De Autoriteit Persoonsgegevens (AP) hoeft niet uitgebreid onderzoek te doen naar iedere klacht over mogelijke onrechtmatige verwerking van persoonsgegevens. Wie een klacht indient, hoeft een AVG-overtreding niet zelf te bewijzen, maar moet wel objectieve aanknopingspunten aandragen. Dat oordeelt de rechtbank Gelderland in een uitspraak van 3 september.
De zaak draait om een vrouw die bij de AP een klacht indiende over een onderzoeksbureau dat zij zelf had ingeschakeld. Het bureau had onder meer onderzoek gedaan naar haar telefoon en laptop en had daarvoor wachtwoorden gekregen. Volgens de vrouw had het bureau vervolgens zonder haar toestemming persoonsgegevens gedeeld met haar ex-partner en diens advocaat. Ook vermoedde zij dat het bureau toegang had gehouden tot haar apparatuur en e-mailaccount.
De vrouw wees onder meer op onverklaarbare activiteiten in haar mailbox, bestanden die zij niet zelf zou hebben geplaatst en de omstandigheid dat haar ex-partner en diens advocaat beschikten over gegevens die zij naar eigen zeggen niet aan hen had verstrekt. De AP zag daarin onvoldoende aanleiding om verder onderzoek te doen.
Volgens de rechtbank mocht de AP die keuze maken. Artikel 57 AVG verplicht de toezichthouder een klacht te onderzoeken ‘in de mate waarin dat gepast is’. Daarbij heeft de AP ruimte om te bepalen hoe uitgebreid het onderzoek moet zijn.
Van iemand die een klacht indient mag volgens de AP niet worden verlangd dat diegene zelf bewijst dat een organisatie de AVG heeft overtreden. Wel mag de toezichthouder objectieve aanknopingspunten verlangen die wijzen op een mogelijke overtreding. De rechtbank volgt die benadering.
Die aanknopingspunten ontbraken hier. Dat de ex-partner of zijn advocaat over bepaalde gegevens beschikte, betekende volgens de rechtbank niet dat deze via het onderzoeksbureau waren verkregen. Zij konden de gegevens ook op een andere manier hebben gekregen. Dat de vrouw niet wist hoe, was onvoldoende om aan te nemen dat het onderzoeksbureau de bron moest zijn.
Ook de technische aanwijzingen waren onvoldoende. Zo was op haar apparatuur een trackingcookie gevonden, maar daaruit bleek niet dat het onderzoeksbureau toegang had gehouden tot haar laptop of telefoon. Ook andere onverklaarbare gebeurtenissen op haar computer en in haar mailbox waren volgens de rechtbank niet concreet aan het bureau te koppelen.
De AP hoefde volgens de rechtbank ook geen uitgebreid technisch onderzoek te starten om alsnog te achterhalen wat er precies was gebeurd. Daarbij mocht de toezichthouder meewegen dat zo’n onderzoek veel tijd zou kosten, terwijl er onvoldoende aanwijzingen waren dat daarmee daadwerkelijk een AVG-overtreding kon worden vastgesteld.
Ook zag de rechtbank geen breder maatschappelijk belang dat nader onderzoek noodzakelijk maakte. De vrouw stelde dat het onderzoeksbureau mogelijk ook gegevens van anderen zou kunnen verspreiden, maar onderbouwde dat niet. De AP gaf bovendien aan niet bekend te zijn met andere klachten over het bureau.
Het beroep is daarom ongegrond. De uitspraak maakt duidelijk dat wie de AP inschakelt vanwege een mogelijke AVG-overtreding die overtreding niet zelf hoeft te bewijzen, maar wel concrete en objectieve aanwijzingen moet kunnen aandragen. Ontbreken die aanwijzingen, dan mag de AP besluiten geen nader onderzoek te doen.
