Bij het gehoor geven aan een inzageverzoek doet de vraag zich voor of een verwerkingsverantwoordelijke kan volstaan met het mededelen van de categorieën van de betreffende ontvangers.
Uitsluitsel over deze vraag is recent door het Hof van Justitie van de Europese Unie (hierna: het Hof) gegeven. Het recht van inzage gaat verder en strekt zover dat een verwerkingsverantwoordelijke de betrokkene moet informeren over de specifieke ontvangers aan wie persoonsgegevens worden verstrekt.
Casus: Oostenrijker doet inzageverzoek
Een Oostenrijkse man vraagt aan een uitgever van telefoongidsen (Österreichische Post) inzage op grond van artikel 15 AVG. Hij wil weten welke persoonsgegevens van hem zijn verwerkt en aan welke partijen de gegevens zijn verstrekt. Österreichische Post antwoordt hierop dat zij in het kader van haar activiteit als uitgever van telefoongidsen gebruik maakt van persoonsgegevens en deze voor marketingdoeleinden aanbiedt aan zakelijke klanten. Voor nadere informatie verwijst Österreichische Post naar haar website.
Hiermee heeft Österreichische Post de verzoeker geen concrete informatie verstrekt over wie de ontvangers van de persoonsgegevens zijn. De Oosterijker heeft vervolgens de Österreichische Post gedaagd, waarna de zaak voorkomt bij de hoogste civiele federale rechter in Oostenrijk, het Oberste Gerichtshof. Het Oberste Gerichtshof stelt daaropvolgend een prejudiciële vraag aan het Hof of het recht tot inzage zich slechts beperkt tot categorieën van ontvangers.
Oordeel van het Hof
Het Hof benoemt in het arrest (ECLI:EU:C:2023:3) dat het eerder al heeft geoordeeld dat de uitoefening van het inzagerecht een betrokkene in staat moet stellen om na te gaan of gegevens rechtmatig verwerkt worden. Hiertoe is het ook nodig om te kunnen controleren of persoonsgegevens zijn verstrekt aan bevoegde ontvangers.
Het recht van inzage is noodzakelijk om een betrokkene toe te laten een aantal rechten uit de AVG uit te oefenen, waaronder het recht om bezwaar te maken tegen de verwerking van persoonsgegevens en het recht om gegevens te wissen. Hiervoor dient de betrokkene te weten wie de concrete ontvangers van persoonsgegevens zijn. Het Hof oordeelt daarom dat het recht op inzage meebrengt dat de verwerkingsverantwoordelijke verplicht is om aan betrokkene de identiteit van deze ontvangers mee te delen.
Uitzondering
Specifiek noemt het Hof de uitzondering die is opgenomen in artikel 12 lid 5 AVG. Hierin staat dat wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, de verwerkingsverantwoordelijke mag weigeren gevolg te geven aan het verzoek. Het is echter aan de verwerkingsverantwoordelijke om dit aan te tonen.
Wanneer de uitzondering van toepassing is, hoeft de verwerkingsverantwoordelijke volgens het Hof alleen de categorieën van de betreffende ontvangers mee te delen aan die betrokkenen.
Samenvattend
Kortgezegd heeft het Hof de vraag beantwoord of bij een inzageverzoek een overzicht met categorieën van ontvangers zou volstaan, of dat de concrete ontvangers van persoonsgegevens moeten worden verstrekt. Het Hof heeft besloten dat een verwerkingsverantwoordelijke bij een inzageverzoek de concrete ontvangers moet verstrekken. Dit komt erop neer dat een organisatie bij een inzageverzoek een overzicht moet kunnen overleggen waarin staat aan wie zij de persoonsgegevens heeft verstrekt.
Meer informatie?
Heeft uw organisatie een inzageverzoek ontvangen, of wilt u meer weten over dit onderwerp? Neem dan contact op met Marit Gorissen, E: marit.gorissen@nysingh.nl | T: 088 752 02 18 | M: +31 6 238 154 38 of Carola van Andel (M: +31 (0)6 13 00 45 93 E: carola.vanandel@nysingh.nl.