Betrokkenen hebben het recht om te weten met wie zijn of haar persoonsgegevens worden gedeeld, zo oordeelde het Europese Hof onlangs. In deze blog staan we stil bij het recht op inzage, bespreken we de uitspraak en gaan wij in op de gevolgen.
Recht op inzage
In een eerdere blog bespraken wij al dat betrokkenen, op grond van de AVG, verschillende rechten hebben zoals het recht op inzage, vergetelheid of rectificatie. Het recht op inzage vormt meteen het meest fundamentele recht, omdat andere rechten, zoals het recht op correctie en vergetelheid, vaak pas kunnen worden uitgeoefend nadat de betrokkenen weet wát er te corrigeren of vergeten valt.
Via de privacyverklaring wordt de betrokkene geïnformeerd over zijn of haar recht en hoe een verzoek kan worden ingediend. Er moet bijvoorbeeld een duidelijk contactpunt zijn waar men terecht kan. De verzoeker moet zich legitimeren, maar wel op een privacyvriendelijke manier. Zodra het verzoek is ontvangen, begint de wettelijke termijn van één maand te lopen. Alleen bij heel ingewikkelde verzoeken, kan de organisatie maximaal twee maanden extra tijd nemen. Naast een overzicht of een kopie van de persoonsgegevens moet ook allerlei andere informatie over de gegevensverwerking worden aangeleverd, zoals het verwerkingsdoel en de bron van de persoonsgegevens. En oh ja, dit alles mag niets kosten.
Feiten
In Oostenrijk liep in 2019 een zaak tussen een burger tegen Österreichische Post. De burger heeft Österreichische Post op grond van art. 15 van de AVG, verzocht om inzage te verkrijgen in de persoonsgegevens die van hem zijn verwerkt en aan wie deze gegevens zijn verstrekt. Österreichische Post verklaarde de persoonsgegevens te hebben doorgestuurd voor ‘marketingdoeleinden’. Daarnaast verwees zij de burger naar haar website voor meer informatie. Hier ging de Oostenrijkse burger niet mee akkoord en vorderde Österreichische Post voor de Oostenrijkse rechter om de identiteit van de ontvanger(s) van zijn persoonsgegevens te verstrekken.
Tijdens de gerechtelijke procedure heeft de rechter in eerste aanleg de vordering van de Oostenrijkse burger afgewezen. De reden hiervoor was dat artikel 15 van de AVG verwijst naar de “ontvangers of categorieën van ontvangers”, en de verwerkingsverantwoordelijke dus niet verplicht is om de concrete ontvangers te benoemen. De Oostenrijkse burger liet het hier opnieuw niet bij zitten en ging in hoger beroep.
Het Oberste Gerichtshof vroeg zich op haar beurt af hoe artikel 15 AVG moet worden uitgelegd. Uit de bewoordingen van deze bepaling kan namelijk niet duidelijk worden afgeleid of zij aan de betrokkene het recht verleent om inzage te krijgen van informatie over de concrete ontvangers aan wie de gegevens werden verstrekt, dan wel of de verwerkingsverantwoordelijke over een keuzevrijheid beschikt wat betreft de wijze waarop hij wenst om te gaan met een verzoek om inzage.
Oordeel Europees Hof
Het Europese Hof is zeer duidelijk in haar oordeel. Wanneer iemand vraagt naar welke bedrijven en instanties zijn persoonsgegevens zijn doorgestuurd, moet de werkelijke identiteit van de ontvangende partijen worden verstrekt. Alleen als het verzoek om deze informatie ongegrond of buitensporig is, of het onmogelijk is de ontvanger te identificeren, kan worden volstaan met aanduidingen als 'voor marketingdoeleinden.'
Wat betekent dit voor inzageverzoeken?
Volgens het Europese Hof heeft de betrokkene dus ook het recht op specifieke informatie over ontvangers. De betrokkene kan dus om de werkelijke identiteit van de ontvangende partijen verzoeken. Aangeven dat persoonsgegevens worden doorgestuurd naar marketingbedrijven of ICT-dienstverleners is dus niet meer voldoende. De identiteit (bedrijfsnaam) van de specifieke bedrijven moet dus vermeld worden. Voor organisaties is het dus van belang dat bijvoorbeeld in een verwerkingsregister of lijst met derde partijen wordt bijgehouden naar welke bedrijven persoonsgegevens worden doorgestuurd. Alleen indien het verzoek om deze informatie ongegrond of buitensporig is, of wanneer het onmogelijk is de ontvanger te identificeren, kan worden volstaan met algemenere aanduidingen.
Heeft u een inzageverzoek ontvangen en heeft u hulp nodig bij de afhandeling van dit inzageverzoek? Neem dan gerust even contact met ons op.
Meer weten over privacy? Lees verder:
