Individuen over wie persoonsgegevens worden verwerkt hebben op grond van de AVG het recht om te weten welke persoonsgegevens dat zijn. In de praktijk worstelen veel organisaties met het juist en tijdig opvolgen van een zogenaamd ‘inzageverzoek’ van een betrokkene. Welke gegevens dient u exact te verstrekken bij een inzageverzoek? In welke vorm? Aan wie? Zijn er ook uitzonderingen? Binnen welke termijn dient u eigenlijk te reageren?
Recht op een kopie?
Artikel 15 lid 3 van de AVG bepaalt dat de verwerkingsverantwoordelijke een kopie dient te verstrekken van de persoonsgegevens, maar wat is nu exact een kopie? Uit rechtspraak van de Raad van State blijkt dat de betrokkene over het algemeen geen recht heeft op een kopie of afschrift van het document waarin zijn persoonsgegevens voorkomen.
EU Hof van Justitie: Österreichische Datenschutzbehorde et CRIF (C-487/21)
Het Oostenrijkse Bundesverwaltungsgericht heeft aan het Hof van Justitie van de Europese Unie (“HvJ EU”) de prejudiciële vraag gesteld of het recht op inzage van persoonsgegevens de betrokkene recht geeft op een kopie van – volledige – documenten waarin de persoonsgegevens zijn verwerkt of alleen recht op een getrouwe reproductie van de persoonsgegevens, de uitleg die de Raad van State heeft gekozen. Vandaag is het arrest gepubliceerd waarin het HvJ EU deze vraag heeft beantwoord.
Het HvJ EU heeft verduidelijkt dat uit artikel 15 lid 3 van de AVG volgt dat het recht om van de verantwoordelijke een ‘kopie’ te verkrijgen betekent dat aan de betrokkene een “getrouwe en begrijpelijke reproductie” van zijn persoonsgegevens moet worden gegeven. Dit betekent niet automatisch dat ook een kopie van het document verstrekt dient te worden waarin de betreffende persoonsgegevens zijn opgenomen.
In het licht van de door artikel 15 van de AVG nagestreefde doelstellingen (controle of de over de betrokkene verwerkte persoonsgegevens juist en rechtmatig zijn verwerkt) en om te waarborgen dat de verstrekte informatie gemakkelijk te begrijpen is, kán het onontbeerlijk zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die de persoonsgegevens bevatten, worden gereproduceerd. Volgens het hof kan dit bijvoorbeeld aan de orde zijn als persoonsgegevens worden gegenereerd op basis van andere gegevens, of wanneer de persoonsgegevens voortvloeien uit open tekstvelden. Als uit deze informatie over de betrokkene valt af te leiden, is de context waarin deze persoonsgegevens worden verwerkt een onontbeerlijk element voor de betrokkene om een begrijpelijk beeld te krijgen van de persoonsgegevens die worden verwerkt. Het HvJ EU volgt hiermee de eerdere conclusie van de Advocaat-Generaal.
Op het moment dat een volledige uitoefening van het recht van inzage van persoonsgegevens conflicteert met rechten of vrijheden van anderen, dan moeten beiden rechten tegen elkaar worden afgewogen. De persoonsgegevens moeten dan worden verstrekt op een manier die geen afbreuk doet aan de rechten en vrijheden van anderen.
Eerder dit jaar heeft het Hof van Justitie in de zaak RW / Österreichische Post AG (C-154/21) bepaald dat een organisatie bij een inzageverzoek concreet moet aangeven met welke partijen de persoonsgegevens zijn gedeeld. Er kan in beginsel niet worden volstaan met een categorisch overzicht.
Meer over rechten van betrokkenen
Over privacyrechten van betrokkenen valt nog veel meer te zeggen en (ook) Nederlandse rechters hebben de afgelopen jaren honderden uitspraken over dit onderwerp gedaan. Wij hebben deze uitspraken recentelijk bestudeerd en hierover samen met Chris Erents en Niels Groenhart een uitgebreid en actueel artikel geschreven. Het artikel is gepubliceerd in aflevering 1 (februari 2023) van het vaktijdschrift Privacy & Informatie (P&I) van Uitgeverij Paris.
Meer weten?
Heeft u behoefte aan duidelijkheid over uw verplichtingen ten aanzien van de rechten van betrokkenen in de vorm van beleid of bij een meer complex verzoek? Neem dan contact met ons op.
