ECLI:NL:GHARL:2024:1925 text/xml public 2024-04-03T10:58:54 2024-03-19 Raad voor de Rechtspraak nl Gerechtshof Arnhem-Leeuwarden 2024-03-19 200.314.387/01 Uitspraak Hoger beroep NL Arnhem Civiel recht Eerste aanleg: ECLI:NL:RBMNE:2022:2320, (Gedeeltelijke) vernietiging en zelf afgedaan
Rechtspraak.nl
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:GHARL:2024:1925 text/html public 2024-04-03T10:58:26 2024-04-03 Raad voor de Rechtspraak nl ECLI:NL:GHARL:2024:1925 Gerechtshof Arnhem-Leeuwarden , 19-03-2024 / 200.314.387/01
Art. 8 EVRM, art. 15 AVG, art. 35 UAVG
Inzageverzoek persoonsgegevens, geen misbruik van recht, oud overzicht voldoet niet: subjectieve persoonsgegevens ontbreken; nieuwe overzichten voldoen wel.
GERECHTSHOF ARNHEM-LEEUWARDEN
locatie Arnhem
afdeling civiel recht
zaaknummer gerechtshof 200.314.387
(zaaknummer rechtbank Midden Nederland C/16/497205/HA RK 20-33)
beschikking van 19 maart 2024
inzake
[appellant]
die woont in [woonplaats1]
die hoger beroep heeft ingesteld
en bij de rechtbank optrad als verzoeker
hierna: [de betrokkene]
tegen:
DIVOSA, de landelijke vereniging van leidinggevenden van gemeentelijke diensten op het terrein van werk, inkomen en zorg
die is gevestigd in Utrecht
en bij de rechtbank optrad als verweerster
hierna: DIVOSA
advocaat: mr. J.G.S. Bakker.
1 Het verloop van de procedure in hoger beroep
1.1.
[de betrokkene] heeft hoger beroep ingesteld tegen de beschikking die de rechtbank Midden-Nederland, locatie Utrecht, op 25 mei 2022 tussen partijen heeft gegeven. Het procesverloop in hoger beroep blijkt uit:
het beroepschrift met bijlagen 1 tot en met 8 en de stukken van de procedure bij de rechtbank;
het verweerschrift van Divosa met producties 1 en 2;
brief [de betrokkene] van 1 december 2022;
brief [de betrokkene] van 26 januari 2023 met een aanvullende productie;
brief van [de betrokkene] van 16 februari 2023 met een aanvullende productie;
brief van Divosa van 17 april 2023;
brief van [de betrokkene] van 18 april 2023 met een aanvullende productie;
brief van Divosa van 20 april 2023;
brief van [de betrokkene] van 21 april 2023;
reactie van Divosa van 8 juni 2023 op de aanvullende producties van [de betrokkene] .
1.2. Op 20 juni 2023 heeft een mondelinge behandeling plaatsgevonden. Daarvan is een verslag gemaakt dat aan het dossier is toegevoegd (het proces-verbaal). Partijen hebben vervolgens om aanhouding van de zaak gevraagd om tot onderlinge afspraken te komen om het geschil te beëindigen of verder af te bakenen. Vervolgens heeft Divosa verzocht om een akte te mogen nemen. Divosa heeft op 12 oktober 2023 een akte genomen met producties 3 tot en met 8. [de betrokkene] heeft op 26 oktober 2023 een antwoordakte genomen met 22 bijlagen en twee USB-sticks met geluidsbestanden. Divosa heeft bezwaar gemaakt tegen de omvang van de antwoordakte en de overgelegde geluidsbestanden. Het hof heeft partijen op 31 oktober 2023 geïnformeerd dat de antwoordakte moet worden teruggebracht naar maximaal 15 pagina’s. Daarnaast heeft het hof de geluidsbestanden geweigerd en de USB-sticks teruggestuurd naar [de betrokkene] . Op 5 november 2023 heeft [de betrokkene] een nieuwe antwoordakte ingediend met geluidsfragmenten op twee USB-sticks. Daarop heeft Divosa opnieuw bezwaar gemaakt tegen de geluidsfragmenten en ook tegen de uitgeschreven versies daarvan. Het hof heeft partijen per brief van 13 november 2023 laten weten dat het bezwaar gegrond is en dat de geluidsfragmenten en de transcripties daarvan worden geweigerd. Ook deze USB-sticks zijn teruggestuurd naar [de betrokkene] .
1.3. Het hof heeft op 16 november 2023 partijen geïnformeerd dat één van de raadsheren die bij de mondelinge behandeling aanwezig was niet in staat is om mee uitspraak te doen en dat daarom een rechterswisseling zal plaatsvinden. Beide partijen hebben het hof geïnformeerd dat zij geen behoefte hebben aan een nieuwe mondelinge behandeling.
1.4. Vervolgens heeft het hof beschikking bepaald.
2 De kern van de zaak
2.1.
[de betrokkene] heeft Divosa inzage verzocht in zijn persoonsgegevens die Divosa heeft verwerkt tussen 1 januari 2012 en 1 oktober 2019. Divosa heeft hem een overzicht met zijn persoonsgegevens verstrekt. Volgens [de betrokkene] is dat overzicht niet volledig.
2.2.
[de betrokkene] heeft de rechtbank verzocht om Divosa te bevelen een volledig overzicht te verschaffen van zijn persoonsgegevens die zijn verwerkt in de administratie van Divosa met onder meer informatie over de doelen van de verwerking, welke persoonsgegevens aan derden zijn verstrekt en van derden zijn verkregen. Daarnaast heeft hij informatie verzocht over welke persoonsgegevens door medewerkers van Divosa zijn verstrekt via interviews met KPMG en verzoekt [de betrokkene] kopieën van de interviewverslagen. De rechtbank heeft zijn verzoeken afgewezen. [de betrokkene] heeft het hof in zijn beroepschrift verzocht Divosa alsnog te bevelen om een volledig overzicht te verstrekken, zoals hij bij de rechtbank heeft verzocht. In zijn antwoordakte van 5 november 2023 heeft [de betrokkene] zijn verzoek aangepast.
3 De feiten
3.1. Het hof gaat uit van de feiten zoals beschreven in de rechtsoverwegingen 2.1 tot en met 2.9 van de beschikking van 25 mei 2022 van de rechtbank Midden-Nederland, locatie Utrecht. De volgende feiten zijn in hoger beroep van belang.
3.2. Divosa is de Nederlandse vereniging voor gemeentelijke managers op het terrein van participatie, werk en inkomen. Divosa ontplooit namens alle gemeenten in Nederland initiatieven om werkloosheid terug te dringen. Tussen 1 november 2008 en 31 juli 2011 heeft [de betrokkene] , die als ambtenaar werkte bij de gemeente Rotterdam, werkzaamheden verricht bij Divosa.
3.3. De gemeente Rotterdam heeft KPMG Advisory N.V. (hierna: KPMG) de opdracht gegeven om onderzoek te doen naar mogelijke onregelmatigheden bij onder meer [de betrokkene] en aan hem verbonden (rechts)personen. KPMG heeft twee onderzoeken uitgevoerd. Uit die onderzoeken kwamen onregelmatigheden naar voren in het handelen van [de betrokkene] in de periode dat hij ook werkzaamheden verrichtte bij Divosa. Door de gemeente Rotterdam en Divosa zijn procedures tegen [de betrokkene] en de aan hem verbonden rechtspersonen gevoerd, waarbij [de betrokkene] is veroordeeld tot betaling van schadevergoeding, waaronder door het Hof Den Haag in 2017. Daarnaast is [de betrokkene] in 2020 door de rechtbank Rotterdam strafrechtelijk veroordeeld voor valsheid in geschrifte en gewoontewitwassen. Voor zover aan het hof bekend loopt het hoger beroep tegen die veroordeling nog.
3.4.
[de betrokkene] heeft op 20 september 2019 in een brief aan Divosa inzage verzocht in zijn persoonsgegevens. Op 20 oktober 2019 heeft [de betrokkene] dit verzoek beperkt tot de periodes van 1 januari 2012 tot 17 juli 2015 en vanaf 17 juli 2015 tot en met 1 oktober 2019.
3.5. Divosa heeft per brief van 20 december 2019 gereageerd op het inzageverzoek met een overzicht van de door haar verwerkte persoonsgegevens van [de betrokkene] . [de betrokkene] heeft per brief van 22 december 2019 aan Divosa laten weten dat de reactie op zijn verzoek niet compleet is en dat het verstrekte overzicht niet voldoet aan zijn verzoek. Op 10 januari 2020 heeft Divosa [de betrokkene] per brief geïnformeerd dat de door hem gevraagde gegevens niet in haar bezit zijn en dat het eerder toegestuurde overzicht juist en volledig is. In reactie daarop heeft [de betrokkene] op 13 januari 2020 per e-mail aanvullende vragen gesteld aan Divosa en nogmaals aangegeven dat diverse gegevens in het overzicht ontbreken.
3.6. Op 13 juli 2023 heeft Divosa [de betrokkene] een aanvullende opgave verstuurd van haar digitale juridische zaakdossier en haar papieren dossier. [de betrokkene] heeft in zijn reactie laten weten dat deze opgave niet correct en volledig is en een groot aantal vragen bij hem oproept. Divosa heeft in het kader van een bespreking tussen partijen in september 2023 nog twee aanvullende overzichten verstrekt en een vragenlijst van [de betrokkene] beantwoord.
4 Het oordeel van het hof
4.1. Het hof oordeelt dat [de betrokkene] met zijn inzageverzoek geen misbruik van recht heeft gemaakt. Het verzoek van [de betrokkene] wordt wel afgewezen, omdat Divosa alsnog heeft voldaan aan zijn inzageverzoek. Het hof legt hieronder uit hoe het tot dit oordeel komt.
Geen misbruik van recht
4.2. De rechtbank heeft geoordeeld dat uit het verzoekschrift van [de betrokkene] ondubbelzinnig blijkt dat hij met zijn inzageverzoek een ander doel dient dan het doel van het inzagerecht en dat daarom sprake is van misbruik van recht. [de betrokkene] is het daar niet mee eens en voert onder meer aan dat hij wil weten welke persoonsgegevens Divosa van hem verwerkt, op grond waarvan en op welke wijze. Hij wil inzage in zijn persoonsgegevens om te kunnen controleren of deze gegevens juist en volledig zijn en om bezwaar te kunnen maken tegen verdere verwerking, aldus [de betrokkene] . Volgens Divosa wil [de betrokkene] met zijn inzageverzoek (i) nieuw bewijs verzamelen om te proberen zijn veroordelingen aan te tasten en (ii) Divosa op kosten jagen en blijven dwarszitten met procedures. Bovendien heeft [de betrokkene] volgens Divosa geen belang bij deze procedure, omdat zij al volledig en transparant aan het inzageverzoek van [de betrokkene] heeft voldaan.
4.3. Het hof stelt voorop dat het inzageverzoek van [de betrokkene] beoordeeld moet worden aan de hand van de regels uit de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet op de AVG (UAVG). De AVG is op 25 mei 2018 in werking getreden en vanaf dat moment is de Wet bescherming persoonsgegevens ingetrokken. [de betrokkene] heeft op 20 september 2019 inzage verzocht in zijn persoonsgegevens, dus toen de AVG al ruim een jaar in werking was. Op grond van artikel 15 AVG heeft [de betrokkene] recht op inzage in zijn persoonsgegevens. Een recht dat bedoeld is om in dit geval te kunnen controleren of de persoonsgegevens die Divosa van [de betrokkene] verwerkt, juist zijn en rechtmatig worden verwerkt.
4.4. Het recht op bescherming van persoonsgegevens is een grondrecht dat voortvloeit uit artikel 8 EVRM en onder meer is vastgelegd in artikel 8 van het Handvest van de grondrechten van de Europese Unie. Daarin is ook bepaald dat eenieder recht heeft op toegang tot de over hem verzamelde gegevens. Misbruik van dit recht, dat is uitgewerkt in artikel 15 AVG, kan daarom niet snel worden aangenomen. Dat [de betrokkene] wellicht (ook) een ander doel heeft met zijn inzageverzoek, zoals het gebruiken van bepaalde stukken in andere procedures, betekent dan ook nog niet dat hij misbruik maakt van zijn inzagerecht. Als het inzagerecht alleen wordt gebruikt om de verwerkingsverantwoordelijke (hier: Divosa) te schaden, kan wel sprake zijn van misbruik van het inzagerecht.
4.5. Volgens Divosa volgt uit de inhoud en inkleding van het verzoek van [de betrokkene] dat hij het inzagerecht voor een ander doel aanwendt dan het doel waarvoor dat is bedoeld. Een betrokkene, zoals [de betrokkene] , hoeft zijn inzageverzoek niet te motiveren. Dit brengt mee dat een inzageverzoek niet mag worden afgewezen met als reden dat [de betrokkene] volgens Divosa een ander doel heeft met dat verzoek dan het zich op de hoogte stellen van de verwerking van zijn persoonsgegevens en de rechtmatigheid daarvan te controleren. Het hof volgt Divosa ook niet in haar standpunt dat het inzageverzoek van [de betrokkene] zo evident tot een ander doel strekt dat sprake is van kwade trouw.
4.6. Het overzicht dat Divosa op 20 december 2019 aan [de betrokkene] verstrekte, was onvoldoende om de verwerking van zijn persoonsgegevens te kunnen controleren. In dat overzicht staat eerst een opsomming van onderdelen van de administratie van Divosa met daarna een verwerkingsdoel en weergave van een aantal directe persoonsgegevens zoals de naam, de initialen, het (e-mail)adres of het telefoonnummer van [de betrokkene] . Daarnaast staan nog de herkomst, de ontvanger en het einde van de bewaartermijn vermeld. Anders dan Divosa aanvoert, heeft zij met dit overzicht geen volledige inzage gegeven in de zin van artikel 15 AVG. Weliswaar heeft Divosa in de begeleidende brief nog toegelicht welke documenten zich in de diverse onderdelen van haar administratie bevonden, maar de concrete verwerking van de persoonsgegevens ontbreekt. Het hof zal daar verderop in deze beschikking nader op ingaan.
4.7. Ook de context die Divosa schetst waarin [de betrokkene] zijn inzageverzoek heeft gedaan, heeft - gelet op de doelstellingen van de AVG - geen invloed op (de omvang van) het inzagerecht. Bovendien is het hof van oordeel dat [de betrokkene] voldoende heeft onderbouwd dat hij de (rechtmatigheid van de) verwerking van zijn persoonsgegevens wil kunnen controleren. Dat geldt zowel voor zijn inzageverzoek bij de rechtbank als voor zijn (herhaalde) verzoek bij het hof. [de betrokkene] voert terecht aan dat hij nog geen volledige inzage had gekregen en dat is voldoende reden voor het starten en voortzetten van deze procedure. Ook als hij die informatie (mede) voor andere doeleinden wenst te gebruiken, doet dat aan zijn belang bij deze procedure niet af.
4.8. In haar akte na de mondelinge behandeling voert Divosa nog aan dat ook uit zijn vragen en verzoeken nadien volgt dat [de betrokkene] misbruik maakt van zijn inzagerecht, omdat hij naar andere informatie op zoek is. Zoals Divosa in (randnummer 13 van) die akte echter terecht aanvoert, valt het verstrekken van een kopie van de persoonsgegevens onder het inzagerecht en zoals hiervoor in 4.6. geoordeeld en hierna nog verder zal worden toegelicht, ontbrak een dergelijke kopie in het door haar verstrekte overzicht.
4.9. Dit brengt mee dat [de betrokkene] met zijn verzoeken in deze procedure geen misbruik van het inzagerecht maakt.
De omvang van het hoger beroep
4.10. Aan het einde van de mondelinge behandeling hebben [de betrokkene] en Divosa afgesproken dat Divosa de persoonsgegevens uit haar juridisch zaakdossier, zoals in het verwerkingsoverzicht van 20 december 2019 onder punt 1 staat vermeld, zal aanvullen met de subjectieve persoonsgegevens daarin, met uitzondering van:
de persoonsgegevens in de processtukken;
de persoonsgegevens in de in- en uitgaande correspondentie met de advocaat die valt onder het beroepsgeheim.
Divosa heeft na de mondelinge behandeling een aanvullende zoekslag naar de persoonsgegevens van [de betrokkene] uitgevoerd in haar digitale juridische zaakdossier, in haar papieren dossier en in haar IT-systeem. Aan de hand daarvan heeft zij [de betrokkene] een nieuw overzicht verstrekt dat is onderverdeeld in drie delen, die Divosa bij haar akte heeft overgelegd.
4.11. In reactie op de nieuwe overzichten van Divosa heeft [de betrokkene] een groot aantal vragen gesteld, die deels door Divosa zijn beantwoord. In zijn antwoordakte verzoekt [de betrokkene] het hof om Divosa te verplichten antwoord te geven op de diverse door hem aan Divosa gestelde vragen, zodat hij op basis daarvan het hof kan berichten of de gestelde vragen in voldoende mate zijn beantwoord en hij voldoende inzage in zijn verwerkte persoonsgegevens en de bronnen daarvan heeft verkregen en of deze correct zijn opgenomen in het verwerkingsoverzicht.
4.12. Zowel tijdens de mondelinge behandeling bij het hof, als in de berichtgeving daarna heeft het hof partijen de mogelijkheid gegeven om hun geschil nader af te bakenen. Het hof heeft daarbij geen ruimte geboden om het geschil verder uit te breiden. Alleen het inzageverzoek van [de betrokkene] ligt voor in deze procedure. De aanvullende vragen die later in de onderlinge overleggen nog door hem zijn verwoord, vallen buiten de reikwijdte van artikel 15 AVG en daarmee ook buiten deze procedure. Het hof zal daarom wat partijen in hun aktes na de mondelinge behandeling bij het hof naar voren hebben gebracht meenemen bij de beoordeling van het inzageverzoek, voor zover dat daarvoor relevant is. Het hof zal dus niet afzonderlijk beslissen op de aanvullende vragen van [de betrokkene] en de daarop door Divosa gegeven antwoorden niet afzonderlijk beoordelen. Daarbij wijst het hof erop dat de beoordeling van de vraag of Divosa de persoonsgegevens van [de betrokkene] rechtmatig heeft verwerkt buiten de reikwijdte valt van deze verzoekschriftprocedure die is gebaseerd op artikel 15 AVG (en artikel 35 UAVG). Datzelfde geldt voor de vraag of het rechtmatig was dat Divosa ondanks het inzageverzoek van [de betrokkene] documenten heeft vernietigd op grond van de door haar gehanteerde bewaartermijnen.
Het eerste overzicht was onvolledig
4.13. Volgens [de betrokkene] is het overzicht dat Divosa hem op 20 december 20219 heeft verstrekt onvolledig, omdat daar aantoonbaar documenten in ontbreken waar zijn persoonsgegevens in zijn opgenomen en een opgave van subjectieve persoonsgegevens volledig ontbreekt. Volgens Divosa heeft zij correct en volledig aan het inzageverzoek voldaan. Daarnaast voert Divosa aan dat het inzagerecht niet absoluut is en [de betrokkene] onder meer geen recht heeft op inzage in interne overleggen, informatie die hij al heeft en correspondentie die valt onder de vertrouwelijke relatie met haar advocaten.
4.14. Op grond van artikel 15 lid 3 AVG moet Divosa [de betrokkene] een kopie verstrekken van de persoonsgegevens die zij van hem verwerkt. Deze verplichting houdt in dat Divosa een getrouwe en begrijpelijke reproductie moet verstrekken van de persoonsgegevens die Divosa van hem verwerkt. Dit kan meebrengen dat Divosa onderdelen van documenten of zelfs volledige documenten zou moeten verstrekken als dat noodzakelijk is om [de betrokkene] in staat te stellen zijn AVG rechten daadwerkelijk uit te oefenen. Daarbij moet uiteraard rekening worden gehouden met de rechten en vrijheden van anderen. De definitie van het begrip ‘persoonsgegevens’ in artikel 4 onder 1 van de AVG is zeer ruim. Het gaat om “ alle informatie over een (…) natuurlijke persoon ”. Het was de bedoeling van de Uniewetgever om een ruime betekenis te geven aan dit begrip, dat niet beperkt is tot gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elke soort informatie, zowel objectieve informatie als subjectieve informatie in de vorm van meningen of beoordelingen, voor zover die informatie de betrokkene betreft. Dat laatste is het geval wanneer die informatie wegens haar inhoud, doel of gevolg gelieerd is aan de betrokkene.
4.15. Zoals hiervoor in 4.6. al is geoordeeld, voldoet het eerste overzicht van Divosa niet aan de vereisten van artikel 15 lid 3 AVG. Dit overzicht bevat namelijk geen reproductie van de daadwerkelijk door Divosa verwerkte persoonsgegevens van [de betrokkene] . De vermelding van een onderdeel van de administratie van Divosa met vervolgens uitsluitend een opsomming van de directe persoonsgegevens zoals de naam of het adres van [de betrokkene] , geeft geen enkel beeld over de concrete verwerking van zijn persoonsgegevens in de documenten die zich in die administratie bevinden. Om [de betrokkene] in staat te stellen om zijn AVG-rechten daadwerkelijk uit te oefenen, is het noodzakelijk om de verwerkte gegevens in hun context te kunnen plaatsen. Bovendien stelt [de betrokkene] terecht dat de tussen partijen genoemde ‘subjectieve persoonsgegevens’ ontbreken in dit overzicht. Dat zijn persoonsgegevens die indirect herleidbaar zijn tot [de betrokkene] , zoals bijvoorbeeld zijn functie of bepaalde kwalificaties over hem. Ook die persoonsgegevens vallen, zoals hiervoor in 4.14. is overwogen, onder het begrip persoonsgegevens zoals genoemd in artikel 15 lid 3 AVG en hadden dus opgenomen moeten zijn in het overzicht van Divosa.
Met haar aangevulde overzichten voldoet Divosa wel aan het inzageverzoek
4.16. Op de mondelinge behandeling bij het hof hebben partijen afgesproken dat Divosa haar overzicht wat betreft het juridisch zaakdossier zal aanvullen met de subjectieve persoonsgegevens van [de betrokkene] (zie hiervoor in 4.10.). In dat kader heeft Divosa een nieuw overzicht aan [de betrokkene] verstrekt waarin de documenten staan genoemd die zich bevinden in dit juridisch zaakdossier met de datum van het document en een ‘aanvulling persoonsgegevens’. Daarin staat per document welke persoonsgegevens van [de betrokkene] in dat document voorkomen. Bij diverse documenten komt dat neer op een integrale weergave van de inhoud daarvan (bijvoorbeeld van e-mails) en bij de overige documenten staat een gedeeltelijke weergave of opsomming vermeld van de concrete persoonsgegevens die verwerkt zijn, dan wel de opmerking dat het betreffende stuk al in bezit is van [de betrokkene] . Naast deze aanvulling heeft Divosa [de betrokkene] een overzicht verstrekt van de verwerking van zijn persoonsgegevens in haar papieren dossier. Dit overzicht is op dezelfde wijze opgebouwd. Vervolgens heeft Divosa haar externe IT-leverancier gevraagd om haar IT-systeem met speciale software te doorzoeken op persoonsgegevens van [de betrokkene] in de digitale mappen die verwijderd zijn. Van de persoonsgegevens die met die software zijn gevonden, heeft Divosa op 22 september 2023 nog een aanvullend overzicht toegestuurd aan [de betrokkene] . In dat overzicht staan ‘document/herkomst’, ‘datum’, ‘aanvulling persoonsgegevens’, ‘ontvanger’ en ‘bewaartermijnen’. Ook in dit overzicht is in de kolom met ‘aanvulling persoonsgegevens’ de inhoud van het betreffende document (deels) weergegeven met her en der een stuk tekst zwart gemaakt.
4.17. Volgens [de betrokkene] heeft Divosa ook met deze aanvullende overzichten nog niet volledig voldaan aan zijn inzageverzoek. Hij voert onder meer aan dat Divosa miskent dat onder zijn verzoek, dat betrekking heeft op de periode van 1 januari 2012 tot 1 oktober 2019, ook de in die periode vernietigde documenten met zijn persoonsgegevens vallen, de inzage die Divosa aan KPMG heeft gegeven in het zogenaamde AKO-archief waarin zich persoonsgegevens van [de betrokkene] bevonden, de verstrekking van persoonsgegevens aan en van de Rijksrecherche en het Openbaar Ministerie en aan en van de gemeente Rotterdam en bepaalde informatie over de (rechtmatigheid van) verwerking van zijn persoonsgegevens. Daarnaast noemt hij vier voorbeelden van documenten die volgens hem ontbreken in het overzicht, maar er wel zijn.
4.18. Zoals hiervoor in 4.12. geoordeeld, valt de beantwoording van de vraag of Divosa onrechtmatig heeft gehandeld door (een deel van) haar archief met persoonsgegevens van [de betrokkene] te vernietigen buiten de reikwijdte van deze verzoekschriftprocedure. Zoals [de betrokkene] ook terecht onderkent, kan Divosa geen inzage verlenen in stukken die zij niet (meer) heeft. Dus ook al bevonden zich tussen (een deel van) de verwijderde documenten persoonsgegevens van [de betrokkene] die Divosa in de gevraagde periode van hem heeft verwerkt, kan zijn verzoek om daar alsnog inzage in te geven niet worden toegewezen, omdat vast staat dat Divosa niet meer over dit archief beschikt. [de betrokkene] heeft daarnaast geen belang bij de toewijzing van zijn verzoek wat betreft het ‘aangiftedocument’ en de verklaring van de directeur van Divosa op 18 juni 2019, omdat die al in zijn bezit zijn. Hij heeft die ook zelf overgelegd in deze procedure.
4.19.
[de betrokkene] heeft onvoldoende onderbouwd dat Divosa nog meer persoonsgegevens van hem zou verwerken dan in die vier overzichten staan vermeld. Divosa heeft in haar akte van 12 oktober 2023 en de daarbij overgelegde producties onderbouwd welke zoekslagen zij heeft verricht en dat alle persoonsgegevens die zij daarbij van [de betrokkene] heeft aangetroffen, heeft opgenomen in de genoemde vier overzichten. Ook uit de beantwoording van de vragen van [de betrokkene] , maakt het hof op dat Divosa niet meer persoonsgegevens van hem verwerkt dan waar zij nu inzage in heeft verstrekt. Dat de overzichten geen document of persoonsgegevens vermelden die zouden voorkomen in een melding aan de Autoriteit Persoonsgegevens inzake de verwerking van strafrechtelijke persoonsgegevens, dan wel een verwerkersovereenkomst of een belangenafweging, duidt er niet op dat er documenten zouden ontbreken. Deze verplichtingen voor Divosa uit de AVG of UAVG brengen niet per definitie mee dat in dergelijke documenten ook de persoonsgegevens van [de betrokkene] staan opgenomen. Deze verplichtingen gelden immers voor iedere verwerking van (strafrechtelijke) persoonsgegevens door Divosa. Voor zover [de betrokkene] hiermee bedoelt dat hij informatie wenst te verkrijgen of en in hoeverre Divosa zijn persoonsgegevens rechtmatig heeft verwerkt buiten de concrete inzage in zijn persoonsgegevens, valt dit verzoek, zoals al overwogen, buiten de reikwijdte van artikel 15 AVG. In tegenstelling tot wat [de betrokkene] betoogt, is Divosa ook niet verplicht om in het kader van zijn inzageverzoek per document of persoonsgegeven te vermelden op basis van welke wettelijke grondslag zij de diverse persoonsgegevens heeft verwerkt.
4.20. De (veronder)stelling van [de betrokkene] dat Divosa hem (bij besluit) een bevoegdheid heeft toegekend en dat Divosa in dat kader nog andere persoonsgegevens van hem moet hebben verwerkt, is voldoende door Divosa weerlegd. Divosa heeft in haar laatste overzicht ook volledige inzage verstrekt in het in dat kader genoemde document “Administratieve Organisatie Programmamanagement Ketensamenwerking G4-G5”. Dat [de betrokkene] de (wisselende) verklaringen daarover vanuit Divosa niet kan plaatsen, brengt niet mee dat daarmee op dit punt niet voldaan is aan zijn inzageverzoek. Bovendien heeft Divosa bij deze ‘zoekslag deel 3, ongestructureerde gegevens’ toegelicht dat zij haar externe IT-deskundige haar systemen met specialistische software op verwijderde bestanden met persoonsgegevens van [de betrokkene] heeft laten doorzoeken. Het is daarom verklaarbaar dat dit document daarna (weer) boven tafel is gekomen, terwijl Divosa eerst verklaarde niet over dit document te beschikken. Doordat Divosa [de betrokkene] alsnog inzage heeft gegeven door dit document (nagenoeg) integraal op te nemen in dat overzicht, moet hij nu voldoende in staat worden geacht om de verwerking van zijn persoonsgegevens in dit document te controleren. De overige stellingen van [de betrokkene] inzake zijn bevoegdheid in zijn periode bij Divosa vallen buiten de reikwijdte van het inzagerecht, onder meer omdat deze vragen betrekking hebben op de vraag of de verwerking zelf al dan niet rechtmatig was. Datzelfde geldt voor zijn stellingen over zijn handtekeningen die zijn opgenomen in de overzichten uit september 2023 van Divosa. Zoals hiervoor in 4.12. is overwogen, vallen de vragen die [de betrokkene] in onderdeel 9 van zijn antwoordakte van 5 november 2023 heeft opgenomen buiten de reikwijdte van zijn inzageverzoek.
4.21. Uit het voorgaande volgt dat Divosa met haar aanvullende overzichten en daarbij gegeven toelichtingen alsnog heeft voldaan aan het inzageverzoek van [de betrokkene] en de vereisten uit artikel 15 AVG. [de betrokkene] heeft daarom geen belang meer bij de toewijzing van zijn inzageverzoek. Zijn overige verzoeken vallen buiten de reikwijdte van deze inzageprocedure, waardoor de verzoeken van [de betrokkene] zullen worden afgewezen. Om die reden kunnen de overige verweren van Divosa onbesproken blijven.
5 Slotsom
5.1. De grieven slagen deels, zodat de bestreden beschikking zal worden vernietigd. De verzoeken van [de betrokkene] zullen alsnog worden afgewezen, omdat Divosa inmiddels aan haar verplichtingen uit artikel 15 AVG heeft voldaan, waardoor [de betrokkene] geen belang meer toekomt bij toewijzing van zijn verzoeken.
5.2. Omdat Divosa pas na de mondelinge behandeling in dit hoger beroep aan het inzageverzoek van [de betrokkene] heeft voldaan, zal Divosa in de kosten van beide instanties worden veroordeeld. [de betrokkene] procedeert in persoon, waardoor geen sprake is van een vergoeding voor advocaatkosten. Andere kosten zijn door [de betrokkene] niet aangevoerd, waardoor uitsluitend de door [de betrokkene] betaalde griffierechten voor vergoeding in aanmerking komen.
6 De beslissing
Het hof, beschikkende in hoger beroep:
6.1. vernietigt de bestreden beschikking van de rechtbank Midden-Nederland, locatie Utrecht, van 25 mei 2022,
6.2. wijst de verzoeken van [de betrokkene] af;
6.3. veroordeelt Divosa in de kosten van beide instanties, tot aan de bestreden uitspraak aan de zijde van [de betrokkene] wat betreft de eerste aanleg vastgesteld op € 304,- voor griffierecht en tot aan deze uitspraak wat betreft het hoger beroep vastgesteld op € 343,- voor het griffierecht;
Deze beschikking is gegeven door mrs. M.P.M. Hennekens, H. de Hek en W.F. Boele en in aanwezigheid van de griffier in het openbaar uitgesproken op 19 maart 2024.
ECLI:NL:RBMNE:2022:2320.
Hof Den Haag 4 april 2017, ECLI:NL:GHDHA:2017:829.
Vergelijk HvJEU 22 juni 2023, ECLI:EU:C:2023:501, punt 29-36.
Zie onder meer overweging 63 bij de AVG en HvJEU 4 mei 2023, ECLI:EU:C:2023:369, punt 34.
Artikel 8 lid 2 laatste zin Handvest van de grondrechten van de Europese Unie.
Vergelijk HvJEU 26 oktober 2023, ECLI:EU:C:2023:811, punt 50-52.
Artikel 3:313 BW en Guidelines 01/2022 on data subject rights - Right of access, version 2.0, randnummer 188.
Vergelijk HvJEU 26 oktober 2023, ECLI:EU:C:2023:811, punt 43.
Vergelijk HvJEU 22 juni 2023, ECLI:EU:C:2023:501, punt 88.
Vergelijk HvJEU 22 juni 2023, ECLI:EU:C:2023:501, punt 81-82.
HvJEU 26 oktober 2023, ECLI:EU:C:2023:811, punt 71-75 en HvJEU 4 mei 2023, ECLI:EU:C:2023:369, punt 31-45.
HvJ 20 december 2017, ECLI:EU:C:2017:994, punt 34-35.
Productie 4 bij de akte van 12 oktober 2023 Divosa
Productie 5 bij de akte van 12 oktober 2023 Divosa
Productie 6 bij de akte van 12 oktober 2023 Divosa