Sinds 25 mei 2018 is de nieuwe privacywetgeving “AVG” (Algemene verordening gegevensbescherming) van toepassing. Inmiddels zijn wij ruim een jaar verder. Hieronder nemen wij je mee in de meest opvallende uitspraken die de rechter heeft gedaan met betrekking tot de toepassing van deze bijzondere en gecompliceerde wetgeving.
De procedure van artikel 35 Uitvoeringswet AVG in strijd met de AVG zelf?
In een uitspraak van de rechtbank Rotterdam van 27 augustus 2018 ging het om een vordering tot het verwijderen van een registratie bij het Bureau Krediet Registratie (BKR). De wederpartij, die de BKR-registratie had gedaan (ING), was van mening dat verwijdering van de registratie niet gevorderd kan worden in een (kort geding) dagvaardingsprocedure, omdat artikel 35 van de Uitvoeringswet AVG (UAVG) voorschrijft dat men in zo’n geval binnen 6 weken een verzoekschrift bij de rechtbank moet indienen. De dagvaarding was echter pas een jaar na afwijzing van het verwijderingsverzoek aan ING betekend. De eisende partij was echter van mening dat een termijn van 6 weken te kort is om een civiele procedure ter bescherming van zijn grondrechten voor te bereiden. Artikel 35 UAVG is daardoor in strijd met artikel 79 AVG (het recht om doeltreffende voorzieningen in rechte in te stellen tegen een verwerkingsverantwoordelijke of verwerker).
De rechter ging mee in de stelling van de ING. De procedure van artikel 35 UAVG is speciaal voor dergelijke gevallen in het leven geroepen. Deze dient dan ook te worden gevolgd. De rechter ging in deze uitspraak uit van een gesloten systeem van rechtsmiddelen. De eiser werd in zijn vordering niet ontvankelijk verklaard.
Mag een schuldenaar de verspreiding van zijn medisch dossier aan schuldeisers verbieden?
In de uitspraak van de rechtbank Noord-Nederland van 25 september 2018 ging het om een situatie waarin de Kredietbank Nederland namens enkele schuldenaren een minnelijke regeling met de schuldeisers probeerde te bereiken. De Kredietbank had reeds aan de schuldeisers aangegeven dat een van de schuldenaren vanwege medische omstandigheden een beperkte verdiencapaciteit had. Dat was voor één van de schuldeisers, ABN AMRO, niet voldoende. Zij wenste inzage in het medische dossier.
De rechtbank oordeelde dat in een dergelijk geval de betrokkene vrij is om te bepalen of zijn medisch dossier met anderen wordt gedeeld. De schuldenaar mocht de Kredietbank dus verbieden om zijn medisch dossier te delen. Natuurlijk kan dit wel als consequentie hebben dat de schuldeiser niet bereid is om een minnelijke regeling overeen te komen.
De inzageplicht voor een personeelsdossier indien de werknemer met de inhoud al bekend is
In de uitspraak van de rechtbank Den Haag van 31 augustus 2018 moest de rechter zich buigen over een situatie waarin een werkgever aan een werknemer een loonstop had opgelegd, omdat deze zijn re-integratieverplichtingen niet zou nakomen. De werknemer liet het daar niet bij zitten en vorderde bij de rechter doorbetaling van zijn loon en overhandiging van (een gedeelte van) zijn personeelsdossier. In deze gespannen situatie moest de vraag beantwoord worden of een werkgever op verzoek van zijn werknemer een kopie van zijn personeelsdossier moet overhandigen, ook als de werkgever kan aantonen dat hij alle stukken al een keer heeft verstrekt en dat de werknemer al met de inhoud van het dossier bekend is. De rechter gaf de werknemer in dit geval gelijk, zowel voor wat betreft het opheffen van de loonstop als voor het overhandigen van de gevraagde stukken uit het personeelsdossier.
In die zin is de AVG erg star: als een werknemer vraagt om inzage/overhandiging van zijn dossier, dan moet een werkgever daar gehoor aangeven, ongeacht of dit van enige toegevoegde waarde is. Wel mag er een redelijke vergoeding in rekening worden gebracht (voor kopieerkosten etc.), zodat misbruik wordt tegengegaan.
BTW-nummer als persoonsgegeven
De Autoriteit Persoonsgegevens heeft in haar onderzoeksrapport vastgesteld dat het verwerken van het burgerservicenummer in het BTW-nummer van een ondernemer leidt tot een niet-noodzakelijke, en daardoor onrechtmatige, verwerking van een persoonsgegeven door de Belastingdienst. Zo oordeelde ook de rechtbank Amsterdam in haar uitspraak van 28 maart 2019. Op grond van artikel 17 lid 1 sub d van de AVG diende de Belastingdienst daarom het toegewezen BTW-nummer te verwijderen.
Als tegenargument had de Belastingdienst dat het verzoek om verwijdering van een BTW-nummer feitelijk neerkomt op een verzoek tot toekennen van een nieuw BTW-nummer; je kunt immers niet ondernemen zonder BTW-nummer. Hierdoor zou het verzoek niet onder de reikwijdte van artikel 17 AVG vallen.
De rechtbank Amsterdam maakt korte metten met de redenering van de Belastingdienst. Zij stelt dat in een dergelijk geval het toekennen van een nieuw BTW-nummer wel degelijk onder de reikwijdte van artikel 17 AVG valt. Wel geeft de rechtbank de Belastingdienst enige ruimte om het BTW-nummer te wissen; in plaats van directe verwijdering, zoals door de eiser werd gevorderd, mag de Belastingdienst tot 1 januari 2020 de tijd nemen om tot verwijdering van het oude BTW-nummer en toekenning van een nieuw BTW-nummer over te gaan.
Kan een rechter als verwerker worden beschouwd?
In een andere uitspraak van de rechtbank Noord-Nederland merkt de rechter zijn eigen rechtbank aan als verwerker van persoonsgegevens. In deze uitspraak ging het om de persoonsgegevens van 21 vergunninghouders die, in verband met een vergunningaanvraag op grond van de Wet Natuurbescherming, aan de rechtbank werden doorgegeven.
De vraag is, of de rechtbank daadwerkelijk als verwerker kan worden aangemerkt. Het is immers zo dat de rechtbank weliswaar de persoonsgegevens van de betrokken personen ontvangt, maar dat zij niet (van een verwerkingsverantwoordelijke) de opdracht krijgt om deze gegevens te verwerken. De “opdracht” aan de rechter is immers rechtspreken en niet het verwerken van gegevens. Het is mogelijk dat de rechtbank in deze uitspraak een verkeerde interpretatie aan het begrip verwerker heeft gegeven.
Conclusie: nog veel onduidelijkheden over toepassing AVG
Gelet op de bovenstaande vier uitspraken is het duidelijk dat er nog veel onduidelijkheden zijn over de feitelijke toepassing van de AVG. Zoals verwacht, beïnvloedt de AVG veel andere wetgeving. Het is haast onmogelijk om al deze voorvallen bij voorbaat te ondervangen. Het is daarom goed voor te stellen dat het komende jaar nog (veel) meer uitspraken zal brengen waar aspecten van de AVG naar voren komen waar juristen zich nog niet over hebben gebogen.
Mocht jij nu ook tegen een situatie aanlopen waarin jij je afvraagt of de regels van de AVG op de juiste manier worden gehanteerd, wil je het privacybeleid van jouw bedrijf door een professional onder de loep laten nemen of ben je geïnteresseerd in afname van onze AVG-pakketten? Neem dan contact op met onze specialisten.
