ECLI:NL:RBDHA:2023:22168

RECHTBANK DEN HAAG Bestuursrecht zaaknummer: SGR 22/6772 uitspraak van de meervoudige kamer van 28 november 2023 in de zaak tussen [eiseres], uit [woonplaats] (België), eiseres (gemachtigden: mr. G.J.M.E. de Bont en mr. C.J.M. Perraud), en de minister van Financiën, verweerder (gemachtigden: mr. [naam 1] en mr. [naam 2]). Inleiding 1. In deze uitspraak beoordeelt de rechtbank het beroep van eiseres tegen de gedeeltelijke afwijzing van zijn aanvraag om inzage op grond van de Algemene Verordening Gegevensbescherming (hierna: AVG). 1.1. Verweerder heeft deze aanvraag met het besluit van 22 januari 2022 afgewezen. Met het bestreden besluit van 13 september 2022 op het bezwaar van eiseres is verweerder bij die afwijzing gebleven. 1.2. Verweerder heeft op het beroep gereageerd met een verweerschrift. 1.3. Eiseres heeft nadere stukken ingediend. 1.4. De rechtbank heeft het beroep op 10 oktober 2023 op zitting behandeld. Hieraan hebben deelgenomen: de gemachtigden van eiseres en de gemachtigden van verweerder. Waar gaat deze zaak over? 2. Naar eiseres is een strafrechtelijk onderzoek gaande waarvoor de FIOD informatie over eiseres van de Belastingdienst heeft verkregen. Eiseres heeft verweerder verzocht om inzage in al haar persoonsgegevens die de Belastingdienst over haar heeft verwerkt voorafgaand aan de verstrekking aan de FIOD. Eiseres heeft haar verzoek als volgt nader gepreciseerd:1. Eiseres verzoekt om een compleet overzicht van alle digitaal en op andere wijze over haar verwerkte gegevens gedurende de periode van 1 januari 2002 tot en met 31 december 2020; 2. Eiseres merkt daarbij nadrukkelijk op ook inzage te willen krijgen in interne emailcorrespondentie binnen de Belastingdienst alsook tussen de Belastingdienst en de FIOD, ook indien deze uitsluitend zouden zijn bedoeld voor intern overleg en beraad; 3. Eiseres wenst informatie te verkrijgen over de vraag of zij werd opgenomen in de Fraude Signalering Voorziening (hierna: FSV) en zo ja; welke redenen en persoonsgegeven(s) aan de registratie ten grondslag hebben gelegen; 4. Eiseres wenst inzicht te krijgen in de wijze waarop informatie waarin haar persoonsgegevens zijn opgenomen werd gedeeld met de FIOD, het Openbaar Ministerie (hierna: OM), de Kansspelautoriteit en buitenlandse belastingautoriteiten. 3. Verweerder heeft in het primaire besluit allereerst in algemene zin uiteengezet welke persoonsgegevens door de Belastingdienst worden verwerkt, waarom en in welk kader dit gebeurt, met wie deze gegevens worden gedeeld en hoe lang deze gegevens worden bewaard. Verweerder heeft daarbij te kennen gegeven dat de AVG in werking is getreden op 25 mei 2018 en dat de verwerking daarvoor plaatsvond op grond van de Wet bescherming persoonsgegevens (hierna: Wbp). Voorts heeft verweerder aan eiseres een overzicht verstrekt van aangetroffen persoonsgegevens op grond van een zoekslag naar de meest gangbare persoonsgegevens die de Belastingdienst verwerkt in de meest gangbare systemen en applicaties van de Belastingdienst. Eiseres komt niet voor in het FSV-systeem. Het verzoek van eiseres om inzage in de informatiedeling met betrekking tot de lopende strafzaak heeft verweerder afgewezen op grond van artikel 23, eerste lid, van de AVG, gelezen in samenhang met artikel 41, eerste lid, van de Uitvoeringswet AVG (hierna: UAVG). De beperking is volgens verweerder noodzakelijk voor de waarborging van de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen. Het algemeen belang van het strafrechtelijk onderzoek weegt voor verweerder zwaarder dan het belang van eiseres om haar recht op bescherming van haar persoonsgegevens uit te oefenen. Verweerder heeft ook gewezen op de geheimhoudingsbepaling van artikel 126bb, vijfde lid, van het Wetboek van Strafvordering (hierna: Sv). Verweerder heeft deze standpunten in het bestreden besluit gehandhaafd. Wat is de relevante wet- en regelgeving? 4. De relevante wet- en regelgeving is opgenomen in de bijlage, die deel uitmaakt van deze uitspraak. Wat vindt eiseres? 5. Eiseres betoogt dat verweerder ten onrechte niet alle persoonsgegevens bij de beoordeling heeft betrokken. Het is aannemelijk dat verweerder meer persoonsgegevens heeft verwerkt. De door verweerder in het overzicht opgenomen persoonsgegevens zouden immers niet leiden tot een strafrechtelijk onderzoek. Eiseres voert verder aan dat verweerder het begrip ‘persoonsgegevens’ te beperkt heeft uitgelegd. Het gaat om alle objectieve en subjectieve informatie over een persoon. Eiseres betoogt verder dat het overzicht dat verweerder heeft overgelegd niet voldoet aan de gestelde eisen. Het overzicht biedt onvoldoende context. Eiseres voert verder aan dat de door verweerder gegeven uitleg over de verwerking van gegevens te algemeen van aard is. Ook heeft verweerder ten onrechte een beroep gedaan op de beperking ten aanzien van het strafrechtelijk onderzoek. Bovendien heeft verweerder geen blijk gegeven van een belangenafweging voor de toepassing van de beperking en niet gemotiveerd waarom de beperking noodzakelijk en evenredig is. Eiseres heeft daarbij gesteld dat de informatiedeling met de FIOD onrechtmatig was. Wat is het oordeel van de rechtbank? Het begrip ‘persoonsgegevens’. 6. In artikel 4, aanhef en onder 1, van de AVG staat dat onder ‘persoonsgegevens’ alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon wordt verstaan. Als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon; 7. Het Hof van Justitie heeft in het arrest Nowak overwogen dat het gebruik van de woorden ‘alle informatie’ in de hiervoor genoemde definitie wijst op de bedoeling van de Uniewetgever om een ruime betekenis te geven aan dit begrip, dat zich potentieel uitstrekt tot elk soort informatie, zowel objectieve informatie als subjectieve informatie, in de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene betreft. Deze laatste voorwaarde is vervuld wanneer die informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde persoon.Het Hof van Justitie heeft in het arrest F.F. tegen Österreichische Datenschutzbehörde deze uitleg bevestigd en overwogen dat de ruime definitie van het begrip ‘persoonsgegevens’ dus niet alleen de door de verwerkingsverantwoordelijke verzamelde en bewaarde gegevens omvat, maar ook alle informatie die voortvloeit uit een verwerking van persoonsgegevens betreffende een geïdentificeerde of identificeerbare persoon, zoals de beoordeling van zijn solvabiliteit of betalingsbereidheid.8. Het voorgaande maakt dat het recht op inzage niet op voorhand zonder meer wordt geblokkeerd, omdat in interne stukken sprake zou (kunnen) zijn van vertrouwelijke (interne) correspondentie, stukken waarin persoonlijke gedachten en/of adviezen zijn verwoord die zijn opgesteld met het oog op intern overleg en beraad, dan wel interne besluitvorming. Voor zover verweerder heeft gewezen op een uitspraak van de rechtbank MiddenNederland waarin is overwogen dat het inzagerecht zich niet uitstrekt tot (delen van) interne notities die de persoonlijke gedachten van medewerkers van de verwerkingsverantwoordelijke bevatten en die uitsluitend bedoeld zijn voor intern overleg en beraad, overweegt de rechtbank dat voor dat oordeel is verwezen naar verouderde rechtspraak uit 2007 en 2011. De rechtbank volgt dan ook niet het standpunt van verweerder dat dergelijke gegevens niet hoeven te worden verstrekt. Is er sprake van volledige inzage in de verwerking van persoonsgegevens van eiseres? 9. Het is vaste rechtspraak van de Afdeling bestuursrechtspraak van de Raad van State (Afdeling) dat degene die stelt dat er meer persoonsgegevens moeten zijn, nadat de verwerkingsverantwoordelijke onderzoek naar die persoonsgegevens heeft gedaan en niet ongeloofwaardig heeft medegedeeld dat er niet meer persoonsgegevens zijn, aannemelijk moet maken dat er wel meer persoonsgegevens moeten zijn. 10. Verweerder heeft te kennen gegeven dat hij, gelet op het ruime verzoek van eiseres, heeft gezocht in de meest gangbare systemen en applicaties van de Belastingdienst. Op de zitting heeft verweerder te kennen gegeven ook in e-mails te hebben gezocht. Verweerder heeft daarbij uitgelegd dat alleen de belangrijkste emails op basis van de Archiefwet worden bewaard, maar dat de rest na zes maanden wordt vernietigd. In de nog beschikbare e-mails zijn geen gegevens aangetroffen, ook geen subjectieve gegevens. De gegevens die zijn aangetroffen zijn aan eiseres verstrekt. Gelet op het voorgaande is de rechtbank van oordeel dat niet is gebleken dat verweerder bij de zoekslag van een te beperkte uitleg van het begrip ‘persoonsgegeven’ is uitgegaan. Ook acht de rechtbank de mededeling van verweerder dat er niet meer persoonsgegevens zijn, niet ongeloofwaardig. Eiseres heeft onvoldoende onderbouwd dat er meer persoonsgegevens aanwezig zouden moeten zijn. De stelling van eiseres dat de door verweerder verstrekte algemene persoonsgegevens geen aanleiding zouden geven voor een strafrechtelijk onderzoek, leidt niet tot een ander oordeel. Verweerder heeft er reeds bij de hoorzitting in bezwaar op gewezen dat de AVG alleen ziet op natuurlijke personen en niet op gegevens van rechtspersonen. Ook de gegevens van de rechtspersonen zouden wellicht tot een strafrechtelijk onderzoek kunnen hebben geleid. Het is daarbij onbekend op basis van welke gegevens de FIOD het strafrechtelijk onderzoek is gestart. Voor zover eiseres onder verwijzing naar een uitspraak van de rechtbank Den Haag heeft gesteld dat verweerder ook gehouden was metadata te verstrekken, zoals gegevens over wanneer persoonsgegevens zijn geraadpleegd, gedeeld en bewerkt, overweegt de rechtbank als volgt. Volgens die uitspraak van de civiele kamer wordt met metadata de informatie als bedoeld in artikel 15, eerste lid, aanhef en onder a t/m h, van de AVG bedoeld. De door eiseres bedoelde informatie valt hier niet onder. Heeft verweerder kunnen volstaan met het aan eiseres verstrekte overzicht? 11. Het doel van het inzagerecht als bedoeld in artikel 15, eerste lid, van de AVG is het kennis kunnen nemen van de persoonsgegevens door de betrokkene die over hem worden verwerkt en om deze persoonsgegevens te kunnen controleren op de juistheid en de rechtmatige verwerking ervan. Het is vaste rechtspraak dat de verplichting een ‘kopie van de persoonsgegevens’ te verstrekken op grond van artikel 15, derde lid, van de AVG niet betekent dat een bestuursorgaan verplicht is een kopie te verstrekken van de documenten waarin die persoonsgegevens voorkomen. Een bestuursorgaan mag ook voor een andere vorm kiezen, mits met de gekozen wijze van verstrekking maar aan het doel van artikel 15, derde lid, van de AVG wordt voldaan. In het hiervoor genoemde arrest F.F. tegen Österreichische Datenschutzbehörde bevestigt het Hof van Justitie deze lijn. De betrokkene moet een getrouwe en begrijpelijke reproductie van alle persoonsgegevens krijgen. Het Hof licht daarbij toe dat dit kan betekenen dat een kopie van een volledig document noodzakelijk is, bijvoorbeeld omdat anders de context waarin de gegevens worden verwerkt onvoldoende duidelijk is. 12. Uit het voorgaande blijkt dat een kopie van een volledig document niet in elk geval noodzakelijk is en dat in gevallen dus ook met een overzicht kan worden volstaan. Gelet op de in het aan eiseres verstrekte overzicht opgenomen persoonsgegevens, de weergave daarbij in wat voor soort documenten die persoonsgegevens zijn aangetroffen en in welk kader deze documenten zijn opgesteld, maakt naar het oordeel van de rechtbank dat de context waarin deze gegevens zijn verwerkt voldoende duidelijk is. Ook valt niet in te zien dat de persoonsgegevens, zoals die zijn opgenomen in het overzicht, zonder verdere context niet op juistheid te controleren zouden zijn. Verweerder heeft in zoverre dan ook kunnen volstaan met het verstrekken van een overzicht van de over eiseres verwerkte persoonsgegevens. 13. De rechtbank heeft partijen voor de zitting gewezen op de uitspraak van de Afdeling van 13 september 2023 en daarbij aangegeven van partijen ter zitting te willen vernemen in hoeverre die uitspraak in deze zaak betekenis heeft. In deze uitspraak is onder meer overwogen dat er een e-mailbericht of brief van de FIOD moet zijn, waarmee het dossier is overgedragen aan het OM. Hierin zouden volgens de Afdeling persoonsgegevens moeten staan. In de hier voorliggende zaak zou er ook dergelijke brieven of e-mailberichten moeten zijn. Verweerder heeft ter zitting verklaard dat hij alles wat hij heeft gevonden aan eiseres heeft verstrekt. 14. Verweerder heeft naar het oordeel van de rechtbank kunnen volstaan met een weergave van de verwerkte persoonsgegevens. Verweerder heeft daarmee voldaan aan het verzoek van eiseres. Eiseres heeft verzocht om inzicht te krijgen in de wijze waarop informatie waarin haar persoonsgegevens zijn opgenomen, werd gedeeld met specifiek de FIOD, het OM, de Kansspelautoriteit en buitenlandse belastingautoriteiten. Eiseres richt zich in beroep alleen op de informatiedeling met de FIOD en het OM. De rechtbank stelt voorop dat de AVG niet is bedoeld om stukken uit een strafrechtelijk onderzoek te verkrijgen. Voorts heeft verweerder algemene informatie gegeven hoe en op grond van welke regelgeving persoonsgegevens met de FIOD worden gedeeld. Op zitting heeft verweerder verklaard dat hij alle persoonsgegevens die zijn aangetroffen aan eiseres heeft verstrekt, ongeacht of dit had gemoeten. De rechtbank begrijpt hieruit dat het beroep van verweerder op een geheimhoudingsplicht in verband met het tegen eiseres gevoerde strafrechtelijke onderzoek een secundair standpunt is. Nu verweerder alle persoonsgegevens heeft verstrekt, behoeven de gronden ten aanzien van een eventuele geheimhoudingsplicht geen nadere bespreking meer. Was de informatiedeling met de FIOD onrechtmatig? 15. De vraag of de informatiedeling met de FIOD al dan niet rechtmatig is geweest, valt naar het oordeel van de rechtbank buiten de omvang van dit geding en behoeft daarom geen verdere bespreking. De rechtbank verklaart het beroep ongegrond. Deze uitspraak is gedaan door mr. G.P. Kleijn, voorzitter, en mr. M.J.L. van der Waals en mr. A.J. Eertink, leden, in aanwezigheid van mr. A. Nobel, griffier. De beslissing is uitgesproken in het openbaar op 28 november 2023. griffier voorzitter Een afschrift van deze uitspraak is verzonden aan partijen op: Informatie over hoger beroep Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen. BIJLAGE Algemene Verordening Gegevensbescherming (AVG). Artikel 4 DefinitiesVoor de toepassing van deze verordening wordt verstaan onder: 1) “persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon; 2) “verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens; Artikel 5 Beginselen inzake verwerking van persoonsgegevens 1. Persoonsgegevens moeten: a. a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie”); b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”); c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”); d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren („juistheid”); e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen („opslagbeperking”); f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging („integriteit en vertrouwelijkheid”). 2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”). Artikel 15 Recht van inzage van de betrokkene 1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie: a. a) de verwerkingsdoeleinden; b) de betrokken categorieën van persoonsgegevens; c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties; d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken; f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit; g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens; h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. 2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte. 3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt. 4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen. Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming). De Fiscale Inlichtingen en Opsporingsdienst. Arrest van 20 december 2017, C-434/16, ECLI:EU:C:2017:994, ro. 34 en 35. Arrest van 4 mei 2023, C-487/21, ECLI:EU:C:2023:369 (F.F. tegen Österreichische Datenschutzbehörde), ro. 26. Zie de uitspraak van 17 september 2019 van het Gerechtshof Den Haag, ECLI:NL:GHDHA:2019:2398, ro. 4.21 en 4.22. Uitspraak van 24 maart 2021, ECLI:NL:RBMNE:2021:1354, ro. 16. Het beroep is ongegrond. Eiseres krijgt daarom het griffierecht niet terug. Zij krijgt ook geen vergoeding van haar proceskosten.