Privacy is nu meer dan ooit een hot topic. De huidige informatiemaatschappij biedt steeds meer mogelijkheden tot ongebreidelde vergaring, bewerking en verspreiding van persoonsgegevens, hetgeen op gespannen voet staan met de bescherming van de persoonlijke levenssfeer. Tegelijkertijd worden mensen zich steeds bewuster van hun privacy en hun rechten als het gaat om de verwerking van hun persoonsgegevens. Steeds vaker doen mensen een beroep op hun inzagerecht of het recht om vergeten te worden. Maar wat doe je als een dergelijk verzoek wordt afgewezen?
Reactietermijn
Op grond van de AVG moet de verwerkingsverantwoordelijke de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van een verzoek informatie verstrekken over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging.
Wel of niet binnen de reactietermijn gereageerd?
Indien de verwerkingsverantwoordelijke binnen de termijn van één maand heeft gereageerd op het verzoek van de betrokkene, heeft de betrokkene op grond van artikel 35 Uitvoeringswet AVG (“UAVG”) vervolgens zes weken de tijd om, indien hij zich niet kan verenigen met de beslissing van de verwerkingsverantwoordelijke, een verzoekschrift in te dienen bij de rechter.
Heeft de verwerkingsverantwoordelijke niet binnen de termijn gereageerd, dan geldt er geen termijn voor indiening van het verzoekschrift bij de civiele rechter omdat het niet nodig is en ook niet erg redelijk om de rechtzoekende een betrekkelijk korte termijn te geven om het verzoekschrift in te dienen als de verwerkingsverantwoordelijke in gebreke is.
Wanneer ben je op tijd?
Er is interessante jurisprudentie gewezen over de vraag of een betrokkene de gerechtelijke procedure, na een afwijzing, op tijd (dus binnen zes weken) is gestart.
In een zaak tussen een betrokkene en ING ging het om een registratie bij de stichting Bureau Krediet Registratie (BKR) in verband met een betalingsachterstand. Omdat de betrokkene de (herhaaldelijk gemaakte) betaalafspraken niet volledig is nagekomen, is naar aanleiding van een melding van ING een negatieve codering geplaatst in het Centraal Krediet Informatiesysteem van het BKR. De betrokkene heeft na verloop van tijd het door ING ingeschakelde incassobureau verzocht om de BKR-registratie te verwijderen. Dit verzoek is op 13 oktober 2017 afgewezen.
ING had zich op het standpunt gesteld dat nu de betrokkene de dagvaarding bijna een jaar na afwijzing van het verwijderingsverzoek bij ING heeft betekend, de termijn van zes weken is overschreden.
ING verwijst daarbij naar een uitspraak van de rechtbank Amsterdam uit 2015. In die zaak ging het ook om een verzoek tot verwijdering van een negatieve BKR-registratie. Het verschil is echter dat de zaak uit 2015 geen kort geding betrof, maar een verzoekschriftprocedure. Omdat het verzoekschrift niet binnen zes weken na afwijzing van het verwijderingsverzoek was ingediend, werd de verzoeker door de rechtbank Amsterdam niet-ontvankelijk verklaard.
In deze zaak lag het echter anders. Het ging hier niet om een verzoekschrift dat was ingediend ingevolge artikel 35 UAVG, maar om een kortgedingdagvaarding, waarin veroordeling van ING wordt gevorderd tot verwijdering van de negatieve BKR-registratie, die volgens de betrokkene ten onrechte niet door ING is verwijderd. De zaak kon daarom alsnog door de rechter worden behandeld. De termijn van zes weken lijkt daarom omzeild te kunnen worden door voor een kort geding te kiezen in plaats van een verzoekschrift.
In een andere uitspraak, waarin het ook ging om verwijdering van negatieve BKR-registraties, deed zich hetzelfde voor. De betrokkene voerde aan dat hij op grond van de AVG het recht heeft een doeltreffende voorziening in rechte in te stellen tegen een – in zijn visie – onterechte BKR-registratie, van welk recht hij te allen tijde gebruik moet kunnen maken. De in artikel 35 UAVG opgenomen termijn van zes weken is daarmee in strijd met de AVG en betreft volgens de betrokkene een ‘weeffout’. Deze termijn is onvoldoende om een civiele procedure ter bescherming van grondrechten voor te bereiden, zodat de in dat artikel voorgeschreven procedure niet als een doeltreffende voorziening in de zin van de AVG kan worden aangemerkt, aldus de betrokkene. Bovendien staat toepassing van die termijn eraan in de weg dat de betrokkene te allen tijde moet kunnen opkomen tegen een (vermeend) onterechte BKR-registratie.
Op de stelling dat sprake is van een weeffout gaat de rechter niet in. De rechter oordeelt wel dat de wetgever met artikel 35 UAVG een speciale procedure in het leven heeft geroepen en dat die rechtsgang niet kan worden omzeild door zich (enkel) te beroepen op de algemene regeling betreffende onrechtmatig handelen. De betrokkene werd daarom alsnog niet-ontvankelijk verklaard. De rechter gaat dus uit van een gesloten stelsel van rechtsmiddelen.
Deze uitspraak is echter niet verenigbaar met weer een eerdere uitspraak van het gerechtshof Den Haag: “Het is waar dat artikel 46 Wbp [voorganger van artikel 35 UAVG] een speciale rechtsgang biedt voor de betrokkene die bezwaar heeft tegen de verwerking van zijn persoonsgegevens. Dat neemt echter niet weg dat een verwerking die strijdig is met de Wbp een onrechtmatig handelen tegenover de betrokkene oplevert en dat aan deze in elk geval ook de algemene bevoegdheid ten dienste staat zich tot de civiele rechter te wenden met een vordering tot schadevergoeding of tot het staken of ongedaan maken van het beweerde onrechtmatig handelen.”
Het blijft onzeker, maar de lijn in de rechtspraak, op een uitzondering na, lijkt (vooralsnog) het belang op effectieve rechtsbescherming in geval van een onrechtmatige gegevensverwerking te laten prevelaren.
