoordelijke zelf het doel en de middelen van de verwerking van de persoonsgegevens. Denk hier bijvoorbeeld aan de aannemer of installateur die wordt ingeschakeld om reparaties uit te voeren bij huurders. Let wel op: voor het delen van inkomensgegevens met een (mede)verantwoordelijke geldt op grond van artikel 55 van de Woningwet de geheimhoudingsplicht. Woningcorporaties zijn verplicht tot geheimhouding van de gegevens met betrekking tot het huishoudinkomen. De wet geeft hier slechts twee uitzonderingen op: 1) er is een wettelijk voorschrift dat de woningcorporatie tot mededeling verplicht, of 2) de noodzaak tot mededeling vloeit voort uit haar taak. Voor het uitwisselen van inkomensgegevens geldt op grond van de Woningwet dus een strenger regime dan uit de Wbp of AVG voortvloeit.

Andersom deelt de Belastingdienst inkomensinformatie met woningcorporaties ten behoeve van de bepaling van huurprijzen om scheefwonen tegen te gaan. Hier is in de afgelopen jaren wat ophef over geweest toen de Raad van State in 2016 oordeelde dat de Belastingdienst geen grondslag had om inkomensverklaringen af te geven aan woningcorporaties. De Belastingdienst mocht geen inkomensgegevens verstrekken zolang daar geen uitdrukkelijke en duidelijke wettelijke verplichting toe was. Daarop stapte Woonbond in 2016 naar de rechter om de inkomensafhankelijke huurverhoging vanaf 2013 terug te draaien. Niet alleen de Woonbond ondernam actie; ook de wetgever reageerde direct na de uitspraak van de Raad van State met een reparatiewet. De wetgever heeft de tekst van artikel 7:252a BW op 1 april 2016 (en vervolgens weer op 1 januari 2017) dusdanig gewijzigd dat de Rechtbank Den Haag op 10 januari jl. oordeelde dat de Belastingdienst nu inderdaad een grondslag (een wettelijke verplichting) had om inkomensgegevens met verhuurders te delen. De vorderingen van de Woonbond zijn dan ook afgewezen.

Voor het verwerken van bijzondere persoonsgegevens gelden aanvullende voorwaarden. Strafrechtelijke gegevens zijn bijzondere persoonsgegevens en kunnen dus niet zomaar worden verwerkt. Eén van de uitzonderingen (onder de Wbp) op het verbod om strafrechtelijke gegevens te verwerken is wanneer de verantwoordelijke voldoende passende en specifieke waarborgen heeft getroffen en de AP na een voorafgaand onderzoek over de rechtmatigheid heeft geoordeeld. De Stichting Woonruimteverdeling Regio Utrecht (SWRU) heeft onlangs de Autoriteit Persoonsgegevens (AP) gevraagd een oordeel te vormen over de rechtmatigheid van het verwerken van strafrechtelijke persoonsgegevens om ongewenst huurdersgedrag tegen te gaan. De grondslag waarop SWRU zich beroept om deze persoonsgegevens te mogen verwerken is het gerechtvaardigd belang van de verantwoordelijke. SWRU heeft een protocol opgesteld waarin zij haar belangen uiteenzet en waaruit blijkt met welke waarborgen de voorgenomen gegevensverwerking is bekleed. De AP heeft op 21 februari jl. een ontwerpbesluit genomen waarin de AP zegt voornemens te zijn deze verwerking te bestempelen als rechtmatig. Elementen waar de AP rekening mee houdt bij het beoordelen van de rechtmatigheid, zijn de volgende:

2. het gerechtvaardigd belang moet voldoende duidelijk zijn;
3. de verantwoordelijke moet voldoende rekenschap geven van een goede belangenafweging tussen het belang van de woningcorporaties en de inbreuk op de persoonlijke levenssfeer en de andere rechten en vrijheden van de betrokkene (afwegingen m.b.t. subsidiariteit en proportionaliteit);
4. er moeten voldoende waarborgen zijn voor de betrokkene en die moeten goed zijn vastgelegd; en
5. er moeten voldoende maatregelen worden genomen om er voor te zorgen dat alleen noodzakelijke persoonsgegevens worden verwerkt.

Binnen de kaders zoals in het protocol opgesteld, is de AP van mening dat het delen van informatie over ongewenst huurdersgedrag toegestaan is.

Binnen woningcorporaties gebeurt er veel met persoonsgegevens, maar het is niet altijd duidelijk wat de grondslagen, voorwaarden en overige kaders zijn. In aanloop naar 25 mei a.s. wanneer de AVG van toepassing wordt, is het essentieel om inzicht in de verwerkingen te hebben en daar een register van bij te houden. Wisselt u gegevens uit met andere partijen, zorg er dan voor dat u daar duidelijke afspraken over heeft gemaakt. Met verwerkers moet u een verwerkersovereenkomst aangaan, maar het is belangrijk om ook afspraken te maken met (mede)verantwoordelijken. Dit kan door privacyclausules op te nemen in uw overeenkomsten of door privacybepalingen toe te voegen aan uw inkoopvoorwaarden. Wilt u gegevens delen inzake ongewenst huurdersgedrag, dan dient u daartoe eerst voldoende waarborgen te treffen en toestemming te vragen bij de AP.

Het privacyteam van Ten Holter Noordam advocaten helpt u graag bij het opstellen/aanpassen van uw contracten. Ook voor al uw overige vragen met betrekking tot het verwerken van persoonsgegevens en/of het voldoen aan de AVG kunt u contact met ons opnemen.