Home Kennis Actualiteiten privacyrecht I: het kennisnemingsrecht en de AVG

Actualiteiten privacyrecht I: het kennisnemingsrecht en de AVG

Dit is een verslag van een workshop tijdens Inzicht in bestuursrecht 2017.

Tijdens de workshop Actualiteiten privacyrecht bij het jaarlijkse evenement 'Inzicht in bestuursrecht' zijn de wijzigingen besproken die de Algemene Verordening Gegevensbescherming (AVG) met zich meebrengt. De AVG zal vanaf 25 mei 2018 van toepassing zijn en vervangt dan de Wet bescherming persoonsgegevens (Wbp). In twee blogs koppelen we de highlights van de workshop terug.

In deze eerste blog gaan wij in op het kennisnemingsrecht nu en straks onder de AVG. In de tweede blog bespreken wij tips en tricks bij het implementeren van de AVG in uw organisatie.

Wat is het kennisnemingsrecht?

Iedere betrokkene heeft recht op kennisneming van de hem betreffende persoonsgegevens die een verantwoordelijke verwerkt. In de context van de overheid is de verantwoordelijke het betrokken bestuursorgaan en de betrokkene degene op wie een persoonsgegeven betrekking heeft.

Dit recht wordt ook wel het kennisnemingsrecht of het inzagerecht genoemd. Achtergrond van het kennisnemingsrecht is dat een betrokkene moet kunnen controleren of hem betreffende persoonsgegevens worden verwerkt. Zo ja, dan moet de betrokkene in de gelegenheid zijn de rechtmatigheid daarvan te controleren en zo nodig aan de kaak te stellen, bijvoorbeeld door het indienen van een correctie-, verwijderings- of afschermingsverzoek (zie artikel 36 Wbp en straks – in vergelijkbare zin – de artikelen 16 tot en met 19 AVG).

Het kennisnemingsrecht nu (artikel 35 Wbp)

Op grond van artikel 35, eerste lid, Wbp kan een betrokkene zich met redelijke tussenpozen tot een verantwoordelijke wenden met het verzoek hem mee te delen of hem betreffende persoonsgegevens worden verwerkt.

Een verantwoordelijke moet in reactie daarop aan de betrokkene een overzicht verstrekken van de verwerkte persoonsgegevens. Het moet gaan om een volledig overzicht in begrijpelijke vorm (artikel 35, tweede lid, Wbp). Dat overzicht kan worden gegeven in de vorm van het bieden van inzage in de verwerkte persoonsgegevens of het geven van een afschrift daarvan, maar dat hoeft niet. Zo kan het opstellen van alleen een overzicht ook een adequate vorm zijn om aan een kennisnemingsverzoek te voldoen (zie bijvoorbeeld ABRvS 7 juni 2017).

Ook zal de verantwoordelijke aan de betrokkene het volgende moeten meedelen:

  • Doel(en) van de verwerking;
  • (Categorieën van) ontvangers;
  • Beschikbare informatie over de herkomst van de gegevens; en
  • Desgevraagd informatie over de systematiek van het verwerkingssysteem.

Een verantwoordelijke moet binnen vier weken op het kennisnemingsverzoek reageren (artikel 35, eerste lid, Wbp). De reactie op een kennisnemingsverzoek van een bestuursorgaan is een appellabel besluit (artikel 45 Wbp).

Het kennisnemingsrecht straks (artikel 15 AVG)

Ook als de AVG straks van toepassing is, heeft een betrokkene recht op inzage in de hem betreffende persoonsgegevens die een verantwoordelijke verwerkt. Dat recht is neergelegd in artikel 15 AVG.

Het belangrijkste verschil tussen het kennisnemingsrecht zoals dat nu geldt op grond van de Wbp en straks op grond van de AVG, is dat een betrokkene onder de AVG recht heeft op een kopie van de verwerkte persoonsgegevens (artikel 15, derde lid, AVG). Een verantwoordelijke kan dan dus niet meer volstaan met het opstellen van een overzicht van de verwerkte persoonsgegevens, maar moet daarvan een kopie geven. Bij het verstrekken van een kopie zal de verantwoordelijke rekening moeten houden met de rechten en vrijheden van anderen (artikel 15, vierde lid, AVG). Dat kan inhouden dat de persoonsgegevens van derden uit een document moeten worden gelakt. Ook de informatie in een document die geen persoonsgegeven is kan uit een document worden gelakt. Artikel 15, derde lid, AVG geeft betrokkenen alleen recht op een kopie van de persoonsgegevens (vgl. Hof van Justitie van de Europese Unie 17 juli 2014, zaak C-141/12 en C-372/12 en ABRvS 4 maart 2015, waaruit volgt dat het kennisnemingsrecht niet is bedoeld om toegang te geven tot bestuurlijke informatie).

Daarnaast moet een verantwoordelijke – in aanvulling op de informatie die onder de Wbp moet worden meegedeeld (zie hierboven) – nog het volgende meedelen:

  • Bewaartermijn dan wel de criteria om die termijn te bepalen;
  • Wijzen op het recht op correctie, verwijdering en beperking en op de bezwaar- en klachtmogelijkheid onder de AVG; en
  • (Indien aan de orde) wijzen op geautomatiseerde besluitvorming.

Een verantwoordelijke moet onverwijld, maar in ieder geval binnen een maand na ontvangst van een kennisnemingsverzoek daarop reageren. Deze termijn kan bij complexe verzoeken en/of bij veel verzoeken eenmaal met twee maanden worden verlengd (artikel 12, derde lid, AVG). De reactie op een kennisnemingsverzoek van een bestuursorgaan is (net als nu onder de Wbp) een appellabel besluit (artikel 32 van de concept-Uitvoeringswet AVG).

De AVG bevat een anti-misbruikbepaling (artikel 12, vijfde lid AVG), die bijvoorbeeld uitkomst kan bieden wanneer iemand een kennisnemingsverzoek indient met het oneigenlijke oogmerk dwangsommen wegens niet tijdig beslissen en/of proceskostenvergoedingen te kunnen innen.

Conclusie

In deze blog zijn wij ingaan op de belangrijkste wijzigingen die de AVG meebrengt voor het kennisnemingsrecht. Benieuwd hoe uw organisatie AVG-proof kan worden? Lees dan deel II De implementatie van de AVG.

Meer weten over dit onderwerp? Neem dan contact op met het privacy expertteam.