Gemeenten ontvangen met grote regelmaat van burgers verzoeken om inzage zoals bedoeld in artikel 15 van de Algemene verordening gegevensbescherming (‘AVG’). Om gemeenten hierbij handvatten te bieden, beschrijft dit blog de laatste ontwikkelingen in de jurisprudentie over inzageverzoeken. In het blog worden de volgende onderwerpen achtereenvolgens besproken:
- Recht op een kopie van de verwerkte persoonsgegevens;
- Inzage in mails en notities voor intern overleg en beraad;
- Inzage in (categorieën) van ontvangers en namen van werknemers en ambtenaren.
Recht op kopie van verwerkte persoonsgegevens
Ingevolge artikel 15 lid 3 van de AVG heeft een betrokkene het recht om een kopie te verkrijgen van de persoonsgegevens die worden verwerkt. Het Hof van Justitie heeft in een recente zaak (ECLI:EU:C:2023:369 C-487/21, F.F. / Österreichische Datenschutszbehörde CRIF-arrest) verduidelijkt wat een “kopie” inhoudt. Het Hof lichtte toe dat een kopie de verwerkte persoonsgegevens “volledig en getrouw moet reproduceren” zodat de betrokkene “daadwerkelijk” zijn rechten onder de AVG kan uitoefenen. Om de begrijpelijkheid te waarborgen, kan bij het voldoen aan een inzageverzoek “onontbeerlijk” zijn om uittreksels of zelfs volledige documenten te reproduceren. Op basis van de context kan het dus verplicht zijn om uittreksels of volledige documenten te verstrekken aan een betrokkene.
Deze uitspraak komt overeen met de eerdere uitspraken van de Afdeling bestuursrechtspraak van de Raad van State (hierna: ‘Afdeling’) hierover (ECLI:NL:RVS:2020:2559). In deze zaak werd geoordeeld dat gelet op de algehele systematiek van artikel 15, het verstreken van een kopie van het document waarin de persoonsgegevens zijn vervat niet altijd noodzakelijk is, en dat het doel van artikel 15 AVG is dat de betrokkene zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. Ook in een recente uitspraak van de Afdeling (ECLI:NL:RVS:2023:3067), onder verwijzing naar het CRIF-arrest, blijft het uitgangspunt dat er in beginsel geen verplichting is om uittreksels of afschriften van stukken te overleggen. De verwerkingsverantwoordelijke zal zelf de afweging moeten maken of het verstrekken van afschriften of uittreksels “onontbeerlijk is” in de gegeven context, of dat kan worden volstaan met andere manieren om de begrijpelijkheid van de kopieën te waarborgen.
Verder heeft het Hof van Justitie in een andere zaak (ECLI:EU:C:2023:811 C-307/22, FT / DW) geoordeeld dat een eerste kopie onder artikel 15 AVG gratis moet zijn. Daarnaast oordeelde het Hof in deze zaak dat een verwerkingsverantwoordelijke niet kan eisen dat een betrokkene een reden aanvoert voor zijn inzageverzoek. Een inzageverzoek kan niet worden afgewezen wanneer de betrokkene er een ander doel mee wil bereiken dan zich op de hoogte stellen van de verwerkingen van de gegevens en/of het controleren van de rechtmatigheid van de verwerkingen.
Inzage in mails en notities voor intern overleg en beraad
In een zaak die voorlag bij de rechtbank Gelderland (ECLI:NL:RBGEL:2023:4184) stelde de minister voor Rechtsbescherming zich op het standpunt dat er geen inzage hoefde te worden gegeven in “mails en notities die de persoonlijke gedachten van medewerkers bevatten en die uitsluitend bedoeld zijn voor intern overleg en beraad”. Documenten die zijn opgesteld ten behoeve van intern beraad met daarin persoonlijke beleidsopvattingen vormen wel een uitzonderingsgrond onder de Wet open overheid (zie artikel 5.2 van de Wet open overheid), maar hetzelfde kan niet worden gezegd voor artikel 15 AVG. De rechtbank volgt hierin een eerdere uitspraak van de Afdeling (ECLI:NL:RVS:2020:352 onder rechtsoverweging 7.1.) en oordeelde dat de minister niet inzage kon weigeren met het argument dat interne notities niet onder het inzageverzoek van artikel 15 AVG kon vallen.
Inzage in (categorieën van) ontvangers
Op grond van artikel 15 lid 1 sub c AVG heeft een betrokkene ook het recht om inzage te krijgen in de “ontvangers of categorieën van ontvangers” aan wie de persoonsgegevens zijn verstrekt. Uit de AVG blijkt niet duidelijk of de betrokkene het recht heeft om inzage te krijgen in concrete ontvangers van de persoonsgegevens, of dat de verwerkingsverantwoordelijke de vrijheid heeft bij een inzageverzoek zelf te kiezen of het informatie over concrete ontvangers dan wel categorieën van ontvangers deelt. Het Europese Hof van Justitie in een recente uitspraak () verduidelijkt dat het uitgangspunt is dat de verwerkingsverantwoordelijke de daadwerkelijke ontvangers met de betrokkene moet delen. Dit is alleen anders indien het onmogelijk is om de ontvangers van de persoonsgegevens te identificeren, bijvoorbeeld omdat de concrete ontvangers nog niet bekend zijn. Dan kan worden volstaan met categorieën van ontvangers. Dit laat onverlet dat een verwerkingsverantwoordelijke onder omstandigheden een beroep kan doen op uitzonderingen zoals in artikel 12 lid 5 van de AVG of artikel 41 van de Uitvoeringswet Algemene verordening gegevensbescherming (“UAVG”) om inzage in concrete ontvangers te weigeren. Voor een gemeente zou dit bijvoorbeeld kunnen spelen als tegemoetkoming aan het inzageverzoek de openbare veiligheid in gevaar brengt.
Inzage in namen van werknemers
En hoe zit het als een verzoeker onder verwijzing naar dit arrest inzage wil in de naam van de ambtenaar die zijn persoonsgegevens heeft verwerkt? Hierover oordeelde Rechtbank Noord-Nederland (ECLI:NL:RBNNE:2023:5486) dat de ambtenaar die de gegevens in een systeem heeft ingevoerd geen ontvanger is in de zin van de AVG, en daarom niet verstrekt hoeft te worden.
Dit wordt ook bevestigd door een uitspraak van het Hof van Justitie (ECLI:EU:C:2023:501 C-579/21, J.M. / Apulaistietosuojavaltuutettu) waarin een verzoeker inzage wilde hebben in de namen van de werknemers van de verwerkingsverantwoordelijke die zijn gegevens hadden geraadpleegd en de data waarop en de doeleinden waarvoor de raadplegingen waren gedaan. Het Hof oordeelde dat de betrokkene via artikel 15 AVG inzage kon krijgen in de data en de doeleinden van de raadplegingen. Daarentegen gold dat in beginsel niet voor de namen van de werknemers. De werknemers van de verwerkingsverantwoordelijke kunnen namelijk niet worden beschouwd als ontvangers in de zin van artikel 15, lid 1, onder c), AVG wanneer de werknemers persoonsgegevens verwerken onder het gezag van die verwerkingsverantwoordelijke en overeenkomstig zijn instructies.
Het Hof oordeelde wel dat de namen van de werknemers van de verwerkingsverantwoordelijke die de persoonsgegevens van de betrokkene hebben geraadpleegd ook persoonsgegevens van de betrokkene kunnen zijn. Desondanks hoeft hier volgens het Hof in dit geval geen inzage in te worden verleend, omdat dit de privacy van de werknemers kan schaden. Artikel 15 AVG mag geen afbreuk doen aan rechten of vrijheden van anderen. In andere gevallen is het niet uitgesloten dat er toch inzage in de namen van de werknemers moet worden gegeven wanneer deze informatie “onontbeerlijk is” voor de betrokkene om hem in staat te stellen zijn rechten onder de AVG uit te oefenen en er rekening wordt gehouden met de rechten en vrijheden van die werknemers.
Heeft u vragen over dit onderwerp? Neem dan contact op met Anke van de Laar, Jolijn Gijsen of een van onze andere Data & Privacy Specialisten.
