ECLI:NL:GHSHE:2023:3911 text/xml public 2025-03-21T21:44:52 2023-11-23 Raad voor de Rechtspraak nl Gerechtshof 's-Hertogenbosch 2023-11-23 200.329.962_01 Uitspraak Hoger beroep NL 's-Hertogenbosch Civiel recht Einduitspraak: ECLI:NL:GHSHE:2024:1239 Einduitspraak: ECLI:NL:GHSHE:2024:2602 Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming)
Rechtspraak.nl NJF 2024/41 JBP 2024/14
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:GHSHE:2023:3911 text/html public 2023-12-05T14:56:16 2023-12-05 Raad voor de Rechtspraak nl ECLI:NL:GHSHE:2023:3911 Gerechtshof 's-Hertogenbosch , 23-11-2023 / 200.329.962_01
art. 15 AVG / inzageverzoek / verzocht om een volledig overzicht van verwerkte gegevens en kopieën / tussenbeschikking
GERECHTSHOF ’s-HERTOGENBOSCH Team Handelsrecht
Uitspraak : 23 november 2023
Zaaknummer : 200.329.962/01
Zaaknummer eerste aanleg : C/01/385620 / EX RK 22-127
in de zaak van
[appellante] ,
wonende te [woonplaats] ,
appellante,
hierna te noemen: [appellante] ,
gemachtigde: [gemachtigde] ,
tegen
Stichting [stichting] ,
gevestigd te [vestigingsplaats] ,
verweerster,
hierna te noemen: [verweerster] ,
advocaat: mr. E.J. Peerboom-Gerrits te ‘s-Hertogenbosch.
1 Het verloop van de procedure
1.1. Bij beroepschrift met bijlagen (nr. 1 t/m 12), ingekomen ter griffie van dit hof op 8 augustus 2023, formele inleverdatum 20 juli 2023 (het exemplaar van het beroepschrift dat – in tegenstelling tot het aanvankelijk geweigerde beroepschrift van 20 juli 2023 – niet het maximum toegestane aantal bladzijden van 25 overschreed), heeft [appellante] – kort weergegeven en nader aangeduid in het beroepschrift – het hof verzocht, uitvoerbaar bij voorraad, de beschikking van de rechtbank Oost-Brabant van 26 april 2023, te vernietigen en tot het alsnog toewijzen van haar verzoek om [verweerster] te gelasten om binnen een termijn van vier weken een volledig en begrijpelijk overzicht aan [appellante] te verstrekken in de zin van artikel 15 AVG, alsmede kopieën van de persoonsgegevens, op straffe van een dwangsom. [appellante] heeft verder verzocht dat [verweerster] wordt veroordeeld in de kosten van beide procedures waaronder ook alle door [appellante] gemaakte kosten.
1.2.
[verweerster] heeft in haar verweerschrift, ingekomen ter griffie van dit hof op 19 september 2023, het hof verzocht het beroep tegen de uitspraak van de rechtbank van
Oost-Brabant niet-ontvankelijk, althans ongegrond te verklaren en de voornoemde uitspraak te bekrachtigen.
1.3. Bij brief van 17 oktober 2023 heeft het hof, naar aanleiding van de brief van 2 oktober 2023 van [appellante] (zie ook hierna) en de reactie daarop namens [verweerster] , partijen het volgende bericht:
“In een brief van 2 oktober 2023 heeft de gemachtigde van [appellante] een volmacht overgelegd, alsook (daarachter) een brief gevoegd in reactie op hetgeen namens [verweerster] is aangevoerd in onderdeel 1.2. van haar verweerschrift.
Inmiddels is daarop namens [verweerster] gereageerd bij brief van 16 oktober 2023 (…).
Het hof zal, bij wijze van uitzondering, thans reeds op de opgeworpen vraag reageren vooruitlopend op haar beschikking in deze zaak op het onderhavige punt.
Het hof kan thans volstaan met verwijzing naar haar uitspraak van 25 juli 2021, ECLI:NL:GHSHE:2021:2252, in het bijzonder rechtsoverweging 3.7.1.
("Het hof merkt allereerst op van oordeel te zijn dat [de betrokkene] , procederend zonder advocaat, in zijn hoger beroep kan worden ontvangen en verwijst daarbij onder andere naar zijn uitspraak van 1 februari 2018, ECLI:NL:GHSHE:2018:363 r.o. 3.7.1. e.v. (met betrekking tot de Wet bescherming persoonsgegevens, voorloper van de AVG) en naar artikel 35 lid 4 Uitvoeringswet AVG (hierna UAVG), dat ook ziet op hoger beroep.").
In lijn met deze vaste jurisprudentie van het hof is dan ook geen gelegenheid geboden aan [appellante] om een verzuim te herstellen, nu van een verzuim volgens het hof geen sprake is. In het midden kan dan ook blijven hetgeen door [verweerster] op dit punt nader is opgemerkt.”
1.4. Het hof heeft verder kennisgenomen van de inhoud van:
de aanvullende stukken (de volmacht en de brief van 2 oktober 2023) van [appellante] , ingekomen ter griffie van dit hof op 5 oktober 2023;
de middels V6-formulier ingekomen reactie namens [verweerster] op voormelde brief van 2 oktober 2023, ingekomen ter griffie van dit hof op 16 oktober 2023 en
de op de mondelinge behandeling in hoger beroep door [appellante] en [verweerster] overgelegde en voorgelezen pleitaantekeningen respectievelijk pleitnota.
1.5. De mondelinge behandeling heeft plaatsgevonden op 25 oktober 2023. Bij die gelegenheid zijn gehoord:
namens [appellante] , haar gemachtigde [gemachtigde] en
namens [verweerster] , mevrouw [informatieadviseur] (informatieadviseur), bijgestaan door mr. Peerboom-Gerrits.
1.6. Op 17 november 2023 heeft mr. Peerboom-Gerrits namens beide partijen laten weten dat geen minnelijke regeling is bereikt. De uitspraak is bij vervroeging bepaald op heden.
2 De beoordeling
Kern van het geschil
2.1. De vraag die in deze zaak voorligt is of het door [verweerster] verstrekte overzicht op 20 juli 2022 voldoet aan het artikel 15 AVG-verzoek van [appellante] . Daarnaast ligt de vraag voor of [verweerster] verplicht is om kopieën van documenten te verstrekken op grond van voormeld artikel, zoals door [appellante] is verzocht.
Feiten
2.2. In dit hoger beroep kan worden uitgegaan van de volgende feiten.
[appellante] huurt sinds 21 september 1987 een woning van [verweerster] in [woonplaats] op basis van een tussen partijen gesloten huurovereenkomst.
Per brief van 7 juli 2022 heeft [appellante] [verweerster] verzocht om haar een overzicht en kopieën te verstrekken van de persoonsgegevens die [verweerster] van haar (heeft) verwerkt op grond van artikel 12 en 15 lid 1 AVG:
“(…)
Ik wil graag, conform wettelijke bepalingen hieromtrent, een niet versleuteld, duidelijk en begrijpelijk en leesbaar overzicht en inzage in klare taal van alle gegevens en bestanden die u van mij heeft en alle bescheiden die op enigerlei wijze aan mij gerelateerd kunnen worden en of herleidbaar zijn tot mijn persoon.
Hiermee worden ook alle bouwkundige rapporten en technische verslagen, metingen en adviezen, zowel intern van aard als van derden, betreffende de gehuurde woning [adres appellante], bedoeld die herleidbaar zijn tot mijn persoon.
Daarnaast vraag ik u aan mij tevens schriftelijk het volgende te laten weten:
- Wat het doel is van het gebruik van mijn gegevens.
- Aan wie u de gegevens eventueel (indien van toepassing) heeft verstrekt.
-Welke passende waarborgen voor doorgifte u heeft getroffen als u deze gegevens heeft doorgegeven aan andere personen en of andere organisaties.
-Wat de herkomst is van de gegevens.
- Hoe lang u de gegevens naar verwachting opslaat.
-Of er sprake is van geautomatiseerde besluitvorming, waaronder profilering. In dat
geval wil ik graag weten wat de onderliggende logica hiervan is. Wat is uw belang en wat zijn de verwachte gevolgen van deze geautomatiseerde besluitvorming voor mij?
(…)
Ik ontvang graag van u binnen 14 dagen, doch uiterlijk binnen de wettelijke termijn van 4 weken na dagtekening van dit schrijven, het onderhavige overzicht en kopieën van de persoonsgegevens die ik in dit schrijven vraag en antwoord op bovenstaande vragen.
(…)”
- [verweerster] heeft, bij brief van 22 juli 2022 – met in een bijlage een overzicht persoonsgegevens uit haar computersysteem [computersysteem] – als volgt op voornoemd verzoek gereageerd:
“ Verwerking persoonsgegevens
Verwerkt [verweerster] uw persoonsgegevens? Het antwoord daarop is ja, [verweerster] verwerkt uw persoonsgegevens gelet op de wijze waarop de wet verwerking van persoonsgegevens formuleert. Grondslag voor de verwerking is uitvoering van een overeenkomst, in uw situatie op basis van uw huurovereenkomst.
Soort gegevens
U wenst te vernemen welke gegevens [verweerster] van u heeft. Allereerst merken wij op dat de grondslag de huurovereenkomst is die u met [verweerster] heeft gesloten waarbij het voor uitvoering van de huurovereenkomst van belang is dat bepaalde zaken worden uitgevoerd. Dit is ook het doel van het bewaren en verstrekken van uw persoonsgegevens. Als bijlage treft u een overzicht van de gegevens aan.
Gegevens gehuurde woning
U verzoekt in uw mailbericht ook om bescheiden ten aanzien van het onderwerp meer specifiek:
"Hiermee worden ook alle bouwkundige rapporten en technische verslagen, metingen en adviezen, zowel intern van aard als van derden, betreffende de gehuurde woning [adres appellante] te [woonplaats] , bedoeld die herleidbaar zijn tot mijn persoon".
[verweerster] heeft haar onderhoudswerkzaamheden uitbesteed aan [betrokkene 1] . Zij verrichten namens [verweerster] het klachtenonderhoud aan de huurwoningen van [verweerster] . Namens [verweerster] verrichten zij de inspecties en voeren het onderhoud uit. Een eventuele bouwkundige rapportage bevat dan ook het adres van het gehuurde en gegevens zoals telefoonnummer en emailadres om afspraken te kunnen maken met de huurder zodat het onderhoud uitgevoerd kan worden. Deze gegevens zijn derhalve te herleiden tot het vastgoed en u huurt het vastgoed van [verweerster] . Op grond van de uitvoering van de huurovereenkomst vindt uitwisseling van gegevens
plaats en heeft [verweerster] met [betrokkene 1] een verwerkersovereenkomst gesloten.
Aanvullende vragen
Daarnaast stelt u nog een aantal aanvullende vragen die wij onderstaand per vraag zullen beantwoorden.
Wat is het doel van het gebruik van mijn gegevens?
Doel van het gebruik van uw gegevens is uitvoering geven aan de verplichtingen die
voortvloeien uit de huurovereenkomst.
Aan wie worden gegevens verstrekt?
Uw gegevens worden verstrekt aan partijen die namens [verweerster] uitvoering geven aan de huurovereenkomst. Dit betreft [betrokkene 1] voor het onderhoud van de woningen en [betrokkene 2] voor de incasso van de huurbetalingen.
Welke passende waarborgen getroffen?
Toegang tot systemen is geborgd middels een twee factor identificatie en contractuele afspraken die zijn vastgelegd tussen [verweerster] en de door haar ingeschakelde partijen. Daarnaast hanteert [verweerster] als uitgangspunt data minimalisatie en toegang tot gegevens uitsluitend op 'need to know' basis.
Herkomst van de gegevens
Herkomst van de gegevens betreft de door u verstrekte gegevens, vastgoed gerelateerde gegevens en eventuele rapportages.
Bewaartermijn gegevens
De gegevens worden bewaard gedurende de huurovereenkomst. Indien de huurovereenkomst is beëindigd dan zal gedurende twee jaar de gegevens worden bewaard die voor [verweerster] van belang zijn voor haar fiscale en financiële verantwoording.
Of sprake is van geautomatiseerde besluitvorming waaronder profilering
Er is bij [verweerster] geen sprake van geautomatiseerde besluitvorming dan wel profilering. Enige kwalificatie die voortvloeit uit het systeem is of sprake is van een huurder of een koper wat gebaseerd is op de soort overeenkomst die gesloten is.
(…)”
- Bij brief van 28 juli 2022 heeft [appellante] zich bij [verweerster] beklaagd over het antwoord op haar verzoek:
“(…)
Ik beklaag me in dit kader over het feit dat [verweerster] ontwijkend c.q. afwijzend reageert ten aanzien van mijn verzoek d.d. 7 juli 2022 om een niet versleuteld, duidelijk en begrijpelijk en leesbaar overzicht en inzage in klare taal van alle gegevens en bestanden die u van mij heeft en alle bescheiden die op enigerlei wijze aan mij gerelateerd kunnen worden en/of herleidbaar zijn tot mijn persoon.
(…)
Met andere woorden: ik verlang een volledig en compleet overzicht in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal van alle bescheiden in mijn dossier en met name specifiek afschriften c.q.( foto) kopieën c.q. reproducties van de volgende bescheiden.
Ik wens afschriften c.q.( foto) kopieën c.q. reproducties van alle bouwkundige rapporten en technische verslagen, metingen, meetverslagen, en adviezen, zowel intern van aard als van derden, betreffende de gehuurde woning [adres appellante] te [woonplaats] die herleidbaar zijn tot mijn persoon.
Tevens wens ik afschriften c.q.( foto) kopieën c.q. reproducties van alle correspondentie inzake alle klachten, zowel van onderhoud technische als juridische aard betreffende de gehuurde woning [adres appellante] te [woonplaats] die herleidbaar zijn tot mijn persoon.
Dat [verweerster] haar onderhoudswerkzaamheden heeft uitbesteed aan [betrokkene 1] doet aan mijn inzagerecht niets af.
Ook het feit dat [verweerster] met [betrokkene 1] een verwerkersovereenkomst heeft gesloten, is in deze niet relevant.
Als verwerkingsverantwoordelijke blijft [verweerster] altijd verantwoordelijk voor de persoonsgegevens die [verweerster] verwerkt. Ook wanneer [verweerster] die verwerking uitbesteedt aan een verwerker. Ik heb immers mijn persoonsgegevens met [verweerster] gedeeld. En niet met uw verwerker [betrokkene 1] .
De verwerkersovereenkomst met [betrokkene 1] betekent niet dat [verweerster] als verwerker geen verantwoordelijkheden ( meer) heeft. Ook [verweerster] moet aan bepaalde AVG-regels voldoen. Huurders mogen dat ook van [verweerster] verwachten.
Bovendien heeft [verweerster] ( zelf) op of omstreeks 13 april 2021 opdracht gegeven aan een extern klimaat technisch onderzoeksbureau uit [plaats] dat op 21 april 2021 een klimaatbeheersingsonderzoek heeft uitgevoerd in de door mij gehuurde woning [adres appellante] te [woonplaats] .
Ik neem aan dat daar destijds een meetverslag van is gemaakt dat vervolgens aan opdrachtgever [verweerster] is uitgereikt c.q. is verstrekt en dat in het onderhavige opnamerapport mijn persoonsgegevens zijn verwerkt.
Met name verzoek ik hierbij, conform het gestelde in artikel 15 lid 3 van de EU-AVG, nogmaals om een kopie van dit meetverslag en alle hierover voor- en nadien de datum van 21-04 2021 gevoerde correspondentie ( brieven, e-mails, telefoonnotities e.d. ).
(…)”
Op 1 augustus 2022 heeft een medewerkster van [verweerster] per e-mail aan [appellante] bericht dat haar collega afwezig was en dat zij die collega bij terugkeer van vakantie zou vragen om inhoudelijk op de brief van [appellante] te reageren.
Per brief van 31 augustus 2022 heeft [appellante] [verweerster] gesommeerd om binnen drie werkdagen na dagtekening van haar schrijven de gevraagde bescheiden aan haar ter beschikking te stellen.
Bij e-mail van 27 september 2022 heeft [verweerster] [appellante] nog een tweetal afschriften toegezonden, namelijk een rapport van 9 juli 2019 (opgemaakt naar aanleiding van een klacht van [appellante] over te droge lucht in de woning, service-order [nummer] ) en een Meetverslag Lekdetectie van AB Klimaatbeheersing van 21 april 2021 (opgemaakt naar aanleiding van een klacht van [appellante] over tochtoverlast).
Bij verzoekschrift, ingekomen ter griffie van de rechtbank Oost-Brabant op 13 september 2022, heeft [appellante] de rechtbank Zeeland-West-Brabant verzocht om [verweerster] te bevelen een volledig en begrijpelijk overzicht te verstrekken alsmede kopieën van de onderliggende stukken, op straffe van een dwangsom. [verweerster] heeft verweer gevoerd.
Bij beschikking van 26 april 2023 heeft de rechtbank Oost-Brabant het verzoek van [appellante] afgewezen. De rechtbank is van oordeel dat het door [verweerster] aan [appellante] verstrekte verwerkingsoverzicht, in de gegeven omstandigheden, voldoet aan de vereisten van artikel 15 AVG en dat [verweerster] haar geen nadere of andere informatie hoeft te verstrekken dan zij al heeft gedaan.
2.3.
[appellante] heeft zowel in haar beroepschrift als bij gelegenheid van de mondelinge behandeling in hoger beroep – samengevat weergegeven – het volgende aangevoerd. Volgens [appellante] is het door [verweerster] overgelegde overzicht niet volledig. Zo ontbreken in het overzicht – naar aanleiding van de klachten van [appellante] over haar woning – de e-mails van 12 juli 2021, de correspondentie tussen haar advocaat mr. [advocaat] en [verweerster] van 15 en 20 december 2021, de klachtmeldingen (waaronder de interne communicatie) en de (meet)rapporten die naderhand zijn toegestuurd. Volgens [appellante] is de inhoud hiervan te herleiden naar haar. Het standpunt van de rechtbank dat (enkel) een huurcontract in het overzicht opgenomen moet worden, is volgens [appellante] dan ook onbegrijpelijk. Ook vermeldt het overzicht niet alle informatie zoals bedoeld in artikel 15 lid 1 a tot en met h AVG. Volgens [appellante] is het aannemelijk dat [verweerster] nog meer informatie over haar heeft, gezien het aantal klachten van [appellante] over het onderhoud aan de woning en omdat [verweerster] naderhand meer stukken en documenten met persoonsgegevens van [appellante] heeft aangeleverd die op het inmiddels verstrekte overzicht ontbraken. [appellante] hoeft dan ook niet te bewijzen dat het verstrekte overzicht onvolledig en incompleet is. De wetgever heeft geen motiveringsplicht of bewijsplicht voor een verzoek om kennisneming bij de betrokkene gelegd, waardoor [appellante] ook geen belang voor haar inzageverzoek behoeft aan te geven, aldus [appellante] .
2.4.
[verweerster] heeft zowel bij verweerschrift als bij gelegenheid van de mondelinge behandeling in hoger beroep verweer gevoerd tegen de stellingen van [appellante] . Samengevat heeft [verweerster] aangevoerd dat zij heeft voldaan aan de verplichtingen die op haar rusten op grond van de AVG door op 22 juni 2022 een volledig verwerkingsoverzicht aan [appellante] te hebben verstrekt waarin alle door [verweerster] verwerkte en bij haar bekende persoonsgegevens van [appellante] zijn opgenomen. Daarnaast heeft [verweerster] zich op het standpunt gesteld dat er geen sprake is van een algemeen recht op kopieën en dat er gezien de omstandigheden van dit geval ook geen grond was om kopieën aan [appellante] te moeten verstrekken. Voor zover relevant zal het hof bij de beoordeling daarop nader ingaan.
2.5. Het hof komt tot de volgende beoordeling.
Procederend zonder advocaat
2.5.1. Het hof merkt allereerst op van oordeel te zijn dat [appellante] , procederend zonder advocaat, in haar hoger beroep kan worden ontvangen en verwijst daarbij onder andere naar zijn uitspraak van 1 februari 2018, ECLI:NL:GHSHE:2018:363 r.o. 3.7.1. e.v. (met betrekking tot de Wet bescherming persoonsgegevens, voorloper van de AVG) en naar artikel 35 lid 4 Uitvoeringswet AVG (hierna UAVG), dat ook ziet op hoger beroep.
Juridisch kader
2.5.2.
[appellante] heeft haar verzoek gebaseerd op het bepaalde in artikel 15 AVG. Het in dit artikel vervatte inzagerecht is bedoeld om de betrokkene in staat te stellen kennis te nemen van de persoonsgegevens die over hem of haar zijn verzameld en te controleren of die persoonsgegevens juist zijn en rechtmatig zijn vastgelegd. In artikel 15 AVG is bepaald:
“1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a. a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
(…)
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
(…)
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. (…)
(…)”
2.5.3. Uit artikel 15 AVG blijkt dat het inzagerecht beperkt is tot persoonsgegevens. De uitleg van het begrip ‘persoonsgegevens’ is dus bepalend voor de reikwijdte van het inzagerecht. Het Hof van Justitie van de Europese Unie (hierna: HvJ EU) heeft overwogen dat het gebruik van de woorden „iedere informatie” in de definitie van het begrip „persoonsgegevens” in artikel 2, onder a), van richtlijn 95/46 erop wijst dat het de bedoeling van de Uniewetgever was om een ruime betekenis te geven aan dit begrip, dat niet beperkt is tot gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elke soort informatie, zowel objectieve informatie als subjectieve informatie onder de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene „betreft”. Deze laatste voorwaarde is volgens het HvJ EU vervuld wanneer die informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde persoon. Dit betekent dat als de gegevens medebepalend zijn voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld, die gegevens als persoonsgegevens worden aangemerkt. Het gaat dus niet alleen om gegevens op basis waarvan een natuurlijk persoon geïdentificeerd kan worden (objectieve persoonsgegevens), maar ook om feitelijke of waarderende gegevens over iemands eigenschappen, opvattingen of gedragingen van een persoon zijn dus persoonsgegevens (subjectieve persoonsgegevens). Voor zover dergelijke gegevens geautomatiseerd worden verwerkt of voorkomen in bestanden is het inzagerecht ook op die verwerking van toepassing.
Geen algemeen recht op kopieën
2.5.4.
Artikel 15 lid 3 AVG bepaalt dat de verwerkingsverantwoordelijke de betrokkene een kopie verstrekt van de persoonsgegevens die worden verwerkt. Dit betekent volgens het hof echter niet dat de betrokkene zonder meer recht heeft op inzage in of kopieën van de stukken of dossiers als zodanig als daarin persoonsgegevens voorkomen. Het inzagerecht heeft namelijk tot doel de betrokkene in staat te stellen kennis te nemen van de persoonsgegevens die over de betrokkene zijn verzameld en te controleren of die gegevens juist zijn en rechtmatig zijn vastgelegd met de bedoeling dat die betrokkene eventueel de hem verleende rechten kan uitoefenen. Een betrokkene heeft daarom geen aanspraak op een kopie of afschrift van het originele document waarop zijn gegevens zijn vastgelegd, voor zover aan de met dat recht op inzage nagestreefde doelstelling volledig kan worden voldaan door een andere vorm van verstrekking. Zie HvJ EU 17 juli 2014, C-141/12 en C-372/12 (IND), ECLI:EU:C:2014:2081, r.o. 57-58.
In het arrest van het HvJ EU van 4 mei 2023 (Österreichische Datenschutzbehörde en CRIF, C-487/21, ECLI:EU:C:2023:369, r.o. 35-45 (hierna: het CRIF-arrest)) heeft het HvJ EU nadere uitleg gegeven over het inzagerecht van artikel 15 AVG. Volgens het HvJ EU moet de kopie van de persoonsgegevens die worden verwerkt en die de verwerkingsverantwoordelijke krachtens artikel 15, derde lid, eerste volzin, van de AVG moet verstrekken, alle noodzakelijke kenmerken vertonen om de betrokkene in staat te stellen de rechten die hij aan deze verordening ontleent daadwerkelijk uit te oefenen. Deze kopie moet deze gegevens dus volledig en getrouw reproduceren. De betrokkene kan het recht hebben om een kopie te verkrijgen van uittreksels uit documenten of zelfs van volledige documenten of databankuittreksels die onder meer die gegevens bevatten, indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen. Volgens het HvJ EU moet daarbij ook rekening worden gehouden met de rechten en vrijheden van anderen.
2.5.5. Inmiddels heeft het HvJ EU in de lijn van bovengenoemde arresten op 26 oktober 2023 arrest gewezen in de zaak betreffende inzage in een medisch dossier (C-307-22, ECLI:EU:C:2023:811) en daarbij het volgende overwogen aangaande het recht op een kopie van persoonsgegevens indien medische gegevens in het geding zijn:
“ 75 Derhalve houdt het recht om van de verwerkingsverantwoordelijke een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, in dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven. Dit recht omvat het recht om een kopie te verkrijgen van uittreksels uit documenten of zelfs van volledige documenten die onder meer die gegevens bevatten indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C 487/21, EU:C:2023:369, punt 45).
76 Wat de in het hoofdgeding aan de orde zijnde informatie betreft, moet worden opgemerkt dat de AVG gegevens noemt waarvan verzoeker in het hoofdgeding een kopie zou moeten kunnen vragen. Aldus wordt in overweging 63 van de verordening met betrekking tot persoonsgegevens betreffende de gezondheid verduidelijkt dat het recht van inzage van betrokkenen „de gegevens in hun medisch dossier [omvat], dat informatie bevat over bijvoorbeeld diagnosen, onderzoeksresultaten, beoordelingen door behandelende artsen en verrichte behandelingen of ingrepen”.
77 In dit verband heeft de Uniewetgever, zoals de advocaat-generaal in de punten 78 tot en met 80 van zijn conclusie in wezen heeft opgemerkt, wegens de gevoeligheid van persoonsgegevens die betrekking hebben op de gezondheid van natuurlijke personen benadrukt dat het belangrijk is dat de inzage van deze personen in hun gegevens in hun medisch dossier zo volledig en juist mogelijk, alsook begrijpelijk, is.
78 Wanneer het gaat om onderzoeksresultaten, adviezen van behandelende artsen en behandelingen of ingrepen bij de patiënt, die gewoonlijk vele technische gegevens of beelden omvatten, kan het verstrekken van een eenvoudige samenvatting of compilatie van die gegevens door de arts om deze in samengevoegde vorm te kunnen overleggen, het risico inhouden dat bepaalde relevante gegevens worden weggelaten of onjuist worden weergegeven of het in ieder geval moeilijker maken om de juistheid en volledigheid daarvan te controleren, en om deze te begrijpen.
79 Gelet op een en ander moet op de derde vraag worden geantwoord dat artikel 15, lid 3, eerste volzin, AVG aldus moet worden uitgelegd dat in het kader van een relatie tussen arts en patiënt uit het recht op een kopie van de persoonsgegevens die worden verwerkt voortvloeit dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden verstrekt. Dit recht omvat het recht om een volledige kopie te verkrijgen van de documenten in zijn medisch dossier die met name die persoonsgegevens bevatten, indien de verstrekking van een dergelijke kopie noodzakelijk is om de betrokkene in staat te stellen de juistheid en de volledigheid ervan te controleren en om de begrijpelijkheid ervan te waarborgen. Wat gegevens betreffende de gezondheid van de betrokkene betreft, omvat dit recht in ieder geval het recht om een kopie te verkrijgen van de gegevens van zijn medisch dossier, dat informatie bevat over bijvoorbeeld diagnosen, onderzoeksresultaten, beoordelingen door behandelende artsen en bij de betrokkene verrichte behandelingen of ingrepen”.
2.5.6. Als documenten niet alleen NAW-gegevens bevatten, maar ook feitelijke en waarderende gegevens over eigenschappen of gedragingen van een persoon lenen die gegevens zich niet altijd goed voor opname in een verwerkingsoverzicht. Volgens de Hoge Raad - in de lijn van het HvJ EU als hierboven geschetst - kan de betrokkene dan ook recht hebben op een (eventueel deels zwartgemaakte) kopie van de documenten waarin die gegevens zijn opgenomen, omdat dat de meest effectieve wijze is waarop voldaan kan worden aan de verplichting zo volledig en duidelijk mogelijk informatie te verschaffen aan de hand waarvan de rechtmatigheid en juistheid van de gegevens kan worden gecontroleerd.
Geen recht op inzage in interne notities en juridische analyses
2.5.7. Het hof merkt daarbij op dat het inzagerecht zich niet uitstrekt tot (delen van) interne notities die de persoonlijke gedachten van medewerkers van de verwerkingsverantwoordelijke bevatten en die uitsluitend bedoeld zijn voor intern overleg en beraad. Ook juridische analyses naar aanleiding van persoonsgegevens kunnen als zodanig niet worden gekwalificeerd als persoonsgegevens.
2.5.8. Het hof beoordeelt hierna eerst of kan worden aangenomen dat [verweerster] een volledig verwerkingsoverzicht heeft verstrekt. Daarna beoordeelt het hof of [appellante] belang heeft bij haar verzoek om een afschrift van de onderliggende stukken. Ten overvloede merkt het hof op dat deze beoordeling niet zal zien op ‘belang' bij haar verzoek als zodanig: in de hierboven aangehaalde uitspraak van het HvJ EU van 26 oktober 2023 is immers (en ook in lijn met eerdere jurisprudentie) uitdrukkelijk het volgende beslist:
“ 38 Vastgesteld moet worden dat noch de bewoordingen van artikel 12, lid 5, AVG, noch die van artikel 15, leden 1 en 3, van deze verordening de kosteloze verstrekking van een eerste kopie van de persoonsgegevens afhankelijk stellen van de voorwaarde dat deze personen een reden aanvoeren voor hun verzoek. Deze bepalingen bieden de verwerkingsverantwoordelijke dus niet de mogelijkheid om te verlangen dat de betrokkene zijn verzoek om inzage motiveert. (….)
51 Gelet op het belang dat de AVG toekent aan het door artikel 15, lid 1, AVG gewaarborgde recht van inzage van persoonsgegevens die worden verwerkt om dergelijke doelstellingen te bereiken, kan de uitoefening van dat recht derhalve niet worden onderworpen aan voorwaarden waarin de Uniewetgever niet uitdrukkelijk heeft voorzien, zoals de verplichting om zich te beroepen op een van de in overweging 63, eerste volzin, AVG vermelde redenen.
Welke persoonsgegevens heeft [verweerster] opgenomen in haar verwerkingsoverzicht?
2.5.9. In deze zaak heeft [verweerster] op 22 juli 2022 een verwerkingsoverzicht aan [appellante] verstrekt. Volgens [verweerster] zijn hierin alle door haar verwerkte en bij haar bekende persoonsgegevens van [appellante] opgenomen (bijlage 2b bij het verzoekschrift in eerste aanleg). Het overzicht betreft, zoals blijkt uit de titel ‘Overzicht persoonsgegevens [computersysteem] ’ op het voorblad bij deze gegevens, een uitdraai uit het door [verweerster] gebruikte softwaresysteem [computersysteem] . Het vermeldt enkel de naam van betrokkene, haar voorletters, mobielnummer, e-mailadres, geboortedatum, geslacht, adres en bankrekeningnummer. Verder is blijkens het overzicht geregistreerd dat sprake is van een huurovereenkomst en de datum waarop die huurovereenkomst is ingegaan. Bij e-mail van 27 september 2022 heeft [verweerster] aan [appellante] nog afschriften van twee andere stukken verstrekt.
Heeft [verweerster] een volledig verwerkingsoverzicht verstrekt?
2.5.10. Bij gelegenheid van de mondelinge behandeling in hoger beroep is namens [verweerster] aangegeven dat het verstrekte overzicht de gegevens vermeldt die [verweerster] heeft vastgelegd en dat er geen reden is om een heel uittreksel van alle klachten te overleggen. Volgens [verweerster] legt zij ook niet alles vast, omdat [betrokkene 1] (een door [verweerster] ingeschakelde derde) veelal de afhandeling van klachten over de woningen uitvoert. [verweerster] heeft verklaard dat huurders bij een onderhoudsklacht rechtstreeks telefonisch in contact kunnen komen met [betrokkene 1] na het doorlopen van een keuzemenu en dat het soms voorkomt dat de huurder rechtstreeks bij [verweerster] uitkomt. Volgens [verweerster] maakt zij alleen een notitie van de onderhoudsklacht om vervolgens het onderhoud uit te besteden. Alleen van klachten die al langer spelen, maakt [verweerster] een klantencontact in [computersysteem] . [verweerster] kan volgens haar namelijk onmogelijk alles noteren vanwege (dreigende) vervuiling van het systeem. Verder is verklaard dat [verweerster] wel zou “loggen”, dit wil zeggen – aldus begrijpt het hof voorshands – aantekeningen maakt van bepaalde klachten of verzoeken en dat het verstrekte overzicht een uittreksel is uit [computersysteem] .
2.5.11. Naar aanleiding van de mondelinge behandeling in hoger beroep komt het het hof voor dat bij [verweerster] , mede in het licht van de constante jurisprudentie van het Hof van Justitie, een (mogelijk te) beperkte opvatting heerst over wat onder ‘persoonsgegevens’ valt. Wat onder persoonsgegevens valt, is hiervoor onder 2.5.3. e.v. al aangegeven onder verwijzing naar recente uitspraken van het HvJ EU, de rechter die uiteindelijk bevoegd is de AVG nader uit te leggen en te duiden. Het hof acht de kans dan ook aanwezig dat er nog meer gegevens in het systeem van [verweerster] staan die ook op persoonsgegevens zien en die op het eerdere uittreksel van 22 juli 2022 niet zijn vermeld. Overigens gaat het hierbij niet alleen om het digitale systeem maar ook - indien aan de orde - om ‘alleen’ fysiek, bijvoorbeeld in ordners, opgeslagen stukken met persoonsgegevens als bedoeld in artikel 4 onder 1 AVG. De gedachte dat er meer gegevens zijn, wordt door de rapporten versterkt die op 27 september 2022 zijn toegestuurd. Daarin staan namelijk de contactgegevens van [appellante] vermeld, alsook (deels) medische gegevens van [appellante] c.s. Hoewel dit persoonsgegevens zijn, heeft [verweerster] deze rapporten niet in het overzicht opgenomen. Bovendien discussiëren partijen niet over de omstandigheid dat [appellante] veelvuldig en al veel langer klaagt bij [verweerster] . Het hof verwacht dan ook dat een voormeld klantencontact over [appellante] bij [verweerster] is aangemaakt.
2.5.12. Het hof acht zich op dit moment onvoldoende voorgelicht om in deze zaak definitief een beslissing te kunnen nemen. Het hof wenst daarom de uitkomst van een vernieuwd overzicht af te wachten, mede gelet op de bereidwilligheid die [verweerster] heeft laten zien tijdens de mondelinge behandeling in hoger beroep en gezien de mededeling van mevrouw [informatieadviseur] dat zij niet zelf het systeem nog heeft gecheckt op de aanwezigheid van meer persoonsgegevens in de administratie van [verweerster] voorafgaand aan de mondelinge behandeling in hoger beroep.
2.5.13.
Het hof draagt [verweerster] daarom op om, uiterlijk op de in het dictum van deze beschikking vermelde pro-forma datum, (nogmaals) haar administratie (zowel digitaal als niet-digitaal) te controleren en naar aanleiding daarvan een aanvullend overzicht conform de AVG in het geding te brengen betreffende door [verweerster] verwerkte en bij haar bekende persoonsgegevens van [appellante] dat, in het licht van de geldende jurisprudentie en van wat hiervoor onder meer in overweging 2.5.3. is overwogen, uitgebreider is dan het thans overgelegde uittreksel uit [computersysteem] . Volgens het CRIF-arrest gaat het erom dat de betrokkene een getrouwe reproductie verkrijgt van zijn – in ruime zin opgevatte – persoonsgegevens die door de verwerkingsverantwoordelijke zijn bewerkt op een manier die als verwerking moet worden aangemerkt.
Het overzicht moet bijvoorbeeld inzicht geven in de klachten van [appellante] , de opdrachten die naar aanleiding daarvan zijn verstrekt aan derden – zoals aan [betrokkene 1] – en wanneer, en de rapporten die in dat kader zijn opgesteld. Het overzicht hoeft geen melding te maken van interne correspondentie en/of notities.
Moet [verweerster] ook de onderliggende stukken verstrekken?
2.5.14. Ten aanzien van het verzoek tot afgifte van kopieën, overweegt het hof als volgt. Het in artikel 15 AVG neergelegde recht van inzage moet de betrokkene in staat stellen zich ervan te vergewissen dat de hem betreffende persoonsgegevens juist zijn en rechtmatig worden verwerkt. Hierbij dient wel hetgeen is omschreven in de jurisprudentie van het HvJ EU een ruimhartig beleid te worden gevoerd (zie hiervoor 2.5.3. - 2.5.5.), zo nodig met verstrekking van afschriften met zwartgemaakte gedeelten (bijvoorbeeld ter bescherming van de privacy van derden) waarbij wel voldoende context overblijft om [appellante] haar controlerecht c.a. te laten uitoefenen zoals door het HvJ EU omschreven. Als de met het recht op inzage nagestreefde doelstelling volledig kan worden voldaan door een andere vorm van verstrekking, dan behoeft [verweerster] niet zonder meer kopieën te overleggen maar dan verwacht het hof wel dat dit helder en begrijpelijk aan [appellante] wordt toegelicht. Aan de hand van het nieuwe overzicht en de daarbij horende toelichtingen zal het hof beoordelen of daaraan is voldaan.
2.5.15. Na ontvangst van het nieuwe overzicht – en toepassing van hoor en wederhoor – zal en dient het hof het verzoek van [appellante] opnieuw en nader te beoordelen. In beginsel zal alsdan geen nieuwe mondelinge behandeling plaatsvinden, tenzij het hof anders bepaalt.
2.6. Iedere verdere beslissing zal worden aangehouden.
3 De beslissing
Het hof:
houdt de behandeling van de zaak met het in rechtsoverweging 2.5.13. van deze beschikking overwogen oogmerk aan tot 18 januari 2024, PRO FORMA ;
houdt iedere verdere beslissing aan.
Deze beschikking is gegeven door mrs. R.R.M. de Moor, J.I.M.W. Bartelds en T. van der Valk en is in het openbaar uitgesproken op 23 november 2023.
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), PbEU 2016, L 119/1.
HvJ EU 20 december 2017, C‑434/16 (Nowak), ECLI:EU:C:2017:994, r.o. 34-35.
Hoge Raad 29 juni 2007, ECLI:NL:HR:2007:AZ4663, ECLI:NL:HR:2007:AZ4664 en ECLI:NL:HR:2007:BA3529.
O.a. Hof Amsterdam 5 juli 2011 ECLI:NL:GHAMS:2011:BR3020, Hoge Raad 29 juni 2007 ECLI:NL:HR:2007:AZ4663, ECLI:NL:HR:2007:AZ4664, ECLI:NL:HR:2007:BA3529.
Hof van Justitie 17 juli 2014, ECLI:EU:C:2014:2081 (gevoegde zaken C-141/12 en C-372/12 YS tegen Minister voor Immigratie, Integratie en Asiel).