Het inzagerecht: moeten bedrijven een inzageverzoek van persoonsgegevens altijd toekennen?

Sinds 25 mei 2018 geldt in Nederland de Algemene verordening gegevensbescherming (AVG). Het doel van de AVG is om persoonsgegevens te beschermen. Een persoonsgegeven is alle informatie die te herleiden is naar een natuurlijk persoon. De AVG biedt degene van wie het persoonsgegeven is het recht van inzage. Die persoon kan zijn persoonsgegevens inzien bij degene die verantwoordelijk is voor de verwerking van zijn gegevens. Die laatstgenoemde is dan verwerkingsverantwoordelijke.

Veel bedrijven zijn verwerkingsverantwoordelijke en krijgen daardoor te maken met verzoeken om inzage in persoonsgegevens. Moet u als bedrijf altijd voldoen aan zo'n inzageverzoek?

Wat houdt het inzagerecht precies in?

Het verwerken van persoonsgegevens moet op een rechtmatige, behoorlijke en transparante wijze gebeuren. Onderdeel daarvan is dat de betrokkene (degene wiens persoonsgegevens verwerkt worden) recht heeft op inzage in zijn persoonsgegevens. In de praktijk heeft de betrokkene recht op het volgende.

1. Uitsluitsel

De betrokken heeft in de eerste plaats het recht om uitsluitsel te verkrijgen over óf zijn gegevens verwerkt worden. Is dat het geval, dan heeft hij ook recht op aanvullende informatie, zoals:

• Met welk doel worden de persoonsgegevens verwerkt?
• Wat voor persoonsgegevens worden er verwerkt?
• Wie zijn de ontvangers van de persoonsgegevens? of
• Wat is de verwachte bewaartermijn?

2. Actief informeren

Daarnaast moet de betrokkene geïnformeerd worden over zijn recht op verwijdering, of rectificatie van de gegevens. Ook interne en externe klachtenprocedures moeten aan hem inzichtelijk gemaakt worden. Al deze informatie moet duidelijk worden uit de inzage waar een betrokkene recht op heeft.

Het inzagerecht is dus een zeer verstrekkend recht. Het biedt de betrokkene de mogelijkheid om de rechtmatigheid van de verwerking van zijn gegevens te controleren. Voor bedrijven betekent dit dat extra werk aan de winkel is.

3. Kopie van de gegevens

Degene die verantwoordelijk is voor de verwerking, verstrekt de betrokkene een kopie van de persoonsgegevens. Dit betekent niet dat diegene aanspraak maakt op het document waarin die persoonsgegevens zich bevinden. Van de verantwoordelijke wordt verwacht dat hij de inzage zoveel mogelijk elektronisch laat plaatsvinden. Zo zijn de gegevens direct en makkelijk in te zien voor de betrokkene. Dit kan door bijvoorbeeld een e-mail met een kopie of een overzicht van de gegevens te sturen.

4. Kosten van het inzagerecht

Aan inzage mogen geen kosten verbonden worden. Als de betrokkene verzoekt om meer dan één kopie van zijn persoonsgegevens, dan mogen voor de extra kopieën wél kosten in rekening gebracht worden. Dit gaat dan om een redelijke vergoeding voor de administratieve kosten. Een herhaald verzoek om dezelfde gegevens valt hier overigens niet onder. Daarvoor mogen geen kosten in rekening gebracht worden.

Uitzonderingen op het inzagerecht

Het inzagerecht is zoals benoemd verstrekkend, maar het kent ook grenzen. Een bedrijf hoeft niet altijd een verzoek toe te kennen. Daarbij gelden de volgende uitzonderingen.

1. Misbruik van recht

Het doel van het inzagerecht is een betrokkene inzicht geven in zijn persoonsgegevens. Zo kan hij controleren of ze juist zijn en rechtmatig verwerkt worden. Als het inzagerecht voor een ander doel gebruikt wordt, kan er sprake zijn van misbruik van recht. Als een betrokkene ook andere belangen heeft, hoeft er nog geen sprake te zijn van misbruik van recht.

Recent oordeelde de rechtbank dat het inzagerecht niet kan worden gebruikt om inzage te krijgen in een procesdossier van een proces waarvan de betrokkene zelf geen partij is. Procesdossiers zijn niet openbaar. Het inzagerecht kan niet gebruikt worden om alsnog toegang te krijgen tot een dergelijk dossier.

2. Algemene weigeringsgronden

De Nederlandse uitvoeringswet van de AVG biedt ook algemene weigeringsgronden voor een inzageverzoek. Hierbij valt te denken aan zaken die samenhangen met de nationale veiligheid en bescherming van de rechtstaat. Ook de bescherming van de rechten en vrijheden van anderen kan een grond zijn om een inzageverzoek te weigeren. Daarvoor moet echter wel sprake zijn van een dusdanig disproportioneel verzoek, dat die rechten en vrijheden aangetast worden. Daar zal niet snel sprake van zijn.

3. Rechten en vrijheden van anderen

Het recht om een kopie van de persoonsgegevens te krijgen, mag geen afbreuk doen aan de rechten en vrijheden van anderen. Voor zover een kopie van persoonsgegevens bijvoorbeeld vertrouwelijke informatie bevat, hoeft deze niet verstrekt te worden. Ook bijvoorbeeld octrooi- of auteursrechten kunnen in de weg staan aan het verstrekken van een kopie. Overigens moet altijd bekeken worden in hoeverre de persoonsgegevens wél verstrekt kunnen worden. Eventueel worden vertrouwelijke gegevens daarvoor verwijderd of weggelakt.

Het inzagerecht samengevat

Het inzagerecht is een verstrekkend recht van een betrokkene. De betrokkene moet kunnen controleren óf zijn persoonsgegevens verwerkt worden en zo ja, of dat correct en rechtmatig gebeurt. Het is voor u als verwerkingsverantwoordelijk bedrijf lastig om een verzoek hiertoe te weigeren. Er zijn wel uitzonderingen mogelijk, maar deze zullen niet vaak voorkomen.

Twijfelt u of u een inzageverzoek kan weigeren of heeft u andere vragen over persoonsgegevens of de AVG? Neem dan vooral contact op met onze experts van het team Privacy. Wij helpen u graag verder.