Inzagerecht ex art. 15 AVG begrensd door bescherming bedrijfsdebiet: geen verplichting tot openbaarmaking

Hof Arnhem-Leeuwarden 17 november 2025, IT 5065; ECLI:NL:GHARL:2025:7218 ([appellant] tegen [geïntimeerde]). Graydon NL, Creditsafe NL en Graydon Holding (hierna: [appellant]) hebben hoger beroep ingesteld tegen een beschikking van de rechtbank Midden-Nederland. In deze beschikking werd [appellant] bevolen om binnen twee weken een volledige lijst van de ontvangers aan wie persoonsgegevens van [geïntimeerde] zijn verstrekt, op te maken. [appellant] is een bedrijfsinformatiespecialist die onder meer in Nederland actief is. Zij richt zich op het verzamelen, samenstellen en delen van (krediet)informatie over bedrijven. [appellant] verwerkt in dat verband ook persoonsgegevens, en is verwerkingsverantwoordelijke. Het handelsregister van de KvK is een van de bronnen die ze gebruikt voor haar eigen database. [appellant] heeft gegevens over de vennootschappen van [geïntimeerde] opgenomen in haar database. Hierbij zijn persoonsgegevens verwerkt, verkregen uit het handelsregister. [geïntimeerde] deed een verzoek tot inzage op grond van art. 15 AVG. Dit verzoek werd door de rechtbank gehonoreerd.  

Het hof stelt voorop dat een betrokkene op grond van artikel 15 AVG het recht heeft om van de verwerkingsverantwoordelijke (in dit geval [appellant]) uitsluitsel te verkrijgen over het al dan niet verwerken persoonsgegevens en, wanneer dat aan de orde is, om informatie te verkrijgen over de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt. Dit moet volgens het evenredigheidsbeginsel worden afgewogen tegen andere rechten. Op grond van art. 23 AVG kan via nationale bepalingen een uitzondering worden gemaakt op (onder andere) het recht op inzage zoals dat in artikel 15 AVG is geformuleerd. Deze zijn in art. 41 UAVG uitgewerkt. De voor deze zaak relevante beperking, waar [appellant] zich op beroept, is opgenomen in art. 41 lid 1 aanhef en onderdeel i UAVG: de bescherming van de rechten en vrijheden van anderen. Ook in artikel 15 AVG wordt in lid 4 bepaald dat het inzagerecht geen afbreuk mag doen aan de rechten of vrijheden van anderen. De gegevens die [appellant] verzamelt zijn openbaar. [appellant] heeft onbestreden aangevoerd dat de KvK geen informatie verstrekt over wie het handelsregister heeft ingezien, en dus ook niet over wie de gegevens van een betrokken bestuurder heeft ingezien. Dit betekent dat als een afnemer van [appellant] zelf het handelsregister zou raadplegen, de betrokken bestuurder dat niet te weten komt. Er is geen fundamenteel verschil met de situatie waarin [appellant] niet onthult wie van haar afnemers ook kennis heeft genomen van de eerdergenoemde persoonsgegevens. Hierdoor hoeft [appellant] de gegevens niet openbaar te maken. Dit zou het bedrijfsdebiet schaden. Het hoger beroep tegen de beslissing van de rechtbank slaagt daardoor. De beschikking zal worden vernietigd voor zover die ziet op het toegewezen deel van het verzoek van [geïntimeerde]. Dat deel wordt alsnog afgewezen.  

3.19 Die gegevens zijn verkregen uit het handelsregister. Een onderneming/rechtspersoon is conform de Handelsregisterwet 2007 en het daarbij behorende Handelsregisterbesluit 2008 wettelijk verplicht tot inschrijving van gegevens omtrent de persoon van de bestuurder en de degene aan wie de onderneming/rechtspersoon toebehoort. De gegevens van de naam en de geboortedatum van iedere bestuurder van een onderneming/rechtspersoon zijn openbaar en kunnen door een ieder worden ingezien. [appellant] heeft onbestreden aangevoerd dat de Kamer van Koophandel geen informatie verstrekt over wie het handelsregister heeft ingezien – en dus ook niet over wie de gegevens van een betrokken bestuurder heeft ingezien. Dit betekent dat als een afnemer van [appellant] zelf het handelsregister zou raadplegen, de betrokken bestuurder dat niet te weten komt. In die zin is er geen fundamenteel verschil met de situatie dat [appellant] niet onthult wie van haar afnemers van bedrijfsgegevens ook kennis heeft genomen van de al genoemde persoonsgegevens.