Blogs

Hoe ver gaat het recht op inzage onder de AVG?

26/09/19 Bekijk reacties Verwachte leestijd: 5 minuten

Op grond van artikel 15 van de Algemene Verordening Gegevensbescherming (AVG) mag een betrokkene een organisatie vragen of zijn of haar persoonsgegevens worden verwerkt. Is het antwoord ‘ja’? Dan mag de betrokkene deze gegevens ook inzien. Maar hoe ver gaat dit recht op inzage?

Artikel 15 AVG

Artikel 15 van de AVG geeft een betrokkene:
‘het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens (…)’.

Met dit recht op inzage kan een betrokkene controleren welke persoonsgegevens door de organisatie worden verwerkt en of deze persoonsgegevens wel kloppen. De organisatie moet de betrokkene op zijn verzoek ook informeren over het gebruik van de gegevens. Zo moet ze de betrokkene onder meer laten weten voor welke doeleinden de gegevens worden verwerkt, aan wie ze worden verstrekt en hoe lang ze worden bewaard.

Op grond van de verstrekte informatie kan een betrokkene dan gebruik maken van andere in de AVG opgenomen privacyrechten, zoals het recht om de persoonsgegevens te wijzigen, te wissen of de verwerking te beperken.

Van het recht op inzage wordt op dit moment veel gebruik gemaakt, bijvoorbeeld door klanten van grote zakelijke dienstverleners, maar ook door leden van (sport)verenigingen en werknemers. Veel organisaties worstelen echter nog met de AVG. Bij de Autoriteit Persoonsgegevens zijn in de eerste zes maanden van 2019 dan ook 60% meer klachten binnengekomen dan in de laatste zes maanden van 2018. Een groot deel van die klachten gaat over het inzagerecht.

Hoe ver gaat het recht op inzage?

Een betrokkene (van 16 jaar of ouder) heeft alleen recht op inzage in zijn of haar eigen persoonsgegevens. Als de organisatie daarom vraagt moet de betrokkene een inzageverzoek nader preciseren. Doet de betrokkene dat niet, of is er sprake van een herhaaldelijk verzoek, waardoor het voor de organisatie te arbeidsintensief of te kostbaar wordt om eraan te voldoen? Dan mag de organisatie het verzoek weigeren, zo oordeelde de rechtbank Amsterdam deze zomer.

Daarnaast geeft artikel 41 van de Uitvoeringswet AVG (UAVG) een aantal uitzonderingen, op grond waarvan een organisatie een inzageverzoek mag weigeren. Bijvoorbeeld als dat noodzakelijk is:

  • voor de openbare veiligheid
  • om strafbare feiten te voorkomen of op te sporen
  • om de rechten en vrijheden van anderen te beschermen

Het gaat dan om uitzonderlijke gevallen. De organisatie moet de weigering bovendien schriftelijk onderbouwen.

Is er geen sprake van een van bovengenoemde gevallen? Dan moet de organisatie in principe binnen 30 dagen aan het inzageverzoek voldoen. Daarbij gaat het recht op inzage onder de AVG verder dan onder de Wet bescherming persoonsgegevens (Wbp). Op grond van lid drie van artikel 15 AVG moet de verwerkingsverantwoordelijke de betrokkene namelijk een kopie verstrekken van de persoonsgegevens die worden verwerkt. Onder de Wbp hoefde dit niet en kon de organisatie volstaan met een volledig overzicht van persoonsgegevens, op basis waarvan de betrokkene de persoonsgegeven kon controleren.

Betekent dit dan ook dat de organisatie een integrale kopie van de documenten of het dossier waarin de persoonsgegevens zijn opgenomen aan de betrokkene moet verstrekken? Het antwoord op die vraag is ‘nee’.

Het recht op inzage is beperkt tot persoonsgegevens van de betrokkene. Heeft de organisatie er geen probleem mee het hele document of het hele dossier te verstrekken? Dan kan dat gewoon. Maar de organisatie moet daarbij ook de rechten en vrijheden van anderen beschermen. En soms zal de organisatie een document of dossier liever niet integraal willen verstrekken, bijvoorbeeld als er sprake is van een conflict. Dat was ook het geval in een zaak die kort geleden bij het Gerechtshof in Den Haag diende. In die zaak moest een kerk de betrokkene van het hof uiteindelijk inzage geven in vertrouwelijke documenten waarin haar persoonsgegevens waren opgenomen, maar mocht de kerk die documenten wel zodanig anonimiseren dat de betrokkene niet kon herleiden wie bepaalde uitlatingen over haar had gedaan.

Overigens: persoonlijke notities, die niet zijn bestemd om in een dossier terecht te komen, vallen niet onder het inzagerecht. Zodra deze notities echter wel in een dossier of bestand worden opgenomen, of worden gedeeld met derden, vallen zij er weer wel onder.

Vragen?

Heeft u vragen over dit onderwerp? Neemt u dan gerust contact op met een van onze advocaten privacyrecht.

Lees ook:

AVG: hoe ver gaat het recht om vergeten te worden?
Recht op vergetelheid: verwijderen van gegevens in zoekmachines

 

2 reacties op “Hoe ver gaat het recht op inzage onder de AVG?

  1. L.s.,
    Stel, dat een persoon van zichzelf de MRI-gegevens opvraagt.
    De betrokken instantie stuurt die hem per CD-rom.
    “Het is niet toegestaan een kopie te maken.” staat er op de door patiënt(e) zelf ontvangen CD-rom, betrekking hebbend op MRI-gegevens over N.B. haar/zijn eigen lichaam.
    Ik ga er vanuit, dat dit “niet toegestaan” geldt voor iedereen, behalve voor betrokkene zelf.
    Is dat uitgangspunt juist?
    Ik vertrouw op uw snelle (re)actie, waarvoor ik u bij voorbaat dank.

    1. In beginsel geldt ten aanzien van het recht van inzage het volgende: De betrokkene heeft het recht een kopie van alle persoonsgegevens die worden verwerkt te ontvangen. De betrokkene heeft het recht deze kopie in een gangbare elektronische vorm te verkrijgen. Daarmee kan de betrokkene de informatie eenvoudig lezen op een laptop of telefoon. Een pdf-bestand waarin tekst niet te selecteren en kopiëren is, is bijvoorbeeld een “gangbare elektronische vorm”.

      De verwerkingsverantwoordelijke (in de casus die u schetst is dat naar alle waarschijnlijkheid de betrokken instantie) mag het hergebruik van deze kopie niet hinderen, bijvoorbeeld door geheimhouding te verlangen of een auteurs- of databankrechtclaim te leggen op de informatie.

      De verwerkingsverantwoordelijke mag dus in beginsel niet het hergebruik (maken van een kopie) door de betrokkene hinderen.

      Wel moet de kanttekening worden gemaakt, dat ik de precieze feiten en omstandigheden van het geval niet ken. Ik ga nu louter af op de door u geschetste casus. Het is mogelijk dat de precieze feiten en omstandigheden van dit specifieke geval tot een ander oordeel leiden, maar in beginsel is uw uitgangspunt juist.


Plaats zelf een reactie

Het e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *

Terug naar alle blogs