Inzage in het inzagerecht

Op 4 mei zijn enkele langverwachte uitspraken van het Hof van Justitie van de Europese Unie (hierna: het Hof) gepubliceerd over enkele onderwerpen uit de Algemene Verordening Gegevensbescherming (hierna: de AVG). In dit artikel bespreken we de zaak tussen de Oostenrijkse privacytoezichthouder en CRIF, een bedrijfsadviesbureau dat informatie verstrekt over de solvabiliteit van personen. Het gaat over het inzagerecht onder de AVG, namelijk over de vraag wat verstaan moet worden onder een kopie van de persoonsgegevens. Houdt dit in dat een kopie verstrekt moet worden van de documenten waarin de persoonsgegevens staan, of hoeft er alleen een kopie verstrekt te worden van de persoonsgegevens zelf?

Wat is het inzagerecht?

De AVG geeft iedereen het recht om van een organisatie te vragen welke persoonsgegevens van hem verwerkt worden. Als dat het geval is, dient de organisatie vervolgens inzage te verlenen in de gegevens die  deze verwerkt. Daarnaast  moet de organisatie de verzoeker aanvullende informatie geven over de verwerking van diens persoonsgegevens. Hieronder valt onder andere waarom die persoonsgegevens verwerkt worden, hoe lang ze worden opgeslagen en met wie deze gedeeld worden. Met deze informatie kan een verzoeker vervolgens beoordelen of de verwerking van zijn persoonsgegevens rechtmatig is. Op grond van de AVG moet de organisatie een kopie van de verwerkte persoonsgegevens verstrekken. Maar wat verstaan we precies onder een kopie van de persoonsgegevens? Ziet dat op een kopie of afschrift van het document waarop de gegevens zijn vastgelegd? Of ziet dat alleen op de persoonsgegevens? Om het concreet te maken een voorbeeld: stel dat je een e-mail hebt waarin je van de verzoeker een naam, e-mailadres en bestelling hebt staan. Is het dan voldoende om aan te geven: we verwerken je naam en e-mailadres (inclusief de daadwerkelijke naam en het e-mailadres), of moet een kopie van de e-mail verstrekt worden? Het antwoord hierop is niet geheel duidelijk. Er zijn rechters die oordeelden dat het verstrekken van een kopie niet noodzakelijk was. De AVG zegt immers dat het gaat om een kopie van de persoonsgegevens, niet van de documenten die de persoonsgegevens bevatten. Andere rechters oordeelden echter dat een kopie van het document moest worden verstrekt. Kortom, er is behoefte aan duidelijkheid over wat we nou precies verstaan onder ‘kopie’.

Wat is een kopie?

Het Hof heeft haar zienswijze gegeven op het vraagstuk. De AVG bevat geen definitie van de term “kopie”. Daarom legt het Hof zelf het begrip uit in de context van het inzagerecht. De gebruikelijke betekenis van “kopie” is een getrouwe reproductie of transcriptie van een origineel. De term kopie uit de AVG verwijst volgens het Hof daarbij niet naar een document. Maar naar de persoonsgegevens die het bevat. Een kopie moet dus alle persoonsgegevens bevatten die verwerkt worden. Daarmee lijkt het Hof in eerste instantie te bepalen dat er geen kopie van de documenten zelf verstrekt hoeft te worden. Zoals hierboven al beschreven staat, moet het recht van inzage de verzoeker in staat stellen te controleren of de persoonsgegevens juist zijn en rechtmatig verwerkt worden. Om de verzoeker daartoe in staat te stellen, moet de informatie uit de kopie beknopt, eenvoudig toegankelijk en begrijpelijk zijn. Ook moet duidelijke en eenvoudige taal worden gebruikt. Om te waarborgen dat de verstrekte informatie makkelijk te begrijpelijk is, kan het soms niet anders dan dat er uittreksels uit documenten of zelfs volledige documenten overlegd worden. In sommige gevallen is de context namelijk nodig om de informatie te kunnen begrijpen. Het Hof geeft als voorbeeld het geval dat persoonsgegevens worden gegenereerd op basis van andere gegevens (zoals gegevens over kredietwaardigheid) of wanneer dergelijke gegevens voortvloeien uit open tekstvelden. De specifieke omstandigheden van het verzoek en de verzoeker kunnen er dus toe leiden dat er kopietjes van documenten of databanken verstrekt moeten worden.

Voor de praktijk

Bij een verzoek tot inzage hoeven er dus niet per se kopieën van de documenten verstrekt te worden. Het gaat erom dat een verzoeker een volledig en compleet overzicht verkrijgt van de persoonsgegevens die verwerkt worden. Dit om te controleren of deze gegevens juist zijn en rechtmatig worden verwerkt.  De kopie moet daarbij begrijpelijk zijn. Als de kopie onbegrijpelijk is zonder context en de verzoeker daardoor niet kan controleren of zijn persoonsgegevens juist zijn en rechtmatig verwerkt worden, is het noodzakelijk en verplicht om een kopie van de documenten te overleggen.