Hoe ver reikt een inzageverzoek?
Op 12 januari 2023 heeft het Hof van Justitie van de Europese Unie uitspraak gedaan over het inzagerecht. De zaak ging over een conflict tussen een Oostenrijkse burger en het postbedrijf ‘Österreichische Post’. De man wil van het postbedrijf weten met wie zijn persoonsgegevens precies zijn gedeeld.
Volgens de Algemene verordening gegevensbescherming (AVG) heb je het recht om in te zien welke persoonsgegevens er van jou verwerkt worden en met wie deze gegevens worden gedeeld. Dit wordt het inzagerecht (of recht op inzage) genoemd. Dit volgt uit de doelstellingen en verschillende artikelen van de AVG.
In deze uitspraak van het Hof wordt de samenhang tussen deze wetsartikelen en de doelstellingen met betrekking tot het inzagerecht op een rijtje gezet. Hierbij komen óók de beperkingen op dit recht aan bod. Deze uitspraak geeft dus een mooi overzicht van het inzagerecht.
Het recht op inzage
In deze zaak werd aan het Hof een vraag gesteld over de uitleg van artikel 15 lid 1 sub c AVG. Het ging in het bijzonder om het volgende: is de verwerkingsverantwoordelijke verplicht om de betrokkene te vertellen wat de concrete identiteit van de ontvangers is waarmee hij persoonsgegevens deelt? Of kan je volstaan met alleen het benoemen van een categorie van ontvangers?
Het Hof zegt hierover het volgende. Volgens de AVG heb je recht om informatie te verkrijgen over het al dan niet verwerken van je persoonsgegevens. En als dit het geval is, om vervolgens inzage te verkrijgen om welke persoonsgegevens het gaat én wie deze persoonsgegevens ontvangen.
Ook gelden bij de verwerking van persoonsgegevens de beginselen uit artikel 5 AVG, zoals het transparantiebeginsel. Dit betekent dat de betrokkene geïnformeerd moet worden over de manier waarop zijn gegevens worden verwerkt.
Daarnaast moet de betrokkene kunnen controleren of de gegevens die gedeeld zijn met derden juist zijn. Bijvoorbeeld voor zijn recht op rectificatie of verwijdering.
Het Hof is daarom van oordeel dat het voor de uitoefening van de rechten van betrokkenen noodzakelijk is om te weten wie de concrete ontvangers van hun persoonsgegevens zijn.
Beperkingen op het inzagerecht
Maar er zijn ook uitzonderingen en beperkingen op het inzagerecht. Het recht op de bescherming van persoonsgegevens is namelijk geen absoluut recht.
De bescherming van persoonsgegevens moet afgewogen worden tegen de bescherming van andere grondrechten. Hierdoor is het in bepaalde omstandigheden toch niet mogelijk om informatie over de concrete ontvanger van de persoonsgegevens te verstrekken.
Daarnaast kan de verwerkingsverantwoordelijke een verzoek om informatie over de concrete ontvanger van de persoonsgegevens weigeren, als het verzoek kennelijk ongegrond of buitensporig van aard is.
Wat deze uitspraak voor organisaties betekent
Met het oog op het doel van de AVG en de uitoefening van rechten van betrokkenen, ben je verplicht de betrokkenen informatie te geven over de concrete identiteit van de ontvangers met wie je hun persoonsgegevens deelt.
Dit is alleen anders als het onmogelijk is om deze ontvangers te identificeren. Of als je kunt aantonen dat het geven van die informatie (over de concrete identiteit van de ontvanger) ongegrond of buitensporig van aard is.
Wil je weten hoe je het beste kunt reageren op een inzageverzoek? Neem contact met ons op voor advies.