NTFR 2022/1410 - Anbi-verplichting publicatie namen bestuurders AVG-proof?

De AVG is sinds 25 mei 2018 van toepassing en geldt in de hele Europese Unie (EU). Per die datum is dan ook de Nederlandse Wet bescherming persoonsgegevens vervallen.

De AVG biedt bescherming aan natuurlijke personen in verband met de verwerking van hun persoonsgegevens, onafhankelijk van de daarvoor gebruikte technologie. Een naam is zo’n persoonsgegeven. Onder verwerken valt het vastleggen van gegevens op een website. Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de grondrechten en fundamentele vrijheden, hebben specifieke bescherming. Persoonsgegevens moeten zodanig worden bewaard dat rekening wordt gehouden met de potentiële risico’s voor de betrokkene wat betreft zijn belangen en rechten. Ook moet worden voorkomen dat het verwerken van persoonsgegevens voor natuurlijke personen discriminerende gevolgen zou hebben op grond van ras of etnische afkomst, politieke overtuiging, godsdienst of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische of gezondheidsstatus of seksuele gerichtheid, of gevolgen zou hebben die leiden tot maatregelen met een vergelijkbaar effect. De AVG maakt hierbij geen onderscheid tussen de verschillende bijzondere gegevens. Het is dus bijvoorbeeld niet zo dat informatie over religieuze overtuigingen beter moet worden beschermd dan informatie over andere bijzondere gegevens zoals gezondheid, seksuele geaardheid of politieke overtuigingen.

Art. 9, lid 1, AVG heeft als uitgangspunt een verbod op verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken en van verwerking van gegevens over gezondheid, of van gegevens met betrekking tot iemands seksuele gedrag of seksuele gerichtheid. Het tweede lid van dit artikel bevat uitzonderingen op deze regel. Onderdeel d staat toe dat stichtingen, verenigingen of andere instanties zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig terrein of vakbondsgebied werkzaam zijn, dergelijke persoonsgegevens verwerken mits zij deze niet zonder de toestemming van de betrokkenen buiten die instelling verstrekken. Ook is verwerking toegestaan als dit noodzakelijk is om redenen van zwaarwegend algemeen belang, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd (onderdeel g).

De eerste uitzondering op de verplichting van art. 1a, lid 1 onderdeel j, jo. lid 7, onderdeel f, Uitv.reg. AWR 1994 om op de website de namen van de bestuursleden te zetten, geldt voor kerkgenootschappen. De namen van bestuurders van kerkgenootschappen en hun zelfstandige onderdelen en lichamen waarin zij zijn verenigd, hoeven niet op internet te worden geplaatst. Deze uitzondering geldt automatisch: kerkgenootschappen hoeven hier geen verzoek voor te doen. Deze uitzondering heeft de staatssecretaris van Financiën in 2013 gemotiveerd met een beroep op het op 25 mei 2018 vervallen art. 16 Wet bescherming persoonsgegevens.³ Dit artikel bepaalde dat de verwerking van persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, het lidmaatschap van een vakvereniging en strafrechtelijke persoonsgegevens verboden was. Net als in de AVG was dit verbod niet absoluut, maar waren er uitzonderingen op gemaakt.

Het verbod van art. 16 was echter reden voor de staatssecretaris om een uitzondering te maken op de verplichting om de namen van bestuurders op de website te zetten voor bestuurders van kerkgenootschappen. De staatssecretaris wees erop dat dit artikel niet toestond dat de geloofsovertuiging van enig persoon in een register wordt bijgehouden. Vermelding van de namen van bestuurders van een kerkgenootschap zou volgens de staatssecretaris feitelijk neerkomen op het opnemen van de geloofsovertuiging van die bestuurders, omdat deze in het grootste deel van de gevallen overeenkomt met de overtuiging van het kerkgenootschap. Deze analyse zal vanwege de gelijkluidende bewoordingen van art. 9 AVG niet veranderd zijn. Dit is ook af te leiden uit het feit dat na inwerkingtreding van de AVG de uitzondering voor bestuurders van kerkgenootschappen is blijven bestaan.

Het is echter de vraag of de Uitv.reg. AWR 1994 met deze beperkte uitzondering voldoet aan art. 9 AVG. Diezelfde vraag is ook meermaals gesteld over verenigbaarheid met art. 16 Wet bescherming persoonsgegevens, maar is nog prangender nu het verbod inmiddels in een EU-verordening is opgenomen.

Er zijn immers meer anbi’s dan alleen kerkgenootschappen waarbij een rechtstreekse link kan worden gelegd tussen het bestuurslidmaatschap van de anbi en een van de in art. 9 AVG genoemde persoonskenmerken. Dit begint al bij het kenmerk religie. De uitzondering geldt namelijk alleen voor bestuurders van kerkgenootschappen. Tydeman-Yousef wees er in 2013 al op dat veel geloofsgemeenschappen tegenwoordig de stichtingsvorm hebben.⁴ De rechtsvorm kerkgenootschap wordt zodanig geïdentificeerd met christelijke en joodse geloofsstromingen dat gelovigen van andere geloofsstromingen, zoals moslims en hindoes, de voorkeur geven aan de als neutraal ervaren rechtsvorm ‘stichting’. Tydeman-Yousef constateert dat er geen objectieve rechtvaardiging is voor een verschil in behandeling tussen een bestuurder van bijvoorbeeld een christelijk kerkgenootschap en van een moskeestichting. In beide gevallen kan op dezelfde wijze uit het bestuurslidmaatschap de religieuze overtuiging van de bestuurder worden afgeleid. Als publiceren van de naam van een bestuurder van een kerkgenootschap in strijd komt met de AVG, geldt dat dus evenzeer voor de bestuurder van een stichting van een andere religieuze denominatie.

Art. 9 AVG beperkt zich, net als eerder art. 16 Wet bescherming persoonsgegevens, echter niet tot religieuze overtuigingen. Bestuursleden van politieke partijen, patiëntenverenigingen en bijvoorbeeld LBGTQ-belangenverenigingen⁵ worden door opname van hun naam op de website ook direct gelinkt aan de desbetreffende politieke opvatting, ziekte of seksuele gerichtheid. Dit geldt te meer nu vindbaarheid van dergelijke gegevens op internet, die met een google search eenvoudig te achterhalen zijn, een privacy-inbreuk kan vormen met verstrekkender gevolgen dan bijvoorbeeld een bekendmaking van iemands lidmaatschap van een kerkgenootschap.

Gezondheid is bijvoorbeeld een persoonskenmerk waar bij een sollicitatie niets over gevraagd mag worden. Het is echter gebruikelijk dat werkgevers potentiële werknemers googelen. Als uit zo’n search komt dat iemand bijvoorbeeld bestuurslid is van een patiëntenvereniging voor een ziekte als hiv, multiple sclerosis of COPD, kan dat een reden zijn voor een werkgever om uit angst voor de doorbetalingsverplichting bij ziekteverzuim deze werknemer niet aan te nemen. Dat geldt eveneens voor bestuurders van bijvoorbeeld verenigingen van psychiatrische patiënten, burn-outlotgenotenverenigingen en traumagroepen. Ook bij het aangaan van een nieuwe affectieve relatie kan dit problemen opleveren.

Probleem is bovendien dat het internet niets vergeet. Iemand die in zijn jeugdjaren lid is geweest van een radicale politieke partij, kan veertig jaar later, als hij misschien compleet van gedachten is veranderd, daar nog aan worden gelinkt. Dit kan ook worden gebruikt om reputaties te beschadigen.

Google searches kunnen eveneens leiden tot discriminatie op grond van seksuele geaardheid die eenvoudig kan worden afgeleid uit een bestuurslidmaatschap van een belangenvereniging voor homoseksuelen. Het kan sommige personen ervan weerhouden om lid te worden van een dergelijk bestuur. Voor personen die regelmatig naar landen moeten reizen waar bepaalde seksuele geaardheden nog bij wet verboden zijn, kan de publicatie bovendien gevaarlijk zijn.

Het tot bestuurders van kerkgenootschappen beperken van de uitzondering om namen van bestuursleden op internet te publiceren is daarom naar mijn mening niet AVG-proof.

De tweede uitzondering geldt voor de namen van bestuurders waarvoor de inspecteur op verzoek van de instelling ontheffing verleent omdat is aangetoond dat publicatie van deze namen een reëel gevaar oplevert voor de persoonlijke veiligheid van deze bestuurders of van hun familieleden. Die uitzondering legt dus een zware bewijslast op de anbi, nu het niet gaat om aannemelijk maken, maar om het zwaardere aantonen. Waar bestuurders van kerkgenootschappen automatisch van de publicatieverplichting zijn ontheven, hebben bestuurders van andere anbi’s dus een zware bewijslast. Deze bepaling kan daarom niet worden gezien als een equivalent voor andere anbi’s van de uitzondering voor bestuurders van kerkgenootschappen. Dit komt niet alleen door het verplichte verzoek en de bewijslast, maar ook doordat ‘reëel gevaar voor de persoonlijke veiligheid’ tamelijk restrictief is.

Ten eerste zal het mislopen van een baan, een nieuwe liefde of het in latere jaren lopen van risico op reputatieschade niet snel als ‘een reëel gevaar voor de persoonlijke veiligheid‘ worden beschouwd. De bescherming ten aanzien van die persoonsgegevens is dus veel beperkter dan die voor bestuurders van kerkgenootschappen ten aanzien van hun religieuze overtuiging.

De staatssecretaris heeft bij deze uitzondering vooral aan vermogensfondsen gedacht. Tydeman-Yousef bepleit naar mijn mening terecht een ruimere toepassing.⁶ In onze gepolariseerde samenleving hebben bedreigingen niet louter financiële motieven, maar ook ideologische motieven, zoals uit bedreigingen aan het adres van politici, artsen en burgemeesters blijkt.

Een belangrijke vraag is hoe moet worden aangetoond dat het gevaar reëel is. Eerenstein lijkt het nogal moeilijk om aan te tonen dat de publicatie een reëel gevaar oplevert, omdat men dat pas weet na publicatie.⁷ Haar lijkt deze uitzondering daarom een dode letter. Deze interpretatie lijkt mij echter te streng. Het lijkt onwaarschijnlijk dat pas als iemand na publicatie wat is aangedaan, aan het criterium is voldaan. Het gaat hier om een risico-inschatting van de gevolgen van publicatie die aangetoond moeten worden; er hoeven niet daadwerkelijk eerst slachtoffers te vallen. Ook met die nuancering is dit echter een zware bewijslast.

Voor zover mij bekend zijn hierover nog geen procedures gevoerd. Wel liggen inmiddels de gecombineerde zaken SOVIM en WM bij het HvJ.⁸ SOVIM is onder meer van mening dat het openbare Ultimate Beneficial Owner (UBO)-register in strijd is met de AVG. Meer specifiek wijst zij op het risico van ontvoering voor losgeld in Oost-Afrika, waar haar UBO en diens gezin reizen en verblijven. WM, die voor zijn werk vaak naar landen met instabiele regimes en veel criminaliteit moet reizen, is van mening dat hij en zijn gezin door het openbare UBO-register een disproportioneel risico lopen op – onder meer – fraude, ontvoering, inbeslagneming, chantage, geweld en intimidatie. De Luxemburgse handelsregisters vonden echter dat het algemeen bekend was wat zijn positie was, uit de media en via een google search, een argument waar A-G Pitruzzella zich in kon vinden⁹ en dat bij de anbi-verplichting niet altijd op zal gaan. De Luxemburgse rechter heeft onder meer¹⁰ prejudiciële vragen gesteld over de interpretatie van art. 1, lid 15, onderdeel g, Richtlijn 2018/843 (ook wel de vijfde antiwitwasrichtlijn genoemd ofwel AMLD5).¹¹ Dit betrof een wijziging van art. 30, lid 9, Richtlijn 2015/849 (AMLD4) over de beperking van de publieke toegankelijkheid van het UBO-register. Dit artikel bepaalt dat in uitzonderlijke, in nationaal recht vast te stellen omstandigheden, de lidstaten moeten voorzien in een uitzondering op de publieke toegang tot het UBO-register als dit de UBO blootstelt aan een onevenredig risico, een risico op fraude, ontvoering, chantage, afpersing, pesterijen, geweld of intimidatie. Deze uitzonderingen mogen de lidstaten alleen verlenen na een gedetailleerde beoordeling van de uitzonderlijke aard van de omstandigheden. De Luxemburgse rechter wil weten of slechts sprake is van de in dit artikel vermelde uitzonderlijke omstandigheden indien wordt bewezen dat de specifieke persoon van de uiteindelijk begunstigde daadwerkelijk zo’n onevenredig risico loopt, waarbij dit risico uitzonderlijk, daadwerkelijk, gekwalificeerd, reëel en actueel is, en als dat zo is, of dat dan rechtsgeldig is in het licht van het in art. 7 Handvest van de grondrechten van de Europese Unie verzekerde recht op eerbiediging van het privé-, familie- en gezinsleven en in het licht van het in art. 8 Handvest verzekerde recht op bescherming van persoonsgegevens. Het antwoord op deze vraag kan ook licht werpen op de beperking in de Nederlandse Uitv.reg. AWR 1994.

A-G Pitruzella spreekt in zijn opinie bij de gecombineerde zaken SOVIM en WM over toenemende conflicten tussen de vertrouwelijkheid van het privéleven en de bescherming van persoonsgegevens enerzijds en de behoefte aan transparantie wat betreft de activiteiten van de openbare macht anderzijds, wat delicate operaties met een evenwichtige weging vereist.¹² Hij wijst erop dat de voor de openbare sector typerende transparantie onder bepaalde voorwaarden betrekking kan hebben op bepaalde activiteiten – en de daarmee verband houdende gegevens – van privépersonen die om verschillende redenen de fundamentele belangen van de gemeenschap in het gedrang brengen. Hij kenschetst transparantie als middel om doelstellingen van algemeen belang te verwezenlijken. De vraag van constitutionele aard die hij ziet, betreft de manier waarop de vereisten van transparantie kunnen worden verzoend met de bescherming van grondrechten, en in het bijzonder de rechten op de bescherming van de persoonlijke levenssfeer en de bescherming van persoonsgegevens.¹³ Voor het openbare UBO-register zelf concludeert de advocaat-generaal dat dit het recht op de bescherming van persoonsgegevens geen geweld aandoet, nu het slechts beperkte informatie geeft over iemands vermogen en niet over het privéleven.¹⁴ Gegevens over uiteindelijk gerechtigden lijken naar zijn mening minder gevoelig dan bepaalde andere categorieën persoonsgegevens, waarbij hij in voetnoot 58 verwijst naar de specifieke regels van art. 9 AVG over bijzondere persoonsgegevens. De verplichting om namen van anbi-bestuurders op internet te publiceren, betreft juist die bijzondere persoonsgegevens. Het lijkt erop dat de advocaat-generaal de weging daarvoor anders zou kunnen laten uitvallen.

Wat betreft de invulling van het ‘onevenredige risico’ merkt de advocaat-generaal op dat de beschermingsplicht van de lidstaten niet uitsluitend beperkt is tot de onevenredige risico’s in de zeven risicohypothesen die uitdrukkelijk in dat art. 30, lid 9 zijn gespecificeerd, maar dat dit de onevenredige risico’s van schending van alle grondrechten dekt.¹⁵ Omdat het hier, anders dan bij de nationaalrechtelijke anbi-verplichting, uitlegging van Unirecht betreft, verwijst de advocaat-generaal naar het Europese Handvest. Voor de anbi-verplichting speelt dat niet, maar deze moet wel in overeenstemming zijn met de in de AVG vastgelegde rechten.

De advocaat-generaal maakt duidelijk dat de bewijslast op de desbetreffende persoon rust, hij moet het bestaan van uitzonderlijke omstandigheden met een voldoende mate van waarschijnlijkheid aantonen.¹⁶ De loutere aanwezigheid van een gering of hypothetisch risico op schade is niet voldoende, volgens de advocaat-generaal. Evenmin mag de perceptie van het onevenredige risico subjectief zijn, maar deze moet zijn gebaseerd op concrete, reële en actuele objectieve elementen. Daartoe moet de uiteindelijk gerechtigde concrete, nauwkeurige en substantiële aanwijzingen geven over de dreigende inbreuk op zijn grondrechten en de uitzonderlijke omstandigheden. De beschermende werking die de advocaat-generaal aan deze bepaling toekent, lijkt dus, net als bij de Nederlandse interpretatie van de uitzondering op de anbi-verplichting, tamelijk beperkt. De advocaat-generaal kent meer belang toe aan de bescherming die het Handvest en ook de AVG biedt. De Nederlandse anbi-regelgever kent die AVG-bescherming echter alleen toe aan kerkgenootschappen, hetgeen naar mijn mening ten onrechte is. De opinie van de advocaat-generaal biedt ook voeding aan die opvatting. Het arrest van het HvJ in deze gecombineerde zaken wordt medio 2022 verwacht.¹⁷

Ook het hoger beroep in het kort geding dat Privacy First had aangespannen tegen de Staat der Nederlanden inzake onder meer de openbaarheid van het UBO-register biedt aanknopingspunten over hoe een rechter tegen de anbi-verplichting aan zou kunnen kijken.¹⁸ Hof Den Haag ontwaarde drie categorieën van mogelijke schade die UBO’s volgens Privacy First zouden kunnen ondervinden van de openbaarmaking van hun UBO-schap (r.o. 3.8): i) de dreiging van inbraken en ontvoeringen (het Quote 500-effect), ii) problemen als pestgedrag waarmee kinderen van familiebedrijven als (toekomstige) UBO’s te maken kunnen krijgen en iii) het verlies van een normaal/ongestoord leven doordat bijvoorbeeld anderen de UBO om geld gaan vragen. Die eerste categorie lijkt op de reëelgevaardreiging uit de Uitv.reg. AWR 1994.

De Staat voerde het verweer dat adresinformatie niet openbaar toegankelijk is, een verweer dat ook ter zake van de Uitv.reg. AWR 1994 zou kunnen worden gevoerd. Volgens het hof vormt dit weliswaar een zekere drempel voor schadetoebrengend gedrag, maar meestal niet voor degenen die fraude, ontvoering, chantage, afpersing, geweld, pesterijen of intimidatie voor ogen hebben. Zij zullen volgens het hof het adres vaak wel uit andere bron weten te achterhalen. Voor die situatie is volgens het hof echter de – op art. 30, lid 9, AMLD5 terug te voeren – afschermingsgrond van art. 51b, lid 2, Handelsregisterbesluit 2008 (Hrb) bedoeld: afscherming van ook de ‘basisgegevens’ is mogelijk wanneer de UBO een persoon betreft over wiens veiligheid de politie op grond van de Politiewet waakt, zoals een persoon die blootgesteld wordt of dreigt te worden aan de zojuist genoemde criminele of anderszins ontwrichtende activiteiten (r.o. 3.10). Bij de categorieën (ii) en (iii) ging het volgens het hof – afgezien van stelselmatige/ernstige pesterijen – veeleer om hinderlijk gedrag waarbij ernstige schade niet is te verwachten (r.o. 3.11). Het hof zag geen reden om in afwachting van de uitspraak in de SOVIM-zaak maatregelen te nemen. In haar aantekening bij deze uitspraak merkte de redactie van Vakstudie Nieuws op dat omdat sprake moet zijn van een concrete dreiging, afscherming in het UBO-register feitelijk pas mogelijk is als het kwaad al is geschied.¹⁹ Bij de Uitv.reg. AWR 1994 lijkt de drempel voor uitzondering op de publicatieplicht een vergelijkbare hoogte te hebben. De uitkomst van de SOVIM-zaak is daarom ook interessant voor de Uitv.reg. AWR 1994.

Van belang is ook dat in het kader van de openbaarheid van adressen in het register van de Kamer van Koophandel (KVK) van ondernemers die vanuit huis werken, de minister van Economische Zaken, Micky Adriaansens, een kantelpunt in de samenleving zag waarbij dat wat van oudsher altijd heel vanzelfsprekend was, nu begint te wringen.²⁰ Zij vond dat bekeken moest worden of onze systemen nog passen bij deze tijd en de risico’s die spelen. In dit kader is het de bedoeling om de wet zo te wijzigen dat per 1 juli de vestigingsadressen van hele beroepsgroepen, zoals advocaten en journalisten, kunnen worden afgeschermd.²¹ Nu is het nog zo dat het dossier van een ondernemer in het Handelsregister geblokkeerd wordt als diegene zich meldt wegens bedreigingen. Dan is het vaak al te laat en gaat zo’n adres soms allang rond op het internet. Bovendien is het een tijdelijke noodmaatregel. De melder krijgt ongeveer een maand om bewijs te verzamelen voor de noodzaak tot afscherming. Als bewijs geldt bijvoorbeeld een aangifte van bedreiging. Deze bewijslast zou dus voor sommige beroepsbeoefenaren worden verlicht, omdat ze dan alleen nog maar tot een bepaalde beroepsgroep hoeven te horen om te worden afgeschermd.

Deze ontwikkeling volgt duidelijk uit de huidige tijdgeest. Het is belangrijk dat de anbi-regeling daar niet bij achterloopt.

De AVG geeft geen aanleiding om bestuurders van kerkgenootschappen ten aanzien van de mogelijkheid om hun naam niet op internet te publiceren anders te behandelen dan bestuurders van andere anbi’s waarbij publicatie van de naam op internet in strijd zou komen met de bescherming van bijzondere persoonsgegevens in de AVG. De AVG ziet religie immers niet als een meer beschermd bijzonder persoonsgegeven dan andere bijzondere persoonsgegevens. De voor alle anbi’s geldende uitzondering bij een dreiging van reëel gevaar biedt geen oplossing, nu deze uitzondering zeer restrictief uitgelegd wordt. Mogelijk brengt het HvJ-arrest SOVIM hier enige verandering in aan, maar zelfs als dat zo is, is er nog steeds geen sprake van de AVG-bescherming zoals die geldt voor bestuurders van kerkgenootschappen.

De regeling in de Uitv.reg. AWR 1994 verdient dus heroverweging. Het gaat hierbij vooral om de verplichting om de namen te publiceren. De meeste anbi’s en hun bestuurders zullen vermoedelijk geen probleem met publicatie hebben en dit ook doen als ze daartoe niet door de anbi-regelgeving worden verplicht. Voor een kleine groep anbi’s en hun bestuurders is het echter onevenredig bezwaarlijk. Hun belangen en AVG-rechten moeten worden afgewogen tegen het algemene belang van transparantie tegenover het algemene publiek.

Voor de belastingheffing is deze eis niet nodig, want de Belastingdienst kan dergelijke informatie gewoon opvragen. De enige reden voor deze eis is donateurstransparantie. Een donateur, maatschappelijke organisatie of journalist die wil weten wie de bestuurders van een anbi zijn, kan hiervoor echter een uittreksel uit het Handelsregister opvragen bij de Kamer van Koophandel. Dat vereist een specifieke zoekvraag in plaats van een ‘fishing expedition’ en biedt daarom betere waarborgen. Zelfs het UBO-register is minder vergaand, omdat ook daarvoor geldt dat het niet vrij doorzoekbaar is, maar er een concrete zoekvraag naar een instelling moet worden gedaan. Bovendien wordt vastgelegd wie zoekvragen hebben gedaan. Dat is een groot verschil met de Uitv.reg. AWR 1994-situatie, waarin een algemene google search op een persoonsnaam tot het eind der tijden informatie oplevert die iemand misschien (achteraf gezien) liever niet op straat wil hebben liggen. Naar mijn mening is dit anbi-vereiste daarom niet proportioneel in relatie tot het algemene belang dat het moet dienen. Bij het AVG-proof maken van de fiscale regelgeving mag dit anbi-vereiste daarom niet ontbreken.