Overtreding artikel 12 AVG maar geen boete

DPG Media B.V. heeft in januari 2022 een boete opgelegd gekregen van de Autoriteit Persoonsgegevens wegens overtreding van artikel 12 AVG. DPG vroeg betrokkenen die buiten de online inlogomgeving van DPG een inzageverzoek deden van hun persoonsgegevens, standaard om een kopie van hun identiteitsbewijs ter verificatie. DPG is in beroep gegaan bij de rechtbank. De rechtbank oordeelt dat er inderdaad sprake is van een overtreding van artikel 12, echter had de AP in dit geval niet mogen overgaan tot het opleggen van de boete.

Geschatte leestijd: 6 minuten

Strijd met artikel 12 AVG

Naar aanleiding van vijf klachten heeft de AP in 2019 aan DPG het verzoek gestuurd om informatie te geven over het beleid dat zij hanteert ten aanzien van verzoeken om inzage en wissing van persoonsgegevens. Op 7 oktober 2021 heeft de AP het “Onderzoeksrapport inzake het opvragen van een kopie ID bij verzoeken om inzage of verwijdering bij DPG Media Magazines B.V., voorheen Sanoma Media Netherlands B.V.” aan DPG gestuurd. In dat rapport heeft de AP geconcludeerd dat DPG met haar beleid het recht op inzage en wissing heeft belemmerd en daarmee onnodige drempels had opgeworpen voor het inzetten van deze rechten. De AP is van oordeel dat er hiermee sprake is van strijd met art. 12 lid 2 AVG. De AP heeft vervolgens een bestuurlijke boete van € 525.000 opgelegd aan DPG.

Spanningsveld tussen faciliteren van het inzagerecht en de identificatieplicht.

Wanneer er een inzageverzoek per e-mail werd ingediend, werd door DPG een e-mail teruggestuurd met het verzoek om een kopie van een identiteitsbewijs te verstrekken. Een verzoek werd pas in behandeling genomen, nadat een kopie van een identiteitsbewijs was verstrekt. In het privacy statement van DPG stond destijds wel vermeld dat men een afgeschermde kopie (het BSN-nummer en foto onherkenbaar) kon verstrekken. Deze mogelijkheid noemde DPG echter niet nogmaals expliciet in de gevallen dat zij een verzoeker vroeg om een kopie van het identiteitsbewijs te sturen.

De rechtbank Amsterdam stelt vast dat er een spanningsveld bestaat met betrekking tot het “faciliteren van het inzagerecht” en de “identificatieplicht”. Op grond van de AVG, zo motiveert de rechtbank, is DPG immers verplicht aan verzoekers inzage te geven in de van hen verwerkte persoonsgegevens. Hierbij mogen geen onnodige belemmeringen worden opgeworpen. Gelijktijdig is echter DPG verplicht verzoekers te identificeren, om te voorkomen dat persoonsgegevens aan verkeerde persoon worden verstrekt. Dit zou op haar beurt immers een datalek opleveren.

Wat omhelst dat “faciliteren” van art. 12 lid 2 AVG nu eigenlijk? De rechtbank kijkt hiervoor naar overweging 59 t/m 64 van de preambule van de AVG. De rechtbank maakt hieruit op dat “faciliteren” betekent dat een verwerkingsverantwoordelijke moet voorzien in een regeling die het mogelijk maakt om de rechten uit hoofde van de AVG, zoals het recht op inzage en wissing, uit te oefenen, met dien verstande dat geen sprake mag zijn van onnodige belemmeringen ten aanzien van de uitoefening van deze rechten.

Geen onredelijk middel

De rechtbank deelt het standpunt van DPG, dat een kopie van een identiteitsbewijs op zichzelf geen onredelijk middel is om een persoon te identificeren.

In de onderhavige gevallen vroeg DPG echter altijd om een kopie van het identiteitsbewijs terwijl het niet in alle gevallen over gevoelige persoonsgegevens ging. In een deel van de gevallen had het op een minder ingrijpende wijze gekund. Daarnaast bevat een identiteitsbewijs ook meer persoonsgegevens dan nodig om de verzoeker te identificeren, zoals een BSN-nummer een foto en een documentnummer. Dit is niet in overeenstemming met het beginsel van dataminimalisatie.

Naar oordeel van de rechtbank bood het beleid van DPG onvoldoende ruimte om te kunnen voldoen aan de vereisten van proportionaliteit en subsidiariteit. De rechtbank stelt vast dat er in de praktijk wel meer ruimte bestond wanneer verzoekers na het doen van het verzoek ertoe over gingen te klagen dat zij een kopie van hun identiteitsbewijs moesten verstrekken. Naar het oordeel van de rechtbank is dat echter te laat. De rechtbank concludeert dat het beleid van DPG niet in overeenstemming is met het bepaalde in art. 12 lid 2 AVG.

Geen boete door onvoldoende oog voor de omstandigheden

Op grond van art. 83 lid 5 AVG is de AP bevoegd een boete op te leggen bij een inbreuk van art. 12 AVG. Volgens vaste jurisprudentie, zo motiveert de rechtbank, moet een bestuursorgaan bij het toepassen van de bevoegdheid om een boete op te leggen de hoogte van de boete afstemmen op de ernst van de overtreding en de mate waarin deze aan de overtreder kan worden verweten. Daarbij moet rekening worden gehouden met de omstandigheden waaronder de overtreding is gepleegd.

De rechtbank is van oordeel dat de AP in dit geval niet zonder meer tot de oplegging van de boete had mogen komen. De rechtbank motiveert dat DPG bij het maken van het beleid een invulling gegeven heeft aan deze identificatieplicht. Dit om er zeker van te zijn dat de persoon die een verzoek doet daadwerkelijk de betrokkene is in de zin van de AVG. DPG is daarmee niet lichtzinnig omgegaan, maar heeft enkel een onjuiste inschatting gemaakt van het vereiste evenwicht tussen databescherming en het faciliteren van andere rechten uit de AVG. Van ernstig verwijtbaar handelen, zo stelt de rechtbank, kan in zoverre niet worden gesproken.

In haar besluit neemt de rechtbank tevens mee dat de AVG nog maar recent in werking was getreden in de periode waarin de overtredingen zich voordeden. De rechtbank overweegt dat de AP al in een eerder stadium het gesprek aan had kunnen gaan en de suggestie had kunnen doen om het beleid aan te passen. Zeker in de periode direct na de inwerkingtreding van de AVG had de AP ook een voorlichtende rol op zich genomen. Daarbij constateert de rechtbank ook nog dat het ging om een relatief beperkt aantal verzoeken en dat DPG haar beleid al uit eigen beweging had gewijzigd op het moment dat het concept-rapport van de AP verscheen.

De AP heeft naar oordeel van de rechtbank bij het opleggen van de boete onvoldoende oog gehad voor de omstandigheden. De rechtbank is van oordeel dat de AP niet tot oplegging van een boete had mogen komen.