ECLI:NL:RBNHO:2021:8514

RECHTBANK NOORD-HOLLAND Zittingsplaats Haarlem Bestuursrecht zaaknummer: HAA 20/3831 uitspraak van de enkelvoudige kamer van 22 september 2021 in de zaak tussen [eiseres] , te [woonplaats] , eiseres (gemachtigde: mr. E. Aerts), en de Raad van Bestuur van het Uitvoeringsinstituut werknemersverzekeringen, verweerder (gemachtigde: mr. K. Ait Moha). In het besluit van 18 november 2019 (primair besluit) heeft verweerder het verzoek van eiseres om verwijdering van telefoonnotities afgewezen en verweerder heeft uitgelegd waarom er informatie wordt uitgewisseld tussen de verschillende afdelingen van het UWV. In het besluit van 14 juli 2020 (bestreden besluit) heeft verweerder het bezwaar van eiseres tegen het primaire besluit wat betreft de telefoonnotities, onder aanpassing van de motivering, ongegrond verklaard en het bezwaar wat betreft de interne gegevensuitwisseling niet-ontvankelijk verklaard. Eiseres heeft tegen het bestreden besluit beroep ingesteld. Verweerder heeft een verweerschrift ingediend. De rechtbank heeft het beroep op 11 augustus 2021 op zitting behandeld. Eiseres is verschenen, bijgestaan door haar gemachtigde. Verweerder heeft zich laten vertegenwoordigen door zijn gemachtigde. De rechtbank verklaart het beroep ongegrond. Deze uitspraak is gedaan door mr. M.H. Affourtit-Kramer, rechter, in aanwezigheid van mr. L.E. Hesselink, griffier. De uitspraak is uitgesproken in het openbaar op 22 september 2021. griffier rechter Een afschrift van deze uitspraak is verzonden aan partijen op: Bent u het niet eens met deze uitspraak? Als u het niet eens bent met deze uitspraak, kunt u een brief sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin u uitlegt waarom u het er niet mee eens bent. Dit heet een beroepschrift. U moet dit beroepschrift indienen binnen 6 weken na de dag waarop deze uitspraak is verzonden. U ziet deze datum hierboven. Bijlage Algemene verordening gegevensbescherming Artikel 5 luidt als volgt: 1. Persoonsgegevens moeten: worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‘rechtmatigheid, behoorlijkheid en transparantie’); voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (‘doelbinding’); toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‘minimale gegevensverwerking’); juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren (‘juistheid’); worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen (‘opslagbeperking’) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (‘integriteit en vertrouwelijkheid’). 2 De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‘verantwoordingsplicht’). Artikel 6 luidt, voor zover van belang, als volgt: 1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; e verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken. (…) Artikel 12 luidt, voor zover van belang, als volgt: 1. De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is. (…) Artikel 15 luidt, voor zover van belang, als volgt: 1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van die volgende informatie: de verwerkingsdoeleinden; de betrokken categorieën van persoonsgegevens; de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties; indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken; dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit; wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens; et bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en tenminste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. (…) Artikel 17 luidt, voor zover van belang, als volgt: 1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is: de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt; de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking; de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2; e persoonsgegevens zijn onrechtmatig verwerkt; de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust; de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1. (…) 3 De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is: (…) d. met het oog op archivering in het algemeen belang, (…) overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen. Artikel 32 luidt, voor zover van belang, als volgt: 1. Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten: de pseudonimisering en versleuteling van persoonsgegevens; het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen; het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen; een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking. Uitvoeringswet Algemene verordening gegevensbescherming Artikel 34 luidt als volgt: Een schriftelijke beslissing op een verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening wordt genomen binnen de in artikel 12, derde lid, van de verordening genoemde termijnen en geldt, voor zover deze is genomen door een bestuursorgaan, als een besluit in de zin van de Algemene wet bestuursrecht. Artikel 45 luidt als volgt: 1. Bij de verwerking van persoonsgegevens die deel uitmaken van archiefbescheiden als bedoeld in artikel 1, onderdeel c, van de Archiefwet 1995, die berusten in een archiefbewaarplaats als bedoeld in artikel 1, onderdeel f, van die wet, zijn de artikelen 15, 16, 18, eerste lid, onderdeel a, en 20 van de verordening niet van toepassing. (…) Archiefwet Artikel 3 luidt als volgt: De overheidsorganen zijn verplicht de onder hen berustende archiefbescheiden in goede, geordende en toegankelijke staat te brengen en te bewaren, alsmede zorg te dragen voor de vernietiging van de daarvoor in aanmerking komende archiefbescheiden. Artikel 5 luidt, voor zover van belang, als volgt: 1. De zorgdrager is verplicht tot het ontwerpen van selectielijsten waarin tenminste wordt aangegeven welke archiefbescheiden voor vernietiging in aanmerking komen. 2 De lijsten worden vastgesteld, voor zover het betreft: (…) b. archiefbescheiden van de ministeries: door Onze minister en Onze minister wie het mede aangaat; c. archiefbescheiden van andere overheidsorganen: door Onze minister. (…) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. Zie de uitspraak van de Afdeling van 12 mei 2021, met ECLI:NL:RVS:2021:1028. Zie ook de uitspraak van de Afdeling van 12 mei 2021, ECLI:NL:RVS:2021:1028. 1. De aanloop naar het primaire besluit is atypisch geweest. Eiseres heeft verweerder in meerdere brieven en e-mails verzocht om informatie en duidelijkheid omtrent de informatieverwerking en -stromen. Deze brieven en e-mails van de zijde van eiseres hebben geleid tot het besluit van 18 november 2019 te nemen. Eiseres kan zich niet verenigen met het standpunt van verweerder dat de telefoonnotities niet worden verwijderd en kan zich evenmin erin vinden dat er tussen de afdelingen van het UWV informatie over eiseres en persoonsgegevens worden gedeeld. 2. De rechtbank heeft ter zitting geconstateerd dat eiseres niet alleen verwijdering van de telefoonnotities wenst maar ook – op enig moment – heeft verzocht om inzage in die notities. De functionaris gegevensbescherming heeft per e-mail van 28 februari 2020 een overzicht van de telefoonnotities aan eiseres ter beschikking gesteld. De rechtbank stelt daarom vast dat aan het verzoek om inzage ingevolge artikel 15 van de AVG is voldaan en dat dit verder niet ter toetsing voorligt 3. Verweerder heeft met het bestreden besluit gemotiveerd dat het UWV bij het beheren van persoonsgegevens de Algemene verordening persoonsgegevens (AVG) en de Archiefwet in onderlinge samenhang dient te bezien. Het opmaken van telefoonnotities valt, voor zover daarbij persoonsgegevens worden verzameld, onder de reikwijdte van de AVG. Verweerder verwerkt de persoonsgegevens in de telefoonnotities op grond van artikel 6, eerste lid, onder e, van de AVG. Uit dit artikel volgt dat de verwerking noodzakelijk dient te zijn voor de vervulling van (wettelijk vastgelegde) taken van algemeen belang die aan verweerder zijn opgedragen. De telefoonnotities leveren een bijdrage aan de behandeling en de verantwoording van door verweerder uitgevoerde taken en zijn om die reden rechtmatig verwerkt. De telefoonnotities maken onderdeel uit van het dossier van eiseres dat bewaard wordt op grond van de Archiefwet. Archiefbescheiden die op grond van de archiefwet bewaard worden kunnen niet zonder meer worden vernietigd, dit mag pas plaatsvinden na afloop van de in de selectielijst vastgestelde bewaartermijnen. De bewaartermijn volgt uit de ‘Selectielijst Uitvoeringsinstituut Werknemersverzekeringen’. Dit is een uitzondering op het recht op gegevenswissing in de zin van artikel 17 van de AVG. Wat betreft de uitwisseling van gegevens binnen verschillende afdelingen is verweerder van opvatting dat hij daarover geen besluit in de zin van de Algemene wet bestuursrecht (Awb) heeft genomen omdat de brief van 18 november 2019 niet gericht is op een rechtsgevolg. Het bezwaar van eiseres daartegen heeft verweerder daarom niet-ontvankelijk verklaard. 4. Het wettelijk kader is opgenomen in de bijlage. 5De telefoonnotities 5.1 Eiseres betwist dat de verwerking van telefoonnotities noodzakelijk is. Volgens eiseres verhoudt het bewaren van telefoonnotities zich niet met het beginsel van minimale gegevensverwerking ingevolge artikel 5, eerste lid, van de AVG. Dit heeft als gevolg dat de telefoonnotities onrechtmatig zijn verwerkt en om die reden wordt niet toegekomen aan het toetsingskader en de bewaartermijnen van de Archiefwet. Immers gaat de selectielijst over reeds gearchiveerde gegevens, wat veronderstelt dat de archivering op zich rechtmatig is en dat is volgens eiseres niet het geval. Eiseres heeft daarom wel recht op gegevenswissing. 5.2 Verweerder stelt zich op het standpunt dat ingevolge artikel 30 van de Wet structuur uitvoeringsorganisatie werk en inkomen aan het UWV de taak van het algemeen belang aan hem is opgedragen. Eiseres heeft een WW-uitkering aangevraagd en voor het vaststellen van het recht op die uitkering heeft verweerder een dossier aangelegd met daarin de telefoonnotities, bevattende persoonsgegevens van eiseres. Verweerder heeft deze gegevens daarom gelet op haar taak rechtmatig verwerkt. Onder de Archiefwet wordt het dossier van eiseres aangemerkt als archiefbescheid dat op grond van deze wet bewaard moet worden. De telefoonnotities die als onderdeel van het dossier zijn bewaard vallen daarom onder de bewaartermijnen van de selectielijst. Wat betreft het verzoek om gegevenswissing is verweerder van opvatting dat eiseres niet heeft aangevoerd wat haar belang bij dat recht is. Verweerder kan daarom niet beoordelen of dit belang zwaarder weegt dan het belang om de telefoonnotities te bewaren. Dat eiseres inmiddels geen lopende uitkering meer heeft is onvoldoende zwaarwegend. Om welke persoonsgegevens en welke verwerkingen gaat het? 5.3. Verweerder heeft toegelicht dat in de telefoonnotities tenminste de naam van eiseres staat en dat de telefoonnotities om die reden persoonsgegevens bevatten. Verder stelt de rechtbank vast dat het verzoek van eiseres zowel ziet op de dossiervorming in het kader van de beoordeling van het recht op uitkering, als op het bewaren van die telefoonnotities in een archief nadat de uitkering is beëindigd. Is de verwerking van de persoonsgegevens rechtmatig? 5.4. Het verzoek om verwijdering moet worden aangemerkt als een verzoek om wissing van persoonsgegevens als bedoeld in artikel 17, eerste lid, van de AVG. Dat artikel bepaalt dat de betrokkene het recht heeft op wissing – onder meer – wanneer de persoonsgegevens onrechtmatig zijn verwerkt. Eiseres heeft verzocht om vernietiging van de telefoonnotities in zijn geheel, maar gelet op artikel 17 van de AVG kan alleen worden verzocht om verwijdering van de persoonsgegevens en niet om verwijdering van de gehele telefoonnotities. In welke gevallen persoonsgegevens rechtmatig zijn verwerkt is geregeld in artikel 6 van de AVG. 5.5. De rechtbank kan verweerder volgen in zijn standpunt dat het aanleggen van een dossier van eiseres noodzakelijk is voor de taakuitoefening (artikel 6, eerste lid, onder e van de AVG). Dat telefoonnotities ook bewaard worden als onderdeel van dit dossier is naar het oordeel van de rechtbank niet onredelijk, omdat daarin informatie kan staan die van belang is voor het dossier en het recht op uitkering van eiseres. Geoordeeld wordt daarom dat de in de telefoonnotities opgenomen persoonsgegevens in beginsel rechtmatig zijn verwerkt. Mogen de telefoonnotities ook bewaard blijven? 5.6. Eiseres heeft in beroep naar voren gebracht dat zij het er niet mee eens is dat de telefoonnotities – na afronding van het uitkeringsdossier – bewaard blijven. 5.7. Zoals de Afdeling eerder heeft overwogen volgt uit artikel 17, derde lid, van de AVG dat op het bestuur geen plicht rust om persoonsgegevens zonder onredelijke vertraging te wissen indien op haar een wettelijke verwerkingsplicht rust. Uit artikel 3 van de Archiefwet 1995 volgt dat het college verplicht is de onder hem berustende archiefbescheiden in goede, geordende en toegankelijke staat te brengen en te bewaren. Op grond van artikel 5 van de Archiefwet 1995 is de Selectielijst UWV opgesteld. Uit de Selectielijst UWV volgt dat de bewaartermijn voor informatie ten behoeve van het beslissen over de aanspraak op uitkering, de hoogte en de duur van de uitkering 5 jaar bedraagt. Nu de telefoonnotities, zoals verweerder stelt, worden bewaard in verband met de aanspraak op uitkering en de verplichting om te bewaren op een wettelijke grondslag berust, heeft verweerder zich terecht op het standpunt kunnen stellen dat zij niet gehouden was om de telefoonnotities van eiseres te verwijderen. Moeten de persoonsgegevens worden verwijderd uit de telefoonnotities? 5.9. Eiseres stelt dat verweerder, gelet op artikel 5, eerste lid, onder e, van de AVG, de persoonsgegevens moet verwijderen of weglakken uit de telefoonnotities. De rechtbank volgt eiseres niet in haar standpunt.