Beoordeling door de rechtbank
2. De rechtbank beoordeelt of het college het AVG-verzoek op een correcte wijze heeft afgehandeld. Zij doet dat aan de hand van de beroepsgronden van eiser.
3. De rechtbank oordeelt dat het beroep gegrond is. Hierna legt de rechtbank uit hoe zij tot dit oordeel komt en welke gevolgen dit oordeel heeft.
4. Het RIEC is een samenwerkingsverband van verschillende overheidsorganisaties (convenantpartners) ten behoeve van een bestuurlijke en geïntegreerde aanpak van georganiseerde criminaliteit, bestrijding van handhavingsknelpunten en bevordering van integriteitsbeoordelingen. Het college is een van de convenantpartners van het RIEC Oost-Nederland (RIEC ON).
5. De 11 RIEC’s in Nederland worden ondersteund door het Landelijk Informatie- en Expertisecentrum (LIEC), ondergebracht bij het ministerie van Justitie en Veiligheid.
6. Het LIEC en de RIEC’s hebben een ‘Privacyprotocol RIEC’s-LIEC’ (hierna: het privacyprotocol) opgesteld. Dit privacyprotocol bevordert de zorgvuldige verwerking van persoonsgegevens door de convenantpartners in het samenwerkingsverband. Het privacyprotocol dient ook als uitwerking van artikel 26 van de AVG, waarin de verwerkingsverantwoordelijken (de convenantpartners) verplicht worden op transparante wijze hun verantwoordelijkheden voor de nakoming van de verordening vast te stellen, met name met betrekking tot de uitoefening van de rechten van betrokkenen.
7. Tussen partijen is niet in geschil dat het RIEC ON geen zelfstandige entiteit (bestuursorgaan) is die als verwerkingsverantwoordelijke in de zin van de AVG kan worden aangewezen, maar dat het college als convenantpartner bij het RIEC ON verwerkingsverantwoordelijke is voor de persoonsgegeven die door het college in RIEC-verband worden verwerkt.
8. Eiser stelt zich op het standpunt dat het college het begrip ‘persoonsgegevens’ te beperkt uitlegt. Ook vindt eiser dat het college op grond van de AVG de onderliggende documenten had moeten verstrekken, omdat er sprake is van een bijzonder geval en eiser de onderliggende documenten nodig heeft om te beoordelen of hij zijn AVG-rechten daadwerkelijk uit kon oefenen. De verwijzing van het college naar de Wet open overheid (Woo) gaat niet op, omdat dit een ander toetsingskader kent en de nog niet openbaar gemaakte documenten op grond van de AVG aan eiser moeten worden geopenbaard. Volgens eiser dienen er in ieder geval, maar niet uitsluitend, documenten te zijn aangaande de beoordeling van het signaalformulier, de plannen, het interventieadvies en de gebied- en wijkscan en nulmeting. Eiser verwijst daarbij naar het privacyprotocol en een ‘Werkproces integrale casusaanpak’ van het RIEC Rotterdam. Het college miskent dat het RIEC niet alleen een platform is om documenten te delen, maar ook zelf documenten produceert, die het college als verwerkingsverantwoordelijke moet betrekken bij het AVG-verzoek.
9. Het college stelt zich op het standpunt dat eiser alle onderliggende documenten reeds via het pad van de Woo heeft verkregen. De gevraagde persoonsgegevens in het kader van de AVG heeft het college verstrekt in het AVG-besluit. Het college stelt zich verder op het standpunt dat het college enkel verantwoordelijk is voor het verstrekken van de persoonsgegevens die het college in RIEC-verband heeft verwerkt en dat er geen sprake is van bijzondere omstandigheden waardoor onderliggende documenten op grond van de AVG moeten worden verstrekt. Volgens het college is er geen sprake van subjectieve persoonsgegevens.
1. De rechtbank overweegt dat artikel 15 van de AVG voorziet in het recht van een betrokkene om van de verwerkingsverantwoordelijke inzage te verkrijgen in de verwerkte gegevens die op hem betrekking hebben en in informatie met betrekking tot met name de doeleinden van de verwerking en de ontvangers van de gegevens. Volgens artikel 4 van de AVG zijn ‘persoonsgegevens’ “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon”. Dit artikel verduidelijkt verder dat “als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”.
2. Met het gebruik van de woorden “alle informatie” in de definitie van ‘persoonsgegevens’ is er door de Uniewetgever bedoeld een ruime betekenis te geven aan het begrip, dat zich in potentie uitstrekt tot elke soort informatie, zowel objectieve informatie als subjectieve informatie, in de vorm van meningen en beoordelingen, zo lang deze informatie de betrokkene betreft.
3. Het recht van een betrokkene om van de verwerkingsverantwoordelijke een kopie te verkrijgen van de persoonsgegevens die worden verwerkt houdt in dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven. Volgens het in de voetnoot genoemde arrest van het Hof van Justitie van de Europese Unie kan dit recht mede betekenen dat er recht bestaat om een kopie te verkrijgen van uittreksels uit documenten of zelfs van volledige documenten of databankuittreksels die onder meer die gegevens bevatten, indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij de AVG verleende rechten daadwerkelijk uit te oefenen.
4. Naar het oordeel van de rechtbank volgt uit het voorgaande dat het college het begrip ‘persoonsgegevens’ te beperkt heeft opgevat. Het college heeft immers enkel gezocht naar objectieve persoonsgegevens en daar een overzicht van verstrekt aan eiser. Daarmee miskent het college dat ook subjectieve persoonsgegevens vallen onder het begrip ‘persoonsgegevens’ en op grond van de AVG verstrekt moeten worden aan de betrokkene. Onder subjectieve persoonsgegevens valt bovendien niet enkel – zoals het college betoogt – indirecte informatie die op een bepaalde persoon kunnen wijzen, maar ook meningen en beoordelingen over een persoon die reeds met naam en toenaam (objectieve persoonsgegevens) is benoemd. Het college heeft onvoldoende onderzocht of er naast de objectieve persoonsgegevens ook sprake is van subjectieve persoonsgegevens van eiser in de systemen die het college (intern en in RIEC-verband) heeft doorzocht.
5. Het college heeft daarnaast onvoldoende inzichtelijk gemaakt hoe het RIEC (persoons)gegevens verwerkt, welke documenten in het RIEC worden geproduceerd, en hoe deze stukken in RIEC-verband met betrokken convenantpartners worden gedeeld. Het college maakt niet duidelijk of deze documenten aanwezig zijn, en zo ja, hoe deze documenten zijn betrokken bij het nemen van het besluit op eisers AVG-verzoek. De enkele onderbouwing van het college dat het RIEC slechts een ‘lege schijf’ is waar documenten kunnen worden gedeeld, acht de rechtbank onvoldoende en in het licht van wat eiser hierover gemotiveerd heeft aangevoerd op dit moment niet waarschijnlijk.
6. Gelet op het bovenstaande is het bestreden besluit genomen in strijd met het zorgvuldigheidsbeginsel, vastgelegd in artikel 3:2 van de Algemene wet bestuursrecht (Awb). Het beroep is daarom gegrond.