null

Misbruik van de privacy-wetgeving (Wbp en AVG)

Met meerdere blogs is stil gestaan bij de rechtspraak over misbruik van het recht om informatie op te vragen op grond van de Wet openbaarheid van bestuur (WOB). Duidelijk werd dat ook bevoegdheden op grond van andere wetten (zoals de Wet hergebruik overheidsinformatie (Who)) kunnen worden misbruikt. De wetgever heeft dit misbruik tegen willen gaan; de dwangsomregeling uit de Algemene wet bestuursrecht (Awb) (bij niet tijdig beslissen) is niet meer van toepassing bij de WOB en de Who. Elders is al opgemerkt dat de wetgever (al dan niet bewust) niet volledig is geweest. Dit blijkt uit de praktijk. Want ook de Wet bescherming persoonsgegevens (Wbp) geeft een makkelijke ingang bij de overheid. Op trage besluitvorming in dat verband is de Awb-regeling nog wel van toepassing. Onder de AVG zal dat vooralsnog niet anders zijn. Misschien nog iets voor de wetgever om rekening mee te houden!

Verzoeken op grond van de Wbp

Op grond van artikel 35, eerste lid, van de Wbp heeft de betrokkene het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt. De verantwoordelijke deelt de betrokkene schriftelijk binnen vier weken mee of hem betreffende persoonsgegevens worden verwerkt. Die mededeling bevat, indien zodanige gegevens worden verwerkt, een volledig overzicht daarvan in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.

Ook de Algemene Verordening Gegevensverwerking (AVG) kent in artikel 15 een vergelijkbare bepaling. In het kader van de Wbp (en de AVG) geldt nog meer als bij de Wob het uitgangspunt van verstrekking van de informatie, te meer nu ook de uitzonderingstoestanden beperkt zijn (artikel 43 Wbp). Deze beperkingen op het recht op inzage worden onder de AVG uitgebreid qua aantal, maar blijven over het algemeen materieel gelijk (artikel 23 AVG). De verantwoordelijke kan ook een bestuursorgaan (de overheid) zijn. Een beslissing op een verzoek tot inzage geldt in dat geval als een besluit in de zin van de Awb met alle rechtsbeschermingsmogelijkheden van dien (volgt uit artikel 45 Wbp).

De Uitvoeringswet Algemene verordening gegevensbescherming regelt iets vergelijkbaars (artikel 34). Ook met deze Uitvoeringswet heeft de wetgever nog geen knip willen zetten tussen de AVG en de dwangsomregeling uit de Awb. Men heeft bij de tenuitvoerlegging van de AVG zoveel mogelijk willen aansluiten bij het bestaande stelsel van de Wbp en in verband daarmee is de systematiek hetzelfde gebleven. Uit de AVG volgt wel dat de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie dient te ontvangen over het gevolg dat aan het verzoek is gegeven. Wanneer het om een complex verzoek gaat, kan ervoor worden gekozen de verzoeker binnen een maand te informeren dat de beslistermijn met twee maanden wordt verlengd (artikel 12, derde lid, AVG). Dit betekent dat verzoeker binnen een maand in ieder geval een eerste reactie dient te krijgen op zijn verzoek. Indien deze reactie uitblijft is er op grond van de Awb beroep mogelijk tegen het niet tijdig nemen van het besluit op voorwaarde dat het bestuursorgaan in gebreke is gesteld en twee weken de tijd heeft gekregen om alsnog te besluiten. Deze mogelijkheid geldt eveneens indien het bestuursorgaan nog geen beslissing heeft genomen binnen twee maanden na de kennisgeving dat de termijn met twee maanden is verlengd.

Dus misbruik?!

Dat maakt, juist vanwege ook de laagdrempeligheid van de Wbp (en straks de AVG), dat bepaalde personen deze weg bewandelen om er financieel wijzer van te worden (vanwege te late of gebrekkige besluitvorming). Van belang is natuurlijk wel dat persoonsgegevens worden verwerkt. Dat vraagt dus, zo leert de praktijk ook, een kleine omweg. Zo valt te zien in verschillende casus dat iemand eerst een verzoek doet op grond van de WOB, zonder ogenschijnlijk een heel reëel doel. Dan is dus bekend dat persoonsgegevens worden verwerkt (omtrent de afhandeling van dat verzoek) en volgt al snel een verzoek om inzage in de verwerking van de persoonsgegevens in het kader van dat eerdere verzoek. Inmiddels is in een uitspraak bepaald dat ook in dat verband sprake kan zijn van misbruik.

Nogmaals, niet te makkelijk roepen!

Goed om te weten dat een persoon dus niet altijd ontvankelijk wordt geacht in een procedure met voornoemde aanloop. Wel is van belang acht te slaan op de jurisprudentie omtrent misbruik die inmiddels is ontstaan in het kader van WOB-verzoeken. Daaruit ontstaat het beeld dat het dossier voor de overheid die stelt dat sprake is van misbruik wel voldoende 'body' moet hebben. Zo is bijvoorbeeld onvoldoende het aantal verzoeken dat iemand in het verleden heeft gedaan en de opbrengsten (proceskostenvergoedingen en dwangsommen) die dat met zich bracht.

Eerder zijn drie componenten voor een dergelijk dossier te onderscheiden:

  • Inhoudelijke component (onbekendheid van de gemachtigde met de reden waarom de informatie wordt gevraagd; het doen van het verzoek bij vele bestuursorganen of het niet kunnen duiden van het verband tussen het vermeende doel en het verzoek zelf; de algemene bewoordingen van een machtiging);
  • Financieel aspect (het ogenschijnlijk gericht zijn op geldelijk gewin in de vorm van een proceskostenveroordeling en / of een dwangsom vanwege niet tijdig beslissen);
  • Aard gemachtigde en/of verzoeker (het business model van de gemachtigde; de gemachtigde of verzoeker als repeat player; bekendheid met andere wegen om informatie te verkrijgen).

 

Meer misbruik, wetgever aan zet?!

Het blijft goed deze aspecten te bezien om in te kunnen schatten of een beroep op misbruik, ook bij het verzoek om inzage in de verwerking van persoonsgegevens, kans van slagen heeft. Dat deze beoordeling vaker gemaakt zal moeten worden in de toekomst, valt te verwachten. Juist vanwege het gegeven dat de datum waarop de AVG daadwerkelijk toepassing vindt in de dagelijks praktijk nadert. Een toename van het aantal verzoeken ligt in de rede, zo leert ook een recent rapport van KPMG. Misschien nog iets voor de wetgever om in ogenschouw te nemen, een kleine aanpassing van de Uitvoeringswet is zo gemaakt.