Het inzagerecht: moeten bedrijven een inzageverzoek van persoonsgegevens altijd toekennen?
Datum: 03 maart 2022
Geschreven door: Sander Poelman
Leestijd: +/- 2 minuten
Datum: 03 maart 2022
Geschreven door: Sander Poelman
Leestijd: +/- 2 minuten
Sinds 25 mei 2018 geldt in Nederland de Algemene verordening gegevensbescherming (AVG). Het doel van de AVG is om persoonsgegevens te beschermen. Een persoonsgegeven is alle informatie die te herleiden is naar een natuurlijk persoon. De AVG biedt degene van wie het persoonsgegeven is het recht van inzage. Die persoon kan zijn persoonsgegevens inzien bij degene die verantwoordelijk is voor de verwerking van zijn gegevens. Die laatstgenoemde is dan verwerkingsverantwoordelijke.
Veel bedrijven zijn verwerkingsverantwoordelijke en krijgen daardoor te maken met verzoeken om inzage in persoonsgegevens. Moet u als bedrijf altijd voldoen aan zo'n inzageverzoek?
Het verwerken van persoonsgegevens moet op een rechtmatige, behoorlijke en transparante wijze gebeuren. Onderdeel daarvan is dat de betrokkene (degene wiens persoonsgegevens verwerkt worden) recht heeft op inzage in zijn persoonsgegevens. In de praktijk heeft de betrokkene recht op het volgende.
De betrokken heeft in de eerste plaats het recht om uitsluitsel te verkrijgen over óf zijn gegevens verwerkt worden. Is dat het geval, dan heeft hij ook recht op aanvullende informatie, zoals:
Daarnaast moet de betrokkene geïnformeerd worden over zijn recht op verwijdering, of rectificatie van de gegevens. Ook interne en externe klachtenprocedures moeten aan hem inzichtelijk gemaakt worden. Al deze informatie moet duidelijk worden uit de inzage waar een betrokkene recht op heeft.
Het inzagerecht is dus een zeer verstrekkend recht. Het biedt de betrokkene de mogelijkheid om de rechtmatigheid van de verwerking van zijn gegevens te controleren. Voor bedrijven betekent dit dat extra werk aan de winkel is.
Degene die verantwoordelijk is voor de verwerking, verstrekt de betrokkene een kopie van de persoonsgegevens. Dit betekent niet dat diegene aanspraak maakt op het document waarin die persoonsgegevens zich bevinden. Van de verantwoordelijke wordt verwacht dat hij de inzage zoveel mogelijk elektronisch laat plaatsvinden. Zo zijn de gegevens direct en makkelijk in te zien voor de betrokkene. Dit kan door bijvoorbeeld een e-mail met een kopie of een overzicht van de gegevens te sturen.
Aan inzage mogen geen kosten verbonden worden. Als de betrokkene verzoekt om meer dan één kopie van zijn persoonsgegevens, dan mogen voor de extra kopieën wél kosten in rekening gebracht worden. Dit gaat dan om een redelijke vergoeding voor de administratieve kosten. Een herhaald verzoek om dezelfde gegevens valt hier overigens niet onder. Daarvoor mogen geen kosten in rekening gebracht worden.
Het inzagerecht is zoals benoemd verstrekkend, maar het kent ook grenzen. Een bedrijf hoeft niet altijd een verzoek toe te kennen. Daarbij gelden de volgende uitzonderingen.
Het doel van het inzagerecht is een betrokkene inzicht geven in zijn persoonsgegevens. Zo kan hij controleren of ze juist zijn en rechtmatig verwerkt worden. Als het inzagerecht voor een ander doel gebruikt wordt, kan er sprake zijn van misbruik van recht. Als een betrokkene ook andere belangen heeft, hoeft er nog geen sprake te zijn van misbruik van recht.
Recent oordeelde de rechtbank dat het inzagerecht niet kan worden gebruikt om inzage te krijgen in een procesdossier van een proces waarvan de betrokkene zelf geen partij is. Procesdossiers zijn niet openbaar. Het inzagerecht kan niet gebruikt worden om alsnog toegang te krijgen tot een dergelijk dossier.
De Nederlandse uitvoeringswet van de AVG biedt ook algemene weigeringsgronden voor een inzageverzoek. Hierbij valt te denken aan zaken die samenhangen met de nationale veiligheid en bescherming van de rechtstaat. Ook de bescherming van de rechten en vrijheden van anderen kan een grond zijn om een inzageverzoek te weigeren. Daarvoor moet echter wel sprake zijn van een dusdanig disproportioneel verzoek, dat die rechten en vrijheden aangetast worden. Daar zal niet snel sprake van zijn.
Het recht om een kopie van de persoonsgegevens te krijgen, mag geen afbreuk doen aan de rechten en vrijheden van anderen. Voor zover een kopie van persoonsgegevens bijvoorbeeld vertrouwelijke informatie bevat, hoeft deze niet verstrekt te worden. Ook bijvoorbeeld octrooi- of auteursrechten kunnen in de weg staan aan het verstrekken van een kopie. Overigens moet altijd bekeken worden in hoeverre de persoonsgegevens wél verstrekt kunnen worden. Eventueel worden vertrouwelijke gegevens daarvoor verwijderd of weggelakt.
Het inzagerecht is een verstrekkend recht van een betrokkene. De betrokkene moet kunnen controleren óf zijn persoonsgegevens verwerkt worden en zo ja, of dat correct en rechtmatig gebeurt. Het is voor u als verwerkingsverantwoordelijk bedrijf lastig om een verzoek hiertoe te weigeren. Er zijn wel uitzonderingen mogelijk, maar deze zullen niet vaak voorkomen.
Twijfelt u of u een inzageverzoek kan weigeren of heeft u andere vragen over persoonsgegevens of de AVG? Neem dan vooral contact op met onze experts van het team Privacy. Wij helpen u graag verder.
Als advocaten voor ondernemers begrijpen wij het belang van voorop blijven. Samen met ons heeft u alle kansen en risico’s in het vizier. Neem gerust contact met ons op en laat u persoonlijk informeren over onze diensten.