AVG-recht van inzage omvat ook de verwerkte persoons- en loggegevens die buiten het medisch dossier vallen

Hof Arnhem-Leeuwarden 26 augustus 2024, IT 4615; ECLI:NL:GHARL:2024:5384 (Verzoeker tegen Stichting Sint Antonius Ziekenhuis). Verzoeker in deze zaak is de vader van een meisje dat tijdelijk opgenomen is geweest in het Antonius Ziekenhuis (hierna Antonius), omdat zij te vroeg was geboren. Zijn dochter is daar bovendien een aantal jaar in behandeling geweest. Bij de eerste tijdelijke opname was een maatschappelijk werker betrokken in wie verzoeker zijn vertrouwen later heeft opgezegd. In de jaren daarna heeft verzoeker diverse klachten geuit richting Antonius. Ondanks een mediationtraject dat partijen samen hebben gevolgd, zijn partijen niet tot een oplossing gekomen. Verzoeker is vervolgens naar de rechtbank gestapt, waar hij heeft verzocht dat Antonius wordt verplicht om inzage te verlenen in de complete dossiers van zijn dochter, inclusief alle contactmomenten, correspondentie en verslagleggingen. Daarnaast heeft hij toegang gevorderd tot alle persoonsgegevens van zijn dochter, de logoverzichten betreffende de dossiers van zijn dochter en de registratiegegevens van de betrokken zorgverleners. De rechtbank heeft alle verzoeken afgewezen. Verzoeker gaat daartegen in hoger beroep.

Het hof wijst een deel van de verzoeken toe. Allereerst constateert hij dat Antonius nog niet alle persoonsgegevens aan verzoeker heeft verstrekt die Antonius van verzoeker en zijn dochter heeft verwerkt. Antonius heeft slechts het medisch dossier van de dochter van verzoeker verstrekt, met als toevoeging de mailwisseling waaruit blijkt dat verzoeker het vertrouwen in de genoemde maatschappelijk werker heeft opgezegd. Het hof verplicht Antonius om álle verwerkte persoonsgegevens van verzoeker en zijn dochter te verstrekken, voor zover deze nog niet vernietigd zijn en voor zover daarbij geen afbreuk wordt gedaan aan de privacyrechten van derden. Verder buigt het hof zich over de vraag of de reikwijdte van het inzagerecht van artikel 15 AVG ook de logoverzichten van het medisch en verpleegkundig dossier van de dochter van verzoeker omvat (hieruit blijkt wie op welk moment de dossiers heeft geraadpleegd of aangepast). Het hof oordeelt van wel, aangezien deze informatie verzoeker in staat stelt om de rechten van hem en zijn dochter te waarborgen. Maar daarbij mogen de identiteitsgegevens van de ziekenhuismedewerkers worden weggelaten, ondanks wat verzoeker stelt. Ook wat betreft de registratiegegevens van de bij de behandeling betrokken zorgverleners oordeelt het hof dat Antonius deze niet aan verzoeker hoeft te verstrekken. Dergelijke inzage valt namelijk buiten de reikwijdte van artikel 15 AVG.

4.7. Vast staat dat [de vader] het medisch dossier van zijn dochter in februari 2015 heeft ontvangen. Antonius Ziekenhuis heeft daarmee inzage gegeven in de persoonsgegevens die zich daarin bevinden. Volgens [de vader] is dit dossier niet compleet, omdat daar onder meer niets in staat over het intrekken van het vertrouwen in de betrokken maatschappelijk werker. Antonius Ziekenhuis heeft bevestigd dat deze informatie niet in het medisch dossier staat en heeft na de zitting bij de rechtbank nog een e-mailwisseling verstrekt tussen de maatschappelijk werker en het AMK (nu Veilig Thuis) uit begin 2013. Antonius Ziekenhuis heeft [de vader] geen overzicht verstrekt van de persoonsgegevens die zij buiten het medisch dossier om van [de vader] en zijn dochter heeft verwerkt. Het is daardoor voor hem - en ook voor het hof - niet kenbaar om welke verwerkingen het gaat. Tijdens de mondelinge behandeling bij het hof heeft Antonius Ziekenhuis onder meer toegelicht dat zij niet naar persoonsgegevens van [de vader] of zijn dochter heeft gezocht in de mailboxen van de medewerkers. Antonius Ziekenhuis heeft alleen gevraagd aan de maatschappelijk werker om zijn eigen mailbox hierop te doorzoeken. Daarop is een kopie van genoemde e-mailwisseling aan [de vader] verstrekt. Hieruit volgt dat het Antonius Ziekenhuis nog geen inzage heeft verstrekt in alle persoonsgegevens die zij van [de vader] en zijn dochter (heeft) verwerkt, zoals persoonsgegevens die voorkomen in de (interne en externe) correspondentie en andere berichten die niet in het medisch dossier zijn opgenomen. Het hof zal daarom Antonius Ziekenhuis opdragen om alsnog inzage te verstrekken in alle persoonsgegevens van [de vader] en zijn dochter die zij (heeft) verwerkt in het kader van de behandeling van de dochter en voor zover deze nog niet aan [de vader] zijn verstrekt.

4.11. De eerste vraag die hier voorligt is of het verstrekken van inzage in de verzochte loggegevens valt binnen de reikwijdte van het inzagerecht van artikel 15 AVG. De ruime definitie van het begrip „persoonsgegevens” in de AVG omvat niet alleen de door Antonius Ziekenhuis verzamelde en bewaarde gegevens, maar ook alle informatie die voortvloeit uit de verwerking van persoonsgegevens van [de vader] en zijn dochter.4 Ook de begrippen “verwerking” en “ontvangers” in de AVG worden ruim uitgelegd. Dat brengt mee dat ook het recht van inzage van artikel 15 lid 1 AVG wordt gekenmerkt door de ruime omvang van de informatie die de verwerkingsverantwoordelijke aan [de vader] moet verstrekken.5 De logoverzichten van het medisch en verpleegkundig dossier van de dochter bevatten informatie over wie op welk moment dat dossier heeft geraadpleegd of aangepast. Het verstrekken van loggegevens kan daarom noodzakelijk zijn om te voldoen aan de verplichting om [de vader] inzage te verlenen in de in artikel 15, lid 1 AVG genoemde informatie. Het raadplegen of aanpassen van het dossier van de dochter is een gegevensverwerking en valt daarmee onder de reikwijdte van artikel 15, lid 1 AVG. Aan de hand van deze logoverzichten kan [de vader] zich ervan vergewissen of de uitgevoerde verwerkingen rechtmatig zijn, wat één van de doelstellingen is van het inzagerecht.6 Dit brengt mee dat Antonius Ziekenhuis in beginsel inzage dient te verstrekken in de loggegevens. Omdat in de logoverzichten persoonsgegevens van medewerkers van Antonius Ziekenhuis staan, mag zij geen afbreuk doen aan de rechten en vrijheden van deze medewerkers. Zoals hiervoor in 4.9. overwogen, moet Antonius Ziekenhuis ook bij de verstrekking van de logoverzichten ervoor kiezen om deze te verstrekken op een wijze die geen afbreuk doet aan de privacyrechten van haar medewerkers, maar zonder dat [de vader] alle informatie wordt onthouden. Daarbij dienen de logoverzichten op grond van artikel 12 lid 1 AVG voor [de vader] begrijpelijk te zijn, bijvoorbeeld door een nadere toelichting op de daarin gebruikte begrippen.

4.14. Als laatste verzoekt [de vader] inzage in de registratiegegevens van de bij de behandeling van zijn dochter betrokken zorgverleners. Waarom deze gegevens, die geen persoonsgegevens van [de vader] of de dochter zijn, maar persoonsgegevens van de betreffende zorgverleners, binnen de reikwijdte van het inzagerecht van artikel 15 AVG vallen, heeft [de vader] onvoldoende toegelicht. Hij stelt weliswaar dat deze informatie onontbeerlijk is om hem in staat te stellen te controleren of zij onder het gezag en in overeenstemming met diverse regelgeving persoonsgegevens hebben verwerkt, maar hij heeft niet toegelicht om welke verwerkingen van persoonsgegevens het dan zou gaan. Voor zover hij deze gegevens wenst te ontvangen van de medewerkers die op grond van de logoverzichten de dossiers van zijn dochter hebben geraadpleegd of aangepast, verwijst het hof naar zijn oordeel in 4.12. Het privacybelang van deze medewerkers weegt zwaarder dan het belang van [de vader] bij dit verzoek.