AP: geld vragen voor inzage persoonsgegevens niet toegestaan

Onlangs werd bekend dat de AP een boete ter hoogte van 830.000 euro heeft opgelegd aan Stichting Bureau Krediet Registratie (BKR). Volgens de AP vroeg BKR in strijd met de Algemene Verordening Gegevensbescherming (AVG) geld voor het inzien van persoonsgegevens. Tevens konden betrokkenen maar één keer per jaar (per post) zonder kosten hun gegevens inzien. Na het onderzoek heeft BKR de werkwijze aangepast. BKR is in beroep gegaan bij de rechter tegen het besluit van de AP.

De AP heeft na 25 mei 2018 diverse klachten ontvangen van betrokkenen die stellen dat BKR drempels opwerpt bij het uitoefenen van het inzagerecht van deze betrokkenen. Tussen 25 mei 2018 en 12 maart 2019 heeft BKR volgens de AP namelijk de AVG overtreden door het recht van inzage (opgenomen in artikel 15 van de AVG) niet te faciliteren.

Waar bestaat het recht op inzage uit?

Ingevolge artikel 15, eerste lid, van de AVG heeft de betrokkene het recht om, in dit geval van BKR, uitsluitsel te verkrijgen over het al dan niet verwerken van zijn of haar persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen in die persoonsgegevens en in aanvullende informatie, zoals de verwerkingsdoeleinden.

Daarnaast moeten informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal worden gebruikt. Inzage in persoonsgegevens zorgt er onder andere voor dat de betrokkene kan controleren of de verwerking rechtmatig is.

In overweging 63 van de AVG staat verder dat de betrokkene het recht moet hebben om de persoonsgegevens die over hem of haar zijn verzameld in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen.

Hoe was het recht op inzage bij BKR gewaarborgd?

Uit de feiten opgenomen in het besluit van de AP volgt dat BKR actief aan betrokkenen het beleid heeft uitgedragen dat betrokkenen per post het recht hebben om maximaal één keer per jaar kosteloos alle persoonsgegevens in te zien.

De AP is van oordeel dat BKR met het uitdragen van dit beleid het inzagerecht van de betrokkene belemmert. Volgens de AP zorgt dit beleid van BKR voor een drempel. BKR dient het recht op inzage te faciliteren en juist niet te bemoeilijken door met het uitdragen van dit beleid betrokkenen op voorhand te ontmoedigen het recht op inzage uit te oefenen, aldus de AP.

De conclusie van de AP is dat BKR doordat het in het beleid stelt dat de betrokkene één keer per jaar per post een verzoek tot inzage kan doen, het recht op inzage hiermee niet faciliteert.

Persbericht Stichting BKR

BKR heeft een persbericht geplaatst waarin de bestuursvoorzitter van BKR stelt een boete opgelegd te hebben gekregen zonder de privacy te hebben geschonden. De bestuursvoorzitter licht toe in de veronderstelling te zijn geweest dat de wetgeving altijd door BKR werd nageleefd. Volgens hem hebben de consumenten vanaf de invoering van de AVG altijd binnen de wettelijke termijn kosteloos inzage gekregen in hun gegevens. Juist vanuit privacyoverwegingen heeft BKR er de voorkeur aan gegeven om de inzage initieel schriftelijk per post af te handelen om zo te voorkomen dat gegevens in verkeerde handen zouden vallen, aldus de bestuursvoorzitter. Tot slot geeft de bestuursvoorzitter aan dat op de website van BKR vermeld stond dat een consument één keer per jaar gratis inzage kon aanvragen, maar in de praktijk is daar volgens BKR ruimhartig mee omgegaan.