ECLI:NL:PHR:2018:1273 text/xml public 2023-06-06T03:31:42 2018-11-09 Raad voor de Rechtspraak nl Parket bij de Hoge Raad 2018-11-09 18/00467 Conclusie NL Civiel recht Arrest Hoge Raad: ECLI:NL:HR:2018:2378, Gevolgd
Rechtspraak.nl JBP 2019/2
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:PHR:2018:1273 text/html public 2018-12-20T17:20:06 2018-12-21 Raad voor de Rechtspraak nl ECLI:NL:PHR:2018:1273 Parket bij de Hoge Raad , 09-11-2018 / 18/00467
Art. 81 lid 1 RO. Inzagerecht o.g.v. art. 35 Wet bescherming persoonsgegevens. Welke gegevens? Ook inzage in stukken?
Zaaknr: 18/00467 mr. B.J. Drijber
Zitting: 9 november 2018 Conclusie inzake:
[verzoeker] ,
verzoeker tot cassatie,
verweerder in het voorwaardelijk
incidenteel cassatieberoep,
advocaat: mr. E.M. Tjon-En-Fa
tegen
[verweerster] ,
(als rechtsopvolgster van [A N.V.]
),
verweerster in cassatie,
verzoekster in het voorwaardelijk
incidenteel cassatieberoep,
advocaat: mr. B.T.M. van der Wiel
Verzoeker tot cassatie (hierna: [verzoeker] ) en verweerster in cassatie (hierna: [verweerster] ) hebben een langlopend geschil over de afwikkeling van hun contractuele relatie. In wat wordt aangeduid als de ‘bodemprocedure’ heeft het gerechtshof Amsterdam op 19 december 2017 geoordeeld dat [verweerster] tekort is geschoten in de nakoming van haar zorgplicht en [verweerster] veroordeeld tot vergoeding van de door [verzoeker] geleden schade, nader op te maken bij staat. Zowel [verweerster] als [verzoeker] hebben cassatieberoep ingesteld, [verzoeker] mede tegen een herstelarrest van 15 maart 2018. Die procedures lopen gelijk op. De onderhavige zaak speelt tegen de achtergrond van de bodemprocedure, maar vertoont daarmee niet een direct juridisch-inhoudelijk verband. Het gaat in deze zaak uitsluitend om de uitleg van het inzagerecht als bedoeld in art. 35 van de Wet bescherming persoonsgegevens. Ik zie geen beletsel om deze zaak eerder te beslissen.
1. Feiten
1.1 [verzoeker] is in 2003 een effectenbemiddelingsovereenkomst aangegaan met Bank Stroeve, een rechtsvoorgangster van [verweerster] .
1.2 In augustus 2008 is tussen [verzoeker] en [verweerster] een conflict gerezen. De aanleiding daarvoor was dat [verweerster] een margin call had gedaan, omdat het saldo op de rekeningen van [verzoeker] volgens haar te laag was ten opzichte van de ingenomen posities. Op 19 september 2008 is [verweerster] overgegaan tot liquidatie van de effectenportefeuille van [verzoeker] . Bij brief van 3 oktober 2008 heeft zij [verzoeker] hierover geïnformeerd, hem medegedeeld dat op zijn beleggingsrekening een debetstand van ruim € 4,5 miljoen was ontstaan en hem verzocht dit bedrag aan te zuiveren.
1.3 In de bodemprocedure heeft [verzoeker] [verweerster] gedagvaard voor de rechtbank Amsterdam en een verklaring voor recht gevorderd dat [verweerster] is tekortgeschoten in de nakoming van haar verplichtingen jegens hem, althans onrechtmatig heeft gehandeld, en dat hij niet gehouden is tot voldoening van het tekort op zijn rekeningen. [verweerster] heeft in reconventie betaling van de debetstand gevorderd. Genoemde rechtbank heeft de vordering van [verzoeker] afgewezen en de vordering van [verweerster] in reconventie toegewezen. [verzoeker] is in hoger beroep gekomen. Bij het genoemde arrest van 19 december 2017 heeft het gerechtshof Amsterdam [verzoeker] overwegend in het gelijk gesteld.
1.4 Op 15 juli 2016 heeft [verzoeker] bij [verweerster] op de voet van art. 35 van de Wet bescherming persoonsgegevens (hierna: Wbp ) een verzoek ingediend tot het verschaffen van:
(i) een overzicht van op hem betrekking hebbende persoonsgegevens die door [verweerster] worden verwerkt;
(ii) een afschrift van tussen hem en zijn accountmanager in een chatroom voor beleggers (Bloomberg) gewisselde chatberichten; en
(iii) een afschrift van het memo/de instructie van de Interne Audit Dienst van [verweerster] omtrent de inrichting van zijn account.
1.5 Bij brief van 29 juli 2016 heeft [verweerster] geweigerd aan dit verzoek te voldoen.
1.6 Op 11 augustus 2016 heeft [verzoeker] een verzoek tot handhaving ingediend bij de Autoriteit Persoonsgegevens (hierna: AP ), het bestuursorgaan dat toezicht houdt op de naleving van de Wbp. Bij primair besluit van 7 september 2016 heeft de AP het verzoek afgewezen. [verzoeker] heeft tegen dit besluit bezwaar gemaakt.
1.7 Bij besluit op bezwaar van 27 januari 2017 heeft de AP het primaire besluit gedeeltelijk herroepen. Zij heeft het handhavingsverzoek toegewezen voor zover het ziet op het overzicht (onderdeel (i)) en het bezwaar voor het overige ongegrond verklaard.
1.8 Bij besluit van 11 mei 2017 heeft de AP aan [verweerster] een last onder dwangsom opgelegd op grond waarvan zij aan [verzoeker] de volgende gegevens diende te verstrekken:
(1) een volledig overzicht in begrijpelijke vorm van de hem betreffende persoonsgegevens;
(2) een omschrijving van het doel of de doeleinden van de verwerking;
(3) de categorieën van gegevens waarop de verwerking betrekking heeft;
(4) de ontvangers of categorieën van ontvangers; alsmede
(5) de beschikbare informatie over de herkomst van de gegevens.
1.9 Naar aanleiding van de opgelegde last onder dwangsom heeft [verweerster] op 7 juli 2017 aan [verzoeker] een overzicht verstrekt van de persoonsgegevens die zij van [verzoeker] heeft verwerkt. Op 14 augustus 2017 heeft [verweerster] een aangepast overzicht verstrekt, waarin enkele aspecten zijn verduidelijkt en tevens een overzicht verstrekt van categorieën persoonsgegevens uit een in opdracht van [verweerster] in 2008 over [verzoeker] opgesteld forensisch rapport. Dat rapport berustte bij haar advocaat.
2 Procesverloop
2.1
Eveneens op 11 augustus 2016 heeft [verzoeker] zich op de voet van art. 46 lid 1 Wbp gewend tot de rechtbank Den Haag (hierna: de rechtbank ) en, na aanvulling van zijn verzoek op 19 september 2016, de rechtbank verzocht om [verweerster] te veroordelen zijn advocaat in het bezit te stellen van:
A. een volledig overzicht van de persoonsgegevens, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvanger of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van gegevens;
B. alle Bloomberg chatberichten tussen [verzoeker] en [verweerster] ;
C. de instructie van de Interne Audit Dienst van [verweerster] , door [verweerster] als volgt omschreven: “een document uit april 2006 (…) waarin wordt beschreven dat deze rekening gebruikt gaat worden voor optie- en futuretransacties alsmede (buitenlandse) aandelen” , en: “een interessant memo (...) inzake de AO/IC terzake de transacties van [verzoeker] [waarin] ook de systematiek en berekeningswijze van de spanlimiet terug [is] te vinden.” ; en
D. alle documentatie, zoals onder meer omschreven in randnummer 3 van het aanvullend verzoekschrift, waaruit blijkt dat [verweerster] op of omstreeks 19 september 2008 daadwerkelijk posities van [verzoeker] heeft gesloten.
2.2
[verzoeker] stelt zich op het standpunt dat hij recht heeft op afschriften, kopieën of uittreksels.
2.3
[verweerster] heeft zich primair op het standpunt gesteld dat [verzoeker] verzoek moet worden afgewezen omdat hij misbruik maakt van zijn inzagerecht ex art. 35 Wbp. Zijn verzoek zou geen ander doel hebben dan het verkrijgen van bewijsmateriaal om in de bodemprocedure tegen [verweerster] te gebruiken.
2.4 Bij beschikking van 2 februari 2017 is de rechtbank hierin meegegaan:
“3.10. De rechtbank is van oordeel dat het onderhavige verzoek van [verzoeker] niet voldoet aan de doelstelling van de Wbp. Het is voldoende aannemelijk geworden dat [verzoeker] met zijn verzoek niet beoogt om zich van de juistheid en de rechtmatigheid van de verwerking van zijn persoonsgegevens te vergewissen. Uit de overgelegde stukken en de mondelinge behandeling is gebleken dat [verzoeker] het verzoek heeft gedaan met het doel stukken in handen te krijgen die hij in de onderliggende bodemprocedure tegen [verweerster] als bewijsmateriaal wil gebruiken. Dit blijkt overduidelijk uit het aanvullende verzoek van [verzoeker] waarin hij onder meer vraagt in het bezit te worden gesteld van alle documentatie waaruit blijkt dat [verweerster] op of omstreeks 19 september 2008 daadwerkelijk posities van [verzoeker] heeft gesloten. [verzoeker] maakt daarmee misbruik van zijn inzagerecht als bedoeld in artikel 35 Wbp.”
2.5
[verzoeker] is in hoger beroep gekomen bij het gerechtshof Den Haag (hierna: het hof ), dat bij beschikking van 31 oktober 2017 de beschikking van de rechtbank heeft vernietigd. Opnieuw beschikkende heeft het hof [verweerster] bevolen om binnen vier weken na datum van de beschikking op straffe van een dwangsom aan [verzoeker] ter beschikking te stellen “ een (afgeschermd) afschrift van het forensisch rapport in zodanige vorm dat hij zijn daarin vermelde persoonsgegevens kan controleren ” . Het hof heeft al het meer of anders door [verzoeker] verzochte afgewezen.
2.6 Het hof overweegt allereerst dat [verzoeker] met zijn verzoek geen misbruik maakt van het in art. 35 Wbp opgenomen recht op toegang tot zijn persoonsgegevens:
“5. Het hof stelt het volgende voorop. Artikel 35 Wbp geeft de betrokkene het recht vrijelijk een verzoek te doen aan bedrijven of instanties om hem mede te delen of hem betreffende, persoonsgegevens worden verwerkt. Indien inderdaad persoonsgegevens van hem worden verwerkt, moet de mededeling daarvan een volledig overzicht van die persoonsgegevens in begrijpelijke vorm bevatten en voorts een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens. Indien de betrokkene meent dat zijn persoonsgegevens onjuist, onvolledig, niet ter zake dienend of in strijd met een wettelijk voorschrift zijn verwerkt, kan hij op de voet van artikel 36 Wbp verbetering, aanvulling, verwijdering of afscherming van deze gegevens verzoeken.
(…)
7. Gelet op het voorgaande is het doel van artikel 35 Wbp dat de betrokkene kan controleren of zijn persoonsgegevens juist en rechtmatig worden verwerkt. Hij heeft het recht dit ‘vrijelijk’ te doen - artikel 12 onder a van de richtlijn bepaalt: ‘vrijelijk en zonder beperking’ - waaruit volgt dat de betrokkene bij zijn verzoek geen bijzonder belang hoeft te hebben: het belang om te weten of zijn persoonsgegevens juist en rechtmatig worden verwerkt is voldoende (vgl. HR 29 juni 2007, ECLI:NL:HR:2007:AZ4663, rov. 3.4 en 3.6.2). Het belang van [verzoeker] bij zijn verzoek is hiermee gegeven. Dat [verzoeker] daarbij mogelijk tevens een ander belang heeft (gehad), te weten het verkrijgen van gegevens om deze te gebruiken in een gerechtelijke procedure - het hof merkt op dat de tussen partijen bij het gerechtshof Amsterdam aanhangige procedure inmiddels in staat van wijzen is - is ontoereikend om aan te nemen dat hij van dit recht misbruik maakt. Onder deze omstandigheden kan immers niet worden geoordeeld dat [verzoeker] zijn recht uitoefent voor een ander doel dan waarvoor het is verleend. (…). Anders dan de rechtbank is het hof dan ook van oordeel dat [verzoeker] met zijn verzoek geen misbruik maakt van het recht op toegang tot zijn persoonsgegevens op grond van artikel 35 Wbp. De grief is dus gegrond.”
2.7 Vervolgens beoordeelt het hof of de onder A-D genoemde verzoeken van [verzoeker] kunnen worden toegewezen.
2.8 Het onder A verzochte wordt toegewezen voor zover het betrekking heeft op de persoonsgegevens uit het in opdracht van [verweerster] opgestelde forensisch rapport over [verzoeker] . [verweerster] kan volstaan met het ter beschikking stellen van een ‘afgeschermd’ afschrift van het rapport. Dit oordeel motiveert het hof als volgt:
“9. Wat betreft het door [verweerster] bij e-mail van 14 augustus 2017 aan (de advocaat van) [verzoeker] verstrekte overzicht heeft [verzoeker] niet gesteld dat en op welke punten het niet voldoet aan de daaraan op grond van artikel 35 lid 2 Wbp te stellen eisen. In zoverre heeft [verzoeker] geen belang meer heeft bij het onder A verzochte.
10. Dat geldt echter niet voor het aan [verzoeker] tevens ter beschikking gestelde overzicht van categorieën (persoons)gegevens uit een in opdracht van [verweerster] in 2008 over [verzoeker] gemaakt forensisch rapport. Bij de mondelinge behandeling heeft de advocaat van [verzoeker] over dit overzicht opgemerkt dat er niet in staat welke gegevens zijn verzameld, aan wie deze ter hand zijn gesteld en hoe deze gecategoriseerd zijn. Het hof is met [verzoeker] van oordeel dat het overzicht betreffende het forensisch rapport niet voldoet aan de op grond van artikel 35 lid 2 Wbp daaraan te stellen eisen. Aan de hand van de enkele omschrijving van de gegevens - ‘Naam, roepnaam, nickname[,] geboortedatum, geboorteplaats, nationaliteit, adres, telefoonnummer, burgerlijke staat, gezinssituatie, (....) woonsituatie, woonregio, functies van [verzoeker] , gegevens financiële situatie en bezittingen, proceshistorie, informatie over familieleden (o.a. echtgenote en zonen) en afkomst (namen ouders)’ - zonder vermelding van de gegevens zelf, kan immers niet worden gecontroleerd of deze gegevens juist en volledig zijn weergegeven. Het verzoek onder A is in zoverre toewijsbaar. Daarmee is echter nog niet de vraag beantwoord in welke vorm aan een verzoek als bedoeld in artikel 35 Wbp moet worden voldaan.
11. [verzoeker] stelt zich in dit verband op het standpunt dat hij recht heeft op een afschrift van of inzage in het forensisch rapport zelf, waarbij hij zich beroept op de arresten van HR 29 juni 2007, ECLI:NL:HR:2007:AZ4663 en AZ4664. In eerstgenoemd arrest heeft de Hoge Raad overwogen dat:
‘(…) de verantwoordelijke bij de voldoening aan de door art. 35 lid 2 Wbp op de verantwoordelijke gelegde verplichting (...) niet kan volstaan met de verstrekking van globale informatie, doch alle relevante informatie over de betrokkene moet verschaffen, hetgeen, afhankelijk van de omstandigheden, vaak zal kunnen - en zo nodig op aanwijzing van de rechter zal moeten - gebeuren door het verstrekken van afschriften, kopieën of uittreksels. (...) Het in art. 35 gebruikte begrip “volledig overzicht” moet veeleer als een ruime aanduiding van de verplichting tot het verschaffen van de gegevens en niet als een beperking worden beschouwd. Wel kan [de verantwoordelijke] bij het verschaffen van de gegevens rekening houden met de belangen van derden, zij het dat dit op proportionele wijze dient te geschieden. Zo kunnen bij de verstrekking van kopieën van bescheiden bijvoorbeeld daarin aanwezige passages die betrekking hebben op derden worden afgeschermd, indien de belangen van die derden zulks vergen. ’
Naar het oordeel van het hof kan uit deze overweging niet worden afgeleid dat de betrokkene steeds recht heeft op een (ongecensureerd) afschrift van documenten waarin de persoonsgegevens zijn verwerkt. De Hoge Raad noemt het verstrekken van afschriften als mogelijkheid - hij overweegt dat dit zal kunnen gebeuren - en dat een verplichting alleen bestaat als de rechter dat bepaalt. Ook in dat laatste geval zal de verantwoordelijke onder omstandigheden, in het belang van derden, bepaalde passages mogen afschermen. (…)
Het Hof van Justitie heeft in zijn hiervoor genoemde arrest van 17 juli 2014 in dit verband overwogen:
‘ 57. Hoewel richtlijn 95/46 de lidstaten (...) verplicht te waarborgen dat iedere betrokkene van de voor de verwerking van persoonsgegevens verantwoordelijke verstrekking kan verkrijgen van alle hem betreffende gegevens van deze aard die deze verantwoordelijke verwerkt, laat zij het aan de lidstaten over om te bepalen welke concrete materiële vorm die verstrekking moet krijgen, mits deze „begrijpelijk” is. Dat wil zeggen dat de betrokkene daardoor in staat wordt gesteld kennis te nemen van die gegevens en te controleren of zij juist zijn en zijn verwerkt in overeenstemming met deze richtlijn, opdat die betrokkene eventueel de hem bij de artikelen 12, sub b en c, 14, 22 en 23 daarvan verleende rechten kan uitoefenen (...).
58. Voor zover aan de met dat recht op inzage nagestreefde doelstelling volledig kan worden voldaan met een andere vorm van verstrekking, kan de betrokkene dus noch aan artikel 12, sub a, van richtlijn 95/46 noch aan artikel 8, lid 2, van het Handvest het recht ontlenen om een afschrift te verkrijgen van het originele document of bestand waarin die gegevens staan. Teneinde de betrokkene geen toegang te geven tot andere informatie dan de hem betreffende persoonsgegevens, kan hij een afschrift krijgen van het originele document of bestand waarin die andere informatie onleesbaar is gemaakt. ’
12. Naar het oordeel van het hof is in dit geval voor het controleren van de juistheid van de persoonsgegevens in het forensisch rapport niet nodig dat [verzoeker] integraal van het rapport kennisneemt. Het voorgaande in aanmerking genomen zal het hof het verzoek toewijzen in die zin dat [verweerster] zal worden bevolen aan [verzoeker] ter beschikking te stellen een (afgeschermd) afschrift van het forensisch rapport in zodanige vorm dat hij zijn daarin vermelde persoonsgegevens kan controleren.”
2.9 Het hof wijst het door [verzoeker] onder B, C en D verzochte op de volgende gronden af:
“14. Wat betreft het onder B verzochte overweegt het hof dat [verzoeker] niet heeft bestreden dat [verweerster] hem (reeds in eerste aanleg) pagina’s met uitgedraaide Bloomberg-chatberichten - volgens het overzicht van [verweerster] 1702 pagina’s - heeft verstrekt. Naar het hof begrijpt, gaat het [verzoeker] thans nog om verstrekking van de ontbrekende chatberichten uit de periode 2003-2006. Ter zitting is door [verweerster] betwist dat deze chatberichten bestaan en gesteld dat, voor zover deze wel zouden bestaan, zij zich bij Bloomberg en niet bij [verweerster] bevinden. [verzoeker] stelt dat hij die berichten niet meer bij Bloomberg kan opvragen omdat hij geen cliënt van [verweerster] meer is. Wat daarvan zij, naar het oordeel van het hof is onder de gegeven omstandigheden geen sprake van de verwerking van persoonsgegevens van [verzoeker] door [verweerster] . Het verzoek onder B wordt daarom afgewezen.
15. Wat betreft de onder C verzochte verstrekking van de instructie van de Interne Audit Dienst van [verweerster] , zijnde een document uit april 2006, merkt het hof op dat in het door [verweerster] verstrekte overzicht onder 3 melding wordt gemaakt van een algemeen intern memo van het hoofd van de Interne Audit dienst van [verweerster] inzake de administratieve organisatie gedateerd 18 april 2006. Het onder C verzochte betreft voorts een memo inzake de AO/IC, dit is de Administratie Organisatie/Interne Controle. Het komt het hof voor dat beide documenten interne memo’s zijn. Volgens de toelichting op artikel 7.1 van de Gedragscode, hiervoor onder 11 geciteerd, hoeft van documenten waarin persoonlijke gedachten van medewerkers zijn neergelegd die zijn bedoeld voor intern overleg en beraad, geen afschrift te worden verstrekt (zie ook HR 29 juni 2007, ECLI:NL:HR:2007:AZ4663, rov. 3.14). Om die reden zal het onder C verzochte worden afgewezen.
16. Wat betreft het onder D verzochte merkt het hof op dat volgens het door [verweerster] verstrekte overzicht daarbij als bijlage 5 is gevoegd - de bijlagen zijn niet aan het hof overgelegd - ‘de eerste en de laatste pagina van alle reeds aan [verzoeker] verstrekte rekeningoverzichten (Warehouse rapporten, een ordner vol)’. [verzoeker] heeft niet gesteld dat hij aan de hand van deze reeds verstrekte documenten zijn daarin opgenomen persoonsgegevens niet heeft kunnen controleren. Het onder D verzochte zal daarom bij gebrek aan belang worden afgewezen.”
2.10 Bij verzoekschrift van 31 januari 2018, op diezelfde dag ingekomen bij de griffie van de Hoge Raad, heeft [verzoeker] tijdig cassatieberoep ingesteld tegen de beschikking van het hof. Hij heeft een voorbehoud tot aanvulling bij nader verzoekschrift gemaakt voor zover het proces-verbaal van de mondelinge behandeling bij het hof daartoe aanleiding zou geven. Van dit voorbehoud is geen gebruik gemaakt. [verweerster] heeft geconcludeerd tot verwerping van het principaal cassatieberoep en voorwaardelijk incidenteel cassatieberoep ingesteld, waartegen [verzoeker] verweer heeft gevoerd.
3 Het recht op inzage in persoonsgegevens: juridische context
Inzagerecht is een grondrecht
3.1 Alvorens de in cassatie naar voren gebrachte klachten te bespreken acht ik het nuttig samen te vatten wat het inzagerecht als bedoeld in art. 35 Wbp inhoudt, wat ermee wordt beoogd en wat de reikwijdte ervan is.
3.2 Het is vaste rechtspraak van het EHRM dat het recht op eerbiediging van de persoonlijke levenssfeer (art. 8 EVRM) het recht op toegang tot de eigen persoonsgegevens omvat.
3.3 Art. 8, leden 1 en 2, van het Handvest van de Grondrechten van de Europese Unie (hierna: Handvest ) bepaalt:
“1. Eenieder heeft recht op bescherming van de hem betreffende persoonsgegevens.
2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht van inzage in de over hem verzamelde gegevens en op rectificatie daarvan.”
3.4 Art. 10 leden 2 en 3 van de Grondwet luiden:
“2. De wet stelt regels ter bescherming van de persoonlijke levenssfeer in verband met het vastleggen en verstrekken van persoonsgegevens.
3. De wet stelt regels inzake de aanspraken van personen op kennisneming van over hen vastgelegde gegevens en van het gebruik dat daarvan wordt gemaakt, alsmede op verbetering van zodanige gegevens”.
EU- regelgeving
3.5 Richtlijn 95/46/EG (hierna: Richtlijn 95/46 ), vaak aangeduid als ‘Privacyrichtlijn’, bevat regels inzake de bescherming van persoonsgegevens. Art. 1 luidt:
“1. De lidstaten waarborgen in verband met de werking van persoonsgegevens, overeenkomstig de bepalingen van deze richtlijn, de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer.
2. De lidstaten mogen het vrije verkeer van persoonsgegevens tussen lidstaten beperken noch verbieden om redenen die met de uit hoofde van lid 1 gewaarborgde bescherming verband houden.”
Uit deze bepalingen blijkt dat de richtlijn een tweeledig doel kent: zij strekt er zowel toe het vrij verkeer van persoonsgegevens te bevorderen als – tegen de achtergrond van het in art. 8 EVRM verankerde recht op eerbiediging van de persoonlijke levenssfeer – een hoog beschermingsniveau te verzekeren van de rechten en belangen van iedere persoon van wie persoonsgegevens worden verwerkt. Het is met name vanwege de eerste doelstelling van de vrijheid van het dataverkeer dat in beginsel een volledige harmonisatie van het gegevensbeschermingsrecht is beoogd.
3.6 Richtlijn 95/46 bevat verplichtingen die de voor de verwerking verantwoordelijke partij (aangeduid als ‘de verantwoordelijke’) in acht moet nemen bij de verwerking van persoonsgegevens van een natuurlijk persoon (aangeduid als ‘de betrokkene’). Daarnaast bevat de richtlijn rechten voor de betrokkene te weten: (i) het recht op toegang tot persoonsgegevens, (ii) het recht om persoonsgegevens in bepaalde gevallen te doen corrigeren, verwijderen of afschermen, en (iii) het recht zich te verzetten tegen de (verdere) verwerking van persoonsgegevens.
3.7 Considerans nr. 41 van Richtlijn 95/46 luidt:
“(41) Overwegende dat een ieder over het recht moet kunnen beschikken toegang te verkrijgen tot de gegevens die het voorwerp van een verwerking vormen en hemzelf betreffen, zodat hij zich van de juistheid en de rechtmatigheid van de verwerking ervan kan vergewissen; (…)”
Art. 12 van Richtlijn 95/46, geplaatst in afdeling V (“recht van de betrokkene op toegang tot de gegevens”) bepaalt het volgende:
“ Recht op toegang
De lidstaten waarborgen elke betrokkene het recht van de voor de verwerking verantwoordelijke te verkrijgen:
a) vrijelijk en zonder beperking, met redelijke tussenpozen en zonder bovenmatige vertraging of kosten:
- uitsluitsel omtrent het al dan niet bestaan van verwerkingen van hem betreffende gegevens, alsmede ten minste informatie over de doeleinden van deze verwerkingen, de categorieën gegevens waarop deze verwerkingen betrekking hebben en de ontvangers of categorieën ontvangers aan wie de gegevens worden verstrekt;
- verstrekking, in begrijpelijke vorm, van de gegevens die zijn verwerkt, alsmede de beschikbare informatie over de oorsprong van de gegevens;
- (…);”
3.8 Op grond van art. 13 lid 1 van Richtlijn 95/46 kunnen de lidstaten de rechten van de betrokkene, waaronder het recht bedoeld in art. 12, beperken indien dit noodzakelijk is ter vrijwaring van onder meer
“g) de bescherming van de betrokkene of van de rechten en vrijheden van anderen.”
3.9 De Algemene Verordening Gegevensbescherming (hierna: AVG ) heeft Richtlijn 95/46 vervangen. De AGV is sinds 25 mei 2018 van toepassing. Per die datum is Richtlijn 95/46 ingetrokken.
3.10 Art. 15 AVG regelt het inzagerecht (“Recht van inzage van de betrokkene”) en bepaalt – voor zover hier van belang – het volgende:
“1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden
b) de betrokken categorieën van persoonsgegevens (…).”
(…)
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.”
De doelstelling van het inzagerecht is ten opzichte van Richtlijn 95/46 niet veranderd. Het gaat er nog steeds om de betrokkene in staat te stellen kennis te nemen van zijn of haar persoonsgegevens, die te controleren op juistheid en te controleren of die rechtmatig zijn verwerkt.
Nationale wet- regelgeving
3.11 De Wet bescherming persoonsgegevens (Wbp) strekt zowel tot uitvoering van art. 10 lid 2 en lid 3 van de Grondwet als tot implementatie van Richtlijn 95/46. De Wbp dient conform de richtlijn te worden uitgelegd.
3.12 Art. 35 Wbp vormt de omzetting van art. 12 van Richtlijn 95/46:
“1. De betrokkene heeft het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt. De verantwoordelijke deelt de betrokkene schriftelijk binnen vier weken mee of hem betreffende persoonsgegevens worden verwerkt.
2. Indien zodanige gegevens worden verwerkt, bevat de mededeling een volledig overzicht daarvan in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.”
3.13 Hoewel art. 35 Wbp in de wandeling wordt aangeduid als ‘het inzagerecht’ geeft de tekst van deze bepaling de betrokkene niet rechtstreeks aanspraak op ‘inzage’ van dossiers of computerbestanden, noch rechtstreeks aanspraak op een afschrift, kopie of uitdraai daarvan. Naar de tekst stelt art. 35 Wbp twee eisen: (i) dat de informatie schriftelijk en (ii) in een begrijpelijke vorm wordt gegeven. Persoonsgegevens van de betrokkene kunnen zijn opgeslagen op een informatiedrager die ook persoonsgegevens van anderen bevat of gegevens waartoe het inzagerecht zich niet uitstrekt. Het is evenwel niet altijd praktisch uitvoerbaar om de op grond van art. 35 Wbp opgevraagde persoonsgegevens af te scheiden van de gegevens van anderen of van de drager waarop de informatie is vastgelegd.
3.14 Het inzagerecht en de verplichting van de verantwoordelijke tot het verstrekken van informatie zijn eveneens neergelegd in de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (hierna: Gedragscode ).
3.15 Art. 43 Wbp vormt de omzetting van art. 13 van Richtlijn 95/46. Het bevat de gronden waarop de rechten van de betrokkene, waaronder het recht van inzage, buiten toepassing kunnen worden gelaten. Het luidt – voor zover hier van belang –:
“De verantwoordelijk kan de artikelen (…) en 35 buiten toepassing laten voor zover dit noodzakelijk is in het belang van:
(…)
e. de bescherming van de betrokkene of van de rechten en vrijheden van anderen.”
Art. 43 Wbp bevat een uitzondering op toegekende rechten en dient daarom restrictief te worden uitgelegd. Deze uitzondering veronderstelt een toetsing van de noodzakelijkheid van de inmenging, zoals deze ook geschiedt bij toepassing van art. 8 lid 2 EVRM (proportionaliteit). Bij een beroep op de uitzonderingsbepaling rust de stelplicht in beginsel op de verantwoordelijke. Uit de wetsgeschiedenis blijkt dat de verantwoordelijke ook begrepen wordt onder ‘anderen’ in de bepaling onder e.
3.16 Art. 46 Wbp geeft betrokkene het recht zicht tot de rechtbank te wenden als een verzoek tot inzage geheel of gedeeltelijk is afgewezen. Art. 46 Wbp bepaalt – voor zover hier van belang –:
“1. Indien een beslissing als bedoeld in artikel 45 is genomen door een ander dan een bestuursorgaan, kan de belanghebbende zich tot de rechtbank wenden met het schriftelijk verzoek, de verantwoordelijke te bevelen alsnog een verzoek als bedoeld in de artikelen 30, derde lid, 35, 36 of 38, tweede lid, toe of af te wijzen (…).
2. Het verzoekschrift moet worden ingediend binnen zes weken na ontvangst van het antwoord van de verantwoordelijke. Indien de verantwoordelijke niet binnen de gestelde termijn heeft geantwoord, moet het verzoekschrift worden ingediend binnen zes weken na afloop van die termijn.
(…)”
3.17 Op 25 mei 2018 is de Uitvoeringswet Algemene verordening Gegevensbescherming (hierna: UAVG ) in werking getreden en is de Wbp ingetrokken. Op verzoeken ex art. 46 Wbp die vóór 25 mei 2018 bij de rechter zijn ingediend, zoals het geval is met het verzoek van [verzoeker] , is het recht van toepassing zoals dat gold voorafgaand aan de inwerkingtreding van de UAVG.
Reikwijdte van het inzagerecht en vorm van verstrekking van gegevens
3.18 Het recht van inzage is in de kern een recht op kennisneming van persoonsgegevens. De term ‘kennisnemingsrecht’ wordt wel gebruikt, maar is niet echt ingeburgerd. De Europese wetgever gebruikt in de richtlijn de term ‘recht op toegang’ en nu in de AVG, in navolging van art. 8 lid 2 Handvest, de term ‘recht van inzage’. Ik gebruik hierna de term ‘inzagerecht’ omdat die term het meest is ingeburgerd.
3.19 Het inzagerecht is beperkt tot persoonsgegevens. De definitie van het begrip ‘persoonsgegevens’ is daarom bepalend voor de reikwijdte van het inzagerecht. De reikwijdte van dit recht is wegens deze koppeling aan het begrip ‘persoonsgegevens’ beperkter dan de reikwijdte van het door de Wet openbaarheid van bestuur (Wob) toegekende recht op informatie met betrekking tot bestuurlijke aangelegenheden.
3.20 In de meeste geschillen over de uitleg van het inzagerecht zijn de volgende twee vragen aan de orde: welke gegevens moeten worden verstrekt (inhoud) en op welke wijze moet verstrekking plaatsvinden (vorm). De belangrijkste bronnen om deze vragen te beantwoorden zijn enerzijds de drie beschikkingen van de Hoge Raad van 29 juni 2007 inzake Dexia en HBU en anderzijds het arrest van het HvJEU van 17 juli 2014 met betrekking tot de Nederlandse asielprocedure (hierna: IND-arrest ).
3.21 In de genoemde drie beschikkingen overweegt de Hoge Raad:
“ (…) Uit nr. 41 van de considerans en – het in art. 35 Wbp geïmplementeerde – art. 12 van de Richtlijn volgt dat de betrokkene recht heeft op toegang tot de gegevens die het voorwerp van een verwerking vormen en hemzelf betreffen, zodat hij zich van de juistheid en de rechtmatigheid van de over hem opgeslagen informatie kan vergewissen. Hieruit vloeit voort dat de verantwoordelijke (in de zin van de Wbp) specifieke informatie behoort te verstrekken aan de betrokkene waardoor deze in staat wordt gesteld behoorlijk kennis te nemen van zijn gegevens en van de wijze waarop deze zijn verwerkt. De betrokkene kan bij het vragen van deze informatie volstaan met een verwijzing naar art. 35 Wbp en behoeft geen nadere redenen op te geven. Hij mag verwachten dat de vervolgens aan te reiken informatie transparant en volledig zal zijn. (…) Verder volgt uit het voorgaande, dat, anders dan Dexia kennelijk wil betogen, de verantwoordelijke bij de voldoening aan de door art. 35 lid 2 Wbp op de verantwoordelijke gelegde verplichting om aan de betrokkene een volledig overzicht van de verwerkte persoonsgegevens te verschaffen niet kan volstaan met de verstrekking van globale informatie, doch alle relevante informatie over de betrokkene moet verschaffen, hetgeen, afhankelijk van de omstandigheden, vaak zal kunnen – en zo nodig op aanwijzing van de rechter zal moeten – gebeuren door het verstrekken van afschriften, kopieën of uittreksels. (…) Het in art. 35 gebruikte begrip “volledig overzicht” moet veeleer als een ruime aanduiding van de verplichting tot het verschaffen van de gegevens en niet als een beperking worden beschouwd. Wel kan Dexia bij het verschaffen van de gegevens rekening houden met de belangen van derden, zij het dat dit op proportionele wijze dient te geschieden. Zo kunnen bij de verstrekking van kopieën van bescheiden bijvoorbeeld daarin aanwezige passages die betrekking hebben op derden worden afgeschermd, indien de belangen van die derden zulks vergen.”
3.22 Dommering wijst erop dat deze beschikkingen, als gevolg van de passage dat het verschaffen van alle relevante informatie vaak zal kunnen – en zo nodig op aanwijzing van de rechter zal moeten – gebeuren door het verstrekken van afschriften, kopieën of uittreksels, niet een einde hebben gemaakt aan de voordien bestaande meningsverschillen over de vraag of de verantwoordelijke nu inderdaad kan volstaan met het verstrekken van een overzicht of dat hij een afschrift, een kopie of een uittreksel moet verstrekken.
3.23 Het antwoord op de vraag waartoe de verantwoordelijke precies gehouden is, hangt m.i. af van de omstandigheden van het geval. Het verschaffen van een kopie is niet zonder meer verplicht, maar men kan zich voorstellen dat het verschaffen van een kopie c.q. afschrift in veel gevallen wel voor de hand ligt. Een volgende vraag is dan welke informatie die kopie moet bevatten: volstaan de losse persoonsgegevens of moet alle informatie worden verstrekt die nodig is om de betrokkene in staat te stellen de context te duiden waarin de gegevens zijn verwerkt. Daarover geeft het IND -arrest van het HvJEU enige duidelijkheid.
3.24 Genoemd arrest is gewezen in antwoord op prejudiciële vragen van de rechtbank Middelburg en van de Afdeling bestuursrechtspraak. De aanleiding daarvoor was een wijziging in de Nederlandse asielprocedures. Waar voorheen de minuut in het dossier van de IND in het kader van een verzoek ex art. 35 Wbp integraal werd verstrekt, met begrip van de juridische analyse van de asielaanvraag, werd sinds 2009 alleen nog een overzicht van de in de minuut opgenomen persoonsgegevens verstrekt, alsmede informatie omtrent de bronnen van de verwerkte gegevens en de partijen aan wie de gegevens kunnen zijn meegedeeld. In geschil was of dat genoeg was. Meer specifiek ging het om twee vragen: (i) moet van de minuut een afschrift worden verstrekt of volstaat een overzicht van de daarin opgenomen persoonsgegevens?; (ii) kan een in een minuut opgenomen juridische analyse worden aangemerkt als een persoonsgegeven?
3.25 Het HvJEU oordeelt allereerst dat de juridische analyse naar aanleiding van een persoonsgegeven als zodanig niet kan worden gekwalificeerd als persoonsgegeven in de zin van art. 2, sub a, van Richtlijn 95/46. Daarentegen vallen persoonsgegevens die zijn verwerkt in de juridische analyse, wél onder het inzagerecht.
3.26 Over de vraag of het inzagerecht een recht op een afschrift impliceert oordeelt het HvJEU:
“57 Hoewel richtlijn 95/46 de lidstaten (…) verplicht te waarborgen dat iedere betrokkene van de voor de verwerking van persoonsgegevens verantwoordelijke verstrekking kan verkrijgen van alle hem betreffende gegevens van deze aard die deze verantwoordelijke verwerkt, laat zij het aan de lidstaten over om te bepalen welke concrete materiële vorm die verstrekking moet krijgen, mits deze „begrijpelijk” is. Dat wil zeggen dat de betrokkene daardoor in staat wordt gesteld kennis te nemen van die gegevens en te controleren of zij juist zijn en zijn verwerkt in overeenstemming met deze richtlijn, opdat die betrokkene eventueel de hem bij de artikelen 12, sub b en c, 14, 22 en 23 daarvan verleende rechten kan uitoefenen (zie in die zin arrest Rijkeboer , EU:C:2009:293, punten 51 en 52).
58 Voor zover aan de met dat recht op inzage nagestreefde doelstelling volledig kan worden voldaan met een andere vorm van verstrekking, kan de betrokkene dus noch aan artikel 12, sub a, van richtlijn 95/46 noch aan artikel 8, lid 2, van het Handvest het recht ontlenen om een afschrift te verkrijgen van het originele document of bestand waarin die gegevens staan. Teneinde de betrokkene geen toegang te geven tot andere informatie dan de hem betreffende persoonsgegevens, kan hij een afschrift krijgen van het originele document of bestand waarin die andere informatie onleesbaar is gemaakt.
59 In situaties als die in de hoofdgedingen vloeit uit het in punt 48 van het onderhavige arrest gegeven antwoord voort dat alleen de gegevens betreffende de aanvrager van de verblijfstitel die in de minuut zijn weergegeven, en in voorkomend geval die welke in de juridische analyse in die minuut zijn weergegeven, „persoonsgegevens” in de zin van artikel 2, sub a, van richtlijn 95/46 zijn. Bijgevolg heeft het recht op inzage waarop deze aanvrager zich krachtens artikel 12, sub a, van richtlijn 95/46 en artikel 8, lid 2, van het Handvest kan beroepen, uitsluitend betrekking op die gegevens. Opdat aan dit recht op inzage wordt voldaan, volstaat het dat aan de aanvrager van de verblijfstitel een volledig overzicht, in begrijpelijke vorm, van al deze gegevens wordt gegeven, dat wil zeggen in een vorm die deze aanvrager in staat stelt kennis te nemen van die gegevens en te controleren of zij juist zijn en zijn verwerkt in overeenstemming met deze richtlijn, opdat hij eventueel de hem bij de artikelen 12, sub b en c, 14, 22 en 23 van die richtlijn verleende rechten kan uitoefenen.”
3.27 Het HvJEU bevestigt dat het recht van inzage van de betrokkene slechts betrekking heeft op de hem betreffende persoonsgegevens ; het strekt zich niet uit tot andere informatie. Voor zover in het originele document waarop het inzageverzoek is gericht andere informatie dan de betrokkene betreffende persoonsgegevens is opgenomen, kan deze informatie onleesbaar worden gemaakt. Deze benadering betekent dat alleen inzage hoeft te worden gegeven in de verwerkte persoonsgegevens en dat de rest van het betrokken document zwart gemaakt kan worden, zo lang de wèl verstrekte informatie ‘begrijpelijk’ is. De betrokkene moet immers in staat worden gesteld na te gaan of de hem betreffende persoonsgegevens juist zijn en rechtmatig zijn verwerkt (zie punt 57). Wanneer die controle op juistheid en rechtmatigheid mogelijk is op andere wijze dan door het verkrijgen van een afschrift dan heeft de betrokkene geen recht op een afschrift (punt 58).
3.28 Het IND- arrest heeft nogal wat commentaren uitgelokt. Enkele auteurs zijn van mening dat het HvJEU een te restrictieve lijn heeft aangehouden doordat het een enge uitleg geeft van het begrip ‘persoonsgegevens’ en het verstrekken van een afschrift niet standaard voorschrijft. Overkleeft-Verburg wijst erop dat
“ … inzage op basis van een overzicht van de betreffende persoonsgegevens als regel tot contextverlies leidt. Het gaat er niet om of mijn naam goed gespeld wordt, maar in samenhang met welke gegevens mijn naam wordt gebruikt.”
M. Jansen stelt:
“Het is maar de vraag of het verstrekken van louter een overzicht van verwerkte persoonsgegevens, zonder enige context, de betrokkene tot dit alles in staat stelt. De betrokkene lijkt zich in een dergelijk geval immers eenvoudig te kunnen verweren met de stelling dat zonder afschrift van alle bescheiden waarin de persoonsgegevens zijn opgenomen, niet te controleren is of de gegevens wel voldoende ‘eerlijk’ (artikel 6 onderdeel a richtlijn) en voldoende ‘nauwkeurig’ (artikel 6 onderdeel d richtlijn) zijn verwerkt.”
3.29 Wat betekent dit Luxemburgse arrest voor de rechtspraak van de nationale hoogste rechtscolleges, de Hoge Raad en de Afdeling bestuursrechtspraak? Naar het mij voorkomt behoeft die rechtspraak geen bijstelling.
3.30 Vóór dit arrest van het HvJEU was de lijn in de rechtspraak van de Afdeling bestuursrechtspraak dat betrokkene geen recht op een afschrift kan doen gelden indien aan de met het recht op inzage nagestreefde doelstellingen kan worden voldaan zonder een afschrift te verstrekken:
“Gegeven het aan de Wbp ten grondslag liggende garantiebeginsel is inzage in stukken waarin persoonsgegevens zijn opgenomen aan de orde indien niet op andere wijze adequaat kan worden voorzien in kennisgeving van die persoonsgegevens dan wel mededeling van de herkomst daarvan, behoudens toepasselijkheid van de in artikel 43 van de Wbp vervatte weigeringsgronden.”
In haar verwijzingsuitspraak zette de Afdeling bestuursrechtspraak zich niet alleen af tegen een afwijkende koers die de rechtbank Middelburg volgens haar had ingezet, maar overwoog zij ook dat er geen verschil bestaat tussen de door haar gevolgde lijn en de benadering van de Hoge Raad in de beschikkingen van 29 juni 2007:
“2.24 (…) Anders dan de rechtbank Middelburg leidt de Afdeling uit voormeld arrest van de Hoge Raad van 29 juni 2007, welk arrest overigens is gewezen in een civiele procedure en als zodanig geen betrekking heeft op de materie als hier aan de orde, niet af dat dit rechtscollege van oordeel is dat een recht bestaat op het verkrijgen van afschriften van documenten. In dat arrest staat niet meer dan dat het verschaffen van een volledig overzicht vaak zal kunnen gebeuren door het verstrekken van afschriften, kopieën of uittreksels en soms op aanwijzing van de rechter zal moeten. Dit laatste komt overeen met het oordeel van de Afdeling dat inzage in stukken moet worden verleend als het niet mogelijk is op andere wijze adequaat te voorzien in kennisgeving van de persoonsgegevens. Beide rechtscolleges zijn derhalve van oordeel dat, om te voldoen aan de in artikel 35, tweede lid, van de Wbp neergelegde verplichting, niet kan worden volstaan met het verstrekken van globale informatie over de verwerkte persoonsgegevens.”
3.31 De Afdeling bestuursrechtspraak ziet in het IND-arrest van het HvJEU duidelijk een bevestiging van haar eerdere rechtspraak (en dus kennelijk ook: van de rechtspraak van de Hoge Raad). In een van haar twee einduitspraken overweegt zij:
“9.1. Uit het arrest van het Hof volgt dat het recht op inzage, als bedoeld in artikel 35, eerste lid, van de Wbp, uitsluitend betrekking heeft op de persoon betreffende gegevens die vallen onder het bereik van de Wbp. Over de wijze van verstrekking van deze gegevens heeft het Hof overwogen dat het aan de lidstaten is om te bepalen welke concrete materiële vorm die verstrekking moet krijgen, mits de verstrekking in begrijpelijke vorm geschiedt. Voor zover aan de met het recht op inzage nagestreefde doelstelling volledig kan worden voldaan met een andere vorm van verstrekking kan de betrokkene aan artikel 12, aanhef en onder a, van de Privacyrichtlijn geen recht ontlenen om een afschrift te verkrijgen van het originele document of bestand waarin hem betreffende gegevens staan, aldus het Hof. Het volstaat derhalve dat aan de aanvrager, bedoeld in artikel 35, tweede lid, van de Wbp, een volledig overzicht in begrijpelijke vorm van deze persoonsgegevens wordt verstrekt, voorzien van een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens, zodat de aanvrager die gegevens kan controleren op hun juistheid en kan controleren of zij in overeenstemming met de Wbp zijn verwerkt.”
3.32 Meer specifiek rijst de vraag of het IND -arrest gevolgen heeft voor de rechtspraak over de vraag wanneer interne memo’s van de verantwoordelijke onder het inzagerecht vallen. In de beschikkingen van 29 juni 2007 heeft de Hoge Raad uitgemaakt dat interne memo’s die de persoonlijke gedachten van medewerkers bevatten, in beginsel geen onderdeel zijn van een ‘bestand’ en om die reden buiten de reikwijdte van het recht van inzage vallen:
“3.14 Het hof heeft kennelijk geoordeeld dat notities van persoonsgegevens die bij derden of bij [verweerder] zelf zijn opgevraagd naar hun aard deel uitmaken van een bestand of bestemd zijn om in een bestand te worden opgenomen. Dit oordeel is onjuist noch onbegrijpelijk, nu aannemelijk moet worden geacht dat dergelijke, met een bepaald doel opgevraagde notities bestemd zijn om tezamen met andere persoonsgegevens van [verweerder] te worden bewaard en door Dexia geen omstandigheden zijn aangevoerd die een ander oordeel rechtvaardigen. Het hof heeft voornoemde notities terecht onderscheiden van interne notities die de persoonlijke gedachten van medewerkers van Dexia bevatten en die uitsluitend zijn bedoeld voor intern overleg en beraad, omdat het bij laatstgenoemde notities veel minder vanzelfsprekend is dat deze bedoeld zijn om tezamen met andere persoonsgegevens in een bestand te worden opgenomen.”
De Hoge Raad heeft daarmee zeker niet interne memo’s als categorie buiten de reikwijdte van art. 35 Wbp geplaatst. Hij heeft wel interne notities die de persoonlijke gedachten van medewerkers bevatten en die uitsluitend zijn bedoeld voor intern overleg en beraad, van toepassing van het inzagerecht uitgezonderd op de grond, naar het mij voorkomt, dat dergelijke persoonlijke opvattingen niet zijn aan te merken als persoonsgegevens.
3.33 De Afdeling bestuursrechtspraak heeft in een tweede einduitspraak met betrekking tot interne notities in dezelfde zin overwogen, toegespitst op de juridische analyse in de minuut:
“11.2. Naar het oordeel van de Afdeling staat het belang van de ongestoorde gedachtewisseling tussen ambtenaren het verstrekken van de [wederpartij] betreffende persoonsgegevens niet in de weg. Daarbij is van belang dat de minister slechts is gehouden een volledig overzicht in begrijpelijke vorm van die persoonsgegevens te verstrekken. De juridische analyse, waarin een ambtenaar voor intern beraad zijn persoonlijke opvattingen ter voorbereiding van de beslissing uiteenzet, is, zoals volgt uit het arrest, als zodanig niet een persoonsgegeven en valt derhalve als zodanig niet onder het toepassingsbereik van de Wbp. De minister heeft zich derhalve ten onrechte op het standpunt gesteld dat, voor zover hij is gehouden een overzicht te verstrekken van [wederpartij] betreffende persoonsgegevens, artikel 43, aanhef en onder e, van de Wbp daaraan in de weg staat.”
Aan het door de minister aan art. 43, aanhef en onder e, Wbp ontleende verweer wordt niet wordt toegekomen. De minister krijgt niettemin gelijk op basis van de overweging dat de juridische analyse buiten het begrip ‘persoonsgegevens’ valt. De nuance dat in die analyse ook persoonsgegevens kunnen zijn verwerkt, komt in deze uitspraak niet duidelijk tot uitdrukking.
3.34 Tot slot wijs ik op een arrest van het gerechtshof Amsterdam uit 2011, dat m.i. goed past in de zo juist genoemde lijn in de rechtspraak:
“4.5.3. De door [ Appellante ] verzochte gegevens hebben gemeen, (…) dat het correspondentie betreft tussen medewerkers van de verantwoordelijke, welke de persoonlijke gedachten van medewerkers van de verantwoordelijke bevatten en die uitsluitend bedoeld zijn voor intern overleg en beraad.
Het bovenstaande in aanmerking nemende vallen de door [ Appellante ] verzochte gegevens niet onder het inzagerecht van artikel 35 Wbp. Dit wordt niet anders indien, zoals door [ Appellante ] gesteld in de ter gelegenheid van de behandeling in eerste aanleg overgelegde pleitnotities, de persoonlijke aantekeningen/gedachten schriftelijk, waaronder begrepen ‘elektronisch’, worden gedeeld met andere werknemers. Dit rechtvaardigt niet de conclusie dat deze bedoeld zijn om tezamen met andere persoonsgegevens in een bestand te worden opgenomen.”
3.35 Het voorgaande komt samengevat op het volgende neer:
1. Het recht op inzage in stukken omvat alleen de persoonsgegevens die zich daarin bevinden. De aan de betrokkene verstrekte informatie moet echter voor deze begrijpelijk zijn en hem in staat stellen de juistheid van de persoonsgegevens en de rechtmatigheid van de verwerking van die gegevens te controleren. Dat kan er toe nopen dat meer informatie dan alleen de persoonsgegevens moet worden verstrekt. De omstandigheden van het geval zijn hier bepalend.
2. Inzage kan worden gegeven door verstrekking van een kopie of afschrift. Als er een alternatieve wijze is om inzage te verstrekken, zoals het verschaffen van een volledig overzicht van de verwerkte persoonsgegevens, dan volstaat dat. De vorm waarop inzage in persoonsgegevens moet worden gegeven hangt daarom af van de omstandigheden.
3. Op interne memo’s die persoonsgegevens bevatten en in een bestand zijn opgenomen of bestemd zijn om in een bestand te worden opgenomen, is art. 35 Wbp van toepassing. Persoonlijke beleidsopvattingen ten behoeve van intern beraad zijn niet als persoonsgegevens aan te merken en vallen om die reden buiten het inzagerecht.
Misbruik van recht en verhouding tot art. 843a Rv
3.36 Aan art. 35 Wbp ligt het transparantiebeginsel ten grondslag. Dit beginsel houdt in dat de betrokkene, vanuit een oogpunt van privacybescherming, in de gelegenheid moet worden gesteld na te gaan waar gegevens over hem in een ‘bestand’ zijn vastgelegd en hoe deze zijn verwerkt. In de systematiek van de Wpb behoeft de betrokkene bij het indienen van een verzoek op grond van art. 35 Wbp niet een bepaald belang te stellen, noch het doel te vermelden dat hij met de gevraagde inzage wil bereiken. Het belang van de betrokkene komt eerst aan de orde wanneer de verantwoordelijke een beroep doet op een van de uitzonderingen in art. 43 Wbp of, zoals in deze zaak, op misbruik van recht.
3.37 De betrokkene die zich op de voet van art. 46 lid 1 Wbp tot de rechtbank wendt hoeft niet aannemelijk te maken dat hij belang heeft bij de uitoefening van zijn inzagerecht. Het enkele feit dat over hem gegevens worden verwerkt is voldoende. In de beschikkingen van 29 juni 2007 overwoog de Hoge Raad:
“De betrokkene kan bij het vragen van deze informatie volstaan met een verwijzing naar art. 35 Wbp en behoeft geen nadere reden te geven.”
Ofschoon art. 35 Wpb is bedoeld is om betrokkene de mogelijkheid te geven om te controleren of op hem betrekking hebbende persoonsgegevens juist zijn en of zij rechtmatig zijn verwerkt, is voor een beroep op die bepaling niet vereist dat hij zich daarvan wil vergewissen. De betrokkenen kan eenvoudig willen weten welke gegevens in een bestand over hem zijn opgenomen. Anders gezegd, de uitoefening van de bevoegdheid van art. 35 Wbp is niet doelgebonden.
3.38 Daarmee is niet gezegd dat een verzoek ex art. 35 Wbp nooit misbruik van bevoegdheid kàn opleveren. Volgens art. 3.13 BW, in samenhang met art. 3:15 BW, kan degene aan wie de wet een bevoegdheid toekent, haar niet inroepen voor zover hij haar misbruikt. De kans dat een inzageverzoek ex art. 35 Wbp misbruik oplevert is echter erg klein. Ik verwijs naar gerechtshof Amsterdam 10 november 2005, ECLI:NL:GHAMS:2005:AU8223, rov. 3.8:
“In de wetsgeschiedenis van de Wbp zijn geen aanknopingspunten te vinden voor de gedachte dat de onderhavige bevoegdheid niet zou kunnen worden misbruikt. Het recht van de betrokkene op inzage wordt weliswaar verondersteld (daarom behoeft ook geen reden voor het verzoek te worden opgegeven), maar deze veronderstelling zal hebben te wijken voor (door de verantwoordelijke te stellen en zo nodig te bewijzen) feiten en omstandigheden waaruit volgt dat de onderhavige bevoegdheid wordt misbruikt in de zin van art. 3:13 BW. De onderhavige bevoegdheid kan dus worden misbruikt.”
Het is aan de verantwoordelijke om misbruik aan te tonen. Dat bewijs is niet eenvoudig te leveren mede omdat de betrokkene zijn verzoek om inzage niet nader hoeft te motiveren.
3.39 Voorts wordt de reikwijdte van art. 35 Wbp niet ingeperkt door art. 843a Rv. In literatuur die dateert van vóór de beschikkingen van 29 juni 2007 is erop gewezen dat particuliere beleggers die een procedure hebben aangespannen tegen een bank of effecteninstelling niet langs de weg van art. 35 Wbp gegevens zouden mogen opvragen die zij ook (kunnen) opvragen in het kader van een vordering ex art. 843a Rv. Het inzagerecht zou niet zijn bedoeld om de betrokkene in staat te stellen zijn bewijsrechtelijke positie te versterken en, in voorkomend geval, de relatief strikte voorwaarden van art. 843a Rv te omzeilen. Gebeurt dat toch, dan zou dat misbruik van recht in de zin van art. 3:13 BW opleveren.
3.40 In de Dexia- beschikkingen van 29 juni 2007 ging de Hoge Raad daar niet in mee (mijn onderstreping):
“3.6.2 Het bepaalde in art. 843a Rv. doet aan het voorgaande niet af. Deze bepaling kan niet worden beschouwd als een ten opzichte van art. 35 Wbp bijzondere bepaling die aan de daarin vermelde verplichting tot het geven van informatie afbreuk kan doen. Art. 843a voorziet erin dat degene die daarbij een rechtmatig belang heeft inzage, afschrift of uittreksel van bepaalde bescheiden, waaronder begrepen op een gegevensdrager aangebrachte gegevens, aangaande een rechtsbetrekking waarin hij of zijn voorganger partij is, kan vorderen en kan naar gelang de omstandigheden zowel een ruimer als een beperkter toepassingsgebied hebben dan art. 35 Wbp. Aan een op art. 35 Wbp gebaseerd verzoek, waarvoor zoals hiervoor is overwogen geen bijzondere redenen behoeven te worden opgegeven, ligt in het algemeen en ook in een geval als het onderhavige waarin moet worden aangenomen dat geen sprake is van misbruik van recht, een rechtmatig belang ten grondslag . Voorts is het door Dexia aangevoerde feit dat [verweerder] uit de door Dexia verstrekte stukken informatie kan destilleren die voor hem van nut kan zijn in een procedure, onvoldoende om aan te nemen dat op grond van gewichtige redenen als bedoeld in art. 843a Rv. de verstrekking van de door [verweerder] verzochte informatie achterwege dient te blijven. (…)”
De Hoge Raad oordeelde derhalve dat art. 843a Rv niet kan worden beschouwd als een ten opzichte van art. 35 Wbp bijzondere bepaling die aan de daarin opgenomen verplichting tot het geven van informatie afbreuk kan doen.
3.41 In het arrest van 16 maart 2018 ( Waterlandziekenhuis) heeft uw Raad bevestigd dat art. 843a Rv en art. 35 Wbp elk een eigen toepassingsgebied hebben (rov. 3.3.2). Art. 843a Rv is geen lex specialis ten opzichte van art. 35 Wbp maar omgekeerd brengt een beroep op art. 35 Wbp niet als zodanig met zich mee dat een op art. 843a Rv gebaseerde vordering gegrond is.
4 Bespreking van het principaal cassatieberoep
Inleiding
4.1 Het door [verzoeker] voorgestelde cassatiemiddel bestaat uit zes onderdelen. De onderdelen I-V omvatten meerdere klachten, waarvan sommige zijn aangeduid als ‘kernklacht’.
4.2 In onderdeel I probeert [verzoeker] uw Raad te verleiden de beschikkingen van 29 juni 2007 nader te preciseren in de richting dat de verantwoordelijke ‘ruimhartiger’ moet zijn dan [verweerster] van het hof moest zijn. Deze klacht, waar nogal wat inleidende beschouwingen aan voorafgaan, lees ik zo dat, áls er een afschrift wordt verstrekt, dit niet een ‘afgeschermd’ afschrift mag zijn, omdat betrokkene daar te weinig aan zou hebben. De kwestie óf recht op een afschrift, kopie of uittreksel van het originele document bestaat, wordt door het middel niet aan de orde gesteld. In onderdeel V wordt een vergelijkbare klacht geformuleerd, nu echter toegespitst op interne documenten. Het hof zou ten onrechte hebben geoordeeld dat interne documenten ‘categorisch’ van inzage zijn uitgesloten.
4.3 Zie ik het goed, dan stellen de beide onderdelen een ‘alles-tenzij-benadering’ voor: de betrokkene zou ieder document waarin persoonsgegevens zijn weergegeven integraal in afschrift moeten ontvangen, tenzij de verantwoordelijke aantoont dat zich op een van de in art. 43 Wbp genoemde uitzonderingsgronden kan beroepen. Naar mijn mening vindt een dergelijke benadering geen steun in het recht. Ik acht het evenmin wenselijk dat het recht zich in die richting zou ontwikkelen. Dat laatste zou m.i. ook niet goed denkbaar zijn zonder daarover een prejudiciële vraag te stellen aan het HvJEU.
Onderdeel 1
4.4 Dit onderdeel komt op tegen de beslissing van het hof met betrekking tot onderdeel A van [verzoeker] verzoek (zie 2.1 hiervoor), voor zover hij op dat onderdeel in het ongelijk is gesteld. In rov. 11 en rov. 12 komt het hof tot het oordeel dat [verzoeker] geen recht heeft op een integraal afschrift van het forensisch rapport. De tegen dat oordeel gerichte klachten zal ik gezamenlijk bespreken.
4.5 Het onderdeel klaagt dat het hof in rov. 11 en 12 blijkt heeft gegeven van een onjuiste rechtsopvatting door uit te gaan van een te beperkte uitleg van doel en strekking van het inzagerecht van art. 35 Wbp, tegen de achtergrond van Richtlijn 95/46, art. 10 Gw, art. 8 EVRM en art. 7 en 8 Handvest. Volgens het onderdeel komt de betrokkene op grond daarvan een ruim recht op inzage toe, opdat hij in staat is om te controleren of zijn persoonsgegevens juist zijn én of deze gegevens rechtmatig worden verwerkt (zie cassatieverzoekschrift onder 2.5-2.8 ). Slechts indien sprake is van “een gewichtige reden” , bijvoorbeeld omdat de belangen van derden dat vergen zoals bedoeld in art. 43, aanhef en onder e, Wbp, kan verstrekking van bepaalde gegevens c.q. het geven van inzage in specifieke passages achterwege blijven (zie 2.10 ). Daarbij is het aan de verantwoordelijke, in dit geval [verweerster] , om te stellen en bij betwisting aannemelijk te maken dat en in hoeverre zich een ‘gewichtige reden’ voordoet (zie 2.13-2.15 ). Het hof is uitgegaan van een verkeerde rechtsopvatting omtrent de materiële reikwijdte van het inzagerecht ten aanzien van – in dit geval – het forensisch rapport, door [verzoeker] slechts aanspraak toe te kennen op een afgeschermde versie daarvan, waarbij aan de verantwoordelijke zelf wordt overgelaten om een en ander te redigeren (zie 2.22-2.26 ). Naast deze rechtsklachten komt het middel op tegen het ontbreken van een deugdelijke motivering waarom een ‘voor-geredigeerd’ c.q. ‘afgeschermd’ exemplaar van het forensisch rapport volstaat om recht te doen aan de doelstellingen van het inzagerecht (zie 2.26 ).
4.6 Uit de aaneenschakeling van beschouwingen, stellingen en klachten blijkt niet steeds tegen welke overwegingen in rov. 11 en 12 de klachten precies zijn gericht. Wat daar verder ook van zij, naar mijn mening slagen de klachten niet omdat het hof niet is uitgegaan van een onjuiste rechtsopvatting en omdat het zijn oordeel toereikend en begrijpelijk heeft gemotiveerd. Ik licht dat toe.
4.7 Zoals in hoofdstuk 3 van deze conclusie uiteengezet is, heeft de Hoge Raad aan het inzagerecht een ruime uitleg gegeven. Het verstrekken van een afschrift van een gegevensdrager is een mogelijkheid en niet zonder meer een verplichting (zie hiervoor 3.21 en 3.22). Het IND -arrest past in die lijn. Het HvJEU overweegt dat de betrokkene geen recht heeft op een afschrift op het moment dat ( “voor zover” ) het mogelijk is op een andere manier de doelstelling van het inzagerecht te bereiken, bijvoorbeeld door een volledig overzicht (zie hiervoor, 3.26 en 3.27).
4.8 In de bestreden beschikking heeft het hof beslist dat “in dit geval” een afschrift moet worden verstrekt van het forensisch rapport dat [verweerster] heeft laten opstellen. Het afschrift heeft [verzoeker] al binnen. Waar hij zich tegen keert is dat dit volgens het hof een “(afgeschermd) afschrift” mocht zijn. Ook als we de haken, die als zo vaak voor enige dubbelzinnigheid zorgen, wegdenken is het hof niet uitgegaan van een onjuiste rechtsopvatting. Ik verwijs met name naar het slot van punt 58 van het IND- arrest:
“Teneinde de betrokkene geen toegang te geven tot andere informatie dan de hem betreffende persoonsgegevens, kan hij een afschrift krijgen van het originele document of bestand waarin die andere informatie onleesbaar is gemaakt.”
M.i. is blijkt hieruit dat het hof is uitgegaan van een juiste rechtsopvatting.
4.9 In de systematiek van de Wbp is de reikwijdte van het inzagerecht beperkt tot persoonsgegevens als bedoeld in art. 2 onder a van Richtlijn 95/46. Het inzagerecht strekt zich niet uit tot de integrale versie van alle documenten of andere informatiedragers waarin persoonsgegevens zijn verwerkt. Aan de gronden die zijn genoemd in art. 43 Wbp wordt pas toegekomen als de verantwoordelijke van oordeel is dat de inzage in persoonsgegevens moet worden beperkt. De weigering inzage te geven in andere informatie dan persoonsgegevens behoeft niet te worden gestoeld op een van die gronden. De reden waarom toegang tot die andere informatie wordt geweigerd is dat die informatie buiten de reikwijdte van het recht van inzage valt.
4.10 Het oordeel kan anders uitvallen als voor het controleren van de juistheid van de persoonsgegevens en de rechtmatigheid van de verwerking meer contextuele informatie nodig is. In rov. 7, de eerste zin, overweegt het hof met zo veel woorden dat het doel van het inzagerecht is “ dat de betrokkene kan controleren of zijn persoonsgegevens juist en rechtmatig worden verwerkt .” Anders dan het onderdeel aanvoert, doet zich ook in die situatie niet zonder meer de noodzaak voor dat de betrokkene de mogelijkheid krijgt integraal van een stuk kennis te nemen. Of dat noodzakelijk is, zal afhangen van de omstandigheden van het concrete geval (zie hiervoor, 3.23 en 3.35). Het hof heeft dat niet miskend. Het heeft onderkend dat zich gevallen kunnen voordoen waarin betrokkene wél integraal kennis moet kunnen nemen van een document dat persoonsgegevens bevat. Dat laatste is “ in dit geval ” (te weten: het verzoek van [verzoeker] om het forensisch rapport integraal te ontvangen) niet noodzakelijk; zie rov. 12. Daarmee heeft het hof een juist, althans niet een onbegrijpelijk, oordeel gegeven.
4.11 Ik concludeer dat zowel de rechtsklachten als de motiveringsklacht falen.
Onderdeel II
4.12 Onderdeel II is gericht tegen rov. 16 van de bestreden beschikking. Daar heeft het hof het verzoek van [verzoeker] onder D (documenten van [verweerster] met betrekking tot de afsluiting van de posities van [verzoeker] ) bij gebrek aan belang afgewezen, omdat [verzoeker] niet heeft gesteld dat hij aan de hand van de hem reeds verstrekte documenten zijn daarin opgenomen persoonsgegevens niet heeft kunnen controleren. Wat [verzoeker] had ontvangen voldeed aan zijn inzagerecht.
4.13 Dat het hof zou hebben gehandeld in strijd met “artikel 124 Rv” (zie 3.3 ) kan ik niet plaatsen, ook indien kennelijk is bedoeld art. 24 Rv.
4.14 Het onderdeel bevat klachten die voortbouwen op onderdeel I (zie 3.4-3.6 ) en falen om dezelfde reden als waarom onderdeel I faalt. Dat in de Dexia -beschikkingen is uitgemaakt dat de betrokkene geen andere redenen hoeft op te geven voor het verzoek om inzage (zie 3.5 ) leidt niet tot een ander oordeel.
4.15 Voor zover in 3.4 een aparte motiveringsklacht moet worden gelezen, kan die klacht evenmin slagen. Het hof heeft m.i. in rov. 16 geoordeeld dat bij het door [verweerster] verstrekte overzicht (bedoeld is kennelijk het overzicht bij de e-mail van 14 augustus 2017) als bijlage is gevoegd de eerste en de laatste pagina van alle reeds verstrekte rekeningoverzichten . Met andere woorden: de eerste en de laatste pagina van die rekeningoverzichten zijn als bijlage bij dat door [verweerster] verstrekte overzicht gevoegd – de rekeningoverzichten zelf zijn kennelijk al eerder verstrekt. De motiveringsklacht ziet eraan voorbij dat het hof zijn oordeel baseert op het feit dat de rekeningoverzichten reeds zijn verstrekt.
4.16 De laatste klacht van dit onderdeel (zie 3.7-3.8) mist feitelijke grondslag omdat het hof in rov. 16 niet een beslissing heeft genomen omtrent de toepasselijkheid van een van de uitzonderingsgronden van art. 43 Wpb.
Onderdeel III
4.17 Onderdeel III is gekant tegen rov. 9 van de bestreden beschikking. Daar overweegt het hof dat [verzoeker] niet heeft gesteld dat en op welke punten het bij e-mail van 14 augustus 2017 verstrekte overzicht van verwerkte persoonsgegevens niet voldoet aan de eisen van art. 35 lid 2 Wpb. Het gaat hier om de informatie bedoeld onder A van [verzoeker] verzoek, met uitzondering van het forensisch rapport.
4.18 Het onderdeel bevat eerst enkele klachten die voortbouwen op onderdeel I en onderdeel II (zie 4.3 ). Die falen om de dezelfde redenen als waarom onderdeel I en onderdeel II niet kunnen slagen.
4.19 Het onderdeel komt vervolgens op tegen de specifieke stelplicht die het hof aan [verzoeker] als betrokkene zou hebben opgelegd. Het hof zou hebben miskend dat het op 14 augustus 2017 verstrekte overzicht niet voldoet aan de eis van ‘volledige inzage’ in c.q. afschrift van door hem specifiek beschreven documenten (zie 4.4 ). M.i. gaat [verzoeker] ook hier er ten onrechte van uit dat de betrokkene steeds recht heeft op verstrekking van integrale documenten. Gelet op dit onjuiste uitgangspunt hoeft de klacht met betrekking tot de vermeende stelplicht die het hof aan [verzoeker] zou hebben opgelegd, geen behandeling.
4.20 Verder stelt [verzoeker] dat het hof er ten onrechte van is uitgegaan dat de betrokkene een belang bij zijn inzageverzoek zou moeten stellen (zie 4.4 ). Deze klacht mist feitelijke grondslag. Het aangevochten oordeel van het hof houdt in dat de betrokkene moet motiveren waarom informatie die aan hem is verstrekt, niet voldoet aan de door art. 35 Wbp gestelde eisen.
4.21 Tot slot klaagt het onderdeel dat het hof een onbegrijpelijke lezing heeft gegeven van de e-mail van 14 augustus 2017 van [verweerster] aan de advocaat van [verzoeker] , nu die e-mail en het daaraan gehechte overzicht alleen zou gaan over het forensisch rapport en niet over de rest van [verzoeker] verzoek onder A (zie 4.5 ).
4.22 Ook deze klacht mist feitelijke grondslag. Bij genoemde e-mail heeft de Legal Counsel van [verweerster] aan de advocaat van [verzoeker] het volgende bericht:
“Op 7 juli 2017 hebben wij u een overzicht verstrekt van de persoonsgegevens die [verweerster] van uw cliënt, de heer [verzoeker] , verwerkt.
Naar aanleiding van uw opmerkingen op het door ons verstrekte overzicht en onze communicatie met de Autoriteit Persoonsgegevens, zien wij aanleiding u een aangepast overzicht te zenden waarin enkele aspecten zijn verduidelijkt.”
Volgens dit bericht zaten daar twee bijlagen bij, te weten (i) de nieuwe versie van het overzicht en (ii) een apart overzicht inzake het forensisch rapport. In de klacht wordt miskend dat ook de eerste bijlage bij de e-mail zit.
Onderdeel IV
4.23 Onderdeel IV richt zich tegen rov. 14 van de bestreden beschikking. Daar wijst het hof onderdeel B van [verzoeker] verzoek af (de Bloomberg chatberichten) op de grond dat geen sprake is van verwerking van persoonsgegevens door [verweerster] . Het hof verwijst naar het ter zitting door [verweerster] ingenomen standpunt dat de door [verzoeker] genoemde chatberichten met Bloomberg niet bestaan en dergelijke berichten zich in elk geval niet onder [verweerster] bevinden. Het onderdeel klaagt dat het hof zich hierbij heeft gebaseerd op een verweer dat “ tardief was c.q. in strijd met de twee-conclusieregel in hoger beroep .” (zie 5.3 ).
4.24 Zoals [verweerster] opmerkt in haar verweerschrift onder 4.4.5 faalt de klacht reeds omdat de rechtbank heeft vastgesteld dat aan [verzoeker] kopieën zijn verstrekt van alle chatberichten met Bloomberg. Tegen die vaststelling is in appel niet gegriefd. In de processtukken in hoger beroep wordt niet over ontbrekende chatberichten gerept. Het punt is pas ter zitting aan de orde gesteld. Dat was te laat, maar [verweerster] heeft daar toen nog wel op gereageerd. In die omstandigheden kan niet worden gesproken van een tardief verweer.
Onderdeel V
4.25 Dit onderdeel komt op tegen rov. 15 waar het hof de onder C verzochte verstrekking heeft afgewezen. Het betreft twee interne memo’s van [verweerster] (zie 2.1).
4.26 Ik lees het onderdeel zo dat het wil betogen dat er geen categorische uitzondering voor interne notities bestaat en zulks ook niet volgt uit (de toelichting op) art. 7.1 van de Gedragscode, waarnaar het hof in rov. 15 verwijst.
4.27 Deze klacht kan niet tot cassatie leiden reeds omdat de bestreden beslissing van het hof mede steunt op rov. 3.14 van de Dexia -beschikking (zie hiervoor 3.32).
4.28 In het onderdeel wordt er vervolgens op gewezen dat [verzoeker] onbestreden heeft gesteld dat de twee memo’s zijn opgenomen in een bestand als bedoeld in art. 1 onder c, Wbp. Dat zou tot gevolg hebben dat de Wbp op beide memo’s onverkort van toepassing is en zij ook binnen de reikwijdte van art. 35 Wpb vallen (zie 6.5 en 6.6 ).
4.29 Deze klacht faalt omdat ‘de onbestreden stelling’ feitelijk een éénregelige passage (in punt 43) uit de spreekaantekeningen zijdens [verzoeker] in appel betreft. Daaruit hoefde het hof niet af te leiden dat [verzoeker] van oordeel was dat deze memo’s uitmaken van een “ gestructureerd geheel van persoonsgegevens ” in de zin van art. 1 onder c, Wpb.
4.30 Het onderdeel stelt verder aan de orde het vermeende oordeel van het hof dat interne memo’s documenten zijn waarin persoonlijke gedachten van medewerkers zijn neergelegd die zijn bedoeld voor intern overleg en beraad en daarom “ per definitie buiten het bereik van het inzagerecht vallen.” (zie 6.4 ). Volgens het onderdeel zou het “uiterst ongewenste effect ” van deze rechtsopvatting zijn dat “ als de verantwoordelijke alleen maar stélt dat een bepaald document persoonlijke gedachten van medewerkers bevat die zijn bedoeld voor intern overleg en beraad, de betrokkene direct met lege handen komt te staan .” (zie 6.9 ). Daaraan voegt het onderdeel nog toe dat dat het hof ten onrechte zou zijn uitgegaan van een alles-of-niets benadering. Het moet ook mogelijk zijn de verantwoordelijke te gelasten het document te verstrekken met daarin uitsluitend de persoonlijke gedachten van medewerkers onzichtbaar gemaakt, “ een en ander uiteraard mits eerst aan het vereiste van gewichtige redenen is voldaan .” (zie 6.10 ).
4.31 Ook dit onderdeel berust m.i. op het onjuiste uitgangspunt dat de verantwoordelijke gehouden zou zijn alle documenten waarin persoonsgegevens worden verwerkt integraal te verstrekken, behoudens voor zover hij beroep kan doen op een van de in art. 43 Wbp genoemde uitzonderingsgronden. Hiervoor in 4.3 en bij de bespreking van onderdeel I heb ik toegelicht waarom ik deze ‘alles-tenzij-benadering’ voor onjuist houd.
4.32 Ik voeg hier aan toe dat de persoonlijke gedachten/opvattingen van medewerkers ten behoeve van intern beraad in interne notities buiten de reikwijdte van het inzagerecht vallen, niet omdat zij zijn opgenomen in een als interne notitie geclassificeerd document maar omdat zij als zodanig geen persoonsgegevens vormen (zie hiervoor 3.31-3.35). Anders dan het onderdeel tot uitgangspunt neemt, gaat het daarbij niet om het buiten toepassing laten van het inzagerecht op grond van gewichtige redenen (art. 43 Wbp).
4.33 Hoe dan ook faalt de klacht omdat in het onderdeel niet wordt verwezen naar passages in de gedingstukken waar zijdens [verzoeker] is gesteld dat hem een gedeeltelijke inzage had moeten worden gegeven. Zelf heb ik die stelling c.q. dat verzoek ook niet in de gedingstukken in feitelijke instanties mogen aantreffen. [verzoeker] kon deze stelling niet voor het eerst in cassatie aanvoeren, wat er verder ook zij van de eventuele merites van deze stelling.
4.34 Strikt genomen blijven dan nog over de klachten onder 6.7 en 6.8 .
4.35 In 6.7 klaagt [verzoeker] dat een instructie van de auditfunctionaris moet zijn opgenomen in de systemen en de interne controle van de bank. Naar ik aanneem bedoelt [verzoeker] hiermee dat een dergelijke instructie is opgenomen in een bestand in de zin van art. 1 onder c, Wpb. Aan [verzoeker] kan worden toegegeven dat de Hoge Raad in rov. 3.14 van de Dexia -beschikkingen een onderscheid voor ogen lijkt te hebben gehad tussen een interne notitie met persoonsgegevens die is opgeslagen in een bestand en een interne notitie die persoonlijke beleidsopvattingen betreft van medewerkers ten behoeve van intern beraad en waarvan de Hoge Raad het niet vanzelfsprekend vindt dat die ook zijn opgenomen in een bestand (zie hiervoor, 3.32).
4.36 Toch faalt de klacht, in de eerste plaats om een formele reden: in punt 25 van het verzoekschrift in eerste aanleg, waar een beschrijving wordt gegeven van het document, wordt er niet op gewezen dat het document naar zijn aard is opgenomen “ in de systemen en interne controle van de instelling ”. De gedingstukken in hoger beroep bevatten op dit punt geen aanvulling. Het hof kan daarom niet worden verweten dit een en ander te hebben miskend. De tweede reden waarom de klacht faalt is een inhoudelijke reden: anders dan de klacht naar mijn indruk wil doen voorkomen kan niet ieder geautomatiseerd systeem binnen (de bedrijfsprocessen van) een bank worden aangemerkt als een ‘bestand’ in de zin van art. 1 onder c, Wbp. Bij dat kaatste moet het gaan om een bestand van persoonsgegevens dat bovendien betrekking moet hebben op verschillende personen. [verzoeker] heeft niets gesteld waaruit blijkt dat aan die voorwaarde is voldaan.
4.37 De klacht onder 6.8 richt zich tegen de zinsnede in rov. 15 waar het hof het memo van de Interne Audit Dienst van [verweerster] aanduidt als “een algemeen intern memo” . De aan deze kwalificatie verbonden conclusie dat het hier een document betreft “ waarin persoonlijke gedachten van medewerkers zijn neergelegd ”, zou onbegrijpelijk zijn gemotiveerd. De klacht slaagt niet. Zoals het hof met zo veel woorden overweegt, is de term ‘algemeen intern memo’ afkomstig uit het door [verweerster] aan (de advocaat van) [verzoeker] verstrekte overzicht van persoonsgegevens, onder 3. Daar komt bij dat, ook al is het juist dat interne memo’s niet categorisch van inzage op de voet van art. 35 Wbp zijn uitgesloten (zie hiervoor 3.31 e.v.), het hof er terecht van heeft mogen uitgaan dat het memo in kwestie persoonlijke opvattingen van de opsteller daarvan bevatte. [verzoeker] heeft dat niet bestreden. Het memo c.q. de instructie kon dus in elk geval niet integraal aan [verzoeker] worden verstrekt, terwijl dat nu juist wel is wat [verzoeker] het hof had verzocht.
4.38 Mitsdien is ook onderdeel V tevergeefs voorgesteld.
Onderdeel VI
4.39 Onderdeel VI bevat een veegklacht die het lot van de vorige onderdelen deelt.
Conclusie
4.40 Nu alle klachten falen dient het principale cassatieberoep te worden verworpen.
5 Bespreking van het voorwaardelijk incidenteel cassatieberoep
Inleiding
5.1
[verweerster] heeft incidenteel cassatieberoep ingesteld onder de voorwaarde dat het principale cassatieberoep van [verzoeker] slaagt. Nu niet aan deze voorwaarde is voldaan, behoeft het cassatiemiddel in het incidentele beroep geen behandeling. Niettemin bespreek ik de klachten ten overvloede, omdat [verweerster] met het eerste onderdeel een tamelijk principiële discussie wil voeren.
5.2 Onderdeel 1 betreft het oordeel van het hof dat [verzoeker] met zijn verzoek geen misbruik maakt van het inzagerecht van art. 35 Wbp, alsmede de verwerping van het beroep van [verweerster] op art. 43 onder e, Wbp (rov. 7). Onderdeel 2 ziet op het oordeel van het hof dat met betrekking tot het forensisch rapport sprake is van verwerking van persoonsgegevens door [verweerster] (rov. 13). Onderdeel 3 betreft het oordeel van het hof inzake de Bloomberg chatberichten (rov. 14).
Onderdeel 1
5.3 Onderdeel 1 is gekant tegen rov. 7 van de bestreden beschikking (geciteerd in 2.6).
5.4 In het eerste gedeelte van rov. 7 oordeelt het hof dat het belang van [verzoeker] bij zijn verzoek is gegeven en dat ook als het [verzoeker] er tevens om te doen zou zijn gegevens te verkrijgen om die in een gerechtelijke procedure te gebruiken, dit ontoereikend is om aan te nemen dat hij van zijn inzagerecht misbruik maakt. [verweerster] klaagt dat het hof is uitgegaan van een onjuiste rechtsopvatting voor zover het heeft miskend dat het inzagerecht zich leent voor misbruik van recht én dat daarvan sprake is “ als het inzagerecht wordt gebruikt voor een ander doel dan waarvoor het is verleend (namelijk het controleren van juiste en rechtmatige verwerking van persoonsgegevens) ” (zie punt 5.2.2 van het verweerschrift in cassatie ). Volgens [verweerster] is onvoldoende dat een inzageverzoek het controlebelang waartoe het inzagerecht is gegeven, kán dienen. Maatgevend is welk belang degene die de bevoegdheid inroept, in werkelijkheid beoogt te dienen (zie 5.2.3 ). Aansluitend klaagt [verweerster] over de motivering van het oordeel van het hof dat niet kan worden geoordeeld dat [verzoeker] zijn inzagerecht uitoefent met een ander doel dan waarvoor het is verleend (zie 5.2.4 ).
5.5 Ik stel voorop dat het hof m.i. niet heeft miskend dat onder omstandigheden sprake kan zijn van misbruik van recht. Het hof overweegt namelijk dat de omstandigheid dat het belang van [verzoeker] bij zijn inzageverzoek mogelijk tevens gelegen is (geweest) in het verkrijgen van informatie om deze te gebruiken in een gerechtelijke procedure ontoereikend is om aan te nemen dat hij zijn bevoegdheid misbruikt. Onder deze omstandigheden kan volgens het hof niet worden geoordeeld dat [verzoeker] zijn recht uitoefent voor een ander doel waarvoor het is verleend. In zoverre berust de rechtsklacht op een onjuiste lezing van de aangevallen rov. 7. Met andere woorden, misbruik is niet uitgesloten maar deed zich hier niet voor. Dat oordeel is juist.
5.6 Hiervoor in 3.37 e.v. heb ik de rechtspraak over de aan een verzoek om inzage te stellen eisen weergegeven. Om de daar genoemde reden moet de in het onderdeel bepleite rechtsopvatting dat reeds sprake is van misbruik van recht als een verzoek om inzage ex art. 35 Wbp mede een ander belang kan dienen dan het kennisnemen van persoonsgegevens ten einde de juistheid en de rechtmatige verwerking ervan te controleren, als onjuist worden aangemerkt. De gedachte is nu juist dat betrokkene ‘vrijelijk en zonder beperking’ en zonder opgave van redenen een verzoek om inzage kan indienen. De door [verweerster] voorgestane benadering zou in de praktijk bovendien tot complexe discussies aanleiding kunnen geven over de al dan niet vermeende motieven van de aanvrager. Ik acht dat voor de rechtspraktijk onwenselijk.
5.7 Als gezegd betekent dat niet dat een verzoek om inzage op de voet van art. 45 Wbp nooit misbruik van recht als bedoeld in art. 3:13 BW kan behelzen. Stelplicht en bewijslast dienaangaande liggen bij de verantwoordelijke en de lat daarvoor ligt hoog. De verantwoordelijke kan daarnaast beroep doen op art. 43 onder e, Wpb wanneer hij gronden heeft om aan te nemen dat een inzageverzoek tot doel heeft rechten en vrijheden van anderen aan te tasten.
5.8 Dat een inzageverzoek informatie kan opleveren die de betrokkene eventueel kan gebruiken om zijn procespositie in een gerechtelijke procedure tegen de verantwoordelijke op te bouwen, levert geen reden op om betrokkene het gebruik van dat recht te ontzeggen. Ik wijs er ter vergelijking op dat een niet onaanzienlijk deel van de Wob-verzoeken wordt gedaan met als enig doel munitie te verzamelen voor een procedure tegen het bestuursorgaan waarbij het verzoek wordt ingediend. Die omstandigheid onder de Wob levert geen weigeringsgrond op. Voor verzoeken op de voet van art. 843a Rv geldt dat die er naar hun aard juist op zijn gericht de bewijspositie in een lopende of dreigende procedure te versterken.
5.9 Ik concludeer dat het oordeel van het hof geen blijk geeft van een onjuiste rechtsopvatting, Het oordeel kan voor het overige in cassatie niet op juistheid worden getoetst, verweven als het is met waarderingen van feitelijke aard. Het hof heeft zijn oordeel dat [verzoeker] met zijn verzoek geen misbruik maakt van zijn inzagerecht (mogelijk wat summier, maar) zeker voldoende begrijpelijk gemotiveerd.
5.10 In het tweede gedeelte van rov. 7 heeft het hof het door [verweerster] gevoerde verweer dat toewijzing van het verzoek van [verzoeker] een ‘buitengewone inspanning en administratieve last’ van haar zou vergen verworpen, omdat – samengevat – dit belang niet kan opwegen tegen het belang dat [verzoeker] heeft bij de uitoefening van zijn inzagerecht. Bovendien heeft [verweerster] niet gesteld, laat staan aannemelijk gemaakt, dat de met het voldoen aan het verzoek gemoeide administratieve lasten zodanig disproportioneel zouden zijn dat zij in haar rechten en vrijheden wordt aangetast. [verweerster] klaagt (a) dat het hof haar beroep op administratieve lasten ten onrechte heeft verengd tot een beroep op art. 43 onder e, Wbp en “ zo nodig met toepassing van art. 25 Rv ” had moeten oordelen dat [verzoeker] misbruik maakt van zijn inzagerecht, en (b) dat het hof om tot een juiste belangenafweging te komen een aantal door [verweerster] naar eigen zeggen aangevoerde omstandigheden in zijn oordeel had moeten betrekken (zie 5.2.5 en 5.2.6 ).
5.11 Ik stel vast dat [verweerster] zich slechts summierlijk heeft beroepen op art. 43 onder e, Wbp en dat overigens alleen heeft gedaan ten aanzien van haar verzoek onder A (minus het forensisch rapport). In die omstandigheden valt niet in te zien dat het hof op de voet van art. 25 Rv rechtsgrond(en) had moeten aanvullen, nog daargelaten: welke rechtsgronden. [verweerster] maakt dat ook niet duidelijk. Verder blijkt zowel uit de wetsgeschiedenis als uit de rechtspraak dat voor een beroep op de uitzonderingsgrond van art. 43 onder e, Wbp de lat hoog ligt. Ik verwijs naar rov. 3.7 van de HBU -beschikking van 29 juni 2007
“Slechts indien de verantwoordelijke overeenkomstig art. 43, onder e, Wbp aannemelijk maakt dat door het verstrekken van kopieën of transcripties van telefoongesprekken de administratieve lasten zodanig disproportioneel zijn, dat hij in een van zijn rechten en vrijheden wordt aangetast of dreigt te worden aangetast (TK 1997-1998, 25892, nr. 3, p. 171), kan de verantwoordelijke in een geval als het onderhavige weigeren om de verzochte kopieën en transcripties te verstrekken.”
5.12 De motivering van het aangevochten oordeel is bovendien toereikend. Voor de volledigheid merk ik nog op (het hof heeft dat niet genoemd) dat de AP kennelijk van oordeel was dat het nakomen van het verzoek onder A niet een disproportionele administratieve last voor [verweerster] behelsde. Het AP heeft immers door middel van oplegging van een last onder dwangsom [verweerster] gedwongen de onder A opgevraagde informatie te verstrekken (zie 1.8 hiervoor) wat zij in beginsel niet zou hebben gedaan als zij van oordeel was geweest dat aan de voorwaarden voor een beroep op art. 43 onder e, Wbp zou zijn voldaan.
Onderdeel 2
5.13
Met het tweede onderdeel van haar voorwaardelijk incidenteel cassatieberoep komt [verweerster] op tegen het oordeel van het hof in rov. 13 dat [verweerster] alsnog een afgeschermd afschrift van het forensisch rapport aan [verzoeker] ter beschikking moet stellen. Volgens [verweerster] heeft het hof miskend:
- dat ten tijde van indiening van het verzoek om inzage [verweerster] niet meer over het rapport beschikte, zodat het onjuist is dat [verweerster] de in het rapport opgenomen persoonsgegevens verwerkte (zie 5.3.2 );
- dat het verstrekken van [verzoeker] persoonsgegevens aan de onderzoeker geen ‘verwerking’ van die persoonsgegevens vormt zodat die verstrekking ook geen grond kan vormen voor de verplichting om door middel van een afschrift inzage te verlenen in het rapport (zie 5.3.3);
- dat het verstrekken van het rapport aan haar advocaat ook geen verwerking van persoonsgegevens door [verweerster] behelst, althans – zo dit wel het geval is – geen grond van vormen voor het verlenen van inzage (zie 5.3.4 );
- dat, voor zover het hof heeft geoordeeld dat de advocaat optreedt als ‘verwerker’ namens [verweerster] , dat oordeel onjuist en onbegrijpelijk is (zie 5.3.5 );
- dat [verweerster] niet gehouden is het rapport bij haar advocaat op te vragen, nog los van het feit dat het document in de relatie tussen advocaat en cliënt een geprivilegieerd karakter heeft en om die reden, zo begrijp ik de klacht, onder de uitzondering van art. 43 onder e, Wbp valt (zie 5.3.6 ).
5.14 Ik stel voorop dat het rapport waar het hier om gaat al in de zomer van 2017 door [verweerster] onder druk van de AP aan [verzoeker] is verstrekt, en wel op een zodanige wijze dat dit reden was voor de AP om te oordelen dat [verweerster] na 14 augustus 2017 niet langer een dwangsom verbeurde (zie hiervoor, 1.9). Met haar klachten tracht [verweerster] kennelijk te bereiken dat (uiteindelijk) in rechte komt vast te staan dat zij ten onrechte door de AP is verplicht het forensisch rapport te verstrekken. Voor zover valt na te gaan heeft [verweerster] geen beroep ingesteld tegen het sanctiebesluit van de AP van 11 mei 2017 (zie hiervoor,1.8), wat zou betekenen dat dit besluit ten aanzien van haar formele rechtskracht heeft gekregen. Ik vraag mij daarom af wat het belang is van [verweerster] bij de in dit onderdeel aangevoerde klachten.
5.15 Ten gronde falen de klachten. De terbeschikkingstelling van persoonsgegevens aan derden (hier: de partij die in opdracht van [verweerster] het rapport heeft opgesteld) valt onder de (ruime) definitie van ‘verwerking’ genoemd in art. 1 onder b, Wbp. Hierin kan geen reden zijn gelegen waarom een verantwoordelijke ontslagen is van zijn verplichtingen op grond van art. 35 Wbp. Voorts kan de verantwoordelijke zijn verplichting tot het geven van inzage in door hem verwerkte persoonsgegevens niet omzeilen door er voor te zorgen dat een bepaald document of bestand niet (langer) onder hem zelf maar onder een extern advocaat berust. Het legal professional privilege biedt bescherming van met name adviezen van een advocaat aan zijn of haar cliënt, maar is niet van toepassing als de cliënt bepaalde door hem zelf of in zijn opdracht gegenereerde informatie bij een extern advocaat ‘parkeert’. Tot slot heeft het hof niet geoordeeld dat de advocaat van [verweerster] was opgetreden als ‘verwerker’.
Onderdeel 3
5.16
[verweerster] stelt dat het hof ten onrechte is ingegaan op de stelling van [verzoeker] dat hij niet alle chatberichten tussen hem en [verweerster] (die liepen via Bloomberg) had ontvangen; de chatberichten uit de periode 2003-2006 zouden ontbreken. De rechtbank in rov. 3.7 had vastgesteld dat [verzoeker] niet heeft weersproken dat alle chatberichten aan hem waren verstrekt. Daartegen had [verzoeker] niet gegriefd, zodat het hof ervan uit had moeten gaan dat inderdaad alle chatberichten waren verstrekt (zie 5.4.1 ).
5.17 Deze klacht, die in zekere zin het spiegelbeeld is van onderdeel IV in het principale cassatieberoep, slaagt niet. De rechtbank heeft niet vastgesteld dat alle chatberichten vanaf 2003 tot aan het einde van de relatie tussen partijen door [verweerster] aan [verzoeker] zijn verstrekt, maar geoordeeld dat [verzoeker] verzoek om inzage in zijn persoonsgegevens niet voldeed aan de doelstelling van art. 35 Wbp. [verzoeker] is in hoger beroep tegen dat oordeel opgekomen. Het hof heeft hem op dat punt (geen misbruik) gevolgd (zie rov. 7.) Op grond van de devolutieve werking van het appel diende het hof vervolgens te beoordelen of het verzoek van [verzoeker] gegrond was. Daartoe diende het hof een oordeel te geven over elk van de onderdelen A-D van dat verzoek, ook voor zover het verzoek van [verzoeker] betrekking had op de chatberichten. Dat is precies wat het hof heeft gedaan (rov. 14). Grond om aan te nemen dat het hof dat niet had mogen doen, zoals [verweerster] stelt, is er niet.
6 Conclusie in het principaal en het incidenteel cassatieberoep
De conclusie strekt tot verwerping van het principaal cassatieberoep. Aan het voorwaardelijk incidenteel beroep wordt niet toegekomen.
De Procureur-Generaal bij de
Hoge Raad der Nederlanden
A-G
Vgl. ook HR 26 oktober 2012, ECLI:NL:HR:2012:BW9244 over een arbeidsrechtelijk geschil tussen [verweerster] en de voormalige accountmanager van [verzoeker] bij die bank.
ECLI:NL:GHAMS:2017:5279.
Zaak 18/01158 ( [verzoeker] ) en zaak 18/01201 ( [verweerster] ); zie ook het verweerschrift in cassatie van [verweerster] , onder 2.3.
Gerechtshof Amsterdam 15 maart 2018, zaaknr. 200.167.971/01, niet gepubliceerd op www.rechtspraak.nl .
Beide zaken staan op 30 november 2018 voor schriftelijke toelichting.
Grotendeels ontleend aan rov. 1 van de bestreden beschikking van 31 oktober 2017.
ECLI:NL:RBAMS:2014:8410.
Prod. 8 zijdens [verzoeker] in hoger beroep.
Prod. 9 zijdens [verzoeker] in hoger beroep.
Zie de door [verzoeker] in hoger beroep overgelegde producties 11 en 12.
Naar het oordeel van de AP was pas met de aanvulling van 14 augustus 2017 aan de opgelegde last voldaan, vier weken na afloop van de aan [verweerster] gestelde begunstigingstermijn. AP heeft bij [verweerster] een dwangsom van (4 x € 12.000=) € 48.000,- ingevorderd. Zie www.autoriteitpersoonsgegevens.nl/nl/nieuws/ [verweerster] -betaalt-dwangsom-na-niet-voldoen-aan-inzageverzoek .
Naar ik aanneem was de rechtbank Den Haag relatief bevoegd op grond van art. 269 Rv.
De verzoeken A tot en met C staan in het verzoekschrift van 11 augustus 2016, het onder D verzochte in het aanvullend verzoekschrift van 19 september 2016. Vgl. ook rov. 2.4 van de beschikking van de rechtbank van 2 februari 2017 alsmede rov. 2 van de in cassatie bestreden beschikking.
Verzoekschrift van 11 augustus 2016, onder 11-12.
Verweerschrift van 14 december 2016, onder I ‘Misbruik van recht’; spreekaantekeningen zijdens [verweerster] , onder 4-13.
ECLI:NL:RBDHA:2017:6391.
ECLI:NL:GHDHA:2017:3011, NJF 2018/372.
Zie prod. 10 zijdens [verzoeker] in hoger beroep.
Op die dag is het verzoekschrift tot cassatie kort na elkaar twee maal per fax ingekomen bij de griffie van de Hoge Raad. In de tweede versie ontbraken de blz. 15 en 16. Díe versie is door de griffie doorgestuurd naar [verweerster] (zie ook het verweerschrift in cassatie onder 4.3.3 en 4.4.1). Nadat was gebleken dat deze pagina’s ontbraken, heeft [verweerster] onverwijld afschrift ontvangen van die pagina’s.
Zie voor een uitvoeriger overzicht hoofdstuk 4 van de conclusies van A-G Verkade bij de beschikkingen Dexia en HBU uit 2007, ECLI:NL:PHR:2007:AZ4663 ( Dexia/verweerder S. ), ECLI:NL:PHR:2007:AZ4664 ( Dexia/verweerder N.) en ECLI:NL:PHR:2007:BA3529 ( HBU/verweerder G. ).
Sinds EHRM 26 maart 1987, A-116 ( Leander/Zweden) .
Zie over de constitutionele aspecten van het inzagerecht bijv. H.R. Kranenborg & L.F.M. Verhey, De Algemene Verordening Gegevensbescherming in Europees en Nederlands perspectief (2018), p. 91-94.
Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, PbEG 1995, L 281/31.
Considerans nr. 10 van Richtlijn 95/46.
Vgl. HvJEG 20 mei 2003, C-465/00, C-138/01 en C-139/01, Österreichischer Rundfunk/Neukomm, ECLI:EU:C:2003:294, NJ 2005/15, HvJEG 6 november 2003, Lindqvist, C-101/01, ECLI:EU:C:2003:596, NJ 2004/248 en meer recent HvJEU 7 november 2013, C-473/12, Beroepsinstituut van vastgoedmakelaars (BIV)/Geoffrey Englebert e.a. , ECLI:EU:C:2013:715. Zie ook gerechtshof ’s-Hertogenbosch 1 februari 2018, ECLI:NL:GHSHE:2018:363, rov. 3.7.2.
In dit geding staat vast dat [verweerster] is aan te merken als ‘de verantwoordelijke’ en [verzoeker] als ‘de betrokkene’.
Vgl. HvJEG 7 mei 2009, C-553/07, Rijkeboer , ECLI:EU:C:2009:293, punten 48-51. In punt 48 wordt gewezen op “ het feit dat aan personen wier gegevens het voorwerp van verwerkingen zijn, het recht wordt verleend om daarvan in kennis te worden gesteld, tot die gegevens toegang te krijgen, de rectificatie ervan te verlangen en zelfs om zich in bepaalde omstandigheden tegen verwerking te verzetten .” Zie ook de noot bij dit arrest van H.R. Kranenborg, SEW 2009, p. 508-510. Zie verder HvJEU 17 juli 2014, C-141/12 en C-371/12, Y.S. e.a./IND , ECLI:EU:C:2014:2081, punt 44 en HvJEU 20 december 2017, C-434/16, Nowak , ECLI:EU:C:2017:994, punt 57, NJ 2018/314, m.nt. E.J. Dommering.
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene verordening gegevensbescherming), PbEU 2016, L 119/1.
Art. 99 lid 2 AGV.
Art. 94 AGV.
Vgl. G-J. Zwenne, T&C Privacy- en telecommunicatierecht, commentaar op art. 15 AVG, aant. 3.
Wet van 6 juli 2000, houdende regels inzake de bescherming van persoonsgegevens, Stb . 2000/302 (zoals nadien gewijzigd). Deze wet verving destijds de Wet persoonsregistraties.
Kamerstukken II 1997-1998, 25 892, nr. 3, p. 5 en 7.
Zie art. 7.1.1 en 7.1.2 van die Gedragscode ( Stcrt 2010, 6429, voordien Stcrt 2003, 23). Deze gedragscode is met het van toepassing worden van de AVG komen te vervallen, Zie www.nvb.nl/thema-s/bank-maatschappij/4225/algemene-verordening-gegevensbescherming-avg.html . Voor verzekeraars die lid zijn van het Verbond van Verzekeraars geldt sinds 20 juni 2018 een nieuwe gedragscode, die is te vinden op www.verzekeraars.nl/branche/zelfregulering/overzicht/verwerking-persoonsgegevens-gedragscode .
Kamerstukken II 1997-1998, 25 892, nr. 3, p. 92.
Kamerstukken II 1997-1998, 25 892, nr. 3, p. 171.
Kamerstukken II 1997-1998, 25 892, nr. 3, p. 157-158. Of dat juist is staat m.i. niet vast. Zie hierna voetnoot 76.
Indien de beslissing tot afwijzing door een bestuursorgaan wordt genomen is dat een besluit waartegen een bestuursrechtelijke rechtsgang open staat; zie art. 45 Wbp.
Wet van 16 mei 2018, Stb. 2018, 144.
In deze zaak is daarom art. 35 Wbp van toepassing en niet art. 15 AVG.
In die zin onder andere art. 7.1. (aanhef) van de Gedragscode; C.W.M. Lieverse, ‘De rol van de Wet bescherming persoonsgegevens in procedures tegen financiële instellingen’, in: S.C.J.J. Kortmann e.a. (red). 10 jaar JOR. Alsnog geannoteerd (2006), p. 113 e.v.; G.J. Zwenne en J. Webbink, ‘De winstverdubbelaar en de WBP: over de reikwijdte en de inhoud van het kennisnemingsrecht van art. 35’, Privacy & Informatie , 2006, p. 2 e.v. en M. van Graafeiland, noot bij HvJEU 17 juli 2014 C-141/12 en C-372/12, AB 2014/365.
Art. 1 sub a Wbp: “ elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon .”
In art. 3 Wob is bepaald dat eenieder een verzoek om informatie, die is neergelegd in documenten over een bestuurlijke aangelegenheid, kan richten tot een bestuursorgaan.
HR 29 juni 2007, ECLI:NL:HR:2007:AZ4663 ( Dexia/verweerder S. ), ECLI:NL:HR:2007:AZ4664 ( Dexia/verweerder N.) en ECLI:NL:HR:2007:BA3529 ( HBU/verweerder G. ). Van de talrijke annotaties en commentaren noem ik: E.J. Dommering NJ 2007/639, C.W.M. Lieverse, JOR 2007/208, P.J.A. de Hert, M. Hildebrandt, S. Gutwirth en R. Saelens, ‘De WBP na de Dexia -uitspraken’, Privacy & Informatie , 2007(4), p. 147 e.v., G-J. Zwenne, ‘Nogmaals de WBP en de winstverdubbelaar HR 29 juni 2007. LJN AZ 4663, AZ 4664 en BA 3529’, Computerrecht 2007/172 en J.T. van der Kroon, ‘Inzagerecht onder art. 35 Wbp: de Hoge Raad biedt (meer) duidelijkheid’, Bedrijfsjuridische berichten 2007/55.
HvJEU 17 juli 2014, C-141/12 en C-371/12, Y.S. e.a./IND , ECLI:EU:C:2014:2081.
Dexia AZ4663, rov. 3.4, Dexia AZ4664, rov. 3.4 en HBU BA3529 rov. 3.6.
NJ 2007/639, onder 10 en 14.
In die zin ook A-G Wuisman in zijn conclusie vóór HR 25 maart 2016, ECLI:NL:PHR:2016:1, onder 2.2.1: “ Maar ook voor artikel 35 Wbp geldt dat dat artikel niet zonder meer recht geeft op inzage in een (afschrift van een) stuk, waarin een persoonsgegeven is opgenomen. Zoals uit het hiervoor in 2.3 vermelde citaat uit rov. 3.6 van het Dexia-arrest van 29 juni 2007 blijkt, hangt het van de omstandigheden af of inzage dient te worden verleend in (een afschrift van) het stuk waarin een persoonsgegeven is opgenomen .” De Hoge Raad heeft in die zaak het cassatieberoep met toepassing van art. 81 lid 1 RO verworpen, ECLI:NL:HR:2016:508 ( X/Rabobank ).
Rb. Middelburg 15 maart 2012, ECLI:NL:RBMID:2012:BV8942 en ABRvS 1 augustus 2012, ECLI:NL:RVS:2012:BX3309.
Dit is een schriftelijk stuk waarin een beslismedewerker van de IND toelicht hoe hij of zij tot een conceptbesluit ter zake van een aanvraag voor een verblijfsvergunning is gekomen.
Punten 46-48 van het arrest. Het hof trekt hier een parallel met de regels die gelden voor de verwerking van persoonsgegevens door de instellingen van de EU: Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens, Pb 2001, L 8/1. Zie ook art. 41 Handvest.
Het HvJEU volgt de conclusie van A-G Sharpston, ECLI:EU:C:2013:83, punten 72-79.
Zie M. van Graafeiland, AB 2014/365; G. Overkleeft-Verburg, JBP 2015/74; D. Beltman & A.M. Klinkenberg in JHG 2015/48, E. Brouwer & F. Zuiderveen Borgesius, ‘Acces to Personal Data and the Right to Good Governance during Asylum Procedures after the CJEU’s YS. and M. and S. judgment (C-141/12 and C-372/12)’, European Journal of Migration and Law 2015, p. 259-272; M. Jansen, ‘Arrest HvJ EU inzake begrip persoonsgegevens en karakter inzagerecht’, Privacy & Informatie 2014, p. 200-206; en J.P.M. Simons, ‘Het geheim van de smid. De Wbp en het recht op inzage in en afschrift van stukken tijdens het medisch beoordelingstraject bij personenschades: waar staan we inmiddels?’, TvP 2014, p. 93-101.
D. Beltman & A.M. Klinkenberg, JHG 2015/48, betreuren dat “ het recht van inzage in dit arrest is verengd tot alleen het recht om de juistheid en de rechtmatigheid van de geregistreerde gegevens te controleren. ” Brouwer & F. Zuiderveen Borgesius, European Journal of Migration and Law 2015, p. 259-272 e.v. zijn eveneens kritisch.
M. Jansen, ‘Arrest HvJEU inzake begrip persoonsgegevens en karakter inzagerecht’, Privacy & Informatie 2014(5), p. 200/205.
Zie bijvoorbeeld ABRvS 2 februari 2011, ECLI:NL:RVS:2011:BP2831, JB 2011/66, m.nt. G. Overkleeft-Verburg, ABRvS 2 november 2011, AB 2012/53, m.nt. A.M. Klingenberg e.a. en ABRvS 13 juni 2012, AB 2012/281, m.nt. E.J. Daalder. Zie ook C.M. Jakimowicz en J.M.A. Berkvens, ‘De spelregels bij verzoeken tot inzage op grond van de Wbp’, Privacy & Informatie 2013(2), p. 54 e.v. onder 3.4.
ABRvS 1 augustus 2012, ECLI:NL:RVS:2012:BX3309.
ABRvS 24 december 2014, ECLI:NL:RVS:2014:4626. Die lijn werd nogmaals bevestigd in ABRvS 31 januari 2018, ECLI:NL:RVS:2018:301, AB 2018/38, m.nt. T. Mulder. Volgens deze annotator is was de Hoge Raad in de beschikkingen van 29 juni 2007 strikter dan de Afdeling en vervolgens het HvJEU; strikter voor de verantwoordelijke dan wel te verstaan. De Hoge Raad zou namelijk hebben bepaald dat in een aantal omstandigheden alleen aan een verzoek op grond van art. 35 Wbp kan worden voldaan door het vertrekken van een kopie van het originele document (noot, onder 5). De annotator merkt op die zelfde plaats op dat de AP op haar website aangeeft dat “ als een volledig overzicht is verstrekt, er geen recht bestaat op een kopie van het originele document waarin de persoonsgegevens zijn verwerkt .”
Vgl. ook HR 8 februari 2013, ECLI:NL:HR:2013: BY4196 ( Royal Bank of Scotland ), waarin met toepassing van art. 81 lid 1 RO Hof Amsterdam 5 juli 2011, ECLI:NL:GHAMS:2011:BR3020, werd bekrachtigd. Daarin was geoordeeld (zie rov. 4.5.3.) dat interne notities die de persoonlijke gedachten van medewerkers van de verantwoordelijke (bevatten en uitsluitend zijn bedoeld voor intern overleg, niet onder het inzagerecht van art. 35 Wbp vallen.
ABRvS 24 december 2014, ECLI:NL:RVS:2014:4631.
Kritisch E. Brouwer & F. Zuiderveen Borgesius, ‘Access to Personal Data and the Right to Good Governance during Asylum Procedures after the CJEU’s YS. and M. and S. judgment (C-141/12 and C-372/12)’, European Journal of Migration and Law 2015, p. 259 e.v. onder 4.3.
Hof Amsterdam 5 juli 2011, ECLI:NL:GHAMS:2011:BR3020, bevestigd in HR 8 februari 2013 ECLI:NL:HR:2013:BY4196 met toepassing van art. 81 lid 1 RO.
Zie Kamerstukken II 1997-1998, 25 892, nr. 3, p. 9-10, 18-20. Vgl. ook de noot van Dommering in NJ 2007/639, onder 11.
Zie HR 29 juni 2007. ECLI:NL:HR:2007:BA3529 ( HBU/verweerder G ), rov. 3.6
In dat verband wijs ik op HR 16 maart 2018, ECLI:NL:HR:2018:365 ( Waterlandziekenhuis ), waarin uw Raad oordeelde (rov. 3.3.3) dat de betrokkene geen recht had op inzage in een medische analyse omdat het daarbij niet gaat om persoonsgegevens in de zin van Richtlijn 95/46. Kritisch hierover (met name over de koppeling die zou zijn gemaakt met het doel van het verzoek om inzage): J.P. Simons, TVP 2018(3), p. 112 e.v.
Vgl. C.M. Jakimowicz en J.M.A. Bervens, ‘De verzoeken tot inzage op grond van de Wbp’, Privacy & Informatie 2013(2), p. 54 e.v. onder 2.6.
Vgl. o.a. W.A.K. Rank en A.J. Haasjes, ‘Misbruik van de Wbp in civiele procedures tegen financiële instellingen’, Tijdschrift voor financieel recht, 2005(12), p. 370 e.v. Vgl. ook C.W.M. Lieverse, ‘De rol van de Wet bescherming persoonsgegevens in procedures tegen financiële instellingen’, in: S.C.J.J. Kortmann e.a. (red). 10 jaar JOR. Alsnog geannoteerd (2006), p. 113 e.v. Zij brengt de verschillen tussen een art. 35-verzoek en een art. 843a-vordering helder in kaart.
In deze zin ook het verweerschrift in cassatie van [verweerster] onder 4.1.7 (slot): “ Deze zaak gaat niet over een uitzondering op het inzagerecht, maar over de reikwijdte van dat recht zelf ”.
Gelet op deze vooropstelling in rov. 7 kan [verzoeker] het hof er niet met vrucht een verwijt van maken in rov. 11 alleen te overwegen dat het inzagerecht tot doel heeft dat de betrokkene de juistheid van zijn gegevens te controleren en daar niet aan toe te voegen “en de rechtmatigheid van de verwerking daarvan te controleren” (zie 2.9 en 2.16-2.17 ).
Zie prod. 12 d.d. 6 september 2017 zijdens [verzoeker] .
Zie het proces-verbaal van de zitting van 19 september 2017, blz. 2 en 3.
Gedefinieerd als: “ elk gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd is of verspreid is op een functioneel of geografisch bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen ;”
Zie het (aangevulde) overzicht bij de e-mail van [verweerster] aan de advocaat van [verzoeker] d.d. 14 augustus 2017, onder 3, de tweede kolom: “ Algemeen intern memo van het Hoofd van de interne Audit Dienst van [verweerster] inzake de opzet van Administratieve organisatie d.d. 18 april 2006. ” (onderdeel van prod. 12 zijdens [verzoeker] ).
Zie het verzoek onder C, weergegeven in rov. 2 van de bestreden beschikking.
[verweerster] verwijst (in voetnoot 26) naar de noot van Dommering bij Dexia/Verweerder S . en de HBU-beschikking, waar deze opmerkt dat volgens het EHRM in de zaak Smith/Verenigd Koninkrijk wel degelijk moet worden gekeken “(…) of het inzageverzoek valt onder de doelstelling van de Wbp of (mede) andere doelen dient. De aanvrager behoeft bij zijn aanvrage geen doel te stellen, maar de rechter zal wel moeten toetsen of de opgevraagde informatie binnen het doel van het inzagerecht van de Wbp valt. (…)” .
Uit de Memorie van Toelichting bij de Wbp volgt dat onder ‘anderen’ in de zin van art. 43 onder e, Wbp ook de verantwoordelijke zelf moet worden begrepen. Zie Kamerstukken II 1997-1998, 25 892, nr. 3, p. 171. In deze zin ook, in navolging van de Memorie van Toelichting, rov. 3.6.1 van de Dexia-beschikkingen. Ik wijs erop dat dit standpunt niet geheel onomstreden is. A-G Sharpston stelt in haar conclusie vóór het IND-arrest, ECLI:EU:C:2013:83 : “Wat het bepaalde in [art. 13] sub g betreft, kan de bescherming van de rechten en vrijheden van anderen (dat wil zeggen anderen dan de betrokkene) niet worden geacht zich uit te strekken tot de rechten en vrijheden van de verwerkende instantie .” (punt 84, mijn onderstreping). Vgl. ook de noot van M. van Graafeiland bij het IND- arrest in AB 2014/365.
Zie in gelijke zin rov. 3.6.1. van de Dexia-beschikkingen.