Voormalig uitgever Sanoma, in 2020 door DPG overgenomen, handelde volgens de AP in strijd met de AVG. De AP had diverse klachten ontvangen van betrokkenen. De klachten zagen op het uitoefenen van het inzagerecht. Op grond van artikel 15 van de AVG heeft de betrokkene het recht om ‘(…) uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens (…)’. Daarnaast heeft men recht om inzage te krijgen in een aantal in dat artikel genoemde gegevens.

Onder de AVG hebben betrokkenen een aantal rechten die ze jegens de verwerkingsverantwoordelijke, de partij die de persoonsgegevens verwerkt en daar verantwoordelijk voor is, kunnen inroepen. Naast het recht op inzage kennen we bijvoorbeeld ook het recht op verwijdering, het recht op gegevensoverdraagbaarheid en het recht op rectificatie. De AVG stelt een aantal algemene regels die gelden bij de uitoefening van die rechten, dus ook bij het inzagerecht. Zo dient de verwerkingsverantwoordelijke de uitoefening van die rechten te faciliteren, dient informatie daarover transparant te zijn én vooral, mogen er geen onnodige hobbels bij de uitoefening van de rechten worden opgeworpen. Met ander woorden; de betrokkene moet zijn recht eenvoudig kunnen uitoefenen. Dat laatste was echter niet het geval bij Sanoma, volgens de AP.

Wanneer men een verzoek tot inzage deed - het ging om mensen die geen digitaal account hadden – diende men op verzoek van Sanoma namelijk eerst een identiteitsbewijs te uploaden of op te sturen. Daarmee werd de uitoefening van het inzagerecht onnodig bemoeilijkt. Uit onderzoek van de AP blijkt dat de werkwijze van Sanoma (thans DPG) was dat er altijd om een kopie van een ID-bewijs werd gevraagd. DPG gaf daarbij aan dat een verzoek tot inzage pas in behandeling werd genomen als men zich had gelegitimeerd. Volgens de AP is dat in strijd met artikel 12 lid 2 van de AVG.

Overigens is het niet zo dat een verwerkingsverantwoordelijke nooit eerst de betrokkene zou mogen identificeren, alvorens hij gevolg geeft aan het inzageverzoek. De AVG biedt die mogelijkheid immers expliciet. Het moet dan echter wel gaan om gevallen waarin de verwerkingsverantwoordelijke redenen heeft om te twijfelen aan de identiteit van de betrokkene. In dat geval mogen aanvullende gegevens worden opgevraagd om de betrokkene te identificeren. Men kan zich wel afvragen of dat niet met minder vergaande middelen zou kunnen dan het opvragen van een kopie van een ID-bewijs. De verwerkingsverantwoordelijke moet aantonen dat hij de betrokkene redelijkerwijs niet kan identificeren met de hem beschikbare informatie én vervolgens dat hij dat niet kan op een minder vergaande manier dan het opvragen van een kopie ID-bewijs. In ieder geval zullen delen van het ID-bewijs afgeschermd moeten worden.

In zijn algemeenheid is het namelijk zo dat er voor het opvragen van een kopie ID-bewijs zeer strenge eisen gelden. Met name het BSN-nummer, maar ook de pasfoto zijn gevoelige gegevens waarvan het maar zelden noodzakelijk is dat deze verwerkt worden. Het BSN-nummer mag men slechts verwerken als daar een wettelijke basis voor is. Daarvan is niet snel sprake. Pas dus op met het opvragen of verstrekken van (kopieën) van ID-bewijzen. Heeft u vragen over het uitoefenen óf faciliteren van een van de rechten onder de AVG? Of heeft u vragen over het opvragen of verstrekken van (kopieën) van ID-bewijzen? Neem gerust contact op!