De grenzen van het privacyrechtelijke inzagerecht

Blog van Mark Jansen. De rechtbank Utrecht heeft op 29 november drie interessante uitspraken gewezen waarin zij de grenzen aangeeft van het inzagerecht dat op grond van het privacyrecht bestaat.

Ruim inzagerecht

Op grond van artikel 35 Wet bescherming persoonsgegevens (WBP) heeft iedereen van wie persoonsgegevens worden verwerkt het recht op inzage welke gegevens worden verwerkt. De Hoge Raad heeft enkele jaren geleden al uitgemaakt dat wie een dergelijk verzoek doet dit niet hoeft te motiveren maar kan “volstaan met een verwijzing naar art. 35 Wbp” en dat hij mag verwachten dat “de vervolgens aan te reiken informatie transparant en volledig zal zijn“. Dat sluit ook aan bij de opmerkingen uit de wetsgeschiedenis dat het inzagerecht samenhangt met het transparantiebeginsel: een ieder moet in beginsel in de gelegenheid zijn om na te kunnen gaan of zijn gegevens worden verwerkt.

Uitzonderingen

Er zijn echter ook grenzen aan het inzagerecht. Op grond van artikel 43 WBP mag een inzageverzoek worden geweigerd voor zover dit noodzakelijk is in het belang van “de bescherming van de betrokkene of van de rechten en vrijheden van anderen“. In twee van de drie hierna te bespreken zaken doet deze uitzondering zich voor.

Verder is van belang te onthouden dat het inzagerecht alleen bestaat wanneer de Wet bescherming persoonsgegevens van toepassing is. Dat lijkt evident, maar zoals hierna zal blijken kan een verzoek op grond van artikel 35 WBP ook daarop stranden (zie de 3e kwestie).

Gegevens uit meldingsysteem ziekenhuis niet ter inzage voor betrokkene

De eerste uitspraak van de rechtbank Utrecht zag op een geschil tussen een (voormalig) patiënte en een ziekenhuis. De patiënte was in het verleden geopereerd en daarbij was – zo bleek later – een spons in de buik van de vrouw achtergebleven. Dit incident is intern in het ziekenhuis gemeld in haar meldingssysteem. Dat systeem is door het ziekenhuis opgesteld in het kader van haar kwaliteitsbeleid en met als bedoeling dat personeel zonder angst voor repercussies incidenten vertrouwelijk kan melden.

In het kader van het verhalen van de schade op het ziekenhuis, heeft de vrouw bij het ziekenhuis met een beroep op artikel 35 WBP zowel afschrift van haar medische dossier als van deze melding in het meldingssysteem opgevraagd. Afschrift van het dossier is door het ziekenhuis verschaft, maar afschrift van de melding is door het ziekenhuis geweigerd. De vrouw verzoekt nu aan de rechtbank het ziekenhuis te bevelen ook deze gegevens te verschaffen.

De rechtbank wijst dit verzoek echter af. De rechtbank volgt het verweer van het ziekenhuis dat “voor het goed functioneren van het meldingssysteem vertrouwelijkheid gegarandeerd moet zijn“. Dat rechtvaardigt volgens de rechtbank ook dat artikel 35 WBP buiten toepassing blijft. Ik kan mij goed vinden in deze overweging.

De rechtbank overweegt ook nog (ten overvloede) dat gegevens in het meldingsysteem niet bestaan uit “persoonsgegevens in de zin van de Wbp“. Gezien de ruime definitie van persoonsgegevens en de ruime uitleg die de gezamenlijke privacytoezichthouders aan dit begrip geven is maar de vraag of die constatering helemaal juist is.

Advies van medisch adviseur verzekraar niet ter inzage voor betrokkene

In de tweede uitspraak gaat het ook om een kwestie over medische aansprakelijkheid. Een vrouw was enkele jaren geleden foutief door een ziekenhuis behandeld. Zij stelt het ziekenhuis aansprakelijk voor deze fout en de dientengevolge geleden schade.

In het kader van deze aansprakelijkheidsstelling heeft zij bij de verzekeraar van het ziekenhuis een kopie opgevraagd van (1) de medische informatie die zij over haar heeft en (2) van het medisch advies dat deze verzekeraar over deze kwestie heeft ontvangen. De kopie van de medische gegevens is aan haar verschaft, het verschaffen van de kopie van het (voor intern gebruik bedoelde) medische advies is echter geweigerd. Tegen deze weigering komt de vrouw nu bij de rechtbank op.

De verzekeraar had (kort samengevat) betoogd dat zij vertrouwelijk met haar adviseur moet kunnen overleggen over lopende aansprakelijkheidskwesties. De rechtbank volgt haar daarin: ” Het zou de ongestoorde gedachtewisseling van de aangesproken persoon – in dit geval de verzekeraar – om te kunnen komen tot een standpunt naar aanleiding van de aansprakelijkstelling en zijn positie ten opzichte van de wederpartij in een eventuele procedure te zeer (kunnen) schaden als van de inhoud van de adviezen van de medisch adviseur aan de betrokkene/wederpartij mededeling zou moeten worden gedaan in de zin van artikel 35 Wbp.”.

Ook in deze uitspraak kan ik me vinden. Soortgelijke kwesties doen zich bijvoorbeeld ook bij advocaten voor. Het zou het beroepsgeheim van advocaten geweld aandoen wanneer betrokkenen met een beroep op de WBP inzage in vertrouwelijke correspondentie zouden kunnen opeisen. De zaak doet wat dat betreft denken aan een eerdere uitspraak van de rechtbank Zutphen waarover ik geblogd heb en waarin uitdrukkelijk is bepaald dat inzage in de correspondentie met de advocaat niet onder het inzagerecht valt.

Klachtdossier seksuele intimidatie valt niet onder de WBP

De derde kwestie handelt over een klacht over seksuele intimidatie die was ingediend bij de klachtcommissie van de betreffende onderneming. Nadat de klachtcommissie uitspraak had gedaan, heeft de klagende vrouw een kopie van het klachtdossier verzocht. Deze kopie is haar geweigerd. Tegen deze weigering komt ze nu op bij de rechtbank.

De rechtbank weigert het verzoek echter, omdat volgens haar de WBP in dit geval niet van toepassing is. Het betreft hier een papieren dossier en voor toepasselijkheid van de wet is in dat geval vereist dat sprake is van een “bestand” in de zin van de WBP. Volgens de rechtbank is het “door de COO aangelegde klachtdossier is niet te kwalificeren als een dergelijk “bestand”. Het heeft immers uitsluitend betrekking op de door [verzoekster] ingediende klachten en bevat geen (vergelijkbare) persoonsgegevens van anderen.“.

Ik vraag me af of de rechtbank de wet hier niet te eng uitlegt. Er mag weliswaar in dit geval sprake zijn van slechts een enkel klachtdossier, ik kan me niet voorstellen dat een commissie die nota bene is aangesteld om klachten te behandelen die klachten niet op gestructureerde wijze bewaart. De redenering van de rechtbank zou bovendien tot de wat wonderlijke consequentie kunnen leiden dat de eerste klager bij een dergelijke commissie geen inzage in het dossier heeft, maar dat zodra de commissie meer klachten heeft behandeld alle individuele klagers opeens wel inzage in hun dossier zouden kunnen krijgen.

Vergelijk in dat kader ook de opinie van de gezamenlijke privacytoezichthouders over personeelsdossiers: “Not all manual records necessarily fall within the Directive’s scope. They only do so if they form part of a ‘personal data filing system’. This is defined as any structured set of personal data, which are accessible according to specific criteria, whether centralised, decentralised or dispersed on a functional or geographical basis. Most employment records are likely to fall within this definition. However, in some countries, the implementing measures may exclude some hand-written notes retained outside any form of filing system but given the necessarily structured nature of employment records will include most information kept about workers whether centrally or by line managers.”

Het zou wat mij betreft overtuigender zijn geweest wanneer de rechtbank ook deze kwestie met een beroep op de uitzondering van artikel 43 WBP zou hebben afgedaan. Klachtencommissies voor seksuele intimidatie kunnen vermoedelijk alleen goed functioneren wanneer zij in vertrouwen alle personen kunnen horen die (al dan niet zijdelings) bij de klacht betrokken zijn en/of die de commissie van informatie kunnen voorzien over de klager en/of de beklaagde. Er zijn waarschijnlijk niet veel mensen bereid mee te werken aan onderzoeken van de klachtencommissie wanneer de klagende partij de volledige inhoud van het betreffende klachtdossier – met daarin o.a. verklaringen van de personen die door de commissie gehoord zijn – eenvoudig met een beroep op artikel 35 WBP kan opvragen. Juist omdat transparantie het functioneren van dergelijke commissies ondergraaft, zou wat mij betreft ook hier een beroep op artikel 43 WBP gerechtvaardigd zijn.

Lees de originele blog hier.