Begrip 'verwerkingsverantwoordelijke' vereist ruime uitleg

Rechtbank Rotterdam 19 maart 2021, IT 3454, ECLI:NL:RBROT:2021:2306 (Eiser tegen Minister van Buitenlandse Zaken) Eiser heeft aan de minister van Buitenlandse Zaken verzocht om informatie over de verwerking van zijn persoonsgegevens op grond van de AVG. Het ging om gegevens die eiser per e-mail had ontvangen van de Dienst Terugkeer en Vertrek (DT&V) en die volgens de DT&V afkomstig zouden zijn van de minister. Dit verzoek is door de minister afgewezen, omdat hij stelde niet de verwerkingsverantwoordelijke van de gegevens te zijn in de zin van artikel 4, onder 7, van de AVG. De rechtbank stelt echter dat de minister dit wel is. Er moet namelijk een ruime uitleg worden gegeven aan het begrip ‘verwerkingsverantwoordelijke’. In casu heeft de minister zelf bepaald aan wie hij de gegevens verder verstrekte. Dat dit mondeling gebeurde doet daar verder niets aan af.

5.2. Gelet op het doel van de AVG, zoals neergelegd in artikel 1, tweede lid, van de AVG, namelijk om met name het recht van natuurlijke personen op bescherming van persoonsgegevens te beschermen, moet een ruime uitleg worden gegeven aan het begrip ‘verwerkingsverantwoordelijke’. De rechtbank verwijst naar bijvoorbeeld het arrest van het Hof van Justitie van de Europese Unie (Hof van Justitie) van 5 juni 2018, Schleswig-Holstein, (C-210/16, ECLI:EU:C:2018:388), punt 26-28. Hoewel dit arrest uitleg geeft aan Richtlijn 95/46/EG, is het ook van belang voor de uitleg van het begrip ‘verwerkingsverantwoordelijke’ in de AVG. Uit overweging 9 van de preambule bij de AVG volgt namelijk dat de doelstellingen en beginselen van Richtlijn 95/46/EG overeind blijven. Ook komt de inhoud van de definities van ‘voor de verwerking verantwoordelijke’, zoals opgenomen in artikel 2, onder d, van Richtlijn 95/46/EG en ‘verwerker’, zoals opgenomen in artikel 2, onder e, van Richtlijn 95/46/EG, vrijwel geheel overeen met de definities van ‘verwerker’ en ‘verwerkingsverantwoordelijke’ in de AVG.

5.3. Naar het oordeel van de rechtbank moet verweerder in dit geval, gelet op het voorgaande, worden aangemerkt als verwerkingsverantwoordelijke. Hoewel verweerder zich op het standpunt heeft gesteld dat de Nederlandse ambassade in Baku in opdracht van de DT&V onderzoek ter plaatse heeft laten verrichten door een vertrouwenspersoon, dat het door de DT&V vastgestelde doel een identiteitsonderzoek was en dat hij slechts als bemiddelaar heeft gefungeerd, heeft hij hiermee niet afdoende (met stukken) onderbouwd dat de doelen en de middelen van de verwerking door verweerder door de DT&V zijn vastgesteld en dat hij zelf geen feitelijke invloed heeft gehad op de verwerking van de persoonsgegevens van eiser. De stellingen van verweerder ter zitting dat een identiteitsonderzoek in opdracht van DT&V altijd wordt uitgevoerd door inschakeling van een vertrouwenspersoon en dat hij slechts een kleine rol heeft bij het doorgeven van een onderzoeksvraag aan een vertrouwenspersoon, doen daaraan – de ruime uitleg van het begrip ‘verwerkingsverantwoordelijke’ indachtig – niet af. Ook heeft verweerder geen overeenkomst overgelegd of toegelicht in welke andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht de verwerking is geregeld.