Een inzageverzoek van een betrokkene, welke informatie moet ik als verwerkingsverantwoordelijke verstrekken?

09/05/2023 - Vorige week heeft het Europese Hof van Justitie (HvJ EU) een uitspraak gepubliceerd over de uitleg van het inzagerecht. In deze zaak is nader toegelicht of organisaties informatie en kopieën over de verwerkte persoonsgegevens aan de betrokkene moeten verstrekken, als de betrokkene hiertoe verzoekt. Deze uitspraak van het Hof is voor organisaties die te maken hebben met inzageverzoeken dus van zeker belang.

Het inzagerecht

Op grond van artikel 15, lid 3 van de Algemene Verordening Gegegevensbescherming (AVG) heeft de betrokkene het recht om de verwerkingsverantwoordelijke te verzoeken hem of haar inzage te geven in de persoonsgegevens die van hem of haar worden verwerkt. Hierbij kan onder meer worden gedacht aan de (categorieën) persoonsgegevens, hoe deze zijn verkregen (van de betrokkene zelf of via een derde partij), de doeleinden voor de verwerking, de ontvangers van de gegevens en hoelang de gegevens worden bewaard. Lid 3 van artikel 15 AVG bepaalt dat de verwerkingsverantwoordelijke, op verzoek van betrokkene, ook een kopie van de verwerkte persoonsgegevens aan de betrokkene moet verstrekken.

Feiten in het hoofdgeding

Het HvJ EU doet uitspraak in een geschil tussen de natuurlijke persoon ‘F.F.’ en de Österreichische Datenschutzbehörde (de Oostenrijkse toezichthouder voor gegevensbescherming). CRIF GmbH is een consultancybureau dat, op verzoek van haar klanten, informatie verstrekt over de solvabiliteit van derden. Door CRIF GmbH zijn ook persoonsgegevens van F.F., de betrokkene in kwestie, verwerkt. Op verzoek van F.F. heeft CRIF de gevraagde informatie gedeeltelijk verstrekt in geaggregeerde vorm. Andere informatie met betrekking tot de persoonsgegevens, zoals e-mails of databankuittreksels, werden niet gedeeld met F.F. Hierop heeft F.F. een klacht ingediend bij de Oostenrijkse toezichthouder waarin hij aanvoerde dat het antwoord op zijn verzoek onvolledig was en dat CRIF GmbH als verwerkingsverantwoordelijke hem een kopie had moeten verstrekken van alle documenten, met inbegrip van e-mails en databankuittreksels die zijn persoonsgegevens bevatten.

Deze klacht werd afgewezen door de Oostenrijkse toezichthouder op grond dat de verwerkingsverantwoordelijke zijn recht om inzage te verkrijgen van de hem betreffende persoonsgegevens op geen enkele wijze had geschonden. Hierop heeft F.F. beroep ingesteld bij de Oostenrijkse rechter.

De rechter uitte zijn twijfels over de reikwijdte van artikel 15 (lid 3) AVG en heeft hierover prejudiciële vragen gesteld bij het HvJ EU. Ook werd daarbij de vraag gesteld hoe het begrip ‘kopie’ moet worden uitgelegd in de zin van artikel 15 lid 3 AVG.

Uitspraak Europese Hof van Justitie

Het HvJ EU heeft hierop geantwoord dat een kopie van iemands opgevraagde persoonsgegevens een “getrouwe reproductie in begrijpelijke vorm” van iemands persoonsgegevens moet zijn. De betrokkene moet in staat worden gesteld “het recht op inzage op een effectieve manier uit te oefenen, met volledige kennis van alle persoonsgegevens die worden verwerkt — met inbegrip van verdere gegevens die eventueel worden gegenereerd ten gevolge van de verwerking, mits deze ook worden verwerkt”. Verder legt het hof uit dat de betrokkenen de kopie op een zodanige manier moet kunnen inzien zodat hij de juistheid en rechtmatigheid van de verwerking kan controleren. Ook moet de betrokkene met informatie uit die kopie verdere rechten kunnen uitoefenen die hem op grond van de AVG zijn verleend. 

Het HvJ EU overweegt verder dat de exacte vorm waarin de kopie van de persoonsgegevens aan de betrokkene moet worden verstrekt, afhangt van de aard en de bijzonderheden van de persoonsgegevens in kwestie. Het inzagerecht geeft dus geen algemeen recht om een gedeeltelijke of volledige kopie te verkrijgen van het document dat de persoonsgegevens van de betrokkene bevat of, als de persoonsgegevens worden verwerkt in een databank, van een uittreksel uit die databank. Het hof sluit echter niet uit dat een gedeeltelijke of volledige kopie van een document (of databankuittreksel) aan de betrokkene moeten worden verstrekt indien dit noodzakelijk is om te waarborgen dat de persoonsgegevens waarvan om inzage wordt verzocht, volledig begrijpelijk zijn voor de betrokkene.

Implicaties voor de praktijk

Deze uitspraak van het HvJ EU maakt het voor organisaties zeker niet gemakkelijker om conform de AVG aan inzageverzoeken te voldoen. Zij moeten per individueel geval beoordelen of een exacte kopie van persoonsgegevens verstrekt moet worden of dat een andere vorm volstaat. Met andere woorden: om op de juiste manier gehoor te geven aan de rechten van betrokkenen, is nu meer maatwerk nodig. Er wordt van organisaties meer verwacht dan “slechts” het inrichten van systemen en processen om aan verzoeken van betrokkenen te voldoen. Iets wat organisaties kunnen ervaren als belastend en tijdrovend.