Ziekenhuis moet loggegevens medisch dossier nader toelichten op grond van AVG

Rb. Midden-Nederland 30 september 2026, IT 5583; ECLI:NL:RBMNE:2026:7063 ([verzoeker] tegen Diakonessenhuis). Verzoekster heeft na een videocapsule-endoscopie bij het Diakonessenhuis meerdere verzoeken ingediend om inzage te krijgen in haar persoonsgegevens op grond van artikel 15 AVG. Zij verzoekt onder meer om volledige logoverzichten van haar medisch dossier, een afschrift van dat dossier, loggegevens uit de MiroView-software en informatie over de medewerkers die haar gegevens hebben geraadpleegd. De Rechtbank Midden-Nederland oordeelt dat het Diakonessenhuis niet volledig aan zijn inzageverplichting heeft voldaan. Hoewel artikel 15 AVG geen recht geeft op logoverzichten die voldoen aan de NEN 7513, moet de verwerkingsverantwoordelijke op grond van artikel 15 lid 3 AVG wel een getrouwe en begrijpelijke reproductie van de verwerkte persoonsgegevens verstrekken. De verstrekte logoverzichten vermelden slechts welke schermen door medewerkers zijn geraadpleegd, maar niet welke persoonsgegevens daadwerkelijk zijn ingezien. Ook ontbreekt informatie over de doeleinden van de raadplegingen, waarop verzoekster op grond van artikel 15 lid 1 onder a AVG recht heeft. Het ziekenhuis moet daarom binnen een maand de verstrekte logoverzichten nader toelichten door te specificeren welke persoonsgegevens door de betrokken medewerkers zijn geraadpleegd en met welk doel.

Daarnaast oordeelt de rechtbank dat het Diakonessenhuis een nadere toelichting moet geven op de logoverzichten van de MiroView-software. Het inzagerecht van artikel 15 AVG geeft in beginsel geen aanspraak op informatie over de identiteit van medewerkers die onder het gezag en overeenkomstig de instructies van de verwerkingsverantwoordelijke persoonsgegevens hebben geraadpleegd. Dit kan anders zijn wanneer die informatie noodzakelijk is voor de daadwerkelijke uitoefening van de rechten uit de AVG. Daarbij moeten de privacyrechten van de medewerkers worden meegewogen. Volgens de rechtbank kan het vermelden van functies en afdelingen zonder namen een passende oplossing zijn. Het ziekenhuis heeft aangevoerd dat de gelogde activiteiten vanwege het gebruik van een gezamenlijk account niet aan specifieke medewerkers kunnen worden gekoppeld. De rechtbank volgt dit verweer niet, omdat het ziekenhuis bij de beperkte groep bevoegde medewerkers kan navragen wie op welke datum de beelden heeft geraadpleegd. Het Diakonessenhuis moet daarom binnen een maand de medewerkers die de gelogde activiteiten hebben uitgevoerd nader specificeren, voor zover dat nog niet is gebeurd en met inachtneming van de rechten en vrijheden van medewerkers en derden. Aan de overige onderdelen van het inzageverzoek is volgens de rechtbank al voldaan. Het verzoek om een dwangsom wordt afgewezen. Het ziekenhuis wordt veroordeeld tot betaling van € 341 aan proceskosten.

4.1

Artikel 15 lid 1 AVG omschrijft het voorwerp en de werkingssfeer van het aan [verzoeker] toegekende recht van inzage. In het artikellid is bepaald dat [verzoeker] het recht heeft om van Diakonessenhuis inzage te verkrijgen in de persoonsgegevens die Diakonessenhuis van haar verwerkt en de in de punten a) tot en met h) van dat lid bedoelde informatie. Dit recht van inzage moet [verzoeker] in staat stellen om na te gaan of de haar betreffende persoonsgegevens juist zijn en rechtmatig worden verwerkt.2 Dat is met name nodig om [verzoeker] toe te laten om in voorkomend geval een aantal andere rechten uit te oefenen, namelijk haar recht op rectificatie van gegevens, op gegevenswissing en op beperking van de verwerking, die haar respectievelijk worden toegekend door de artikelen 16, 17 en 18 AVG, alsook haar in artikel 21 AVG vastgestelde recht om bezwaar te maken tegen de verwerking van haar persoonsgegevens en haar in de artikelen 79 en 82 AVG neergelegde rechten om zich tot de rechter te wenden wanneer haar rechten uit hoofde van de AVG zijn geschonden en zij daardoor schade lijdt.3

4.2

Artikel 15 lid 3 AVG verduidelijkt op welke wijze de op Diakonessenhuis rustende verplichting in de praktijk moet worden nagekomen, door met name in de eerste volzin te specificeren in welke vorm zij de persoonsgegevens die worden verwerkt moet verstrekken, te weten in de vorm van een ‘kopie’.4 Deze verplichting van Diakonessenhuis houdt in dat zij aan [verzoeker] een getrouwe en begrijpelijke reproductie moet verstrekken van de persoonsgegevens die zij van haar verwerkt. Dit kan meebrengen dat Diakonessenhuis onderdelen van documenten of zelfs volledige documenten moeten verstrekken als dat noodzakelijk is om [verzoeker] in staat te stellen haar rechten uit de AVG daadwerkelijk uit te oefenen.5

4.3

Diakonessenhuis kan geen inzage verstrekken in persoonsgegevens die zij niet (meer) heeft. 6 Daarnaast dient Diakonessenhuis, mede gelet op de artikelen 15 lid 4 en 23 lid 1 aanhef en onder i AVG, bij het verstrekken van inzage rekening te houden met de rechten en vrijheden van anderen.7 Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen.8 In geval van strijdigheid tussen enerzijds de uitoefening van het recht van inzage — dat de nuttige werking van de door de AVG aan de betrokkene verleende rechten waarborgt — en anderzijds de rechten of vrijheden van anderen, moeten de betrokken rechten en vrijheden tegen elkaar worden afgewogen. Voor zover mogelijk moet worden gekozen voor een wijze die geen afbreuk doet aan de rechten of vrijheden van anderen. Daarbij moet er rekening mee worden gehouden dat deze overwegingen er niet toe mogen leiden dat de betrokkene alle informatie wordt onthouden.9