Hof: zorginstelling moet ontvangers informeren over gewiste persoonsgegevens

Hof Arnhem-Leeuwarden 16 september 2025, IT 4991; ECLI:NL:GHARL:2025:5678 ([appellant] tegen het RBV). Het hof doet uitspraak in een zaak tussen [appellant] en de Stichting Regiecentrum Bescherming en Veiligheid (RBV). [appellant] wil dat RBV zijn hele dossier uit de periode 2015-2018 vernietigt en dat RBV iedereen die zijn gegevens heeft gekregen informeert dat die gegevens zijn gewist. RBV zegt in november 2024 toe dat het dossier wordt vernietigd en doet dat op 7 januari 2025. [appellant] beroept zich op artikel 17 AVG en stelt dat RBV ook derden moet waarschuwen. Het hof zegt: artikel 17 lid 2 AVG verplicht zo’n actieve waarschuwing alleen als gegevens “openbaar zijn gemaakt”, bijvoorbeeld online openbaar voor iedereen. Dat is hier niet gebeurd, dus dat artikel helpt hem niet.

Maar artikel 19 AVG geldt wel. Dat artikel zegt dat een organisatie die persoonsgegevens wist, in principe alle ontvangers aan wie die gegevens zijn doorgegeven daarvan op de hoogte moet stellen, tenzij dat onmogelijk is of heel veel moeite kost. Het hof vindt dat RBV dit niet goed heeft gedaan: RBV had vóór vernietiging moeten bijhouden aan wie de gegevens van [appellant] zijn doorgestuurd, en dat is niet gebeurd. RBV kan zich daarbij niet verschuilen achter een intern privacyreglement. Nu het dossier al weg is, is niet meer precies te achterhalen wie allemaal gegevens heeft gekregen, behalve dat er waarschijnlijk gegevens via JustID bij een jeugdreclasseringsorganisatie zijn beland. Het hof draagt RBV op JustID hierover alsnog te informeren. Voor het overige krijgt [appellant] geen dwangsom, geen ruimere bevelen en geen voorlopige voorziening. RBV moet wel € 362 griffierecht aan proceskosten in hoger beroep betalen.

3.13

De plicht tot kennisgeving aan alle ontvangers geldt echter niet als ‘dit onmogelijk blijkt of onevenredig veel inspanning vergt’ (zie artikel 19 AVG). Het staat vast dat het dossier van [appellant] bij het RBV inmiddels is vernietigd. Daardoor kan niet (meer) worden vastgesteld of, en zo ja aan wie, persoonsgegevens uit het dossier zijn verstrekt, anders dan dat het RBV tijdens de mondelinge behandeling heeft gesteld dat het zeer waarschijnlijk is dat destijds wel persoonsgegevens van [appellant] via de Justitiële Informatiedienst (JustID) met een jeugdreclasseringsorganisatie zijn gedeeld. In zoverre is het verzoek van [appellant] dan ook toewijsbaar en zal het RBV worden opgedragen JustID in kennis te stellen van de wissing van de door het RBV verwerkte persoonsgegevens van [appellant] . Bij gebreke van een nadere toelichting ziet het hof onvoldoende grond om te veronderstellen dat persoonsgegevens ook verstrekt zijn aan de andere door [appellant] genoemde organisaties. Het hof komt dan ook tot de conclusie dat die kennisgeving in zoverre (inmiddels) onmogelijk blijkt als bedoeld in artikel 19 AVG. Dat dit in verband staat met een schending door het RBV van haar verplichtingen uit de AVG maakt dat niet anders. Voor zover het aanvullend verzoek op artikel 19 AVG is gebaseerd, is dat dus deels toewijsbaar.

3.14.

Uit wat hiervoor is overwogen, volgt dat er grond is voor toewijzing van de door [appellant] verzochte opdracht aan het RBV als hierna weer te geven. Het hof ziet geen reden voor het treffen van een voorlopige voorziening. Omdat het hof ervanuit gaat dat het RBV als gecertificeerde instelling de hierna weer te geven opdracht opvolgt, ziet het hof ook geen reden om aan het RBV een dwangsom op te leggen.