Hoe ver gaat het recht op inzage onder de AVG?

In een reeks blogs vertel ik u meer over de rechten van betrokkenen onder de AVG. In dit eerste blog behandel ik het recht op inzage. Op grond van artikel 15 van de Algemene Verordening Gegevensbescherming (AVG) mag een betrokkene vragen of uw organisatie zijn persoonsgegevens verwerkt. Is dat het geval? Dan mag de betrokkene deze gegevens ook inzien. Maar hoe ver gaat dit recht op inzage?

Artikel 15 AVG

Artikel 15 van de AVG geeft een betrokkene:

‘het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens (…)’.

Met dit recht op inzage kan de betrokkene controleren welke persoonsgegevens uw organisatie verwerkt en of deze persoonsgegevens wel kloppen. U moet de betrokkene op zijn verzoek ook informeren over het gebruik van de gegevens. Zo moet u hem onder meer laten weten voor welke doeleinden u de gegevens verwerkt, aan wie u ze verstrekt en hoe lang u ze bewaart. Dat kunt overigens bij voorbaat al doen, bijvoorbeeld in uw privacystatement. Als u een verzoek krijgt, kunt u naar dit statement verwijzen.

Zodra de betrokkene weet welke persoonsgegevens uw organisatie verwerkt, kan hij ook gebruik maken van andere in de AVG opgenomen privacyrechten, zoals het recht om deze persoonsgegevens te wijzigen, te wissen of de verwerking te beperken.

Van het recht op inzage wordt op dit moment veel gebruik gemaakt, bijvoorbeeld door klanten van grote zakelijke dienstverleners, maar ook door leden van (sport)verenigingen en werknemers. Veel organisaties worstelen echter nog met de AVG. Bij de Autoriteit Persoonsgegevens zijn in de eerste zes maanden van 2019 dan ook 60% meer klachten binnengekomen dan in de laatste zes maanden van 2018. Een groot deel van die klachten gaat over het inzagerecht.

Hoe ver gaat het recht op inzage?

Een betrokkene (van 16 jaar of ouder) heeft alleen recht op inzage in zijn of haar eigen persoonsgegevens. U mag de betrokkene vragen om een inzageverzoek nader preciseren. Doet de betrokkene dat niet, of is er sprake van een herhaaldelijk verzoek, waardoor het voor uw organisatie te arbeidsintensief of te kostbaar wordt om eraan te voldoen? Dan mag u het verzoek weigeren, zo oordeelde de rechtbank Amsterdam deze zomer.

Daarnaast geeft artikel 41 van de Uitvoeringswet AVG (UAVG) een aantal uitzonderingen, op grond waarvan u een inzageverzoek mag weigeren. Bijvoorbeeld als dat noodzakelijk is:

• voor de openbare veiligheid
• om strafbare feiten te voorkomen of op te sporen
• om de rechten en vrijheden van anderen te beschermen

Het gaat dan om uitzonderlijke gevallen. U moet een weigering bovendien schriftelijk onderbouwen.

Is er geen sprake van een van bovengenoemde gevallen? Dan moet u in principe binnen 30 dagen aan het inzageverzoek voldoen. Overigens gaat het recht op inzage onder de AVG verder dan onder de Wet bescherming persoonsgegevens (Wbp). Op grond van lid drie van artikel 15 AVG moet u de betrokkene namelijk een kopie verstrekken van de persoonsgegevens die worden verwerkt. Onder de Wbp hoefde dit niet en kon u volstaan met een volledig overzicht van persoonsgegevens, op basis waarvan de betrokkene de persoonsgegeven kon controleren.

Betekent dit dan ook dat u een integrale kopie van de documenten of het dossier waarin de persoonsgegevens zijn opgenomen aan de betrokkene moet verstrekken? Het antwoord op die vraag is ‘nee’.

Het recht op inzage is beperkt tot persoonsgegevens van de betrokkene. Heeft u er geen probleem mee het hele document of het hele dossier te verstrekken? Dan kan dat gewoon. Maar let op: u moet daarbij de rechten en vrijheden van anderen beschermen. En soms zal u een document of dossier liever niet integraal willen verstrekken, bijvoorbeeld als er sprake is van een conflict. Dat was ook het geval in een zaak die kort geleden bij het Gerechtshof in Den Haag diende. In die zaak moest een kerk de betrokkene van het hof uiteindelijk inzage geven in vertrouwelijke documenten waarin haar persoonsgegevens waren opgenomen, maar mocht de kerk die documenten wel zodanig anonimiseren dat de betrokkene niet kon herleiden wie bepaalde uitlatingen over haar had gedaan.

Overigens: persoonlijke notities, die niet zijn bestemd om in een dossier terecht te komen, vallen niet onder het inzagerecht. Zodra deze notities echter wel in een dossier of bestand worden opgenomen, of worden gedeeld met derden, vallen zij er weer wel onder.

Vragen?

Heeft u vragen over dit onderwerp? Hulp nodig bij het opstellen van uw privacystatement, of advies nodig in een concrete zaak waarin een betrokkene een beroep doet op het recht op inzage? Neemt u dan gerust contact op met een van onze advocaten privacyrecht.

Dit blog is onderdeel van een reeks:

AVG: hoe ver gaat het recht om vergeten te worden?
AVG: wat is het recht op rectificatie?
AVG: het recht op dataportabiliteit
AVG en het recht van bezwaar
AVG: wat is het recht op beperking van de verwerking
Geautomatiseerde besluitvorming en profilering. Wat zijn de rechten van betrokkenen onder de AVG?