Waar gaat deze zaak over?
1. De zoon van eiseres, [zoon] , heeft van het jongerenteam van het [instantie] ( [instantie] ) een kaart in de brievenbus gekregen. [instantie] maakt onderdeel uit van de Gemeenschappelijke Regeling Regio Gooi en Vechtstreek. Naar aanleiding van deze kaart heeft eiseres, mede namens haar zoon, het dagelijks bestuur van de Regio Gooi en Vechtstreek (Regio) verzocht om de persoonsgegevens van [zoon] en haarzelf te wissen. Dit verzoek is door de Regio in het besluit van 15 juli 2021 (primair besluit) afgewezen.
2. Eiseres was het met dit besluit niet eens en heeft daartegen bezwaar gemaakt. Zij heeft daarbij in de eerste plaats gevraagd om de zaak over te dragen aan de bezwaarschriftencommissie van de gemeente [gemeente] . Daarnaast heeft ze onder andere verzocht om inzage in de persoonsgegevens in het dossier van [zoon] en heeft ze het verzoek tot wissing van de persoonsgegevens van [zoon] en haarzelf herhaald. In het besluit van 5 november 2021 (bestreden besluit) heeft de Regio besloten dat er geen aanleiding is om de kwestie over te dragen aan de bezwaarcommissie van de gemeente [gemeente] . Daarnaast heeft de Regio het bezwaar van eiseres gegrond verklaard voor zover dat betrekking had op het verzoek om wissing van haar eigen persoonsgegevens. Voor het overige heeft de Regio het bezwaar ongegrond verklaard.
3. Eiseres heeft tegen dit besluit beroep ingesteld. De Regio heeft de op de zaak betrekking hebbende stukken, waaronder één stuk onder geheimhouding,en een verweerschrift ingediend. De rechtbank heeft het beroep op 5 april 2022 op zitting behandeld. Eiseres en haar gemachtigden waren daarbij aanwezig. Namens de Regio waren de gemachtigden, [A] en [B] aanwezig. Op zitting heeft eiseres toestemming gegeven aan de rechtbank om het geheime stuk in te zien.
Het oordeel van de rechtbank
Was de Regio bevoegd om het bestreden besluit te nemen?
4. Eiseres stelt zich op het standpunt dat de Regio niet bevoegd was om te beslissen op haar bezwaar. Op grond van de Algemene Verordening Gegevensbescherming (AVG) moeten verzoeken tot inzage in en tot het wissen van persoonsgegevens namelijk worden gericht tot de verwerkingsverantwoordelijke. Dat is niet de Regio, maar de gemeente [gemeente] .
5. Om vast te stellen of de Regio bevoegd was het bestreden besluit te nemen, zal de rechtbank eerst de vraag beantwoorden of de Regio verwerkingsverantwoordelijke of verwerker in de zin van de AVG is. De verwerkingsverantwoordelijke is – kort gezegd – de instantie die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.De verwerker is de instantie die voor de verwerkingsverantwoordelijke persoonsgegevens verwerkt.
6. In deze kwestie gaat het om de gegevensverwerking die plaatsvindt in het kader van de zogeheten Regionale Meld- en Coördinatiefunctie voortijdig schoolverlaten (RMC-functie) van gemeenten. In dat kader volgen de colleges van burgemeester en wethouders van gemeenten (colleges) onder meer de deelname aan onderwijs en arbeidsmarkt van jongeren tussen de 18 en 23 jaar in de gemeente/regio die naar school gaan en niet in het bezit zijn van een startkwalificatie. Om in beeld te hebben om welke jongeren het gaat, houden de colleges een register bij, waarin de basisgegevens van deze jongeren zijn opgenomen.Het zijn dus in eerste instantie de colleges die persoonsgegevens van deze jongeren verwerken en op grond van de AVG als verwerkingsverantwoordelijken moeten worden gezien.
7. Voor de vervulling van deze taak werken de colleges echter samen binnen zogeheten RMC-regio’s.In dit geval gaat het om de RMC-regio Gooi en Vechtstreek, waartoe onder andere het college van burgemeester en wethouders van de gemeente [gemeente] behoort.De colleges binnen deze RMC-regio hebben de Gemeenschappelijke Regeling Regio Gooi en Vechtstreek (gemeenschappelijke regeling) getroffen.Daarbij zijn bepaalde taken aan de Regio gedelegeerd.Zo is onder andere aan de Regio de uitvoering van de regelgeving met betrekking tot de melding en bestrijding van voortijdig schoolverlaten (oftewel: de RMC-functie) overgedragen.Tot de overgedragen taken behoort in ieder geval de registratie en administratie van leerplichtige en kwalificatieplichtige leerlingen en van leerlingen met een leerovereenkomst.Dat betekent met andere woorden dat de RMC-functie en de daarmee verband houdende registratie van bepaalde jongeren niet meer bij de colleges, maar bij de Regio ligt. De gegevensverwerking in dit verband vindt dus ook plaats bij de Regio.
8. Het is vervolgens de vraag of de Regio daarmee verwerker of verwerkings-verantwoordelijke is geworden. Naar het oordeel van de rechtbank is de Regio verwerkingsverantwoordelijke. De RMC-functie, inclusief de registratie, is namelijk aan de Regio overgedragen. Er is niet gebleken dat de colleges nog enige bemoeienis hiermee hebben. Daar komt bij dat de Regio heeft aangegeven dat hij het verwerkingsregister bijhoudt en het doel van gegevensverwerkingen en de middelen bepaalt binnen het kader van de wet- en regelgeving.
9. Hoewel de rechtbank verder begrijpt dat de zinsnede in de gemeenschappelijke regeling dat het om de overdracht van de ‘uitvoering van de regelgeving’ gaat, verwarring bij eiseres heeft gecreëerd over de rol van de Regio bij de gegevensverwerking, kan uit die zinsnede niet worden afgeleid dat de Regio slechts verwerker is. Hetzelfde geldt voor de expliciete vermelding bij de overdracht van andere taken in de gemeenschappelijke regeling dat tot de overgedragen taakuitvoering de verwerking van persoonsgegevens behoort. Dit zou namelijk juist ook het tegenovergestelde kunnen betekenen: in die gevallen is duidelijk gemaakt dat het alleen om verwerking gaat en in dit geval niet. Oftewel, in dit geval gaat het om een gehele overdracht van taken, inclusief de verwerkingsverantwoordelijkheid. De rechtbank is het overigens wel met eiseres eens dat de gemeenschappelijke regeling aan duidelijkheid zou winnen als de colleges expliciet bij overdracht van de RMC-functie iets hadden opgenomen over de gegevensverwerking en de verwerkingsverantwoordelijkheid. Dat dit niet expliciet is benoemd, betekent echter niet dat de Regio geen verwerkingsverantwoordelijke is.
10. De rechtbank komt dan ook tot de conclusie dat de Regio verwerkings-verantwoordelijke in de zin van de AVG is. Dat betekent dat verzoeken tot inzage in en het wissen van persoonsgegevens bij de Regio moeten worden gedaan.Aangezien de Regio de bevoegdheid heeft om op deze verzoeken te beslissen, heeft hij in het verlengde daarvan ook de bevoegdheid om op bezwaren naar aanleiding van dergelijke besluiten te beslissen. De Regio was met andere woorden dus bevoegd om het bestreden besluit te nemen.
Moeten de persoonsgegevens van [zoon] worden gewist?
11. Eiseres heeft verzocht om wissing van de persoonsgegevens van [zoon] . Volgens eiseres kan de Regio zich niet beroepen op de uitzonderingsgrond in artikel 17, derde lid, onder b, van de AVG. Er ligt volgens haar namelijk geen wettelijke verwerkings-verplichting of taak van algemeen belang bij de Regio . Voor zover daarvan wel sprake zou zijn, dan is de gegevensverwerking niet noodzakelijk, gelet op de situatie van [zoon] . [zoon] heeft namelijk het syndroom van Down en heeft een indicatie voor langdurige zorg. Hij kan niet lezen of schrijven en heeft geen verdere mogelijkheden. Er geldt daarom voor hem geen kwalificatieplicht en ook krijgt hij om die reden sinds zijn 18e een Wajong-uitkering. Hij behoort daarom niet tot de RMC-doelgroep, althans dat is zeer twijfelachtig. Verder heeft de Regio volgens eiseres ten onrechte niet gekeken of het beroep op de uitzonderingsgrond wel noodzakelijk en proportioneel is in het geval van [zoon] . De Regio heeft met andere woorden ten onrechte geen belangenafweging gemaakt. Dat had hij wel moeten doen.
12. De rechtbank stelt voorop dat een betrokkene op grond van artikel 17, eerste lid, onder a, van de AVG het recht heeft op wissing van zijn persoonsgegevens als die persoonsgegevens niet langer nodig zijn voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt. Dat lid is echter volgens artikel 17, derde lid, onder b, van de AVG niet van toepassing als de verwerking nodig is voor het nakomen van een wettelijke verwerkingsverplichting. Onder het “nodig zijn” dient te worden begrepen dat moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Dat betekent dat de inbreuk op de belangen van de betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel, en dat dit doel in redelijkheid niet op een andere, voor de betrokkene minder nadelige, wijze kan worden verwerkelijkt. Dit vraagt met andere woorden om een belangenafweging.
13. De rechtbank stelt vast dat er twee momenten van gegevensverwerking moeten worden onderscheiden: de verwerking in het kader van de registratie en de verwerking in verband met het vervolgens volgen en monitoren van de betreffende jongeren. De rechtbank gaat hieronder op beide punten in.
(i) Verwerking in het kader van de registratie
14. Als de rechtbank kijkt naar de verwerking in het kader van de registratie, dan vindt de rechtbank dat die gegevensverwerking nodig is voor het nakomen van een wettelijke verplichting. Uit de vorige paragraaf volgt dat de RMC-functie aan de Regio is overgedragen. Zoals gezegd, houdt die functie onder meer in dat de deelname aan onderwijs en arbeidsmarkt van de naar school gaande jongeren tussen de 18 en 23 jaar in de gemeente/regio die niet in het bezit zijn van een startkwalificatie wordt gevolgd. Om dat te kunnen doen, is het allereerst nodig om de doelgroep in beeld te hebben. Om die reden moeten bepaalde persoonsgegevens van deze jongeren worden geregistreerd. Dat volgt uit artikel 162b, eerste lid, van de Wet op de expertisecentra, artikel 21, eerste lid, van de Wet register onderwijsdeelnemers en artikel 31, eerste lid, van het Besluit register onderwijsdeelnemers. Door de gegevens te verwerken in een register, geeft de Regio dus uitvoering aan een wettelijke verplichting.
15. Anders dan eiseres stelt, vindt de rechtbank dat deze verplichting tot registratie ook op [zoon] betrekking heeft. [zoon] is namelijk een jongere tussen de 18 en 23 jaar in de gemeente Hilversum die naar school gaat en geen startkwalificatie heeft. Hij valt met andere woorden dus in de doelgroep. De gegevensverwerking is verder ook nodig om te voldoen aan de wettelijke verplichting. Het gaat er immers om dat
allejongeren in de doelgroep in beeld zijn, ongeacht hun situatie. Dat maakt ook dat het niet mogelijk is voor de Regio om op een andere manier het doel van de registratie (het in beeld hebben van alle jongeren in de doelgroep) te bereiken. Daarnaast vindt de rechtbank de verwerking in het geval van [zoon] ook niet onevenredig, gelet op dit doel. Er wordt slechts een aantal basisgegevens verwerkt en die verwerking stopt op het moment dat [zoon] niet meer naar school gaat of 23 jaar is geworden. De rechtbank vindt overigens tot slot ook niet dat de Regio onvoldoende aandacht heeft gehad voor de belangen van [zoon] in het bestreden besluit. De Regio heeft namelijk uitgelegd waarom de gegevensverwerking – ook ten aanzien van [zoon] – nodig is. In dat verband heeft de Regio de vraag opgeworpen of er specifieke omstandigheden zijn op grond waarvan moet worden afgezien van de gegevensverwerking. Die heeft de Regio terecht niet gezien, omdat er ook geen omstandigheden door eiseres naar voren zijn gebracht in de bezwaarfase.
16. De rechtbank komt daarom tot de conclusie dat de Regio zich terecht op het standpunt heeft gesteld dat er sprake is van de uitzonderingsgrond in artikel 17, derde lid, onder b, van de AVG. [zoon] heeft daarom geen recht op wissing van zijn gegevens.
(ii) Verwerking in het kader van het volgen en monitoren
17. Een tweede vraag is of de verdere gegevensverwerking in het kader van het volgen en monitoren van de jongeren in het geval van [zoon] ook nodig is om te voldoen aan een wettelijke verplichting. Het gaat dan bijvoorbeeld om het contacten van [zoon] (via de post of op een andere manier). De rechtbank vindt dat ook die gegevensverwerking in beginsel nodig is, omdat de Regio op basis van de hierboven genoemde wettelijke bepalingen verplicht is om de jongeren in de doelgroep te volgen en monitoren. Bij [zoon] zou dat evenwel anders kunnen komen te liggen als wordt gekeken naar zijn specifieke situatie. Die situatie is echter bij de Regio pas later in de beroepsprocedure bekend geworden. Tot dat moment was er voor de Regio dan ook geen reden om de gegevensverwerking niet meer nodig te achten. De Regio mocht zich in het bestreden besluit dus ook beroepen op de uitzonderingsgrond in artikel 17, derde lid, onder b, van de AVG.
18. Aan de vraag hoe het zit met gegevensverwerking op dit moment en in de toekomst, komt de rechtbank vervolgens niet meer toe. De Regio heeft op zitting namelijk toegezegd dat er geen contact meer zal worden opgenomen met [zoon] . De rechtbank heeft dit zo begrepen dat er dus bij [zoon] geen verdere gegevensverwerking zal plaatsvinden in het kader van het volgen en monitoren van de jongeren.
Moet eiseres inzage krijgen in alle gegevens in het dossier van [zoon] ?
19. Eiseres wil inzage in alle gegevens die in het dossier van [zoon] zijn vastgelegd, ook (en juist) in het gedeelte dat de Regio heeft weggelakt. Het gaat daarbij om de naam die is ingevuld bij ‘vader’ onder het kopje ‘gezin’.
20. De rechtbank stelt voorop dat eiseres als bewindvoerder van [zoon] recht heeft op inzage in zijn persoonsgegevens.De vraag is of de weggelakte naam die bij vader is ingevuld een persoonsgegeven van [zoon] is. De rechtbank vindt dat dit zo is. Onder ‘persoonsgegevens’ wordt – kort gezegd – alle informatie verstaan over een betrokkene, waarbij die betrokkene direct of indirect kan worden geïdentificeerd. Het kan daarbij bijvoorbeeld gaan om elementen die kenmerkend zijn voor de genetische, culturele of sociale identiteit van de betrokkene.Volgens het Hof van Justitie van de Europese Unie (het Hof van Justitie) moet er een ruime uitleg worden gegeven aan het begrip ‘persoonsgegevens’. Volgens het Hof van Justitie strekt het begrip persoonsgegevens zich potentieel uit tot elke soort informatie, zowel objectieve als subjectieve informatie die de betrokkene betreft. Van dat laatste is sprake als de informatie wegens haar inhoud, doel of gevolg gelieerd is aan een natuurlijk persoon.
21. Het gaat hier om een naam die is genoemd in het persoonsdossier van [zoon] bij de Regio als zijnde zijn vader. Dit is een gegeven dat aan hem is gelieerd, kenmerkend kan zijn voor zijn (genetische) identiteit en op basis waarvan hij kan worden geïdentificeerd. Om die reden is de naam een persoonsgegeven van [zoon] en dient eiseres daarin inzage te krijgen. Het beroep van eiseres is op dit punt dus gegrond. Het bestreden besluit komt – voor zover het betrekking heeft op de afwijzing van het inzageverzoek – voor vernietiging in aanmerking. De Regio zal binnen zes weken na verzending van deze uitspraak op dit punt opnieuw op het bezwaar moeten beslissen, met inachtneming van deze uitspraak.
22. De rechtbank wijst er verder nog op dat op zitting is gesproken over het verwijderen van deze naam uit het persoonsdossier van [zoon] , nu er – net als bij eiseres – geen grondslag is voor de verwerking hiervan. De Regio heeft toegezegd de naam te verwijderen. Vanzelfsprekend doet dat niet af aan het recht van eiseres op inzage.
Heeft eiseres recht op schadevergoeding?
23. Eiseres verzoekt om schadevergoeding.Zij wil in de eerste plaats een vergoeding voor de door haar en [zoon] geleden immateriële schade van ieder € 1.500,-. Eiseres stelt dat zij veel stress en inspanning heeft moeten leveren om de inbreuk op de privacy van [zoon] teniet te doen. Daardoor hebben zij en [zoon] extra gezondheidsklachten. Daarnaast wenst zij een vergoeding voor materiële schade te krijgen van € 776,90 in verband met de werkzaamheden die zij als wettelijk vertegenwoordiger van [zoon] heeft moeten verrichten.
24. De rechtbank ziet zich voor de vraag gesteld of eiseres en [zoon] aanspraak maken op een vergoeding van schade die is geleden als gevolg van een inbreuk op de AVG.De rechtbank stelt voorop dat voor de beoordeling van een dergelijk schadeverzoek aansluiting moet worden gezocht bij het civiele schadevergoedingsrecht.Voor de gevraagde immateriële schadevergoeding betekent dit dat iemand hierop recht kan hebben als hij/zij:
- lichamelijk letsel heeft opgelopen;
- in zijn/haar eer of goede naam is geschaad; of
- op een andere wijze in zijn/haar persoon is aangetast.
25 . De eerste twee situaties zijn hier in ieder geval niet aan de orde. Ook vindt de rechtbank niet dat eiseres en [zoon] op een andere wijze in hun persoon zijn aangetast. Daarvan kan namelijk in de eerste plaats sprake zijn als iemand geestelijk letsel heeft opgelopen. Dit moet dan wel naar objectieve maatstaven kunnen worden vastgesteld.Dat is hier niet het geval. Eiseres stelt weliswaar dat zij veel stress heeft ondervonden van de situatie en dat zij en [zoon] extra gezondheidsklachten hebben gekregen, maar dit is niet onderbouwd. De rechtbank kan daarom niet naar objectieve maatstaven vaststellen dat sprake is van geestelijk letsel.
26. Ook als er geen geestelijk letsel kan worden vastgesteld, kan er nog sprake zijn van een aantasting op andere wijze, gelet op de aard en ernst van de normschending en van de gevolgen daarvan voor de betrokkene. Diegene die stelt op deze grond te zijn aangetast in persoon, moet dit met concrete gegevens onderbouwen, tenzij de relevante nadelige gevolgen van de normschending zo voor de hand liggen dat een aantasting kan worden aangenomen. Dat is niet direct al aan de orde als er een fundamenteel recht is geschonden.De rechtbank stelt vast dat eiseres niet met concrete gegevens heeft onderbouwd dat zij en [zoon] door de normschending (hier: het niet verkrijgen van inzage in de naam die bij vader is ingevuld) zijn aangetast in hun persoon. Het enkele feit dat zij – in strijd met de AVG – geen inzage hebben gehad, is daarvoor onvoldoende. Ook vindt de rechtbank dat zich geen situatie voordoet waarbij de nadelige gevolgen van de normschending voor de hand liggen. De rechtbank ziet namelijk niet in dat en zo ja, welke nadelige gevolgen eiseres en [zoon] hebben ondervonden van het niet direct kunnen inzien van de naam. De omstandigheid dat het tijd en moeite heeft gekost om inzage te verkrijgen, maakt niet dat sprake is van een aantasting in persoon op andere wijze. De rechtbank wijst daarom het verzoek om immateriële schadevergoeding af .
27. Het is vervolgens de vraag of eiseres recht heeft op een vergoeding voor de werkzaamheden die zij als bewindvoerder van [zoon] heeft verricht in verband met de verzoeken aan de Regio, de bezwaar- en deze beroepsprocedure. Naar het oordeel van de rechtbank heeft eiseres geen recht op een dergelijke schadevergoeding. De kosten die eiseres vergoed wenst te zien, zijn proceskosten. Er bestaat echter een exclusieve regeling van de proceskostenveroordeling in het bestuursrecht.Gelet op het limitatieve en forfaitaire karakter van deze exclusieve regeling, is er volgens vaste rechtspraak voor een aanvullende vergoeding van proceskosten langs de weg van het schadeverzoek geen plaats.
28. De rechtbank wijst daarom het verzoek om schadevergoeding af.
Heeft eiseres recht op een vergoeding van het griffierecht en de proceskosten?
29. Omdat het beroep gegrond is, moet de Regio aan eiseres het door haar betaalde griffierecht vergoeden. Daarnaast heeft eiseres recht op een vergoeding voor de proceskosten die zij heeft gemaakt. Eiseres verzoekt om een vergoeding van de kosten voor:
- het contact met de Regio en de privacyfunctionaris van de gemeente Hilversum en het verzamelen van informatie in dat verband;
- werkzaamheden in de bezwaarfase;
- het inschakelen van rechtsbijstand; en
- de aan haar verleende rechtsbijstand.
30. De rechtbank stelt vast dat eiseres uitsluitend aanspraak maakt op een vergoeding van proceskosten in verband met de aan haar verleende rechtsbijstand. Kosten die zijn gemaakt in de voorfase (dus ter voorbereiding op het primaire besluit) komen niet voor vergoeding in aanmerking.Hetzelfde geldt in dit geval voor de bezwaarfase, omdat eiseres tijdens die bezwaarfase niet heeft verzocht om een vergoeding van kosten.Bovendien worden kosten voor verrichte werkzaamheden in verband met de procedures alleen vergoed als die werkzaamheden zijn verricht door een derde die beroepsmatig rechtsbijstand verleent.Dat is eiseres niet, omdat zij als bewindvoerder partij is in de procedure.Dat betekent dat eiseres ook voor het inschakelen van rechtsbijstand geen proceskostenvergoeding krijgt.
31. Zoals gezegd, krijgt eiseres wel een vergoeding voor de bijstand van haar gemachtigden. Die vergoeding moet de Regio betalen. De bijstand levert 2 punten op (1 punt voor het indienen van het beroepschrift met een waarde per punt van € 759,- en 1 punt voor het verschijnen op de zitting met een waarde per punt van € 759,-), bij een wegingsfactor 1. Toegekend wordt € 1.518,-.