blogs

blogs

Ruby Nefkens, 24 januari 2023

Het inzageverzoek: vermelden van identiteit organisatie bij verkoop van persoonsgegevens verplicht

Het Hof van Justitie van de Europese Unie heeft op 12 januari 2023 geoordeeld dat EU-burgers het recht hebben om te weten aan wie hun persoonsgegevens worden verstrekt of doorverkocht. Tot die uitspraak leek het alsof alleen het vermelden van de categorieën van organisaties aan wie de persoonsgegevens worden verstrekt voldoende was om te vermelden bij een verzoek tot inzage. Bijvoorbeeld “aan onze boekhouder”, “aan ons ICT-bedrijf”, etc. Hier is met de uitspraak van het hof dus verandering in gekomen. Dit is het gevolg van een aantal rechtszaken die in Oostenrijk worden gevoerd. Wat speelt er precies?

Een inwoner van Oostenrijk vraagt aan de Österreichische Post, de belangrijkste exploitant van post en logistieke diensten in Oostenrijk, aan wie zijn persoonsgegevens worden verstrekt. Hierbij beroept de Oostenrijker zich op de AVG. In de AVG staat namelijk een bepaling opgenomen die personen het recht geeft een ‘inzageverzoek’ te doen bij verwerkingsverantwoordelijken die hun persoonsgegevens verwerken. De Österreichische Post is zo’n partij. Door een beroep te doen op het inzagerecht kunnen personen informatie krijgen over welke persoonsgegevens van hen worden verwerkt, hoe die verkregen zijn en aan wie die persoonsgegevens worden verstrekt.

Österreichische Post antwoordt dat zij de persoonsgegevens voor marketingdoeleinden verstrekt aan handelspartners. De Oostenrijker vindt dit een te onduidelijk antwoord en stapt naar de rechter.

Uiteindelijk komt de zaak voor hoogste Oostenrijkse rechter en deze besluit om hierover een vraag voor te stellen aan het Hof van Justitie van de Europese Unie. Het hof beslist namelijk over de uitleg van regels van de Europese Unie, wanneer deze niet duidelijk zijn en rechters hier vragen over hebben.

Het hof antwoordt dat organisaties, wanneer zij verwerkingsverantwoordelijke zijn, verplicht zijn de daadwerkelijke identiteit van partijen bekend te maken waaraan persoonsgegevens worden verstrekt, mochten burgers hier met een inzageverzoek om vragen. Alleen wanneer het (nog) niet mogelijk is om de ontvangers van persoonsgegevens te identificeren, is het voldoende dat aan de verzoeker enkel categorieën van ontvangers worden vermeld. Let er dus op bij het krijgen van een inzageverzoek, dat enkel de categorieën van organisaties noemen niet voldoende is wanneer de identiteit van de organisaties bekend is.

Ben je benieuwd aan wie een organisatie jouw persoonsgegevens doorstuurt of verkoopt? De Autoriteit Persoonsgegevens heeft deze voorbeeldbrief van een inzageverzoek op haar website staan.

Heb je vragen over privacy of de bescherming van persoonsgegevens?

Het VdS privacy team helpt je graag.

Ruby Nefkens
  nefkens
  +31 6 43 36 80 63 

 

Contact opnemen met ons?
 

  +31 (0)20 607 79 79
 

  mail