Op 20 december 2018 heeft de rechtbank Noord-Nederland een opmerkelijke uitspraak gedaan. De voorzieningenrechter merkte zichzelf aan als verwerker in de zin van de Algemene Verordening Gegevensbescherming (AVG). Wat is de gedachte achter deze kwalificatie en wat zijn de gevolgen geweest voor deze rechtszaak? Dat leest u hieronder.
De zaak gaat over 21 verleende vergunningen, waarbij de bezwaren in één besluit zijn afgewezen. In plaats van 21 afzonderlijke zaken besloot de rechter om de rechtmatigheid van deze vergunningen samen te voegen tot één zaak.
In de vergunningsaanvragen staan persoonsgegevens van individuele vergunninghouders. Door het samenvoegen van de aanvragen worden deze persoonsgegevens doorgestuurd naar alle andere partijen, wat een verwerking is in de zin van de AVG. De rechter merkte zichzelf daarom aan als verwerker. Een opvallende passage uit de uitspraak over deze verwerking van persoonsgegevens is als volgt:
“Hierbij neemt de voorzieningenrechter in aanmerking dat in de afzonderlijke bedrijfsplannen van de vergunninghouders vertrouwelijke gegevens of bedrijfsgevoelige informatie vermeld kan staan.”
De gegevens die hier worden genoemd lijken geen persoonsgegevens te zijn, aangezien bedrijfsplannen en andere bedrijfsgevoelige informatie in principe geen gegevens over een natuurlijk persoon bevatten. De AVG is immers niet van toepassing op gegevens die alleen te herleiden zijn naar rechtspersonen. Toch kunnen er wel persoonsgegevens in de stukken staan, zoals contactgegevens van natuurlijke personen in de vergunningaanvraag.
Volgens de rechter moet iedere verwerking van persoonsgegevens voldoen aan artikel 5 lid 1, aanhef en onder c van de AVG: het beginsel van “minimale gegevensverwerking”. Dit houdt in dat de verwerking toereikend moet zijn voor het doel en niet meer gegevens mag omvatten dan noodzakelijk is. Op basis van dit beginsel bepaalde de rechter dat het beroep wordt opgesplitst in 21 afzonderlijke zaaknummers. Hierdoor worden alleen de persoonsgegevens van de vergunningen waartegen bezwaar wordt gemaakt ingezien.
Het opsplitsen in aparte zaaknummers sluit aan bij het beginsel van minimale gegevensverwerking. Echter, de verwerking van persoonsgegevens komt altijd neer op een belangenafweging. Is het beperken van de verwerking belangrijker, of zou het belang van een voortvarende procedure moeten prevaleren? Gezien de geringe hoeveelheid persoonsgegevens hadden zwartgemaakte delen van de gegevens wellicht volstaan, zonder dat opsplitsing noodzakelijk was.
De rechter heeft zichzelf als verwerker aangemerkt op basis van artikel 4, onder 2 jo. artikel 4, onder 8 van de AVG. Helaas is in de uitspraak niet aangegeven wie als verwerkingsverantwoordelijke moet worden beschouwd. Gezien het feit dat de rechter het doel en de middelen van de verwerking bepaalt, ligt het meer voor de hand dat de rechter als verwerkingsverantwoordelijke wordt aangemerkt. Indien de rechter slechts als verwerker wordt gezien, zouden de procespartijen als verwerkingsverantwoordelijken worden beschouwd, wat de verplichting tot verwerkersovereenkomsten met zich mee kan brengen.
Deze uitspraak brengt complexe vragen met zich mee over de rol van de rechter onder de AVG. Het is de vraag of dit stand zal houden, ook gezien de wens om procedures voortvarend te laten verlopen.
Heeft u vragen naar aanleiding van dit artikel, bijvoorbeeld over uw rol als verwerker of verwerkingsverantwoordelijke? Neem dan vrijblijvend contact op met Floortje Eijdems of een ander lid van het Privacy-team.