Op 10 augustus 2023 heeft de rechtbank Amsterdam geoordeeld dat de boete die de Autoriteit Persoonsgegevens (AP) aan DPG Media heeft opgelegd, niet terecht is. Begin 2022 heeft de AP een boete van 525.00 euro aan het mediabedrijf opgelegd voor het overtreden van de AVG. De rechtbank constateert dat er wel een overtreding van de AVG was, maar vindt dat de opgelegde boete niet betaald hoeft te worden.
De betreffende overtreding had te maken met het identificatieproces dat DPG Media gebruikt voor verzoeken van klanten om inzage in hun persoonsgegevens te verkrijgen. Als betrokkene (degene waarvan persoonsgegevens worden verwerkt) heb je namelijk op basis van artikel 12 AVG het recht om jouw gegevens op te vragen bij een organisatie. Zo kan je inzicht verkrijgen in welke gegevens er van jou worden verwerkt. Daarnaast staat er in het artikel dat je kunt vragen of een bedrijf de persoonsgegevens verwijdert.
Voordat een organisatie die gegevens mag verstrekken, moet de identiteit van de aanvrager worden gecontroleerd. Volgens de rechtbank mogen daarvoor maatregelen worden genomen die eventueel belemmeren, maar die maatregelen mogen niet onnodig zijn.
Een onjuiste inschatting
DPG Media vroeg klanten om een kopie van hun identiteitsbewijs op te sturen wanneer ze hun persoonsgegevens wilden inzien, wat volgens de rechtbank een te strenge en ingewikkelde procedure was. Het vragen van een kopie ID is niet onredelijk, maar het standaard vragen ervan wel. Niet alle persoonsgegevens zijn namelijk even gevoelig en dus mag je niet voor alle inzageverzoeken die werkwijze hanteren. Bij minder gevoelige gegevens zou identificatie bijvoorbeeld ook via e-mail kunnen. Het opwerpen van een onnodige drempel, zoals een uitvoerig identificatieproces, hindert het uitoefenen van het recht op gegevensinzage en verwijdering zoals beschreven in artikel 12 van de AVG.
Ondanks dat DPG Media de AVG heeft overtreden, had de AP niet direct een boete hoeven opleggen. DPG Media heeft slechts een onjuiste inschatting gemaakt en dit werd door de AP ernstiger ingeschat dan het volgens de rechtbank was.
Daarnaast had de rechtbank kritiek op de handelwijze van de AP. De toezichthouder had bijvoorbeeld eerder contact kunnen opnemen met DPG Media om het beleid te bespreken. DPG Media heeft namelijk expliciet in een e-mail aan de AP gevraagd of het beleid voor het controleren van de identiteit mocht worden voortgezet. De AP had daarom al eerder voldoende informatie om te kunnen concluderen dat het beleid van DPG Media in strijd was met de AVG en heeft te lang gewacht met de communicatie hierover.
De toezichthouder moet nu ruim 2000 euro aan DPG Media betalen als compensatie voor proceskosten en griffierecht. De AP heeft de mogelijkheid om in hoger beroep te gaan, maar tot nu toe heeft ze nog geen duidelijkheid gegeven over haar vervolgstappen.
Hulp nodig bij het inrichten van het inzageproces?
Heb je vragen over het opvragen van een kopie ID of wil je weten hoe je het inzageproces in jouw organisatie het beste kunt inrichten? Neem dan contact met ons op, we denken graag met je mee!