Als expert op het gebied van privacyrecht constateert mr. dr. C. Raat dat de Autoriteit Persoonsgegevens (AP) dat deze toezichthouder mensen die hun persoonsgegevens willen inzien op het verkeerde been zet. Die worden daardoor benadeeld, vooral omdat veel bedrijven, instellingen en overheden de informatie van de AP overnemen. Het lijkt erop dat de AP inmiddels zo weinig deskundigheid meer in huis heeft, dat de overgebleven medewerkers een slag hebben geslagen naar wat er in de Europese Algemene Verordening Gegevensbescherming (AVG) staat. Toch is dat bepaald geen hogere wiskunde.
Recht op een kopie
Artikel 15, derde lid, van de AVG luidt: “de verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt.”
Een kopie dus. Maar wat schrijft de AP op haar website?
“Antwoord op inzageverzoek
De organisatie moet u een afschrift van uw persoonsgegevens verstrekken wanneer u een verzoek tot inzage doet. Dit is bijvoorbeeld een overzicht van de persoonsgegevens die van u worden verzameld en wat die precies zijn. Of een kopie van een document waarin uw persoonsgegevens staan opgenomen, maar dat hoeft niet per se.”
Volgens de AP heb je recht op een afschrift, dat volgens die AP niet hetzelfde is als een kopie. Sterker nog: een kopie “hoeft niet per se.” Een overzicht – een lijst met de verwerkingen, doel, bestemming, etc. – zou volgens de AP voldoende zijn. Daaruit zou de betrokkene maar moeten kunnen opmaken of de gegevens kloppen en of zij in overeenstemming met de AVG worden verwerkt.
Dat is niet alleen vaak volstrekt onvoldoende, maar het is ook niet wat er in de AVG staat. Immers, daar staat dat de betrokkene een kopie moet krijgen van de persoonsgegevens die van hem worden verwerkt. Dit recht op een kopie komt overeen met wat de Europese wetgever (de AVG is in het Engels tot stand gekomen, de GDPR) hierover schrijft, bijvoorbeeld in de publieksfolder: “You have the right to request access to the personal data an organisation has about you, free of charge, and obtain a copy in an accessible format.” En dit komt overeen wat de Britse, Duitse en andere nationale autoriteiten hierover melden. Een copy, oftewel kopie.
Wat is een kopie?
Volgens alle woordenboeken is een copy hetzelfde als een kopie. En synoniem van afschrift. Dat de AP schrijft dat je recht hebt op een afschrift, betekent automatisch dat je recht hebt op een kopie. Volgens alle gangbare Nederlandstalige en Engelstalige woordenboeken betekent overigens een kopie een afdruk, een aan het origineel identiek exemplaar, een afschrift. Zijn de gegevens online toegankelijk, dan is volgens de AVG het zelfs te prefereren dat de betrokkene toezicht krijgt tot die online gegevens. Een kopie is dus zeker geen ‘overzicht’.
In deze, normaal gangbare betekenis (en aangezien de Europese wetgever niet de behoefte heeft gevoeld om dit uit te leggen, is dit evident zo bedoeld) is een kopie van de verwerking een fotokopie, een ingescand exemplaar, een screenshot, een pdf’je van een tekstbestand. En niet een overzicht. Nog los van het feit dat een overzicht de verantwoordelijke meer tijd kost, is dat niet de bedoeling. In de kopie mogen op grond van art. 23 van de AVG alleen bepaalde woorden worden weggelakt, bijvoorbeeld als die gaan over anderen of als die de openbare veiligheid raken.
De Functionaris Gegevensbescherming bij de AP, belast met toezicht op de naleving door de AP van de AVG, moet hierin ingrijpen. Dat is tot op heden niet gebeurd.
Geen kopie gekregen?
Als u hebt gevraagd om een kopie van de verwerkingen van uw persoonsgegevens en u krijgt slechts een overzicht, dan kan het zijn dat u daaraan genoeg hebt. Is dat niet het geval, omdat het niet duidelijk is wat er precies wordt verwerkt en wie er allemaal betrokken zijn geweest bij de verwerking, dan hebt u daar niets aan. Een handhavingsverzoek (‘klacht’) bij de AP heeft mogelijk weinig zin. U kunt wel de verantwoordelijke organisatie zelf aanspreken en zo nodig naar de rechter, ook om schadevergoeding te vragen.
