ECLI:NL:RVS:2026:2278 text/xml public 2026-06-29T13:44:21 2026-04-22 Raad voor de Rechtspraak nl Raad van State 2026-04-22 202206879/1/A3 Uitspraak Hoger beroep NL Bestuursrecht
Rechtspraak.nl JBP 2026/56
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RVS:2026:2278 text/html public 2026-04-22T10:17:09 2026-04-22 Raad voor de Rechtspraak nl ECLI:NL:RVS:2026:2278 Raad van State , 22-04-2026 / 202206879/1/A3
Bij besluit van 3 januari 2020 heeft het college van burgemeester en wethouders van Rotterdam het verzoek van [appellant] om inzage in zijn persoonsgegevens in de periode van 1 januari 2012 tot en met 1 oktober 2019 gedeeltelijk ingewilligd. [appellant] heeft tot 1 juli 2011 gewerkt bij de gemeente Rotterdam. Hij is ontslagen nadat er verdenkingen waren dat [appellant] fraudeerde. Daarover zijn meerdere procedures gevoerd bij de strafrechter en de burgerlijke rechter. [appellant] wil weten welke persoonsgegevens van hem door de gemeente zijn verwerkt in de periode van deze procedures. Het college heeft [appellant] in totaal vier overzichten van zijn persoonsgegevens gegeven. [appellant] zegt dat hij met die overzichten niet kan controleren of zijn persoonsgegevens correct worden verwerkt en dat er meer persoonsgegevens moeten zijn. Bovendien zijn er volgens [appellant] meer verwerkingen van zijn persoonsgegevens geweest dan op de overzichten staan onder meer door uitwisseling van de verslagen van de regio-overleggen.
202206879/1/A3.
Datum uitspraak: 22 april 2026
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op de hoger beroepen van:
1. [appellant], wonend in [woonplaats],
2. het college van burgemeester en wethouders van Rotterdam,
appellanten,
tegen de uitspraken van de rechtbank Rotterdam van 11 maart 2022 en van 24 oktober 2022 in zaak nr. 20/4177 in het geding tussen:
[appellant]
en
het college.
Procesverloop
Bij besluit van 3 januari 2020 heeft het college het verzoek van [appellant] om inzage in zijn persoonsgegevens in de periode van 1 januari 2012 tot en met 1 oktober 2019 gedeeltelijk ingewilligd.
Bij besluit van 30 juni 2020 heeft het college het door [appellant] daartegen gemaakte bezwaar gegrond verklaard en aanvullende inzage gegeven.
Bij tussenuitspraak van 11 maart 2022 (de tussenuitspraak) heeft de rechtbank, voor zover hier van belang, het college in de gelegenheid gesteld een in die uitspraak geconstateerd gebrek aan dat besluit te herstellen.
Bij besluit van 19 april 2022 heeft het college de onderbouwing van het besluit van 30 juni 2020 aangevuld.
Bij uitspraak van 24 oktober 2022 (de einduitspraak) heeft de rechtbank het door [appellant] daartegen ingestelde beroep gegrond verklaard, het besluit van 30 juni 2020 vernietigd maar de rechtsgevolgen van dat besluit in stand gelaten.
Tegen de tussenuitspraak en de einduitspraak heeft [appellant] hoger beroep ingesteld.
Het college heeft een schriftelijke uiteenzetting gegeven.
Het college heeft ook voorwaardelijk incidenteel hoger beroep ingesteld.
[appellant] heeft een zienswijze gegeven op het incidenteel hoger beroep.
[appellant] heeft nadere stukken ingediend.
De Afdeling heeft de zaak behandeld op de zitting van 13 februari 2026, waar [appellant] en het college, vertegenwoordigd door mr. D.J.J. Straver, P.S. Niessen, mr. R.J.M. Codrington en mr. E.A. Malokhvei, advocaat in Amsterdam, zijn verschenen.
Het college heeft een nader stuk ingediend.
[appellant] heeft een reactie daarop gegeven.
De Afdeling heeft vervolgens het onderzoek gesloten.
Overwegingen
Inleiding
1. De artikelen uit de Algemene Verordening Gegevensbescherming (AVG) die in deze zaak van belang zijn, staan in de bijlage die hoort bij deze uitspraak.
2. [appellant] heeft tot 1 juli 2011 gewerkt bij de gemeente Rotterdam. Hij is ontslagen nadat er verdenkingen waren dat [appellant] fraudeerde. Daarover zijn meerdere procedures gevoerd bij de strafrechter en de burgerlijke rechter. [appellant] wil weten welke persoonsgegevens van hem door de gemeente zijn verwerkt in de periode van deze procedures. Het college heeft [appellant] in totaal vier overzichten van zijn persoonsgegevens gegeven. [appellant] zegt dat hij met die overzichten niet kan controleren of zijn persoonsgegevens correct worden verwerkt en dat er meer persoonsgegevens moeten zijn. Bovendien zijn er volgens [appellant] meer verwerkingen van zijn persoonsgegevens geweest dan op de overzichten staan onder meer door uitwisseling van de verslagen van de regio-overleggen.
Oordeel van de Afdeling
3. De Afdeling geeft [appellant] gelijk voor zover het gaat om de verslagen van de regio-overleggen. Voor het overige oordeelt de Afdeling dat [appellant] heeft gekregen waarom hij heeft verzocht.
Omdat het hoger beroep slaagt, komt de Afdeling ook toe aan het incidenteel hoger beroep van het college. Daarin heeft het college betoogd dat [appellant] misbruik van recht maakt met deze procedure. Dat gaat over de ontvankelijkheid van het hoger beroep van [appellant]. Daarom zal de Afdeling eerst beoordelen of sprake is van misbruik van recht.
Beoordeling van het incidenteel hoger beroep van het college
Maakt [appellant] misbruik van recht?
4. De Afdeling oordeelt dat [appellant] in deze procedure geen misbruik van recht maakt. De reden daarvoor is dat het in deze zaak gaat om het eerste verzoek bij het college om inzage in zijn persoonsgegevens. Voor de Afdeling staat niet vast dat [appellant] dat eerste verzoek uitsluitend heeft gedaan om andere redenen dan waarvoor het recht op inzage is bedoeld. Hij mocht ook procederen over het besluit van het college op dat verzoek. Op de zitting bij de Afdeling heeft het college toegelicht dat [appellant] inmiddels nog veel meer verzoeken op grond van de AVG heeft gedaan en dat hij daarover procedeert. De Afdeling ziet op dit moment nog geen grond om dat [appellant] tegen te werpen.
Conclusie incidenteel hoger beroep
5. Het incidenteel hoger beroep van het college is ongegrond.
Wat heeft de rechtbank geoordeeld?
6. De rechtbank heeft in de tussenuitspraak geoordeeld dat het college het besluit op bezwaar niet op alle punten goed heeft gemotiveerd en heeft het college de gelegenheid gegeven dat besluit te herstellen. Daarvoor moest het college nader specificeren welke persoonsgegevens van [appellant] zijn verwerkt in een aantal genoemde documenten. Conceptrapportenllege aangeven of er communicatie is geweest over een medewerkingsverbod met [appellant] en of het beschikt over tussen- of conceptrapporten met KPMG. Voor zover relevant voor het hoger beroep staat in de tussenuitspraak dat de verslagen van de regio-overleggen uit 2010 en de notitie Engelenburg uit 2011 buiten de omvang van het inzageverzoek vallen. Verder overweegt de rechtbank dat artikel 15 niet verplicht om ook inzage te geven in de rechtsgronden voor de verwerking.
In de einduitspraak oordeelt de rechtbank dat het besluit op bezwaar moet worden vernietigd omdat het onvoldoende was gemotiveerd, maar dat het college dit gebrek na de tussenuitspraak heeft hersteld. Daarom laat de rechtbank de rechtsgevolgen van het besluit op bezwaar in stand. De rechtbank overweegt verder dat [appellant] niet aannemelijk heeft gemaakt dat er meer rapporten van KPMG zijn. Ook vindt de rechtbank dat het overzicht van de persoonsgegevens volledig is. Het college hoefde volgens de rechtbank niet per document aan te geven welke persoonsgegevens daarin zijn verwerkt. Wat [appellant] heeft aangevoerd over weigeringsgronden laat de rechtbank onbesproken omdat het college daar geen beroep op heeft gedaan. Onder verwijzing naar de tussenuitspraak overweegt de rechtbank dat zij niet ingaat op wat [appellant] na de tussenuitspraak heeft aangevoerd.
Wat heeft [appellant] aangevoerd tegen de uitspraken van de rechtbank?
7. [appellant] heeft zowel beroepsgronden aangevoerd tegen de tussenuitspraak als tegen de einduitspraak van de rechtbank.
[appellant] is het niet eens met de overweging in de tussenuitspraak dat de verslagen van de regio-overleggen uit 2010 buiten de omvang van zijn verzoek vallen. Verder komt [appellant] op tegen de overweging dat het college niet per persoonsgegeven de verwerkingsgronden hoeft te vermelden. Die heeft hij nodig om de rechtmatigheid van de verwerking te kunnen controleren.
Tegen de einduitspraak voert [appellant] aan dat het college met de aanvullende motivering niet het gebrek heeft hersteld. Zo ontbreekt een specificatie van zijn persoonsgegevens in juridische analyses van de ambtenaren en de correspondentie met de advocaat van de gemeente. Volgens [appellant] heeft hij wel aannemelijk gemaakt dat er meer (tussen)rapporten van KPMG zijn. Verder betoogt [appellant] dat het college zich voor de juridische analyse wel beroept op weigeringsgronden omdat het stelt dat die grotendeels uit stukken bestaat die buiten de toepassing van het inzagerecht vallen. Ook uit het nieuwe overzicht kan [appellant] niet opmaken of de verwerkingen rechtmatig zijn geweest. Gezien deze gebreken is [appellant] het niet eens met het oordeel van de rechtbank dat het nieuwe overzicht compleet is. Door de wijze waarop het overzicht is opgesteld, geeft het geen inzicht in onder meer de status van de afzonderlijke persoonsgegevens. De overweging van de rechtbank dat het college niet gehouden is om per document aan te geven welke persoonsgegevens zijn verwerkt, klopt volgens [appellant] niet. Het college had per persoonsgegeven een opgave moeten doen en daarbij gebruik moeten maken van het formulier dat de Autoriteit Persoonsgegevens beschikbaar heeft gesteld. Tot slot voert [appellant] tegen de einduitspraak aan dat de rechtbank daarin ten onrechte overweegt dat zij niet ingaat op wat hij na de tussenuitspraak heeft aangevoerd omdat in de tussenuitspraak staat dat hij mag reageren op het nadere besluit.
Beoordeling van het hoger beroep van [appellant]
8. De stukken uit het dossier en dat wat op de zitting is gezegd door partijen vormen de basis van het oordeel van de Afdeling over het hoger beroep, ook al komt niet ieder betoog terug in de overwegingen van deze uitspraak.
De Afdeling verduidelijkt ook dat zij in deze uitspraak alleen beoordeelt wat [appellant] aanvoert over zijn inzageverzoek. Wat [appellant] heeft aangevoerd over ander soort verzoeken op grond van de AVG en in hoeverre het college de AVG juist toepast, is in dit kader niet relevant en laat de Afdeling buiten beschouwing.
Tussenuitspraak
Vallen de verslagen van de regio-overleggen binnen het verzoek?
9. Anders dan de rechtbank oordeelt de Afdeling dat de verslagen van de regio-overleggen vallen binnen de omvang van het inzageverzoek. Niet in geschil is dat in de verslagen van de regio-overleggen uit 2010 persoonsgegevens van [appellant] voorkomen. Het jaar waarin die verslagen van regio-overleggen zijn opgesteld, valt weliswaar buiten de periode waarop het verzoek ziet, maar de persoonsgegevens in die verslagen zijn binnen die periode verwerkt. De verslagen zijn immers verstrekt in de periode waarop het inzageverzoek ziet. Deze verslagen zaten in de dataverzameling die op 27 november 2021 door het college aan KPMG is verstrekt en op 17 september 2018 door KPMG aan de gemeente zijn overhandigd. Het verstrekken en ontvangen van de verslagen van de regio-overleggen is een nieuwe verwerking van de in die verslagen voorkomende persoonsgegevens. Het betoog van het college dat [appellant] deze procedure gebruikt om nogmaals een debat te kunnen voeren over de inhoud en authenticiteit van de verslagen is in dit kader niet van belang. Het betoog van [appellant] dat de herkomst van de verslagen die zijn opgenomen onder de nummers 2, 8, 29, 30, 34, 35, 36 en 37 van de zogenoemde bijlage B moet worden gecorrigeerd, past ook niet in deze procedure over het verzoek om inzage en wordt dus verder niet besproken.
Het betoog slaagt.
Moet inzage in de rechtsgronden voor verwerking worden gegeven?
10. Uit de tekst van artikel 15 van de AVG volgt dat een verzoeker van de verwerkingsverantwoordelijke uitsluitsel moet kunnen krijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van onder meer de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens en de ontvangers of categorieën van ontvangers. De rechtsgrond van de verwerking staat daar niet bij. Zoals het Hof van Justitie van de Europese Unie echter heeft bevestigd, geeft artikel 15, gezien de bewoordingen, context en doelstelling, het recht op inzage in de verwerkingsdoeleinden van de persoonsgegevens (zie het arrest van 22 juni 2023, ECLI:EU:C:2023:501, punten 56-58). Met het geven van de doeleinden is in sommige gevallen niet duidelijk op welke rechtsgrondslag de verwerking van de persoonsgegevens is geweest en zal ook de informatie daarover op een toegankelijke manier beschikbaar moeten worden gesteld aan de betrokkene (zie ook de "Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage" van de European Data Protection Board, onder punt 114).
In de verstrekte overzichten staat overwegend per document aangegeven met welk doel de persoonsgegevens zijn verwerkt en staat niet meer dan één doel per document. De Afdeling oordeelt dat zo voldoende duidelijk is dat de genoemde doeleinden die per document staan vermeld, gelden voor alle daarin voorkomende persoonsgegevens.
In de verstrekte overzichten staan niet de rechtsgronden vermeld. [appellant] heeft voor de verwerking van de persoonsgegevens door KPMG aannemelijk gemaakt dat hij aan de hand van de doeleinden niet kan controleren of de door KPMG verzamelde gegevens rechtmatig zijn verwerkt omdat onvoldoende duidelijk is wat de verwerkingsgrondslag is geweest. In zoverre slaagt het betoog van [appellant]. Het college heeft echter op de zitting bij de Afdeling verklaard dat KPMG over de juiste papieren beschikte en dat dat door de Accountantskamer is bevestigd. Met deze aanvulling heeft het college voldoende inzicht geboden in de rechtsgronden van de verwerking. Het college hoeft daarom niet opnieuw over dit punt op het bezwaar van [appellant] te beslissen. De Afdeling zal bepalen dat de rechtsgevolgen van het vernietigde besluit op bezwaar van 30 juni 2020 in zoverre in stand blijven.
Conclusie tussenuitspraak
11. De rechtbank heeft ten onrechte overwogen dat de verslagen van de regio-overleggen niet vallen binnen de periode waarop het verzoek van [appellant] ziet. De rechtbank heeft ook ten onrechte overwogen dat het college geen inzage hoefde te geven in de rechtsgronden van de verwerking van de persoonsgegevens door KPMG.
Einduitspraak
Herstelt het nieuwe overzicht het gebrek?
Juridische dossier
12. Het doel van artikel 15 van de AVG is dat betrokkene zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. Het derde lid van dat artikel heeft niet tot doel de toegang tot documenten te verzekeren. Het gaat erom dat met de gekozen wijze van verstrekking aan het doel van het inzageverzoek wordt voldaan (zie bijvoorbeeld de uitspraak van de Afdeling van 3 maart 2021, ECLI:NL:RVS:2021:452).
Het college heeft voor het overzicht gebruik gemaakt van het voorbeeldformulier van de AP. In het overzicht van het juridische dossier heeft het college per documentgroep een opsomming gegeven van onder meer de verwerkingsdoeleinden, de persoonsgegevens, de ontvangers, herkomst en de bewaartermijn. Het college heeft dat niet per persoonsgegeven of document gedaan. Op de zitting bij de Afdeling heeft het college toegelicht hoe het de persoonsgegevens heeft vergaard en hoe het die met de andere categorieën vervolgens in de overzichten heeft opgenomen. Het gaat in dit geval grotendeels om documenten die zijn uitgewisseld tijdens de rechterlijke procedures die [appellant] en de gemeente hebben gevoerd. Als partij in die procedures beschikte [appellant] over een groot deel van deze documenten. De Afdeling oordeelt dat het college onder deze omstandigheden met de overzichten van de verwerkte persoonsgegevens van [appellant] en de daarop gegeven toelichting, heeft voldaan aan het doel van artikel 15, derde lid, van de AVG. [appellant] is hiermee op de hoogte gesteld van de verwerkingen en in staat gesteld de juistheid en rechtmatigheid daarvan te controleren. Het college hoefde dus in dit geval niet per document of per persoonsgegeven aan te geven wat het doel van de verwerking is geweest.
Het college hoefde in dit geval ook geen kopieën van de documenten waarin de persoonsgegevens voorkomen te verstrekken (zie het arrest van Hof van Justitie van 4 mei 2023, ECLI:EU:C:2023:369, onder 35 tot en met 45). De verstrekking van een kopie is in dit geval niet onontbeerlijk om [appellant] in staat te stellen zijn rechten op grond van de AVG uit te oefenen.
juridische analyses
13. Het college heeft de juridische analyses zelf niet gegeven aan [appellant]. Dat hoefde het college ook niet te doen omdat die op zichzelf geen persoonsgegevens zijn. Het college stelt dat het de persoonsgegevens die in de juridische analyses voorkomen, ook die in de vertrouwelijke correspondentie met de advocaat, wel op de overzichten heeft vermeld en heeft dat ook toegelicht. Dit standpunt komt de Afdeling niet ongeloofwaardig voor. [appellant] heeft niet aannemelijk gemaakt dat er meer persoonsgegevens zijn in de juridische analyses dan dat hij heeft gekregen.
De rechtbank heeft verder terecht onbesproken gelaten wat [appellant] heeft betoogd over het door het college inroepen van de zogenoemde weigeringsgronden voor de juridische analyse. Het college heeft zich namelijk voor de juridische analyse niet beroepen op de weigeringsgronden.
KPMG-rapporten
13.1. Volgens [appellant] moeten er meer versies van de KPMG-rapporten zijn.
Zoals volgt uit eerdere uitspraken van de Afdeling (onder meer de uitspraak van 7 juni 2017, ECLI:NL:RVS:2017:1519), moet degene die stelt dat er meer persoonsgegevens zijn nadat het bestuursorgaan onderzoek naar die persoonsgegevens heeft gedaan en niet ongeloofwaardig heeft medegedeeld dat er niet meer persoonsgegevens zijn, aannemelijk maken dat er wel meer persoonsgegevens moeten zijn.
De Afdeling volgt de rechtbank in haar oordeel dat het college voldoende aannemelijk heeft gemaakt dat er geen andere tussentijdse (concept-)rapporten van KPMG zijn dan genoemd in het overzicht. [appellant] heeft geen argumenten aangevoerd waarom het oordeel van de rechtbank onjuist is.
Is het overzicht compleet?
13.2. Volgens [appellant] ontbreken op de overzichten verwerkingen. Het college stelt dat het alle persoonsgegevens heeft verstrekt waarover het nog beschikt. Het heeft eerst onderzoek gedaan in zijn eigen administratieve systemen en in zijn bestuurlijke systemen en daarvan een overzicht gemaakt (Bijlage A). Vervolgens heeft het college aan de hand van een lijst van [appellant] opnieuw gezocht in het systeem en de gevonden persoonsgegevens verstrekt (Bijlage B). Tijdens de beroepsprocedure heeft het college de eerdere overzichten aangevuld (Bijlage C). Naar aanleiding van de tussenuitspraak heeft het college tot slot een verduidelijking en aanvulling verstrekt over de verwerkte persoonsgegevens in het juridisch dossier. Gezien deze zoektocht vindt de Afdeling het geloofwaardig dat het college niet over meer persoonsgegevens beschikt. [appellant] heeft gewezen op twee brieven en op persoonsgegevens die met Divosa zijn gedeeld. De Afdeling oordeelt dat [appellant] hiermee niet aannemelijk heeft gemaakt dat het college nog beschikt over deze documenten of over de verwerkingen van persoonsgegevens daarvan. De Afdeling ziet in wat [appellant] heeft aangevoerd dus geen grond voor het oordeel dat de persoonsgegevens daarvan op het overzicht hadden moeten worden vermeld en dat dat overzicht dus onvolledig is.
Conclusie einduitspraak
13.3. De rechtbank heeft terecht geoordeeld dat het college het gebrek dat zij in de tussenuitspraak heeft geconstateerd, heeft hersteld met het overzicht over het juridisch dossier en de gegeven nadere toelichting. De rechtbank heeft bij haar oordeel ook betrokken wat [appellant] heeft aangevoerd tegen het aanvullende besluit van het college van 19 april 2022 en het daarbij verstrekte overzicht van het juridisch dossier. In overweging 9 van de einduitspraak heeft zij slechts overwogen dat zij niet zal ingaan op wat [appellant] na de tussenuitspraak heeft aangevoerd over de beroepsgronden die daarin niet slagen en de onderdelen waarover het college niet opnieuw hoeft te beslissen.
Conclusie en proceskosten
14. Het hoger beroep is gegrond. Het college moet met inachtneming van de uitspraak van de Afdeling en de tussenuitspraak van de rechtbank, voor zover deze niet is aangevochten, een nieuw besluit nemen over de verslagen van de regio-overleggen. Verder zal de Afdeling bepalen dat de rechtsgevolgen van het vernietigde besluit op bezwaar van 30 juni 2020 in stand blijven voor zover dat gaat over het vermelden van de rechtsgrondslag voor de verwerking van de persoonsgegevens door KPMG. [appellant] heeft gevraagd om een dwangsom op te leggen aan het college. De Afdeling ziet daarvoor geen aanleiding.
15. Het college hoeft geen proceskosten te vergoeden.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
I. verklaart het hoger beroep van [appellant] gegrond;
II. draagt het college van burgemeester en wethouders van de gemeente Rotterdam op opnieuw te beslissen op het bezwaar van [appellant] voor zover het gaat om de verslagen van de regio-overleggen;
III. bepaalt dat de rechtsgevolgen van het besluit op bezwaar van 30 juni 2020 in stand blijven voor zover dat gaat over het vermelden van de rechtsgrondslag voor de verwerking van de persoonsgegevens door KPMG;
IV. verklaart het incidenteel hoger beroep van het college van burgemeester en wethouders van de gemeente Rotterdam ongegrond;
V. gelast dat het college van burgemeester en wethouders van Rotterdam aan [appellant] het door hem voor de behandeling van het hoger beroep betaalde griffierecht ten bedrag van € 274,00 vergoedt.
Aldus vastgesteld door mr. J.Th. Drop, voorzitter, en mr. C.H. Bangma en mr. M.C Stoové, leden, in tegenwoordigheid van mr. S.C. van Tuyll van Serooskerken, griffier.
w.g. Drop
voorzitter
w.g. Van Tuyll van Serooskerken
griffier
Uitgesproken in het openbaar op 22 april 2026
290
BIJLAGE
Algemene Verordening Gegevensbescherming
Artikel 5 Beginselen inzake verwerking van persoonsgegevens
1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie");
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding");
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking");
d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren („juistheid");
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen („opslagbeperking");
f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging („integriteit en vertrouwelijkheid").
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht").
Artikel 6 Rechtmatigheid van de verwerking
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
2. […].
Artikel 12Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene
1. […]
5. Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel:
a) een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan; ofwel
b) weigeren gevolg te geven aan het verzoek.
Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.
6. […].
Artikel 15 Recht van inzage van betrokkene
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.
Artikel 23 Beperkingen
1. De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 en artikel 34, alsmede in artikel 5 kan, voor zover de bepalingen van die artikelen overeenstemmen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 20, worden beperkt door middel van Unierechtelijke of lidstaatrechtelijke bepalingen die op de verwerkingsverantwoordelijke of de verwerker van toepassing zijn, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:
a) […]
d) de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;
e) […].