Welke voorwaarden stelt de AVG aan de publicatieplicht van beschikkingen op grond van de staatssteunregels?

In hoeverre moeten decentrale overheden rekening houden met de Algemene verordening gegevensbescherming (AVG) bij publicatieplicht op grond van de staatssteunregels? De AVG kan namelijk van belang zijn bij de publicatie van sommige staatssteunbeschikkingen, bijvoorbeeld wanneer steun aan een agrariër wordt verleend, die ook woont op zijn agrarisch bedrijf. Is een decentrale overheid verplicht om zulke persoonsgegevens te vermelden in de beschikking? Of is de AVG niet van toepassing op de staatssteunregels?

Antwoord in het kort:
Bij de publicatie van staatssteunbeschikkingen die vallen onder de Landbouwvrijstellingsverordening of de Algemene Groepsvrijstellingsverordening dient er rekening te worden gehouden met de Algemene verordening gegevensbescherming. Een persoonsgegeven dat genoemd wordt in bijlage III AGVV of bijlage II LVV kan in de te publiceren beschikking blijven staan. In dat geval bestaat er op basis van artikel 6 AVG namelijk een wettelijke grondslag voor publicatie van die persoonsgegevens. Persoonsgegevens die niet genoemd worden in deze bijlagen kunnen worden weggelakt ter bescherming van de privacy van de betrokkenen. Het publiceren van deze persoonsgegevens door een decentrale overheid is namelijk niet noodzakelijk voor het voldoen aan de publicatieplicht van de LVV of AGVV.

Publicatieplicht

Het verlenen van staatssteun is in beginsel op grond van artikel 107 VWEU verboden en moet door de steunverlener worden aangemeld bij de Europese Commissie ter goedkeuring. Er bestaan echter verschillende mogelijkheden om staatssteun zogezegd ‘staatssteunproof’ te verlenen. Zo heeft de Commissie een aantal vrijstellingsverordeningen ontworpen, zoals de Algemene Groepsvrijstellingsverordening (AGVV) of de Landbouwvrijstellingsverordening (LVV). Op basis van deze verordeningen kunnen decentrale overheden steun verlenen voor bepaalde beleidsdoelen, zonder dat een formele aanmeldingsprocedure nodig is. Dan volstaat een lichtere procedure: het doen van een zogenaamde kennisgeving van de steun door de steun verlenende overheid bij de Commissie.

Een decentrale overheid die staatssteun verleent op grond van de AGVV of de LVV dient daarbij aan een aantal voorwaarden te voldoen. Eén daarvan is dat bepaalde informatie over de steunmaatregel openbaar moet worden gepubliceerd (artikelen 9 AGVV en LVV). Het gaat dan bijvoorbeeld om de volledige tekst van de steunmaatregel en de datum van de toekenning van de steun, maar ook om de naam van de begunstigde van de steun.

Algemene verordening gegevensbescherming

Sinds 25 mei 2018 moeten organisaties die persoonsgegevens verwerken voldoen aan de regels van de Algemene verordening gegevensbescherming (AVG). Een ‘persoonsgegeven’ betreft alle informatie over een direct of indirect identificeerbaar natuurlijk persoon. Het begrip ‘verwerken’ is heel breed: naast het opslaan of doorsturen van persoonsgegevens valt hier ook alleen al het inzien van persoonsgegevens onder. Wanneer decentrale overheden op grond van de staatssteunregels een beschikking publiceren waar persoonsgegevens in staan, moeten zij zich dus houden aan de regels van de AVG.

Wat zijn persoonsgegevens?

Niet alle gegevens zijn te kwalificeren als persoonsgegevens (artikel 4 lid 1 AVG). Alleen gegevens waarmee iemand direct te identificeren valt, of indirect, door bijvoorbeeld verschillende gegevens aan elkaar te koppelen, zijn persoonsgegevens in de zin van de AVG. Voorbeelden van persoonsgegevens zijn: iemands naam, (email)adres, burgerservicenummer of een vingerafdruk. Gegevens die niet gekoppeld kunnen worden aan een natuurlijk persoon zijn geen persoonsgegevens. Dat is bijvoorbeeld het geval bij gegevens over een bedrijf, zoals het bedrijfsadres, algemene bedrijfstelefoonnummer of -mailadres.

Het kan echter het geval zijn dat een bedrijf zo verbonden is met een natuurlijk persoon, dat de bedrijfsgegevens toch als persoonsgegevens kunnen worden gezien, bijvoorbeeld bij een ZZP’er of eenmanszaak. Dit kan per geval verschillen: een adres of bedrijfsnaam die alleen of in combinatie met andere gegevens dermate uniek is dat een natuurlijk persoon geïdentificeerd kan worden. Het zou dus kunnen dat het bedrijf van de agrariër zo vereenzelvigd is met zijn natuurlijk persoon dat de gegevens zoals bedrijfsnaam en adres persoonsgegevens in de zin van de AVG zijn.

Nadat een decentrale overheid heeft vastgesteld of het gaat om persoonsgegevens, kan worden gekeken of er een grondslag bestaat om de persoonsgegevens rechtmatig te verwerken en dus te publiceren.

Wanneer mogen persoonsgegevens gepubliceerd worden?

De publicatie van persoonsgegevens valt onder ‘verwerken’ in de zin van de AVG. Dat is namelijk alles wat met persoonsgegevens gedaan wordt, blijkt uit de definitie van artikel 4 lid 2 AVG. Wanneer persoonsgegevens verwerkt worden, moet dit voldoen aan de regels van de AVG. Dit houdt bijvoorbeeld in dat er een grondslag moet zijn voor de verwerking, en dat de verwerking niet verder mag gaan dan noodzakelijk om de doelen van de verwerking te bereiken.

In artikel 6 lid 1 AVG staan zes grondslagen waarop persoonsgegevens verwerkt mogen worden. Een van deze grondslagen is een wettelijke plicht: wanneer het verwerken van persoonsgegevens noodzakelijk is om een wettelijke plicht die op de overheidsorganisatie ligt uit te voeren, is het verwerken toegestaan (sub c). Het publiceren van een beschikking wegens het verlenen van staatssteun volgt uit de publicatieplicht van de AGVV en de LVV, dus op grond van een wettelijke plicht. Artikel 9 AGVV en LVV is dan de grondslag waarop een decentrale overheid bepaalde persoonsgegevens op de beschikking mag publiceren.

Echter, na het kijken of er een grondslag is voor de verwerking moet de decentrale overheid ook nog een noodzakelijkheidstoets doen. Het verwerken van persoonsgegevens moet namelijk ook beperkt blijven tot dat wat noodzakelijk is om aan de wettelijke plicht te voldoen. Op een staatssteunbeschikking kunnen ook persoonsgegevens staan die niet noodzakelijk zijn om te voldoen aan de publicatieplicht.

Publiceren beschikkingen – wat is noodzakelijk?

In een staatssteunbeschikking van een steunverlener kunnen verschillende persoonsgegevens vermeld staan. Denk bijvoorbeeld aan de naam van een begunstigde als deze te herleiden is tot een natuurlijk persoon, of de naam van de behandelend ambtenaar van de beschikking. Zoals eerder aangegeven volgt de publicatieplicht op de decentrale overheid uit artikel 9 van de LVV of AGVV. Welke gegevens gepubliceerd moeten worden om te voldoen aan de publicatieplicht staat verder uitgelegd in de bijlage III AGVV en bijlage II LVV. Alleen als persoonsgegevens in deze bijlagen staan, kan gezegd worden dat publicatie hiervan noodzakelijk is om te voldoen aan de wettelijke plicht.

De gegevens uit bijlage III van de AGVV en bijlage II van de LVV die gepubliceerd moeten worden op de openbare website, zijn de volgende:

Naam van de begunstigde
De soort onderneming
Regio waar de begunstigde is gevestigd
Steunelement
Steuninstrument
Datum van de toekenning van de steun
Doel van de steun
Steunverlenende autoriteit

Tevens geldt voor beschikkingen verleend onder de AGVV dat ook de economische sector waarin de begunstigde actief is (op NACE-groepsniveau), de naam van de met het beheer belaste entiteit en de namen van de geselecteerde financiële intermediairs (voor regelingen op grond van artikel 16 en artikel 21 AGVV) en de referentie van de steunmaatregel gepubliceerd mogen worden.

Voor beschikkingen verleend onder de LVV geldt tevens dat de referentie van het identificatienummer van de steun vermeld mag worden op de publieke website, evenals de activiteitensector op NACE-groepsniveau.

Publiceren in overeenstemming met de AVG

Indien de hiervoor genoemde verplichte gegevens direct of indirect herleidbaar zijn tot een natuurlijk persoon, zal de decentrale overheid verplicht zijn om persoonsgegevens op de beschikking te publiceren. Dit zou bijvoorbeeld het geval kunnen zijn wanneer de begunstigde een eenmanszaak is en zijn bedrijf onder zijn eigen naam opereert. Wanneer de naam van de begunstigde van de steun dus een persoonsgegeven in de zin van de AVG betreft, biedt bijlage II/III die behoort bij artikel 9 een grondslag voor verwerking (en dus publicatie) door de steunverlenende overheid. Dit artikel legt namelijk de wettelijke plicht op om de naam van de begunstigde van de steun te publiceren.

Persoonsgegevens op de beschikking die niet terug te leiden zijn tot artikel 9 AGVV of LVV en waar voor de publicatie hiervan ook geen andere grondslag uit artikel 6 AVG voor kan worden gevonden, kunnen daarom op de beschikking worden weggelakt alvorens deze gepubliceerd wordt op de openbare website. Dit kan bijvoorbeeld het geval zijn wanneer de naam van de behandelend ambtenaar of de contactpersoon van een bedrijf op de beschikking staat. In Bijlage II en III van zowel de LVV als de AGVV wordt niet vereist dat deze persoonsgegevens gepubliceerd worden.

Voorbeelden van beschikkingen die zowel aan de staatssteunregels als aan de AVG voldoen zijn bijvoorbeeld onderstaande beschikkingen.

Provincie Gelderland Project: Boert Bewust – deelproject Gelderland 2018-2020
Provincie Gelderland Stichting Erfgoed Gelderland
Provincie Gelderland Stichting Cultuurmij Oost

Werkt u voor een (de)centrale overheid en heeft u naar aanleiding van deze praktijkvraag vragen over de toepassing van staatssteunregels of de AVG in de decentrale praktijk? Neem dan contact op met onze helpdesk.

Meer informatie: