ECLI:NL:RVS:2023:3067 text/xml public 2025-03-22T15:40:35 2023-08-09 Raad voor de Rechtspraak nl Raad van State 2023-08-09 202105922/1/A3 Uitspraak Hoger beroep NL Bestuursrecht Eerste aanleg: ECLI:NL:RBMNE:2021:3264, (Gedeeltelijke) vernietiging met terugwijzen
Rechtspraak.nl Sdu Nieuws Bestuursrecht 2023/223 Sdu Nieuws Privacyrecht 2023/119 NJB 2023/2065 AB 2023/243 met annotatie van P.J. Stolk JBP 2023/126 met annotatie van mr. A.R. Deenen, mr. J.W. Oordt
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RVS:2023:3067 text/html public 2023-08-09T10:16:43 2023-08-09 Raad voor de Rechtspraak nl ECLI:NL:RVS:2023:3067 Raad van State , 09-08-2023 / 202105922/1/A3
Bij besluit van 14 februari 2018 heeft het op grond van artikel 35 van de Wet bescherming persoonsgegevens aan [appellant] een overzicht verstrekt met alle persoonsgegevens van [appellant] die het college heeft verwerkt. [appellant] was werkzaam bij de Technische Universiteit Eindhoven. Op 26 december 2017 heeft hij het CvB verzocht om een overzicht te verstrekken van al zijn persoonsgegevens die door het CvB zijn verwerkt. Volgens [appellant] is het overzicht onvolledig. Het CvB verwerkt volgens [appellant] meer persoonsgegevens dan in het overzicht staan. [appellant] stelt dat hij weet dat het CvB gegevens over hem heeft gedeeld met de Nederlandse Organisatie voor Wetenschappelijk Onderzoek en het Centrum Wiskunde en Informatica. De zoekslag van het CvB is daarom onvoldoende. Daarnaast zijn meningen en oordelen die over zijn persoon gaan, ook persoonsgegevens. Deze gegevens staan niet in het overzicht opgenomen. Bovendien heeft hij ook recht op een afschrift van de documenten waarin zijn persoonsgegevens voorkomen, omdat dit noodzakelijk is om zijn rechten op grond van de AVG te kunnen uitoefenen, aldus [appellant].
202105922/1/A3.
Datum uitspraak: 9 augustus 2023
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op het hoger beroep van:
[appellant], wonend te [woonplaats],
tegen de uitspraak van de rechtbank Midden-Nederland van 9 juli 2021 in zaak nr. 20/1703 in het geding tussen:
[appellant]
en
het College van Bestuur van de Technische Universiteit Eindhoven (hierna: het CvB).
Procesverloop
Bij besluit van 14 februari 2018 heeft het CvB op grond van artikel 35 van de Wet bescherming persoonsgegevens (hierna: de Wbp) aan [appellant] een overzicht verstrekt met alle persoonsgegevens van [appellant] die het college heeft verwerkt.
Bij besluit van 19 maart 2020 heeft het CvB het door [appellant] daartegen gemaakte bezwaar gegrond verklaard, het besluit van 14 februari 2018 herroepen, en de grondslag in het besluit gewijzigd naar artikel 15 van de Algemene Verordening Gegevensbescherming (hierna: de AVG).
Bij besluit van 7 januari 2021 heeft het CvB het besluit van 19 maart 2020 gewijzigd.
Bij uitspraak van 9 juli 2021 heeft de rechtbank het door [appellant] ingestelde beroep tegen het besluit van 19 maart 2020 niet-ontvankelijk verklaard, het ingestelde beroep tegen het besluit van 7 januari 2021 ongegrond verklaard en het CvB veroordeeld tot het betalen van een schadevergoeding vanwege het overschrijden van de redelijke termijn. Deze uitspraak is aangehecht.
Tegen deze uitspraak heeft [appellant] hoger beroep ingesteld.
Het CvB heeft een schriftelijke uiteenzetting gegeven.
De Afdeling heeft de zaak ter zitting behandeld op 31 mei 2023, waar [appellant], vertegenwoordigd door mr. P. Le Heux, advocaat te Amsterdam, en het CvB, vertegenwoordigd door mr. A. Abdollahi Nejat en mr. M.E. Lips, advocaten te Amsterdam, mr. A.D. van Eggelen en dr. R.C. van der Drift, zijn verschenen.
Na het sluiten van het onderzoek ter zitting heeft de Afdeling met toepassing van artikel 8:68, eerste lid, van de Algemene wet bestuursrecht (hierna: de Awb) het onderzoek heropend en het CvB verzocht e-mailberichten over te leggen.
De minister heeft de e-mailberichten overgelegd. Hij heeft daarbij een verzoek in de zin van artikel 8:29 van de Awb ingediend, dat ertoe strekt dat uitsluitend de Afdeling van de e-mailberichten kennis zal nemen.
[appellant] heeft de Afdeling toestemming, als bedoeld in artikel 8:29, vijfde lid, van de Awb verleend om kennis te nemen van de niet openbaar gemaakte stukken.
Met toestemming van partijen heeft de Afdeling een nadere zitting achterwege gelaten en het onderzoek gesloten.
Overwegingen
Inleiding
1. [appellant] was werkzaam bij de Technische Universiteit Eindhoven. Op 26 december 2017 heeft hij het CvB verzocht om een overzicht te verstrekken van al zijn persoonsgegevens die door het CvB zijn verwerkt.
Op 25 mei 2018 is de AVG in werking getreden. Het besluit van 19 maart 2020 is daarom gebaseerd op artikel 15 van de AVG. Voor de afhandeling van het inzageverzoek heeft het CvB verwezen naar een brief van 19 oktober 2018 met bijlagen die het CvB aan [appellant] heeft verstrekt naar aanleiding van zijn bezwaar. De bijlagen bevatten een overzicht van de persoonsgegevens van [appellant] die door het CvB worden verwerkt en een aantal afschriften van interne documenten.
2. Volgens [appellant] is het overzicht onvolledig. Het CvB verwerkt volgens [appellant] meer persoonsgegevens dan in het overzicht staan. [appellant] stelt dat hij weet dat het CvB gegevens over hem heeft gedeeld met de Nederlandse Organisatie voor Wetenschappelijk Onderzoek (hierna: de NWO) en het Centrum Wiskunde en Informatica (hierna: het CWI). De zoekslag van het CvB is daarom onvoldoende. Daarnaast zijn meningen en oordelen die over zijn persoon gaan, ook persoonsgegevens. Deze gegevens staan niet in het overzicht opgenomen. Bovendien heeft hij ook recht op een afschrift van de documenten waarin zijn persoonsgegevens voorkomen, omdat dit noodzakelijk is om zijn rechten op grond van de AVG te kunnen uitoefenen, aldus [appellant].
Uitspraak van de rechtbank
3. Op 24 november 2020 heeft het onderzoek ter zitting van de rechtbank via Skype plaatsgevonden. Het onderzoek is toen geschorst zodat het CvB nog een nadere zoekslag naar de persoonsgegevens van [appellant] kon verrichten. Het CvB heeft per brief van 7 januari 2021 een nieuw overzicht van persoonsgegevens verstrekt. De rechtbank heeft uit deze brief afgeleid dat het CvB afstand heeft gedaan van het besluit van 19 maart 2020 en heeft de brief van 7 januari 2021 daarom aangemerkt als een gewijzigd besluit. Op grond van artikel 6:19 van de Awb heeft het beroep volgens de rechtbank daarom van rechtswege ook betrekking op de als besluit aangemerkte brief van 7 januari 2021.
4. De rechtbank heeft overwogen dat de zoekslag die het CvB naar de persoonsgegevens van [appellant] heeft verricht, voldoende is. Volgens de rechtbank bepaalt de formulering van het verzoek om inzage de omvang van de door het bestuursorgaan te verrichten zoekslag. Als sprake is van een algemeen geformuleerd verzoek kan volgens de rechtbank in beginsel worden volstaan met aan algemene zoekslag naar de meest gangbare persoonsgegevens. Pas in beroep heeft [appellant] zijn verzoek gespecificeerd, waarbij hij heeft gewezen op zijn persoonsgegevens die tussen het NWO, het CWI en het CvB zijn uitgewisseld. Omdat [appellant] aanvankelijk een zeer algemeen verzoek heeft gedaan, bestond er volgens de rechtbank voor het CvB geen aanleiding om op dat moment al een nadere zoekslag te doen naar persoonsgegevens die zijn gedeeld met het NWO en de CWI.
De rechtbank heeft verder overwogen dat het CvB in dit geval kon volstaan met het verstrekken van een overzicht van de persoonsgegevens van [appellant] die het CvB verwerkt, en geen afschriften van de documenten waarin zijn persoonsgegevens voorkomen hoefde te verstrekken.
Tot slot heeft de rechtbank overwogen dat de redelijke termijn is overschreden, omdat de bezwaarprocedure een jaar, vijf maanden en negentien dagen te lang heeft geduurd. De rechtbank heeft geoordeeld dat de termijnoverschrijding aan het CvB is toe te rekenen en heeft het CvB veroordeeld in de betaling van een schadevergoeding aan [appellant] wegens overschrijding van de redelijke termijn. De rechtbank heeft geen proceskostenveroordeling uitgesproken omdat het gewijzigde besluit van 7 januari 2021 door het CvB is genomen naar aanleiding van de [appellant] gemaakte nadere presicering van zijn verzoek in de beroepsfase. Hierdoor heeft het CvB niet eerder dan in die fase een nadere zoekslag hoeven verrichten, aldus de rechtbank.
Wettelijk kader
5. Artikel 15 van de AVG luidt:
"1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen."
Beoordeling van het hoger beroep
- Het inzageverzoek
6. [appellant] betoogt dat de rechtbank ten onrechte heeft geoordeeld dat het CvB op juiste wijze aan zijn inzageverzoek heeft voldaan.
De zoekslag die het CvB heeft gedaan voor het besluit van 19 maart 2020 was onvoldoende. Een algemeen geformuleerd verzoek om inzage rechtvaardigt niet dat een zoekslag naar de meest gangbare persoonsgegevens volstaat. Uit het besluit van 7 januari 2021 blijkt dat er meer persoonsgegevens zijn verwerkt en dat deze zijn uitgewisseld met het NWO en de CWI. Maar met het verstrekte overzicht kan hij de rechtmatigheid van de verwerking en uitwisseling niet controleren. Hij acht het ook waarschijnlijk dat niet alle persoonsgegevens die in de e-mails voorkomen in het overzicht staan. De rechtbank had dit niet kunnen beoordelen zonder kennis te nemen van de e-mails. Het CvB moet hem afschriften verstrekken van de e-mails, aldus [appellant].
6.1. [appellant] heeft geen belang bij een beoordeling van zijn grond over de onvolledige zoekslag bij het besluit van 19 maart 2020. Het CvB heeft bij het besluit van 7 januari 2021 dat besluit namelijk gewijzigd. [appellant] stelt niet dat de zoekslag nog steeds onvolledig is. De Afdeling zal deze grond niet bespreken.
6.2. Wat wel besproken zal worden, is of het overzicht bij het besluit van 7 januari 2021 alle persoonsgegevens die in de e-mails zijn verwerkt bevat, of met het overzicht voldoende informatie is verstrekt, en of er afschriften van de e-mails verstrekt moeten worden.
6.3. Door het Hof van Justitie wordt een ruime uitleg aan het begrip persoonsgegeven gegeven (zie arrest van 20 december 2017, Nowak, ECLI:EU:C:2017:994, punt 34). Het begrip persoonsgegeven strekt zich potentieel uit tot elke soort informatie, zowel objectieve als subjectieve informatie die de betrokkene betreft. Van dat laatste is sprake als de informatie wegens haar inhoud, doel of gevolg gelieerd is aan een natuurlijk persoon.
De Afdeling heeft kennis genomen van de onderliggende e-mails bij het overzicht bij het besluit van 7 januari 2021 en vastgesteld dat alle persoonsgegevens die in de e-mails zijn verwerkt in het overzicht staan genoemd. Het overzicht is dus in dat opzicht volledig. Nog daargelaten of de rechtbank inderdaad kennis had moeten nemen van de e-mails, is dat vermeende gebrek in hoger beroep hersteld.
6.4. Het overzicht is in een ander opzicht niet volledig.
In het arrest van het Hof van Justitie van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, ECLI:EU:C:2023:369, overwegingen 35-45 (hierna: het CRIF-arrest) heeft het Hof nadere uitleg gegeven over het inzagerecht van artikel 15 van de AVG. Volgens het Hof moet de kopie van de persoonsgegevens die worden verwerkt en die de verwerkingsverantwoordelijke krachtens artikel 15, derde lid, eerste volzin, van de AVG moet verstrekken, alle noodzakelijke kenmerken vertonen om de betrokkene in staat te stellen de rechten die hij aan deze verordening ontleent daadwerkelijk uit te oefenen. Deze kopie moet deze gegevens dus volledig en getrouw reproduceren.
6.5. Het overzicht dat is verstrekt bij het besluit van 7 januari 2021 vermeldt het volgende: het nummer van het document (1 tot en met 101) het type van het document (alle documenten zijn e-mails), de datum waarop de e-mail is verzonden, het onderwerp van de e-mail, de persoonsgegevens (onder meer "last name", "email address", "Vici case number", "website URL"), van wie de e-mail afkomstig is en naar wie de e-mail is verstuurd.
Deze vermeldingen bevatten niet alle noodzakelijke kenmerken om [appellant] in staat te stellen de rechten die hij aan de AVG ontleent daadwerkelijk uit te oefenen. Hij kan met de gegevens op het overzicht niet controleren of de persoonsgegevens juist zijn en of zij zijn verwerkt in overeenstemming met de AVG. Om hem daartoe in staat te stellen, moet het overzicht niet alleen een omschrijving van het persoonsgegeven vermelden, maar ook het persoonsgegeven zelf, en moeten de verwerkingsdoeleinden worden vermeld. Indien dat voor betrokkene nodig is om te kunnen beoordelen of de persoonsgegevens rechtmatig zijn verwerkt, dient meer informatie te worden verstrekt over de inhoud, de strekking of de context van een e-mail. De aanduiding in de onderwerpregel van een e-mail geeft daar niet altijd voldoende informatie over. Zo heeft bijvoorbeeld de e-mail met nummer 16 als onderwerp "Bijdrage TU/e", hebben de e-mails met nummers 49 tot en met 54 als onderwerp "RE: midterm" en heeft de e-mail met nummer 101 als onderwerp "N.a.v. gesprek van vanmorgen". Zonder informatie over de inhoud, strekking of context is [appellant] niet in staat om te controleren of zijn persoonsgegevens in die e-mails rechtmatig zijn verwerkt.
6.6. Dat betekent niet zonder meer dat [appellant] recht heeft op afschriften van de e-mails.
Artikel 15, derde lid, van de AVG geeft recht op verstrekking van een kopie van de persoonsgegevens die worden verwerkt. Stukken als zodanig zijn geen persoonsgegevens. Het recht op inzage betekent dan ook niet dat [appellant] zonder meer recht heeft op inzage in of kopieën van de e-mails. In het hiervoor genoemde CRIF-arrest is overwogen dat, om te waarborgen dat de verstrekte informatie gemakkelijk te begrijpen is, zoals vereist in artikel 12, eerste lid, van de AVG, gelezen in samenhang met overweging 58 van deze verordening, het onontbeerlijk kan zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer de persoonsgegevens bevatten die worden verwerkt, worden gereproduceerd wanneer het in hun context plaatsen van de verwerkte gegevens noodzakelijk is om de begrijpelijkheid ervan te waarborgen. Daarbij mag geen afbreuk worden gedaan aan de rechten en vrijheden van anderen.
Het CvB zal, gelet op overweging 6.5, het overzicht moeten aanvullen. De Afdeling acht het op voorhand niet onwaarschijnlijk dat met een aanvulling de begrijpelijkheid van de verwerkte persoonsgegevens is gewaarborgd. Het is dan niet onontbeerlijk, oftewel niet noodzakelijk, om afschriften van de e-mails te verstrekken. Maar dit is een afweging die het CvB zal moeten maken. Daaraan voegt de Afdeling nog toe dat rechten en vrijheden van anderen ertoe kunnen leiden dat delen van de e-mails niet hoeven te worden verstrekt aan [appellant].
6.7. Het betoog slaagt.
- De proceskosten
7. [appellant] betoogt dat de rechtbank ten onrechte geen proceskostenvergoeding heeft toegekend. Door het gewijzigde besluit van 7 januari 2021, is het besluit van 19 maart 2020 feitelijk vernietigd. Daarnaast is de redelijke termijn in bezwaar overschreden en is er schadevergoeding toegekend. Omdat het indienen van het beroep noodzakelijk was vanwege een aan het CvB te wijten onrechtmatigheid, had een proceskostenvergoeding moeten worden toegekend.
7.1. Met het besluit van 7 januari 2021 is het CvB aan het beroep van [appellant] tegemoetgekomen. Weliswaar heeft [appellant] pas in beroep specifiek gewezen op het e-mailverkeer tussen het CvB, de NWO en de CWI, maar hij had zijn verzoek ruim ingestoken. Deze e-mails hadden al gevonden moeten worden in de eerdere zoekslag op basis van de meest gangbare persoonsgegevens. Een kopie van de verwerkte persoonsgegevens had dus ook al verstrekt moeten worden. Het beroep van [appellant] heeft ertoe geleid dat dit alsnog is gebeurd. De rechtbank had alleen al daarom het CvB moeten veroordelen in vergoeding van de kosten die [appellant] heeft moeten maken in verband met de behandeling van het beroep.
7.2. Het betoog slaagt.
Slotsom
8. Het hoger beroep is gegrond. De uitspraak van de rechtbank dient te worden vernietigd, voor zover het beroep gericht tegen het besluit van 7 januari 2021 ongegrond is verklaard. Doende hetgeen de rechtbank zou behoren te doen, zal de Afdeling het beroep van [appellant] tegen dat besluit gegrond verklaren. Het besluit van 7 januari 2021 komt in aanmerking voor vernietiging. Het CvB zal opnieuw op het bezwaar van [appellant] moeten beslissen, met inachtneming van wat in deze uitspraak is overwogen in overweging 6.3, tot en met 6.6. Daartoe zal de Afdeling een termijn stellen.
9. De Afdeling ziet aanleiding om met het oog op een efficiënte afdoening van het geschil met toepassing van artikel 8:113, tweede lid, van de Awb te bepalen dat tegen het nieuw te nemen besluit alleen bij haar beroep kan worden ingesteld.
10. Het CvB moet de proceskosten vergoeden.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
I. verklaart het hoger beroep gegrond;
II. vernietigt de uitspraak van de rechtbank Midden-Nederland van 9 juli 2021 in zaak nr. 20/1703, voor zover het beroep gericht tegen het besluit van 7 januari 2021 ongegrond is verklaard;
III. verklaart het beroep tegen het besluit van 7 januari 2021 gegrond;
IV. vernietigt het besluit van het College van Bestuur van de Technische Universiteit Eindhoven van 7 januari 2021;
V. draagt het College van Bestuur van de Technische Universiteit Eindhoven op om binnen zes weken na verzending van deze uitspraak met inachtneming van hetgeen daarin is overwogen een nieuw besluit te nemen en dit op de wettelijk voorgeschreven wijze bekend te maken;
VI. bepaalt dat tegen het te nemen nieuwe besluit alleen bij de Afdeling beroep kan worden ingesteld;
VII. veroordeelt het College van Bestuur van de Technische Universiteit Eindhoven tot vergoeding van bij [appellant] in verband met de behandeling van het beroep en hoger beroep opgekomen proceskosten tot een bedrag van € 3.766,50, geheel toe te rekenen aan door een derde beroepsmatig verleende rechtsbijstand;
VIII. bepaalt dat het College van Bestuur van de Technische Universiteit Eindhoven aan [appellant] het door hem voor de behandeling van het beroep en het hoger beroep betaalde griffierecht ten bedrage van € 448,00 vergoedt.
Aldus vastgesteld door mr. E.J. Daalder, voorzitter, en mr. H.J.M. Besselink en mr. J. Schipper-Spanninga, leden, in tegenwoordigheid van mr. Y. Soffner, griffier.
w.g. Daalder
voorzitter
w.g. Soffner
griffier
Uitgesproken in het openbaar op 9 augustus 2023
818-851-973