ECLI:NL:RBMNE:2021:1865

RECHTBANK MIDDEN-NEDERLAND Zittingsplaats Utrecht Bestuursrecht zaaknummers: UTR 20/3537 en UTR 20/3811 uitspraak van de enkelvoudige kamer van 4 mei 2021 in de zaak tussen [eiser] , voor zijn minderjarige kind [minderjarige], beiden uit [woonplaats] , eiser en de Raad van bestuur van de Sociale Verzekeringsbank, verweerder (gemachtigde: mr. C. Vooijs). Inleiding 1. In 2016 is de dochter van eiser geboren. In datzelfde jaar heeft de Sociale Verzekeringsbank (SVB) haar persoonsgegevens aan de Belastingdienst/Toeslagen verstrekt, met een zogenoemd startbericht. Dat is een digitale melding waarin staat dat voor een kind vanaf een bepaalde datum recht op kinderbijslag bestaat. In het startbericht staan het burgerservicenummer, de geboortedatum en het woonland van het kind. Deze zaak gaat over de vraag of de SVB dat mocht doen, of de SVB het startbericht uit haar systeem moet verwijderen en of de SVB een schadevergoeding moet betalen. 2. Eiser heeft eerdere procedures gevoerd bij de SVB, de rechtbank en de Afdeling bestuursrechtspraak van de Raad van State (ABRvS) over de vraag hoe het verstrekken van het startbericht aan de Belastingdienst/Toeslagen zich verhoudt tot de (inmiddels ingetrokken) Wet bescherming persoonsgegevens (Wbp) en de Algemene Verordening Gegevensbescherming (AVG). Uit de uitspraak van de ABRvS van 6 juni 2018 volgt dat inmiddels onbestreden was dat de SVB op verzoek van eiser heeft toegelicht welke gegevens van zijn dochter aan de Belastingdienst/Toeslagen zijn verstrekt en dat de SVB daarmee heeft voldaan aan haar verplichting op grond van artikel 35 van de Wpb. In de uitspraak van de ABRvS van 4 maart 2020 is geoordeeld dat de AVG geen grondslag biedt voor de SVB om de Belastingdienst/Toeslagen op te dragen om de met het startbericht verstrekte gegevens te verwijderen. 3. In de beroepsprocedure bij de rechtbank die tot de laatstgenoemde uitspraak van de ABRvS heeft geleid, heeft eiser de SVB verzocht om het startbericht uit haar systeem te verwijderen. Dat verzoek heeft eiser herhaald in een bericht aan de SVB van 10 februari 2019. Met het besluit van 1 april 2019 heeft de SVB dit verzoek afgewezen. Met het besluit van 14 augustus 2020 heeft de SVB het daartegen door eiser gemaakte bezwaar ongegrond verklaard. Eiser heeft tegen dat besluit beroep ingesteld (zaaknummer UTR 20/3537). De SVB heeft een verweerschrift ingediend. 4. Op 10 januari 2021 heeft eiser de rechtbank verzocht de SVB te veroordelen tot het vergoeden van schade die is geleden door het verstrekken van het startbericht aan de Belastingdienst/Toeslagen (zaaknummer UTR 20/3811). De SVB heeft een verweerschrift ingediend. 5. Het beroep en het verzoek om schadevergoeding zijn behandeld op de online zitting van 23 maart 2021, waarbij eiser en de gemachtigde van de SVB aanwezig waren. 6. De rechtbank komt in deze zaak tot het oordeel dat de SVB een onrechtmatige inbreuk heeft gemaakt op de privacy van de dochter van eiser, door haar persoonsgegevens aan de Belastingdienst/Toeslagen te verstrekken. Het verstrekken van startberichten met de persoonsgegevens van alle kinderen met recht op kinderbijslag is niet evenredig in verhouding tot de uitvoering van de wetgeving over het kindgebonden budget, terwijl dat doel in redelijkheid op een andere manier kan worden verwezenlijkt die minder nadelig is voor (de ouders van) deze kinderen. De SVB hoeft aan eiser geen schadevergoeding te betalen, omdat eiser niet aannemelijk heeft gemaakt dat zijn dochter daadwerkelijk in haar persoon is aangetast door de privacyinbreuk. De SVB hoeft de gegevens uit het startbericht ook niet te wissen, omdat die nog nodig zijn voor de kinderbijslag. 7. Hierna volgen de overwegingen die aan deze oordelen ten grondslag liggen. 34. Nu is vastgesteld dat de verstrekking van het startbericht onrechtmatig was, moet worden beoordeeld of hierdoor immateriële schade is ontstaan en of die voor vergoeding in aanmerking komt. Voor deze beoordeling wordt aansluiting gezocht bij het civiele schadevergoedingsrecht over artikel 6:106 van het Burgerlijk Wetboek. In de hiervoor aangehaalde uitspraken van de ABRvS van 1 april 2020 is geoordeeld dat bij de toepassing van dit nationale recht wordt voldaan aan de eisen van de AVG en aan de schadevergoedingsrechtspraak van het Hof van Justitie van de Europese Unie. 35. Op grond van artikel 6:106 van het Burgerlijk Wetboek bestaat ten aanzien van immateriële schade recht op een naar billijkheid vast te stellen schadevergoeding, als de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast. Van lichamelijk letsel of van het schaden van de eer of goede naam is in deze zaak geen sprake, zodat de beoordeling zich verder toespitst op de genoemde aantasting in persoon ‘op andere wijze’. Als – zoals in dit geval – het bestaan van geestelijk letsel niet kan worden aangenomen, moet degene die zich op de aantasting beroept dat met concrete gegevens onderbouwen. Dat is alleen anders als de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Van een aantasting in de persoon ‘op andere wijze’ is niet al sprake bij de enkele schending van een fundamenteel recht. De rechtbank verwijst naar de rechtspraak van de Hoge Raad hierover. In dit geval is schade niet gebleken 36. De aard en de ernst van de privacyinbreuk zijn in dit geval niet zodanig dat de nadelige gevolgen zo voor de hand liggen dat een aantasting in de persoon kan worden aangenomen. Het uitgangspunt is dan dus dat eiser moet bewijzen dat zijn dochter in haar persoon is aangetast en dat hij de geleden schade met concrete gegevens moet onderbouwen. De rechtbank oordeelt dat eiser daarin niet is geslaagd. Op de zitting heeft hij erop gewezen dat de met het startbericht verstrekte persoonsgegevens digitaal heel lang kunnen blijven bestaan en dat dit schadelijk kan zijn voor zijn dochter. Eiser heeft op deze manier slechts in algemene bewoordingen gesteld dat schade is geleden en heeft dat niet kunnen concretiseren. Hij heeft dan ook niet aannemelijk gemaakt dat het verstrekken van de persoonsgegevens van zijn dochter aan de Belastingdienst/Toeslagen heeft geleid tot de aantasting van haar persoon en dat de gevolgen van de inbreuk haar rechtstreeks hebben getroffen. 37. De rechtbank overweegt hierbij dat de algemene vrees voor identiteitsfraude onvoldoende is voor een veroordeling in immateriële schade. Hoewel deze vrees voorstelbaar is en identiteitsfraude als gevolg van de privacyinbreuk niet uit te sluiten is, is dat onvoldoende concreet om nu uit te kunnen concluderen dat eisers dochter in haar persoon is aangetast. De rechtbank betrekt bij dit oordeel verder dat uit de hiervoor genoemde uitspraken van de ABRvS van 1 april 2020 volgt dat schadevergoeding onder de AVG geen punitief karakter heeft. Het doel van schadevergoeding is herstel van of het bieden van compensatie voor een onrechtmatige inbreuk op privacy. De verplichting daartoe uit de AVG gaat niet verder dan volledige vergoeding van de daadwerkelijke geleden schade. 38. Omdat van concrete schade niet is gebleken, is er geen grondslag om de SVB te veroordelen tot het betalen van een schadevergoeding. Dat betekent dat de rechtbank in deze zaak alleen vaststelt dat een privacyschending heeft plaatsgevonden, maar dat het verzoek van eiser wordt afgewezen. De rechtbank: verklaart het beroep tegen het besluit van 14 augustus 2020 gegrond; vernietigt het besluit van 14 augustus 2020; bepaalt dat de rechtsgevolgen van dat besluit in stand blijven; - draagt verweerder op het in zaaknummer UTR 20/3537 betaalde griffierecht van € 178,- aan eiser te vergoeden; - wijst het verzoek om schadevergoeding af. Deze uitspraak is gedaan door mr. K. de Meulder, rechter, in aanwezigheid van mr. L.M. Janssens-Kleijn, griffier. De beslissing is uitgesproken op 4 mei 2021 en zal openbaar worden gemaakt door publicatie op rechtspraak.nl. de griffier is verhinderd om de uitspraak te ondertekenen griffier rechter Afschrift verzonden aan partijen op: Rechtsmiddel Tegen deze uitspraak kan binnen zes weken na de dag van verzending daarvan hoger beroep worden ingesteld bij de Afdeling bestuursrechtspraak van de Raad van State. Verordening 2016/679 van het Europees Parlement en de Raad van de Europese Unie van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. ECLI:RVS:2018:1877. ECLI:RVS:2020:674. ECLI:NL:RVS:2020:898, ECLI:NL:RVS:2020:900 en ECLI:NL:RVS:2020:901. Beschikking van 9 september 2011, ECLI:NL:HR:2011:BQ8097. Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Artikel 8, eerste lid, van het Handvest van de grondrechten van de Europese Unie. Preambule van de AVG, nr. 1. Preambule van de AVG, nr. 39 en artikel 5 eerste lid, aanhef en onder c van de AVG. Gerechtshof ’s-Hertogenbosch 6 augustus 2020, ECLI:NL:GHSHE:2020:2536, r.o. 3.6.1.; gerechtshof Den Haag 10 november 2020, ECLI:NL:GHDHA:2020:2068, r.o. 3.15; gerechtshof Arnhem-Leeuwarden 17 december 2020, ECLI:NL:GHARL:2020:10564, r.o. 4.9; gerechtshof Amsterdam 9 februari 2021, ECLI:NL:GHAMS:2021:459, r.o. 3.11. Kamerstukken II 1997/98, 25 892, nr. 3, p. 83. Preambule van de AVG, nr. 45. Kamerstukken II 2004/05, 29 764, nr. 3, p. 60. Op grond van artikel 2, eerste lid, van de Wkb. Zie de arresten van de Hoge Raad van 15 maart 2019, ECLI:NL:HR:2019:376, r.o.4.2.2, van 28 mei 2019, ECLI:NL:HR:2019:793, r.o. 2.4.5. en van 19 juli 2019, ECLI:NL:HR:2019:1278, r.o. 2.13.2. De bestuursrechter is bevoegd 8. De AVG is in werking getreden op 25 mei 2018. De AVG heeft in artikel 82 een eigen regeling voor schadevergoeding als gevolg van een (privacy)inbreuk. Eiser heeft na de inwerkingtreding het verzoek om schadevergoeding gedaan. Op dat verzoek is de AVG dus van toepassing. 9. Op 1 april 2020 heeft de ABRvS uitspraken gedaan over de bevoegdheid van de bestuursrechter bij het schenden van de privacyregels uit de AVG door bestuursorganen. Uit deze uitspraken volgt dat iemand die op grond van artikel 82 van de AVG recht meent te hebben op schadevergoeding als gevolg van het onrechtmatig verwerken van persoonsgegevens door een bestuursorgaan, de keuzevrijheid heeft om dat door de bestuursrechter of door de civiele rechter te laten beoordelen. Voor de gang naar de bestuursrechter is wel vereist dat het verzoek om schadevergoeding in verband staat met een besluit als bedoeld in artikel 34 van de Uitvoeringswet AVG. De bestuursrechter behandelt het verzoek dan overeenkomstig de regeling voor schadevergoeding uit artikel 8:88 van de Algemene wet bestuursrecht (Awb). Daaruit vloeit de beperking voort dat als het verzoek om meer dan € 25.000,- gaat, alleen de civiele rechter bevoegd is. 10. De Raad van bestuur van de SVB is een bestuursorgaan. Eisers verzoek om schadevergoeding houdt verband met het besluit van de SVB om het startbericht niet te verwijderen. Dat is een besluit in de zin van artikel 34 van de Uitvoeringswet AVG. De schade waarvan eiser stelt dat zijn dochter die geleden heeft is minder dan € 25.000,-. Eiser kan daarom bij de bestuursrechter terecht. De rechtbank is bevoegd om te oordelen over het verzoek om schadevergoeding. 11. Het gestelde onrechtmatig handelen vond plaats in 2016, voor de inwerkingtreding van de AVG. Voor de beoordeling van de onrechtmatigheid van dat handelen is daarom de Wbp van toepassing. In de hiervoor genoemde uitspraken van de ABRvS is ook geoordeeld over deze overgangsfase, waarin na de inwerkingtreding van de AVG een verzoek is gedaan om schade te vergoeden in verband met handelingen die daarvoor hebben plaatsgevonden en die strijdig waren met de Wbp en nu ook strijd zouden opleveren met de AVG. In dat geval is het materiële beoordelingskader hetzelfde en moet de hiervoor bedoelde rechtsbescherming bij de bestuursrechter worden geboden. Die situatie doet zich hier voor, omdat de AVG vergelijkbare bepalingen heeft als de voor deze zaak relevante bepalingen uit de Wbp. Op die bepalingen wordt hierna verder ingegaan. Geen griffierecht verschuldigd 12. Uit de genoemde uitspraken van de ABRvS volgt zoals gezegd dat iemand een verzoek om schadevergoeding overeenkomstig artikel 8:88 van de Awb aan de bestuursrechter kan voorleggen, als het in verband staat met een besluit in de zin van artikel 34 van de Uitvoeringswet AVG. In het verlengde daarvan oordeelt de rechtbank dat artikel 8:94, tweede lid, en artikel 8:91 van de Awb overeenkomstig moeten worden toegepast in die zin, dat geen griffierecht verschuldigd is als het verzoek wordt gedaan bij de bestuursrechter waar het beroep tegen dat besluit aanhangig is. Daarvan is in dit geval sprake: eiser heeft zijn verzoek om schadevergoeding bij de rechtbank ingediend tijdens de beroepsprocedure over het verwijderen van het startbericht. Eiser is geen griffierecht verschuldigd voor het verzoek in zaaknummer UTR 20/3811. De gang van zaken rondom de startberichten 13. De SVB is verantwoordelijk voor het verstrekken van kinderbijslag, waarop ouders van alle kinderen recht hebben. De SVB beschikt daarvoor over de persoonsgegevens van de ouders en de kinderen. 14. De Belastingdienst/Toeslagen is verantwoordelijk voor het verstrekken van het kindgebonden budget. Dat is een toeslag waarop ouders van kinderen recht hebben afhankelijk van de hoogte van hun inkomen, op grond van de Wet op het kindgebonden budget (Wkb). De ouders van die kinderen hoeven zelf geen actie te ondernemen: de Belastingdienst/Toeslagen meldt zich bij hen als is vastgesteld dat er een recht op toeslag is. 15. Hiervoor heeft de Belastingdienst/Toeslagen persoonsgegevens van alle kinderen nodig en die krijgt ze van de SVB via de startberichten. De SVB en de Belastingdienst/Toeslagen hebben daarvoor een convenant gesloten. De Belastingdienst/Toeslagen bepaalt aan de hand van de persoonsgegevens uit het startbericht, afgezet tegen de inkomensgegevens van de ouders, wie recht heeft op de toeslag. De SVB heeft in deze procedure toegelicht dat voor zo’n 42% van de kinderen van wie een startbericht wordt verstrekt een recht op een kindgebonden budget bestaat. De uitvoering van het convenant houdt dus in dat van álle pasgeboren kinderen die in aanmerking komen voor kinderbijslag startberichten worden gemaakt door de SVB, die worden vertrekt aan de Belastingdienst/Toeslagen. Dit is ook gebeurd voor de dochter van eiser. De standpunten van partijen 16. De SVB vindt dat zij wettelijk verplicht is om de gegevens uit de startberichten te verstrekken aan de Belastingdienst/Toeslagen. De Algemene wet inkomensafhankelijke regelingen (Awir) verplicht daartoe in artikel 38. Hoewel duidelijk is dat niet iedere ouder recht heeft op een kindgebonden budget en dus niet de persoonsgegevens van alle kinderen nodig zijn voor de uitvoering van de Wkb, weet de SVB niet voor welke kinderen dat recht wel of niet aan de orde is. De SVB stelt zich dan ook op het standpunt dat de gegevens van alle kinderen van belang kunnen zijn voor de uitvoering van de Wkb. Deze manier van gegevensverwerking vindt de SVB ook proportioneel, omdat dit een snelle uitbetaling mogelijk maakt aan mensen die recht hebben op een kindgebonden budget. Op deze manier kan de Belastingdienst/Toeslagen dat recht zonder aanvraag vaststellen, wat een administratieve lastenverlichting voor burgers oplevert. 17. Eiser heeft vanwege zijn inkomen geen recht op een kindgebonden budget voor zijn dochter. Hij vindt dat er daarom geen enkele noodzaak is voor de SVB om de gegevens van zijn dochter aan de Belastingdienst/Toeslagen te verstrekken. Volgens eiser schept de Awir geen wettelijke verplichting voor de SVB om ten aanzien van alle kinderen startberichten te verstrekken. Hij wijst erop dat uit het door de SVB genoemde percentage volgt dat meer dan de helft van de verstrekte startberichten niet nodig is voor de uitvoering van de Wkb. Het verstrekken van deze persoonsgegevens, waaronder die van de dochter van eiser, is dan ook niet nodig. Dit levert volgens eiser strijd met de AVG en de Wbp op. Relevante regelgeving 18. Op grond van artikel 8, aanhef en onder c, van de (inmiddels vervallen) Wbp mogen persoonsgegevens slechts worden verwerkt als dat noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is. 19. Op grond van artikel 5, eerste lid, aanhef en onder a), van de AVG moeten persoonsgegevens worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Op grond van artikel 6, eerste lid, aanhef en onder c), van de AVG is de verwerking van persoonsgegevens rechtmatig als zij noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. 20. Op grond van artikel 38, eerste lid, van de Awir verstrekken openbare lichamen die bij of krachtens een bijzondere wet rechtspersoonlijkheid hebben verkregen kosteloos aan de Belastingdienst/Toeslagen desgevraagd alle gegevens en inlichtingen die van belang kunnen zijn voor de uitvoering van een inkomensafhankelijke regeling. Proportionaliteit, subsidiariteit en de Santander-beschikking 21. Het verwerken van persoonsgegevens moet ook noodzakelijk zijn om aan de wettelijke verplichting daartoe te voldoen. De rechtbank oordeelt dat het “noodzakelijk moeten zijn” in dit verband inhoudt dat moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. 39. Op grond van artikel 17, eerste lid, aanhef en onder d), van de AVG is de verwerkingsverantwoordelijke verplicht om persoonsgegevens zonder onredelijke vertraging te wissen wanneer de persoonsgegevens onrechtmatig zijn verwerkt. Uit het oordeel hiervoor over het schadeverzoek volgt dat daarvan sprake is ten aanzien van het startbericht. Op grond van het derde lid, aanhef en onder b) is deze verplichting om de gegevens uit het startbericht te wissen echter niet van toepassing voor zover verwerking nodig is voor het nakomen van een wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust. De zaak spitst zich toe op de vraag of dat hier het geval is. 40. Volgens de SVB moest zij het startbericht op grond van de Archiefwet 1995 voor een periode van vijf jaar bewaren. Uit het oordeel dat de persoonsgegevens van eisers dochter met het startbericht onrechtmatig aan de Belastingdienst/Toeslagen zijn verstrekt, vloeit echter voort dat er voor de SVB geen reden was om het startbericht op te maken. Dit heeft tot gevolg dat het startbericht naar zijn aard niet bestemd is om te berusten onder de SVB. Het startbericht is daarom geen archiefbescheiden in de zin van de Archiefwet 1995. 41. Dit neemt echter niet weg dat de SVB moet blijven beschikken over de persoonsgegevens die in het startbericht staan. Het burgerservicenummer, de geboortedatum en het woonland van eisers dochter moet de SVB hebben en houden om kinderbijslag te kunnen blijven verstrekken. Deze gegevens zijn nodig voor het nakomen van de Algemene Kinderbijslagwet. En omdat het in artikel 17 van de AVG gaat over de persoonsgegevens als zodanig en niet over het startbericht als document, is er geen verplichting om te wissen. 42. De SVB heeft dus terecht beslist om de gegevens niet te wissen, maar heeft dat in de beslissing op bezwaar ten onrechte gemotiveerd met een verwijzing naar de Archiefwet 1995. Het beroep tegen het besluit van 14 augustus 2020 is daarom gegrond en de rechtbank zal dat besluit vernietigen, omdat het in strijd is met artikel 7:12, eerste lid, van de Awb. Omdat duidelijk is dat de gegevens in het licht van de uitvoering van de Algemene Kinderbijslagwet niet gewist hoeven worden zal de rechtbank de rechtsgevolgen van dat besluit echter in stand laten. Dat betekent dat de SVB geen actie meer hoeft te ondernemen met betrekking tot het startbericht, in ieder geval zolang er ten aanzien van eisers dochter recht op kinderbijslag bestaat. 43. Omdat de rechtbank het beroep gegrond verklaart, bepaalt de rechtbank dat verweerder aan eiser het door hem betaalde griffierecht vergoedt. Er is niet gebleken dat er proceskosten zijn gemaakt die voor vergoeding in aanmerking komen. Dat betekent dat de inbreuk op de belangen van de betrokkene door het verwerken van persoonsgegevens niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel, en dat dit doel in redelijkheid niet op een andere, voor de betrokkene minder nadelige, wijze kan worden verwerkelijkt. De rechtbank legt eerst uit hoe zij tot deze maatstaf komt en zal de zaak van eiser daar vervolgens aan toetsen. 22. De vertaling van het “noodzakelijk moeten zijn” van het verwerken van persoonsgegevens naar de beginselen van proportionaliteit en subsidiariteit, en de hiervoor omschreven uitwerking daarvan, ontleent de rechtbank aan de beschikking van de Hoge Raad in de zaak van Santander. Deze beschikking is gegeven over de toepassing van de Wbp, maar de rechtbank oordeelt dat de AVG op dezelfde wijze moet worden toegepast en uitgelegd. De AVG bouwt namelijk voort op de Richtlijn bescherming persoonsgegevens, waarvan de Wbp de implementatie was. Er is niet beoogd om de rechten van natuurlijke personen op bescherming van hun persoonsgegevens ten opzichte van die richtlijn te beperken. Dit uitgangspunt is bovendien in overeenstemming met het Europese grondrecht om natuurlijke personen bij de verwerking van persoonlijke gegevens te beschermen. De AVG verwijst naar dat grondrecht. Het past ook bij de overweging in de AVG dat persoonsgegevens alleen mogen worden verwerkt als het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt, en bij het uitgangspunt van minimale gegevensverwerking. Het beoordelingskader uit de Santander-beschikking is dus niet alleen van toepassing op de Wbp, maar ook op AVG-zaken. De rechtbank volgt daarmee de lijn van de gerechtshoven in AVG-zaken die aan de civiele rechter worden voorgelegd. 23. De vereiste toets aan de beginselen van proportionaliteit en subsidiariteit wordt in de Santander-beschikking onder meer ontleend aan de bedoeling van de wetgever bij de totstandkoming van de Wbp, onder verwijzing naar de wetsgeschiedenis. Voor deze zaak is relevant dat de wetgever over de wettelijke verplichting als grondslag voor gegevensverwerking nog eens nadrukkelijk heeft verwezen naar de vereiste belangenafweging: “De taak een wettelijke verplichting uit te voeren rechtvaardigt niet iedere gegevensverwerking. De verantwoordelijke mag ter uitvoering van de wettelijke verplichting bij voorbeeld niet meer of andere gegevens verwerken dan noodzakelijk is voor de uitvoering van de wettelijke verplichting. Gelet op de aard van de inbreuk op de privacy is een belangenafweging van geval tot geval nodig.” Onder verwijzing naar de vorige overweging oordeelt de rechtbank dat ook dit kader als achtergrond bij de vereiste belangenafweging nog steeds geldt onder de AVG. Artikel 38 van de Awir geeft een wettelijke grondslag… 24. De SVB is een openbaar lichaam met rechtspersoonlijkheid. De Wkb is een inkomensafhankelijke regeling die door de Belastingdienst/Toeslagen wordt uitgevoerd. De rechtbank moet in het licht van de standpunten van partijen eerst de vraag beantwoorden of artikel 38, eerste lid, van de Awir een wettelijke bepaling is die de grondslag kan vormen voor gegevensverwerking in de zin van de Wbp en de AVG. Deze vraag beantwoordt de rechtbank met ja en daarbij wordt het volgende overwogen. 25. De preambule van de AVG geeft informatie over de reikwijdte en strekking van de AVG-grondslag van het voldoen aan een wettelijke plicht bij het verwerken van persoonsgegevens. Uit de preambule volgt dat de AVG niet voorschrijft dat voor elke afzonderlijke verwerking specifieke wetgeving vereist is. Er kan worden volstaan met wetgeving die als basis fungeert voor verscheidene verwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Het moet ook het Unierecht of het lidstatelijke recht zijn dat het doel van de verwerking bepaalt. 26. In het licht hiervan oordeelt de rechtbank dat de bepaling van artikel 38, eerste lid, van de Awir de basis kan vormen voor het verwerken van persoonsgegevens zoals de SVB dat doet met de startberichten, ook als het gaat om startberichten van kinderen van wie later blijkt dat geen recht op een kindgebonden budget bestaat. Uit deze bepaling volgt dat het doel van de verwerking is dat inkomensafhankelijke regelingen kunnen worden uitgevoerd. De wetgever heeft daarbij voor ogen gehad dat de aanspraak op of de hoogte van een tegemoetkoming waarop de Awir van toepassing is mede afhankelijk kan zijn van informatie die niet binnen de rijksbelastingdienst of de Belastingdienst/Toeslagen voorhanden is. De Awir geldt voor alle inkomensafhankelijke regelingen en dus niet alleen voor de uitvoering van de Wkb. Het past daarbij dat in artikel 38, eerste lid, niet heel specifiek is bepaald dat de SVB persoonsgegevens van kinderen ten aanzien van wie recht op kinderbijslag bestaat moet verstrekken, of dat die verstrekking zelfs beperkt moet zijn tot de gegevens van kinderen die aan de eisen van de Wkb voldoen. Dee meer algemeen geformuleerde bepaling is als wettelijke veplichting jegens de SBV dus toereikend om de persoonsgegevens van die kinderen te verwerken op de manier waarop zij dat doet met de startberichten. In zoverre volgt de rechtbank de SVB in haar standpunt. …maar de gegevensverwerking voldoet niet aan proportionaliteit en subsidiariteit 27. De rechtbank beoordeelt nu of in deze zaak wordt voldaan aan de beginselen van proportionaliteit en subsidiariteit. Die vraag beantwoordt de rechtbank met nee. Zij oordeelt dat het verstrekken van startberichten met de persoonsgegevens van alle kinderen met recht op kinderbijslag niet evenredig is in verhouding tot de uitvoering van de Awir en de Wkb, terwijl dat doel in redelijkheid op een andere manier kan worden verwezenlijkt die minder nadelig is voor (de ouders van) deze kinderen. 28.De rechtbank overweegt hierbij in de eerste plaats dat de reikwijdte van de wettelijke bepaling niet zo ver strekt als de SVB aanneemt. Hoewel artikel 38 van de Awir een ruime grondslag geeft voor gegevensverstrekking, volgt daaruit niet de verplichting voor de SVB om persoonsgegevens van álle kinderen van wie recht op kinderbijslag bestaat aan de Belastingdienst/Toeslagen te verstrekken. Het recht op kinderbijslag is een voorwaarde voor een kindgebonden budget. Of een recht daarop vervolgens ook daadwerkelijk bestaat is afhankelijk van de inhoudelijke criteria uit de Wkb, over het inkomen van de ouders. Op basis daarvan heeft slechts een deel van de ouders dat die recht hebben op kinderbijslag, ook recht op kindgebonden budget. Dat is in overeenstemming met de aard van het kindgebonden budget als inkomensafhankelijke regeling. De gegevens van álle kinderen zijn in dit licht bezien dan ook niet van belang om de Wkb uit te voeren. Voor de uitvoering van haar wettelijke verplichting zou het voldoende zijn als de SVB alleen startberichten verstrekt van kinderen van wie al is vastgesteld dat aan de overige voorwaarden voor het recht op een kindgebonden budget wordt voldaan. De SVB zou dan niet meer dan 42% van de huidige omvang aan persoonsgegevens hoeven te verwerken. 29.Het doel van de verwerking van persoonsgegevens is hier de uitvoering van de Wkb. De SVB kan weten en weet ook dat het grootste deel van de startberichten die zij verstrekt persoonsgegevens bevat die voor dat doel niet nodig zijn. De SVB wijst er wel terecht op dat zij van tevoren niet kan weten voor welke kinderen een recht op kindgebonden budget geldt, omdat dat nu juist door de Belastingdienst/Toeslagen wordt beoordeeld. Dat betekent echter niet zonder meer dat de AVG deze werkwijze toestaat. Dat zou namelijk miskennen dat het verstrekken van de persoonsgegevens er hoe dan ook óók toe leidt dat van veel kinderen persoonsgegevens worden gedeeld die daarvoor niet nodig zijn.