Gegevensbescherming

De AVG heeft geen wijziging aangebracht op het autorisatiebesluit van de minister van Binnenlandse Zaken en Koninkrijksrelaties van 25 maart 2014, 2014-0000169853.
Het autorisatiebesluit beschrijft op welke grond de notaris gegevens mag opvragen uit de BRP. De notaris mag alleen die gegevens opvragen die noodzakelijk zijn voor het verlijden van authentieke akten als bedoeld in artikel 2 Wna. De notaris mag alleen gegevens opvragen van personen ten behoeve van wie een authentieke akte wordt verleden of opgemaakt, of van de persoon die als vertegenwoordiger optreedt voor een partij ten behoeven van wie een akte wordt verleden of opgemaakt. Ook mag hij de gegevens van een persoon opvragen wanneer dit noodzakelijk is voor het bepalen van de erfgenamen.
Daarnaast schrijft de AVG voor dat niet meer persoonsgegevens worden verwerkt dan noodzakelijk is voor het doel waarvoor ze worden verzameld (beginselen van doelbinding, minimale gegevensverwerking, opslagbeperking: zie artikel 5 AVG).
Een voorbeeld is het doen van een BRP-aanvraag 'Uitgebreid met ouders' voor een leveringsakte van een meerderjarige. Het opvragen van de ouders is daarvoor in beginsel niet nodig. De standaardinstellingen van een softwareprogramma dat deze gegevens opvraagt moeten niet op de meest uitgebreide aanvraag staan ingesteld, maar in beginsel altijd op de beperkte aanvraag tenzij uitgebreider noodzakelijk en toegestaan is (privacy by design art. 25 AVG).

Nee, tenzij de cliënten daarvoor toestemming hebben gegeven. De makelaar/adviseur is immers geen partij bij de akte. De toestemming mag niet worden verondersteld, maar moet uitdrukkelijk zijn verleend. Het is bij het verkrijgen van toestemming van belang dat de verwerkingsverantwoordelijke (de notaris) moet kunnen aantonen dat de cliënt met een duidelijke actieve handeling toestemming heeft gegeven. Toestemming kan worden verkregen door een mondelinge of schriftelijke toestemming dan wel door middel van het aanvinken van een vakje.

Een verwerkingsovereenkomst moet worden aangegaan wanneer de notaris (de 'verwerkingsverantwoordelijke') een andere partij (de 'verwerker') inschakelt om namens haar persoonsgegevens te verwerken. De Algemene Verordening Gegevensbescherming (AVG) legt deze verplichting op. De overeenkomst moet schriftelijk of elektronisch worden aangegaan (artikel 28 lid 9 AVG). Partijen leggen daarin vast op welke manier de verwerker de gegevens mag verwerken en wat de verantwoordelijkheden van beide partijen zijn.

Niet iedere organisatie met wie u gegevens deelt, is een ‘verwerker’. Er zijn situaties waarin de notaris persoonsgegevens verstrekt aan een organisatie die zelf bepaalt waarom en hoe persoonsgegevens worden verwerkt (bijvoorbeeld het Kadaster). Dan is er geen spraken van een ‘verwerkingsverantwoordelijke’ en ‘verwerkers’ relatie maar zijn beide partijen zelfstandig ‘verwerkingsverantwoordelijke’.
De notaris dient dus na te gaan of er in de specifieke situatie spraken is van ‘het inschakelen van een verwerker’. Daarvoor is het van belang om te kijken naar de wettelijke definities van ‘verwerkingsverantwoordelijke’ en ‘verwerker’ en te kijken naar de feitelijke activiteiten van de persoon of organisatie die u inschakelt.

Een verwerkingsverantwoordelijke wordt op grond van artikel 4 lid 7 AVG gedefinieerd als: ‘de natuurlijke persoon of rechtspersoon, een overheidsorgaan, een dienst of een ander orgaan die/dat, alleen of samen met anderen het doel en de middelen voor de verwerking van persoonsgegevens vaststelt’.
Een verwerker wordt op basis van artikel 4 lid 8 gedefinieerd als ‘de natuurlijke persoon, rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt’.
Deze begrippen dienen zoveel mogelijk aan de hand van Europees recht geïnterpreteerd te worden, zoals aan de hand van jurisprudentie van het Hof van Justitie en de Richtsnoeren 07/2020 over de begrippen 'verwerkingsverantwoordelijke' en 'verwerker' in de AVG | European Data Protection Board (europa.eu)

Een verwerkingsregister is een gedetailleerd overzicht waarin een organisatie alle verwerkingen van persoonsgegevens bijhoudt. Dit register is een essentieel onderdeel van goed privacy management en helpt organisaties aantonen dat ze voldoen aan de verplichtingen van de AVG. Het register is vorm vrij, maar moet volgens artikel 30 AVG de volgende informatie bevatten:

• De contactgegevens van de organisatie en, indien aangesteld, de contactgegevens van de functionaris voor gegevensbescherming (FG);
• De doeleinden van de verwerking en de bijbehorende grondslagen;
• De categorieën betrokkenen (zoals klanten of werknemers) en de soorten persoonsgegevens (zoals NAW-gegevens, e-mailadressen en IP-adressen);
• De categorieën ontvangers aan wie de persoonsgegevens worden doorgegeven (bijvoorbeeld IT-dienstverleners of salarisadministrateurs);
• Informatie over eventuele doorgiften aan derde landen;
• De beoogde bewaartermijnen, indien bekend;
• Een beschrijving van de genomen beveiligingsmaatregelen.

Nee. Het verwerkingsregister is een intern register. Wel kan de Autoriteit Persoonsgegevens het register ter inzage vragen in het kader van het toezicht op de naleving van de AVG.

De AVG eist dat cliënten worden geïnformeerd over de verwerking van hun persoonsgegevens bij de verkrijging van de persoonsgegevens (art. 12 t/m 14 AVG). Een middel om dat te doen is een privacyverklaring (zie het voorbeeld op knb.nl). Voorwaarde is wel dat de cliënt daar makkelijk kennis van kan nemen. Als deze wordt meegestuurd met de opdrachtbevestiging is daaraan voldaan. Het is ook mogelijk de privacyverklaring op de website te publiceren en daarnaar te verwijzen. Het is dan aan te raden de verklaring wel actief toe te sturen aan cliënten die niet digitaal vaardig zijn.

Nee, dat hoeft niet. Voldoende is dat u de cliënt informeert.

Nee, dat mag niet altijd.
Op grond van de Algemene Verordening Gegevensbescherming (AVG) moet er bij iedere verwerking van een persoonsgegeven getoetst worden of deze verwerking voldoet aan artikel 5 AVG en artikel 6 AVG. Eenvoudig gezegd betekent dit dat een persoonsgegeven alleen mag worden verwerkt voor rechtmatige doeleinden en alleen als het echt niet anders kan. Kortom: verwerking is uitsluitend toegestaan als u zonder deze gegevens uw doel niet kunt bereiken.

Legalisatie van een handtekening door een notaris houdt in dat de notaris op het aangeboden stuk (of op een daaraan gehecht stuk) een door de notaris gedagtekende en ondertekende verklaring stelt waarin de notaris de echtheid van de handtekening bevestigt (art. 52 lid 2 Wna). het doel is: het kunnen verklaren dat de handtekening op het document gezet is door de persoon waarvan u de identiteit heeft vastgesteld.
U moet de identiteit van de persoon vaststellen en dit moet gedaan worden aan de hand van een geldig identiteitsdocument. Het is voor de legalisatie niet noodzakelijk dat u een gewaarmerkte kopie van het identiteitsdocument meestuurt.

Nee, tenzij er naast het legaliseren van de handtekening ook opdracht wordt gegeven om aanvullende gegevens te verstrekken.
In de praktijk komt het voor dat naast de expliciete opdracht tot legalisatie van een handtekening, ook (impliciet) verzocht wordt om aanvullende gegevens te verstrekken over de cliënt aan de ontvangende notaris. Bijvoorbeeld de gegevens die noodzakelijk zijn voor het cliëntonderzoek onder de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft).
Als uw cliënt u de opdracht geeft om naast het legaliseren van de handtekening ook aanvullende informatie aan te leveren aan de ontvangende notaris, dan mag u deze gegevens verstrekken. Dan is er naast de legalisatie ook een afzonderlijk doel: het verstrekken van aanvullende informatie aan de ontvangende notaris.
Indien uit de opdracht tot legalisatie niet duidelijk blijkt of ook aanvullende informatie nodig is, dan is het raadzaam om aan de cliënt of de ontvangende notaris te vragen of dit nodig is.
Goed om te weten: de ontvangende notaris mag de informatie verwerken indien deze informatie noodzakelijk is. Het ongevraagd verstrekken van een kopie van een identiteitsbewijs kan nadelig zijn voor de ontvangende notaris als er geen grondslag en/of noodzaak is om deze gegevens te verwerken voor de ontvangende notaris. Hij wordt dan geconfronteerd met persoonsgegevens die hij niet mag verwerken en dus moet verwijderen. Dit betekent dat de ontvangende notaris de kopie moet verwijderen of (gedeeltelijk) onleesbaar moet maken.