Uitspraak
202306121/1/A3.
Datum uitspraak: 16 juli 2025
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op het hoger beroep van:
de minister voor Rechtsbescherming (thans: de staatssecretaris voor Rechtsbescherming),
appellant,
tegen de uitspraak van de rechtbank Amsterdam van 7 augustus 2023 in zaak nr. 22/4209 in het geding tussen:
[wederpartij]
en
de minister.
Procesverloop
Bij besluit van 9 februari 2022 heeft de minister een verzoek van [wederpartij] om inzage in haar persoonsgegevens gedeeltelijk toegewezen.
Bij besluit van 20 juli 2022, aangevuld op 9 juni 2023, heeft de minister het door [wederpartij] daartegen gemaakte bezwaar niet-ontvankelijk verklaard.
Bij uitspraak van 7 augustus 2023 heeft de rechtbank het door [wederpartij] daartegen ingestelde beroep gegrond verklaard, dat besluit vernietigd en de minister opgedragen een nieuw besluit te nemen op het bezwaar.
Tegen deze uitspraak heeft de minister hoger beroep ingesteld.
Bij besluit van 9 februari 2024 heeft de minister, ter uitvoering van de uitspraak van de rechtbank, het bezwaar van [wederpartij] gedeeltelijk gegrond verklaard en het besluit van 9 februari 2022 gedeeltelijk herroepen.
De Afdeling heeft de zaak ter zitting behandeld op 16 april 2025, waar de minister, vertegenwoordigd door mr. M.R. Vennegoor en drs. L.R.L. Poffé, is verschenen.
Overwegingen
Wettelijk kader
1. Het wettelijk kader is opgenomen in de bijlage die deel uitmaakt van deze uitspraak.
Achtergrond
2. In 2019 heeft het Verwey-Jonker Instituut (hierna: VJI) in opdracht van het ministerie van Justitie en Veiligheid (hierna: het ministerie) onderzoek gedaan naar het binnenlandse adoptieproces van 1956 tot en met 1984 (hierna: het onderzoek). In het kader van het onderzoek werd het Aanmeldpunt afstand en adoptie (hierna: het Aanmeldpunt) opgericht. Het Aanmeldpunt was bedoeld om afstandsmoeders en -vaders, geadopteerden, adoptieouders en hulpverleners die hun verhaal wilden doen, te werven voor het onderzoek. Van de gesprekken met mensen die zich hadden aangemeld voor deelname aan het onderzoek zijn aanmeldverslagen opgemaakt door de instantie Fiom.
3. Fiom heeft de aanmeldverslagen niet alleen verstuurd naar het VJI, maar ook naar het ministerie. Daar zijn de verslagen opgeslagen op de algemene netwerkschijf van het Directoraat-Generaal Straffen en Bescherming, een onderdeel van het ministerie. Van 30 september 2019 tot en met 3 juni 2020 waren de verslagen toegankelijk voor iedereen die toegang had tot de algemene netwerkschijf. Op 2 juni 2020 werd vastgesteld dat er geen rechtsgrondslag voor het ministerie was om de aanmeldverslagen te verwerken en is een melding gedaan van een datalek bij de Autoriteit Persoonsgegevens. Vervolgens zijn de aanmeldverslagen verplaatst naar een beveiligde map die alleen toegankelijk was voor een beperkt aantal medewerkers binnen het projectteam Binnenlandse afstand en adoptie.
4. Op 9 november 2021 heeft de minister besloten het onderzoek van het VJI stop te zetten. Als gevolg daarvan moesten alle persoonsgegevens van aanmelders voor het onderzoek vernietigd worden. Aan aanmelders werd de kans gegeven om hun aanmeldverslagen te ontvangen voordat deze zouden worden vernietigd.
Besluitvorming
5. [wederpartij] heeft de minister op grond van artikel 15 van de Algemene Verordening Gegevensbescherming (hierna: de AVG) verzocht om inzage in haar persoonsgegevens die zijn verwerkt in het kader van het onderzoek. Zij heeft verzocht om 1) een kopie van haar aanmeldverslag, 2) een lijst van personen die toegang hebben gehad tot haar aanmeldverslag en contactgegevens en deze verwerkt hebben, en 3) een kopie van het verwerkingsregister bij het ministerie van Justitie en Veiligheid betreffende de verwerking/bewaring van aanmeldverslagen en contactgegevens in het algemeen.
6. Bij besluit van 9 februari 2022 heeft de minister het verzoek voor wat betreft het eerste onderdeel toegewezen en voor het overige afgewezen. De minister heeft [wederpartij] ter verificatie van haar identiteit verzocht om een legitimatiebewijs, waarna inzage zou worden verstrekt in haar aanmeldverslag. [wederpartij] weigerde een legitimatiebewijs te verstrekken. Op 16 maart 2022 zijn de aanmeldverslagen verwijderd in het kader van de vernietigingsprocedure. Bij besluit van 20 juli 2022, aangevuld op 9 juni 2023, heeft de minister het bezwaar van [wederpartij] niet-ontvankelijk verklaard. De rechtbank heeft dit besluit vernietigd en de minister opgedragen een nieuw besluit te nemen.
Het hoger beroep
Omvang geding
7. Het hoger beroep van de minister richt zich alleen tegen de uitspraak van de rechtbank voor zover daarin is overwogen dat [wederpartij] op grond van artikel 15 van de AVG recht heeft op inzage in de identiteit van individuele medewerkers die haar persoonsgegevens hebben verwerkt. De minister is in hoger beroep niet opgekomen tegen het oordeel van de rechtbank dat een nieuw besluit moest worden genomen.
Gronden van het hoger beroep
8. Volgens de minister volgt uit recente jurisprudentie van het Hof van Justitie van de Europese Unie (hierna: het Hof) dat hij de identiteit van de betreffende medewerkers niet hoeft te delen. De minister verwijst naar de uitspraken van het Hof van 12 januari 2023, C-154/21, ECLI:EU:C:2023, Österreichische Post AG en van 22 juni 2023, C-579/21, ECLI:EU:C:2023:501, Pankki S. Volgens de minister volgt uit die uitspraken dat de medewerkers niet kunnen worden beschouwd als ontvangers in de zin van artikel 15, eerste lid, aanhef en onder c, van de AVG, omdat zij persoonsgegevens hebben verwerkt onder het gezag en overeenkomstig de instructies van het ministerie. Daarnaast is het verstrekken van informatie over de identiteit van de medewerkers in kwestie ook niet nodig voor het controleren van de rechtmatigheid van de verwerking, wat het doel is van het inzagerecht. Tot slot zou het verstrekken van informatie over de identiteit van de individuele medewerkers afbreuk doen aan het recht op privacy van die medewerkers en onevenredig zijn.
Beoordeling
8.1. In hoger beroep is gebleken dat niet is te achterhalen of er in de periode tot en met 3 juni 2020 medewerkers zijn geweest die zich toegang hebben verschaft tot de gegevens op de algemene netwerkschijf, en zo ja, wie. Op de zitting bij de Afdeling heeft de minister toegelicht dat er van die periode geen logginggegevens zijn. Het is voor de minister dus niet mogelijk inzage te geven in de identiteit van medewerkers die de gegevens in die periode hebben ingezien. [wederpartij] heeft ook niet aannemelijk kunnen maken dat wel achterhaald kan worden wie de gegevens hebben ingezien. De Afdeling beperkt zich daarom tot de beoordeling van de vraag of de minister inzage moet geven in de identiteit van de medewerkers die vanaf 3 juni 2020 toegang hebben gehad tot de gegevens van [wederpartij].
8.2. Het Hof heeft in zijn hiervoor genoemde arrest van 22 juni 2023, punt 73, overwogen dat uit artikel 15, eerste lid, onder c, van de AVG, een recht volgt om van de verwerkingsverantwoordelijke informatie te ontvangen met betrekking tot de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn verstrekt. Werknemers van de verwerkingsverantwoordelijke kunnen echter niet worden beschouwd als "ontvangers" in de zin van artikel 15, eerste lid, onder c, van de AVG, als zij persoonsgegevens verwerken onder het gezag van die verwerkingsverantwoordelijke en overeenkomstig zijn instructies. Verder heeft het Hof overwogen, in punt 83 van dat arrest, dat artikel 15, eerste lid, van de AVG, niet voorziet in een recht op informatie over de identiteit van de werknemers van de verwerkingsverantwoordelijke die onder zijn gezag en overeenkomstig zijn instructies persoonsgegevens hebben verwerkt, tenzij die informatie onontbeerlijk is om de betrokkene in staat te stellen de hem bij de AVG verleende rechten daadwerkelijk uit te oefenen en mits rekening wordt gehouden met de rechten en vrijheden van die werknemers.
8.3. De minister heeft terecht aangevoerd dat de individuele medewerkers die de persoonsgegevens van [wederpartij] hebben verwerkt niet zijn aan te merken als ontvangers in de zin van artikel 15, eerste lid, onder c, van de AVG, omdat zij de persoonsgegevens hebben verwerkt onder het gezag en overeenkomstig de instructies van de verwerkingsverantwoordelijke, het ministerie.
De minister heeft toegelicht dat het ministerie op 2 juni 2020 ontdekte dat de aanmeldverslagen zonder rechtsgrondslag werden verwerkt en er sprake was van een datalek. De aanmeldverslagen zijn vervolgens overgebracht naar een beveiligde omgeving, waar slechts een beperkt aantal medewerkers toegang toe had. De minister heeft op de zitting bij de Afdeling toegelicht dat het ging om vijf medewerkers die vanaf 3 juni 2020 toegang hadden tot de verslagen: de projectleider, twee medewerkers van het team Binnenlandse afstand en adoptie in het kader van de bewaring en twee medewerkers die verantwoordelijk waren voor de vernietiging van de verslagen. Het overplaatsen van de aanmeldverslagen naar de beveiligde map is gebeurd onder het gezag en in overeenstemming met de instructies van het ministerie. Daarna hebben de betreffende medewerkers op verzoek inzage verleend aan de aanmelders in hun eigen aanmeldverslag. Ook dat gebeurde onder het gezag en volgens de instructies van het ministerie. Tenslotte is voor de vernietiging van de aanmeldverslagen een protocol opgesteld, dat vervolgens is uitgevoerd door de betreffende medewerkers. De vernietiging van de aanmeldverslagen is wederom op instructie en onder het gezag van het ministerie gebeurd. Nu de individuele medewerkers niet zijn aan te merken als ontvangers in de zin van de AVG, heeft [wederpartij] op grond van artikel 15 van de AVG geen recht op inzage in hun identiteit, tenzij dit noodzakelijk is om de haar bij de AVG verleende rechten uit te oefenen. Dat laatste is naar het oordeel van de Afdeling niet het geval. Ingevolge artikel 82 van de AVG heeft eenieder die schade heeft geleden door een inbreuk op de AVG, het recht op schadevergoeding van de verwerkingsverantwoordelijke of de verwerker voor de geleden schade. Voor een eventueel recht op schadevergoeding is het niet noodzakelijk om de identiteit van de betreffende medewerkers te weten. Voldoende is om te weten wie de verwerkingsverantwoordelijke is en hoeveel medewerkers verwerkingshandelingen hebben verricht. [wederpartij] heeft op grond van artikel 15, eerste lid, van de AVG dus geen recht op inzage in de identiteit van de individuele medewerkers. De rechtbank heeft dit miskend.
8.4. Het betoog slaagt alleen al hierom. Wat de minister voor het overige heeft aangevoerd behoeft geen bespreking meer.
Conclusie
9. Het hoger beroep is gegrond. De uitspraak van de rechtbank moet worden vernietigd voor zover daarin is geoordeeld dat de minister met het nieuwe besluit inzage moet geven in de identiteit van de individuele medewerkers die de persoonsgegevens hebben verwerkt.
Beroep van rechtswege
10. De minister heeft ter uitvoering van de uitspraak van de rechtbank een nieuw besluit genomen op 9 februari 2024. De minister heeft het bezwaar van [wederpartij] gegrond verklaard ten aanzien van de inzageverlening op alle punten, behalve de inzage in de identiteit van de individuele medewerkers. Dit besluit wordt, gelet op artikel 6:24 van de Algemene wet bestuursrecht (hierna: Awb) gelezen in samenhang met artikel 6:19, eerste lid, van de Awb, van rechtswege geacht onderwerp te zijn van dit geding.
10.1. [wederpartij] heeft geen gronden aangevoerd tegen het besluit van 9 februari 2024. Het van rechtswege ontstane beroep van [wederpartij] tegen het besluit is daarom ongegrond.
Slotsom
11. Het hoger beroep van de minister is gegrond. Het beroep van [wederpartij] tegen het besluit van 9 februari 2024 is ongegrond.
12. De minister hoeft geen proceskosten te vergoeden.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
I. verklaart het hoger beroep van de minister voor Rechtsbescherming gegrond;
II. vernietigt de uitspraak van de rechtbank voor zover de rechtbank heeft bepaald dat de minister met het nieuwe besluit inzage moet geven in de identiteit van de individuele medewerkers die de persoonsgegevens hebben verwerkt;
III. verklaart het beroep van [wederpartij] tegen het besluit van 9 februari 2024 ongegrond.
Aldus vastgesteld door mr. W. den Ouden, voorzitter, en mr. J. Hoekstra en mr. A.B. Blomberg, leden, in tegenwoordigheid van mr. A.E. Kamperman, griffier.
w.g. Den Ouden
voorzitter
w.g. Kamperman
griffier
Uitgesproken in het openbaar op 16 juli 2025
1000
BIJLAGE
Algemene Verordening Gegevensbescherming
Artikel 4
Definities
Voor de toepassing van deze verordening wordt verstaan onder:
9) „ontvanger": een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan wie/waaraan de persoonsgegevens worden verstrekt. Overheidsinstanties die mogelijk persoonsgegevens ontvangen in het kader van een bijzonder onderzoek overeenkomstig het Unierecht of het lidstatelijke recht gelden echter niet als ontvangers; de verwerking van die gegevens door die overheidsinstanties strookt met de gegevensbeschermingsregels die op het betreffende verwerkingsdoel van toepassing zijn;
Artikel 15
Recht van inzage van de betrokkene
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;