Op 10 augustus deed de rechtbank Amsterdam uitspraak in de zaak van DPG Media B.V. (hierna: DPG) tegen de Autoriteit Persoonsgegevens (AP). DPG kreeg begin 2022 een boete van de toezichthouder van 525.000 euro voor het overtreden van de Algemene verordening gegevensbescherming (AVG). DPG nam namelijk lange tijd pas een inzageverzoek of verwijderverzoek van een betrokkene in behandeling nadat deze een kopie-ID had overlegd. Werd het verzoek binnen de inlogomgeving van DPG gedaan dan was dit niet nodig. Volgens de AP werden met dit beleid onnodige drempels opgeworpen en werd het uitoefenen van de rechten van betrokkene dusdanig onnodig belemmerd dat artikel 12 lid 2 AVG werd overtreden. In dat artikel staat dat de verwerkingsverantwoordelijke de uitoefening van de rechten van betrokkene dient te faciliteren.
De rechtbank is het met deze vaststelling van de overtreding eens, maar veegt wel de boete die de AP oplegde aan het bedrijf van tafel. Allereerst kort over de identificatieplicht: DPG moet, zoals iedere andere verwerkingsverantwoordelijke, voordat het gehoor geeft aan een verzoek van betrokkene wel voldoende zeker zijn dat de persoon die inzage wil of gegevens wil laten wissen daadwerkelijk de persoon is die daar recht op heeft. Hiertoe mag het volgens de rechtbank maatregelen nemen die wellicht een belemmering kunnen opleveren, ‘maar deze [mogen] niet onnodig zijn’. Hierbij is onder meer relevant welke persoonsgegevens een organisatie verwerkt. Hoe gevoeliger de gegevens, hoe meer beveiligingsmaatregelen genomen moeten worden (r.o. 12). Dat laatste ging mis bij bijvoorbeeld de SVB, waaraan de AP begin dit jaar een boete oplegde, onder meer voor de gebrekkige identiteitscontrole die de SVB bij de telefonische dienstverlening hanteerde, waardoor gevoelige gegevens soms ten onrechte werden gedeeld.
De rechtbank overweegt dat een kopie-ID op zichzelf geen onredelijk middel is om een persoon te identificeren, maar dat het standaard vragen van een kopie-ID dat wel is. Het ging namelijk niet ‘in alle gevallen over (zeer) gevoelige persoonsgegevens van de klanten van DPG’ en er waren minder ingrijpende middelen voor handen om de betrokkene te identificeren (zoals identificatie per e-mail, zoals thans de standaard is). Het gehanteerde beleid vormde een te rigide procedure en was daarmee niet proportioneel en subsidiair (r.o. 15).
De AP had echter niet op grond van deze overtreding mogen overgaan tot het opleggen van de boete van 525.000 euro volgens de rechtbank. De ernst van de overtreding wordt aanzienlijk lager ingeschat door de rechtbank dan door de AP. Zo heeft DPG volgens de rechtbank niet ernstig verwijtbaar gehandeld, maar ‘enkel een onjuiste inschatting gemaakt’. Daarnaast heeft de AP te weinig contact gehad met DPG over de zaak en had de toezichthouder volgens de rechtbank meer werk moeten maken van haar voorlichtende rol. Ook had de AP, volgens de rechtbank, al eerder ‘kunnen constateren’ dat het beleid van DPG in strijd was met artikel 12 AVG toen DPG openheid van zaken gaf in haar eerste reactie in 2019, en heeft de AP volgens de rechtbank onvoldoende oog gehad voor het feit dat DPG haar werkwijze direct aanpaste na het onderzoeksrapport van de AP. Dat alles bracht de rechtbank tot de conclusie dat AP geen boete had mogen opleggen. Of een alternatieve maatregel, zoals een berisping, opgelegd kan worden, wordt door de rechtbank in het midden gelaten. Of de AP hier alsnog toe over zal gaan, zullen we moeten zien.
Uit de evaluatie van de UAVG, al eerder besproken in een Snelrecht, blijkt dat de praktijk al langere tijd moeite lijkt te hebben met de afhoudende opstelling van de AP in lopende zaken. Dat de rechtbank nu zo expliciet de AP hiervoor op de vingers tikt zal voor hen dan ook een opsteker zijn.
