Met de recente inwerkingtreding van de AVG hebben burgers de mogelijkheid om aan zogeheten ‘
verwerkers’, personen of instanties die persoonsgegevens verwerken, inzage te vragen in de gegevens die over hen worden verwerkt. Hoe werkt dit inzagerecht en waar dienen betrokkenen -degenen van wie de gegevens worden verwerkt- hierbij op te letten? In deze bijdrage wordt ingegaan op de relevante juridische kaders en wat u kunt ondernemen tegen een instantie die niet, of niet behoorlijk meewerkt aan een verzoek tot inzage.
Inzagerecht onder de oude Wet bescherming persoonsgegevens
Het inzagerecht is met de komst van de AVG, afgelopen 25 mei 2018, niet nieuw. De AVG heeft de oude Wet bescherming persoonsgegevens (Wbp) vervangen. Deze is niet langer meer geldig. Ook onder de Wbp hadden betrokkenen een inzagerecht, echter was deze op een aantal punten anders. De verwerker -degene die de gegevens verwerkt- dient, net als in de AVG, binnen vier weken te reageren op een verzoek tot inzage. Als hij niet tijdig reageert op het verzoek, kan de betrokkene zich tot de rechter wenden. De
betrokkene kan daarbij een kort gedingprocedure starten (in geval van spoedeisendheid) of een verzoekschrift indienen. Op die manier kan hij ervoor zorgen alsnog inzage in de gegevens te krijgen.
Rechtsbescherming bij inzagerecht publieke instellingen
De AVG maakt onderscheid tussen publieke instellingen (denk bijvoorbeeld aan gemeentes) en niet-publieke instellingen. Voor publieke instellingen geldt in de AVG een speciale regeling m.b.t. het inzagerecht. Dit is neergelegd in art. 34 van de Uitvoeringswet AVG. Op een schriftelijk verzoek tot inzage dient het
bestuursorgaan -dit is een bepaald specifieke soort publieke instelling krachtens de Algemene wet bestuursrecht- binnen vier weken te reageren. In tegenstelling tot verzoeken bij reguliere instanties zijn in dat geval een aantal aanvullende bepalingen van toepassing. De betrokkene kan na de termijn van vier weken het bestuursorgaan een
ingebrekestelling versturen. Deze termijn bedraagt twee weken. Bij niet-publieke instellingen geldt een andere regeling (zie hierna onder 'rechtsbescherming bij inzagerecht niet-publieke instellingen).
Wijze van ingebrekestelling
De ingebrekestelling dient schriftelijk te worden verstuurd, of elektronisch. Dit laatste kan alleen als het bestuursorgaan te kennen heeft gegeven dat communicatie via de elektronische weg mogelijk is. Aan de ingebrekestelling zijn geen specifieke voorwaarden verbonden. Vereist is slechts dat duidelijk vast staat op welk onderwerp de ingebrekestelling betrekking heeft en dat het bestuursorgaan te laat is in het verstrekken van de opgevraagde gegevens.
Niet-tijdige beslissing inzagerecht
Beslist het bestuursorgaan ook na de ingebrekestelling niet, of niet behoorlijk, kan vervolgens door de betrokkene beroep worden ingesteld bij de rechtbank. Het bestuursorgaan is na de termijn in de ingebrekestelling
dwangsommen verschuldigd. Is de gang naar de rechter gemaakt, dan zal de rechter het verzoek om inzage in de gegevens toe- of afwijzen. De rechter kan dan in plaats van het bestuursorgaan een besluit nemen. De belanghebbende heeft recht op een maximumbedrag van €1260,- aan verschuldigde dwangsommen.
Rechtsbescherming bij inzagerecht niet-publieke instellingen
Als een belanghebbende een niet-publieke instelling om inzage vraagt, dient deze ‘onverwijld’ maar uiterlijk binnen een maand informatie te geven over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de omstandigheden kan deze termijn met twee maanden worden verlengd. De
verwerkingsverantwoordelijke dient dit binnen uiterlijk één maand na ontvangst van het verzoek mede te delen. Doet hij dit niet, dan kan de betrokkene direct de gang naar de rechter maken.
Gerechtelijke procedure
De niet-publieke instelling dient dus in principe binnen vier weken reactie te geven. Als de niet-publieke instelling het verzoek om inzage afwijst of niet tijdig beslist, kan de betrokkene (de AVG spreekt over: belanghebbenden) een gerechtelijke procedure starten. De betrokkene kan de rechter dan vragen om de verwerkingsverantwoordelijke te bevelen het verzoek alsnog toe- of af te wijzen (art. 35 UAVG). De belanghebbende dient dit verzoek binnen zes weken in te dienen door middel van een
verzoekschrift bij de rechtbank. Uitzondering hierop is als de verwerkingsverantwoordelijke niet binnen één maand heeft gereageerd. Als dit het geval is, dan kan het verzoekschrift wanneer dan ook worden ingediend. Er is dan geen uiterlijke termijn verbonden aan de indiening van het verzoekschrift.
Beoordeling verzoek
Als de gang naar de rechter gemaakt wordt, zal die zich over het verzoek buigen. Hij zal het verzoek toewijzen als dit gegrond acht. De rechtbank kan het verzoekschrift schriftelijk in behandeling nemen, maar onder bepaalde omstandigheden zal de rechtbank aan de belanghebbenden vragen om hun zienswijze naar voren te brengen. Dit betreft geen zienswijze in de zin van de Algemene wet bestuursrecht, maar ziet op de situatie waarin belanghebbenden hun mening over de kwestie kenbaar kunnen maken.
Verzoekschrift
Ratio achter de AVG is onder meer dat burgers de controle kunnen houden over welke persoonsgegevens over hen verwerkt worden en door wie. Rechtsbescherming dient dan ook adequaat en eenvoudig toegankelijk te zijn. Om die reden bepaald het UAVG dat het verzoekschrift (zowel bij publieke instellingen als bij niet-publieke instellingen) niet behoeft te worden ingediend door middel van een advocaat. In veel gevallen is dit echter wel wenselijk in verband met het vaststellen van de geleden schade en een vordering tot schadevergoeding in te dienen.
Schadevergoeding
Een advocaat met gedegen kennis van het privacyrecht is in staat om het verzoek juridisch correct vorm te geven. Een persoon die zelfstandig het verzoekschrift indient zal in de meeste gevallen slechts bereiken dat het verzoek om verstrekking van persoonsgegevens wordt toegewezen. Echter, een advocaat privacyrecht zal het verzoekschrift breder kunnen opstellen en ook de geleden schade kunnen verhalen op de verwerkingsverantwoordelijke. Gedegen kennis van de AVG en de UAVG zal immers tot gevolg hebben dat in de procedure kan worden aangetoond dat de verwerkingsverantwoordelijke zijn plichten uit hoofde van de AVG niet is nagekomen.
Advocaat privacyrecht
Voor zowel verwerkingsverantwoordelijken als voor personen die het recht op inzage inroepen, is de AVG een complex juridisch kader. Onze advocaat privacyrecht staat zowel particulieren als bedrijven en publieke instellingen bij. Onder meer met advies, maar ook procesvoering en compliance.
