De informatieplicht
Eerst kort nog aanvullende uitleg over de informatieplicht. De informatieplicht uit de AVG kan op twee manieren aan de orde zijn:
- Informatie wordt rechtstreeks bij de betrokkene verzameld (artikel 13 AVG)
- Informatie over de betrokkene wordt verzameld via een derde (artikel 14 AVG)
In de zaak van de rechtbank Amsterdam ging het om de tweede situatie (artikel 14 AVG). Daar speelde namelijk dat iemand gevolgd werd door veiligheidsdiensten in Nederland. Over die persoon werd informatie uitgewisseld met buitenlandse veiligheidsdiensten. Volgens de betrokken persoon betekende dit dat hij daarover steeds actief geïnformeerd moest worden (op grond van artikel 14 van de AVG). De rechtbank ging daar niet in mee.
Rechtbank: actief informeren niet nodig
Volgens de rechtbank volgt uit de AVG namelijk geen verplichting om iemand steeds actief te informeren over de gegevensverwerking, als de informatie via een derde verkregen is. Een belangrijk argument daarvoor is volgens de rechtbank dat de AVG ‘uitgaat van informatie die wordt verstrekt op basis van een verzoek’. Ter onderbouwing wijst de rechtbank vervolgens op artikel 12 (lid 2, 3 en 5) en artikel 15 en verder van de AVG.
Onderbouwing rechtbank niet goed te volgen
De onderbouwing die de rechtbank gebruikt is naar mijn mening niet sterk. Relevant is in deze zaak namelijk artikel 14 van de AVG. Uit dat artikel volgt wat mij betreft vrij duidelijk dat het daar niet gaat om informatie die op basis van een verzoek verstrekt wordt. In het derde lid van dat artikel staat namelijk dat de informatie aan de betrokkene ‘binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens’ moet worden verstrekt. Dus niet het moment van een eventueel informatieverzoek is hier bepalend voor het verstrekken van de informatie, maar het moment dat de persoonsgegevens via de derde verkregen zijn. Dat duidt naar mijn mening juist wél op een actieve informatieplicht.
Dus wel altijd actief informeren?
Op basis van dat artikel (artikel 14 AVG) zou het uitgangspunt naar mijn mening daarom moeten zijn dat de overheid actief moet informeren over gegevensverwerking. Als een gemeente dus informatie verzamelt over iemand, dan moet de gemeente diegene dit normaal gesproken uit eigen beweging laten weten. Maar daarop zijn natuurlijk uitzonderingen. Van zo’n uitzondering is bijvoorbeeld sprake als de betrokkene al volledig op de hoogte is van het feit dat zijn gegevens verwerkt worden. Een andere reden om niet te informeren kan spelen als het verstrekken van de informatie heel veel inspanning kost of zelfs onmogelijk is.
In een tijd waarin het vertrouwen in de overheid al vrij laag is, is het verstandig als de overheid niet alleen op basis van een verzoek informatie verstrekt.
Transparantie
Waarom is het van belang om actief te informeren over gegevensverwerking? Wat mij betreft spelen daarbij de ‘beginselen van gegevensverwerking’ een grote rol. Een belangrijk uitgangspunt is dat persoonsgegevens worden verwerkt op een manier die ’ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is’ (zie artikel 5 lid 1 onderdeel a AVG). Gelet op dat uitgangspunt is het naar mijn idee niet logisch om ervan uit te gaan dat van een actieve informatieplicht geen sprake is. Uit eigen beweging informatie verstrekken over het feit dat iemands persoonsgegevens worden verwerkt lijkt me namelijk juist erg transparant.
In een tijd waarin het vertrouwen in de overheid al vrij laag is, is het ook wat dat betreft verstandig als de overheid niet alleen op basis van een verzoek informatie verstrekt. Door duidelijkheid te bieden over de gegevensverwerking schep je een basis voor vertrouwen. Is er dus geen reden om af te zien van het informeren van de betrokkene, dan zou de overheid (en dus ook de gemeente) altijd uit eigen beweging de informatie moeten verstrekken.
Meer weten
Bekijk ook de handige Infographic ‘Werken in overeenstemming met de AVG‘.