AVG en incasso: wat mag er met persoonsgegevens van debiteuren?

Mag je persoonsgegevens doorgeven aan een incassobureau?

Ja. Het doorgeven van persoonsgegevens van een debiteur aan een incassobureau is in de meeste gevallen rechtmatig — maar je moet wel kunnen aantonen op welke juridische grondslag je dat doet.

Onder de AVG is het verwerken van persoonsgegevens alleen toegestaan als er een geldige verwerkingsgrondslag is. Voor incasso is de meest relevante grondslag: gerechtvaardigde belangen (artikel 6 lid 1 sub f AVG).

Het innen van een openstaande, rechtsgeldige vordering is een gerechtvaardigd belang van de schuldeiser. Dat belang weegt in de meeste gevallen zwaarder dan het privacybelang van de debiteur — zeker als de debiteur zijn contractuele verplichtingen niet nakomt. De AVG is niet bedoeld als instrument om schulden te ontlopen.

De drie grondslagen die relevant zijn bij incasso

1. Uitvoering van de overeenkomst (artikel 6 lid 1 sub b)

Je hebt met de debiteur een overeenkomst gesloten — een koopovereenkomst, dienstenovereenkomst of opdracht. De verwerking van zijn persoonsgegevens is noodzakelijk voor de uitvoering van die overeenkomst, inclusief de nakoming van de betalingsverplichting. Dit is de grondslag voor het bijhouden van de factuur, de correspondentie en het debiteurenoverzicht.

2. Gerechtvaardigde belangen (artikel 6 lid 1 sub f)

Het doorgeven van persoonsgegevens aan een incassobureau valt in de meeste gevallen onder gerechtvaardigde belangen. Jij hebt een belang bij het innen van een rechtsgeldige vordering. Dat belang is gerechtvaardigd zolang de vordering op een rechtsgeldige overeenkomst is gebaseerd en de gegevensverwerking proportioneel is — dat wil zeggen: niet meer gegevens dan nodig voor het doel.

3. Wettelijke verplichting (artikel 6 lid 1 sub c)

In sommige gevallen ben je wettelijk verplicht persoonsgegevens te bewaren — denk aan de fiscale bewaarplicht voor facturen en administratie. Die verplichting overstijgt een verwijderverzoek van de debiteur.

Welke gegevens mag je doorgeven aan GeldGarant?

Je mag alleen de persoonsgegevens doorgeven die nodig zijn voor het uitvoeren van het incassotraject. Dat is het beginsel van dataminimalisatie: niet meer dan noodzakelijk.

Gegevens die je mag en moet doorgeven

• Naam en adresgegevens van de debiteur

• Contactgegevens: e-mailadres en telefoonnummer

• Geboortedatum (bij particulieren, voor identificatie)

• De openstaande factuur(en) met bedragen en vervaldatums

• De opdracht of overeenkomst die aan de vordering ten grondslag ligt

• Eerder gevoerde correspondentie over de vordering

• Betalingshistorie (eerder gedane en gemiste betalingen)

Gegevens die je niet zomaar mag doorgeven

• Bijzondere persoonsgegevens zoals gezondheidsgegevens, geloofsovertuiging of politieke opvattingen — tenzij direct relevant voor de vordering

• Gegevens van derden die niets met de vordering te maken hebben

• Meer informatie over de financiële situatie van de debiteur dan nodig is voor de inning

GeldGarant verwerkt uitsluitend de gegevens die noodzakelijk zijn voor het uitvoeren van de incasso-opdracht. We delen geen gegevens met derden buiten het incassotraject.

Verwerkersovereenkomst: verplicht of niet?

Als je een incassobureau inschakelt, verwerk je als opdrachtgever samen met het bureau persoonsgegevens van debiteuren. De vraag is dan: is het bureau een verwerker of een zelfstandige verwerkingsverantwoordelijke?

In de incassocontext geldt dat een incassobureau doorgaans optreedt als zelfstandige verwerkingsverantwoordelijke — het bureau bepaalt zelf hoe het de gegevens verwerkt in het kader van zijn eigen dienstverlening. Dat betekent dat er in de strikte zin geen verwerkersovereenkomst verplicht is.

Toch zijn er situaties waarbij een verwerkersovereenkomst verstandig of zelfs vereist is — met name als het bureau uitsluitend in naam van en conform de instructies van de opdrachtgever handelt, zoals bij bepaalde vormen van debiteurenbeheer waarbij de communicatie volledig in naam van de opdrachtgever plaatsvindt.

GeldGarant stelt op verzoek een verwerkersovereenkomst beschikbaar. We informeren je proactief over de meest passende juridische inrichting voor jouw situatie.

Rechten van de debiteur onder de AVG

Een debiteur heeft onder de AVG diverse rechten ten aanzien van zijn persoonsgegevens. Het is belangrijk dat je als opdrachtgever weet wat die rechten inhouden en hoe je ermee omgaat — want jij bent in eerste instantie verantwoordelijk als de verwerkingsverantwoordelijke.

Recht op inzage (artikel 15 AVG)

De debiteur mag vragen welke persoonsgegevens jij van hem verwerkt, voor welk doel en aan wie ze zijn doorgegeven. Je bent in principe verplicht dit verzoek binnen één maand te beantwoorden.

Praktisch: als een debiteur een inzageverzoek doet, geef je hem een overzicht van de gegevens die je van hem hebt in het kader van de vordering. Je hoeft geen vertrouwelijke bedrijfsinformatie te verstrekken, maar de basisgegevens zijn opvraagbaar.

Recht op correctie (artikel 16 AVG)

Is er een fout in de gegevens die jij over de debiteur verwerkt? Dan kan hij vragen om correctie. Denk aan een verkeerd adres of een onjuist bedrag. Legitieme correctieverzoeken moet je opvolgen.

Recht op verwijdering (artikel 17 AVG)

De debiteur kan vragen om verwijdering van zijn gegevens — het 'recht om vergeten te worden'. Maar dit recht is niet absoluut. Je hoeft gegevens niet te verwijderen als je een wettelijke verplichting hebt om ze te bewaren (zoals de fiscale bewaarplicht) of als de verwerking noodzakelijk is voor de uitoefening of onderbouwing van een rechtsvordering.

Concreet: zolang een vordering openstaat of een juridische procedure loopt, hoef je de gegevens niet te verwijderen. Na afronding van het dossier gelden de normale bewaartermijnen.

Recht van bezwaar (artikel 21 AVG)

Een debiteur kan bezwaar maken tegen de verwerking van zijn gegevens op grond van gerechtvaardigde belangen. Jij moet dan aantonen dat jouw gerechtvaardigde belang bij de inning zwaarder weegt dan zijn privacybelang. Bij een legitieme vordering is dat vrijwel altijd het geval.

Een bezwaar is geen reden om het incassotraject te stoppen. Het is een formeel verzoek dat je serieus moet nemen en waarop je schriftelijk moet reageren, maar het heft de betalingsverplichting niet op.

Privacy als verweer: hoe ga je ermee om?

In de praktijk zien we dat sommige debiteuren privacy als verweer gebruiken om het incassotraject te vertragen of te ontmoedigen. Ze sturen een AVG-verzoek of dreigen met een klacht bij de Autoriteit Persoonsgegevens, in de hoop dat jij terugschrikt.

De juiste aanpak:

• Neem elk verzoek serieus en reageer schriftelijk en tijdig — je bent wettelijk verplicht

• Leg duidelijk uit op welke grondslag je de gegevens verwerkt en waarom dat gerechtvaardigd is

• Zet het incassotraject onverminderd voort — een AVG-verzoek heft de betalingsverplichting niet op

• Documenteer je reacties op AVG-verzoeken — dat beschermt je bij een eventuele klacht bij de AP

GeldGarant beantwoordt AVG-verzoeken die betrekking hebben op door ons verwerkte gegevens. We houden jou als opdrachtgever op de hoogte en zorgen dat onze reacties compliant zijn.

Bewaartermijnen: hoe lang bewaar je gegevens van debiteuren?

Na afronding van een incassodossier gelden wettelijke en praktische bewaartermijnen voor de gegevens.

• Fiscale bewaarplicht: facturen, administratie en overeenkomsten moeten 7 jaar worden bewaard (10 jaar voor onroerende zaken)

• Correspondentie en dossiergegevens: in de meeste gevallen 5 tot 7 jaar na afsluiting van het dossier, afhankelijk van de toepasselijke verjaringstermijn

• Gegevens die niet meer noodzakelijk zijn na afsluiting: verwijderen conform jouw privacybeleid

GeldGarant hanteert interne bewaartermijnen die aansluiten bij de wettelijke vereisten en verwijdert gegevens na afloop van de relevante termijn automatisch. Dit is vastgelegd in ons privacybeleid dat op onze website beschikbaar is.

Jouw verplichtingen als opdrachtgever

Als je een incassobureau inschakelt, blijf jij als verwerkingsverantwoordelijke verantwoordelijk voor de rechtmatigheid van de gegevensoverdracht. Dat betekent concreet:

• Zorg dat je een geldige grondslag hebt voor het doorgeven van de gegevens — bij een rechtsgeldige vordering is dat doorgaans gerechtvaardigde belangen

• Geef alleen de gegevens door die nodig zijn voor het incassotraject — niet meer

• Informeer de debiteur in jouw privacyverklaring dat persoonsgegevens kunnen worden doorgegeven aan een incassobureau als hij zijn betalingsverplichting niet nakomt

• Reageer tijdig en correct op AVG-verzoeken van debiteuren

• Werk uitsluitend samen met een incassobureau dat zelf AVG-compliant is

GeldGarant is volledig AVG-compliant en verwerkt gegevens uitsluitend conform de geldende privacywetgeving. We informeren je proactief als er AVG-gerelateerde vragen of verzoeken binnenkomen in jouw dossier.

Veelgestelde vragen

Mag een debiteur het incassotraject stoppen met een AVG-verzoek?

Nee. Een AVG-verzoek — of dat nu een inzageverzoek, correctieverzoek of verwijderverzoek is — heft de betalingsverplichting niet op. Het zijn twee volledig aparte rechtsverhoudingen. Je behandelt het AVG-verzoek netjes en tijdig, maar het incassotraject gaat gewoon door.

Moet ik de debiteur vooraf informeren dat ik zijn gegevens doorgeef aan een incassobureau?

In principe moet dit zijn opgenomen in jouw privacyverklaring, zodat de debiteur bij het aangaan van de overeenkomst al weet dat gegevens bij wanbetaling kunnen worden doorgegeven aan een derde partij voor inning. Afzonderlijk informeren op het moment van overdracht is niet verplicht maar kan de transparantie vergroten.

Wat als een debiteur een klacht indient bij de Autoriteit Persoonsgegevens?

De AP beoordeelt dan of jouw gegevensverwerking rechtmatig was. Als jij kunt aantonen dat je een geldige grondslag had, gegevens proportioneel hebt verwerkt en tijdig op verzoeken hebt gereageerd, is de kans op een sanctie klein. GeldGarant helpt je bij het documenteren van de verwerking als een AP-onderzoek dreigt.

Kan ik het BSN-nummer van de debiteur doorgeven aan GeldGarant?

Nee. Het BSN-nummer is een bijzonder persoonsgegeven dat alleen in specifieke, wettelijk bepaalde situaties mag worden verwerkt. Incassobureaus mogen het BSN in de meeste gevallen niet verwerken. GeldGarant vraagt hier nooit om.

Hoe lang bewaard GeldGarant mijn dossiergegevens?

GeldGarant bewaart dossiergegevens conform de wettelijke bewaartermijnen — minimaal 7 jaar voor fiscaal relevante administratie. Na het verstrijken van de relevante termijn worden gegevens verwijderd of geanonimiseerd conform ons privacybeleid.