Betrokkene maakt geen misbruik van recht op inzage

Hof Arnhem-Leeuwarden 19 maart 2024, IT&R 4520; ECLI:NL:GHARL:2024:1924 (Appellant tegen KPMG). Van 15 juni 2004 tot 1 augustus 2011 was betrokkene werkzaam als ambtenaar bij de gemeente. KPMG heeft in opdracht van de gemeente in de periode 2012 en 2015 een tweetal onderzoeken uitgevoerd naar mogelijke onregelmatigheden in relatie tot verzoeker en aan hem gelieerde personen. Betrokkene heeft KPMG verzocht om een overzicht te sturen van de verwerkte persoonsgegevens. KPMG heeft dit overzicht gestuurd, maar betrokkene heeft KPMG medegedeeld dat het overzicht onvolledig is. De rechtbank heeft het verzoek KPMG te bevelen een volledig overzicht van de persoonsgegevens te verstrekken afgewezen, omdat betrokkene misbruik maakt van zijn recht op inzage [zie IT 4103]. Betrokkene gaat in hoger beroep.

Het recht op inzage is neergelegd in artikel 15 AVG. KPMG heeft in geen van de verzonden overzichten een letterlijke weergave van de persoonsgegevens verstuurd, waardoor betrokkene de rechtmatigheid van de verwerking niet heeft kunnen controleren. Met de eerste twee overzichten heeft KPMG niet voldaan aan artikel 15 AVG. Het later (derde) gestuurde overzicht is eveneens incompleet. KPMG voert aan dat vanwege de rechten en vrijheden van anderen, waaronder de rechten van KPMG zelf, zij geen overige bronnen hoeft te verstrekken. Er volgt uit de documenten echter geen concrete belangenafweging. Voorts oordeelt het hof dat de wettelijke geheimhoudingsplicht uit artikel 23 lid 1, onder g, AVG geen categorische beperking is en dat KPMG per document dient te motiveren dat wel sprake is van een dergelijke beperking. Het hof wijst het verzoek grotendeels toe, maar verlengt de gevorderde termijn naar drie maanden (gelet op de grote hoeveelheid aan documenten die doorzocht dienen te worden). 

4.19. Zoals KPMG terecht aanvoert, dient zij bij het verstrekken van inzage de rechten en vrijheden van anderen in acht te nemen (artikelen 15 lid 4 en 23 lid 1 aanhef en onder i AVG). Het gaat dan om de rechten en vrijheden van de medewerkers van KPMG en om die van derden, zoals personen bij wie KPMG informatie heeft opgevraagd in het kader van haar onderzoek. Deze verplichting geldt niet alleen voor de genoemde interne documenten, maar voor alle overige bronnen. Het hof wijst erop dat overwegingen die verband houden met de bescherming van de rechten en vrijheden van anderen uitsluitend een beperking van het inzagerecht rechtvaardigen, voor zover een dergelijke beperking de wezenlijke inhoud van die rechten en vrijheden onverlet laat en, zoals bepaald in artikel 23, lid 1, onder i AVG, een noodzakelijke en evenredige maatregel is ter waarborging van die bescherming.19 Dit brengt mee dat KPMG een afweging moet maken tussen het belang van [de betrokkene] bij inzage in de persoonsgegevens en het belang van die anderen bij bescherming van hun persoonlijke levenssfeer. Voor zover mogelijk moet KPMG ervoor kiezen om de persoonsgegevens te verstrekken op een wijze die geen afbreuk doet aan de rechten of vrijheden van die anderen. Daarbij moet KPMG er rekening mee houden dat deze belangenafweging er niet toe mag leiden dat [de betrokkene] alle informatie wordt onthouden.20 KPMG stelt weliswaar dat zij de vereiste belangenafweging heeft gemaakt, maar dat volgt niet uit de stukken. Bij nagenoeg alle overige bronnen voert KPMG aan dat de belangen van derden (per definitie) aan de weg staan aan het verstrekken van inzage van de vastgelegde persoonsgegevens in die documenten. Daaruit volgt geen concrete belangenafweging per document, zoals wel door KPMG gemaakt moet worden. KPMG zal per document van de overige bronnen moeten beoordelen of het verstrekken aan [de betrokkene] van de in dat document vastgelegde persoonsgegevens afbreuk doet aan de rechten en vrijheden van derden en of zij aan die rechten en vrijheden tegemoet kan komen door bijvoorbeeld een beperkter deel van de persoonsgegevens in dat document toe te voegen aan het verwerkingsoverzicht. Wanneer het in een document bijvoorbeeld gaat om feitelijke gegevens over [de betrokkene] en de constateringen tijdens het onderzoek, zullen de rechten van de derde die die feitelijke gegevens heeft vastgelegd, minder snel in het geding zijn dan wanneer die derde een subjectieve kwalificatie geeft aan de gedragingen van [de betrokkene] .

4.20. Dat is anders voor de persoonsgegevens in de overige bronnen die onder de wettelijke geheimhoudingsplicht vallen van de betrokken accountants van KPMG of van de betrokken (in-house) advocaten. [de betrokkene] heeft in punt 3 van zijn gewijzigde verzoek terecht toegevoegd dat geen inzage hoeft te worden verstrekt in de vertrouwelijke communicatie tussen KPMG en haar advocaten. Datzelfde geldt voor de gegevens die onder de wettelijke geheimhoudingsplicht van de accountants vallen of waarvan de verstrekking tot een schending van de voor hen geldende gedragsregels zou leiden. Dat volgt uit artikel 23 lid 1 onder g AVG die het wettelijke beroepsgeheim beoogt te waarborgen.21 Dit brengt mee dat KPMG geen inzage hoeft te verschaffen in de persoonsgegevens die zich bevinden in documenten die vallen onder het wettelijke beroepsgeheim van haar accountants of van de betrokken (in-house) advocaten. KPMG hoeft bovendien geen inzage te verschaffen in de persoonsgegevens wanneer het verschaffen van inzage in strijd zou zijn met het in de artikelen 16 en 17 van de Verordening gedrags- en beroepsregels accountants geregelde beginsel van vertrouwelijkheid. Het hof tekent daarbij aan dat dit beginsel niet absoluut is. Het heeft allereerst alleen betrekking op gegevens met een vertrouwelijk karakter, dus niet op alle gegevens waarover de accountant in zijn hoedanigheid de beschikking krijgt. Bovendien geldt de verplichting tot geheimhouding op grond van dit beginsel niet voor gegevens of inlichtingen die de accountant krachtens wettelijk voorschrift dient te verstrekken. Dat betekent naar het oordeel van het hof dat het beginsel van vertrouwelijkheid niet per definitie in de weg staat aan de verplichting van KPMG om op grond van artikel 15 AVG inzage te verstrekken, maar dat het er wel toe kan leiden dat KPMG met een beroep op dat beginsel inzage in bepaalde persoonsgegevens kan weigeren, bijvoorbeeld omdat die verstrekking het beginsel van de vertrouwelijkheid in de kern zou raken. Artikel 23 lid 1 onder g AVG is dan ook geen categorische beperking van het recht op inzage voor alle gegevens die de accountant onder zich heeft, maar biedt de accountant wel de mogelijkheid om inzage te weigeren in persoonsgegevens waarvan de verstrekking het beginsel van de vertrouwelijkheid in de kern zouden raken. Het is aan KPMG om per document te motiveren dat daarvan sprake is.