Rechten van betrokkenen

Met het toenemen van het privacybewustzijn bij burgers, neemt ook het beroep dat betrokkenen doen op de rechten die zij uit de AVG hebben toe. Het afhandelen van inzageverzoeken is bij uitstek het moment om klantwaarde te bieden. Met een goed georganiseerd werkproces op basis van de Leanprincipes voorkom je dat de organisatie overvallen wordt door een inzageverzoek. Dat proces moet ook voldoen aan de richtlijnen die AP en de EDPB hiervoor hebben opgesteld. Bovendien is er inmiddels jurisprudentie waar je ook rekening mee moet houden. In dit hoofdstuk zet ik dat op een rijtje en sluit ik af met tips voor de organisatie van het proces.

Voorbereiding op verzoeken

Een goede voorbereiding kan voorkomen dat je organisatie overvallen wordt door een betrokkene die zijn rechten uit wil oefenen. Zeker gezien de termijn van één maand waar binnen aan een inzageverzoek moet worden voldaan, is het belangrijk om het proces hiervoor op voorhand te ontwikkelen.

De eerste stap is om een privacybeleid op te stellen. In dat beleid wordt beschreven hoe de organisatie om gaat met de gegevensbescherming en de (U)AVG. Een belangrijk deel van het beleid zijn de rechten die betrokkenen hebben. Het beleid beschrijft welke privacyrechten gelden, in welke gevallen gehoor gegeven wordt aan verzoeken van betrokkenen en hoe dat gebeurt. Hoe wordt de identiteit vastgesteld? Hoe handelt de organisatie als het inzageverzoek complex is of de betrokkene verschillende verzoeken doet? Daarnaast wordt beschreven of er inzagerechten uit andere wetgeving van toepassing is en hoe deze zich verhoudt ten opzichte van de AVG.

Dit beleid werk je verder uit in een werkproces dat beschrijft hoe de organisatie aan verzoeken gaat voldoen. Het werkproces maakt met behulp van de RASCI matrix duidelijk wie wat doet bij een verzoek en wie waar verantwoordelijk voor is. Dat is ook het moment om te bekijken of en zo ja, welke technische maatregelen nodig zijn om toekomstige verzoeken vlot af te wikkelen. Is er snel een overzicht waar persoonsgegevens in systemen worden vastgelegd? Zijn de gegevens goed uit de systemen te halen?

Deze werkinstructies worden conform de PDCA-cyclus na een aantal keren in de praktijk te zijn gebruikt, geëvalueerd en aangepast.

Welke rechten kunnen betrokkenen uitoefenen?

De AVG geeft betrokkenen, de personen van wie je persoonsgegevens vast hebt gelegd, de volgende rechten:

Het recht van inzage

Het recht op rectificatie

Het recht op gegevenswissing (recht op vergetelheid)

Het recht op beperking van de verwerking

Het inzagerecht

Het recht van inzage is geregeld in art. 15. Het eerste lid van dit artikel geeft de betrokkene het recht om de persoonsgegevens in te zien en geeft tevens aan welke informatie verder moet worden verstrekt (lid 1 a t/m h). De toelichting op dit artikel (recital 63) noemt expliciet dat persoonsgegevens betreffende de gezondheid ook onder dit artikel vallen. Dus diagnosen, onderzoeksresultaten en verrichte behandelingen, beoordelingen door behandelende artsen vallen ook onder het inzagerecht.

In januari 2022 heeft de European Data Protection Board (EDPB) nieuwe richtlijnen vastgesteld voor het inzagerecht. In deze richtlijnen stelt de EDPB onder andere dat de wijze van identificatie gelet op de omstandigheden relevant, passend en evenredig moet zijn. In de praktijk betekent dat het opvragen van een kopie van een identiteitsdocument een te zware manier van identificeren kan zijn. Vaak kunnen betrokkenen op andere manieren worden geïdentificeerd. Kijk dus vooral eerst welke gegevens van de betrokkenen je organisatie al in bezit heeft en in hoeverre daarmee de identiteit van de betrokkene kan worden vastgesteld. De richtlijn geeft ook advies over de wijze waarop de persoonsgegevens met de betrokkene moeten worden gedeeld. De EDPB adviseert dit bij voorkeur via een platform te laten verlopen. De kritiek hierop is dat dit voor grote organisaties een goede oplossing is, deze gebruiken vaak al platforms in de communicatie met de klant. Kleinere organisaties zijn hiervoor vaak nog niet voldoende gedigitaliseerd.

Daarnaast geeft de richtlijn aan in welke gevallen een organisatie een verzoek om inzage mag weigeren en wanneer hiervoor een vergoeding gevraagd mag worden.

Wat valt onder het inzagerecht?

Het inzagerecht geldt niet alleen voor gestructureerde bestanden of formele dossiers. Ook e-mails en andere informele documenten vallen onder dit recht. Deze kunnen echter bijvoorbeeld ook persoonlijke opvattingen van een leidinggevende bevatten. Het geven van inzage daarin kan mogelijk de privacy van derden schenden.

Art. 23 lid 1 i AVG geeft daarvoor een regeling. Je hoeft geen persoonsgegevens te verstrekken ‘voor zover dat noodzakelijk is en evenredig ter waarborging van de rechten en vrijheden van anderen’. In de praktijk betekent dit dat je dat wat je niet kunt delen onleesbaar moet worden gemaakt. De afweging of de privacy van derden wordt aangetast zal je per geval moeten maken. De rechtbank Midden-Nederland geeft in een uitspraak een handvat voor die afweging (ECLI:NL:RBMNE:2020:2222). In deze zaak waren bij een inzageverzoek een groot aantal e-mails weg gelaten. Naar de mening van de organisatie die het verzoek kreeg, bevatten deze interne notities met persoonlijke gedachten van medewerkers die uitsluitend voor intern overleg en beraad waren bedoeld. De rechtbank oordeelt dat op grond van art. 23 lid 1 i AVG de verweerder inderdaad geen persoonsgegevens hoeft te verstrekken als dat ten koste gaat van de privacy van anderen. Maar een beroep op art. 23 kan niet al te makkelijk worden gedaan. Er moeten gewichtige belangen zijn om een uitzondering te maken op het recht van inzage. De rechtbank concludeert dat door de organisatie niet duidelijk is gemaakt welk gewichtig belang er in dit geval is om inzage te weigeren. De organisatie heeft de inzage onterecht, althans onvoldoende gemotiveerd, heeft geweigerd.

Kortom, als inzage op basis van art. 23 lid 1 i wordt geweigerd, dient goed te onderbouwd te worden welke gewichtige redenen tot de weigering leiden.

De inzage moet zich beperken tot de gegevens van de betrokkene zelf. Gegevens van bijvoorbeeld familieleden van de betrokkene die inzage vraagt, vallen niet onder dit recht. De rechtbank Rotterdam heeft dit in een uitspraak op 19 maart 2021 nog eens duidelijk gesteld (ECLI:NL:RBROT:2021:2305).

Het inzagerecht geldt alleen voor de persoonsgegevens die de betrokkene zelf niet al in bezit heeft. E-mails tussen de organisatie en betrokkene bijvoorbeeld vallen niet onder het inzagerecht. Deze zijn immers al in handen van de betrokkene.

Uit een uitspraak van de Raad van State uit juli 2022 blijkt dat de verwerkingsverantwoordelijke bij een inzageverzoek geen gegevens hoeft te verstrekken die niet zonder hulp van een derde partij herleidbaar zijn (ECLI:NL:RVS:2022:1993). In deze zaak stelde de verzoeker dat de organisatie, in dit geval een gemeente, informatie moest verstrekken over gegevens die werden verwerkt bij het ophalen van zijn fiets in het fietsendepot van de gemeente. De gemeente verwerkt deze gegevens echter anoniem in een applicatie. De persoonsgegevens werden herleidbaar doordat de betrokkene aanvullende informatie aan de gemeente aanleverde. De verzoeker stelde dat daardoor ook deze gegevens onder de inzage moesten vallen.

De Raad van State (RvS) oordeelde echter dat zonder de extra informatie die de betrokkene zelf aanleverde er geen herleidbaarheid was en dat de gegevens daarom niet verstrekt hoefde te worden. In de rechtszaal was er ook discussie of IP-adressen onder het inzagerecht vallen. De gemeente stelde dat zij IP-adressen niet kan koppelen aan personen en dat ze ook niet beschikt over informatie om die koppeling te maken. Alleen de internetprovider kan die koppeling maken waardoor het voor haar persoonsgegevens zijn. Daarmee vallen ze voor de gemeente niet onder het inzagerecht, stelde ze. De RvS is het daarmee eens. De logs die de gemeente bewaarde, waren zgn. security logs. Deze bewaart de gemeente om bijvoorbeeld aangifte te kunnen doen als er (digitaal) ingebroken wordt. Voor de gemeente zijn deze niet te koppelen aan direct identificerende gegevens. Met deze stelling volgt de RvS het zogenaamde Breyer-arrest uit 2016 van het Europese Hof van Justitie (ECLI:EU:C:2016:339 en ECLI:EU:C:2016:779).

De gemeente hoefde dus niet aan een derde partij, in dit geval de internetprovider, te vragen om de voor haar pseudonieme gegevens te herleiden naar een betrokkene, zodat ze deze vervolgens kan verstrekken in het kader van een inzageverzoek. Bij een inzageverzoek hoeven dus geen extra persoonsgegevens te worden verwerkt om tot herleidbaarheid te komen.

Inzage in medische gegevens

In een zaak die uiteindelijk bij de hoogste Nederlandse rechter, de Hoge Raad (HR) terecht kwam ging het ook om de vraag wat onder het inzagerecht valt (ECLI:NL:PHR:2022:762). Een ziekenhuispatiënt die een behandelend arts aansprakelijk stelde voor vermeende medische fouten, wilde inzage in het advies dat op verzoek van de aansprakelijkheidsverzekeraar was opgesteld door een andere arts. In dat advies beoordeelde de arts de handelwijze van de behandelend arts. Het ziekenhuis waar de arts werkt, is van mening dat dit advies niet onder het inzagerecht van de patiënt valt.

In deze zaak speelt naast het inzagerecht uit de AVG ook een specifiek recht op inzage in het medisch dossier (o.a. röntgenfoto’s, diagnoses en operatieverslagen) uit de Wet Geneeskundige Behandelingsovereenkomst (WGBO). Dit inzagerecht staat naast het inzagerecht uit de AVG. De Advocaat-Generaal (AG) die de HR adviseert, is van mening dat de patiënt op grond van de WGBO geen recht op inzage heeft in het rapport. Niet ten opzichte van de medisch adviseur die het rapport heeft opgesteld en ook niet ten opzichte van het ziekenhuis. De AG ziet het advies als een ‘papieren exercitie’ op basis van bestaande medische gegevens. De opsteller van het advies heeft de patiënt niet behandeld, beoordeeld of gekeurd. Ook ten opzichte van het ziekenhuis heeft de patiënt geen inzagerecht. Dit omdat het advies niet is opgesteld in het kader van de behandeling van de patiënt en niet noodzakelijk is voor een goede hulpverlening aan de patiënt.

Ook de AVG biedt volgens de AG in dit geval geen uitkomst voor de patiënt. De Uitvoeringswet AVG (UAVG) geeft een aantal uitzonderingen op grond waarvan een inzageverzoek mag worden geweigerd. Dat kan bijvoorbeeld als dit noodzakelijk en evenredig is ter waarborging van ‘de bescherming van de betrokkene of van de rechten en vrijheden van anderen’ (art. 23 lid 1 i). Deze uitzondering biedt het ziekenhuis en de aansprakelijkheidsverzekeraar de mogelijkheid om een patiënt die inzage wenst in een medisch advies dit te weigeren. In dit geval hebben het ziekenhuis en diens aansprakelijkheidsverzekeraar het recht op standpuntbepaling en voorbereiding van de verdediging in vrijheid en beslotenheid: ‘Ook een ziekenhuis of een aansprakelijkheidsverzekeraar moet een medisch adviseur kunnen vragen een casus te beoordelen in de veilige wetenschap dat diens bevindingen de wederpartij niet bereiken.’

De patiënt krijgt dus geen inzage in het advies, niet op grond van de WGBO en ook niet op basis van de AVG.

Kopie van gegevens of alleen een lijst?

Art. 15 AVG bepaalt dat de organisatie aan de betrokkene een kopie van de persoonsgegevens moet verstrekken. In de praktijk levert dit veel discussie op: moeten de persoonsgegevens zelf geleverd worden of volstaat een lijst met welke persoonsgegevens worden verwerkt? In de praktijk verschilt daardoor de manier waarop organisaties inzageverzoeken afhandelen: de ene organisatie beperkt zich tot het verstrekken van een overzicht van de persoonsgegevens die zich in systemen en/of documenten bevinden, terwijl andere organisaties de volledige documenten waar de persoonsgegevens zich in bevinden, zeg maar de brongegevens, delen met de verzoeker .

Het Europese Hof van Justitie (HvJ), de hoogste Europese rechter, legt in een uitspraak van mei 2023 uit wat naar haar mening onder een kopie van de persoonsgegevens moet worden verstaan (ECLI:EU:C:2023:369). Zij stelt dat betrokkene recht heeft op een ‘getrouwe en begrijpelijke reproductie’ van al zijn persoonsgegevens die worden verwerkt.

Dit recht houdt in dat de betrokkene een uittreksel van de documenten krijgt. Maar, zo stelt het HvJ, het recht kan ook inhouden dat de volledige documenten of databankuittreksels moet worden gedeeld. Dat laatste is alleen nodig als dit onontbeerlijk is voor de betrokkene om de andere rechten uit de AVG uit te kunnen oefenen.

Kortom, het inzagerecht is niet altijd beperkt tot (een opsomming van) persoonsgegevens zelf. Het kán zijn dat een kopie van integrale stukken moet worden overhandigd aan de betrokkene. Dit laatste is het geval als deze gegevens nodig zijn voor het uitoefenen van de andere uit de AVG, zoals het recht op rectificatie en wissing.

Boete voor het vragen van een kopie ID ter identificatie

Zoals ik hiervoor al schreef heeft het volgens de richtlijnen van de EDPB de voorkeur om geen kopie ID op te vragen voor de identificatie.

De Autoriteit Persoonsgegevens (AP) heeft in januari 2022 DPG Media een boete opgelegd van 525.000 euro voor het niet in behandeling nemen van inzageverzoeken als de verzoeker geen kopie van een ID-bewijs overlegde. De motivatie van het boetebesluit is in lijn met de richtlijnen van de EDPB. De AP stelt dat een verwerkingsverantwoordelijke geen onnodige drempels op mag werpen voor betrokkenen om het inzagerecht uit te oefenen. Daarnaast mogen niet meer gegevens opgevraagd worden dan voor het doel noodzakelijk is. De opgevraagde gegevens moeten dus in verhouding staan tot het doel van de verwerking (proportionaliteit) en dit doel moet niet op een minder ingrijpende wijze kunnen worden gerealiseerd (subsidiariteit). De AP stelt dat het opvragen van een kopie van een ID-bewijs als de identiteit van de betrokkene op een andere manier kan worden geverifieerd, in strijd is met die beginselen. Het verwerken van kopieën van ID-bewijzen levert bovendien een groot risico op voor de veiligheid van persoonsgegevens. Bovendien twijfelt de AP aan het nut van het opvragen van een kopie ID: de verwerkingsverantwoordelijke kan er niet zeker van zijn dat de kopie authentiek is en dat de eigenaar van de identiteitskaart daadwerkelijk de verzoeker is.

Tegen dit besluit heeft DPG een rechtszaak aangespannen. In haar uitspraak geeft de rechtbank Amsterdam de AP inhoudelijk gelijk maar verwerpt zij de opgelegde boete. In haar vonnis onderkent de rechter het spanningsveld bij inzageverzoeken (ECLI:NL:RBAMS:2023:5074). Aan de ene kant moeten organisaties geen onnodige drempels opwerpen bij inzageverzoeken, aan de andere kant moeten ze voorkomen dat persoonsgegevens aan de verkeerde persoon worden verstrekt. Dat laatste maakt identificatie noodzakelijk. Het opvragen van een kopie identiteitsbewijs was in dit geval onnodig. Bij een aantal verzoeken was een andere, minder ingrijpende wijze van identificatie mogelijk. Bovendien weegt de rechtbank mee dat DPG de betrokkene er niet op attendeerde dat de gevoelige gegevens op het identiteitsbewijs afgeschermd mochten worden. De conclusie van de rechtbank is dat DPG op deze wijze een ongeoorloofde drempel opwierp voor betrokkenen om hun inzagerecht uit te oefenen.

DPG heeft dus de AVG overtreden maar de door de AP opgelegde boete vindt de rechtbank niet terecht. De reden hiervoor is dat DPG, hoewel ze een drempel opwierp, niet lichtzinnig met haar verplichtingen uit de AVG is om gegaan. Ze heeft weliswaar een verkeerde inschatting gemaakt, maar dat betekent nog niet dat haar handelen verwijtbaar is. Bovendien laat de rechtbank meewegen dat de AP langzaam reageerde, soms zelfs pas na jaren. DPG reageerde steeds na enkele weken. Het lag dus niet aan DPG dat de overtreding zo lang voortduurde. Als laatste speelt mee dat het opvragen van een kopie ID slechts bij enkele verzoeken plaatsvond. Het merendeel werd via het portal van DPG afgehandeld.

Termijnen en kosten

Voor het opvolgen van een inzageverzoek stelt de AVG een termijn van één maand: binnen die termijn moet het zijn afgehandeld. Echter, als een verzoek ingewikkeld is of dezelfde betrokkene meerdere verzoeken heeft gedaan dan mag je twee maanden extra nemen voor het afhandelen van de inzage. Deze verlenging moet wel gemotiveerd worden binnen de termijn van een maand.

Als een betrokkene een breed geformuleerd inzageverzoek doet waarbij het om een grote hoeveelheid gegevens gaat, mag de organisatie de betrokkene vragen om meer specifiek te zijn in zijn verzoek. Welke gegevens wil de betrokkene specifiek inzien?

In principe mogen geen kosten gerekend worden voor het geven van inzage. Echter, art. 15 lid 3 regelt wel dat als na de eerste kosteloze kopie nog meer kopieën door de betrokkene worden opgevraagd, de organisatie hiervoor een redelijke vergoeding mag rekenen op basis van de administratieve kosten voor de afhandeling.

Rectificatie en vergetelheid

Als na de inzage blijkt dat de persoonsgegevens onjuist zijn, dan geeft art. 16 aan betrokkene het recht om de gegevens te laten rectificeren door de verwerkingsverantwoordelijke. Dit dient onverwijld te gebeuren, er wordt dus niet zoals bij het inzagerecht een termijn gegeven waarbinnen dit dient te gebeuren. Zodra betrokkene dit verzoekt, moet gerectificeerd worden.

Naast het recht van inzage en rectificatie heeft de betrokkene het recht dat op zijn verzoek zijn gegevens door de verwerkingsverantwoordelijke worden gewist. Het zogenaamde ‘recht op vergetelheid’. Artikel 17 regelt in lid 1 a t/m f wanneer dit van toepassing is. Daarbij dienen wettelijke voorschriften te worden nageleefd. Dat wil zeggen dat als er wettelijke bewaartermijnen voor de persoonsgegevens bestaan, deze niet mogen worden gewist.

Artikel 18 als laatste geeft aan in welke gevallen de betrokkene het recht heeft dat de verwerking van de persoonsgegevens wordt beperkt.

Een beroep op het recht van vergetelheid en beperking van de verwerking is onder meer mogelijk als de persoonsgegevens onrechtmatig zijn verwerkt (art. 17 lid 1d en art. 18 lid 1b).

De uitspraak van het Europees Hof van Justitie (HvJ) uit mei 2023 geeft duidelijkheid over het begrip onrechtmatige verwerking in relatie tot deze rechten (ECLI:EU:C:2023:373). In deze zaak had de Duitse IND haar register van verwerkingsactiviteiten niet op orde én er waren persoonsgegevens van deze bestuurlijke instantie naar een gerechtelijke instantie doorgestuurd zonder de gezamenlijke verwerkingsverantwoordelijkheid te regelen. De vraag was of met deze tekortkomingen een beroep gedaan kan worden op de onrechtmatigheid uit art. 17 en 18.

Het Hof oordeelt dat een verwerking rechtmatig is als hiervoor een van de grondslagen uit artikel 6 is. Als er geen grondslag voor de verwerking is dan is de verwerking onrechtmatig. Het niet-nakomen van de verplichtingen uit de artikelen 26 en 30 AVG is niet voldoende om een verwerking als onrechtmatig te bestempelen. Er kan in dit geval dus geen beroep op het recht van vergetelheid of beperking worden gedaan omdat de verwerking onrechtmatig is.

Afhandeling van verzoeken: 6 stappen

Het afhandelen van inzageverzoeken is bij uitstek een moment is om vanuit privacy klantwaarde te bieden. Dat kan alleen met een efficiënt proces waarbij elke processtap waarde voor de klant die zijn rechten uit wil oefenen, toevoegt. Als er nog geen proces binnen jouw organisatie is, kun je dit zelf ontwerpen. Als er al een proces is dan kun je dit in kaart brengen en bij elke stap kijken of deze noodzakelijk is of dat er sprake van verspilling is. De wijze waarop het werkproces om verzoeken van betrokkenen af te handelen is georganiseerd, zal per organisatie verschillen. In het algemeen zal elk proces in ieder geval de volgende stappen kennen.

Stel de identiteit van de betrokkene vast. Dit doe je, zoals we hiervoor zagen, bij voorkeur zonder een ID-bewijs of kopie daarvan op te vragen. Probeer in eerste instantie de identiteit van de verzoeker vast te stellen met de gegevens die jouw organisatie al in bezit heeft

Stuur een bevestiging van het verzoek en vermeld daarin voor welke datum de verzoeker inzage krijgt. Hiervoor hanteer je de termijn van één maand. Als deze termijn niet haalbaar is dat geef je met redenen omkleed aan dat je de termijn met 2 maanden verlengd. .

In bepaalde gevallen mogen de persoonsgegevens niet gedeeld worden. Dit geldt bijvoorbeeld voor sommige gegevens die onder de Wet op de inlichtingen- en veiligheidsdiensten vallen. Als dit het geval is en niet aan het verzoek voldaan kan worden , dan is er wel de verplichting dit met redenen aan de verzoeker te melden. Geef dus de afweging aan die is gemaakt en die tot het weigeren van het verzoek heeft geleid.

Verzamel de gegevens waarin inzage moet worden gegeven. Dat kan dus in veel gevallen een lijst zijn van de gegevens die je organisatie van de betrokkene heeft. In de praktijk is het handig om een overzicht te hebben in welke applicaties persoonsgegevens vastgelegd zijn. Dit lijstje kun je maken op basis van het register van verwerkingsactiviteiten. Zet in dat lijstje bij voorkeur de persoon die verantwoordelijk is voor de applicatie. Op deze manier kun je snel de gegevens boven water hebben. Wellicht kun je zo klantwaarde bieden door de gegevens sneller te overhandigen dan de toegezegde termijn.

Zoals hiervoor beschreven moet de privacy van anderen, van derden gerespecteerd worden bij de inzage. Dat betekent dat persoonsgegevens die niet relevant zijn voor de betrokkene die de inzage vraagt, gemaskeerd moeten worden. Dat maskeren kun je bijvoorbeeld met behulp van een tool in Adobe pdf doen, maar als de hoeveelheid groot is, loont het wellicht om hiervoor specifieke software aan te schaffen. In de markt zijn verschillende applicaties beschikbaar.

Stel deze gegevens ter beschikking aan de verzoeker. Zoals hiervoor opgemerkt bij de bespreking van de EDPB richtlijn doe je dit bij voorkeur via een download platform. Als er een gering aantal inzageverzoeken wordt gedaan, loont het niet om een applicatie specifiek hiervoor aan te schaffen. Gebruik dan een algemene download applicatie om de documenten met de verzoeker te delen.