Op 4 mei 2023 heeft het Hof van Justitie van de Europese Unie (Hof) arrest gewezen in zaak C-487/21. In deze zaak moest het Hof bepalen of een organisatie verplicht is om een kopie te verstrekken van alle persoonsgegevens die zij verwerkt wanneer een betrokkene daar om verzoekt op grond van artikel 15 van de Algemene Verordening Gegevensbescherming (AVG). In zijn arrest verduidelijkt het Hof de inhoud en de omvang van het recht van de betrokkene om inzage te krijgen in hem betreffende persoonsgegevens die worden verwerkt. In dit verband oordeelt het Hof dat het recht om van de verwerkingsverantwoordelijke een “kopie” te verkrijgen van de persoonsgegevens die worden verwerkt, inhoudt dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven.
Iedere betrokkene heeft het recht om de persoonsgegevens die van hem verzameld zijn in te zien. De AVG bepaalt dat de persoon van wie persoonsgegevens worden verwerkt het recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van zijn persoonsgegevens. En, wanneer dat het geval is, inzage te verkrijgen van die persoonsgegevens en van (onder meer) de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens en de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt. De betrokkene heeft daarnaast het recht op een kopie van zijn gegevens. Het inzagerecht stelt een betrokkene zodoende in staat om kennis te nemen van de persoonsgegevens die over hem zijn verzameld en te controleren of die gegevens juist zijn en rechtmatig zijn verwerkt.
CRIF is een kredietinformatiebureau dat op verzoek van zijn klanten informatie verstrekt over de kredietwaardigheid van consumenten en bedrijven. Daartoe heeft het ook de persoonsgegevens van verzoeker verwerkt. Op 20 december 2018 heeft verzoeker het kredietinformatiebureau op grond van de AVG verzocht om inzage in zijn persoonsgegevens. Daarnaast heeft hij verzocht om hem een kopie te verstrekken van de documenten, te weten e-mails en databankuittreksels, die zijn gegevens bevatten.
Het kredietinformatiebureau verstrekte de gevraagde inlichtingen echter gedeeltelijk in geaggregeerde vorm. Andere bescheiden, zoals e-mails of databank-uitdraaien, werden niet verstrekt. Daarop diende de verzoeker een klacht in bij de Österreichische Datenschutzbehörde (de Oostenrijkse gegevensbeschermingsautoriteit) omdat hij van mening was dat CRIF hem een kopie van alle documenten die zijn gegevens bevatten had moeten verstrekken. De toezichthouder heeft de klacht echter afgewezen en heeft betoogd dat de verzoeker geen recht heeft op een kopie.
Het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk), bij wie verzoeker beroep heeft ingesteld tegen dit besluit, heeft daarop het Hof gevraagd wat de reikwijdte is van de in de AVG bedoelde verplichting om de betrokkene een “kopie” te verstrekken van zijn persoonsgegevens. De bestuursrechter vraagt zich in het bijzonder af of aan deze verplichting is voldaan wanneer de verwerkingsverantwoordelijke de persoonsgegevens in geaggregeerde vorm verstrekt. Daarnaast vraagt de bestuursrechter of deze verplichting inhoudt dat uittreksels uit documenten of zelfs volledige documenten alsmede databankuittreksels waarin die gegevens zijn weergegeven, moeten worden overgelegd.
Het Hof merkt in de eerste plaats op dat de AVG geen definitie bevat van het begrip “kopie”. Het Hof sluit daarom aan bij de gebruikelijke betekenis van deze term. Dat houdt in “de getrouwe reproductie of transcriptie van een origineel”. Een beschrijving van de gegevens die worden verwerkt of een verwijzing naar categorieën persoonsgegevens voldoet niet aan die definitie en is dus onvoldoende. Het Hof komt daarom tot het oordeel dat de AVG de betrokkene het recht verleent om een getrouwe reproductie te verkrijgen van zijn persoonsgegevens.
De huidige leer wordt bevestigd dat de term “kopie” niet verwijst naar een document als dusdanig, maar slechts naar de persoonsgegevens die het document bevat. Het Hof benadrukt in dat verband (wederom) dat het recht van inzage de betrokkene in staat moet stellen zich ervan te vergewissen dat de hem betreffende persoonsgegevens juist zijn en rechtmatig zijn verwerkt. Het recht van inzage biedt de betrokkene met name de mogelijkheid om een aantal rechten uit te oefenen, zoals het recht op rectificatie, op gegevenswissing en het recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens.
Volgens het Hof blijkt voorts uit de AVG dat de verwerkingsverantwoordelijke ervoor moet zorgdragen dat de betrokkene alle informatie in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt. Dit betekent dat de kopie van de persoonsgegevens alle noodzakelijke kenmerken moet vertonen om de betrokkene in staat te stellen de rechten die hij aan de AVG ontleent daadwerkelijk uit te oefenen. Deze kopie moet deze gegevens dus volledig en getrouw reproduceren.
Om te waarborgen dat de aldus verstrekte informatie gemakkelijk te begrijpen is, kan het onder omstandigheden echter wel noodzakelijk zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die de persoonsgegevens bevatten worden verstrekt. Dit is volgens het Hof bijvoorbeeld aan de orde wanneer persoonsgegevens worden gegenereerd op basis van andere gegevens of wanneer dergelijke gegevens voortvloeien uit open tekstvelden.
Het Hof volgt hiermee de eerdere conclusie van de Advocaat-Generaal (1)
KENNISBANK