Uitspraak
201802949/1/A3.
Datum uitspraak: 2 oktober 2019
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op het hoger beroep van:
[appellant], wonend te [woonplaats],
tegen de uitspraak van de rechtbank Zeeland-West-Brabant van 13 februari 2018 in zaak nr. 17/3148 in het geding tussen:
[appellant]
en
het college van burgemeester en wethouders van Vlissingen.
Procesverloop
Bij besluit van 29 augustus 2016 heeft het college beslist op het verzoek van [appellant] om inzage op grond van artikel 35 van Pro de Wet bescherming persoonsgegevens (hierna: de Wbp).
Bij besluit van 6 maart 2017 heeft het college het door [appellant] tegen dit besluit gemaakte bezwaar gedeeltelijk gegrond verklaard.
Bij besluit van 11 april 2017 heeft het college de hoogte van de dwangsom wegens het niet tijdig beslissen op het bezwaar vastgesteld op € 140,-.
Bij besluit van 30 augustus 2017 heeft het college de hoogte van de dwangsom vastgesteld op € 160,-.
Bij uitspraak van 13 februari 2018 heeft de rechtbank het door [appellant] ingestelde beroep ongegrond verklaard. Deze uitspraak is aangehecht.
Tegen deze uitspraak heeft [appellant] hoger beroep ingesteld.
Het college heeft een schriftelijke uiteenzetting gegeven.
De Afdeling heeft de zaak ter zitting behandeld op 19 juni 2019, waar [appellant], bijgestaan door mr. N.G.A. Voorbach, rechtsbijstandverlener, en het college, vertegenwoordigd door E.H. Ruissen, zijn verschenen.
Overwegingen
Toepasselijk recht
1. Op 25 mei 2018 is Verordening 2016/979 (Algemene Verordening Gegevensbescherming) in werking getreden en is de Wbp ingetrokken. Op dit geding is de Wbp van toepassing. De tekst van artikel 1, aanhef en onder b en d, en artikel 35 van Pro de Wbp, zoals die ten tijde van belang luidden, staan in de bijlage die deel uitmaakt van de uitspraak. Deze bepalingen strekken tot omzetting van artikel 2, onder b en d, en artikel 12, onder a, van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L281) (hierna: Privacyrichtlijn). De tekst van deze bepalingen staat ook in de bijlage.
Inleiding
2. [appellant] heeft bij brief van 10 augustus 2016 verzocht om inzage in de verwerking van zijn persoonsgegevens als bedoeld in artikel 35 van Pro de Wbp. In het besluit van 29 augustus 2016 heeft het college [appellant] medegedeeld dat het college zijn NAW-gegevens (naam, adres, woonplaats) opgenomen heeft in het digitale postregistratiesysteem in verband met de registratie van een Wob-verzoek dat hij eerder heeft gedaan en om langs elektronische weg brieven te kunnen aanmaken en te registreren. Het college heeft de gegevens gebruikt om drie brieven te sturen te weten: de ontvangstbevestiging/herstelverzuim van het door [appellant] ingediende Wob-verzoek, verdaging van het besluit op het Wob-verzoek en het besluit op het Wob-verzoek. Het college heeft de NAW-gegevens van [appellant] aan niemand verstrekt. Een kopie van het besluit op het Wob-verzoek is vorig jaar op het internetforum van de Vereniging van Nederlandse Gemeenten (hierna: de VNG) geplaatst met de bedoeling om als voorbeeld te dienen voor andere gemeenten. Dat besluit is ten onrechte niet geanonimiseerd. Het college biedt daarvoor in het besluit zijn excuses aan. De kopie is op 10 augustus 2016 van het forum verwijderd. Het college heeft geen aanleiding gezien om een overzicht te verschaffen van de teksten van het VNG-forum over de Wob, omdat het een besloten discussieplatform voor functionarissen openbaarheid van bestuur betreft.
2.1. Bij besluit van 6 maart 2017 heeft het college het bezwaar ten aanzien van de plaatsing op het VNG-forum ongegrond verklaard. Volgens het college hoeven geen gegevens te worden verstrekt waarover [appellant] reeds beschikt. Het college heeft een besluit op het Wob-verzoek van [appellant] op het forum geplaatst met de bedoeling als voorbeeld te dienen voor andere gemeenten en heeft dit besluit per abuis niet geanonimiseerd. Het college heeft een overzicht gegeven van de persoonsgegevens van [appellant] die zijn verwerkt toen het dat besluit op zijn Wob-verzoek op het forum plaatste. Voor een lijst van ontvangers kan [appellant] zich volgens het college wenden tot de VNG.
Aangevallen uitspraak
Verantwoordelijke
3. Naar het oordeel van de rechtbank ligt de formeel-juridische zeggenschap over het VNG-forum bij de VNG. De VNG heeft het forum ingesteld en heeft daarover het beheer en de zeggenschap. De VNG heeft in eerste en in laatste instantie het doel van het forum bepaald en ervoor gezorgd dat het functioneert. De VNG heeft als houder van het forum de gelegenheid geboden tot het publiceren van gegevens en heeft daarmee de plicht om zorg te dragen voor een zorgvuldige omgang met persoonsgegevens. Voldoende vast staat dat het college niet in staat is om andere handelingen met betrekking tot het forum uit te voeren dan het plaatsen van een lezersbijdrage. Het is ook de VNG geweest die heeft besloten om het bewuste topic/de topics van het forum te verwijderen. De VNG dient dan ook als de verantwoordelijke voor het forum te worden beschouwd. Van een gedeelde verantwoordelijkheid is geen sprake. Naar het oordeel van de rechtbank heeft het college derhalve kunnen weigeren om een lijst met ontvangers van het VNG-forum te verstrekken.
Vaststelling dwangsom
4. De rechtbank heeft overwogen dat met het besluit van 30 augustus 2017 de dwangsom gewijzigd is vastgesteld op € 160,-. [appellant] heeft verklaard zich te kunnen vinden in die vaststelling. Nu hij derhalve het besluit tot vaststelling van de dwangsom niet betwist, heeft zijn beroep, gelet op het bepaalde in artikel 4:19, eerste lid, van de Awb, niet mede betrekking op dat besluit. De rechtbank zal daarover derhalve niet oordelen.
Hoger beroep
Misbruik van recht?
5. Het college voert aan dat het [appellant] heeft medegedeeld welke persoonsgegevens door hem op het VNG-forum zijn gedeeld. Het is echter niet in staat om [appellant] de ontvangers of categorieën van ontvangers van de gegevens ook mede te delen. Deze informatie is alleen toegankelijk voor de privacy officer van de VNG, die het VNG-forum beheert. [appellant] weet dit, maar wendt toch steeds nieuwe rechtsmiddelen aan. Door nu weer hoger beroep in te stellen en in dat kader zeer veel beroepsgronden aan te voeren, maakt hij misbruik van recht. Daarbij komt dat hij geen inzicht biedt in de financiële relatie met zijn gemachtigde.
5.1. In het besluit van 6 maart 2017 heeft het college medegedeeld dat [appellant] zich voor de lijst van ontvangers tot de VNG moet wenden. Het college heeft eerst in beroep toegelicht dat het deze mededeling heeft gedaan omdat het niet over deze gegevens beschikt. [appellant] heeft zich in reactie daarop op het standpunt gesteld dat het college als verantwoordelijke gehouden is om deze gegevens te verkrijgen. De rechtbank heeft geoordeeld dat het college niet als verantwoordelijke is aan te merken en dat het college derhalve heeft kunnen weigeren om een lijst met ontvangers te verstrekken. [appellant] heeft het recht om de juistheid van dit oordeel in hoger beroep aan de Afdeling voor te leggen. De omstandigheden dat hij in dit verband veel gronden aanvoert en dat hij geen inzicht geeft in zijn relatie met zijn gemachtigde, zijn onvoldoende om de conclusie te rechtvaardigen dat [appellant] misbruik heeft gemaakt van zijn recht om hoger beroep in te stellen.
Is het college een verantwoordelijke?
6. [appellant] betoogt dat de rechtbank ten onrechte heeft geoordeeld dat het college niet als verantwoordelijke kan worden aangemerkt. Een verwerkingshandeling is toerekenbaar aan de organisatie die de handeling verricht. [appellant] dient als betrokkene controle te hebben over de verwerking van zijn persoonsgegevens. Het recht op inzage geeft daar uitvoering aan. Het is om die reden dat het begrip verantwoordelijke ruim moet worden uitgelegd. Hij stelt dat uit de geschiedenis van de totstandkoming van de Wbp volgt dat degene die bepaalt of en welke persoonsgegevens worden verwerkt en op welke wijze, met welke middelen en voor welk doel die gegevens worden verwerkt, aangemerkt kan worden als verantwoordelijke. Dat ook de VNG verantwoordelijke is voor het VNG-forum betekent niet dat het college geen verantwoordelijke is voor de door het college geplaatste persoonsgegevens. [appellant] verzoekt om prejudiciële vragen aan het Europees Hof van Justitie te stellen indien twijfel bestaat over de vraag of het college als verantwoordelijke in de zin van de Wbp moet worden aangemerkt.
6.1. De Afdeling heeft eerder, in haar uitspraak van 23 januari 2019, ECLI:NL:RVS:2019:182, overwogen dat als gemeenteambtenaren berichten op een forum in beheer bij de VNG plaatsen, het handelen van deze ambtenaren moet worden toegerekend aan het college van de gemeente waarvoor zij werkzaam zijn. Het college moet dus als een verantwoordelijke in de zin van de Wbp worden aangemerkt. De Afdeling ziet geen aanleiding om hier thans anders over te oordelen. Er bestaat gelet op het arrest van het Hof van Justitie van 6 oktober 1982, Cilfit, ECLI:EU:C:1982:335, punt 16, voorts geen aanleiding tot het stellen van prejudiciële vragen, aangezien redelijkerwijs geen twijfel kan bestaan over de wijze waarop de opgeworpen vraag over de betrokken Unierechtelijke rechtsregel moet worden beantwoord.
6.2. Het voorgaande brengt met zich dat het college in dit geval als verantwoordelijke in de zin van artikel 1, aanhef en onder d, moet worden aangemerkt. De rechtbank heeft dit niet onderkend.
Had het college een lijst van ontvangers moeten verstrekken?
7. Het college heeft [appellant] als verantwoordelijke overeenkomstig artikel 35, tweede lid, van de Wbp een overzicht verstrekt van de persoonsgegevens die het op het VNG-forum heeft gedeeld. In dit overzicht staan de ontvangers of categorieën van ontvangers van de gegevens niet vermeld. [appellant] betoogt dat het college op grond van artikel 35, tweede lid, van de Wbp gehouden is om deze lijst aan hem te geven. Als het college niet over een lijst van ontvangers beschikt, moet het college deze lijst volgens hem bij de VNG opvragen.
7.1. Hiervoor onder 6.1 is overwogen dat het college met betrekking tot de verwerking van de persoonsgegevens van [appellant] op het VNG-Forum is aan te merken als een verantwoordelijke. Ook de VNG is als beheerder van het VNG-Forum als een verantwoordelijke aan te merken. Dit betekent dat het college en de VNG met betrekking tot de verwerking van de persoonsgegevens van [appellant] op het VNG-Forum een gezamenlijke verantwoordelijkheid hebben. Het Hof van Justitie heeft in het arrest van 5 juni 2018, Schleswig-Holstein, ECLI:EU:C:2018:388, punt 43, over gezamenlijke verantwoordelijkheid overwogen dat "het bestaan van een gezamenlijke verantwoordelijkheid zich niet noodzakelijkerwijs uit in een gelijkwaardige verantwoordelijkheid van de verschillende ondernemers die betrokken zijn bij de verwerking van persoonsgegevens. Deze ondernemers kunnen juist in verschillende stadia en in verschillende maten bij deze verwerking betrokken zijn, zodat het niveau van verantwoordelijkheid van elk van hen moet worden beoordeeld in het licht van alle relevante omstandigheden van het geval." In de geschiedenis van de totstandkoming van de Wbp (TK 1997-1998, 25 892, nr. 3, p. 59-60) staat hierover vermeld dat de verantwoordelijkheid niet verder gaat dan de bevoegdheid van de verantwoordelijke.
In zijn arrest van 29 juli 2019, Fashion ID, ECLI:EU:C:2019:629, punten 72 en 74, heeft het Hof van Justitie ter zake overwogen dat uit de definitie van "verwerking van persoonsgegevens" volgt "dat een verwerking van persoonsgegevens kan bestaan uit een of meerdere bewerkingen, die elk betrekking hebben op een van de verschillende fasen waarin een verwerking van persoonsgegevens kan plaatsvinden" en dat "een natuurlijke of rechtspersoon voor bewerkingen die verband houden met de verwerking van persoonsgegevens [………] slechts gezamenlijk met anderen verantwoordelijk [kan] zijn in de zin van artikel 2, onder d), van richtlijn 95/46 wanneer hij samen met die anderen het doel van en de middelen voor die bewerkingen vaststelt. Daarentegen kan die natuurlijke of rechtspersoon [………] niet worden geacht in de zin van die bepaling verantwoordelijk te zijn voor bewerkingen die vroeger of later in de verwerkingsketen plaatsvinden en waarvan respectievelijk waarvoor hij niet het doel en de middelen vaststelt", aldus het Hof.
7.2. Het college heeft ter zitting toegelicht dat het de bevoegdheid heeft om berichten op het VNG-forum te plaatsen en de eigen berichten te verwijderen. Deze berichten konden worden gelezen door personen met een algemeen account van de VNG, die zich tevens hadden aangemeld voor dit specifieke VNG-forum. Dat aanmelden kon door een wachtwoord aan de VNG te vragen. De samenstelling van deze groep van personen wisselde voortdurend, omdat de groep personen met een algemeen account wisselde en personen met een algemeen account zich bij de VNG eenvoudig aan en af konden melden voor het VNG-forum. Uit de toelichting van het college volgt dat de VNG de algemene accounts en de wachtwoorden verstrekte die nodig waren om het VNG-forum te bezoeken. Daarmee beheerde de VNG de toegang tot het forum en had zij daarover de zeggenschap. De VNG had invloed op en inzicht in de ontvangers van het VNG-forum. Het college had dat niet. Het college had als deelnemer de bevoegdheid om berichten te plaatsen en te verwijderen, maar had geen bevoegdheid ten aanzien van de ontvangers van deze berichten.
7.3. In het licht van deze omstandigheden en gelet op de jurisprudentie van het Hof van Justitie is de Afdeling van oordeel dat de verantwoordelijkheid van het college niet zo ver strekt dat het een lijst met ontvangers aan [appellant] moet verstrekken. Voor een lijst met ontvangers kan [appellant] zich tot de VNG wenden, zoals hij ook heeft gedaan. Dit betekent dat het college door het verstrekken van een overzicht met persoonsgegevens van [appellant] die het op het VNG-forum heeft gedeeld, heeft voldaan aan de plicht die op grond van artikel 35, tweede lid, van de Wbp op hem rust. De rechtbank is terecht tot dezelfde conclusie gekomen, zij het op andere gronden.
Dwangsom
8. [appellant] wijst erop dat het college tot de vaststelling van een hogere dwangsom heeft besloten naar aanleiding van het door hem ingestelde beroep. De rechtbank heeft miskend dat het college hiermee deels tegemoet is gekomen aan zijn beroep en dat er met analoge toepassing van artikel 8:75a van de Awb voldoende aanleiding bestond om het college in de proceskosten te veroordelen.
8.1. [appellant] heeft beroep ingesteld tegen het besluit van 11 april 2017. Met het besluit van 30 augustus 2017, waarbij de dwangsom op € 160,00 is vastgesteld, is het college daaraan geheel tegemoetgekomen. [appellant] had daarom geen belang meer bij een inhoudelijke beoordeling van het beroep tegen het besluit van 11 april 2017. De rechtbank had het beroep tegen dat besluit daarom niet-ontvankelijk moeten verklaren. [appellant] betoogt terecht dat de rechtbank het college had moeten veroordelen tot vergoeding van de in verband met dat beroep gemaakte proceskosten.
Conclusie
9. Gelet op hetgeen hiervoor is overwogen, is het hoger beroep van [appellant] gegrond. De Afdeling zal gelet op hetgeen onder 8 en 8.1 is overwogen de aangevallen uitspraak vernietigen, voor zover daarbij is nagelaten om een oordeel te geven over het beroep van [appellant] tegen het besluit van 11 april 2017. Doende hetgeen de rechtbank zou behoren te doen, zal de Afdeling het beroep tegen dit besluit niet-ontvankelijk verklaren. De Afdeling zal de aangevallen uitspraak voor het overige bevestigen, zij het met verbetering van de gronden waarop deze rust. De rechtbank is, zij het op onjuiste gronden, terecht tot het oordeel gekomen dat het beroep tegen het besluit van 6 maart 2017 ongegrond is.
10. Het college dient op na te melden wijze in de proceskosten te worden veroordeeld. Omdat het hoger beroep gegrond is, wordt het college veroordeeld in de proceskosten van het hoger beroep van [appellant]. Omdat het college met het besluit van 30 augustus 2017 geheel tegemoet is gekomen aan het beroep tegen het besluit van 11 april 2017, dient hiervoor een proceskostenveroordeling te worden uitgesproken. Het gaat om een vergoeding voor de kosten van het indienen van het beroepschrift tegen het besluit van 11 april 2017. Daarbij zal de Afdeling de wegingsfactor 0,5 hanteren.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
I. verklaart het hoger beroep gegrond;
II. vernietigt de uitspraak van de rechtbank Zeeland-West-Brabant van 13 februari 2018 in zaak nr. 17/3148, voor zover daarbij is nagelaten om een oordeel te geven over het beroep van [appellant] tegen het besluit van 11 april 2017;
III. bevestigt de uitspraak van de rechtbank voor het overige;
IV. verklaart het beroep tegen het besluit van 11 april 2017 niet-ontvankelijk;
V. veroordeelt het college van burgemeester en wethouders van Vlissingen tot vergoeding van bij [appellant] in verband met de behandeling van het hoger beroep en beroep opgekomen proceskosten tot een bedrag van € 768,00 (zegge: zevenhonderdachtenzestig euro), geheel toe te rekenen aan door een derde beroepsmatig verleende rechtsbijstand;
VI. gelast dat het college van burgemeester en wethouders van Vlissingen aan [appellant] het door hem betaalde griffierecht ten bedrage van € 253,00 (zegge: tweehonderddrieënvijftig euro) voor de behandeling van het hoger beroep vergoedt.
Aldus vastgesteld door mr. C.J. Borman, voorzitter, en mr. C.M. Wissels en mr. E.A. Minderhoud, leden, in tegenwoordigheid van mr. E.A. Binnema, griffier.
w.g. Borman
voorzitter
De griffier is verhinderd de uitspraak te ondertekenen.
Uitgesproken in het openbaar op 2 oktober 2019
589.
BIJLAGE
Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L281)
Artikel 2
In de zin van deze richtlijn wordt verstaan onder:
[…]
b) "verwerking van persoonsgegevens", hierna „verwerking" te noemen, elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procédés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
[…]
d) "voor de verwerking verantwoordelijke", de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of te zamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer het doel van en de middelen voor de verwerking worden vastgesteld bij nationale of communautaire wettelijke of bestuursrechtelijke bepalingen, kan in het nationale of communautaire recht worden bepaald wie de voor de verwerking verantwoordelijke is of volgens welke criteria deze wordt aangewezen;
[…]
Artikel 12 - Recht van toegang
De Lid-Staten waarborgen elke betrokkene het recht van de voor de verwerking verantwoordelijke te verkrijgen:
a) vrijelijk en zonder beperking, met redelijke tussenpozen en zonder bovenmatige vertraging of kosten:
- uitsluitsel omtrent het al dan niet bestaan van verwerkingen van hem betreffende gegevens, alsmede ten minste informatie over de doeleinden van deze verwerkingen, de categorieën gegevens waarop deze verwerkingen betrekking hebben en de ontvangers of categorieën ontvangers aan wie de gegevens worden verstrekt;
Wet bescherming persoonsgegevens, zoals die luidde ten tijde van belang
Artikel 1
"In deze wet en de daarop berustende bepalingen wordt verstaan onder:
[…]
b. verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
[…]
d. verantwoordelijke: de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
[…]."
Artikel 35
"1. De betrokkene heeft het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt. De verantwoordelijke deelt de betrokkene schriftelijk binnen vier weken mee of hem betreffende persoonsgegevens worden verwerkt.
2. Indien zodanige gegevens worden verwerkt, bevat de mededeling een volledig overzicht daarvan in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.
[…]"