Uitspraak
RECHTBANK ROTTERDAM
Bestuursrecht
zaaknummer: ROT 23/3239
uitspraak van de enkelvoudige kamer van 30 april 2024 in de zaak tussen
[naam eiseres] , uit [plaats] , eiseres
(gemachtigde: mr. J. van den Ende),
en
Minister van Financiën, verweerder
(gemachtigde: mr. A. van der Linden).
Inleiding
1.1.
Bij besluit van 25 november 2022 (het primaire besluit) heeft verweerder het verzoek van eiseres om op grond van de Algemene verordening gegevensbescherming (AVG) inzage te geven in haar persoonsgegevens in de Fraude Signalering Voorziening (FSV) toegewezen.
1.2.
Bij besluit van 30 maart 2023 (het bestreden besluit) heeft verweerder het bezwaar van eiseres ongegrond verklaard.
1.3.
Eiseres heeft op 9 mei 2023 tegen het bestreden besluit beroep ingesteld.
1.4.
Verweerder heeft op 13 juni 2023 een verweerschrift ingediend.
1.5.
De rechtbank heeft het beroep op 12 februari 2024 op zitting behandeld. Hieraan hebben deelgenomen: de gemachtigde van eiseres, de gemachtigde van verweerder en haar collega mr. E.J.P. Nevens.
Totstandkoming van het besluit
2. Op 29 juli 2022 heeft eiseres verzocht om inzage in haar persoonsgegevens die in de FSV stonden. Verweerder heeft dit verzoek opgevat als een verzoek op grond van artikelen 12, 13 en 14 van de AVG.
2.1.
Bij het primaire besluit heeft verweerder het verzoek van eiseres om inzage in haar persoonsgegevens in de FSV toegewezen. Verweerder heeft daarbij een overzicht van de persoonsgegevens van eiseres in de FSV, waarbij twee signalen zijn geregistreerd, overgelegd.
2.2.
Eiseres heeft in bezwaar aangevoerd dat uit het primaire besluit niet blijkt met welke derden haar gegevens zijn gedeeld. Zij stelt dat haar gegevens ook zouden zijn gedeeld met DUO, de ING bank en bank Santander, terwijl dit niet uit het overzicht volgt. Ook is volgens eiseres niet aangegeven welke informatie met de Fiscale inlichtingen- en opsporingsdienst (FIOD) zou zijn gedeeld, wanneer dit is gebeurd en met welk doel deze gegevens zijn verstrekt.
2.3.
Het bezwaar van eiseres is bij het bestreden besluit ongegrond verklaard. Verweerder heeft toegelicht dat externe partijen onderzoeken hebben verricht naar het gebruik van de FSV door de Belastingdienst. Daarbij is ook onderzoek gedaan naar externe gegevensverstrekking vanuit de FSV. Naar aanleiding van dat onderzoek is een vervolgonderzoek verricht. De resultaten van dit vervolgonderzoek zijn gepubliceerd in het rapport 'Blue Horizon', dat op 23 januari 2023 naar de Tweede Kamer is gestuurd. Uit dit onderzoek blijkt dat er 296 e-mails gevonden zijn waarin van 505 personen de FSV-registratie is genoemd aan een andere overheidsorganisatie. Verweerder heeft navraag gedaan of eiseres één van deze personen is en dat is volgens verweerder niet het geval. Volgens verweerder zijn er verder geen aanwijzingen, ook gezien de inhoud van de FSV registratie van eiseres en de aanleiding voor de registratie, dat dit met andere instanties of de private partijen die eiseres noemt, zou zijn gedeeld. Het is daarom niet waarschijnlijk dat de registratie van haar persoonsgegevens in FSV is gedeeld. In de FSV was aangevinkt dat er een melding is gedaan bij de FIOD. Deze melding houdt verband met de registratie in de FSV. In bepaalde gevallen kunnen de Belastingdienst en de Belastingdienst Toeslagen melding doen bij de FIOD van mogelijke (fiscale) delicten die voor strafrechtelijke afhandeling in aanmerking komen. De aanmelding en afdoening van mogelijke delicten in de toeslagensfeer gebeurt op basis van het protocol aanmelding en afdoening van fiscale delicten. Of een zaak in aanmerking komt voor strafrechtelijke afhandeling is onder meer afhankelijk van de aanwezigheid van vermoedelijk opzettelijk handelen in relatie tot het nadeelbedrag. Verweerder heeft aangegeven dat hij naar aanleiding van het bezwaar van eiseres heeft gezocht naar meer informatie over de aanmelding, verweerder heeft hier verder geen informatie over kunnen terugvinden.
Juridisch kader
3. Het voor deze zaak relevante juridisch kader is te vinden in de bijlage bij deze uitspraak.
Beoordeling door de rechtbank
Onderzoek door verweerder
4. Eiseres voert aan dat, voor zover zij weet, geen uitputtend onderzoek is gedaan naar alle gevallen waarin FSV-registraties zijn gedeeld. Verweerder kan niet met de enkele verwijzing naar het rapport ‘Blue Horizon’ concluderen dat in dit geval de FSV-registraties die betrekking op eiseres hebben niet met derden zijn gedeeld. Het is volgens eiseres ook onduidelijk met welke bevoegdheid externe partijen dit onderzoek hebben verricht en in de systemen van de Belastingdienst hebben kunnen zoeken. Zij meent dat verweerder een eigen onderzoek dient te verrichten naar haar FSV-registraties.
4.1.
De rechtbank is van oordeel dat verweerder met de door hem gegeven toelichting voldoende inzichtelijk heeft gemaakt op welke wijze hij is nagegaan of de FSV-registraties van eiseres met derden zijn gedeeld. Verweerder heeft aannemelijk gemaakt dat hij al het redelijkerwijs mogelijke heeft gedaan om te achterhalen of de persoonsgegevens van eiseres zijn gedeeld. Verweerder heeft gemotiveerd dat zowel uit de eerder gedane onderzoeken als uit het eigen onderzoek naar aanleiding van het bezwaar van eiseres niet is gebleken dat gegevens van eiseres zouden zijn gedeeld met andere partijen dan de FIOD. Uit het rapport ‘Blue Horizon’ volgden 79 functionele groepsmailboxen, die geanalyseerd zijn op het verstrekken van FSV informatie met derden. Volgens verweerder blijkt uit dit onderzoek dat het niet waarschijnlijk is dat gegevens van eiseres zijn gedeeld met de door haar genoemde organisaties. Ook levert de inhoud van de FSV-registratie en de aanleiding voor die registratie geen aanwijzing op dat haar gegevens met andere organisaties zouden zijn gedeeld. Daar komt bij dat verweerder telefonisch nog navraag heeft gedaan bij de FIOD: daar waren geen gegevens van eiseres bekend. Ook in het kader van deze beroepsprocedure heeft de gemachtigde van verweerder nogmaals navraag gedaan bij de collega's van de Belastingdienst die dit soort onderzoeken verrichten. Ook die collega’s hebben bevestigd dat geen gegevensdeling van eiseres heeft plaatsgevonden. De gemachtigde van verweerder heeft ter onderbouwing hiervan twee e-mails van de collega’s die zoekslagen hebben verricht overgelegd. De rechtbank volgt verweerder in zijn standpunt dat hij mag uitgaan van deze verklaringen en zij verwijst in dit kader naar de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State (de Afdeling) van 12 april 2023 [1] .
Uit het voorgaande volgt dat verweerder ook zelf onderzoek heeft verricht. Niet is gebleken dat de Belastingdienst persoonsgegevens van eiseres uit de FSV met andere partijen dan de FIOD zou hebben gedeeld. Ook zijn er geen aanknopingspunten dat dit standpunt van verweerder onjuist zou zijn. Eiseres heeft zelf geen stukken overgelegd waaruit iets anders blijkt. Ook uit de door eiseres overgelegde brief van 12 december 2013 betreffende het bij Santander aangevraagde krediet, volgt niet dat haar FSV-gegevens met Santander zijn gedeeld.
FIOD
5. Eiseres voert verder aan dat zij inzicht wil in de persoonsgegevens die de FIOD van haar verwerkt en in het verleden verwerkt heeft. Uit het bestreden besluit blijkt immers dat een belanghebbende wordt aangemeld bij de FIOD indien sprake is van mogelijke (fiscale) delicten die voor strafrechtelijke afhandeling in aanmerking komen, waarbij sprake is van vermoedelijk opzettelijk handelen in relatie tot het nadeelbedrag. In de toeslagensfeer zou dat gebeuren aan de hand van het protocol 'aanmelding en afdoening van fiscale delicten'. Volgens eiseres valt niet uit te sluiten dat zij is aangemeld bij de FIOD, omdat zij destijds onterecht als fraudeur is aangemerkt in het kader van teruggevorderde kinderopvangtoeslag. Om na te gaan of verweerder rechtmatig handelt jegens haar, verzoekt eiseres verweerder om inzage te geven in alle persoonsgegevens die de FIOD van haar heeft verwerkt in de periode van 2007 tot en met 2017 zoals bedoeld in artikel 15 van de AVG. Ook verzoekt eiseres om deze persoonsgegevens te laten wissen zoals bedoeld in artikel 17 van de AVG. Volgens eiseres moet voorkomen worden dat de gegevensverstrekking aan de FIOD vanuit de FSV in de toekomst leidt tot op enige wijze nadelige gevolgen voor eiseres.
5.1.
De rechtbank heeft begrip voor het feit dat eiseres graag wil weten of de FIOD haar persoonsgegevens verwerkt en heeft verwerkt. Eiseres heeft echter een verzoek om inzage van haar persoonsgegevens bij een specifiek onderdeel van verweerder, namelijk de Belastingdienst, ingediend. De AVG behandelaar van de Belastingdienst heeft geen inzage in de processen van de FIOD op persoonsniveau. Verweerder heeft wel toegelicht hoe het proces van het aanmelden van een casus bij de FIOD verloopt en opgemerkt dat als een zaak wordt aangemeld dit niet wil zeggen dat deze verder opgepakt wordt voor strafrechtelijke vervolging. Op basis van de beschikbare informatie en weegfactoren zullen de opsporingsambtenaren beslissen welke onderzoeken verder opgepakt worden. Die ambtenaren proberen bewijzen te vinden voor de vermoedelijk gepleegde strafbare feiten en dan kan de verdachte op grond van een proces-verbaal eventueel vervolgd en veroordeeld worden. Omdat eiseres niet heeft verklaard dat jegens haar opsporingshandelingen zijn genomen, komt verweerder tot de conclusie dat het delen van informatie met de FIOD geen gevolgen voor haar heeft gehad. In dat geval kan volgens verweerder alleen sprake zijn geweest van een aanmelding en het delen van informatie. Verweerder heeft voorts nog toegelicht dat de gegevens van eiseres vanaf 1 januari 2012 bij de FIOD ter beschikking stonden. Op grond van artikel 8, zesde lid, van de Wet politiegegevens (Wpg) moeten die gegevens vijf jaar na de eerste verwerking verwijderd worden. De eerste verwerking dient binnen een jaar plaats te vinden. Indien niet wordt gestart met verwerking dan moeten de gegevens al na één jaar verwijderd worden, in het geval van eiseres zou dat dan op 1 januari 2013 zijn. Indien wel gestart is met verwerking, dienen de gegevens na vijf jaar verwijderd te worden, dus op 1 januari 2017. Op grond van artikel 14, eerste lid, van de Wpg moeten de verwijderde gegevens vijf jaar bewaard worden en daarna vernietigd worden. De gegevens staan gedurende die vijf jaar ter beschikking voor de afhandeling van klachten en de verantwoording van verrichtingen. De gegevens zouden daarom uiterlijk op 1 januari 2022 vernietigd moeten zijn. Volgens verweerder komt dit overeen met de verklaring van de collega’s bij de FIOD dat bij hen geen gegevens van eiseres (met betrekking tot die registratie) bekend zijn.
Naar het oordeel van de rechtbank wijst verweerder terecht op de mogelijkheid voor eiseres om een verzoek om inzage in te dienen bij de FIOD. De omstandigheid dat de FIOD ook onder de minister van Financiën valt maakt dit niet anders. De Belastingdienst en de FIOD zijn immers twee verschillende organisaties. Indien eiseres inzicht wil in de persoonsgegevens die FIOD van haar verwerkt of heeft verwerkt, zal zij daarvoor een inzageverzoek bij de FIOD moeten indienen. Dit geldt ook voor het verzoek om haar persoonsgegevens te wissen.
Persoonlijk dossier
6. Eiseres heeft de rechtbank ook verzocht om verweerder op te dragen haar persoonlijk dossier te overleggen.
6.1.
Op grond van artikel 15, derde lid, van de AVG verstrekt de verwerkingsverantwoordelijke de betrokkene een kopie van de persoonsgegevens die worden verwerkt.
Uit de uitspraak van de Afdeling van 3 maart 2021 [2] volgt dat de verplichting om een ‘kopie van de persoonsgegevens te verstrekken’ niet betekent dat een bestuursorgaan verplicht is een kopie te verstrekken van de documenten waarin die persoonsgegevens voorkomen. Een bestuursorgaan mag dat doen, maar mag ook voor een andere vorm kiezen waarin de kopie van de persoonsgegevens wordt verstrekt, mits met de gekozen wijze van verstrekking maar aan het doel van artikel 15, derde lid, van de AVG wordt voldaan.
6.2.
De rechtbank is van oordeel dat, nog daargelaten dat eiseres niet heeft onderbouwd welke stukken zij precies wil ontvangen, verweerder – gelet op het inzageverzoek van eiseres en de hiervoor genoemde Afdelingsuitspraak – heeft kunnen volstaan met het overleggen van een overzicht van de verwerkte persoonsgegevens van eiseres. Verweerder stelt zich terecht op het standpunt dat eiseres hiermee in staat wordt gesteld de juistheid en rechtmatigheid van de verwerkte persoonsgegevens te beoordelen. Bovendien heeft verweerder erop gewezen dat er geen ‘fiscaal dossier’ bestaat.
Conclusie en gevolgen
7. Het beroep is ongegrond. Dat betekent dat het bestreden besluit in stand blijft. Eiseres krijgt daarom het griffierecht niet terug. Zij krijgt ook geen vergoeding van haar proceskosten.
Beslissing
De rechtbank verklaart het beroep ongegrond.
Deze uitspraak is gedaan door mr. M. Zoethout, rechter, in aanwezigheid van mr. M.M. Mercelina, griffier. De uitspraak is uitgesproken in het openbaar op 30 april 2024.
griffier
rechter
Een afschrift van deze uitspraak is verzonden aan partijen op:
Informatie over hoger beroep
Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen.
BIJLAGE
Algemene verordening gegevensbescherming (AVG)
Artikel 12 – Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene
1. De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.
2. De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22. In de in artikel 11, lid 2, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren.
3. De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt.
4. Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de mogelijkheid om klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen.
5. Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel:
a. a) een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan; ofwel
b) weigeren gevolg te geven aan het verzoek.
Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.
6. Onverminderd artikel 11 kan de verwerkingsverantwoordelijke, wanneer hij redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient als bedoeld in de artikelen 15 tot en met 21, om aanvullende informatie vragen die nodig is ter bevestiging van de identiteit van de betrokkene.
7. De krachtens de artikelen 13 en 14 aan betrokkenen te verstrekken informatie mag worden verstrekt met gebruikmaking van gestandaardiseerde iconen, om de betrokkene een nuttig overzicht, in een goed zichtbare, begrijpelijke en duidelijk leesbare vorm, van de voorgenomen verwerking te bieden. Wanneer de iconen elektronisch worden weergegeven, zijn ze machineleesbaar.
8. De Commissie is bevoegd overeenkomstig artikel 92 gedelegeerde handelingen vast te stellen om te bepalen welke informatie de iconen dienen weer te geven en via welke procedures de gestandaardiseerde iconen tot stand dienen te komen.
Artikel 13 – Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld
1. Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens al de volgende informatie:
a. a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
d) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
d) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
e) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.
2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:
a. a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn;
b) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid;
c) wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
d) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
e) of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt;
f) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
3. Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.
4. De leden 1, 2 en 3 zijn niet van toepassing wanneer en voor zover de betrokkene reeds over de informatie beschikt.
Artikel 14 – Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen
1. Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie:
a. a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, en de rechtsgrond voor de verwerking;
d) de betrokken categorieën van persoonsgegevens;
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
f) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een ontvanger in een derde land of aan een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van de in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.
2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie om ten overstaan van de betrokkene een behoorlijke en transparante verwerking te waarborgen:
a. a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
b) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
c) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van persoonsgegevens of om beperking van de hem betreffende verwerking, alsmede het recht tegen verwerking van bezwaar te maken en het recht op gegevensoverdraagbaarheid;
d) wanneer verwerking op artikel 6, lid 1, punt a) of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
e) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
f) de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval, of zij afkomstig zijn van openbare bronnen;
g) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
3. De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie:
a. a) binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens, afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden verwerkt;
b) indien de persoonsgegevens zullen worden gebruikt voor communicatie met de betrokkene, uiterlijk op het moment van het eerste contact met de betrokkene; of
c) indien verstrekking van de gegevens aan een andere ontvanger wordt overwogen, uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt.
4. Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.
5. De leden 1 tot en met 4 zijn niet van toepassing wanneer en voor zover:
a. a) de betrokkene reeds over de informatie beschikt;
b) het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen, in het bijzonder bij verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, behoudens de in artikel 89, lid 1, bedoelde voorwaarden en waarborgen, of voor zover de in lid 1 van dit artikel bedoelde verplichting de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen. In dergelijke gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen, waaronder het openbaar maken van de informatie;
c) het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen; of
d) de persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een beroepsgeheim in het kader van Unierecht of lidstatelijke recht, waaronder een statutaire geheimhoudingsplicht.
Artikel 15 – Recht van inzage van de betrokkene
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a. a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.
Artikel 17 – Recht op gegevenswissing
1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
a. a) de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
d) de persoonsgegevens zijn onrechtmatig verwerkt;
e) de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
f) de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.
2. Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en overeenkomstig lid 1 verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen, om verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen.
3. De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is:
a. a) voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie;
b) voor het nakomen van een in een het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend;
c) om redenen van algemeen belang op het gebied van volksgezondheid overeenkomstig artikel 9, lid 2, punten h) en i), en artikel 9, lid 3;
d) met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen;
e) voor de instelling, uitoefening of onderbouwing van een rechtsvordering.