Binnenkort verschijnt bij Sdu een annotatie over de uitspraken van de rechtbank Den Haag in de veelbesproken kwestie-Arib, voormalig voorzitter van de Tweede Kamer. Tegen haar waren signalen bekend over sociaal onveilige situaties binnen het ambtelijke apparaat van de Tweede Kamer, waarbij verzoekster in anonieme brieven met naam en toenaam werd genoemd. Deze zijn gelekt naar de media. Verzoekster maakte bezwaar tegen de manier waarop haar persoonsgegevens zijn verwerkt in het kader van een extern feitenonderzoek. Bij dit feitenonderzoek waren er twee formele opdrachtgevers (het Presidium en de Griffier), twee gedelegeerd opdrachtgevers en een onderzoeksbureau, Hoffmann Bedrijfsrecherche. Zij onderzochten de juistheid van de signalen jegens verzoekers en de vraag hoe de ambtelijke top (Presidium, Griffier, Managementteam) op de meldingen had gereageerd. Verzoeksters advocaten, het bekende duo Gert-Jan en Carry Knoops, vorderden staking van de verwerking, het wissen van haar persoonsgegevens, en inzage in alle op haar betrekking hebbende verwerkingen. Ook hebben zij beperking van de verwerking gevraagd.
In de eerste deelbijdrage besprak ik het oordeel van de rechtbank over de vraag wie verwerkingsverantwoordelijke is, met een uitstap naar de gevolgen voor integriteitsonderzoekers. In deze tweede deelbijdrage over uitspraak ECLI:NL:RBDHA:2025:1138 bespreek ik of de rechtbank wel recht heeft gedaan aan het recht op een kopie en inzage als bedoeld in de AVG. In elk geval staat vast dat het belangrijke recente arrest van het EU Hof van Justitie hierover (Österreichischen Datenschutzbehörde) ontbreekt in de uitspraak. Hiernaar verwees ik al eerder in verband met de eerste Handreiking van de Regeringscommissaris. De tweede Handreiking is hierop gelukkig gecorrigeerd. De conclusie is dat door deze uitspraak mevrouw Arib en haar advocaten nog steeds met lege handen staan.
Het inzagerecht van artikel 15 van de AVG en de overige rechten van de betrokkene (de Kamervoorzitter) gaan over mensenrechten. Deze worden onder meer beschermd in artikel 17 van het IVBPR, dat in de jurisprudentie van 8 EVRM (dat mede de ten grondslag ligt aan de AVG) is geïncorporeerd. Het IVBPR beschermt niet alleen de persoonlijke levenssfeer (‘privacy’), maar uitdrukkelijk ook de reputatie van de betrokkene. ‘Inzage’ is een ongelukkige vertaling in de AVG van het woord ‘access’ (toegang). Het lijkt erop dat de rechtbank die vertaling nogal letterlijk heeft genomen voor die documenten die waarschijnlijk het belangrijkst waren voor de Kamervoorzitter: de anonieme meldbrieven en gespreksverslagen. Opvallend is dat de rechtbank kort verwijst naar het op de voorloper van de AVG gebaseerde, maar nog steeds relevante Nowak-arrest (HvJ EU 20 december 2017, ECLI:EU:C:2017:994), waarin wordt uitgelegd dat een betrokkene ook recht heeft op toegang tot informele aantekeningen over hem.
De rechtbank refereert merkwaardig genoeg op geen enkele wijze naar het meest relevante Österreichischen Datenschutzbehörde-arrest van het EU Hof van Justitie hierover (HvJ EU 4 mei 2023, (ECLI:EU:C:2023:369). Dit arrest ging over de vraag: hoe ver gaat het recht van de betrokkene – degene over wie de informatie gaat – op een kopie van de persoonsgegevens die worden verwerkt? Want dat dit recht er in beginsel is, en dat dit in elk geval betekent dat dit niet gaat over ‘inzage in een kamertje’ (zoals dat bijvoorbeeld op grond van de Wet politiegevens expliciet zo is geregeld, sic), is wel helder. Zeker waar het gaat om dossiers of andere grotere verwerkingen, die vrijwel altijd volledig moet worden verstrekt om aan het recht op kopie te voldoen.
Belangrijk bij de toepassing van artikel 15, eerste en vooral derde lid, van de AVG is volgens het Hof het doel ervan. Dat is de betrokkene in staat stellen te controleren of de hem betreffende persoonsgegevens juist zijn en rechtmatig worden verwerkt. Het recht op een kopie is volgens het Hof vooral noodzakelijk om ervoor te zorgen dat de betrokkene zijn rechten ook kan gebruiken. Het Hof noemt: zijn recht op rectificatie, gegevenswissing, beperking, maar ook het recht om bezwaar te maken of een schadeclaim in te dienen (r.o. 34-35).
Als iemand alleen inzage krijgt in anonieme brieven en gespreksverslagen en daarvan geen foto’s of aantekeningen mag maken, dan wordt niet goed voldaan aan het doel van de hiervoor genoemde rechten van betrokkene. Verzoeken om rectificatie en dergelijke moeten immers gedetailleerd worden gedaan. Dat is niet mogelijk zonder beschikking te hebben over de (zo nodig deels gelakte) documentenen zelf.
De kopie van de persoonsgegevens die worden verwerkt en die de verwerkingsverantwoordelijke moet verstrekken, moet volgens het Hof: “alle noodzakelijke kenmerken (…) vertonen om de betrokkene in staat te stellen de rechten die hij aan deze verordening ontleent daadwerkelijk uit te oefenen. Deze kopie moet deze gegevens dus volledig en getrouw reproduceren.” Dit betekent dat om te waarborgen dat de verstrekte informatie gemakkelijk te begrijpen is, het immers onontbeerlijk kan zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer de persoonsgegevens bevatten die worden verwerkt, worden verstrekt. Dat kan immers nodig zijn om de gegevens in hun context te plaatsen, omdat ze anders niet begrijpelijk zijn. (r.o. 39-42)
Dit betekent niet dat er geen grenzen zijn. Het Hof verwijst naar artikel 15, lid 4, AVG, gelezen in samenhang met overweging 63 van de verordening. Daaruit volgt dat het recht op inzage en een kopie geen afbreuk doen aan de rechten en vrijheden van anderen. Daarbij kan ook worden gedacht aan de privacy van andere personen. Is sprake van zo’n recht, dan moeten het belang op een kopie worden afgewogen tegen de rechten en vrijheden van anderen. Maar dat betekent niet dat de betrokkene alle informatie mag worden onthouden. (r.o. 43 en 44)
Het Hof vat het als volgt samen: “het recht om van de verwerkingsverantwoordelijke een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, houdt in dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven. Dit recht omvat het recht om een kopie te verkrijgen van uittreksels uit documenten of zelfs van volledige documenten of databankuittreksels die onder meer die gegevens bevatten, indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen, waarbij moet worden benadrukt dat daarbij ook rekening moet worden gehouden met de rechten en vrijheden van anderen.” (r.o. 45)
In overweging 72 bij artikel 23 AVG staat niet voor niets dat de beperkingen in overeenstemming moeten zijn met de vereisten van het Handvest en het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden.
Belangrijk is daarom goed naar de aanhef (de eerste volzinnen) van artikel 23, eerste lid, van de AVG te kijken. Daarin staat dat de rechten van betrokkenen alleen mogen worden beperkt “op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van (voor zover relevant): h) een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de in de punten a), tot en met e) en punt g) bedoelde gevallen; i) de bescherming van de betrokkene of van de rechten en vrijheden van anderen.
Voor de toepassing van de beperkingen zijn er gezaghebbende Richtsnoeren, de EDPD Richtsnoeren 10/2020. Hierin staat hoe de noodzakelijkheids- en evenredigheidstoets moet worden gedaan. De richtsnoeren verwijzen naar de jurisprudentie van het Hof, waarin een strikte noodzakelijkheidstoets wordt toegepast voor beperkingen op de uitoefening van de rechten op bescherming van persoonsgegevens en eerbiediging van het privéleven bij de verwerking van persoonsgegevens: “uitzonderingen op en beperkingen van de gegevensbescherming [moeten] binnen de grenzen van het strikt noodzakelijke blijven.” (HvJ EU 16 december 2008, ECLI:EU:C:2008:727 17). “Een maatregel waarvan de noodzakelijkheid niet is aangetoond, mag niet worden voorgesteld.” (overwegingen 41 en 42) De evenredigheidstoets is eveneens een strikte: de maatregel niet verder mag gaan dan wat strikt noodzakelijk is om de in artikel 23, lid 1, punten a) tot en met j), AVG genoemde doelstellingen te waarborgen (overweging 44).
De wettelijk verplichte (Privacy)gedragscode sector particuliere onderzoeksbureaus beschrijft over de toepassing van art. 23 AVG wel de noodzaak, maar niet de evenredigheid: “De noodzaak om te weigeren kan aanwezig zijn indien sprake is van nog lopende onderzoeken, waarbij het risico aanwezig is dat de onderzochte persoon de mededeling zal aangrijpen om maatregelen te nemen om de waarheidsvinding te belemmeren. Dit kan leiden tot onomkeerbare schade aan de integriteit van het onderzoek en het proces van gegevensverzameling verstoren. Voorts kan door inzage in het onderzoeksdossier de situatie ontstaan dat de rechten van anderen geschonden worden. Daarbij kan gedacht worden aan tipgevers of aan personen die ten nadele van de onderzochte persoon verklaringen hebben afgelegd, die in goed vertrouwen zijn verstrekt. Inderdaad, indien belangen van anderen geschaad worden door inzage of afgifte van kopieën van bescheiden, kunnen passages waar mogelijk geanonimiseerd of verwijderd worden, indien de bescherming van die belangen noodzakelijk is. Opvallend is dat er niet gesproken wordt van strikte noodzaak en dat de evenredigheid – de belangenafweging – ook niet wordt genoemd. Dit roept vragen op over hoe de balans tussen transparantie en privacy werkelijk wordt gewaarborgd in de praktijk. Ook staat er niet duidelijk genoeg dat het de verwerkingsverantwoordelijke is die het genoemde risico zal moeten aantonen, hetgeen impliceert dat er duidelijke richtlijnen en criteria moeten zijn om deze bewijsvoering te faciliteren. De code dient hierop dus ook aangepast te worden, zodat er meer helderheid en specificiteit ontstaat rondom de verantwoordelijkheden van de verwerkingsverantwoordelijke en de criteria voor noodzakelijkheid en proportioneel handelen in het kader van gegevensbescherming.
Wat betekent dit in deze situatie? De strikte noodzakelijkheids- en evenredigheidstoets zie ik niet terugkomen in de uitspraak van de rechtbank: als er maar een motivering ligt, lijkt het wel voldoende. Op grond van artikel 5, tweede lid, van de AVG is het de verwerkingsverantwoordelijke die de strikte noodzaak en evenredigheid moet aantonen. Het is dus niet primair aan de betrokkene om het tegendeel aan te tonen, zoals de rechtbank lijkt te suggereren door te overwegen dat die de weigeringsgronden per document moet aanvechten. Nog los van het feit dat dit vaak onmogelijk is – men weet immers niet wat er in het document staat! – is dit mijns inziens niet de bedoeling. Slaagt de verwerkingsverantwoordelijke er niet in om de strikte noodzaak en evenredigheid van de weigerings per document en per passage daarbinnen te motiveren, dan had een tussenuitspraak waarin de verantwoordelijke aan het werk zou worden gezet om dit alsnog te doen, voor de hand gelegen.
Het recht van ambtenaren om in vertrouwelijkheid te kunnen beraden over onderzoek (vgl ‘intern beraad’ in artikel 5.2 van de Wet open overheid) is simpelweg geen weigeringsgrond op grond van artikel 15, vierde lid of 23 van de AVG (en 41 UAvg). Het laatste artikel, met het opschrift ‘Beperkingen’ geeft immers in het eerste lid een limitatieve opsomming van ‘weigeringsgronden’ en daar staat die grond niet bij. Ik verwijs hiervoor ook naar het arrrest Gerechtshof Den Haag 17 september 2019, ECLI:NL:GHDHA:2019:2398 (Kerkgenootschap).
Hooguit kan worden gezocht naar een andere reden, zoals rechten en vrijheden van anderen. Dit behelst het privacyrecht van de ambtenaren of een belang van de opdrachtgever om bepaalde persoonsgegevens (nog) niet te verstrekken. Daarvoor moet er wel heel wat aan de hand zijn. Ook daarvoor verwijs ik naar de Kerkgenootschapzaak: “Hoewel het hof begrijpt dat de Kerk geen inzage wil geven in vertrouwelijke stukken, kan zij de inzage niet zonder meer volledig blokkeren met een beroep op vertrouwelijkheid, omdat de Kerk ook het (fundamentele) recht van [verweerster] op de bescherming van haar persoonsgegevens in acht moet nemen. De Kerk kan de inzage in vertrouwelijke documenten beperken indien dit noodzakelijk is voor de bescherming van rechten en vrijheden van anderen, in dit geval in het bijzonder: de privacyrechten van kerkenraadleden. Het inzagerecht van [verweerster] heeft verder slechts betrekking op haar persoonsgegevens en niet op andere informatie die in de desbetreffende documenten is opgenomen.” (r.o. 4.23)
In deze situatie kan op basis van dit arrest de vraag worden gesteld: waarom hebben de verwerkingsverantwoordelijken er niet minstens voor gekozen om wel de volledige persoonsgegevens – dus alle direct en indirect herleidbare informatie over de betrokkene, intern en extern – te verstrekken? Dat had bijvoorbeeld gekund door al deze passages te citeren in een of meer overzichtsdocumenten, in de woorden van het EU HvJ: uittreksels. Hiermee was voorkomen dat er informatie was gegeven die geen persoonsgegevens van de betrokkene betrof, zoals persoonsgegevens van bronnen, overleg over het inrichten van het onderzoek en dergelijke. Hiermee wordt meer recht gedaan aan het doel van het inzagerecht, namelijk het kunnen controleren of de verwerking rechtmatig was. Dat betreft niet alleen de grondslag als bedoeld in art. 6, eerste lid, van de AVG, maar ook het voldoen aan de in artikel 5, eerste lid, van de AVG genoemde beginselen van gegevensverwerking, waaronder dat van juistheid en dataminimalisatie.
In feite staat de voormalig Kamervoorzitter nog steeds met lege handen, ook in de aanpalende zaak. Hoewel het rapport een voldongen feit is, de betrokkene is vertrokken en de uitkomsten nogal meevielen, is de schade groot. De redenering van de rechtbank dat er voldoende verwerkingsgrondslag was omdat de bevindingen van het feitenonderzoek naar verzoekers ook zinvol konden zijn voor de invulling van de voorzittersfunctie door anderen, is onbegrijpelijk.
17 juni 2025
Wegens succes herhaald
De grondslag voor de verwerking is volgens de rechtbank niet, zoals we vaak zien bij onderzoeken, art. 6 lid 1 onder c AVG (wettelijke plicht) Dat zouden art. 7:611 BW en art. 3 van de Arbeidsomstandighedenwet zijn. De rechtbank overweegt dat die geen voldoende specifieke regeling bieden, omdat het niet expliciet regelt welke persoonsgegevens wanneer en op welke wijze mogen worden verzameld, verwerkt of verwijderd. De algemene zorgplicht van de werkgever is te ruim en te weinig specifiek om te voldoen aan de voorspelbaarheidseis. Dus kan deze grondslag niet worden ingeroepen als zelfstandige verwerkingsgrondslag. Wel is sprake van een gerechtvaardigd belang als bedoeld in art. 6 lid 1 onder f AVG (rechtmatig belang). De rechtbank stelt voorop dat een breed scala aan belangen als “gerechtvaardigd” kan worden beschouwd, mits men er niet onrechtmatig of disproportioneel mee handelt.
De rechtbank acht het belang van de Kamerorganisatie (en de betrokken ambtenaren) bij waarheidsvinding omtrent mogelijke sociaal onveilige situaties gerechtvaardigd, mede gezien de wettelijke plicht tot het waarborgen van een veilige werkomgeving, maar ook die van het algemene publiek.. De verwerking moet nodig zijn om dit belang te behartigen. De rechtbank acht een extern feitenonderzoek alleszins verdedigbaar, gezien de hoge mate van onderlinge spanningen en de ernst van de beweringen in de anonieme brieven. Intern onderzoek zou wellicht niet geloofwaardig of werkbaar zijn geweest. Het inschakelen van een onafhankelijk onderzoeksbureau en het verwerken van persoonsgegevens van verzoekster (zoals haar mogelijke gedragingen) kon dus als noodzakelijk worden beschouwd.
De rechtbank overweegt dat de fundamentele rechten en vrijheden van verzoekster (zoals haar recht op privacy en op bescherming van persoonsgegevens, art. 7 en 8 Handvest EU) worden afgewogen tegen het gerechtvaardigd belang van de Kamerorganisatie en de medewerkers. De rechtbank kijkt naar relevantie en proportionaliteit. Daarbij weegt onder meer mee dat de Kamervoorzitter heeft een zeer zichtbare, publieke en leidinggevende positie. Haar gedrag ten opzichte van ambtenaren raakt direct aan de werkgeverstaak om een veilige werkomgeving te bieden. de impact op verzoekster is weliswaar reëel, maar mede door haar publieke positie was het niet ondenkbaar dat een onderzoek zou volgen als er ernstige signalen over sociaal onveilig gedrag binnenkwamen. Het doel van het onderzoek was feitelijke verificatie en niet het sanctioneren van verzoekster. Ook was het onderzoek niet gericht op privézaken, maar op haar functioneren binnen de organisatie.
De rechtbank gaat voorbij aan het betoog van verzoekster dat het onderzoek door haar vertrek als Voorzitter onnodig was geworden. Zij bleef in andere hoedanigheden deel van de werkomgeving van het ambtelijke apparaat van de Tweede Kamer. Ook was de functie van Voorzitter na haar aftreden onveranderd, zodat de bevindingen zinvol konden zijn voor de invulling van die functie door anderen.
De rechtbank overweegt dat de gegevens verwerking bij het onderzoek proportioneel en subsidiair was. Daarbij betrekt de rechtbank dat het ging om serieuze signalen over ongewenst gedrag, vermeld in concrete brieven. Ook leefden er vermoedelijk al langere tijd zorgen leefden over spanningen in de ambtelijke top. Verzoekster was hierover deels benaderd, maar dat er kennelijk onderling onvoldoende vertrouwen bestond om dit intern op te lossen. Er is geen bewijs dat het besluit om een extern bureau in te schakelen aan de vorm van media opzettelijk vanwege het presidium of de griffier is uitgelekt. De rechtbank overweegt dat waar het een persoon in een publieke en leidinggevende functie binnen de Kamer betreft, deze – in geval van structurele klachten – in redelijkheid kan verwachten dat mogelijk tot een (externe) procedure wordt overgegaan. Dat zij ondertussen het Voorzitterschap had neergelegd, doet volgens de rechtbank niet af aan het belang van de Kamerorganisatie om helderheid te krijgen en eventuele structurele patronen te onderzoeken die ook voor de toekomst relevant konden zijn. Het was dus niet onredelijk om het onderzoek voort te zetten.
Vanwege de rechtmatigheid zijn ook de verzoeken om wissing en beperking van de gegevensverwerking (art. 17, 18 en 21 AVG) afgewezen. Diverse malen heeft verzoekster om inzage gevraagd, onder meer bij het onderzoeksbureau. Dit bureau gaf aan dat betrokkene het onderzoeksprotocol mocht komen inzien, waarin stond dat verklaringen van getuigen niet zouden worden verstrekt aan de beschuldigde. Verder kon zij de anonieme brieven op kantoor komen inzien evenals ‘documenten met relevante (achtergrond)informatie’. Omdat andere gesprekspartners in de veronderstelling waren dat hun verklaring niet ter inzage zou worden gegeven, wilden de onderzoekers de andere verklaringen alleen mondeling delen.
De griffier heeft bij brief van 7 september 2023 een gedeeltelijk toewijzende beslissing genomen op het inzageverzoek van verzoekster.
Deels is een kopie van de documenten met verzoeksters persoonsgegevens verstrekt. Echter, een deel is geweigerd op grond van artikel 15 lid 4 AVG respectievelijk artikel 23 lid 1 aanhef en onder i AVG jo. artikel 41 lid 1 aanhef en onder i UAVG. De reden was dat de gegevens niet worden verstrekt als maatregel ter bescherming van de rechten en vrijheden van anderen (meer concreet het onderzoeksbelang, privacybelangen van anderen of het belang van ambtenaren om vertrouwelijk overleg te voeren over de noodzaak om een onderzoek in te stellen).
De rechtbank overweegt dat aan het inzagerecht als bedoeld in art. 15 van de AVG is voldaan. Dat recht stelt een betrokkene in staat te controleren welke gegevens worden verwerkt, met welk doel, aan wie ze zijn verstrekt en hoe lang ze worden bewaard. In een aantal zaken is het verzoekschrift niet-ontvankelijk verklaard omdat er niet eerder inzageverzoeken waren gedaan bij de verantwoordelijken.
De rechtbank verwijst naar de bijlage bij de brief van de griffier waarin documenten zijn genoemd die niet zijn verstrekt. De weigeringsgronden zijn in de brief is toegelicht. Daarom had van verzoekster verwacht mogen worden dat zij per document zou motiveren waarom die belangenafweging in dat concrete geval anders had moeten uitvallen. Die motivering is niet gegeven. Daarom vindt de rechtbank dat dat het Presidium en de Griffier in redelijkheid niet hebben kunnen oordelen dat in voorkomende gevallen de rechten en vrijheden van anderen in de weg staan aan het verstrekken van inzage in de in de betreffende documenten opgenomen persoonsgegevens.
De rechtbank stelt vast dat volgens de overgelegde correspondentie en de stellingen van verweerders is herhaaldelijk aan verzoekster aangeboden dat zij op locatie wel inzage kon krijgen in onder meer de anonieme meldbrieven en gespreksverslagen (zij het geanonimiseerd) om de identiteit van klagers te beschermen. Er bestond dus een feitelijke mogelijkheid tot kennisneming. Verzoekster heeft evenwel die mogelijkheden steeds afgewezen of er voorwaarden aan verbonden die verweerders te ver vonden gaan (zoals toezending van alle stukken, terwijl men bang was voor lekken naar de pers).Aangezien verzoekster daarvan geen gebruik heeft gemaakt en geen concrete aanwijzingen heeft geleverd dat de geboden inzage inadequaat was, wijst de rechtbank haar vordering tot meer verstrekkende vorm van inzage af.
