ECLI:NL:RBDHA:2022:11521 text/xml public 2023-06-06T07:35:56 2022-11-04 Raad voor de Rechtspraak nl Rechtbank Den Haag 2022-09-29 C/09/625551 / HA RK 22-81 Uitspraak Rekestprocedure NL Den Haag Civiel recht; Europees civiel recht
Rechtspraak.nl JBP 2023/17
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBDHA:2022:11521 text/html public 2022-11-07T10:56:35 2022-11-09 Raad voor de Rechtspraak nl ECLI:NL:RBDHA:2022:11521 Rechtbank Den Haag , 29-09-2022 / C/09/625551 / HA RK 22-81
AVG-zaak. Onder meer inzagerecht op in interne notities verwerkte persoonsgegevens.
beschikking
RECHTBANK DEN HAAG
Team handel
zaaknummer / rekestnummer: C/09/625551 / HA RK 22-81
Beschikking van 29 september 2022
in de zaak van
[verzoekster01]
, te [plaats01] ,
verzoekster,
advocaat mr. E. Aerts te Tilburg,
tegen
stichting
[de Stichting]
, te [plaats01] ,
verweerster,
advocaat mr. E.W. Verhelst te Enschede.
1
De procedure
Het verloop van de procedure blijkt uit:
het verzoekschrift van 22 februari 2022, met producties;
het verweerschrift;
de brief van 23 augustus 2022 aan de zijde van [verzoekster01] , met drie nadere producties;
de mondelinge behandeling op 25 augustus 2022.
1.1.
Ten slotte is een datum bepaald voor het wijzen van de beschikking.
2
De feiten
2.1.
[de Stichting] is een woningcorporatie en verhuurt woningen in de sociale sector.
[verzoekster01] huurt een appartement in één van de door [de Stichting] beheerde wooncomplexen.
2.2.
Er is sprake van een gespannen relatie tussen [verzoekster01] en enkele van haar medebewoners, waarbij over- en weer klachten zijn gemeld bij [de Stichting] . [verzoekster01] verlangt dat zij door [de Stichting] als ‘urgente’ woningzoekende wordt aangemerkt, zodat zij met prioriteit een nieuwe sociale huurwoning kan vinden. Hierover heeft zij met medewerker(s) van [de Stichting] contact gehad, maar dat heeft vooralsnog niet tot een voor [verzoekster01] bevredigend resultaat geleid. [verzoekster01] heeft naar aanleiding van dat gesprek op enig moment een klacht ingediend bij de Geschillencommissie Woningcorporatie, omdat niet duidelijk zou zijn toegelicht waarom een urgentieaanvraag niet toewijsbaar zou zijn.
2.3.
Bij brief van 13 september 2021 heeft [verzoekster01] aan [de Stichting] verzocht om inzage in de persoonsgegevens die [de Stichting] van haar heeft verwerkt.
2.4.
Op 18 september 2021 heeft [verzoekster01] melding gedaan van overlast door haar medebewoners, via de website van [de Stichting] .
2.5.
In reactie op het inzageverzoek van [verzoekster01] heeft [de Stichting] op 15 oktober 2021 aan [verzoekster01] enkele fysieke stukken overhandigd. Daaronder bevond zich een uitdraai van de persoonsgegevens die [de Stichting] in haar ‘ERP-systeem’ en in het ‘DMS-systeem’ heeft verwerkt. In deze uitdraai staan persoonsgegevens zoals naam, contactgegevens, huurbetalingsgedrag en dergelijken. Daarnaast is een overzicht verstrekt van contactmomenten tussen [de Stichting] en derden zoals aannemers, GGD, GGZ, een schuldhulpinstantie en de moeder van [verzoekster01] waarbij persoonsgegevens van [verzoekster01] zijn gedeeld.
2.6.
Op 5 november 2021 schreef de (toenmalige) advocaat van [verzoekster01] aan [de Stichting] dat de stukken niet compleet zijn. Onder meer was volgens hem onvolledig de inzage van aan derden verstrekte persoonsgegevens, waaronder hulpinstanties zoals GGD of GGZ. Hiernaast ontbraken de overlastmeldingen van medebewoners over [verzoekster01].
2.7.
De advocaat van [de Stichting] heeft in zijn brief van 18 november 2021 aan de advocaat van [verzoekster01] geantwoord dat overlastmeldingen over [verzoekster01] niet zijn aan te merken als persoonsgegevens. Wat betreft de contacten met hulpinstanties is toegelicht waarom die contacten hebben plaatsgevonden en wat daarvan de conclusies zijn. [de Stichting] concludeerde in haar brief dat zij heeft voldaan aan het verzoek van [verzoekster01] .
2.8.
Op deze brief heeft de advocaat van [verzoekster01] op 10 december 2021, kort gezegd, geantwoord dat [verzoekster01] geen genoegen neemt met de tot dusver verleende (beperkte) inzage.
2.9.
Hierop volgde op 14 januari 2021 een brief van de advocaat van [de Stichting] met onder meer in de bijlage een overzicht van haar standaardbewaartermijnen en twee e-mails (deels onleesbaar gemaakt) tussen [de Stichting] en GGD over [verzoekster01].
2.10.
Vervolgens heeft [verzoekster01] op 22 februari 2022 het onderhavige verzoekschrift ingediend.
2.11.
Op 22 februari 2022 heeft de Geschillencommissie Woningcorporatie de eerder door [verzoekster01] over [de Stichting] ingediende klacht als ongegrond beoordeeld.
2.12.
In de periode nadat [verzoekster01] dit verzoekschrift heeft ingediend, heeft [de Stichting] een gerechtelijke procedure gestart tegen [verzoekster01] met als inzet het verkrijgen van toegang tot de huurwoning voor het verrichten van onderhoudswerkzaamheden. In dat verband heeft zij persoonsgegevens van [verzoekster01] gedeeld met een advocatenkantoor en een deurwaarderskantoor.
3
Het verzoek
3.1.
[verzoekster01] verzoekt, uitvoerbaar bij voorraad, (samengevat weergegeven) de veroordeling van [de Stichting] tot het verschaffen van inzage in de persoonsgegevens die zij van [verzoekster01] heeft verwerkt door het verstrekken van kopieën, althans een door de rechtbank te bepalen wijze van inzage, van in ieder geval maar niet uitsluitend:
alle (digitale of schriftelijke) correspondentie van, met of tussen medewerkers van [de Stichting] over en/of met [verzoekster01] , waaronder interne verslagen, analyses, van medewerkers van [de Stichting] over [verzoekster01] en correspondentie met [verzoekster01] ;
alle (schriftelijke of digitale) correspondentie van medewerkers van [de Stichting] met derden over [verzoekster01], waaronder de GGZ, GGD en schuldhulpverlening;
alle verslagen, werkaantekeningen, (telefoon)notities over [verzoekster01];
alle meldingen, signalen en klachten door derden (natuurlijke personen en hulpverleningsinstanties) over [verzoekster01];
de metadata van alle stukken en informatie die [de Stichting] over [verzoekster01] heeft (zoals de herkomst, het moment van- en wijzen van verzending en vastlegging), ongeacht of [de Stichting] dit zelf opslaat, of dit bij een (sub)verwerker of bij een medeverwerkingsverantwoordelijke onderbrengt;
een overzicht van de informatie zoals bedoeld in artikel 15 lid 1 sub a t/m h AVG, en dus omschrijving van het verwerkingsdoel, de categorieën van de gegevens, de (categorieën van) ontvangers van de gegevens, de bewaartermijnen van de gegevens, de informatie over de herkomst van de gegevens en informatie over het bestaan van geautomatiseerde besluitvorming;
een en ander binnen vijf werkdagen na de te wijzen beschikking althans een in redelijkheid te bepalen termijn, zulks op straffe van een dwangsom en met veroordeling van [de Stichting] in de proceskosten.
3.2.
[verzoekster01] legt aan haar verzoek het inzagerecht ten grondslag, zoals neergelegd in artikel 15 AVG. Zij heeft toegelicht dat zij door middel van de te verlenen inzage de rechtmatigheid en juistheid van de verwerking van persoonsgegevens door [de Stichting] wil controleren. De tot op heden verschafte inzage door [de Stichting] is volgens [verzoekster01] onvoldoende. Zij beoogt zij met de verlangde gegevensinzage mede haar verzoek om een urgentieverklaring te onderbouwen.
3.3.
[de Stichting] vindt dat het verzoek moet worden afgewezen, omdat zij al voldoende inzage heeft verschaft. Voor zover [verzoekster01] meer of op andere wijze inzage verzoekt, biedt de AVG daarvoor volgens [de Stichting] geen grondslag.
3.4.
Op de stellingen van partijen wordt hierna nader ingegaan, voor zover van belang.
4
De beoordeling
Ontvankelijkheid
4.1.
[de Stichting] heeft betoogd dat [verzoekster01] niet-ontvankelijk is omdat zij dit verzoekschrift uitsluitend zou gebruiken om haar urgentieverklaring na te streven en niet voor het doel dat de AVG beoogt; namelijk controle op de juistheid van de persoonsgegevens en de rechtmatigheid van de verwerking ervan. De rechtbank wijst dit verweer af, nu [verzoekster01] heeft ter zitting heeft toegelicht dat zij wel degelijk óók dat belang voor ogen heeft. De rechtbank zal daarom het verzoekschrift inhoudelijk beoordelen.
4.2.
Partijen hebben verschillende standpunten ingenomen over de reikwijdte van het inzagerecht van artikel 15 AVG en over de definitie van een persoonsgegeven (artikel 4 AVG).
Juridisch kader
4.3.
De rechtbank stelt het volgende juridische kader voorop. Artikel 15 lid 1 AVG geeft de betrokkene ( [verzoekster01] ) recht op uitsluitsel van de verwerkingsverantwoordelijke ( [de Stichting] ) op de vraag of deze persoonsgegevens heeft verwerkt. [de Stichting] is gehouden om inzage te geven in de door haar verwerkte persoonsgegevens en daarover informatie te verschaffen die, kort gezegd, de achtergrond voor- en de wijze van het verwerken van de persoonsgegevens toelicht (zie artikel 15 lid 1 sub a tot en met sub h AVG). Ook is [de Stichting] op grond van artikel 15 lid 3 AVG gehouden om kopieën te verstrekken van de verwerkte persoonsgegevens.
4.4.
Het inzagerecht beperkt zich tot informatie die beantwoordt aan de definitie van ‘persoonsgegeven’ en door de voorwaarde dat sprake is van ‘verwerking’. Daarover geldt het volgende.
4.5.
In artikel 4 lid 1 AVG is bepaald dat informatie over een geïdentificeerde of identificeerbare natuurlijke persoon tot persoonsgegevens in de zin van deze regeling wordt gerekend. Reeds uit de formulering van de definitie volgt dat de Europese regelgever een ruim bereik wil toekennen aan dit begrip. Op basis van toen nog geldende rechtsnormen (de richtlijn EG 95/46) heeft het Hof van Justitie EU van 20 december 2017 (ECLI:EU:C:2017:994) geconcludeerd dat de term persoonsgegeven niet beperkt moet worden opgevat, maar dat het zich ook uitstrekt tot objectieve informatie of subjectieve informatie zoals meningen of beoordelingen over de betrokkene. In lijn hiermee overwoog het gerechtshof Den Haag in zijn uitspraak van 17 september 2019, waarin geoordeeld werd op basis van zowel de Wet bescherming persoonsgegevens (Wbp) als de AVG, dat ook voor intern gebruik bestemde meningen of beoordelingen over een persoon een persoonsgegeven opleveren en dat het inzagerecht hierop – in beginsel – van toepassing is (ECLI:NL:GHDHA:2019:2398).
4.6.
Door [de Stichting] is voorts niet bestreden dat ‘metadata’, volgens [verzoekster01] de herkomst en wijze van verzending, en de wijze van vastlegging van het persoonsgegeven, ook beantwoordt aan de definitie van persoonsgegeven in artikel 4 AVG en dus ook onder het inzagerecht van [verzoekster01] valt.
4.7.
Tot slot wordt het inzagerecht beperkt tot ‘verwerkte’ persoonsgegevens (artikel 4 lid 2 AVG). Partijen hebben zich in deze procedure niet uitgelaten over de reikwijdte van het begrip ‘verwerking’. De rechtbank komt later terug op dit begrip.
Interne correspondentie [de Stichting]
4.8.
De rechtbank overweegt dat de AVG interne notities niet heeft uitgezonderd van het inzagerecht. Voor zover in interne notities over de betrokkene persoonsgegevens zijn verwerkt, waaronder wordt verstaan een mening of een beoordeling, dient ten aanzien van die gegevens inzage te worden gegeven. Dit betekent niet dat een verplichting bestaat voor de verwerkingsverantwoordelijke tot het verstrekken van integrale kopieën van dergelijke stukken; de inzage blijft beperkt tot de persoonsgegevens. Anderzijds kan niet zonder meer worden volstaan met het verstrekken van een abstract overzicht van de verwerkte persoonsgegevens, zoals [de Stichting] heeft gedaan op 15 oktober 2021. Daarmee kan [verzoekster01] niet goed beoordelen of de verwerking van de persoonsgegevens rechtmatig is.
4.9.
Hoewel [de Stichting] met klem heeft weersproken dat er interne verslagen of notities zijn die betrekking hebben op [verzoekster01] en dat in het kleine team van [de Stichting] alleen mondeling overleg wordt gevoerd, heeft zij wel een interne e-mail gedeeld met [verzoekster01] , waarin twee medewerkers elkaar informeren over [verzoekster01] wens om een urgentieverklaring te bemachtigen. Deze e-mail heeft [verzoekster01] overgelegd als productie 3B. Gelet hierop valt niet uit te sluiten is dat er meer interne stukken zijn waarin medewerkers overleg hebben gepleegd over de situatie van [verzoekster01] en daarin dus persoonsgegevens van [verzoekster01] hebben verwerkt. Om die reden zal [de Stichting] worden veroordeeld tot het verschaffen van inzage en kopie van de persoonsgegevens die in interne stukken zijn verwerkt. Hierbij wordt – ten overvloede – overwogen dat [de Stichting] niet volledige inzage in de stukken hoeft te verschaffen, maar dient zij voldoende informatie te verstrekken zodat voor [verzoekster01] duidelijk is binnen welke context de persoonsgegevens zijn gedeeld.
Correspondentie [de Stichting] met [verzoekster01]
4.10.
[verzoekster01] stelt dat het door [de Stichting] verstrekte overzicht niets vermeldt over correspondentie tussen haar en [de Stichting] over huurbetalingsachterstanden. [de Stichting] heeft niet weersproken dat die stukken bestaan en dat daarin persoonsgegevens van [verzoekster01] zijn verwerkt. Tevens is niet weersproken dat [de Stichting] geen inzage heeft gegeven in de verwerking van [verzoekster01] klachten over medebewoners (zie punt 2.4). Hieruit volgt de conclusie dat [de Stichting] niet uitputtend inzage heeft verschaft van verwerkte persoonsgegevens uit correspondentie met [verzoekster01] .
Correspondentie met derden
Klachten medebewoners
4.11.
Voor zover [de Stichting] klachten van medebewoners registreert over [verzoekster01], betreft dit hoogstwaarschijnlijk een verwerking van een persoonsgegeven. Klachten bevatten normaliter beschrijvingen van feitelijk gedrag en/of meningen over, in dit geval, [verzoekster01] . Dergelijke informatie is, gelet op r.o. 4.5 hierboven, als persoonsgegeven aan te merken. Aannemelijk is immers dat die beschrijving is te relateren aan [verzoekster01] , alleen al doordat [verzoekster01] hierbij is genoemd of een andere identificator zoals een beschrijving van haar uiterlijk of van het huisnummer van haar woning.
4.12.
Niet door [de Stichting] weersproken is dat er klachten over door [verzoekster01] veroorzaakte overlast zijn geregistreerd bij [de Stichting] en dat [de Stichting] hiervan niet afzonderlijk inzage heeft gegeven. Hoewel het inzagerecht zich weliswaar uitstrekt tot de beschrijving van de feitelijke gedragingen van [verzoekster01] , wordt op deze plaats overwogen dat de verwerkingsverantwoordelijke zich wel dient te bekommeren om de privacy van de persoon die de klacht heeft geuit en, mogelijk, de werknemer die de klacht heeft geregistreerd. Verwezen wordt naar het bepaalde in artikel 15 lid 4 AVG. Dat betekent dat een op die privacy gerichte beperking op het inzagerecht door [verzoekster01] aanvaard zal moeten worden. [verzoekster01] heeft dus niet het recht te vernemen wie over haar een melding heeft laten registreren.
Delen persoonsgegevens met opdrachtnemers van [de Stichting]
4.13.
heeft niet weersproken dat zij persoonsgegevens van [verzoekster01] heeft gedeeld met de deurwaarder en advocaat in verband met tegen [verzoekster01] een aanhangig gemaakte gerechtelijke procedure. [de Stichting] zal worden veroordeeld tot het verschaffen van de kopieën van de in deze correspondentie verwerkte persoonsgegevens.
4.14.
[de Stichting] heeft in een overzicht weergegeven dat zij persoonsgegevens heeft verwerkt door deze te delen met aannemers en klusbedrijven die bij [verzoekster01] werkzaamheden moesten verrichten aan de woning. [verzoekster01] heeft niet aannemelijk gemaakt dat [de Stichting] wat dit betreft onvoldoende inzage heeft gegeven in de verwerking van de persoonsgegevens.
Contact tussen [de Stichting] en moeder van [verzoekster01]
4.15.
[verzoekster01] verlangt ook inzage van haar persoonsgegevens die tijdens telefoongesprekken tussen haar moeder en [de Stichting] zouden zijn uitgewisseld. De rechtbank is niet duidelijk geworden in hoeverre hierbij ook persoonsgegevens zijn verwerkt, bijvoorbeeld door middel van aantekeningen naar aanleiding van dit gesprek doordat [de Stichting] persoonsgegevens heeft verstrekt aan de moeder van [verzoekster01] . [verzoekster01] heeft hierover niets gesteld. Nu het inzagerecht is beperkt tot
verwerkte
persoonsgegevens, heeft [verzoekster01] in zoverre niet aannemelijk gemaakt dat [de Stichting] op dit punt is achtergebleven in haar inzageplicht.
Correspondentie [de Stichting] met (hulp-)instanties
4.16.
Ten aanzien van correspondentie tussen [de Stichting] en de GGZ en de GGD heeft [verzoekster01] gesteld dat het overzicht van [de Stichting] over het aantal contacten, de inhoud van de verstrekte informatie en de achtergrond daarvan onvolledig is geweest. [de Stichting] heeft in dit verband voorafgaand dit verzoekschrift nog wel heeft twee e-mails (deels weggelakt) verstrekt, die [verzoekster01] als productie 2C heeft overgelegd (zie punt 2.6). De rechtbank constateert dat er bijna volledige stukken zijn overgelegd, zodat niet valt in te zien dat [de Stichting] onvolledige inzage heeft gegeven in de categorieën van persoonsgegevens die zij van [verzoekster01] heeft verwerkt. [verzoekster01] heeft in dit verband niet aannemelijk gemaakt dat [de Stichting] wat betreft schriftelijke correspondentie onvolledig is geweest in de opsomming van contacten met de GGZ of GGD.
4.17.
Dit is anders ten aanzien van de stelling van [verzoekster01] dat [de Stichting] onvolledig is geweest in de opsomming van telefonisch contact met deze partijen. Ter zitting heeft [verzoekster01] namelijk gesteld dat een medewerker van [de Stichting] haar vertelde dat hij had vernomen dat [verzoekster01] in een GGZ-instelling heeft verbleven. Dit heeft [de Stichting] niet weersproken. De rechtbank veroordeelt [de Stichting] daarom tot inzage van persoonsgegevens in deze contacten, voor zover daar verwerking heeft plaatsgevonden. In dat verband wordt overwogen dat het verstrekken van persoonsgegevens door [de Stichting] aan derden een verwerking oplevert, maar dat het ongevraagd telefonisch ontvangen van persoonsgegevens door [de Stichting] geen verwerking oplevert (zie artikel 4 lid 2 AVG), omdat niet kan worden gesproken van ‘verzameling’. Dat laatste is weer anders indien de ontvangen persoonsgegevens op enige wijze zijn opgeslagen.
4.18.
Ten slotte heeft [verzoekster01] aannemelijk gemaakt dat [de Stichting] onvolledige inzage heeft geboden van verwerkte persoonsgegevens in correspondentie tussen [de Stichting] en hulpinstantie ‘Meldpunt Zorg en Overlast’. [verzoekster01] heeft ter zitting onbestreden verklaard dat zij van die instantie heeft vernomen dat deze telefonisch persoonsgegevens over [verzoekster01] heeft ontvangen van [de Stichting] . Het delen van persoonsgegevens met derden – ook al is dat telefonisch – valt te kwalificeren als een verwerking en daarom is [de Stichting] op dit onderdeel onvolledig geweest met haar inzage.
4.19.
De rechtbank komt tot de volgende tussenconclusie. [verzoekster01] heeft aannemelijk gemaakt dat [de Stichting] onvoldoende inzage heeft gegeven van door haar verwerkte persoonsgegevens betreffende [verzoekster01] , ten aanzien van:
interne notities en correspondentie;
correspondentie met [verzoekster01] (zoals door haar gedane overlastmeldingen);
geregistreerde overlastmeldingen over [verzoekster01];
correspondentie met deurwaarder en advocaat in het kader van de gerechtelijke procedure;
telefonisch gedeelde persoonsgegevens met hulpinstanties zoals GGZ, `GGD en Meldpunt Zorg & Overlast.
4.20.
[de Stichting] zal daarom worden veroordeeld om de inzage alsnog te verstrekken en tot het verschaffen van kopieën van de verwerkte persoonsgegevens. De inzage moet [de Stichting] zo inrichten dat [verzoekster01] in staat is om ook de rechtmatigheid van de verwerkingen te beoordelen. Tevens moet [de Stichting] ten aanzien van deze informatie de metadata verschaffen, zoals bedoeld in artikel 15 lid 1 sub a tot en met h AVG.
4.21.
Voor het opleggen van dwangsommen ziet de rechtbank onvoldoende aanleiding. Zij gaat ervan uit dat [de Stichting] rechterlijke beslissingen naleeft, ook zonder dwangmiddel.
4.22.
Als de overwegend in het ongelijk gestelde partij zal [de Stichting] worden veroordeeld in de proceskosten. Deze kosten aan de zijde van [verzoekster01] begroot op € 1.212, waarvan € 86 aan griffierecht en € 1.126 aan salaris advocaat (2 punten x liquidatietarief II). Deze proceskostenvergoeding moet door de advocaat van [verzoekster01] worden verrekend met de op grond van de Wet op de rechtsbijstand toegekende toevoeging.
5
De beslissing
De rechtbank
5.1.
veroordeelt [de Stichting] om binnen een termijn van 14 werkdagen na dagtekening van deze beschikking, aan [verzoekster01] een kopie te verstrekken van door [de Stichting] van [verzoekster01] verwerkte persoonsgegevens ten aanzien van:
interne (e-mail-)correspondentie, verslagen en notities met betrekking tot [verzoekster01] ;
correspondentie met [verzoekster01] ;
klachtenmeldingen door medebewoners over [verzoekster01];
correspondentie met advocaat en deurwaarder van [de Stichting] in het kader van een gerechtelijke procedure;
de metadata van voornoemde persoonsgegevens, waaronder de herkomst, het moment van verzending en vastlegging van deze informatie, ongeacht of deze zich bevindt bij [de Stichting] zelf of bij een subverwerker of een verwerkingsverantwoordelijke in de zin van artikel 26 AVG;
5.2.
veroordeelt [de Stichting] in aanvulling op r.o. 5.1 en binnen de daarin genoemde termijn, om zoals bedoeld in artikel 15 lid 1 sub a tot en met h AVG, te omschrijven wat het doel is geweest van de persoonsgegevensverwerking, binnen welke categorieën deze persoonsgegevens vallen, wat hiervan de bewaartermijnen zijn, wie de ontvangers van de persoonsgegevens zijn en welke categorie ontvangers dat zijn, welke informatie [de Stichting] heeft over de herkomst van de persoonsgegevens;
5.3.
veroordeelt [de Stichting] in de proceskosten, aan de zijde van [verzoekster01] begroot op € 1.212;
5.4.
verklaart de beschikking tot zover uitvoerbaar bij voorraad;
5.5.
wijst af het meer of anders gevorderde.
Deze beschikking is gegeven door mr. H.J. Vetter en in het openbaar uitgesproken op 29 september 2022.