Op grond van artikel 15 van de AVG kan een betrokkene een verzoek indienen om inzage te krijgen in zijn of haar persoonsgegevens. Naast de persoonsgegevens zelf, dient onder meer inzage worden verstrekt omtrent de herkomst van de persoonsgegevens, de periode waarin verwerking plaatsvindt en informatie over de ontvangers aan wie de persoonsgegevens worden verstrekt.
Een verzoek tot inzage wordt gericht aan de verwerkingsverantwoordelijke. Dat is een natuurlijk persoon of rechtspersoon, een dienst of een ander orgaan. Die of dat stelt alleen of samen met anderen het doel van en de middelen voor de verwerking vast. Als dus één partij het doel en de middelen vaststelt, is er sprake van één verwerkingsverantwoordelijke. Als twee of meer partijen dit gezamenlijk doen, dan zijn zij gezamenlijk verwerkingsverantwoordelijke.
Als er sprake is van één verwerkingsverantwoordelijke, is het doorgaans duidelijk tot wie het inzageverzoek zich moet richten. Dat kan in de praktijk onduidelijk zijn als er sprake is van gezamenlijk verwerkingsverantwoordelijken. Als een inzageverzoek bij gezamenlijk verwerkingsverantwoordelijken niet naar tevredenheid wordt afgehandeld, dan is het de vraag tot wie een betrokkene zich dan in rechte dient te wenden. Een recente uitspraak illustreert dit.
Verzoekers dienen een inzageverzoek in bij het Regionaal Informatie- en Expertise Centrum Noordnederland (“RIEC”), een samenwerkingsverband van verschillende overheidsorganisaties. Bij besluit van de partners van het RIEC, waaronder de gemeente Leeuwarden, wordt dit verzoek gedeeltelijk toegewezen. Verzoekers verzoeken vervolgens de rechtbank om alsnog – kort gezegd – volledige inzage en richten dit verzoek tot het RIEC (althans haar individuele medewerkers). Als belanghebbende stelt de gemeente Leeuwarden zich.
Volgens verzoekers is het RIEC een zelfstandige entiteit die persoonsgegevens verwerkt voor eigen doeleinden en dus verwerkingsverantwoordelijke. De gemeente stelt dat het RIEC géén verwerkingsverantwoordelijke is en het verzoek dus niet ontvankelijk is. Het RIEC is immers geen natuurlijke of rechtspersoon. Volgens verzoekers maakt dat niet uit omdat het begrip verwerkingsverantwoordelijke in de AVG ruim moet worden geïnterpreteerd.
De rechtbank overweegt dat volgens het Nederlands procesrecht, het niet mogelijk is om te procederen tegen een partij die geen natuurlijke- of rechtspersoon is. Voor zover het RIEC dus al onder de ruime interpretatie van een ‘andere entiteit’ zou vallen, is er geen grondslag om daartegen een procedure te starten. De rechter noemt nog ten overvloede een aantal omstandigheden waaruit blijkt dat het RIEC geen zelfstandige entiteit is.
De rechtbank concludeert dat de betrokken overheidsorganisaties gezamenlijk verwerkingsverantwoordelijke zijn. Daarom had het verzoek tegen al deze partijen gericht moeten zijn. Omdat het verzoek is gericht tot een niet bestaande partij, verklaart de rechtbank het verzoek niet-ontvankelijk.
Uit deze uitspraak blijkt dat het onduidelijk kan zijn bij wie een inzageverzoek door de rechter afgedwongen kan worden. Dat zal voornamelijk het geval zijn bij dergelijke samenwerkingsverbanden en de juridische kwalificatie daarvan. Alhoewel de rechtbank expliciet overweegt dat het verzoek tegen alle partners bij het samenwerkingsverband gericht moet zijn, is dit op basis van de AVG géén vereiste. Immers, als er sprake is van gezamenlijke verwerkingsverantwoordelijken, dan kan het inzagerecht tegen iedere verwerkingsverantwoordelijke worden ingeroepen. Maar als je vervolgens naar de rechtbank stapt met het inzageverzoek, kan het efficiënt zijn om alle gezamenlijk verwerkingsverantwoordelijken te betrekken.
Voordat je een inzageverzoek bij de rechter probeert af te dwingen, is het van belang je te vergewissen van de rol van iedere partij bij de gegevensverwerking. Daarnaast is het voor gezamenlijke verwerkingsverantwoordelijken van belang vooraf na te denken over zulke inzageverzoeken.
Gezamenlijke verwerkingsverantwoordelijken moeten op grond van art. 26 AVG een regeling opstellen en beschikbaar maken voor betrokkenen. Daarin kunnen zijafspraken maken over het inzageverzoeken. Let wel op dat op grond van de AVG een inzageverzoek altijd tot één van de gezamenlijk verwerkingsverantwoordelijken gericht kan worden. Een regeling ontslaat een gezamenlijk verwerkingsverantwoordelijke dus niet van haar verplichtingen uit de AVG, zie daarover art. 26 lid 3 AVG.
Wilt u weten hoe u een inzageverzoek in moet dienen en bij welke partij? Of wilt u als gezamenlijk verwerkingsverantwoordelijken over zulke onderwerpen afspraken maken? Neem dan gerust vrijblijvend contact met op met Floris de Vriend of één van de andere leden van het Privacy-team.