Hoe steekt het inzagerecht in elkaar?

In beginsel heeft iedereen er recht op om aan een bedrijf of andersoortige instelling te vragen om inzage te verschaffen in de persoonsgegevens die deze organisatie van hem of haar verwerkt. In de praktijk worden dergelijke inzageverzoeken ook regelmatig gedaan. De organisatie die het verzoek ontvangt – de zogenaamde ‘verwerkingsverantwoordelijke’ in de zin van de AVG – heeft in beginsel een maand de tijd om de betrokkene te informeren over de persoonsgegevens die hij van de betrokkene verwerkt. Bovendien moet hij aanvullende informatie verstrekken over bijvoorbeeld het doel van die verwerking. Een doel kan bijvoorbeeld zijn: het verwerken van de persoonsgegevens van een klant om een bestelling te kunnen leveren. Maar: welke informatie moet er wel of niet worden gedeeld met de betrokkene? Wat is de reikwijdte van het inzagerecht?

Kwestie

In de kwestie die aan het Hof werd voorgelegd speelde het volgende. De betrokkene is lid van de gereformeerde kerk. Zij meent dat er binnen de kerkgemeente sprake is van smaad en laster ten aanzien van haar persoon. Om zich goed te kunnen verweren verzoekt zij de kerk om inzage in de documenten waarin haar persoonsgegevens zijn vastgelegd. De kerk weigert dat. Zij stelt onder meer dat er sprake is van een zogenaamde ‘phishing expedition’ (een algemeen, ongericht verzoek). De Kerk is daarnaast van mening dat zij geen kopieën van de betreffende documenten hoeft te verstrekken. Verder vindt zij dat het verzoek mede ziet op interne kerkelijke stukken (correspondentie tussen kerkenraadsleden, persoonlijke visies) en dat deze niet onder het recht op inzage vallen.

Wbp - AVG

Het verzoek van de betrokkene stamt overigens uit de voorloper van de AVG, de Wet bescherming persoonsgegevens (de Wbp). In verband met het geldende overgangsrecht – het recht dat geldt tijdens de overgang van de ene naar de andere wet – beoordeelt het Hof de kwestie zowel op grond van de Wbp als de AVG. Daarbij merkt het Hof op dat die beoordeling slechts minimaal verschilt. Alhoewel het verzoek tot inzage nog in de WBP-tijd is gedaan, is het arrest van het Hof dus ook nu relevant.

Beoordeling Hof

Het Hof oordeelt dat het recht op inzage niet op voorhand kan worden uitgehold omdat in de desbetreffende documenten vertrouwelijke (interne) correspondentie, persoonlijke aantekeningen of adviezen zouden zijn opgenomen. Het Hof is van oordeel dat onder “persoonsgegevens” moet worden verstaan iedere informatie die vanwege haar inhoud, doel of gevolg is gelieerd aan betrokkene, ongeacht of het om objectieve of subjectieve (meningen, oordelen) informatie gaat. Met deze informatie moet de betrokkene overigens wel redelijkerwijs identificeerbaar zijn voor de Kerk of enig andere persoon.

Volgens het Hof heeft de betrokkene in beginsel dus recht op inzage in persoonsgegevens in ‘ruime zin’ en niet enkel op persoonsgegevens in ‘strikte zin’. Dat betekent dat in beginsel ook subjectieve informatie over de betrokkene -, en dat zouden dus interne aantekeningen van leden van het kerkbestuur kunnen zijn - onder het inzagerecht kan vallen. Het inzagerecht ziet volgens het Hof daarom niet uitsluitend op de voor de hand liggende, ‘direct herleidbare’ persoonsgegevens van de betrokkene zoals naam, adres, telefoonnummer etc.

Volgens het Hof maakt de betrokkene echter niet zonder meer aanspraak op integrale kennisneming van de documenten uit het dossier. Zij heeft slechts recht op inzage in haar persoonsgegevens die haar moeten worden verstrekt in een “begrijpelijke vorm”. Voor wat betreft de wijze waarop deze inzage plaats dient te vinden, dient de Kerk in dit geval aan verweerster inzage te geven door het verstrekken van afschriften van de originele documenten waarin andere informatie dan de persoonsgegevens van de verweerster onleesbaar is gemaakt. De Kerk mag de documenten die zij aan verweerster ter inzage legt wel anonimiseren in die zin dat uitlatingen niet herleidbaar zijn tot de persoon die de uitlating heeft gedaan. Het is immers niet relevant voor de beoordeling van de rechtmatigheid van de gegevensverwerking wie die uitlating precies heeft gedaan, terwijl het ter inzage leggen wel een aantasting van de rechten van degene die de uitlating heeft gedaan kan opleveren. De kerk dient namelijk de rechten en vrijheden van anderen in acht te nemen bij het verstrekken van de kopieën van de documenten waarin de persoonsgegevens van betrokkene zijn opgenomen.

Dit laatste kan er volgens het Hof ook toe leiden dat een betrokkene geen inzagerecht heeft, namelijk indien na een belangenafweging geconcludeerd moet worden dat het ontzeggen van het inzagerecht noodzakelijk is ter bescherming van de rechten en vrijheden van anderen. Van dat laatste is in casu overigens geen sprake.

Conclusie

Kortom, Het inzagerecht wordt door het Hof relatief ruim opgevat. Ook interne vertrouwelijke aantekeningen over de betrokkene, gemaakt door werknemers van de verwerkingsverantwoordelijke, zouden bijvoorbeeld voorwerp van inzage kunnen zijn. Dat geldt in onze ogen overigens alleen als die aantekeningen überhaupt onder de toepasselijkheid van de AVG vallen. Bovendien moet er steeds een afweging gemaakt worden of de rechten en plichten van die desbetreffende medewerker niet te veel worden geschaad door het recht op inzage. Als dat het geval is - zelfs na anonimisering - dan zou dat een reden kunnen zijn om het inzageverzoek te weigeren.

Het Hof staat in haar arrest ook stil bij de vraag wat precies onder het verstrekken van ‘kopieën van de persoonsgegevens’ moet worden verstaan. De wet gaat in beginsel uit van het verstrekken van ‘kopieën’. Wat ons betreft is dat echter niet hetzelfde als het verstrekken van kopieën van de (integrale) documenten waar de persoonsgegevens in worden vermeld. Zeker niet, als dat de rechten en vrijheden van anderen zou kunnen schaden. De Autoriteit Persoonsgegevens stelt dat de verwerkingsverantwoordelijke in sommige gevallen ook zou kunnen volstaan met het verstrekken van een overzicht van de persoonsgegevens die worden verwerkt. Ook uit eerdere (Europese) jurisprudentie en overwegingen bij de richtlijn (uit 1995) die aan de Wbp ten grondslag heeft gelegen, blijkt dat de betrokkene niet zonder meer recht heeft op een afschrift van het document. Zo heeft de betrokkene niet zonder meer recht op een afschrift, als aan de met het recht op inzage nagestreefde doelstelling volledig kan worden voldaan met een andere vorm van verstrekking.

Dan kort nog iets over het phishing expedition-verwijt. De AVG geeft de betrokkene een algemeen recht op inzage. Dat betekent dat hij in beginsel geen belang op inzage hoeft aan te tonen, noch dat hij hoeft aan te geven welke persoonsgegevens hij precies zoekt. Niettemin geeft de Autoriteit Persoonsgegevens aan dat in sommige gevallen de verwerkingsverantwoordelijke aan de betrokkene kan vragen om nader te specificeren in welke gegevens hij precies inzage wil. Wij menen dat de betrokkene daar vervolgens wel weer in algemene zin op zou moeten kunnen antwoorden. Hij hoeft immers niet precies te weten welke persoonsgegevens de verwerkingsverantwoordelijke van hem onder zich heeft.

Het arrest van het Gerechtshof Den Haag (ECLI:NL:GHDHA:2019:2398) geeft ons meer inzage in de reikwijdte van het inzagerecht. Het Hof vat dat inzagerecht relatief ruim op en dat lijkt ook aan te sluiten bij de bedoeling van de wetgever. Dat betekent echter niet dat aan een verzoek om inzage in alle gevallen volledig en ongelimiteerd moet worden voldaan. Uiteindelijk zal het afhangen van de concrete omstandigheden van het geval. De mate van inzage zal derhalve per casus verschillen.

Heeft u te maken met een verzoek om inzage en twijfelt u over de informatie die u wel of niet moet verschaffen? Neem gerust contact met ons op.