De Autoriteit Persoonsgegevens (‘AP’), de Nederlandse privacywaakhond, krijgt sinds de inwerkingtreding van de Algemene Verordening Gegevensbescherming (‘AVG’) op 25 mei jl. veel media-aandacht. Een veelgehoorde kritiek is dat de AP achterblijft in het beboeten van privacyschendingen sinds haar verruimde boetebevoegdheid in 2016. Zo lijkt de Britse tegenhanger ICO vaker boetebesluiten te nemen, wat blijkt uit meermaals per maand gepubliceerde overzichten van door haar genomen besluiten. Daags na berichtgeving over een bestuurscrisis binnen de AP, publiceerde de AP op 9 augustus jl. de oplegging en inning van een last onder dwangsom bij Theodoor Gilissen Bankiers (‘TGB’), inmiddels InsingerGilissen Bankiers geheten. De timing is opvallend omdat de last onder dwangsom ruim één jaar geleden is opgelegd.
Schending van het inzagerecht
De AP heeft in 2017 voor 48.000 euro aan dwangsommen geïnd bij TGB. De AP ging hiertoe over nadat TGB in 2016 weigerde medewerking te verlenen aan een inzageverzoek van een van haar klanten. TGB heeft hiermee (toenmalig) artikel 35 van de Wet Bescherming Persoonsgegevens (‘Wbp’) overtreden, thans artikel 15 van de AVG. De klant verzocht TGB om inzage in zijn persoonsgegevens, waaronder chatberichten met TGB-medewerkers en intern afgegeven instructies over de met de klant te maken afspraken.
Afwijzing inzageverzoek Rechtbank Den Haag
De klant heeft na de afwijzing van TGB geprobeerd zijn inzage af te dwingen bij de Rechtbank Den Haag. De rechtbank wees dit verzoek af omdat de klant hiermee misbruik zou maken van zijn inzagerecht. De klant gebruikte het inzagerecht namelijk ter bewijsvergaring voor een langlopende aansprakelijkheidsprocedure tussen TGB en de klant.
Toewijzing inzageverzoek AP
Na de afwijzing van TGB probeerde de klant ook zijn inzagerecht af te dwingen via de AP. De AP wees het handhavingsverzoek toe en maakte kenbaar voornemens te zijn om een last onder dwangsom op te leggen wanneer TGB geen gehoor zou geven aan het inzageverzoek. Op een hoorzitting verweerde TGB zich hiertegen door o.a. het volgende aan te dragen:
- de klant maakt misbruik van zijn inzagerecht (zoals reeds beslist door de Rechtbank Den Haag);
- de AP is om meerdere redenen gehouden aan de uitspraak van de Rechtbank Den Haag;
- TGB is niet verplicht om afschriften van stukken, interne analyses en de vastlegging van beraadslaging te delen bij een inzageverzoek zoals de klant verzoekt, maar slechts een overzicht van de verwerkte persoonsgegevens.
Met betrekking tot het eerste verweer bevestigt de AP dat de beweegredenen tot het indienen van een inzageverzoek belangrijk zijn en dat geen misbruik van het inzagerecht mag worden gemaakt. Misbruik van recht moet niet te snel worden aangenomen: informatie verkregen uit een inzageverzoek mag ook voor andere doelen gebruikt worden NB. BANNING heeft diverse blogartikelen gepubliceerd over de (on)rechtmatigheid van inzageverzoeken. Zie hiervoor Waar dienen overheden op te letten bij een inzageverzoek op grond van artikel 15 AVG? , Misbruik van het inzagerecht: fishing expeditions en Misbruik van inzagerecht Wbp . De AP gaat eveneens voorbij aan het tweede verweer van TGB. De AP geeft aan dat de beslissing van de Rechtbank Den Haag slechts de betrokken partijen bindt.
Doordat de AP geen partij is geweest bij onderhavig geschil is zij niet gehouden aan de uitspraak. De AP vervolgt door de privacywetgeving te kenmerken als een systeem van handhaving (en rechtsbescherming), waarin de civielrechtelijke en de bestuursrechtelijke weg naast elkaar bestaan hetgeen in onze optiek ook juist is. Bij het derde verweer geeft de AP aan dat normaliter kan worden volstaan met een begrijpelijk overzicht van de verwerkte persoonsgegevens. Indien met dit overzicht niet kan worden voldaan aan de doelstelling van het recht op inzage, moeten er volgens de AP ook afschriften worden verstrekt.
De AP komt niet toe aan een nadere beoordeling omdat TGB vooralsnog géén overzicht en/of aanvullende informatie heeft verstrekt.
Verbeuren dwangsom
De AP geeft TGB vervolgens twee maanden de tijd tot het verschaffen van inzage onder last van een dwangsom van 12.000,- euro per week. Na tijdige verstrekking door TGB constateerde klant echter dat het persoonsgegevensoverzicht onvolledig was. De AP heeft de onvolledigheid na een onderzoek bevestigd. TGB heeft hierop het overzicht aangevuld. Dit deed zij vier weken na oplegging van de dwangsom. Hierdoor verbeurde en betaalde TGB een dwangsom ter hoogte van 48.000,- euro.
Meer weten over inzageverzoeken onder de AVG? Neem vrijblijvend contact op met een van de leden van het Privacy-team van BANNING.
