Verzoek om rectificatie en verklaring voor recht over gegevensverwerking afgewezen

Hof Arnhem-Leeuwarden 31 december 2025, IT 5080; ECLI:NL:GHARL:2025:8679 ([appellant1] tegen KPMG). [appellant1] is ambtenaar geweest bij de gemeente [plaats1]. KPMG heeft in opdracht van die gemeente, onderzoek gedaan naar mogelijke onregelmatigheden in het handelen van [appellant1]. [appellant1] wil informatie ontvangen van KPMG over de rechtmatigheid van deze verwerking. Daarnaast wil [appellant1] rectificatie door KPMG van vijf persoonsgegevens in het onderzoeksrapport voor zover de verwerking van deze persoonsgegevens niet juist, actueel en rechtmatig is. Daarbij wil hij kennisgeving van deze rectificatie aan de ontvangers van het onderzoeksrapport. In hoger beroep wil [appellant1] ook een verklaring voor recht dat KPMG zijn strafrechtelijke persoonsgegevens onrechtmatig heeft verwerkt. De rechtbank heeft de verzoeken van [appellant1] afgewezen. [appellant1] wil dat deze beschikking vernietigd wordt en heeft zijn hoger beroep aangevuld. Zo verzoekt hij rectificatie van vijf persoonsgegevens uit het onderzoeksrapport, beantwoording van 49 vragen over de verwerking, een verklaring voor recht dat KPMG de strafrechtelijke persoonsgegevens onrechtmatig heeft verwerkt en een verplichting voor KPMG om bewijs te leveren over de juistheid en rechtmatigheid van de verwerkte gegevens.  

Het hof oordeelt dat de verklaring voor recht buiten de reikwijdte van art. 35 UAVG valt. Omdat dit geen verzoek  op grond van de artikelen 15 tot en met 22 AVG betreft. Een dergelijk verzoek moet worden ingesteld via een dagvaardingsprocedure. [appellant1] wordt daarom in dit verzoek niet-ontvankelijk verklaard. Het hof verwerpt het verweer van KPMG dat [appellant1] misbruik van recht maakt of buitensporig handelt. De betreffende verzoeken zijn niet zodanig excessief dat ze misbruik opleveren. Verder biedt art. 35 UAVG volgens het hof geen grondslag om KPMG te verplichten bewijs te leveren dat de persoonsgegevens juist en rechtmatig zijn verwerkt. De verantwoordingsplicht uit art. 5 lid 2 AVG geeft geen direct recht voor betrokkenen om bewijs te eisen. De vijf door [appellant1] genoemde persoonsgegevens zijn niet letterlijk in het rapport opgenomen, maar hij stelt dat ze in strekking wel aanwezig zijn. Het hof oordeelt dat het hier niet gaat om feitelijke onjuistheden, maar om oordelen van onderzoekers die zijn gebaseerd op feiten die [appellant1] niet betwist. Er is onvoldoende onderbouwing geleverd dat de gegevens onjuist zijn, dus het rectificatieverzoek wordt afgewezen. De resterende vragen vallen niet onder de reikwijdte van art. 14 of 15 AVG. Veel vragen betreffen de verantwoordingsplicht van KPMG (art. 5 lid 2 AVG), waar [appellant1] geen rechtstreeks beroep op kan doen. Andere vragen zien op handelingen buiten de verwerking van persoonsgegevens. Het hof wijst dit verzoek af. [appellant1] wordt niet-ontvankelijk verklaard in zijn verzoek om een verklaring voor recht. De eerdere beschikking van de rechtbank wordt bekrachtigd. [appellant1] wordt veroordeeld tot betaling van de proceskosten van KPMG.  

4.17. Het hof gaat daar niet in mee. Tussen partijen is niet in geschil dat het definitieve rapport de uitkomsten van het onderzoek weerspiegelt op het moment van afronding daarvan. De persoonsgegevens waar [appellant1] rectificatie van wenst, hebben geen betrekking op de feitelijke informatie die de onderzoekers van KPMG hebben onderzocht, maar op de beoordeling daarvan door de onderzoekers. [appellant1] stelt de feitelijke informatie waar de onderzoekers hun oordeel op hebben gebaseerd - zoals de diverse geldstromen, facturen en overige documenten - ook niet ter discussie. Zijn standpunt komt er dus niet op neer dat de persoonsgegevens waarvan hij rectificatie verzoekt niet aansluiten bij de onderzochte feiten en om die reden niet correct zijn, maar dat op basis van later gebleken informatie alsnog tot andere beoordelingen moet worden gekomen. Op grond van dit standpunt en alles wat partijen daarover hebben aangedragen, kan het hof tot geen andere conclusie komen dan dat [appellant1] niet deugdelijk heeft onderbouwd dat door KPMG in het onderzoeksrapport van 2015 onjuiste persoonsgegevens zijn verwerkt. Dat brengt mee dat er niets te rectificeren valt.

4.18. Daarnaast volgt ook niet uit de nieuwe informatie die [appellant1] heeft aangedragen - en die door KPMG gemotiveerd is betwist - dat de vijf persoonsgegevens achteraf bezien onjuist zijn. Wat betreft de ‘bevoegdheid tot accorderen’ volgt uit de door [appellant1] overgelegde getuigenverklaringen en stukken niet dat het standpunt van KPMG dat [appellant1] die bevoegdheid feitelijk bezat, niet klopt. Daarbij verwijst het hof naar het oordeel van het Gerechtshof Den Haag9 in de procedure tussen [appellant1] enerzijds en de gemeente [plaats1] en [naam1] anderzijds, dat [appellant1] naar eigen zeggen over ruime bevoegdheden beschikte en ook instructies gaf over de omschrijvingen op de facturen, zodat deze zo weinig mogelijk vragen zouden oproepen. Het hof sluit zich ook aan bij de overweging van het College van Beroep voor het Bedrijfsleven in de tuchtzaken van [appellant1] tegen de medewerkers van KPMG: “de omstandigheid dat bevoegdheden formeel niet of anders waren geregeld, doet niet af aan de juistheid van hetgeen ten aanzien van de feitelijke gang van zaken is geconstateerd”.10 Inzake de persoonsgegevens ‘inkoop van dienstverlening’ heeft KPMG onweersproken betoogd dat alleen over goederen en diensten BTW wordt gerekend. Op de facturen in de bijlagen bij het onderzoeksrapport die door [appellant1] voor akkoord zijn getekend, is BTW in rekening gebracht. Waarom deze persoonsgegevens achteraf bezien desondanks onjuist zijn - omdat het om subsidieverlening zou gaan - is door [appellant1] alleen al daarom onvoldoende onderbouwd. Datzelfde geldt voor de persoonsgegevens ‘geen gebleken prestaties verricht’. De verklaring waar [appellant1] naar verwijst, is gemotiveerd betwist door KPMG, waardoor daaruit niet kan worden afgeleid dat deze persoonsgegevens onjuist zijn. Overigens heeft het Gerechtshof Den Haag in de bovengenoemde procedure vastgesteld dat [appellant1] valse facturen heeft opgesteld, facturen valselijk heeft laten opstellen en deze heeft geaccordeerd.11

4.19. Dit betekent dat het verzoek van [appellant1] tot rectificatie van de vijf persoonsgegevens zal worden afgewezen.