Een klant van de bank Theodoor Gilissen Bankiers (TGB) heeft in 2016 een inzageverzoek gedaan bij de bank. Doordat de bank geen gehoor gaf aan het inzageverzoek, legde de Autoriteit Persoonsgegevens (AP) een last onder dwangsom op. Omdat de bank vervolgens nog steeds niet volledig voldeed aan het verzoek om inzage, heeft de AP een dwangsom van EUR 48.000 ingevorderd.
Het recht op inzage houdt in dat een betrokkene een organisatie mag vragen of deze persoonsgegevens van hem heeft vastgelegd en zo ja, welke. Voor een dergelijk inzageverzoek hoeft geen reden gegeven te worden. Het recht op inzage was ten tijde van deze procedure gelegen in artikel 35 Wet bescherming persoonsgegevens, sinds 25 mei 2018 is dat recht vervat in artikel 15 van de Algemene Verordening Gegevensbescherming.
De klant vroeg met het inzageverzoek om een overzicht van de op hem/haar betrekking hebbende persoonsgegevens die door TGB worden verwerkt. Ook vroeg de klant om een afschrift van chatberichten, gewisseld tussen de klant en diens accountmanager bij TGB in een chatroom voor beleggers en een afschrift van een interne instructie van het hoofd van de Interne Audit Dienst van TGB over de te maken afspraken met de klant. De bank heeft het inzageverzoek afgewezen, waarna de klant de Autoriteit Persoonsgegevens (AP) heeft verzocht om handhavend op te treden om het recht op inzage af te dwingen. Nadat partijen in de gelegenheid waren gesteld om hun zienswijze naar voren te brengen, heeft de AP een last onder dwangsom opgelegd aan TGB. Omdat de bank vervolgens nog steeds niet volledig voldeed aan het verzoek om inzage, heeft de AP de dwangsom ingevorderd.
Standpunt TGB
In haar zienswijze over het voornemen van de AP om een dwangsom op te leggen heeft TGB aangegeven het niet eens te zijn met de beslissing van de AP. Zo zou de klant misbruik hebben gemaakt van het inzagerecht, omdat de klant het inzagerecht met een ander doel zou gebruiken dan het controleren of zijn/haar persoonsgegevens juist en rechtmatig zijn verwerkt: volgens TGB zou de klant de gegevens (uitsluitend) gebruiken als bewijs in een civielrechtelijke aansprakelijkheidsprocedure tegen TGB.
Verder voerde TGB aan dat artikel 35 van de Wbp geen recht op afschrift van stukken oplevert en dat zij niet is gehouden om interne analyses en de vastlegging van beraadslaging aan de klant te overleggen. Tenslotte betoogde de bank dat het verstrekken van een overzicht van op de klant betrekking hebbende persoonsgegevens een onevenredige inspanning van de bank zou vergen.
Standpunt AP
De AP legt uit dat ondanks het vooronderstelde belang bij een beroep op inzagerecht, ook het motief van de betrokkene bij het inzagerecht relevant is. Zij zal dus moeten onderzoeken of het verzoek in overeenstemming met artikel 35 Wbp is. Gezien de vertrouwelijkheid van de procedure is niet te volgen wat het doel is van de klant (“Met zijn beroep op het inzagerecht wenst [VERZOEKER] [VERTROUWELIJK], zo stelt hij.”). In ieder geval is dit doel volgens de AP in lijn met het doel van het inzagerecht. Het feit dat de klant geen correctieverzoek heeft gedaan met betrekking tot eerder ontvangen stukken waarin zijn/haar persoonsgegevens doet daar ook niet aan af. Verder legt de AP – verwijzend naar de Dexia-zaak – uit dat de enkele omstandigheid dat een betrokkene met de eenmaal verkregen gegevens vervolgens tevens een ander doel zou kunnen dienen, bijvoorbeeld door deze te gebruiken in een eventuele civiele procedure, ontoereikend is om misbruik van recht aan te nemen.
Op het standpunt van de bank dat het recht op inzage niet verplicht tot afschrift van de documenten, reageert de AP dat in eerste instantie aan het inzagerecht wordt voldaan wanneer een volledig overzicht in begrijpelijke vorm van de persoonsgegevens wordt verstrekt. Slechts wanneer met een overzicht niet kan worden voldaan aan de doelstelling van het recht op inzage, kan de betrokkene aanspraak maken op een afschrift. De bank heeft echter in het geheel nog geen overzicht en aanvullende informatie verstrekt. Of de klant recht heeft op afschriften van de chatberichten en interne instructie is nog niet aan de orde, aldus de AP.
Ook het argument inzake onevenredige inspanning treft geen doel volgens de AP. “Uitgangspunt is dat het beslissend is dat de betrokkene ten aanzien van de over hem verwerkte persoonsgegevens als regel aanspraak heeft op wetenschap ten aanzien van ‘hetzelfde’ als hetgeen de verantwoordelijke over hem bewaart/verwerkt.”
Last onder dwangsom
TGB heeft van de AP een termijn van twee maanden gekregen om te voldoen aan het inzageverzoek, eindigend op 11 juli 2017. Wanneer TGB niet voor het einde van die termijn aan de last voldoet, verbeurt zij een dwangsom. De dwangsom is vastgesteld op een bedrag van EUR 12.000,00 voor iedere week dat de last niet (geheel) is uitgevoerd, tot een maximum van EUR 60.000,00.
Binnen de termijn, op 7 juli 2017, heeft de bank een overzicht verstrekt van persoonsgegevens die door TGB worden verwerkt. In dit overzicht is per categorie van verwerkte persoonsgegevens het volgende aangegeven: een omschrijving van het doel van de verwerking, de (categorieën) van ontvangers en beschikbare informatie over de herkomst van de gegevens. Volgens de klant en de AP is het overzicht niet volledig, omdat twee documenten niet betrokken zijn in het overzicht. Hierdoor concludeert de AP dat de bank met de verstrekking van het overzicht van 7 juli 2017 niet volledig aan de op 11 mei 2017 opgelegde last heeft voldaan. Op 14 augustus 2017 heeft TGB een aanvulling gedaan op het overzicht, en heeft hiermee alsnog aan de opgelegde last voldaan. De periode waarover de dwangsom verschuldigd is, eindigt daarom op 14 augustus 2017. TGB (inmiddels InsingerGilissen Bankiers N.V. (IGB)) verbeurt een dwangsom over de periode van 12 juli 2017 tot 14 augustus 2017. Dit houdt in dat 4 volledige weken verstreken zijn voordat aan de opgelegde last is voldaan. De hoogte van de verbeurde dwangsom bedraagt vier keer EUR 12.000,00, dus EUR 48.000,00.
U kunt de last onder dwangsom en de invorderingsbeschikking hier lezen.
