ECLI:NL:RBROT:2021:2306 text/xml public 2025-03-22T14:29:08 2021-03-19 Raad voor de Rechtspraak nl Rechtbank Rotterdam 2021-03-19 ROT 19/5030 Uitspraak Eerste aanleg - enkelvoudig NL Rotterdam Bestuursrecht
Rechtspraak.nl JBP 2021/84 met annotatie van Baas, J.A.N. Module Privacy & AVG 2022/4237
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBROT:2021:2306 text/html public 2021-03-22T09:19:30 2021-03-22 Raad voor de Rechtspraak nl ECLI:NL:RBROT:2021:2306 Rechtbank Rotterdam , 19-03-2021 / ROT 19/5030
AVG, geen misbruik van recht, begrip ‘verwerker’, ruime uitleg van het begrip 'verwerkingsverantwoordelijke', gegrond
RECHTBANK ROTTERDAM
Zittingsplaats Rotterdam
Bestuursrecht
zaaknummer: ROT 19/5030
uitspraak van de enkelvoudige kamer van 19 maart 2021 in de zaak tussen
[naam eiser] , te [woonplaats eiser] , eiser gemachtigde: mr. F.L.M. van Haren,
en
Minister van Buitenlandse Zaken, Directie Juridische Zaken, verweerder gemachtigde: mr. R. Geraedts.
Procesverloop
Bij besluit van 29 april 2019 (primair besluit) heeft verweerder het verzoek van eiser, om inzage in de persoonsgegevens die verweerder verwerkt, afgewezen.
Bij besluit van 17 september 2019 (bestreden besluit) heeft verweerder het bezwaar van eiser tegen het primaire besluit ongegrond verklaard.
Eiser heeft tegen het bestreden besluit beroep ingesteld.
Verweerder heeft een verweerschrift ingediend.
Het onderzoek ter zitting heeft plaatsgevonden op 18 februari 2021. Eiser en zijn gemachtigde hebben via een Skype-verbinding aan de zitting deelgenomen. Verweerder heeft zich laten vertegenwoordigen door zijn gemachtigde. De zaak is gevoegd behandeld met de zaak met zaaknummer ROT 19/4649. Ter zitting heeft de rechtbank het onderzoek gesloten. Daarna zijn de zaken gesplitst voor het doen van uitspraak.
Overwegingen
1. De relevante wet- en regelgeving is opgenomen in een bijlage die deel uitmaakt van deze uitspraak.
2. Eiser heeft op 28 maart 2019 aan verweerder verzocht om informatie op grond van de artikelen 12 en 15, eerste lid, van de Verordening 2016/679 van het Europees Parlement en de Raad van de Europese Unie van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (de Algemene Verordening Gegevensbescherming: AVG). In zijn verzoek heeft eiser aangegeven dat hij van de Dienst Terugkeer en Vertrek (DT&V) een e-mail heeft ontvangen met gegevens die op hem betrekking zouden hebben en die volgens de DT&V afkomstig zouden zijn van verweerder. Verweerder heeft voornoemd verzoek van eiser afgewezen. Aan deze afwijzing heeft verweerder ten grondslag gelegd dat hij niet de verwerkingsverantwoordelijke is in de zin van artikel 4, onder 7, van de AVG, omdat het onderzoek door de Nederlandse ambassade in Baku (Azerbeidzjan) in dit geval in opdracht van de DT&V heeft plaatsgevonden. De DT&V beschikt over de door verweerder in het kader van de opdracht opgestelde en verzamelde dossierstukken, zodat het AVG verzoek bij DT&V over dezelfde persoonsgegevens gaat. Bovendien is het contact met de persoon die het onderzoek ter plaatse heeft uitgevoerd mondeling verlopen, aldus verweerder. Eiser heeft tegen deze afwijzing bezwaar gemaakt.
3. In het bestreden besluit heeft verweerder het bezwaar van eiser ongegrond verklaard en het primaire besluit gehandhaafd. Daaraan heeft verweerder toegevoegd dat sprake is van misbruik van recht door eiser en verwezen naar de uitspraak van de rechtbank Noord-Nederland van 23 april 2019 (ECLI:NL:RBNNE:2019:3761). Verweerder wijst er in dat verband op dat eiser zowel bij verweerder als bij de DT&V een inzageverzoek heeft ingediend en dat eiser de persoonsgegevens wil gebruiken in een andere procedure (een ‘buiten schuld procedure’), zodat het hem uiteindelijk niet gaat om de juistheid van de feitelijke persoonsgegevens. Eiser heeft ook in de ‘buiten schuld procedure’ reeds recht op de op de zaak betrekking hebbende stukken op grond van de Algemene wet bestuursrecht (Awb).
4. De rechtbank ziet zich allereerst gesteld voor de vraag of sprake is van misbruik van recht.
4.1. Zoals de Afdeling bestuursrechtspraak van de Raad van State (Afdeling) heeft overwogen in bijvoorbeeld haar uitspraak van 31 oktober 2018 (ECLI:NL:RVS:2018:3553), kan ingevolge artikel 13, gelezen in verbinding met artikel 15, van Boek 3 van het Burgerlijk Wetboek (BW), de bevoegdheid om bij de bestuursrechter beroep in te stellen niet worden ingeroepen voor zover deze bevoegdheid wordt misbruikt. Deze artikelen verzetten zich tegen inhoudelijke behandeling van een bij de bestuursrechter ingesteld beroep dat misbruik van recht behelst, en bieden een wettelijke grondslag voor niet-ontvankelijkverklaring van zo’n beroep. Daartoe zijn zwaarwichtige gronden vereist, die onder meer aanwezig zijn indien rechten of bevoegdheden zodanig evident zijn aangewend zonder redelijk doel of voor een ander doel dan waartoe zij zijn gegeven, dat het aanwenden van die rechten of bevoegdheden blijk geeft van kwade trouw. Naar het oordeel van de rechtbank kan dat in dit geval niet worden vastgesteld. In dat verband overweegt de rechtbank het volgende.
4.2. De AVG strekt ertoe om betrokkenen (natuurlijke personen) inzage te geven in de wijze waarop onder andere bestuursorganen hun persoonsgegevens verwerken. In zijn verzoek heeft eiser aan verweerder verschillende vragen gesteld, met als doel om de informatie, zoals bedoeld in artikel 15, eerste en tweede lid, van de AVG, te verkrijgen. Gelet hierop kan niet zonder meer worden geconcludeerd dat het eiser niet daadwerkelijk te doen is om overeenkomstig het doel van de AVG kennis te nemen van de door verweerder verwerkte persoonsgegevens en de wijze waarop verweerder deze persoonsgegevens verwerkt. Dat eiser ook bij de DT&V een inzageverzoek heeft ingediend, maakt dat niet anders, te meer omdat de DT&V te kennen heeft gegeven dat verweerder geen achterliggende informatie aan hen verstrekt, ter bescherming van de ingeschakelde onderzoeker en de door hem ingeschakelde onderzoeksmethoden. Dat eiser eventueel verkregen persoonsgegevens in een andere procedure zal gebruiken, leidt de rechtbank nog niet tot het oordeel dat daarmee sprake is van misbruik van recht. Dat maakt op zichzelf niet dat het doel van het verzoek niet meer in overeenstemming is met het doel van de AVG. De rechtbank verwijst in dat kader ook naar jurisprudentie van de Afdeling, betrekking hebbend op de Wet openbaarheid van bestuur (Wob) (bijvoorbeeld de uitspraak van 29 januari 2020 (ECLI:NL:RVS:2020:265), waaruit volgt dat een verzoek om verstrekking van informatie met het oog op een andere procedure slechts onder bijzondere omstandigheden misbruik van recht oplevert. De rechtbank ziet geen aanleiding daarover in dit geval anders te oordelen. Dergelijke bijzondere omstandigheden zijn de rechtbank niet gebleken. De verwijzing van verweerder naar de uitspraak van de rechtbank Noord-Nederland van 23 april 2019 kan tot slot niet slagen, nu van vergelijkbare zaken geen sprake is. In dat geval was de verzoeker immers in het bezit gesteld van de gevraagde stukken en was niet gebleken dat er nog andere persoonsgegevens waren verwerkt.
4.3. Gelet op het voorgaande ziet de rechtbank geen aanleiding om het beroep niet-ontvankelijk te verklaren vanwege misbruik van het recht.
5. In beroep stelt eiser zich op het standpunt dat verweerder verwerkingsverantwoordelijke is. De DT&V en verweerder voeren in nevenschikking onderdelen van het beleid uit. Dat het onderzoek in Baku plaatsvond in het kader van een identiteitsonderzoek naar aanleiding van een bemiddelingsverzoek van de DT&V, maakt dat niet anders. Verweerder heeft de gegevens mondeling doorgegeven aan een onbekende/niet nader bekendgemaakte vertrouwenspersoon die mondeling heeft terug gerapporteerd, wat volgens eiser een bijzonder onverantwoordelijke omgang met persoonsgegevens is waarvoor verweerder zelf verantwoordelijk is. De DT&V heeft aangegeven niet over de achterliggende stukken van het bestand ‘ [bestandsnaam 1] and [bestandsnaam 2] ’ te beschikken, waarin de mondelinge rapportage is neergelegd en waarin het bestaan van een ‘death record registration’, een ‘marriage records registration’ en van een paspoort wordt genoemd. Gelet op de schadelijke gevolgen die aan deze informatie worden verbonden, dient eiser in staat te worden gesteld om te zien waarop deze informatie is gebaseerd.
5.1. De rechtbank leidt uit artikel 4, aanhef en onder 7 en onder 8, van de AVG af dat een verwerker geen zeggenschap heeft over de verwerkingen en alleen onder de verantwoordelijkheid van de verwerkingsverantwoordelijke en naar diens instructies mag handelen. Wanneer de verwerker zelfstandig beslissingen gaat nemen over de doelen en de middelen van de verwerking, wordt deze dus zelf verantwoordelijk voor die verwerkingen. Ingevolge artikel 28 van de AVG moet, wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, de verwerking door een verwerker in een overeenkomst worden geregeld, of in een andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt.
5.2. Gelet op het doel van de AVG, zoals neergelegd in artikel 1, tweede lid, van de AVG, namelijk om met name het recht van natuurlijke personen op bescherming van persoonsgegevens te beschermen, moet een ruime uitleg worden gegeven aan het begrip ‘verwerkingsverantwoordelijke’. De rechtbank verwijst naar bijvoorbeeld het arrest van het Hof van Justitie van de Europese Unie (Hof van Justitie) van 5 juni 2018, Schleswig-Holstein, (C-210/16, ECLI:EU:C:2018:388), punt 26-28. Hoewel dit arrest uitleg geeft aan Richtlijn 95/46/EG, is het ook van belang voor de uitleg van het begrip ‘verwerkingsverantwoordelijke’ in de AVG. Uit overweging 9 van de preambule bij de AVG volgt namelijk dat de doelstellingen en beginselen van Richtlijn 95/46/EG overeind blijven. Ook komt de inhoud van de definities van ‘voor de verwerking verantwoordelijke’, zoals opgenomen in artikel 2, onder d, van Richtlijn 95/46/EG en ‘verwerker’, zoals opgenomen in artikel 2, onder e, van Richtlijn 95/46/EG, vrijwel geheel overeen met de definities van ‘verwerker’ en ‘verwerkingsverantwoordelijke’ in de AVG.
5.3. Naar het oordeel van de rechtbank moet verweerder in dit geval, gelet op het voorgaande, worden aangemerkt als verwerkingsverantwoordelijke. Hoewel verweerder zich op het standpunt heeft gesteld dat de Nederlandse ambassade in Baku in opdracht van de DT&V onderzoek ter plaatse heeft laten verrichten door een vertrouwenspersoon, dat het door de DT&V vastgestelde doel een identiteitsonderzoek was en dat hij slechts als bemiddelaar heeft gefungeerd, heeft hij hiermee niet afdoende (met stukken) onderbouwd dat de doelen en de middelen van de verwerking door verweerder door de DT&V zijn vastgesteld en dat hij zelf geen feitelijke invloed heeft gehad op de verwerking van de persoonsgegevens van eiser. De stellingen van verweerder ter zitting dat een identiteitsonderzoek in opdracht van DT&V altijd wordt uitgevoerd door inschakeling van een vertrouwenspersoon en dat hij slechts een kleine rol heeft bij het doorgeven van een onderzoeksvraag aan een vertrouwenspersoon, doen daaraan – de ruime uitleg van het begrip ‘verwerkingsverantwoordelijke’ indachtig – niet af. Ook heeft verweerder geen overeenkomst overgelegd of toegelicht in welke andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht de verwerking is geregeld.
5.4. Omdat verweerder ten onrechte het standpunt heeft ingenomen dat hij ‘verwerker’ is, en geen verwerkingsverantwoordelijke, en hij het verzoek van eiser op grond van de artikelen 12 en 15 van de AVG om die reden heeft afgewezen, is het bestreden besluit genomen in strijd met deze artikelen en onvoldoende zorgvuldig voorbereid en gemotiveerd. De rechtbank zal dan ook het beroep gegrond verklaren en het bestreden besluit vernietigen. De rechtbank ziet geen mogelijkheden om de rechtsgevolgen van het bestreden besluit in stand te laten, om zelf in de zaak te voorzien of om een bestuurlijke lus toe te passen. Verweerder moet daarom een nieuw besluit op bezwaar nemen met inachtneming van deze uitspraak.
6. Omdat de rechtbank het beroep gegrond verklaart, moet verweerder aan eiser het door hem betaalde griffierecht vergoeden.
7. De rechtbank veroordeelt verweerder in de door eiser gemaakte proceskosten. Deze kosten stelt de rechtbank op grond van het Besluit proceskosten bestuursrecht voor de door een derde beroepsmatig verleende rechtsbijstand vast op € 1.068,- (1 punt voor het indienen van het beroepschrift en 1 punt voor het verschijnen op de zitting met een waarde per punt van € 534,- en wegingsfactor 1). Voor een vergoeding van de proceskosten in bezwaar zoals verzocht bestaat geen aanleiding, nu niet is voldaan aan de voorwaarde in artikel 7:15, tweede lid, van de Awb, namelijk dat sprake is van een besluit dat is herroepen.
Beslissing
De rechtbank:
- verklaart het beroep gegrond;
- vernietigt het bestreden besluit;
- draagt verweerder op een nieuw besluit te nemen op het bezwaar met inachtneming
van deze uitspraak;
- draagt verweerder op het betaalde griffierecht van € 174,- aan eiser te vergoeden;
- veroordeelt verweerder in de proceskosten van eiser tot een bedrag van € 1.068,-.
Deze uitspraak is gedaan door mr. A.M.J. Adriaansen, rechter, in aanwezigheid van mr. H.L. de Vries, griffier. De uitspraak is uitgesproken in het openbaar op 19 maart 2021.
De griffier is buiten staat
griffier
rechter
Een afschrift van deze uitspraak is verzonden aan partijen op:
Bent u het niet eens met deze uitspraak?
Tegen deze uitspraak kan binnen zes weken na de dag van verzending daarvan hoger beroep worden ingesteld bij de Afdeling bestuursrechtspraak van de Raad van State.
Bijlage – wettelijk kader
1. Uit overweging 9 van de preambule van de AVG volgt dat de doelstellingen en beginselen van Richtlijn 95/46/EG overeind blijven, (…).
Uit overweging 74 van de preambule van de AVG volgt dat de verantwoordelijkheid en aansprakelijkheid van de verwerkingsverantwoordelijke moeten worden vastgesteld voor elke verwerking van persoonsgegevens die door of namens hem wordt uitgevoerd. Meer bepaald dient de verwerkingsverantwoordelijke te worden verplicht passende en effectieve maatregelen uit te voeren en te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig deze verordening geschiedt, ook wat betreft de doeltreffendheid van de maatregelen. Bij die maatregelen moet rekening worden gehouden met de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen.
Op grond van artikel 4, aanhef en onder 7, van de AVG wordt onder ‘verwerkingsverantwoordelijke’ verstaan: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen.
Op grond van artikel 4, aanhef en onder 8, van de AVG wordt onder ‘verwerker’ verstaan: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt.
Artikel 12 over de transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene, luidt:
1. De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.
2. De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22. In de in artikel 11, lid 2, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren.
3. De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt.
4. Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de mogelijkheid om klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen.
5. Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel:
a. a) een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan; ofwel
b) weigeren gevolg te geven aan het verzoek. Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.
(…)
Artikel 15 over het recht van inzage van de betrokkene, luidt:
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a. a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
(…)
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.
Artikel 28 over de verwerker, luidt:
1. Wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, doet de verwerkingsverantwoordelijke uitsluitend een beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd.
2. De verwerker neemt geen andere verwerker in dienst zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. In het geval van algemene schriftelijke toestemming licht de verwerker de verwerkingsverantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van andere verwerkers, waarbij de verwerkingsverantwoordelijke de mogelijkheid wordt geboden tegen deze veranderingen bezwaar te maken.
3. De verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker:
a. a) de persoonsgegevens uitsluitend verwerkt op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, onder meer met betrekking tot doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, tenzij een op de verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht; in dat geval stelt de verwerker de verwerkingsverantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt;
b) waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden;
c) alle overeenkomstig artikel 32 vereiste maatregelen neemt;
d) aan de in de leden 2 en 4 bedoelde voorwaarden voor het in dienst nemen van een andere verwerker voldoet;
e) rekening houdend met de aard van de verwerking, de verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand verleent bij het vervullen van diens plicht om verzoeken om uitoefening van de in hoofdstuk III vastgestelde rechten van de betrokkene te beantwoorden;
f) rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie de verwerkingsverantwoordelijke bijstand verleent bij het doen nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36;
g) na afloop van de verwerkingsdiensten, naargelang de keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens wist of deze aan hem terugbezorgt, en bestaande kopieën verwijdert, tenzij opslag van de persoonsgegevens Unierechtelijk of lidstaatrechtelijk is verplicht;
h) de verwerkingsverantwoordelijke alle informatie ter beschikking stelt die nodig is om de nakoming van de in dit artikel neergelegde verplichtingen aan te tonen en audits, waaronder inspecties, door de verwerkingsverantwoordelijke of een door de verwerkingsverantwoordelijke gemachtigde controleur mogelijk maakt en eraan bijdraagt.
Waar het gaat om de eerste alinea, punt h), stelt de verwerker de verwerkingsverantwoordelijke onmiddellijk in kennis indien naar zijn mening een instructie inbreuk oplevert op deze verordening of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming.
4. Wanneer een verwerker een andere verwerker in dienst neemt om voor rekening van de verwerkingsverantwoordelijke specifieke verwerkingsactiviteiten te verrichten, worden aan deze andere verwerker bij een overeenkomst of een andere rechtshandeling krachtens Unierecht of lidstatelijk recht dezelfde verplichtingen inzake gegevensbescherming opgelegd als die welke in de in lid 3 bedoelde overeenkomst of andere rechtshandeling tussen de verwerkingsverantwoordelijke en de verwerker zijn opgenomen, met name de verplichting afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen te bieden opdat de verwerking aan het bepaalde in deze verordening voldoet. Wanneer de andere verwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, blijft de eerste verwerker ten aanzien van de verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen van die andere verwerker.
(…)
9. De in de leden 3 en 4 bedoelde overeenkomst of andere rechtshandeling wordt in schriftelijke vorm, waaronder elektronische vorm, opgesteld.
10. Indien een verwerker in strijd met deze verordening de doeleinden en middelen van een verwerking bepaalt, wordt die verwerker onverminderd de artikelen 82, 83 en 84 met betrekking tot die verwerking als de verwerkingsverantwoordelijke beschouwd.
2. Artikel 2 van Richtlijn 95/46/EG, luidt voor zover van belang:
Definities
In de zin van deze richtlijn wordt verstaan onder:
d) "voor de verwerking verantwoordelijke", de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer het doel van en de middelen voor de verwerking worden vastgesteld bij nationale of communautaire wettelijke of bestuursrechtelijke bepalingen, kan in het nationale of communautaire recht worden bepaald wie de voor de verwerking verantwoordelijke is of volgens welke criteria deze wordt aangewezen;
e) "verwerker", de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat ten behoeve van de voor de verwerking verantwoordelijke persoonsgegevens verwerkt;