ECLI:NL:RBAMS:2020:348

Uitspraak

RECHTBANK AMSTERDAM

Bestuursrecht

zaaknummer: AMS 19/5825

uitspraak van de meervoudige kamer van 21 januari 2020 in de zaak tussen

[eiser 1] , te Amsterdam, eiser (hierna: [eiser 1] )

[eiser 2] ,vertegenwoordigd door haar mentor [eiser 1] , te Amsterdam, eiseres (hierna: [eiser 2] (tezamen: eisers)

(gemachtigde: mr. dr. C. Raat),

de minister van Volksgezondheid, Welzijn en Sport, verweerder

(gemachtigde: mr. M.A.H. Gatzen).

Als derde-partij heeft aan het geding deelgenomen:
[derde belanghebbende], gevestigd te Nunspeet (hierna: [derde belanghebbende] )

(gemachtigde: mr. A. Jagt).

Procesverloop

Bij besluiten van 12 januari 2018 (de primaire besluiten) heeft verweerder beslist op de verzoeken van eisers op grond van de Wet bescherming persoonsgegevens (Wbp).

Bij besluit van 16 mei 2018 (het bestreden besluit) heeft verweerder het bezwaar van eisers ongegrond verklaard.

Eisers hebben tegen het bestreden besluit beroep ingesteld.

Verweerder heeft een verweerschrift ingediend.

De rechtbank heeft het beroep tegen het bestreden besluit gesplitst in een zaak betreffende de Wbp (met zaaknummer AMS 19/5825) en een zaak betreffende de Wet openbaarheid van bestuur (Wob). De laatste zaak is geregistreerd onder zaaknummer AMS 18/4196. In elk van de zaken wordt afzonderlijk uitspraak gedaan.

Bij beslissing van 26 november 2019 heeft de rechtbank (in een andere samenstelling) beslist dat de beperking van de kennisneming als bedoeld in artikel 8:29 van de Algemene wet bestuursrecht (Awb) van de bij brief van 6 november 2019 overgelegde bijlage 3 (bijlage 1 tot en met 26) gerechtvaardigd is.

Eisers hebben de rechtbank toestemming verleend om van deze stukken kennis te nemen.

Het onderzoek ter zitting heeft plaatsgevonden op 10 december 2019. [eiser 1] en de gemachtigde van eisers waren aanwezig.

Verweerder heeft zich laten vertegenwoordigen door zijn gemachtigde en mr. R. Willemsen (juridisch adviseur bij de Inspectie Gezondheidszorg en Jeugd).
[derde belanghebbende] heeft zich laten vertegenwoordigen door mr. A. Jagt. Verder is namens [derde belanghebbende] verschenen mr. A.E.G. IJff (bedrijfsjurist).

Verder was aanwezig [de persoon] , voormalig advocaat van eisers.

Overwegingen

De aanleiding voor deze procedure

1.1.

[eiser 1] (mentor en bewindvoerder van [eiser 2] heeft op 22 maart 2017 bij de Inspectie voor de Gezondheidszorg (hierna: IGZ) een verzoek ingediend tot het ontvangen van alle correspondentie over [eiser 2] naar [derde belanghebbende] en de Tweede Kamer. Ook wil [eiser 1] alle correspondentie hebben die er is geweest tussen IGZ en [derde belanghebbende] en tussen IGZ en de voormalig mentor van eiseres ( [mentor] ). [eiser 1] beroept zich (onder andere) op de Wbp. Dit verzoek is door verweerder opgevat als (uitsluitend) een Wob-verzoek en daar is bij besluit van 31 augustus 2017 op beslist. Tegen dat besluit heeft [eiser 1] bezwaar gemaakt.

1.2.

[eiser 1] heeft tijdens de hoorzitting van 14 december 2017 in het kader van de Wob-bezwaarprocedure aangevoerd dat zijn verzoek van 22 maart 2017 bij de IGZ ook had moeten worden aangemerkt als twee verzoeken op grond van de Wbp (voor zowel [eiser 1] als [eiser 2] . Eisers hadden op zijn minst een overzicht moeten krijgen van alle persoonsgegevens die over hen zijn verwerkt, aldus eisers.

De besluitvorming

2. Met de primaire besluiten heeft verweerder beslist op de verzoeken die zijn gedaan tijdens de hoorzitting op 14 december 2017. In de primaire besluiten heeft verweerder meegedeeld dat de IGZ persoonsgegevens van eisers zijn verwerkt. Daarbij heeft verweerder aangegeven wat het doel van de registratie is, welke categorieën van gegevens worden verwerkt, wie de ontvangers van de gegevens zijn en wat de herkomst van de gegevens is. Verweerder heeft als bijlage een overzicht van de documenten waarin persoonsgegevens zijn verwerkt opgenomen en verder per document bovenstaande punten vermeld.

3. Bij het bestreden besluit heeft verweerder het bezwaar ongegrond verklaard. Daartoe heeft verweerder overwogen dat conform vaste jurisprudentie op de Wbp-verzoeken is beslist. Verweerder verwijst in dit kader naar het arrest van het Hof van Justitie van de Europese Unie (het Hof) van 17 juli 2014.^[1]Verweerder ziet geen redenen om bij de besluitvorming op grond van de Wbp op de inwerkingtreding van de Algemene Verordening Gegevensbescherming (hierna: AVG) te anticiperen. Met betrekking tot het bezwaar dat eisers verzoek in eerste instantie ten onrechte niet is behandeld als een Wbp-verzoek, merkt verweerder op dat dit voortvloeit uit en een rechtstreeks gevolg is van de formulering van eisers verzoek van 22 maart 2017, waarin is verzocht om documenten. Op 12 januari 2018 zijn alsnog de twee Wbp-besluiten genomen om eisers tegemoet te komen. Dit laatste naar aanleiding van hun verzoeken op de hoorzitting op 14 december 2017. Verweerder heeft daarom beslist dat eisers geen recht hebben op een dwangsom wegens het niet tijdig nemen van de primaire Wbp-besluiten.

Juridisch kader

4. De relevante bepalingen van de Wbp zijn opgenomen in de bijlage bij deze uitspraak. De bijlage maakt deel uit van de uitspraak.

Beoordeling door de rechtbank

Is [derde belanghebbende] belanghebbende bij de Wbp-procedure?

5.1.

De rechtbank heeft voorafgaand aan de zitting vragen gesteld aan partijen óf, en zo ja, waarom [derde belanghebbende] (derde)belanghebbende is bij de Wbp-procedure. Verweerder en [derde belanghebbende] menen van wel. De rechtbank heeft [derde belanghebbende] vooralsnog als derde-belanghebbende aangemerkt en uitgenodigd voor de zitting.

5.2.

Eisers voeren aan dat [derde belanghebbende] geen belanghebbende is bij de Wbp-procedure, omdat er geen sprake is van een specifiek en rechtstreeks belang. De Wbp beschermt de privacy-rechten van natuurlijke personen, maar [derde belanghebbende] is een rechtspersoon zonder recht op privacy. [derde belanghebbende] is niet in het leven geroepen om de (privacy)belangen van haar personeel te behartigen, aldus eisers.

5.3.

De rechtbank is van oordeel dat in dit geval [derde belanghebbende] wel belanghebbende is bij de Wbp-procedure. Daarbij acht de rechtbank de formulering en inhoud van de Wbp-verzoeken van belang. Daarin wordt immers gevraagd om de onderliggende stukken waarin persoonsgegevens verwerkt zijn. Deze stukken zijn voor een substantieel deel afkomstig van [derde belanghebbende] . [derde belanghebbende] heeft daarom een rechtens te respecteren belang om tegen mogelijke afgifte van deze stukken verweer te voeren. Het betoog van eisers slaagt niet.

Hebben eisers recht op afgifte van documenten waarin hun persoonsgegevens zijn verwerkt?

6.1.

Eisers voeren aan dat de onderliggende documenten waarin hun gegevens zijn verwerkt, overgelegd dienen te worden.^[2]

6.2.

De rechtbank overweegt als volgt. Uit de uitspraak van de Afdeling van 4 maart 2015^[3]volgt dat het recht op inzage als bedoeld in artikel 35, eerste lid, van de Wbp, uitsluitend betrekking heeft op de persoon betreffende gegevens die vallen onder het bereik van de Wbp. Het Hof heeft in het arrest van 17 juli 2014 over de wijze van verstrekking van deze gegevens overwogen dat het aan de lidstaten is om te bepalen welke concrete materiële vorm die verstrekking moet krijgen, mits deze in begrijpelijke vorm geschiedt. Voor zover aan de met het recht op inzage nagestreefde doelstelling volledig kan worden voldaan met een andere vorm van verstrekking, kan de betrokkene aan artikel 12, aanhef en onder a, van de Privacyrichtlijn geen rechten ontlenen om een afschrift te verkrijgen van het originele document of bestand waarin hem betreffende gegevens staan, aldus het Hof.

6.3.

Het is dan ook voldoende dat aan de aanvrager een volledig overzicht in begrijpelijke vorm van deze persoonsgegevens wordt verstrekt, voorzien van een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsook de beschikbare informatie over de herkomst van de gegevens, zodat de aanvrager die gegevens kan controleren op hun juistheid en kan controleren of zij in overeenstemming met de Wbp zijn verwerkt.^[4]

6.4.

Anders dan eisers stellen verplicht artikel 35 van de Wbp verweerder dus niet om de documenten aan hen te verstrekken. De door eisers aangehaalde jurisprudentie doet daar niet aan af. De rechtbank verwijst naar de uitspraak van de Afdeling van 7 augustus 2019 waar deze vaste jurisprudentie wordt weergegeven.^[5]Het betoog van eisers slaagt niet.

7.1.

Eisers hebben in dit kader nog aangevoerd dat de uitleg van de Wbp AVG-conform moet zijn en dat op grond van artikel 15, derde lid, van de AVG recht bestaat op een kopie van de verwerkingen.

7.2.

De rechtbank overweegt onder verwijzing naar de uitspraak van de Afdeling van 18 september 2019^[6]als volgt. Per 25 mei 2018 is de AVG in werking getreden en is de Wbp ingetrokken. Omdat het bestreden besluit in deze zaak vóór deze dag is genomen, blijft de Wbp in deze zaak van toepassing. Het beroep van eisers op de AVG kan daarom niet slagen.

Voldoet de besluitvorming aan de eisen van de Wbp?

8.1.

Eisers voeren aan dat de besluitvorming niet voldoet aan het vereiste van de Afdeling in de uitspraak van 7 juni 2017^[7]dat de betrokkene recht heeft op een volledig overzicht van de persoonsgegevens zelf en per verwerking een verantwoording van doel, bestemming etcetera van de verwerking. Verweerder mocht niet volstaan met - onbegrijpelijke en onvolledige - overzichten van categorieën van ontvangers. In dit kader verwijst eiser naar de uitspraak van de Afdeling van 30 november 2011^[8]. Het is eisers totaal niet duidelijk wat door wie met welk doel over hen is geschreven en wie daar allemaal verder nog betrokken bij zijn geweest.

8.2.

De rechtbank is van oordeel dat de wijze waarop door verweerder in de primaire besluiten inzicht is gegeven in de door verweerder verwerkte persoonsgegevens van eisers, inclusief de daarbij behorende overzichten, voldoet aan de Wbp. Er is een overzicht gegeven van bij [eiser 1] vijf verschillende persoonsgegevens en bij [eiser 2] van acht verschillende persoonsgegevens die verwerkt worden. En per document is in de bijlage aangegeven welk van die persoonsgegevens is verwerkt. Ook is aangegeven wie de ontvangers van de gegevens zijn en van wie de gegevens afkomstig zijn. Naar het oordeel van de rechtbank is een volledig overzicht in begrijpelijke vorm verstrekt op basis waarvan eisers zich van de juistheid en rechtmatigheid van de verwerking kunnen vergewissen en van hun rechten gebruik kunnen maken. De door eisers aangehaalde jurisprudentie maakt dat niet anders.

8.3.

Als eisers menen dat de verwerking van hun persoonsgegevens onrechtmatig is geweest, kunnen zij een verzoek tot rectificatie of verwijdering van hun persoonsgegevens doen. Dat valt echter buiten de reikwijdte van deze procedure, omdat deze procedure betrekking heeft op het inzagerecht.

9.1.

Eisers hebben aangevoerd dat in het overzicht ten onrechte niet is opgenomen of en hoe de gegevens zijn beschermd en wanneer deze onjuiste of verouderde gegevens worden vernietigd. Eiser heeft in dit kader verwezen naar de wettekst van artikel 35 van de Wbp en naar de uitspraak van de Afdeling van 30 januari 2013.^[9]

9.2.

De rechtbank overweegt als volgt. Noch uit de wettekst van artikel 35 van de Wbp noch uit de door eisers aangehaalde jurisprudentie kan worden opgemaakt dat aan de aanvrager, bedoeld in artikel 35 tweede lid, van de Wbp, deze gegevens dienen te worden verstrekt. Dat artikel 13 van de Wbp voorschrijft dat de verantwoordelijke passende technische en organisatorische maatregelen ten uitvoer legt om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking, betekent niet dat bij een verzoek op grond van artikel 35 van de Wbp aan de aanvrager meegedeeld dient te worden welke technische en organisatorische maatregelen dat zijn. De beroepsgrond slaagt niet.

10.1.

Eisers stellen dat verweerder de namen van de personen of instanties die de persoonsgegevens hebben ontvangen, niet mocht weglaten. Het gaat dan om de personen die deze gegevens uit hoofde van hun functies hebben ontvangen en niet om particulieren.

10.2.

De rechtbank stelt vast dat in de bijlages bij de primaire besluiten per document is vermeld wie de ontvanger is. Het gaat hierbij om natuurlijke personen, rechtspersonen en bestuursorganen. In zoverre kan de rechtbank het standpunt van eisers niet volgen dat namen van de personen of instanties die de persoonsgegevens hebben ontvangen, zijn weggelaten. Voor zover eisers bedoeld hebben dat per bestuursorgaan of rechtspersoon moet worden gespecificeerd welke natuurlijke persoon of personen namens het bestuursorgaan of rechtspersoon hun gegevens hebben verwerkt, ziet de rechtbank geen grondslag voor deze stelling. De beroepsgrond slaagt niet.

Zijn er meer documenten waarin de persoonsgegevens van eisers zijn verwerkt?

11.1.

Eisers hebben aangevoerd dat er meer stukken moeten zijn waarin hun persoonsgegevens zijn verwerkt. In dit kader hebben eisers verschillende BOPZ-dwangmaatregelen overgelegd die door verweerder niet in het overzicht van zesentwintig documenten zijn opgenomen.

11.2.

De rechtbank overweegt als volgt. Op de zitting heeft verweerder de zoekslag naar de aanwezigheid van documenten waarin persoonsgegevens van eisers worden verwerkt toegelicht. Uit de door eisers overgelegde stukken blijkt dat BOPZ-maatregelen over [eiser 2] niet naar boven zijn gekomen, terwijl daar overduidelijk persoonsgegevens in zijn verwerkt. Dit betekent dat de zoekslag te beperkt is geweest. Die documenten laten zien dat in elk geval niet alles is gevonden. Dit betekent dat een meer verfijnde zoekslag geboden is en daarover verantwoording geboden is. De beroepsgrond slaagt.

Hebben eisers recht op dwangsommen?

12.1.

Eisers voeren aan dat verweerder de e-mail van 22 maart 2017 ten onrechte slechts heeft aangemerkt als een Wob-verzoek en dat zij reeds op die datum hebben verzocht om besluitvorming op grond van de Wbp. De primaire besluitvorming is te laat geweest en er is recht op twee dwangsommen, aldus eisers.

12.2.

De rechtbank overweegt dat voor het antwoord op de vraag of door verweerder dwangsommen verschuldigd zijn wegens het te laat beslissen op de Wbp-verzoeken, doorslaggevend is het antwoord op de vraag of verweerder de e-mail van 22 maart 2017 ten onrechte heeft aangemerkt als slechts een Wob-verzoek en niet ook heeft opgevat als (twee) Wbp-verzoeken.

12.3.

De rechtbank overweegt onder verwijzing naar de uitspraak van de Afdeling van 17 april 2019^[10]als volgt. De kwalificatie van een verzoek als Wbp-verzoek is afhankelijk van de omstandigheden van het geval. Hoewel eisers in hun e-mail van 22 maart 2017 de Wbp hebben genoemd, is de rechtbank van oordeel dat voornoemde e-mail niet kan worden aangemerkt als een verzoek op grond van de Wbp. Uit de tekst van de e-mail, zoals hierboven zakelijk is weergegeven onder 1.1, kan niet worden afgeleid dat eisers wilden weten of hun persoonsgegevens werden verwerkt. Het is immers geen verzoek om informatie over (de verwerking van) hun persoonsgegevens, maar om documenten en correspondentie.

12.4.

Het voorgaande betekent dat verweerder de e-mail van 22 maart 2017 terecht niet mede heeft aangemerkt als Wbp-verzoek. Dit betekent dan ook dat verweerder geen dwangsommen verschuldigd is.

Conclusies

13. Gelet op het voorgaande zijn de beroepen gegrond. De rechtbank vernietigt het bestreden besluit. Zoals overwogen onder 11.2. is het bestreden besluit in strijd met artikel 3:2 van de Awb onzorgvuldig voorbereid en eveneens onvoldoende gemotiveerd. De rechtbank ziet geen mogelijkheid om het geschil finaal te beslechten. Verweerder zal een nieuwe beslissing op bezwaar moeten nemen met inachtneming van hetgeen hiervoor is overwogen. Dat betekent ook dat verweerder een nadere zoekslag zal moeten verrichten naar de aanwezigheid van documenten vallend onder de Wbp-verzoeken.

14. De rechtbank overweegt dat het door eisers ingediende beroepschrift door de rechtbank is gesplitst in twee zaken met aparte registratienummers. Eisers hebben geen griffierecht betaald voor het beroep in deze zaak met kenmerk AMS 19/5825. Verweerder hoeft dan ook geen griffierecht te vergoeden.

15. De rechtbank veroordeelt verweerder in de door eisers gemaakte proceskosten. Deze kosten stelt de rechtbank op grond van het Besluit proceskosten bestuursrecht voor de door een derde beroepsmatig verleende rechtsbijstand vast op € 1.050,- (1 punt voor het indienen van het (identieke) beroepschrift en 1 punt voor het verschijnen ter zitting, met een waarde per punt van € 525,- en een wegingsfactor 1). Gelet op het verzoek van eisers over de in bezwaar gemaakte proceskosten, dient verweerder zich daar in de nieuwe beslissing op bezwaar ook over uit te laten.

Beslissing

De rechtbank:

verklaart de beroepen van eisers gegrond;
vernietigt het bestreden besluit;
draagt verweerder op binnen zes weken na de dag van verzending van deze uitspraak een nieuw besluit te nemen op het bezwaar met inachtneming van deze uitspraak;
veroordeelt verweerder in de proceskosten van eisers tot een bedrag van € 1.050,-

Deze uitspraak is gedaan door mr. C.J. Polak, voorzitter, mr. F.L. Bolkestein en mr. L.C. Bachrach, leden, in aanwezigheid van mr. L.C. Trommel, griffier
.De beslissing is in het openbaar uitgesproken op 21 januari 2020.

griffier

voorzitter

Afschrift verzonden aan partijen op:

Rechtsmiddel

Tegen deze uitspraak kan binnen zes weken na de dag van verzending daarvan hoger beroep worden ingesteld bij de Afdeling bestuursrechtspraak van de Raad van State.

Als hoger beroep is ingesteld, kan bij de voorzieningenrechter van de hogerberoepsrechter worden verzocht om het treffen van een voorlopige voorziening.

Bijlage

Wet bescherming persoonsgegevens

Artikel 1 van de Wbp luidt als volgt:

"In deze wet en de daarop berustende bepalingen wordt verstaan onder:

a. persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon;

b. verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;

[…]

d. verantwoordelijke: de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt;

e. bewerker: degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen;

f. betrokkene: degene op wie een persoonsgegeven betrekking heeft;

g. derde: ieder, niet zijnde de betrokkene, de verantwoordelijke, de bewerker, of enig persoon die onder rechtstreeks gezag van de verantwoordelijke of de bewerker gemachtigd is om persoonsgegevens te verwerken;

h. ontvanger: degene aan wie de persoonsgegevens worden verstrekt;

[…]."

Artikel 13 van de Wbp luidt als volgt:

“De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van de te bescherming gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.”

Artikel 35 van de Wbp luidt als volgt:

"1 De betrokkene heeft het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt. De verantwoordelijke deelt de betrokkene schriftelijk binnen vier weken mee of hem betreffende persoonsgegevens worden verwerkt.

2 Indien zodanige gegevens worden verwerkt, bevat de mededeling een volledig overzicht daarvan in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.

3 Voordat een verantwoordelijke een mededeling doet als bedoeld in het eerste lid, waartegen een derde naar verwachting bedenkingen zal hebben, stelt hij die derde in de gelegenheid zijn zienswijze naar voren te brengen indien de mededeling gegevens bevat die hem betreffen, tenzij dit onmogelijk blijkt of een onevenredige inspanning kost.

[…]"

Artikel 43 van de Wbp luidt als volgt:

“De verantwoordelijke kan de artikelen 9, eerste lid, 30, derde lid, 33, 34, 34a, tweede lid, en 35 buiten toepassing laten voor zover dit noodzakelijk is in het belang van:

[…]

e. de bescherming van de betrokkene of van de rechten en vrijheden van anderen.”

Algemene Verordening Gegevensbescherming

Artikel 94 van de AVG luidt als volgt:

“1. Richtlijn 95/46/EG wordt met ingang van 25 mei 2018 ingetrokken.

2. Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar deze verordening. Verwijzingen naar de groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens, die bij artikel 29 van Richtlijn 95/46/EG is opgericht, gelden als verwijzingen naar het bij deze verordening opgerichte Europees Comité voor gegevensbescherming.”

Artikel 99 van de AVG luidt als volgt:

“1. Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

2. Zij is van toepassing met ingang van 25 mei 2018.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.”