Inzagerecht onder de AVG: toch misbruik van recht?

In maart 2023 meldde TC, een particulier uit Oostenrijk, zich aan voor de nieuwsbrief van de Duitse opticienketen Brillen Rottler. Dertien dagen later diende hij een inzageverzoek in op grond van artikel 15 AVG. Brillen Rottler wees dit verzoek af binnen de wettelijke termijn. Volgens de opticien was sprake van misbruik van het inzagerecht. TC zou structureel inzageverzoeken indienen bij verschillende organisaties, niet zozeer om daadwerkelijk inzage te verkrijgen, maar met het doel om vervolgens schadevergoedingen te claimen.

Die vrees bleek terecht: TC vorderde bij Brillen Rottler een schadevergoeding van € 1.000 wegens het niet verlenen van inzage. Brillen Rottler stapte daarop naar de Duitse rechter met het verzoek vast te stellen dat TC geen recht had op schadevergoeding. Ter onderbouwing wees de opticien op diverse openbaar toegankelijke bronnen – waaronder berichten, blogs en advocatenbulletins – waaruit een vast patroon zou blijken. Dat patroon bestond uit het aanmelden voor een nieuwsbrief, het indienen van een inzageverzoek en het vervolgens eisen van een schadevergoeding.

De Duitse rechter legde de kwestie voor aan het Hof en stelde prejudiciële vragen. Eén van de centrale vragen was of een eerste inzageverzoek kan worden aangemerkt als ‘buitensporig’ in de zin van artikel 12 lid 5 AVG, en daarmee als misbruik van recht.

Het Hof benadrukt allereerst dat het recht op inzage een fundamenteel recht is. Dit recht stelt betrokkenen in staat om kennis te nemen van de verwerking van hun persoonsgegevens en om de rechtmatigheid daarvan te controleren. Tegelijkertijd oordeelt het Hof dat zelfs een allereerste inzageverzoek in uitzonderlijke gevallen kan worden aangemerkt als ‘buitensporig’ in de zin van artikel 12 lid 5 AVG. Die drempel ligt echter hoog. Het begrip ‘buitensporig’ moet restrictief worden uitgelegd en de bewijslast rust volledig op de verwerkingsverantwoordelijke.

Bij de beoordeling van ‘buitensporigheid’ werd tot nu toe vooral gekeken naar het aantal inzageverzoeken dat werd ingediend. De focus lag daarbij op het zogenoemde repetitieve karakter van verzoeken, waardoor de toets voornamelijk kwantitatief was. Het Hof verduidelijkt nu dat een inzageverzoek ook buitensporig kan zijn op basis van een kwalitatieve beoordeling. Volgens het Hof kan daarvan sprake zijn indien aan twee cumulatieve voorwaarden is voldaan:

• objectief element: ten eerste moet objectief worden vastgesteld dat het door de AVG beoogde doel van het inzagerecht – het controleren van de gegevensverwerking – niet daadwerkelijk door de betrokkene wordt nagestreefd; en
• subjectief element: ten tweede moet op basis van alle relevante omstandigheden blijken dat de betrokkene opzettelijk misbruik maakt van zijn recht, bijvoorbeeld door zelf kunstmatig situaties te creëren waarin een (inzage)recht ontstaat, met als doel daar een voordeel uit te halen.

De verwerkingsverantwoordelijke moet daarbij concreet onderbouwen dat het inzageverzoek niet is ingediend om daadwerkelijk kennis te nemen van de verwerking van persoonsgegevens, maar met het doel om kunstmatig de voorwaarden te creëren voor het verkrijgen van een schadevergoeding. Daarbij moet een beoordeling plaatsvinden aan de hand van alle omstandigheden van het geval. Relevant zijn onder meer of de betrokkene persoonsgegevens heeft verstrekt zonder daartoe verplicht te zijn, het doel van die verstrekking, de tijd die is verstreken tussen de verstrekking en het inzageverzoek, en het gedrag van de betrokkene in bredere zin.

Het Hof oordeelt bovendien dat openbaar toegankelijke informatie waaruit blijkt dat een betrokkene stelselmatig inzageverzoeken indient gevolgd door schadeclaims, mag worden meegewogen bij de beoordeling van opzettelijk misbruik. Voorwaarde is wel dat deze informatie wordt ondersteund door andere relevante gegevens.

Het Hof bevestigt dat artikel 82 lid 1 AVG betrokkenen in beginsel een recht op schadevergoeding toekent bij schending van het inzagerecht. Daarbij kan ook sprake zijn van immateriële schade, bijvoorbeeld in de vorm van verlies van controle over persoonsgegevens of onzekerheid over de wijze waarop deze worden verwerkt. Het Hof voegt daar echter een belangrijke nuancering aan toe: het causaal verband kan worden verbroken wanneer het gedrag van de betrokkene zelf de doorslaggevende oorzaak van de schade is. Wie zelf bewust de voorwaarden creëert voor schade, kan dus niet met succes een beroep doen op schadevergoeding.

In het arrest van 26 oktober 2023 (C-307/22, FT/DW) oordeelde het Hof nog dat het inzagerecht niet afhankelijk is van het motief van de betrokkene. De verwerkingsverantwoordelijke is verplicht een eerste kopie van persoonsgegevens kosteloos te verstrekken, ook wanneer het verzoek een ander doel dient dan het controleren van de verwerking. Het Hof overwoog in dat arrest expliciet dat noch artikel 12 lid 5 AVG noch artikel 15 AVG de kosteloze verstrekking afhankelijk stellen van een motiveringseis.

In Brillen Rottler lijkt het Hof dit beeld iets te nuanceren. Het Hof bevestigt weliswaar dat het recht op inzage fundamenteel blijft en dat het niet hoeft te worden gemotiveerd, maar voegt daaraan toe dat het recht niet absoluut is. Wanneer de verwerkingsverantwoordelijke kan aantonen dat sprake is van opzettelijk misbruik, mag het verzoek als buitensporig worden afgewezen. Het "misbruik van recht"-verweer is dus niet achterhaald, maar het Hof maakt duidelijk dat dit slechts bij hoge uitzondering opgaat en dat de bewijslast zwaar is.

Dit arrest is een relevante ontwikkeling voor verwerkingsverantwoordelijken die worden geconfronteerd met inzageverzoeken die kennelijk niet zijn bedoeld om de verwerking van persoonsgegevens te controleren, maar om bewust een schadeclaim te construeren. Het Hof biedt hiermee een handvat, zij het een beperkt handvat, om in evidente gevallen van misbruik niet mee te hoeven werken aan een patroon van kunstmatig gecreëerde schadeclaims. Tegelijkertijd blijft de hoofdregel overeind: het inzagerecht is een fundamenteel recht, de betrokkene hoeft zijn verzoek niet te motiveren en de uitzonderingsmogelijkheid blijft restrictief. 

Daarnaast beoogt ook de Uniewetgever met het Digitale Omnibus-voorstel om het recht op inzage bij misbruik eenvoudiger te kunnen beperken. Verwerkingsverantwoordelijken zouden een inzageverzoek mogen afwijzen wanneer zij over redelijke gronden beschikken om het als kennelijk ongegrond aan te merken. De uitspraak Brillen Rottler/TC sluit aan bij deze bredere tendens om het inzagerecht soepeler te kunnen begrenzen.