Welke rechten heeft de betrokkene?
In de Algemene Verordening Gegevensbescherming (“AVG”) is het transparantiebeginsel opgenomen. Dit houdt kort gezegd in dat betrokkenen op een eenvoudige wijze toegang moeten kunnen krijgen tot informatie en dat de informatie op een duidelijke en begrijpelijke wijze wordt verstrekt (zie voor meer informatie deze blog).
In aanvulling op het transparantiebeginsel zijn aan de betrokkenen een aantal rechten toegekend. De rechten geven de betrokkene de mogelijkheid om bijvoorbeeld inzage te krijgen in de gegevens over de betrokkene die worden verwerkt. Dit leidt ertoe dat de betrokkene meer controle krijgt over zijn eigen persoonsgegevens. De rechten van betrokkenen staan vermeld in afdeling 2 van de AVG. Ik heb de rechten hieronder op een rijtje gezet.
- Recht van inzage
- Correctie- en verwijderingsrecht
- Recht van bezwaar
- Recht niet te worden onderworpen aan geautomatiseerde individuele besluitvorming
- Recht op beperking van de verwerking
- Recht op gegevensoverdraagbaarheid
- Intrekken van toestemming
Hoe kunnen de rechten worden uitgeoefend?
Betrokkenen kunnen de rechten uitoefenen door een verzoek in te dienen bij de partij die de persoonsgegevens verwerkt. Het uitoefenen van de rechten is kosteloos, behoudens misbruik. Het verzoek kan via de e-mail, het contactformulier of per post worden gedaan. Uit het verzoek moet duidelijk blijken op welk(e) recht(en) de betrokkene zich beroept. Er worden verder geen formele eisen aan het verzoek gesteld.
Hoe moet een verzoek worden afgehandeld?
De partij die de persoonsgegevens verwerkt, de verwerkingsverantwoordelijke, dient binnen een maand op het verzoek te reageren. Voordat inhoudelijk op het verzoek wordt gereageerd, kan de verwerkingsverantwoordelijke vragen om nader bewijs van de identiteit van de betrokkene. Dit kan gevraagd worden om te voorkomen dat persoonsgegevens aan de verkeerde persoon worden verstrekt of dat de persoonsgegevens ten onrechte worden gewijzigd. Het is aan te raden om een nader bewijs van de identiteit op te vragen. Het ten onrechte verstrekken van persoonsgegevens kan, afhankelijk van het risico, een datalek tot gevolg hebben.
Wat is het recht van bezwaar?
Het recht van bezwaar is neergelegd in artikel 21 AVG. Het recht van bezwaar houdt in dat de betrokkene vanwege zijn specifieke situatie bezwaar kan maken tegen bepaalde verwerkingen van zijn persoonsgegevens. Het recht op bezwaar is dus geen onvoorwaardelijk recht.
Wanneer kan het bezwaar worden toe- of afgewezen?
Grondslag voor bezwaar
Partijen hebben voor de verwerking van persoonsgegevens een grondslag nodig. In de AVG zijn zes grondslagen opgenomen op basis waarvan partijen persoonsgegevens mogen verwerken. Kort gezegd zijn dit de volgende grondslagen:
- toestemming
- uitvoering van overeenkomst
- wettelijke verplichting
- vitale belangen
- publieke taak
- gerechtvaardigd belang
De betrokkene kan niet in alle gevallen bezwaar maken tegen de verwerking van zijn persoonsgegevens. Tegen de verwerking kan slechts bezwaar worden gemaakt, indien de verwerking op grond van 1) een publieke taak of 2) het gerechtvaardigd belang plaatsvindt. Een publieke taak wordt voor of namens de overheid uitgevoerd en is in de wet vastgelegd. Bij het gerechtvaardigd belang kan worden gedacht aan direct marketingactiviteiten, intern beheer, statistieken, fraudeonderzoek en beveiliging. Bij het gerechtvaardigd belang kan het gaan om een belang van de verwerkingsverantwoordelijke, maar ook om een belang van derde partijen.
Belangenafweging
Wanneer vaststaat dat de verwerking plaatsvindt op basis van een publieke taak of het gerechtvaardigd belang van de verwerkingsverantwoordelijke, moet een belangenafweging plaatsvinden. De verwerking hoeft niet gestaakt te worden, indien de verwerkingsverantwoordelijke een gerechtvaardigd belang heeft om de persoonsgegevens te verwerken én dat gerechtvaardigd belang zwaarder weegt dan het belang van de betrokkene. Het is aan de verwerkingsverantwoordelijke om die beoordeling te maken en aan te tonen dat het belang van de verwerkingsverantwoordelijke zwaarder weegt. Bij de beoordeling kunnen meerdere factoren een rol spelen. Denk hierbij aan het type persoonsgegevens dat wordt verwerkt, voor welk doel de persoonsgegevens worden verwerkt en in hoeverre de verwerking noodzakelijk is.
Uitzonderingen
Op bovenstaande gelden twee uitzonderingen.
- Marketingactiviteiten: Indien persoonsgegevens worden verwerkt ten behoeve van direct marketing, heeft de betrokkene te allen tijde het recht om bezwaar te maken. Bij marketingactiviteiten kan worden gedacht aan het doen van online aanbiedingen, het versturen van reclame- en informatie e-mails en het inzetten van profiling. De verwerkingsverantwoordelijke is verplicht om het bezwaar te honoreren. Vanaf het moment dat het bezwaar is gehonoreerd, mogen de persoonsgegevens niet meer voor direct marketing doeleinden worden gebruikt.
- Generieke uitzonderingen: Het recht van bezwaar kan niet worden ingeroepen indien de verwerking van persoonsgegevens plaatsvindt ter waarborging van onder meer de nationale veiligheid, landsverdediging en/of openbare orde. Deze uitzonderingen zijn in artikel 41 van de Uitvoeringswet Algemene Verordening Gegevensbescherming (“UAVG”) is opgenomen. Deze uitzonderingen komen bij het recht van bezwaar niet snel voor. De generieke uitzonderingen zijn bij andere rechten relevanter, daarover meer in de volgende blogs.
Beslisboom afhandelen bezwaar
Op basis van bovenstaande informatie heb ik een beslisboom gemaakt. Indien de verwerkingsverantwoordelijke een bezwaar ontvangt, moet de verwerkingsverantwoordelijke zichzelf de volgende vragen stellen:
- Worden de persoonsgegevens verwerkt op grond van i) een publieke taak of ii) het gerechtvaardigd belang?
Nee. De betrokkene heeft geen recht van bezwaar dus persoonsgegevens mogen verwerkt blijven worden
Ja. De betrokkene heeft een recht van bezwaar (zie vraag 2) - Weegt het belang van de verwerkingsverantwoordelijke zwaarder dan het belang van de betrokkene?
Nee. De verwerking van persoonsgegevens moet worden gestaakt (zie vraag 4)
Ja. De verwerking van persoonsgegevens mag blijven plaatsvinden (zie vraag 3)
Alleen indien grondslag gerechtvaardigd belang is - Worden de persoonsgegevens voor direct marketingdoeleinden verwerkt?
Nee. De verwerking van persoonsgegevens mag blijven plaatsvinden
Ja. De verwerking van persoonsgegevens moet worden gestaakt
In alle gevallen - Worden de persoonsgegevens verwerkt ter waarborging van de nationale veiligheid, landsverdediging en/of openbare orde?
Nee. De verwerking van persoonsgegevens moet worden gestaakt
Ja. De verwerking van persoonsgegevens mag blijven plaatsvinden
Wat is het gevolg van het bezwaar?
Wanneer de betrokkene bezwaar maakt en het bezwaar wordt gehonoreerd, dan mogen de persoonsgegevens vanaf dat moment niet meer door de verwerkingsverantwoordelijke worden verwerkt. De verwerkingsverantwoordelijke dient vanaf dat moment de verwerking te staken. Het staken van de verwerking betekent nog niet dat je persoonsgegevens ook worden verwijderd. Voor het laten verwijderen van je persoonsgegevens moet je een verwijderingsverzoek indienen.
Bezwaar in de praktijk
In de praktijk zien we vrij weinig procedures voorbij komen waarin wordt geprocedeerd over het recht van bezwaar. Dit heeft ermee te maken dat de betrokkene in veel gevallen kan kiezen tussen het uitoefenen van het recht van bezwaar en het verzoeken om verwijdering van de persoonsgegevens. Het voordeel van het verwijderingsverzoek is dat de persoonsgegevens definitief worden verwijderd. Bij het maken van bezwaar wordt de verwerking van persoonsgegevens gestopt, maar blijven de persoonsgegevens beschikbaar.
Afgelopen zomer oordeelde de rechtbank Midden-Nederland over de toepassing van het recht van bezwaar. Kort gezegd speelt het volgende. Eisers stellen dat verweerder, een bestuursorgaan, in strijd heeft gehandeld met de AVG door op een onrechtmatige wijze persoonsgegevens te verwerken. De onrechtmatige verwerking bestaat uit het delen van persoonsgegevens van eisers door het bestuursorgaan met een journalist. De informatie betreft een niet-geanonimiseerde uitspraak én geheime bedrijfsinformatie van een van de eisers over de relatie met haar opdrachtgever. Eisers maken bij het bestuursorgaan bezwaar tegen de verstrekking van persoonsgegevens die heeft plaatsgevonden. De rechtbank oordeelt dat er inderdaad sprake is van een onrechtmatige verwerking.
Wat de eisers met dit oordeel opschieten, is de vraag. De verwerking heeft immers al plaatsgevonden en kan niet worden teruggedraaid. In dat opzicht lijkt het maken van bezwaar overbodig. Met het oog op schadevergoeding heeft het maken van bezwaar wel degelijk gevolgen. Nu de rechtbank heeft geoordeeld dat de verwerking onrechtmatig is, kan de rechtbank ook schadevergoeding toewijzen. Of de schadevergoeding daadwerkelijk wordt toegewezen, moet worden afgewacht. Daarvoor moeten de eisers een afzonderlijke vordering bij de bestuursrechter indienen.
Heeft u vragen of wilt u meer weten over dit onderwerp? Neem dan contact met ons op.
