Privacy haalt dagelijks het nieuws. Daarbij komen vanzelfsprekend vooral de grotere zaken aan bod. Denk aan gevoelige datalekken, grootschalige hacks of de inzet van (geheime) camera’s. Er is echter veel meer gaande op het gebied van privacy, wat niet altijd het nieuws haalt. Aan de hand van deze jurisprudentie leren we veel over hoe de AVG uiteindelijk toegepast wordt. In deze blog zetten we diverse uitspraken die in februari gepubliceerd zijn op een rij.
Deze maand staat vooral in het teken van de rechten van betrokkenen uit de Algemene verordening gegevensbescherming (‘AVG’). Deze rechten zijn te vinden in hoofdstuk 3 van de AVG (recht op inzage, vernietiging etc.) en geven personen van wie persoonsgegevens worden verwerkt een aantal handvaten om te controleren wat er met hun gegevens gebeurt. We gaan een aantal uitspraken over deze rechten bij langs om zo de toepassing en uitleg van deze rechten beter te begrijpen.
De Rechtbank in Den Haag heeft bevestigd dat de rechten van betrokkenen persoonlijke rechten zijn in een zaak waarin de erfgenamen van [A] zijn procespositie over wilden nemen.
[A] heeft voor zijn dood een verzoek gedaan tot rectificatie van zijn persoonsgegevens die door de Belastingdienst worden verwerkt en daarbij een schadevergoeding gevorderd. Daarnaast heeft hij ook een verzoek tot beperking van de verwerking ingediend. Hij was van mening dat er meer persoonsgegevens verwerkt worden dan waar hij inzage in heeft gekregen. Na het overlijden van [A] willen zijn erfgenamen de procedure voortzetten. Zij stellen een belang bij deze procedure te hebben nu zij in de fiscale rechten en plichten van [A] treden. De rechtbank buigt zich over de vraag of de erfgenamen de procedure die ziet op de AVG-vorderingen voort kunnen zetten.
De rechter oordeelt dat de rechten van betrokkenen uit de AVG persoonlijke rechten zijn, en dat ze dus niet voor overgang vatbaar zijn. Bovendien zijn de regels uit de AVG niet van toepassing op de persoonsgegevens van overleden personen. Het recht op schadevergoeding, op grond van de AVG, kan ook niet overgaan op de erfgenamen omdat dit een persoonlijk recht is.
De erfgenamen kunnen de juistheid van de persoonsgegevens die door de Belastingdienst worden verwerkt aan de orde stellen in de lopende fiscale procedure, zo oordeelt de rechter. Voor een eventuele schadevergoeding kunnen ze een schadevergoedingsverzoek op grond van het Burgerlijk Wetboek indienen.
Bij de Afdeling bestuursrechtspraak van de Raad van State is februari begonnen met een uitspraak in het hoger beroep over een inzageverzoek. Appellant wilde vaststellen of de belastingdienst onrechtmatig persoonsgegevens doorgeeft over zijn gezondheid, inclusief de twijfels die de Belastingdienst had bij de oprechtheid van appellant. Appellant heeft verzocht om inzage in de persoonsgegevens die verwerkt worden door de Belastingdienst en gegevens die besproken zijn tijdens een overleg waar onder meer de Belastingdienst aan deel nam (‘TPO-overleg’). Nadat de minister van Financiën dit verzoek in eerste instantie afwijst wordt na bezwaar van appellant alsnog inzicht gegeven in een aantal persoonsgegevens die verwerkt worden, niet in de gehele gespreksverslagen. Appellant wil daarnaast inzicht in de gegevens die aantonen hoe de belastingdienst ertoe is gekomen de fraudemelding (de zo genoemde code-88) in zijn dossier op te nemen. Ook deze gegevens worden hem niet verstrekt, waardoor hij het niet eens is met het besluit van de minister. De vraag is of appellant alle gegevens heeft ontvangen waar hij recht op heeft.
De rechtbank heeft in de tussenuitspraak al besloten dat een inzageverzoek geen recht geeft op inzage in gehele documenten of informatie hoe een fraudemelding tot stand komt. Enkel de persoonsgegevens van betrokkene vallen onder een inzageverzoek. Een fraudemelding is niet terug te herleiden tot een persoon en is daarom ook niet aan te merken als persoonsgegeven. Wel oordeelt de rechter dat er een motiveringsgebrek is in de uitleg waarom appellant geen inzage krijgt in de persoonsgegevens uit het verslag van het TPO-overleg. Artikel 41 van de Uitvoeringswet AVG geeft de mogelijkheid om de rechten van betrokkenen te beperken, maar dan moet er wel aangegeven worden waarom de rechten beperkt worden.
In de einduitspraak stelt de rechtbank vast dat het motiveringsgebrek dat is vastgesteld in de tussenuitspraak niet volledig is hersteld door de minister. De mededelingen van de minister komen daarnaast niet helemaal overeen met de feiten, en de minister moet daarom een en ander verduidelijken in een nieuw besluit op bezwaar. Appellant gaat vervolgens in hoger beroep omdat hij het oneens is met een aantal van de overwegingen van de rechtbank.
De afdeling heeft inzage gekregen in twee van de TPO-verslagen en beoordeeld onder andere op basis daarvan of de minister op een correcte wijze invulling heeft gegeven aan het AVG-verzoek van betrokkene. In een van die verslagen staan persoonsgegevens waar de minister appellant geen inzage in heeft gegeven. De minister moet appellant inzage geven in deze gegevens, óf motiveren waarom hij die gegevens niet inzichtelijk wil maken. Bovendien heeft de minister appellant meegedeeld dat de bron van een deel van de gegevens niet duidelijk is, terwijl uit het verslag wel blijkt van wie de persoonsgegevens afkomstig zijn. Bij een inzageverzoek moet ook informatie over de bron van persoonsgegevens worden gegeven wanneer de gegevens niet bij betrokkene zelf zijn verzameld. De afdeling benadrukt in deze uitspraak wel dat het inzageverzoek, anders dan appellant van mening is, hem geen recht geeft om hele stukken in te zien.
De Raad van State draagt de minister uiteindelijk op om nogmaals een besluit op het bezwaar van betrokkene te nemen en daarin alle persoonsgegevens te verstrekken (inclusief de bron), of te motiveren waarom bepaalde gegevens niet verstrekt worden.
Waar we in het privacy jurisprudentieblog van januari 2023 een zaak bespraken waarin eiser er niet in slaagde zijn persoonsgegevens uit het BKR-register te laten verwijderen, zijn er nu twee uitspraken waarin eiseressen hun vorderingen zien slagen. In beide zaken maken eiseressen bezwaar tegen de verwerking van hun persoonsgegevens op grond van artikel 21 AVG. Hierbij moet de specifieke situatie van betrokkenen ertoe leiden dat hun belangen zwaarder wegen dan de ‘dwingende gerechtvaardigde gronden’ van de verwerkingsverantwoordelijke. Deze twee uitspraken geven een goed inzicht wanneer zo’n belangenafweging uitvalt in het voordeel van een betrokkene.
In de eerste zaak ging het om een eiseres die na een aantal jaar stelselmatig rood staan, waardoor zij een BKR-registratie heeft, inmiddels drie jaar haar zaken op orde heeft. Nu ze voor de bouw van een huis op een door haar en haar partner gekochte kavel een lening nodig heeft ondervindt zij echter problemen door de melding in het register.
In de tweede zaak heeft eiseres een BKR-registratie ontvangen na meer dan drie maanden rood staan bij de bank. De bank heeft daar melding van gemaakt en dit heeft tot een BKR-registratie geleid. Na een schuldsaneringstraject is zij inmiddels schuldenvrij en heeft een goed betaalde baan. Zij wil samen met haar partner een huis kopen zodat zij kan verhuizen uit de kleine zolderkamer waar zij op dit moment met haar 12-jarige zoon woont.
Een BKR-registratie blijft in principe tot vijf jaar na het aflossen van de schulden inzichtelijk in het register. Eiseressen zijn twee en drie jaar schuldenvrij, en staan daarom nog in het register. Zij hebben beide een externe partij ingehuurd om namens hen bezwaar te maken tegen de verwerking in het BKR-register. In beide zaken zijn de eerste verzoeken tot verwijdering uit het register door ING afgewezen.
Aan de rechter nu de taak om te bepalen welke belangen zwaarder wegen, en zoals hiervoor al is verklapt valt deze in beide gevallen in het voordeel van eiseressen uit. De belangen van het ING met de BKR-registratie zijn ‘het beschermen van consumenten tegen overkreditering’ en het waarschuwen van andere kredietinstellingen. Beide eiseressen hebben echter een groot belang bij het verwijderen van de BKR-registratie, nu zij, juist door het in stand laten van de registratie, in financiële problemen of een financieel nadelige situatie kunnen raken. Daarbij neemt de rechter ook het gegeven dat beide eiseressen hun financiële zaken op orde hebben mee in zijn afweging. Hierdoor wegen de belangen van de bank minder zwaar, nu er geen redenen meer zijn om aan te nemen dat eiseressen opnieuw in financiële problemen zullen raken.
Meer weten over privacy? Lees hier verder:
Meld je nu aan voor één van de nieuwsbrieven van ICTRecht en blijf op de hoogte van onderwerpen zoals AI, contracteren, informatiebeveiliging, e-commerce, privacy, zorg & ICT en overheid.
