Gemeenten ontvangen meer en meer verzoeken om inzage als bedoeld in artikel 15 van de Algemene verordening gegevensbescherming (AVG). Wij ontvangen daarover veel vragen van gemeenten. Om de praktijk handvatten te bieden, signaleert dit blog recente jurisprudentie over inzageverzoeken. Achtereenvolgens komt aan bod:
Volgens de Afdeling bestuursrechtspraak van de Raad van State (de Afdeling) kan het overleggen van een kopie van een identiteitsbewijs voldoende zijn om de identiteit van degene die om inzage verzoekt (de betrokkene) deugdelijk vast te stellen (ECLI:NL:RVS:2020:2833 en ECLI:NL:RVS:2020:2927). Dit waarborgt volgens de Afdeling een deugdelijke identiteitsvaststelling zonder dat afbreuk wordt gedaan aan het recht van betrokkenen om zich vrijelijk tot het college te wenden. In de laatstgenoemde uitspraak hoefde echter geen genoegen genomen te worden met de kopie van het paspoort omdat onduidelijkheid was ontstaan over de handtekening van de indiener van het verzoek.
En wat als de verzoeker volstaat met het vermelden van zijn of haar voorletters, achternaam en een postbusnummer en weigert om meer gegevens te verstrekken? De rechtbank Overijssel (ECLI:NL:RBOVE:2021:1296) oordeelde in het kader van een beroep tegen het niet tijdig beslissen dat geen sprake is van een inzageverzoek als bedoeld in artikel 15 van de AVG omdat alleen de betrokkene zelf, dus de natuurlijke persoon om wiens persoonsgegevens het gaat, om inzage kan verzoeken. Op basis van verzoekers voorletters, achternaam en postbusnummer kan verzoeker niet geïdentificeerd worden en is hij evenmin identificeerbaar. Volgens de rechtbank kan verzoeker daarom niet worden aangemerkt als betrokkene en is sprake van een ‘gewoon’ verzoek om informatie.
Ook in de zaak die leidde tot de uitspraak van de rechtbank Limburg van 2 april 2021 (ECLI:NL:RBLIM:2021:2946) had de betrokkene zich niet gelegitimeerd. De rechtbank Limburg oordeelde ten aanzien van zijn verzoeken om inzage bij vier gemeenten dat sprake is van misbruik van recht. Door de manier van procederen van de betrokkene Is de rechtbank er niet van overtuigd dat verzoeker zijn inzageverzoeken heeft ingediend met het doel om te weten te komen of persoonsgegevens van hem worden verwerkt en zo ja, om inzage te krijgen in die persoonsgegevens. Misbruik van recht bij AVG-verzoeken wordt niet snel aangenomen (zie bijvoorbeeld ECLI:NL:RVS:2019:2797) daarom is deze uitspraak het signaleren waard.
Op grond van artikel 12, vijfde lid, van de AVG mag een verwerkingsverantwoordelijke weigeren om aan een inzageverzoek te voldoen als het verzoek buitensporig is. Het is aan de verwerkingsverantwoordelijke om de buitensporige aard van een verzoek aan te tonen. Uit de uitspraak van de Afdeling van 23 juni 2021 (ECLI:NL:RVS: 2021:1331) blijkt dat de toelichting ter zitting dat met de afhandeling enkele weken gemoeid zullen zijn, daartoe onvoldoende is.
Op grond van artikel 15, derde lid, van de AVG verstrekt de verwerkingsverantwoordelijke de betrokkene een kopie van de persoonsgegevens. Uit de toelichting en totstandkomingsgeschiedenis van de AVG blijkt niet wat onder ‘kopie van persoonsgegevens’ moet worden verstaan. De Afdeling oordeelde eerder al dat gelet op de algehele systematiek van artikel 15 het verstrekken van een kopie van het document waarin de persoonsgegevens zijn vervat niet altijd noodzakelijk is (ECLI:NL:RVS:2020:2559) en dat het doel van artikel 15 van de AVG is dat de betrokkene zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. In een recente uitspraak (ECLI:NL:RVS:2021:1278) voegt de Afdeling daaraan toe dat een bestuursorgaan mag kiezen voor de vorm waarin de kopie van de persoonsgegevens wordt verstrekt, als met de gekozen wijze van verstrekking maar aan het doel van artikel 15, derde lid, van de AVG wordt voldaan.
Net als bij de Wet openbaarheid van bestuur (Wob) is vaste jurisprudentie dat degene die stelt dat er meer persoonsgegevens moeten zijn, nadat het bestuursorgaan onderzoek naar die persoonsgegevens heeft gedaan en niet ongeloofwaardig heeft meegedeeld dat er niet meer persoonsgegevens zijn, aannemelijk dient te maken dat er wel meer persoonsgegevens dienen te zijn (zie bijvoorbeeld ECLI:NL:RVS:2021:452). Daartoe moet het bestuursorgaan inzichtelijk maken op welke wijze hij heeft gezocht naar persoonsgegevens (zie bijvoorbeeld ECLI:NL:RVS:2021:1331). Daarmee dient aannemelijk te worden gemaakt dat het bestuursorgaan al het redelijkerwijs mogelijke heeft gedaan om de persoonsgegevens te achterhalen.
Voor vragen kunt u contact opnemen met Anke van de Laar of een van onze andere specialisten van het Team Privacy. Zij staan u graag te woord.
Advocaat & Partner