Als het recht zwart-wit was, hadden juristen geen baan meer. Soms is het namelijk heel duidelijk hoe je een wet interpreteert, maar soms niet. Regelmatig steggelen partijen over de toepassing van de privacywet. Om antwoord te krijgen stappen zij dan naar de rechter. De rechter beslist en legt de wet uit aan de eiser en de gedaagde. Die uitspraken worden gepubliceerd. Zo helpen de uitspraken bij de juiste toepassing van de wet. In deze blog zetten we diverse privacy uitspraken van de maand mei op een rij.
1. Een betrokkene mag niet zien wat welke politiemedewerker heeft bekeken
De rechtbank Den Haag geeft in deze zaak verder invulling aan de Wet politiegegevens en het daaruit voortvloeiende inzagerecht van betrokkenen. Op basis van deze wet mogen betrokkenen de politie vragen om inzage in hun dossier. De betrokkene in deze zaak vond dat het overzicht dat de politie hem stuurde onvoldoende was, omdat hij specifiek informatie wilde over welke medewerkers wat hebben ingezien. Specifiek over één politiemedewerker. De politie weigerde deze informatie te verstrekken, en de betrokkene stapte naar de rechter.
De rechtbank legt uit dat de politie, op basis van het inzagerecht van betrokkenen, informatie moet verstrekken over “ontvangers”. Dat zijn de partijen waaraan de politiegegevens zijn gestuurd. Binnen de politie geldt een “free flow of information’’ waarbij de politie politiegegevens vormvrij heen en weer mag sturen. Medewerkers mogen alleen datgene inzien waar zij toe bevoegd en genoodzaakt zijn. Politiemedewerkers zijn namelijk geen “ontvangers” in de zin van het inzagerecht. De rechtbank is het dus eens met de interpretatie van de politie: zij mocht dit verzoek weigeren en heeft voldoende inzage gegeven.
2. Geen schadevergoeding, zonder bewezen schade
Door een gehackt computersysteem van een makelaarskantoor zijn persoonsgegevens van een betrokkene op straat komen te liggen. Gelukkig is de politie er op tijd bij, en worden de gegevens gekaapt – door de politie dit keer. Desalniettemin is de betrokkene ervan overtuigd dat de makelaar onrechtmatig heeft gehandeld. De betrokkene stelt dat zijn persoonsgegevens te lang zijn bewaard. Hij leed daardoor schade en is van mening dat de makelaar dit moet vergoeden. De makelaar is het hier niet mee eens.
De rechter neemt hier de gelegenheid om duidelijk te maken dat je niet zomaar schade kan vorderen. Een schending van de AVG leidt niet automatisch tot het vergoeden van schade, daar komt iets meer bij kijken. Je moet namelijk bewijs aanvoeren dát er schade is geleden. Volgens de rechtbank is het onvoldoende bewijs voor schade dat de betrokkene zegt “distress’’ te hebben ervaren. Zeker omdat er geen uitingen van onbehagen of onvrede zijn gevonden ten tijde van de hack die deze staat van “distress’’ beamen. Bovendien is de schade volgens de rechter bijna onmogelijk, omdat de gehackte gegevens niet misbruikt zijn maar aan het verkeer onttrokken. De gestelde schade is niet onderbouwd, daarom kan een schadevergoeding niet worden toegewezen. Aan inhoudelijke beoordeling óf de AVG is geschonden, komt de rechter niet eens toe. Geen bewezen schade, geen zaak.
3. Een meningsverschil is niet voldoende voor het recht op rectificatie
Het verzoek van een betrokkene om zijn paspoort te verlengen bij de Nederlandse ambassade in Ottawa (Canada) werd geweigerd. De reden hiervoor was dat zijn naam was opgenomen in het Register paspoortsignaleringen, omdat er belastingaanslagen onbetaald waren. De betrokkene zegt dat deze paspoortsignalering incorrect is, en beroept zich op zijn recht op rectificatie: dit moet worden aangepast. De Belastingdienst weigert de signalering aan te passen, omdat de informatie klopt volgens de Belastingdienst.
De rechtbank volgt in deze zaak de interpretatie en toepassing van de oude privacywet. Zij maakt duidelijk dat het rectificatierecht niet is bedoeld om indrukken, meningen, onderzoeksresultaten en conclusies waarmee betrokkenen het niet eens zijn te corrigeren of te verwijderen. Het gaat bij het rectificatierecht alleen om persoonsgegevens waarbij makkelijk en objectief is vast te stellen of de gegevens kloppen of niet. Hoewel inmiddels is besloten dat de paspoortsignalering inderdaad onjuist kon zijn in een andere rechterlijke procedure, was dat ten tijde van het eerste bezwaar van de betrokkene nog niet zo. Daarom hoefde de Belastingdienst destijds de informatie niet aan te passen, aldus de rechtbank.
4. Te veel persoonsgegevens verwerken is onrechtmatig verwerken
De Sociale Verzekeringsbank (SVB) stuurt zogeheten ‘startberichten’ met persoonsgegevens van alle kinderen met recht op kinderbijslag door naar de Belastingdienst. Dat is een digitale melding waarin staat dat voor een kind vanaf een bepaalde datum recht op kinderbijslag bestaat. In het startbericht staan het Burgerservicenummer, de geboortedatum en het land waar het kind woont. Zo kan de Belastingdienst beoordelen welke (ouders van) kinderen recht hebben op het kindgebonden budget (afhankelijk van het inkomen van de ouders).
Een ouder is het er niet mee eens en zegt dat deze verwerking in strijd is met de privacywetgeving en vordert schadevergoeding. De SVB zegt dat zij deze gegevens moet delen op basis van de Algemene wet inkomensafhankelijke regelingen (“Awir”).
De Rechtbank legt uit dat de Awir inderdaad een wettelijke basis biedt voor de SVB om deze gegevens te delen. Helaas gaat de SVB haar boekje te buiten. Deze wettelijke taak uitvoeren kan namelijk ook met minder persoonsgegevens. Bijvoorbeeld door alleen de gegevens over kinderen die aan verdere vereisten voor een kindgebonden budget voldoen door te sturen. De verwerking faalt de noodzakelijkheidstoets van proportionaliteit en subsidiariteit.
Desalniettemin is een schadevergoeding niet op z’n plaats. De ouder heeft niet duidelijk (genoeg) gemaakt dat de dochter in haar persoon zou zijn aangetast. Geen (bewezen) schade, geen vergoeding.
Benieuwd wat er in juni gaat gebeuren? Wij ook. Over een maand zijn we bij u terug met de volgende jurisprudentieblog!
Deze blog is in samenwerking geschreven met stagiaire Arlette Meiring.
