Het Europese Hof van Justitie van de Europese Unie (HvJ EU) heeft recent een belangrijk arrest gewezen inzake het inzagerecht onder de Algemene Verordening Persoonsgegevens (AVG). Gegevensverwerkers zijn op verzoek soms verplicht een kopie van de documenten te verstrekken waarin persoonsgegevens van verzoeker verwerkt worden.
Inzageverzoek op grond van de AVG
Op grond van de AVG hebben natuurlijke personen het recht inzage te verkrijgen in de persoonsgegevens die instanties van hen verwerken. Door middel van een inzageverzoek kan de burger controleren of de gegevens juist zijn en of deze gegevens rechtmatig verwerkt worden. Gegevensverwerking mag namelijk niet zomaar. De AVG geeft hier regels voor. Zo verbiedt de AVG bijvoorbeeld instanties persoonsgegevens te verwerken zonder rechtmatig doel of voor onnodige lange tijd. Instanties moeten derhalve altijd inzage bieden in de reden waarom de gegevens verwerkt worden en voor hoe lang deze gegevens bewaard worden.
Lange strijd
De reikwijdte van het inzagerecht onder de AVG staat al langer ter discussie. Het Europese Hof heeft eerder geoordeeld dat het recht op een kopie van de persoonsgegevens niet per definitie betekent dat de verzoeker ook recht heeft op een kopie van het gehele document waar deze persoonsgegevens in staan.[1] In veel gevallen voldeden instanties aan hun plichten door een overzicht van de persoonsgegevens te verstrekken, zonder hierbij de brondocumenten prijs te geven. Deze vorm van inzage biedt echter niet in alle gevallen de mogelijkheid voor burgers om te controleren of de gegevensverwerking ook rechtmatig is onder de AVG.
Betere waarborgen van de privacyrechten
In deze recente uitspraak van het HvJ EU [2] verduidelijkt het Hof dat het verstrekken van de brondocumenten in bepaalde gevallen wel degelijk noodzakelijk kan zijn om de privacyrechten uit de AVG te kunnen waarborgen. Dit is immers in lijn met de transparantie en behoorlijke gegevensverwerking beoogd door de AVG. De gegevens moeten in toegankelijke en begrijpelijke vorm worden verstrekt. Een verzoeker moet namelijk kunnen controleren of de gegevensverwerking rechtmatig heeft plaatsgevonden. Een overzicht is in die zin niet altijd voldoende begrijpelijk of inzichtelijk. Daarom kan het soms noodzakelijk zijn het gehele document te verstrekken.
[1] HvJ EU, 17-07-2014, ECLI:EU:C:2014:2081
[2] HvJ EU, 04-05-2023, ECLI:EU:C:2023:369
