ECLI:NL:RBAMS:2023:5033 text/xml public 2025-12-16T09:46:07 2023-08-07 Raad voor de Rechtspraak nl Rechtbank Amsterdam 2023-08-07 AMS 22/4209 Uitspraak Eerste aanleg - enkelvoudig NL Amsterdam Bestuursrecht Hoger beroep: ECLI:NL:RVS:2025:3260, (Gedeeltelijke) vernietiging en zelf afgedaan
Rechtspraak.nl
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBAMS:2023:5033 text/html public 2023-11-08T12:48:07 2023-11-08 Raad voor de Rechtspraak nl ECLI:NL:RBAMS:2023:5033 Rechtbank Amsterdam , 07-08-2023 / AMS 22/4209
AVG-verzoek om inzage in persoonsgegevens die in het kader van het Aanmeldpunt Binnenlandse afstand en adoptie zijn verwerkt. Eiseres heeft o.m. verzocht om de lijst van personen die toegang hebben gehad tot haar aanmeldverslag en contactgegevens en die deze verwerkt hebben bij het ministerie, en een kopie van het verwerkingsregister bij het ministerie betreffende de verwerking dan wel het bewaren van aanmeldverslag en contactgegevens in het algemeen. In samenhang gelezen, vindt de rechtbank voldoende duidelijk dat eiseres verweerder met haar verzoek gevraagd heeft kenbaar te maken hoe haar persoonsgegevens (met name het aanmeldverslag en haar contactgegevens) zijn verwerkt, waar deze zijn bewaard en door wie deze gegevens zijn ontvangen. De rechtbank is van oordeel dat verweerder met de bestreden besluitvorming en de op de zitting gegeven toelichting onvoldoende inzage en inzicht heeft gegeven in de verwerking van de persoonsgegevens van eiseres. Niet is gebleken van een buitensporig verzoek noch van een onmogelijkheid om degene te identificeren die de persoonsgegevens van eiseres hebben verwerkt. Eiseres heeft een zwaarwegend belang om haar persoonsgegevens te kunnen controleren, nu sprake is geweest van een datalek en onrechtmatige verwerking van gevoelige en medische persoonsgegevens.
RECHTBANK AMSTERDAM
Bestuursrecht
zaaknummer: AMS 22/4209
uitspraak van de enkelvoudige kamer van 7 augustus 2023 in de zaak tussen
[eiseres] , uit Amsterdam, eiseres
en
de minister van Justitie en Veiligheid, verweerder
(gemachtigden: mr. M. R. Vennegoor en mr. M. Karkich).
Inleiding
1. In deze uitspraak beoordeelt de rechtbank het beroep van eiseres over haar verzoek om inzage in haar persoonsgegevens bij het Ministerie van Justitie en Veiligheid (het ministerie).
1.1. Met het bestreden besluit van 20 juli 2022 op het bezwaar van eiseres is verweerder bij dat besluit gebleven.
1.2. De rechtbank heeft het beroep op 26 juni 2023 op zitting behandeld. Hieraan hebben deelgenomen: eiseres en de gemachtigden van verweerder.
Totstandkoming van het besluit
2. Eiseres heeft op 10 januari 2022 verzocht om inzage op grond van de AVG in haar persoonsgegevens die bij het ministerie in het kader van het Aanmeldpunt Binnenlandse afstand en adoptie zijn verwerkt. Dit aanmeldpunt is opgericht ten behoeve van het onderzoek van de Stichting Fiom en het Verweij-Jonkers Instituut naar de geschiedenis van binnenlandse afstand en adoptie tussen 1956 en 1984, onder toezicht van het ministerie. Eiseres verzocht om een kopie van haar aanmeldverslag zoals bewaard bij het ministerie (onderdeel 1), de lijst van personen die toegang hebben gehad tot haar aanmeldverslag en contactgegevens en die deze verwerkt hebben bij het ministerie (onderdeel 2) en een kopie van het verwerkingsregister bij het ministerie betreffende de verwerking dan wel het bewaren van aanmeldverslag en contactgegevens in het algemeen (onderdeel 3).
3. Verweerder heeft met het besluit van 9 februari 2022 (het primaire besluit) het verzoek van eiseres ingewilligd ten aanzien van het eerste onderdeel onder de voorwaarde dat eiseres een (kopie) van haar legitimatie zou overleggen. Onderdeel twee en drie van het verzoek van eiseres heeft verweerder afgewezen. Eiseres heeft bezwaar gemaakt tegen dit besluit en verweerder heeft met het bestreden besluit het bezwaar van eiseres niet-ontvankelijk verklaart. Verweerder stelt dat het aanmeldverslag enige tijd geleden is vernietigd. Eisers is hiervan op de hoogte gesteld. Verweerder is daarom niet gebleken van een juridisch belang bij het voorzetten van de bezwaarprocedure. De overige gronden die eiseres in bezwaar heeft aangevoerd hebben geen betrekking op een besluit waar bezwaar tegen openstaat, aldus verweerder. Verweerder heeft verder te kennen gegeven dat zij de identiteit van de individuele personen die toegang hadden tot het aanmeldverslag niet kan verstrekken en dat bij het ministerie geen verwerkingsregister aanwezig is, waarin het verwerken en bewaren van aanmeldverslagen in het kader van het Aanmeldpunt Binnenlandse afstand en adoptie is opgenomen. 4. Verweerder heeft op 9 juni 2023 een aanvulling gegeven op het bestreden besluit naar aanleiding van nieuwe jurisprudentie van Hof van Justitie van de Europese Unie (het Hof). Verweerder is gebleven bij de niet-ontvankelijkverklaring, maar heeft een nadere motivering gegeven met betrekking tot de onderdelen 2 en 3 van het verzoek.
Beoordeling door de rechtbank
5. De rechtbank beoordeelt de niet-ontvankelijkverklaring van het bezwaar van eiseres wegens het ontbreken van procesbelang. Zij doet dat aan de hand van de beroepsgronden van eiseres.
6. De rechtbank is van oordeel dat het beroep gegrond is en dat het bezwaar ten onrechte niet-ontvankelijk is verklaard. Hierna legt de rechtbank uit hoe zij tot dit oordeel komt en welke gevolgen dit oordeel heeft.
Onderdeel 1 7. Ter zitting is besproken dat eiseres inmiddels een kopie van het aanmeldverslag van het Fiom heeft ontvangen en dat verweerder het aanmeldverslag heeft vernietigd. De rechtbank zal daarom de beroepsgronden van eiseres die betrekking hebben op het eerste onderdeel van haar AVG-verzoek niet beoordelen nu eiseres daarbij geen belang meer heeft.
Onderdeel 2 en 3 8. De rechtbank stelt vast dat eiseres verweerder heeft gevraagd om een lijst van personen die toegang hebben gehad tot haar aanmeldverslag en contactgegevens, c.q. deze verwerkt hebben, bij het ministerie. De rechtbank begrijpt dit verzoek zo dat eiseres heeft verzocht om te vernemen wie feitelijk toegang had tot haar persoonsgegevens en wie deze heeft verwerkt. Verder heeft eiseres verzocht om een kopie van het verwerkingsregister bij het ministerie betreffende de verwerking en het bewaren van aanmeldverslagen en contactgegevens in het algemeen. In samenhang gelezen, vindt de rechtbank voldoende duidelijk dat eiseres verweerder met haar verzoek gevraagd heeft kenbaar te maken hoe haar persoonsgegevens (met name het aanmeldverslag en haar contactgegevens) zijn verwerkt, waar deze zijn bewaard en door wie deze gegevens zijn ontvangen. Als het verzoek bij verweerder vragen opriep en het voor verweerder niet duidelijk was om welke informatie eiseres had verzocht, had zij hier naar moeten informeren. Op zijn minst in de bezwaarfase hadden de gronden aanleiding voor verweerder moeten zijn om opheldering te vragen bij eiseres over welke informatie zij met haar verzoek wilde ontvangen.
9. Verweerder heeft ter zitting toegelicht dat een bepaalde directie van het ministerie alle aanmeldverslagen per e-mail van het Fiom heeft ontvangen. De aanmeldverslagen zijn in een map opgeslagen om het verdere verloop van het onderzoek te kunnen volgen. Deze map was binnen de betreffende directie algemeen toegankelijk voor medewerkers van de betreffende directie. Toen het verweerder duidelijk was dat er geen rechtmatig doel was voor de verwerking van deze persoonsgegevens, is melding van een datalek gedaan. Als beschermende maatregel zijn de gegevens in een beveiligde map geplaatst, waar slechts twee personen uit het projectteam Binnenlandse afstand en adoptie toegang toe hadden. Verweerder heeft op zitting geen duidelijkheid gegeven over wanneer de aanmeldverslagen zijn ontvangen, gedurende welke periode de medewerkers van de directie toegang hadden tot de aanmeldverslagen, welke directie het betreft, hoeveel medewerkers toegang hadden, wanneer de aanmeldverslagen in de beveiligde map zijn geplaatst, hoe lang ze daarin zijn bewaard en welke twee personen daartoe toegang hebben gehad.
10. De rechtbank is van oordeel dat verweerder met de bestreden besluitvorming en de op de zitting gegeven toelichting onvoldoende inzage en inzicht heeft gegeven in de verwerking van de persoonsgegevens van eiseres. Zij overweegt daartoe als volgt.
11.1. Op grond van artikel 15, eerste lid, aanhef en onder a t/m d, van de AVG heeft een betrokkene recht op inzage van de verwerkte persoonsgegevens die hem betreffen en op informatie met betrekking tot onder meer de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt en de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen. Artikel 4 onder 9 van de AVG definieert de ontvanger als een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan wie/waaraan de persoonsgegevens worden verstrekt. Blijkens rechtspraak van het Hof moet de uitoefening van dit recht van inzage de betrokkene in staat stellen niet alleen na te gaan of de hem betreffende gegevens juist zijn, maar ook of deze rechtmatig worden verwerkt, met name of zij zijn meegedeeld aan bevoegde ontvangers. De betrokkene dient in het bijzonder te beschikken over het recht om te weten wie de concrete ontvangers van zijn persoonsgegevens waren, wanneer deze gegevens reeds aan derden zijn meegedeeld. Het recht om inzage te krijgen in persoonsgegevens brengt volgens het Hof mee dat de verwerkingsverantwoordelijke verplicht is om aan de betrokkene de identiteit van deze ontvangers mee te delen, tenzij het onmogelijk is om die ontvangers te identificeren of wanneer hij aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12, vijfde lid, van de AVG. In dat laatste geval hoeft de verwerkingsverantwoordelijke alleen de categorieën van de ontvangers aan de betrokkene mee te delen.
11.2. De rechtbank merkt daarbij op dat uit het recht op inzage uit artikel 15 van de AVG ook volgt dat eiseres recht heeft op informatie met betrekking tot de personen die haar persoonsgegevens hebben kunnen raadplegen, nu onder het begrip verwerking ook valt het opvragen, raadplegen, gebruiken en verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen van persoonsgegevens.
12. Gelet op het bovenstaande heeft eiseres middels het recht op inzage recht te weten wie bij het ministerie haar aanmeldverslag en overige persoonsgegevens heeft kúnnen raadplegen, dus hoeveel en welke personen en binnen welke directie, en hoe lang haar persoonsgegevens bewaard zijn in eerste instantie in de voor medewerkers van de directie toegankelijke map en vervolgens in de beveiligde map. Ook heeft zij recht om te weten welke twee medewerkers toegang hadden tot die laatste map. Dit is nodig om daarmee het verwerkingsrisico te kunnen inschatten dat van het opslaan van deze gegevens is uitgegaan. Eiseres dient in staat te worden gesteld om zo de omvang van de verwerking te beoordelen, de rechtmatigheid daarvan te kunnen bepalen en om desgewenst een schadevergoedingsverzoek in te dienen. Dit recht vloeit voort uit de bovenstaande uitleg van het recht van inzage door het Hof.
13. De rechtbank is van oordeel dat verweerder eiseres hiertoe onvoldoende in staat heeft gesteld door het bezwaar van eiseres niet-ontvankelijk te verklaren en ten onrechte niet te beslissen op de overige door eiseres verzochte informatie anders dan het aanmeldverslag. De rechtbank overweegt ten aanzien van de personen die de persoonsgegevens van eiseres hebben ontvangen en verwerkt, onder verwijzing naar rechtsoverweging 51 van het arrest van het Hof van 12 januari 2023, dat in dit geval verweerder niet heeft gesteld noch is gebleken dat het niet mogelijk is diegenen te identificeren. De rechtbank volgt verweerder verder niet in het standpunt dat het verzoek van eiseres om te vernemen wie de persoonsgegevens heeft geraadpleegd buitensporig is. Uit artikel 12, vijfde lid, van de AVG volgt dat de verwerkingsverantwoordelijke een dergelijk verzoek alleen mag weigeren als het verzoek kennelijk ongegrond of buitensporig is, met name vanwege het repetitieve karakter. Het is dan aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen. Dat heeft verweerder niet gedaan. In dit geval is daarvan bovendien niet gebleken. Het betreft een eerste verzoek van eiseres waarin zij informatie vraagt over de verwerking van haar persoonsgegevens, de ontvangers en de bewaartermijn van haar gegevens om zo de verwerking, het verwerkingsrisico en de onrechtmatigheid daarvan te bepalen in verband met een verzoek om schadevergoeding. Nu geen sprake is van een buitensporig verzoek en niet is gebleken van een onmogelijkheid om degene te identificeren die de persoonsgegevens van eiseres hebben geraadpleegd of konden raadplegen, acht de rechtbank het gelet op het genoemde arrest van het Hof dan ook niet voldoende om eiseres enkel in te lichten over de categorie van ontvangers dan wel verwerkers van haar persoonsgegevens.
14. De rechtbank benadrukt dat eiseres in deze zaak een zwaarwegend belang heeft om haar persoonsgegevens te kunnen controleren. Het gaat hier om een zaak waarbij sprake is geweest van een datalek en verweerder heeft erkend dat de verwerking onrechtmatig is geweest. Het betreft bovendien de verwerking van gevoelige en medische persoonsgegevens van eiseres, en daarmee ook bijzondere persoonsgegevens in de zin van artikel 9, eerste lid, van de AVG. Ook merkt de rechtbank op dat verweerder heeft nagelaten, althans de rechtbank is daarvan niet gebleken, eiseres op grond van artikel 14 van de AVG informatie te verstrekken met betrekking tot de van het Fiom ontvangen informatie.
Conclusie en gevolgen
15. Het beroep is gegrond en het bezwaar is ten onrechte niet-ontvankelijk verklaard. De rechtbank vernietigt het bestreden besluit. Verweerder zal een nieuw besluit moeten nemen met inachtneming van deze uitspraak. De rechtbank stelt hiervoor een termijn van acht weken.
16. Omdat de rechtbank het beroep gegrond verklaart, bepaalt de rechtbank dat verweerder aan eiseres het door haar betaalde griffierecht vergoedt.
17. Voor een proceskostenveroordeling bestaat geen aanleiding.
Beslissing
De rechtbank:
verklaart het beroep gegrond;
vernietigt het bestreden besluit;
draagt verweerder op binnen acht weken na de dag van verzending van deze uitspraak een nieuw besluit te nemen op het bezwaar met inachtneming van deze uitspraak;
draagt verweerder op het betaalde griffierecht van € 184,- aan eiseres te vergoeden.
Deze uitspraak is gedaan door mr. J.A.W. Jansen, rechter, in aanwezigheid van
mr. N. Galjee-Melehi, griffier. De uitspraak is uitgesproken in het openbaar op 7 augustus 2023.
griffier
rechter
Een afschrift van deze uitspraak is verzonden aan partijen op:
Informatie over hoger beroep
Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen.
De Algemene Verordening Gegevensbescherming.
Zie bijvoorbeeld het arrest van het Hof van 12 januari 2023, ECLI:EU:C::2023:3, r.o. 37.
Idem, r.o. 39.
Idem, r.o. 51.
Zie de definitie van het begrip ‘verwerking’ in artikel 4, onder 2, van de AVG.