ECLI:NL:HR:2024:741 text/xml public 2025-03-21T16:09:05 2024-05-23 Raad voor de Rechtspraak nl Hoge Raad 2024-05-24 23/03263 Uitspraak Raadkamer NL Civiel recht Conclusie: ECLI:NL:PHR:2023:823
Rechtspraak.nl V-N Vandaag 2024/1156 V-N 2024/27.23 met annotatie van Redactie Module Privacy & AVG 2024/4402 JBP 2024/75
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:HR:2024:741 text/html public 2024-05-23T13:53:32 2024-05-24 Raad voor de Rechtspraak nl ECLI:NL:HR:2024:741 Hoge Raad , 24-05-2024 / 23/03263
Uitspraak vierde kamer. Vordering van de Procureur-Generaal als bedoeld in art. 7, 9 en 17 Regeling toezicht verwerking persoonsgegevens door gerechten en het parket bij de Hoge Raad. Klachten over de verwerking van persoonsgegevens in het kader van het E-archief. Voldoet de inrichting van het E-archief aan de normen van de AVG?
HOGE RAAD DER NEDERLANDEN
Vierde Kamer
Nummer 23/03263
Datum 24 mei 2024
BESLISSING
op een vordering als bedoeld in de artikelen 7, 9 en 17 van de Regeling toezicht verwerking persoonsgegevens door gerechten en het parket bij de Hoge Raad van 21 juli 2023, betreffende:
[klager],
hierna: de klager,
en
het bestuur van de rechtbank Noord-Nederland,
het bestuur van de rechtbank Amsterdam, en
het bestuur van de rechtbank Den Haag,
hierna ook gezamenlijk: de gerechtsbesturen.
1 De vordering van de Procureur-Generaal
1.1 De Procureur-Generaal bij de Hoge Raad der Nederlanden (hierna: de procureur-generaal) heeft op 21 juli 2023 een vordering ingediend waarin hij op de voet van art. 7 en art. 9 Regeling toezicht verwerking persoonsgegevens door gerechten en het parket bij de Hoge Raad (hierna: Regeling) schriftelijk heeft gevorderd dat de Hoge Raad een onderzoek instelt naar de wijze waarop de gerechtsbesturen als verwerkingsverantwoordelijken in de zin van de Algemene Verordening Gegevensbescherming (hierna: AVG) de persoonsgegevens van de klager hebben verwerkt in (het kader van) het E-archief (hierna: het eerste onderdeel van de vordering).
1.2 De procureur-generaal heeft in die vordering daarnaast op de voet van art. 17 Regeling ambtshalve gevorderd dat de Hoge Raad onderzoekt of de inrichting van het E-archief voldoet aan de normen van de AVG. Hij heeft dit onderdeel van zijn vordering beperkt tot de gerechtsbesturen (hierna: het tweede onderdeel van de vordering).
1.3 Ten aanzien van het eerste onderdeel van de vordering heeft de procureur-generaal zijn bevindingen als volgt samengevat. Voor zover de klachten zijn gericht tegen (i) de zakelijke inhoud van de rechterlijke beslissingen, in het bijzonder waar het gaat om de vermelding van de niet-professionele hoedanigheid als gemachtigde, en (ii) het niet opnemen van een uitspraak in het E-archief, kunnen deze niet in behandeling worden genomen. Ten aanzien van de overige klachten wordt in overweging gegeven deze ongegrond te verklaren, behalve voor zover wordt geklaagd over de opname in het E-archief van de uitspraak van de rechtbank Noord-Nederland van 23 februari 2002 en de uitspraak van de rechtbank Den Haag van 18 november 2021. Deze laatstgenoemde klachten acht de procureur-generaal gegrond omdat op het moment van deze opname niet was voldaan aan het beginsel van transparante gegevensverwerking van art. 5 lid 1, onder a, AVG.
1.4 Ten aanzien van het tweede onderdeel van de vordering heeft de procureur-generaal – kort gezegd – gevorderd dat de Hoge Raad onderzoekt of de inrichting van het E-archief naar de stand van 21 juli 2023 voldoet aan de normen van de AVG, welke vraag de procureur-generaal bevestigend beantwoordt. Daarbij heeft hij betrokken dat per 2022 verschillende maatregelen zijn getroffen om de toegang tot het E-archief te beperken, waaronder in het bijzonder het opschonen van bestaande autorisaties en de beperking van autorisaties tot in beginsel één rechtsgebied en de verruimde mogelijkheden van logging en monitoring. Ook heeft de procureur-generaal bij zijn bevestigende beantwoording van die vraag in aanmerking genomen dat flankerende maatregelen zijn getroffen – zoals het opwerpen van een drempel voor het zoeken in gegevens ouder dan tien jaar en het vergroten van het bewustzijn van de privacyaspecten van het E-archief en de logging – alsmede dat het gaat om een interne rechtspraakdatabank die alleen toegankelijk is voor bepaalde medewerkers van de rechtspraak met een aan hun functie gerelateerde geheimhoudingsplicht.
1.5
Bij de vordering heeft de procureur-generaal de volgende stukken overgelegd:
i. de brief van de klager aan de procureur-generaal van 9 september 2022 inhoudende een klacht in de zin van art. 7 Regeling tegen het bestuur van de rechtbank Noord-Nederland betreffende deze wijze waarop de persoonsgegevens van de klager zijn verwerkt in (het kader van) het E-archief, met zes bijlagen;
ii. de brief van de klager aan een rechter bij de rechtbank Amsterdam van 20 juni 2022 inzake een klacht betreffende deze wijze waarop de rechter persoonsgegevens van de klager heeft verwerkt in (het kader van) het E-archief, met zes bijlagen;
iii. de brief van de klager aan de voorzitter van de Raad voor de rechtspraak van 20 juni 2022 inhoudende een klacht over de handelwijze van de rechter bij de rechtbank Amsterdam en een verzoek tot anonimiseren van de persoonsgegevens van de klager in alle uitspraken die door derden kunnen worden ingezien;
iv. de brief van de klager aan de voorzitter van de Raad voor de rechtspraak van 11 juli 2022 inzake een verzoek om inlichtingen over de inrichting en het gebruik van het E-archief;
v. de brief van de klager aan het bestuur van de rechtbank Amsterdam van 11 juli 2022 inzake een klacht over de handelwijze van de rechter bij de rechtbank Amsterdam;
vi. de brief van de functionaris gegevensbescherming voor de Rechtspraak aan de klager inhoudende een reactie op de brief van de klager van 11 juli 2022 aan de voorzitter van de Raad voor de rechtspraak, met vier bijlagen;
vii. de brief van het bestuur van de rechtbank Amsterdam aan de klager van 2 september 2022 inhoudende een reactie op de brief van de klager van 11 juli 2022;
viii. de brief van de procureur-generaal aan de voorzitter van de Raad voor de rechtspraak van 14 oktober 2022 inzake een verzoek om inlichtingen over de stand van zaken betreffende de opvolging van het op 26 november 2021 door het Presidenten-Raad Overleg (PRO) genomen besluit tot het treffen van technische en organisatorische maatregelen om de toegang tot en inrichting van het E-archief te verbeteren;
ix. de brief van de procureur-generaal aan de klager van 14 oktober 2022 betreffende het oriënterende onderzoek naar de verwerking van persoonsgegevens in het E-archief en het bij de voorzitter van de Raad voor de rechtspraak ingediende inlichtingenverzoek;
x. de brief van de klager aan de procureur-generaal van 17 oktober 2022 inhoudende een reactie op de brief van de procureur-generaal van 14 oktober 2022;
xi. de brief van de voorzitter van de Raad voor de rechtspraak aan de procureur-generaal van 8 november 2022 betreffende een voortgangsrapportage van 4 november 2022 met betrekking tot maatregelen om de toegang tot en inrichting van het E-archief te verbeteren;
xii. de brief van de klager aan de procureur-generaal van 25 november 2022 inhoudende een klacht in de zin van art. 7 Regeling tegen het bestuur van de rechtbank Den Haag betreffende de afwijzing van het verzoek van de klager om zijn persoonsgegevens niet te verspreiden via onder meer het E-archief, met drie bijlagen;
xiii. de brieven van de klager aan de procureur-generaal van 28 en 29 november 2022 inhoudende een klacht in de zin van art. 7 Regeling tegen het bestuur van de rechtbank Amsterdam betreffende deze wijze waarop de persoonsgegevens van de klager zijn verwerkt in (het kader van) het E-archief, met respectievelijk vier en twee bijlagen;
xiv. de brief van de klager aan de procureur-generaal van 1 december 2022 inzake het verloop van de klachtbehandeling;
xv. de brieven van de procureur-generaal aan de klager en de voorzitter van de Raad voor de rechtspraak van 16 december 2022 inhoudende het voornemen tot het instellen van een vordering betreffende – kort gezegd – de wijze waarop de gerechten persoonsgegevens verwerken in (het kader van) het E-archief, alsmede de gelegenheid tot het indienen van een schriftelijke zienswijze;
xvi. de brieven van de procureur-generaal aan het bestuur van de rechtbank Noord-Nederland, het bestuur van de rechtbank Den Haag en het bestuur van de rechtbank Amsterdam van 22 en 28 december 2022 inhoudende het voornemen tot het instellen van een vordering betreffende – kort gezegd – de wijze waarop de gerechten persoonsgegevens verwerken in (het kader van) het E-archief, alsmede het verzoek tot verstrekking van inlichtingen;
xvii. de brief van de voorzitter van de Raad voor de rechtspraak aan de procureur-generaal van 5 januari 2023 betreffende een tussentijds verslag van 23 december 2022 met betrekking tot de maatregelen om de toegang tot en inrichting van het E-archief te verbeteren;
xviii. de brief van het bestuur van de rechtbank Noord-Nederland aan de procureur-generaal van 14 februari 2023 inhoudende de verstrekking van inlichtingen;
xix. de brief van het bestuur van de rechtbank Den Haag aan de procureur-generaal van 14 februari 2023 inhoudende de verstrekking van inlichtingen, met een bijlage;
xx. de brief van het bestuur van de rechtbank Amsterdam aan de procureur-generaal van 16 februari 2023 inhoudende de verstrekking van inlichtingen, met vier bijlagen;
xxi. de briefwisseling van de procureur-generaal en de klager in de periode van 1 tot en met 7 maart 2023, inhoudende de indiening van een schriftelijke zienswijze betreffende de brieven van de gerechtsbesturen van de rechtbank Noord-Nederland, de rechtbank Den Haag en de rechtbank Amsterdam;
xxii. de e-mail van de directeur bureau Raad voor de rechtspraak aan de procureur-generaal van 6 april 2023 met als bijlage een voortgangsrapportage van 5 april 2023 met betrekking tot de maatregelen om de toegang tot en inrichting van het E-archief te verbeteren.
2 Het verloop van de procedure
2.1 Art. 75 lid 2 van de Wet op de rechterlijke organisatie (Wet RO) bepaalt onder meer dat bij de Hoge Raad zaken, behoudens bij de wet bepaalde uitzonderingen, worden behandeld en beslist door vijf leden van een meervoudige kamer. Art. 9 Regeling vermeldt dat klachten als bedoeld in die regeling zoveel mogelijk overeenkomstig de bepalingen uit afdeling 1a van hoofdstuk 2 van de Wet RO worden behandeld. Art. 13d Wet RO houdt in dat een vordering bij de Hoge Raad als bedoeld in art. 13a of art. 13c Wet RO wordt behandeld door een bij het reglement van orde daartoe aangewezen kamer, die zitting houdt met drie leden. Als die kamer is in art. 1.1.9 van het procesreglement van de Hoge Raad aangewezen de vierde meervoudige kamer. De vordering bestrijkt, zoals hiervoor in 1.1 en 1.2 weergegeven, naast individuele klachten over de verwerking van persoonsgegevens, de inrichting van het E-archief als zodanig. Hierin is aanleiding gezien de zaak met toepassing van de hoofdregel van art. 75 lid 2 Wet RO te laten behandelen en beslissen door vijf leden van de vierde meervoudige kamer.
2.2 Het tweede onderdeel van de vordering gaat over de vraag of de inrichting van het E-archief voldoet aan de normen van de AVG. In dit onderdeel zijn geen individuele klachten over de verwerking van persoonsgegevens betrokken. Art. 13e Wet RO bepaalt dat het onderzoek van de Hoge Raad geschiedt in raadkamer. De Hoge Raad ziet in het algemene karakter van dit onderdeel van de vordering aanleiding voor behandeling van dit onderdeel van de vordering ter openbare zitting, in afwijking van art. 9 Regeling in verbinding met art. 13e Wet RO.
2.3 Bij brieven van 9 november 2023 aan de klager en de gerechtsbesturen is het voornemen van de Hoge Raad kenbaar gemaakt om het onderzoek inzake het eerste onderdeel van de vordering in raadkamer te verrichten en aansluitend het onderzoek inzake het tweede onderdeel van de vordering ter openbare zitting. Voor het onderzoek ter openbare zitting zijn naast de procureur-generaal, de klager, de gerechtsbesturen en de Raad voor de rechtspraak ook opgeroepen de gerechtsbesturen van de overige rechtbanken en de gerechtsbesturen van de gerechtshoven.
2.4 Het onderzoek in raadkamer en aansluitend het onderzoek ter openbare zitting hebben op 19 januari 2024 plaatsgevonden. Hiervan is proces-verbaal opgemaakt.
3 Uitgangspunten en feiten
Het E-archief
3.1
De Hoge Raad gaat uit van de omschrijving van het E-archief zoals opgenomen in onderdeel 3.2 van de vordering van de procureur-generaal (voetnoot in het citaat niet weergegeven):
“Het E-archief is als interne rechtspraakdatabank uitsluitend toegankelijk voor geautoriseerde medewerkers van de Rechtspraak. Het E-archief bevat ongeanonimiseerde uitspraken van gerechten, en daarmee persoonsgegevens van betrokkenen zoals justitiabelen, professionals en anderen, die ontsloten worden door middel van een IT-voorziening. De meeste ongeanonimiseerde uitspraken in het E-archief dateren van na 2013. Ook zijn er oudere uitspraken beschikbaar geworden door middel van het inlezen van bijvoorbeeld de huisdatabanken. Alleen definitieve uitspraken worden in het E-archief opgeslagen; hiertoe behoren ook tussenuitspraken en mondelinge uitspraken, maar geen conceptuitspraken. Tussen de 10% en 15% van alle uitspraken wordt geplaatst in het E-archief. De betrokken rechter of raadsheer beslist zelf of de uitspraak in het E-archief wordt opgenomen en neemt daarbij de verwerkingsdoelen in aanmerking. Uitspraken die zijn opgeslagen in het E-archief kunnen worden geraadpleegd op Porta luris . Ongeveer een derde van deze uitspraken is in geanonimiseerde vorm – conform de Anonimiseringsrichtlijn – gepubliceerd op www.rechtspraak.nl.”
3.2 In de vordering van de procureur-generaal is (onder 3.7 tot en met 3.9 en 3.11) het volgende vermeld. Er is een ‘privacy-reglement e-archief gerechten’ (hierna: privacyreglement), een intern binnen de Rechtspraak gebruikt reglement. Het geeft weer op welke wijze de Rechtspraak toepassing geeft aan de eisen die de AVG stelt aan verwerkingen van persoonsgegevens in het E-archief ten aanzien van aspecten zoals rechtmatigheid, doelbinding, integriteit en vertrouwelijkheid. Het privacyreglement vermeldt als grondslag “de wettelijk opgedragen taak om recht te spreken op basis van hoofdstuk 6 van de Grondwet, nader uitgewerkt in diverse wetten in formele zin”. Het privacyreglement vermeldt onder “Verwerkingsdoelen” onder meer: “Om de kwaliteit van de rechterlijke beslissingen te waarborgen en in het kader van de rechtseenheid is het van belang dat daartoe geautoriseerde rechters, stafjuristen, juridisch medewerkers en forensisch medewerkers kennis kunnen nemen van uitspraken in vergelijkbare zaken.” Het privacyreglement bepaalt dat “technische applicatieve logging plaats[vindt] voor het monitoren van het correct functioneren van de applicatie”.
3.3
Sinds het najaar van 2022 worden op www.rechtspraak.nl het bestaan en het doel van het E-archief vermeld. Op deze website is onder de knop ‘privacy’ informatie te vinden over onder meer de persoonsgegevens die binnen de rechtspraak worden verwerkt, waaronder het volgende:
“Persoonsgegevens zijn noodzakelijk voor een goede en zorgvuldige rechtspleging en procesvoering. Procespartijen en hun gemachtigden moeten persoonsgegevens verstrekken aan de Rechtspraak zodat een correcte gerechtelijke procedure kan worden gevoerd.”
En als de gebruiker doorklikt naar ‘Privacyverklaring’:
“Jurisprudentie databank
De Rechtspraak bewaart een selectie van uitspraken in een interne jurisprudentiedatabank. Dit stelt medewerkers in staat om kennis te nemen van uitspraken in vergelijkbare zaken. Dit bevordert de rechtszekerheid en de rechtseenheid. Deze databank is toegankelijk voor medewerkers voor wie dat met het oog op hun functie noodzakelijk is. De toegang is beperkt tot het rechtsgebied waarvoor zij zaken behandelen. Met het oog op wetenschappelijk onderzoek kunnen onderzoekers, na goedkeuring, inzage krijgen in de databank.”
Bij verder doorklikken verschijnt het volgende:
“ Jurisprudentie databank (https://www.rechtspraak.nl/Paginas/registratie-van-persoonsgegevens.aspx)
De Rechtspraak bewaart een selectie van uitspraken in een interne jurisprudentiedatabank. Dit stelt medewerkers in staat om kennis te nemen van uitspraken in vergelijkbare zaken. Dit bevordert de rechtszekerheid en de rechtseenheid.
Betrokkenen en persoonsgegevens
In uitspraken kunnen alle categorieën persoonsgegevens voorkomen, zowel gewone, gevoelige als bijzondere persoonsgegevens, alsook gerechtelijke strafgegevens en wettelijk identificerende persoonsgegevens.
Ontvangers aan wie gegevens kunnen worden verstrekt
Deze databank is toegankelijk voor medewerkers voor wie dat met het oog op hun functie noodzakelijk is. Denk hierbij aan rechters, gerechtsjuristen, forensisch medewerkers en stafjuristen. De toegang is beperkt tot het rechtsgebied waarvoor zij zaken behandelen. Met het oog op wetenschappelijk onderzoek kunnen onderzoekers, na goedkeuring, inzage krijgen in de databank.”
3.4 Op 26 november 2021 heeft het Presidenten-Raad-Overleg van de Rechtspraak (PRO) besloten welke technische en organisatorische maatregelen worden genomen om de toegang tot en de inrichting van het E-archief te verbeteren op korte, middellange en lange termijn. Op 4 november 2022, 23 december 2022 en 5 april 2023 heeft de Raad voor de rechtspraak voortgangsrapportages uitgebracht waarin hiervan verslag wordt gedaan.
3.5
In de voortgangsrapportage van de Raad voor de rechtspraak van 4 november 2022 is onder meer het volgende opgenomen:
“ 3. Samenvatting
Ten aanzien van de technische en organisatorische maatregelen om de toegang tot en inrichting van het E-archief op korte en middellange termijn te verbeteren zijn de volgende zaken gerealiseerd:
De autorisaties voor het E-archief zijn vanaf 17 maart 2022 beperkt tot het niveau van rechtsgebieden;
Indien nodig kan een medewerker geautoriseerd worden voor meerdere rechtsgebieden;
Door de wijziging in de autorisatiestructuur is ieder gerecht verplicht geweest de autorisaties te schonen;
(…)
Er is een doorstart gemaakt van werkgroep E-archief om tegemoet te komen aan de actuele vraagstukken rond E-archief. Gestart is met het inzichtelijk maken van het autorisatiebeheer.
(…)
5 Voortgang uitvoering besluitvorming en aandachtspunten
(…)
5.2
Autorisaties beperken tot het niveau van rechtsgebieden
(…)
De autorisaties voor het E-archief zijn vanaf 17 maart 2022 beperkt tot het niveau van de rechtsgebieden. Op dat moment waren bij alle gerechten de autorisaties geschoond en aangepast aan de nieuwe inrichting. Voor de opschoonactie waren er bijna 14.000 autorisaties, na de opschoonactie bedraagt het aantal autorisaties ongeveer 9.500. De exacte aantallen worden momenteel nog geduid en hier wordt in het verslag, dat de werkgroep E-archief voor 1 januari 2023 uitbrengt, aandacht aan besteed. Op dit moment is er nog geen bewaking ingeregeld ten aanzien van het actueel houden van de autorisaties. De werkgroep E-archief is gestart met het inzichtelijk (laten) maken van het autorisatiebeheer door gerechten (zie daarvoor 6.2.1).
(…)
5.5
Gerechten rapporteren over de schoningsactie van autorisaties
Per gerecht en per rechtsgebied is een lijst gemaakt van medewerkers die toegang dienen te krijgen tot het E-archief. Omdat bij inwerkingtreding van de nieuwe autorisatiestructuur de oude autorisaties niet meer zouden werken was ieder gerecht verplicht om de autorisaties te schonen. De voortgang van de autorisatiewijziging is begeleid en gemonitord door Functioneel Beheer. Toen bleek dat bij inwerkingtreding van de nieuwe autorisatiestructuµr de autorisaties van een enkel gerecht niet in orde was is de invoering teruggedraaid. Daarna is contact met de betreffende gerechten gezocht en zijn de autorisaties alsnog in orde gemaakt. Twee weken later is op 17 maart 2022 de nieuwe autorisatiestructuur alsnog definitief ingevoerd.
5.6
Aandacht voor medewerkers die toegang moeten hebben tot meerdere rechtsgebieden
Het verstrekken van autorisaties is primair een verantwoordelijkheid van de gerechten, binnen de daarvoor gestelde en op te stellen kaders. Onderdeel van die kaders zal moeten zijn hoe om te gaan met de toegang van medewerkers tot meerdere rechtsgebieden. Gezien de privacyregels dient dit doelgericht en terughoudend te gebeuren. De gerechtsbesturen geven aan welke medewerkers autorisaties dienen te krijgen en wijzen functionarissen aan die de autorisaties in de systemen – en dus de koppeling van de medewerker aan het rechtsgebied – aanbrengen. Bij de wijziging van de autorisatiestructuur is rekening gehouden met de mogelijkheid dat medewerkers voor meerdere rechtsgebieden kunnen worden geautoriseerd op het moment dat de leidinggevende dat aangeeft.
(…)
6 Overige punten en vervolgacties
(…)
6.2
Doorstart en versterking werkgroep E-archief
Portefeuillehouder bedrijfsvoering heeft de werkgroep E-archief mede ingericht om tegemoet te komen aan de actuele vraagstukken rondom het E-archief. De scope is thans breder dan de gerealiseerde autorisatiewijziging. Structurele versterking van de landelijke werkgroep, niet een permanent takenpakket bij de besturing van het E-archief, is dringend gewenst. Denk bijv. het toevoegen van vertegenwoordigers van gerechten zoals onder 5.2 genoemd.
6.2.1
Autorisatiebeheer door gerechten
De gerechten zijn verantwoordelijk voor de juiste toepassing van het E-archief binnen de gestelde en op te stellen kaders. Zij kunnen dit gestalte geven door periodieke controles op de verstrekte autorisaties. De werkgroep E-archief is gestart met het inzichtelijk (laten) maken van het autorisatiebeheer door gerechten. De werkgroep gaat bij de gerechten na:
Hoe het werkproces is ingericht voor het verstrekken, wijzigen en intrekken van autorisaties voor het E-archief;
Of en op welke wijze op de juiste toepassing van de autorisaties wordt toegezien.
De werkgroep brengt voor 1 januari 2023 een verslag uit over de uitkomsten van de verkenning. Dit verslag bevat een analyse en waar nodig ook aanbevelingen. Ook na 1 januari 2023 zal de vernieuwde landelijke werkgroep E-archief dit blijvend oppakken.
6.2.2
Kleinere domeinen dan rechtsgebieden
De werkgroep zal ook bezien of het ook mogelijk en wenselijk is om mensen in het E-archief te autoriseren voor kleinere domeinen dan volledige rechtsgebieden. De werkgroep zal hierover voor 1 maart 2023 rapporteren aan de CIO Rechtspraak.”
3.6
In de voortgangsrapportage van de Raad voor de rechtspraak van 23 december 2022 is onder meer het volgende vermeld:
“ 3. Samenvatting
Autorisatiebeheer E-archief
Gerechten en landelijke diensten passen per locatie en meestal ook per applicatie of dienst verschillende manieren toe waarmee autorisaties aangevraagd, gewijzigd, ingetrokken en gecontroleerd worden. De afdeling Functioneel Beheer (FB) is een project gestart voor verbetering van het autorisatieproces binnen gerechten en landelijke diensten. Voor het project is een uitvraag gedaan bij gerechten en landelijke diensten voor inventarisatie van het autorisatieproces.
Aanbevelingen voor autorisatiebeheer E-archief:
De gerechten en landelijke diensten worden – vooruitlopend op de verbeteringen die zullen voortvloeien uit het FB onderzoek – gevraagd ieder kwartaal een controle uit te voeren op juistheid van enkelvoudige en meervoudige autorisaties E-archief, te starten in Ql 2023;
Op basis van de onderzoeksresultaten van FB wordt in Ql bepaald of een aanvullende uitvraag naar autorisatiebeheer E-archief bij gerechten en landelijke diensten wenselijk is.
Aantallen autorisaties E-archief
De opschoning van autorisaties E-archief in Q1 van 2022 heeft een behoorlijk effect gehad op het terugbrengen van het aantal autorisaties. De werkgroep kan nog niet beoordelen of de autorisaties op een kwalitatief acceptabele manier worden toegekend. Dit komt door het ontbreken van een kader voor het toekennen van enkelvoudige en meervoudige autorisaties.
Aanbeveling voor autorisatiebeheer E-archief:
Geef werkgroep E-archief opdracht voor het formuleren van een kader voor het verstrekken van enkelvoudige en meervoudige autorisaties E-archief.
(…)
4 Autorisatiebeheer door gerechten
Een doelmatige en rechtmatige ontwikkeling en gebruik van E-archief, waartoe activiteiten als de technische inrichting, de organisatie en het autorisatiebeheer behoren, is de gezamenlijke verantwoordelijkheid van de gerechten, waarbij de landelijke diensten (IVO, LDCR en Bureau Raad) en de Raad voor de rechtspraak zijn betrokken.
De Rechtspraak werkt met zogenaamde bedrijfsrollen, een verzameling rechten die toegang geven tot applicaties en gegevens. In een bedrijfsrol kunnen vaste elementen zitten en optionele. Een bedrijfsrol is per gerecht meestal verbonden aan soort werk, bijvoorbeeld een bepaald rechtsgebied en functie. Binnen sommige applicaties zijn vervolgens ook nog rollen toe te kennen. De inrichting van de bedrijfsrollen en applicaties zijn per gerecht verschillend. Als toegang tot E-archief als vast element in een bedrijfsrol is opgenomen, betekent het dat iedereen van de groep die deze rol krijgt toegang krijgt. Optionele elementen zijn per individu toe te kennen of in te trekken. De gerechten zijn eigenaar van deze inrichting.
Het beeld is dat er door de gerechten en landelijke diensten per locatie en meestal ook per applicatie of dienst verschillende manieren zijn waarop autorisaties aangevraagd, gewijzigd, ingetrokken en gecontroleerd worden. Daarom is de afdeling Functioneel Beheer (FB) een traject gestart voor verbetering van het autorisatieproces binnen gerechten. Door middel van een onderzoek wordt in beeld gebracht hoe dit proces op elke locatie verloopt. Voor het onderzoek is een uitvraag gedaan in november 2022. Het doel is te komen tot een best practice van het autorisatieproces binnen een gerecht. Daarmee kunnen de processen binnen de gerechten zoveel mogelijk geüniformeerd en verbeterd worden. In Q1 wordt door FB met de gerechten de gewenste situatie geformuleerd en wordt het vervolg voor implementatie bepaald. De inhoud van de bedrijfsrollen is overigens geen onderdeel van het verbetertraject.
De eerste bevindingen van het FB onderzoek bevestigen het beeld dat per locatie en meestal ook per applicatie of dienst de manieren verschillen waarop autorisaties aangevraagd, gewijzigd, ingetrokken en gecontroleerd worden.
De volgende aanbevelingen zijn voor het autorisatiebeheer van E-archief geformuleerd:
De gerechten worden – vooruitlopend op de verbeteringen die zullen voortvloeien uit het FB onderzoek – gevraagd ieder kwartaal een controle uit te voeren op juistheid van enkelvoudige en meervoudige autorisaties E-archief, te starten in Ql 2023;
Op basis van de onderzoeksresultaten van FB wordt in Ql bepaald of een aanvullende uitvraag naar autorisatiebeheer E-archief bij gerechten wenselijk is.
5 Aantallen autorisaties
Toekennen van autorisaties
Zoals bij 4 aangegeven is het verstrekken, wijzigen en intrekken van autorisaties primair een verantwoordelijkheid van de gerechten. Onderdeel van het autoriseren betreft de mogelijkheid medewerkers tot meerdere rechtsgebieden toegang te geven indien de leidinggevende dat aangeeft. Bij de wijziging van de autorisatiestructuur is daarmee rekening gehouden. De gerechtsbesturen geven aan welke medewerkers enkelvoudige en meervoudige autorisaties dienen te krijgen en wijzen functionarissen aan die de autorisaties in de systemen – en dus de koppeling van de medewerker aan het rechtsgebied – aanbrengen.
Aantallen autorisaties
De autorisaties voor E-archief zijn vanaf 17 maart 2022 beperkt tot het niveau van de rechtsgebieden waarbinnen een medewerker werkzaam is. Op dat moment waren bij alle gerechten de autorisaties opgeschoond en aangepast aan de nieuwe situatie .
Binnen de Rechtspraak worden meervoudige en enkelvoudige of unieke autorisaties voor E-archief onderscheiden. Enkelvoudige of unieke autorisaties geven aan hoeveel medewerkers binnen de Rechtspraak een autorisatie voor E-archief hebben. Meervoudige autorisaties ontstaan door verschillende redenen. Een medewerker kan een autorisatie hebben voor meer dan een rechtsgebied, of een medewerker heeft bijvoorbeeld vanuit meerdere bedrijfsrollen een autorisatie voor hetzelfde rechtsgebied. Op iedere bedrijfsrol kan vervolgens een individuele autorisatie worden toegevoegd of verwijderd. Een eenvoudige duiding van meervoudige autorisaties is niet mogelijk omdat de gerechten geen uniforme bedrijfsrollen hanteren en autorisaties individueel worden toegevoegd aan of verwijderd van bedrijfsrollen. Daardoor is niet aan te geven hoeveel medewerkers autorisaties hebben voor meerdere rechtsgebieden. De belangrijkste indicator voor de werkgroep is het aantal enkelvoudige of unieke autorisaties en de kwaliteit van de enkelvoudige en meervoudige autorisaties.
Voor de opschoonactie waren er circa 13.700 meervoudige autorisaties en circa 10.300 enkelvoudige autorisaties. Na de opschoonactie bedraagt het aantal autorisaties in oktober 2022 circa 9.500 meervoudige autorisaties en circa 6.400 enkelvoudige.
Geconstateerd kan worden dat na de autorisatiewijziging per rechtsgebied er circa 30% minder meervoudige autorisaties voor E-archief waren en circa 38% minder enkelvoudige autorisaties. Daarmee kan worden gesteld dat de opschoning van autorisaties een behoorlijk kwantitatief effect heeft gehad. Het aantal van 6.400 enkelvoudige autorisaties lijkt verklaarbaar gelet op het aantal gebruikers van applicaties bij de Rechtspraak (12.000 volgens jaarverslag 2021).
Gezien de privacyregels dient het toekennen van autorisaties doelgericht en terughoudend te gebeuren. De werkgroep kan vooralsnog niet beoordelen of de autorisaties op een kwalitatief acceptabele manier worden toegekend. Dit komt door het ontbreken van een kader voor het toekennen van enkelvoudige en meervoudige autorisaties en door het ontbreken van een monitoringbeleid. Het uitwerken van het monitoringbeleid E-archief is gestart, het formuleren van een kader voor het verstrekken van autorisaties E-archief nog niet.
Vooruitlopend op de uitkomsten van het FB onderzoek – omschreven bij 4 – kan specifiek al de volgende aanbeveling voor het autorisatieproces van E-archief worden gedaan:
Geef werkgroep E-archief opdracht voor het formuleren van een kader voor het verstrekken van enkelvoudige en meervoudige autorisaties.”
3.7
In de voortgangsrapportage van de Raad voor de rechtspraak van 5 april 2023 is onder meer het volgende opgenomen:
“ 3. Kleinere rechtsgebieden
In de rapportage van 4 november 2022 is aangegeven dat de werkgroep zal bezien of het ook mogelijk is om medewerkers in het E-archief te autoriseren voor kleinere domeinen dan volledige rechtsgebieden. Het gaat dan met name om een extra autorisatielaag te realiseren voor het rechtsgebied Civiel door een scheiding te maken in sub rechtsgebied Kanton/Handel en Familie & Jeugd.
In maart 2022 is de autorisatiestructuur ingericht met een beperking op hoofdrechtsgebied. Dit was mogelijk omdat van alle 3 miljoen uitspraken in het E-archief een indeling in hoofdrechtsgebieden beschikbaar is. Daarmee is de toegang tot de grote hoeveelheid ongeanonimiseerde uitspraken beperkt (zie paragraaf 5).
Informatie over sub rechtsgebieden (en daarmee het onderscheid tussen Kanton/Handel en Familie & Jeugd) is echter bij een groot deel van de uitspraken niet beschikbaar in de E-archief:
De huidige indeling in (sub)rechtsgebieden is in 2013 ingevoerd. Dit betekent dat bij uitspraken van vóór die datum de sub rechtsgebieden niet zijn toegekend. De oude rechtsgebieden-indeling van vóór 2013 kende al wel de indeling in hoofdrechtsgebieden;
Na 2013 zijn de sub rechtsgebieden niet consequent toegekend. Dit verschilt per gerecht en per persoon die de uitspraak opslaat. Het sub rechtsgebied is geen verplicht veld bij opslag in het E-archief (en ook niet bij handmatige upload in Tabula). Het hoofdrechtsgebied is dat wel, deze indeling wordt automatisch toegevoegd aan het document vanuit de primaire processystemen.
Een extra autorisatielaag op sub rechtsgebieden inbouwen is om genoemde redenen – in de huidige omgeving – te complex.
Het E-archief is een verzameldatabase waarin uitspraken worden gepubliceerd voor intern gebruik van de Rechtspraak. Daarnaast kunnen wetenschappelijk onderzoekers toegang krijgen via de Toetsingscommissie middels de procedure hiertoe. Door het programma Meer en Verantwoord publiceren wordt gekeken naar het gehele proces van publicatie van uitspraken; zowel intern als extern, de werkprocessen, het applicatie- en informatielandschap en de bestaande knelpunten.
Vanuit het programma Meer en Verantwoord publiceren wordt een nieuwe applicatie omgeving voorbereid waarin actuele eisen ten aanzien van indeling in sub rechtsgebieden en autorisaties worden meegenomen.
Besluit van directie IVO
Directie IVO heeft het advies van de werkgroep overgenomen om geen extra autorisatielaag op sub rechtsgebieden in te bouwen in de huidige applicatie.
De vraag of het mogelijk is medewerkers te autoriseren voor inzage in uitspraken binnen kleinere domeinen dan volledige rechtsgebieden wordt overgebracht naar het programma Meer en Verantwoord publiceren ten behoeve van de nieuwe/ toekomstige applicatie.
(…)
5 Ontwikkeling (aantal) autorisaties
In de voortgangsrapportage van november 2022 is toegezegd in de volgende voortgangsrapportage in te gaan op de ontwikkeling van het aantal autorisaties. In totaal hebben – op de peildatum 1 januari 2023 – 7.975 medewerkers toegang tot het E-archief: 6.537 op één rechtsgebied en 1.438 medewerkers op meer dan één rechtsgebied. Daarmee blijft het aantal autorisaties vergelijkbaar met het in het tussentijds verslag opgenomen aantal.
In het tussentijds verslag van werkgroep E-archief van december 2022 is ingegaan op het autorisatiebeheer E-archief van gerechten. Aangegeven is dat gerechten en landelijke diensten per locatie en meestal ook per applicatie of dienst verschillende manieren toepassen waarmee autorisaties aangevraagd, gewijzigd, ingetrokken en gecontroleerd worden. Toegelicht is dat de afdeling Functioneel Beheer (FB) een project is gestart voor verbetering van het autorisatieproces binnen gerechten en landelijke diensten. De aanbeveling van de werkgroep E-archief een periodieke controle uit te voeren op, en kaders te formuleren voor het autorisatiebeheer van het E-archief is onderdeel van het project van Functioneel Beheer. Een aanvullende uitvraag naar autorisatiebeheer betreffende het E-archief heeft niet plaats gevonden.
Vraag aan portefeuillehouder IV
Neem kennis van de toelichting op het aantal autorisaties en het autorisatiebeheer.”
De klachten
3.8 De klager heeft bij brieven van 9 september 2022 en 25, 28 en 29 november 2022 bij de procureur-generaal geklaagd over de handelwijze van rechters in dan wel bestuurders van de rechtbanken Noord-Nederland, Amsterdam en Den Haag. Voor zover deze klachten betrekking hebben op de verwerking van de persoonsgegevens van de klager in (het kader van) het E-archief heeft de procureur-generaal deze klachten aangemerkt als gericht tegen de gerechtsbesturen, omdat de gerechtsbesturen de verwerkingsverantwoordelijken in de zin van de AVG zijn.
3.9 In een uitspraak van 23 februari 2022 van een bestuursrechter in de rechtbank Noord-Nederland is de naam van de klager als gemachtigde van de verzoeker vermeld en is geoordeeld dat niet is gebleken dat de klager werkzaam is als professionele rechtsbijstandverlener en dat daarom voor een proceskostenveroordeling geen aanleiding bestaat. In een uitspraak van 20 mei 2022 van dezelfde rechter is de klager wel als professioneel gemachtigde aangemerkt. De klacht tegen het bestuur van de rechtbank Noord-Nederland houdt in dat het de persoonsgegevens van de klager onrechtmatig in het E-archief heeft verwerkt door de uitspraak van 23 februari 2022 niet-geanonimiseerd in het E-archief op te nemen zonder de toestemming van de klager en zonder dat hem het bestaan van het E-archief kenbaar was gemaakt. Verder bestrijdt de klager dat ten aanzien van de uitspraak van 23 februari 2022 is voldaan aan de door de Rechtspraak geformuleerde criteria voor opname van uitspraken in het E-archief. Ten aanzien van de uitspraak van 20 mei 2022 klaagt de klager dat deze niet in het E-archief is opgenomen. De uitspraak van 23 februari 2022 is op verzoek van de klager uit het E-archief verwijderd.
3.10 Een rechter in de rechtbank Amsterdam heeft in een procedure waarin de klager als gemachtigde optrad het E-archief geraadpleegd en toen een uitspraak gevonden waarin is geoordeeld dat de klager beroepsmatig handelend gemachtigde is én een uitspraak waarin dat niet is aangenomen. De klacht tegen het bestuur van de rechtbank Amsterdam houdt in dat de rechter niet op naam van de klager in het E-archief had mogen zoeken en dat de rechter het resultaat van de zoekslag niet ter zitting met onder meer de wederpartij had mogen delen. De rechter had volgens de klager het resultaat ook niet mogen verwerken in de uitspraak, en de griffier had daaraan niet mogen meewerken door de uitspraak te ondertekenen. Verder houdt de klacht in dat het gerechtsbestuur niets heeft ondernomen om de gevolgen van het ‘datalek’ te beperken.
3.11 In een uitspraak van 18 november 2021 van een rechter in de rechtbank Den Haag is de naam van de klager vermeld als (kennelijk professioneel handelend) gemachtigde. Deze uitspraak is opgenomen in het E-archief. In zijn klacht tegen het bestuur van de rechtbank Den Haag klaagt de klager dat ten onrechte is geweigerd om te voldoen aan zijn verzoek om zijn persoonsgegevens niet te verspreiden via onder meer het E-archief. De klacht houdt onder meer in dat op het moment dat hij zijn persoonsgegevens deelde met de rechtbank niet duidelijk was dat die in het E-archief zouden worden opgenomen, en dat hij hiervoor geen toestemming heeft gegeven. Verder klaagt de klager dat niet de teamvoorzitter maar het gerechtsbestuur op zijn verzoek had moeten beslissen en dat de afwijzing onvoldoende is gemotiveerd.
4 De beoordeling
AVG
4.1 Buiten redelijke twijfel is dat de AVG van toepassing is op de verwerking van persoonsgegevens door gerechten. Het begrip “verwerking door de gerechten bij de uitoefening van hun rechterlijke taken”, zoals uitgelegd door het HvJEU bezien in samenhang met de hiervoor in 3.1 tot en met 3.3 weergegeven informatie over het E-archief, leidt tot de gevolgtrekking dat de AVG verwerkingen van persoonsgegevens door middel van het E-archief bestrijkt. De verwerkingen van persoonsgegevens die zich voordoen bij het opnemen van rechterlijke uitspraken in het E-archief en het raadplegen van in het E-archief opgenomen rechterlijke uitspraken vinden plaats onder verantwoordelijkheid van de gerechtsbesturen (art. 3 Regeling).
4.2 Art. 5 AVG stelt eisen aan verwerkingsverantwoordelijken. Zo verlangt art. 5 lid 1 aanhef en onder a AVG dat persoonsgegevens worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is en verlangt art. 5 lid 1 aanhef en onder c AVG dat persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (“minimale gegevensverwerking”).
4.3 De verwerking van persoonsgegevens door opneming in en raadpleging van (persoonsgegevens in) een rechterlijke uitspraak in het E-archief is volgens art. 6 lid 1 AVG rechtmatig indien en voor zover is voldaan aan een van de daar genoemde voorwaarden, waaronder de voorwaarde dat de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust (art. 6 lid 1 aanhef en onder c AVG) en de voorwaarde dat de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen (art. 6 lid 1 aanhef en onder e AVG). Volgens art. 6 lid 3 AVG moet de rechtsgrond voor de in art. 6 lid 1 aanhef en onder c en e bedoelde verwerking worden vastgesteld bij Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
4.4 Gerechten verzamelen in het kader van hun rechterlijke taken persoonsgegevens voor een goed verloop van de procedure en voor de behandeling en beoordeling van de zaak. Daarbij valt te denken aan de persoonsgegevens van de procespartijen, maar in voorkomende gevallen ook aan die van hun vertegenwoordiger, gemachtigde of advocaat, en aan voor de zaak relevante persoonsgegevens van derden, zoals getuigen, deskundigen en benadeelde partijen. Rechters zijn bevoegd (en ten aanzien van bepaalde persoonsgegevens wettelijk verplicht, zie bijvoorbeeld art. 230 lid 1 Rv, art. 357 lid 1 en art. 361 lid 4 Sv en art. 8:77 lid 1 aanhef en onder a Awb) om dergelijke persoonsgegevens in de uitspraak te vermelden.
4.5 De inrichting en het beheer van het E-archief zijn aan te merken als uitoefening van taken van gerechtsbesturen zoals bedoeld in art. 23 Wet RO. Volgens art. 23 lid 1 aanhef en onder a Wet RO is een gerechtsbestuur belast met de algemene leiding, de organisatie en de bedrijfsvoering van het gerecht en draagt een gerechtsbestuur in het bijzonder zorg voor onder meer automatisering. Volgens art. 23 lid 2 Wet RO heeft een gerechtsbestuur voorts tot taak de juridische kwaliteit en de uniforme rechtstoepassing te bevorderen en treedt het bij de uitvoering van deze taak niet in de procesrechtelijke behandeling van, de inhoudelijke beoordeling van, alsmede de beslissing in een concrete zaak. Hierbij past dat de sinds het najaar van 2022 op www.rechtspraak.nl opgenomen ‘Privacyverklaring’ (zie hiervoor in 3.3) onder meer vermeldt dat rechterlijke uitspraken in het E-archief worden bewaard om medewerkers in staat te stellen kennis te nemen van uitspraken in vergelijkbare zaken ter bevordering van de rechtszekerheid en rechtseenheid. Op grond van het voorgaande moet worden aangenomen dat de verwerking van persoonsgegevens door opneming in en raadpleging van (persoonsgegevens in) een rechterlijke uitspraak in het E-archief, waarvoor gerechtsbesturen volgens art. 3 Regeling verantwoordelijk zijn, noodzakelijk is ter voldoening aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust (art. 23 Wet RO) dan wel voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.
4.6 Op grond van hetgeen in 4.3 tot en met 4.5 is overwogen, is buiten redelijke twijfel dat aan de rechtmatigheidseisen van art. 6 lid 1 en lid 3 AVG wordt voldaan.
4.7 Het E-archief dient ook overigens te voldoen aan de in art. 5 AVG vermelde eisen, waaronder die van transparantie, behoorlijkheid en minimale gegevensverwerking (zie hiervoor in 4.2). Bij elke verwerking van persoonsgegevens moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Dat brengt mee dat de inbreuk op de belangen van de betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel en dat dit doel in redelijkheid niet op een andere, voor de betrokkene minder nadelige, wijze kan worden bereikt. Bij de beoordeling of aan deze eisen is voldaan, dient in aanmerking te worden genomen dat persoonsgegevens in rechterlijke uitspraken niet gepseudonimiseerd worden opgenomen en geraadpleegd in het E-archief (zie hiervoor in 3.1) en daarmee kenbaar zijn voor personen met een autorisatie op het E-archief.
4.8
De Hoge Raad laat in deze zaak in het midden of persoonsgegevens die door de gerechten zijn verkregen ten behoeve van de behandeling van een zaak en het doen van een rechterlijke uitspraak, verder worden verwerkt als bedoeld in art. 6 lid 4 AVG wanneer die rechterlijke uitspraak wordt opgenomen in het E-archief en in het E-archief wordt geraadpleegd. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene, dient de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld rekening te houden met onder meer de in art. 6 lid 4 onder a tot en met e AVG vermelde aspecten:
a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;
b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;
c) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig art. 9 AVG, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig art. 10 AVG;
d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
e) het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.
Beoordeling van het eerste onderdeel van de vordering
4.9 Uit de vordering en de daarop tijdens het onderzoek in raadkamer door de procureur-generaal gegeven toelichting blijkt dat de vordering zich niet uitstrekt tot de onderdelen van de klachten die zijn gericht tegen (i) de zakelijke inhoud van de rechterlijke beslissingen, in het bijzonder waar het gaat om de vermelding van de niet-professionele hoedanigheid als gemachtigde, en (ii) het niet opnemen van een uitspraak in het E-archief. Daarop heeft de beslissing van de Hoge Raad op dit onderdeel van de vordering dan ook geen betrekking.
4.10 Art. 8:77 lid 1 aanhef en onder a Awb schrijft voor dat de schriftelijke uitspraak de namen van partijen en van hun vertegenwoordigers of gemachtigden vermeldt. Voor de beslissing over de eventuele toekenning van proceskosten op de voet van art. 1 onder a Besluit proceskosten bestuursrecht is relevant of een gemachtigde beroepsmatig rechtsbijstand heeft verleend. Het ingevolge de toepassing en uitvoering van deze bepalingen verwerken van de naam en de hoedanigheid van de gemachtigde van een procespartij – zoals in dit geval die van de klager – is, gelet hierop en op hetgeen hiervoor in rov. 4.3 tot en met 4.5 is overwogen, niet in strijd met de AVG. Voor zover de klachten van de klager ertegen zijn gericht dat uitspraken waarin zijn persoonsgegevens zijn vermeld in het E-archief zijn opgenomen, zijn de klachten dus ongegrond.
4.11 Niet is gebleken dat op het moment waarop de in de klachten van de klager bedoelde uitspraken van de rechtbank Noord-Nederland van 23 februari 2022 en van de rechtbank Den Haag van 18 november 2021 in het E-archief werden opgenomen en geraadpleegd, voor klager kenbaar was, bijvoorbeeld via rechtspraak.nl, dat zijn persoonsgegevens (verder) konden worden verwerkt door middel van het E-archief. Daarom kan niet worden aangenomen dat ten tijde van de opname en raadpleging van die uitspraken zoals vermeld in de klachten, was voldaan aan het vereiste van transparante gegevensverwerking van art. 5 lid 1 onder a AVG. In zoverre zijn de klachten van de klager gegrond.
4.12
De klachten van de klager over de raadpleging van zijn persoonsgegevens in het E-archief in het kader van het raadplegen van een uitspraak door een rechter bij de vervulling van de rechterlijke taak zijn ongegrond. Deze (verdere) verwerking is verenigbaar met het doel waarvoor de gegevens oorspronkelijk zijn verzameld en vond plaats binnen het kader waarin de persoonsgegevens zijn verzameld. Voor zover de klager erover klaagt dat de rechter deze gegevens op zitting heeft gedeeld en in zijn uitspraak heeft verwerkt, stuiten de klachten af op art. 11 Regeling, dat uitsluit dat wordt geklaagd over de zakelijke inhoud van een rechterlijke beslissing.
Beoordeling van het tweede onderdeel van de vordering
4.13 Wat betreft het tweede onderdeel van de vordering inzake het vereiste van transparantie overweegt de Hoge Raad als volgt. Met de hiervoor in 3.3 vermelde informatie over het E-archief die vanaf het najaar van 2022 is vermeld op rechtspraak.nl, wordt sindsdien voldaan aan het vereiste van transparante gegevensverwerking van art. 5 lid 1 onder a AVG. Hierbij neemt de Hoge Raad het volgende in aanmerking. Ingevolge art. 5 lid 1 aanhef en onder a AVG moeten persoonsgegevens worden verwerkt op een wijze die ten aanzien van de betrokkene transparant is. Dit transparantievereiste is nader uitgewerkt in de artikelen 12 tot en met 15 AVG. Art. 13 lid 3 AVG bepaalt: ”Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2”. In overweging 58 van de considerans van de AVG staat dat die informatie elektronisch kan worden verstrekt, bijvoorbeeld wanneer die tot het publiek is gericht, via een website (zie ook art. 12 lid 1 AVG).
4.14 Wat betreft het tweede onderdeel van de vordering voor het overige overweegt de Hoge Raad als volgt.
4.15 De Hoge Raad neemt de bevinding van de procureur-generaal als toezichthouder in aanmerking dat de gerechtsbesturen een zekere beoordelingsruimte hebben ten aanzien van de keuze van te treffen passende maatregelen als bedoeld in art. 24 en art. 25 AVG die waarborgen dat de verwerkingen van persoonsgegevens die zich voordoen bij de opneming en raadpleging van rechterlijke uitspraken in het E-archief aan de normen van de AVG voldoen (vordering onder 5.21). Op basis van de gedingstukken en het verhandelde ter zitting kan de Hoge Raad echter niet vaststellen dat, in de bewoordingen van de vordering (onder 6.7 en 6.8), niet langer discussie mogelijk is dat met de getroffen maatregelen een situatie inzake de inrichting van het E-archief is ontstaan die voldoet aan de normen van de AVG. De Hoge Raad neemt hierbij het volgende in aanmerking.
4.16 De procureur-generaal gaat in de vordering ervan uit (onder 3.10) dat volgens het privacyreglement een medewerker van een gerecht in het E-archief uitsluitend mag zoeken naar een voor het eigen werk relevante uitspraak binnen het eigen rechtsgebied of de eigen rechtsgebieden en daartoe door het gerechtsbestuur wordt geautoriseerd. Hiervan gaat ook de Hoge Raad uit.
4.17
Deze beperking in het mogen zoeken moet worden bezien in samenhang met de uit de voortgangsrapportages van de Raad voor de rechtspraak blijkende verdeling in drie rechtsgebieden waaronder rechterlijke uitspraken in het E-archief worden opgenomen en geraadpleegd, te weten civiel recht, strafrecht en bestuursrecht. Op basis van de gedingstukken en het verhandelde ter zitting staat vast dat in het E-archief het rechtsgebied civiel recht, rechterlijke uitspraken omvat die betrekking hebben op handels-/kantonzaken en familie- en jeugdzaken, terwijl het rechtsgebied bestuursrecht rechterlijke uitspraken omvat die betrekking hebben op alle bestuursrechtelijke zaken, inclusief vreemdelingenzaken en belastingzaken. Dit is dusdanig ruim, dat niet valt vast te stellen dat voldoende is gewaarborgd dat een medewerker daadwerkelijk uitsluitend kan zoeken naar een voor het eigen werk relevante uitspraak binnen het eigen rechtsgebied of de eigen rechtsgebieden waartoe het gerechtsbestuur de medewerker heeft geautoriseerd. Uit de voortgangsrapportages blijkt dat de mogelijkheid van het inbouwen van een extra autorisatielaag op deze kleinere domeinen niet op voorhand onmogelijk is geacht, maar dat het onderzoek daarnaar is doorgeschoven naar het programma ‘Meer en Verantwoord publiceren’. Hierbij komt dat onduidelijk is hoe bij de inrichting van het E-archief de normen van de AVG zijn ingebed die raken aan het zoeken specifiek op naam of op andere persoonsgegevens. Het voorgaande wordt niet anders doordat de maatregel is getroffen dat uitspraken ouder dan tien jaar bij een zoekopdracht niet automatisch worden gevonden (voortgangsrapportage van 4 november 2022; zie hiervoor in 3.5), aangezien met die maatregel niet een nader onderscheid is aangebracht binnen (een van) de drie in het E-archief ingerichte rechtsgebieden of een onderscheid tussen zoeken op persoonsgegevens en op andere gegevens.
Zodoende kan niet worden vastgesteld of de beperkingen die gerechtsbesturen als verwerkingsverantwoordelijken verbinden aan zoekmogelijkheden behorend bij een autorisatie, voldoen aan de hiervoor in 4.7 vermelde andere eisen dan de eis van transparantie.
4.18
Uit de in het geding gebrachte voortgangsrapportages blijkt dat in de afgelopen jaren technische en organisatorische maatregelen zijn getroffen met betrekking tot de toegang tot en inrichting van het E-archief. Zo zijn bestaande autorisaties doorgelicht en opgeschoond en zijn de mogelijkheden van logging en monitoring verruimd. Er zijn flankerende maatregelen getroffen, bijvoorbeeld ter vergroting van het bewustzijn van medewerkers van de privacyaspecten van het E-archief. Onvoldoende blijkt echter dat maatregelen zijn getroffen om (eenduidige) criteria te ontwikkelen en te hanteren bij het verstrekken en intrekken van autorisaties aan een medewerker voor een of meer rechtsgebieden. Een duidelijk kader voor het toekennen van (enkelvoudige en meervoudige) autorisaties lijkt nog te ontbreken. Er zijn per gerecht verschillende manieren waarop autorisaties worden aangevraagd, gewijzigd, ingetrokken en gecontroleerd, en informatie over de wijze waarop de (gedelegeerde) bevoegdheid daartoe is vastgelegd, is niet in alle gevallen voorhanden. Ter zitting is naar voren gekomen dat niet alleen rechters en medewerkers van de juridische ondersteuning, maar ook andere medewerkers binnen de gerechten toegang tot het E-archief kunnen verkrijgen als dat nodig is voor de uitoefening van hun functie. Niet is duidelijk geworden welke criteria daarbij worden gehanteerd. Zodoende kan niet worden vastgesteld of met de thans getroffen maatregelen voldoende is gewaarborgd dat autorisaties worden verstrekt en ingetrokken met inachtneming van de hiervoor in 4.7 vermelde andere eisen dan de eis van transparantie.
Slotsom
4.19 De slotsom ten aanzien van het eerste onderdeel van de vordering is dat de klachten van de klager gegrond zijn voor zover hij klaagt over de opname in het E-archief van de (niet-geanonimiseerde) uitspraken van de rechtbank Noord-Nederland van 23 februari 2022 en van de rechtbank Den Haag van 18 november 2021 (zie hiervoor in 4.10). In zoverre hebben de gerechtsbesturen van de rechtbank Noord-Nederland en de rechtbank Den Haag zich als verwerkingsverantwoordelijke niet overeenkomstig de transparantie-eis van de AVG gedragen. Voor het overige zijn de klachten ongegrond, of vallen ze buiten de beoordeling in deze beslissing.
4.20 De slotsom ten aanzien van het tweede onderdeel van de vordering is dat de Hoge Raad op vordering van de procureur-generaal heeft onderzocht of de inrichting van het E-archief naar de stand van 21 juli 2023 voldoet aan de normen van de AVG en deze vraag niet bevestigend kan beantwoorden (zie hiervoor in 4.16 en 4.17). Wel wordt met de informatie over het E-archief die vanaf het najaar van 2022 is vermeld op rechtspraak.nl, sindsdien voldaan aan het vereiste van transparante gegevensverwerking van art. 5 lid 1 onder a AVG (zie hiervoor in 4.13).
5 Beslissing
De Hoge Raad:
verklaart dat ten tijde van de opname en raadpleging in het E-archief van de (niet-geanonimiseerde) uitspraken van de rechtbank Noord-Nederland van 23 februari 2022 en van de rechtbank Den Haag van 18 november 2021, zoals vermeld in de klachten, niet was voldaan aan het vereiste van transparante gegevensverwerking van art. 5 lid 1 onder a AVG;
verklaart dat met de informatie over het E-archief die vanaf het najaar van 2022 is vermeld op rechtspraak.nl, sindsdien wordt voldaan aan het vereiste van transparante gegevensverwerking van art. 5 lid 1 onder a AVG;
verklaart dat voor het overige niet kan worden vastgesteld dat de inrichting van het E-archief naar de stand van 21 juli 2023 voldoet aan de normen van de AVG.
Deze beslissing is gegeven door de president G. de Groot als voorzitter, de vicepresidenten M.E. van Hilten en M.J. Kroeze, en de raadsheren A.E.M. Röttgering en F.J.P. Lock, in tegenwoordigheid van de griffier A.M. Wolffram-van Doorn, en is in het openbaar uitgesproken op 24 mei 2024.
ECLI:NL:PHR:2023:823.
De Regeling toezicht verwerking persoonsgegevens door gerechten en het parket bij de Hoge Raad is gepubliceerd op www.hogeraad.nl.
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming).
HvJEU 24 maart 2022, C-245/20, ECLI:EU:C:2022:216, punt 24 tot en met 27.
HvJEU 24 maart 2022, C-245/20, ECLI:EU:C:2022:216, punt 25, 28, 34 en 35.
Vgl. HR 3 december 2021, ECLI:NL:HR:2021:1814, rov. 3.1.4 en 3.1.5.
Vgl. HR 21 april 2023, ECLI:NL:HR:2023:658, rov. 3.3.1.