ECLI:NL:GHARL:2025:5678 - Hof: Verzuim onderzoek naar ontvangers bij verzoek tot gegevensuitwisseling is AVG-schending - 16 september 2025
Arrest
Essentie
Een verwerkingsverantwoordelijke die bij een verzoek tot wissing nalaat te onderzoeken of persoonsgegevens zijn verstrekt, schendt haar verplichtingen uit de AVG, met name artikel 17 lid 2 en 19. Het ontbreken van aanknopingspunten in een intern privacyreglement doet hieraan niet af, omdat wettelijke verplichtingen prevaleren.
Rechtsgebieden
Arrest inhoud
GERECHTSHOF ARNHEM-LEEUWARDEN
locatie Leeuwarden afdeling civiel recht
zaaknummer gerechtshof 200.351.300 zaaknummer rechtbank Noord-Nederland, zittingsplaats Leeuwarden, 197831
beschikking van 16 september 2025
in de zaak van
[appellant] die woont in [woonplaats1] die hoger beroep heeft ingesteld en bij de rechtbank optrad als verzoeker, hierna: [appellant] zonder advocaat
en
Stichting Regiecentrum Bescherming en Veiligheid die gevestigd is in Leeuwarden en bij de rechtbank optrad als verweerster, hierna: het RBV zonder advocaat.
1 Het verloop van de procedure in hoger beroep
[appellant] heeft hoger beroep ingesteld bij het gerechtshof (hierna: het hof) tegen de beschikking
2 De kern van de zaak
2.1. [appellant] heeft de rechtbank verzocht te bepalen dat het RBV het door haar over hem gevormde dossier onmiddellijk vernietigt, dat het RBV daarvoor een dwangsom wordt opgelegd en dat het RBV in de kosten van de procedure wordt veroordeeld.
2.2. De rechtbank heeft op 5 februari 2025 deze verzoeken afgewezen en bepaald dat partijen hun eigen kosten dragen.
2.3. [appellant] wil dat het hof het RBV opdracht geeft andere ‘verwerkers’ van zijn dossier in kennis te stellen van de vernietiging van dat dossier door het RBV en dat het RBV daarvoor een dwangsom wordt opgelegd, zowel als bodembeslissing als in de vorm van een voorlopige voorziening. Ook wil [appellant] dat het RBV in de kosten van de procedures bij de rechtbank en bij het hof wordt veroordeeld.
2.4. Het hof zal beslissen dat het aanvullend verzoek van [appellant] deels toewijsbaar is en licht dat hierna toe. Het hof laat de beschikking van de rechtbank in stand.
3 De toelichting op de beslissing van het hof
De feiten waarvan het hof uitgaat
3.1. Verschillende afdelingen van het RBV zijn tussen 2015 en 2018 betrokken geweest bij het leven van [appellant] . Daarom heeft het RBV één of meerdere dossiers van [appellant] in haar archief (hierna: het dossier).
3.2. Op 10 juni 2024 heeft [appellant] aan het RBV verzocht het dossier te vernietigen.
3.3. In een brief van 26 november 2024 heeft het RBV aan [appellant] geschreven: Ik heb besloten om uw verzoek tot vernietiging in te willigen. De dossiers zullen 6 weken na dagtekening van deze brief vernietigd worden. Bent u het niet eens met deze beslissing, reageer dan voor 6 januari middels een reactie op deze brief.
3.4. Op 6 december 2024 heeft de rechtbank het onder 2.1. genoemde verzoek van [appellant] ontvangen.
3.5. Op 7 januari 2025 heeft het RBV het dossier vernietigd.
De inhoudelijke beoordeling
3.6. Het hof stelt voorop dat uit de artikelen 5 en 24 AVG volgt dat de verwerkings-verantwoordelijke een voortdurende verantwoordelijkheid heeft voor de naleving van de verplichtingen uit de AVG inzake het verwerken van persoonsgegevens. In dat verband is hier van belang dat de verwerkingsverantwoordelijke – kort gezegd – haar beleid en haar (interne) procedures en organisatie zo moet inrichten dat zij steeds voldoet en kan voldoen aan haar verplichtingen uit de AVG. Dit wordt niet anders als een verwerkingsverant-woordelijke in dat verband een (privacy)reglement of protocol hanteert.
3.7. Artikel 17 AVG bevat de regeling voor het recht op gegevenswissing. In geval van een van een betrokkene ontvangen verzoek tot gegevenswissing is de verwerkingsverant-woordelijke, als de persoonsgegevens van de betrokkene door haar openbaar zijn gemaakt, op grond van lid 2 van artikel 17 AVG gehouden andere verwerkingsverantwoordelijken die de persoonsgegevens verwerken, op de hoogte te stellen van het verzoek. Blijkens overweging 66 van de AVG bestaat het doel van deze verplichting in de versterking van het recht op vergetelheid in de onlineomgeving en heeft zij daarmee op bijzondere wijze betrekking op persoonsgegevens die op het internet zijn geplaatst.
3.8. Anders dan [appellant] mede onder verwijzing naar het bepaalde in de (hier niet van toepassing zijnde) Wet Open Overheid aanvoert, moet daarom worden aangenomen dat ‘openbaar maken’ in de zin van artikel 17 AVG betekent: het beschikbaar stellen van persoonsgegevens aan (een bepaalde groep van) het publiek door bijvoorbeeld plaatsing op het internet of het opnemen in al dan niet via een account te raadplegen registers, waardoor deze informatie kan worden gezien of gebruikt door anderen die daardoor zelf verwerkingsverantwoordelijk worden. Tegen de door [appellant] voorgestane ruimere uitleg dat iedere verstrekking of doorgifte van persoonsgegevens onder het bereik van ‘openbaar maken’ in de zin van artikel 17 lid 2 AVG valt, pleit ook dat daarmee een aanzienlijke overlap ontstaat met het bepaalde in artikel 19 AVG over de kennisgevingsplicht en die bepaling in feite weinig betekenis zou hebben. Dat artikel bepaalt dat de verwerkingsverantwoordelijke in beginsel gehouden is – zonder nader of daarop specifiek gericht verzoek van de betrokkene – iedere ontvanger aan wie persoonsgegevens zijn verstrekt, van de gegevenswissing in kennis te stellen.
3.9. Het RBV heeft bestreden dat zij persoonsgegevens van [appellant] uit het dossier openbaar heeft gemaakt in de hiervoor bedoelde betekenis. Gelet op de aard van het RBV als jeugdbeschermingsorganisatie is dat ook niet aannemelijk. In wat [appellant] aanvoert, ligt ook geen reden om aan te nemen dat die betwisting van het RBV voor onjuist moet worden gehouden. Het verzoek van [appellant] om het RBV te dwingen andere instanties op de hoogte te stellen van de wissing van zijn persoonsgegevens, of van zijn verzoek daartoe, kan daarmee niet op artikel 17 AVG worden gebaseerd.
3.10. Wat betreft de in artikel 19 AVG bedoelde kennisgevingsplicht geldt dat die, anders dan het RBV kennelijk meent, niet is beperkt tot alleen verwerkers van persoonsgegevens als bedoeld in artikel 4, onderdeel 8 AVG. Iedere ontvanger van de persoonsgegevens moet op de hoogte worden gesteld. Een ‘ontvanger’ wordt in artikel 4, onderdeel 9 AVG gedefinieerd als ‘iedere natuurlijke persoon, rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan wie/waaraan de persoonsgegevens worden verstrekt’.
3.11. Artikel 30 AVG verplicht een verwerkingsverantwoordelijke een register van verwerkingsactiviteiten bij te houden. Dat register moet onder meer bevatten de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt. Die registratieplicht gaat, anders dan [appellant] betoogt, echter niet zo ver dat in dat register op individueel of dossierniveau moet worden bijgehouden welke persoonsgegevens aan welke ontvanger zijn verstrekt. Daarmee kan [appellant] niet worden gevolgd in zijn stelling dat het RBV in een afzonderlijk register had moeten bijhouden aan wie welke persoonsgegevens waren verstrekt en het RBV daarmee ook na vernietiging van het dossier in staat moet worden geacht de kennisgevingsplicht na te komen.
3.12. Een en ander laat onverlet dat het RBV aan de hand van het dossier, alvorens tot vernietiging daarvan over te gaan, had moeten nagaan of sprake is geweest van verstrekking van persoonsgegevens in de zin van artikel 19 AVG, in welk geval zij de kennisgevingsplicht had na te komen. Het RBV heeft ter zitting erkend dat zij in het kader van de beoordeling van het wissingsverzoek niet ook heeft onderzocht aan wie persoonsgegevens uit het dossier waren verstrekt – en overigens evenmin of sprake is geweest van openbaar maken in de zin van artikel 17 lid 2 AVG. Het RBV verklaart dat met de stelling dat het door haar gebruikte privacyreglement van Jeugdzorg Nederland daarvoor geen aanknopingspunten bood. Dat kan haar, gezien overweging 3.6., niet baten. In zoverre heeft het RBV haar verplichtingen uit de AVG als verwerkingsverantwoordelijke niet nageleefd.
3.13 De plicht tot kennisgeving aan alle ontvangers geldt echter niet als ‘dit onmogelijk blijkt of onevenredig veel inspanning vergt’ (zie artikel 19 AVG). Het staat vast dat het dossier van [appellant] bij het RBV inmiddels is vernietigd. Daardoor kan niet (meer) worden vastgesteld of, en zo ja aan wie, persoonsgegevens uit het dossier zijn verstrekt, anders dan dat het RBV tijdens de mondelinge behandeling heeft gesteld dat het zeer waarschijnlijk is dat destijds wel persoonsgegevens van [appellant] via de Justitiële Informatiedienst (JustID) met een jeugdreclasseringsorganisatie zijn gedeeld. In zoverre is het verzoek van [appellant] dan ook toewijsbaar en zal het RBV worden opgedragen JustID in kennis te stellen van de wissing van de door het RBV verwerkte persoonsgegevens van [appellant] . Bij gebreke van een nadere toelichting ziet het hof onvoldoende grond om te veronderstellen dat persoonsgegevens ook verstrekt zijn aan de andere door [appellant] genoemde organisaties. Het hof komt dan ook tot de conclusie dat die kennisgeving in zoverre (inmiddels) onmogelijk blijkt als bedoeld in artikel 19 AVG. Dat dit in verband staat met een schending door het RBV van haar verplichtingen uit de AVG maakt dat niet anders. Voor zover het aanvullend verzoek op artikel 19 AVG is gebaseerd, is dat dus deels toewijsbaar.
3.14. Uit wat hiervoor is overwogen, volgt dat er grond is voor toewijzing van de door [appellant] verzochte opdracht aan het RBV als hierna weer te geven. Het hof ziet geen reden voor het treffen van een voorlopige voorziening. Omdat het hof ervanuit gaat dat het RBV als gecertificeerde instelling de hierna weer te geven opdracht opvolgt, ziet het hof ook geen reden om aan het RBV een dwangsom op te leggen.
3.15. Wat betreft de kosten van de procedure bij de rechtbank, heeft het hof geen reden om anders te beslissen dan de rechtbank heeft gedaan. Het hof neemt de daarvoor door de rechtbank gegeven motivering over en maakt die tot de zijne. Het hof voegt daar nog aan toe dat het verzoek van [appellant] aangaande de kennisgevingsplicht toen niet voorlag.
De conclusie
3.16. Het hoger beroep tegen de beslissing van de rechtbank slaagt niet en zal worden verworpen. Het aanvullend verzoek zal deels worden toegewezen. Er is geen reden voor het treffen van een voorlopige voorziening.
3.17. Hoewel het hoger beroep niet slaagt en het aanvullende verzoek van [appellant] in hoger beroep alleen deels toewijsbaar is, ziet het hof wel reden om het RBV met de proceskosten te belasten. Hiervoor is immers vastgesteld dat het verzoek van [appellant] dat in hoger beroep voorligt, wel in rechtstreeks verband staat met een niet-naleven door het RBV van verplichtingen uit de AVG. De proceskosten bestaan in dit geval uit het van [appellant] geheven griffierecht. Voor de toewijzing van salaris gemachtigde is geen reden omdat [appellant] deze procedure zelf heeft gevoerd. De verzochte wettelijke rente over de proceskosten zal worden toegewezen als hierna weer te geven.
4 De beslissing
Het hof:
4.1. verwerpt het hoger beroep tegen de beschikking van de rechtbank Noord-Nederland, locatie Leeuwarden, van 5 februari 2025;
4.2. draagt het RBV op de Justitiële Informatiedienst (JustID) in kennis te stellen van de wissing van de persoonsgegevens van [appellant] ;
4.3 veroordeelt het RBV tot betaling van de kosten van de procedure in hoger beroep van [appellant] , te begroten op € 362 voor griffierecht;
4.4. bepaalt dat deze kosten moeten worden betaald binnen 14 dagen na vandaag. Als niet op tijd wordt betaald, dan worden die kosten verhoogd met de wettelijke rente.;
4.5 wijst af wat meer of anders is verzocht.
Deze beschikking is gegeven door mrs. W.F. Boele, M.W. Zandbergen en A.A.J. Smelt, en is in het openbaar uitgesproken op 16 september 2025.
Niet gepubliceerd.