Persoonsgegevens met derde partijen delen voor marketingdoeleinden, het gebeurt aan de lopende band. De vraag is echter of een betrokkene het recht heeft om te weten met wie zijn gegevens gedeeld worden. Het Europese Hof deed hier onlangs uitspraak over en heeft de AVG op dit punt verduidelijkt: betrokkenen hebben het recht om precies te weten met wie hun persoonsgegevens gedeeld worden. Wat zijn de consequenties van die uitspraak?

Verzoek: inzage in de verwerking van persoonsgegevens door derde partijen

In 2019 heeft een Oostenrijker een inzageverzoek ingediend bij de Österreichische Post op basis van artikel 15 AVG. Hij wilde weten welke persoonsgegevens over hem zijn verwerkt, maar ook met wie zijn gegevens gedeeld zijn.

De Österreichische Post antwoordde daarop met een algemeen verhaal dat ze als uitgever van telefoongidsen persoonsgegevens voor marketingdoeleinden aanbiedt aan zakelijke klanten en verwijst voor meer informatie naar haar website. Daarop stapt de Oostenrijkse inwoner naar de rechter om de identiteit van de ontvanger(s) van zijn persoonsgegevens te vorderen.

In de loop van de procedure deelt de Österreichische Post nog wel de categorieën van klanten waaraan gegevens doorgegeven zijn, waaronder IT-bedrijven, adverteerders en politieke partijen.

De rechter oordeelt: is het delen van categorieën van ontvangers genoeg?

De rechter oordeelt in eerste instantie dat de Österreichische Post de AVG niet overtreedt. Op grond van de AVG hebben betrokkenen het recht van inzage. Dit betekent dat de betrokkene het recht heeft om te weten wie “de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties” zijn.

Concrete ontvangers hoeven volgens deze rechter dus niet expliciet benoemd te worden en de categorieën van ontvangers zijn door de Österreichische Post gedeeld.

Hooggerechtshof stelt vragen: hoe moet artikel 15 van de AVG uitgelegd worden?

De Oostenrijker is het daar niet mee eens, gaat in hoger beroep en daarop worden vragen aan het Europese Hof gesteld over de precieze uitleg van de AVG.

Heeft de verwerkingsverantwoordelijke de keuze om de specifieke identiteit of enkel categorieën van ontvangers bekend te maken? Of heeft de betrokkene het recht om de identiteit van ontvangers te kennen?

Europese Hof verduidelijkt: de betrokkene heeft recht op de identiteit van ontvangende partijen

Het Europese Hof heeft de vraag heel helder beantwoord: elk persoon heeft het recht om precies te weten met wie zijn of haar persoonsgegevens zijn gedeeld. Het Hof wijst er namelijk op dat het inzagerecht van de betrokkene noodzakelijk is om hem of haar in staat te stellen andere door de AVG verleende rechten uit te oefenen. Denk aan het recht op rectificatie, vergetelheid en dataportabiliteit.

Als een betrokkene dus vraagt aan wie zijn gegevens verstrekt zijn, dan moet een verwerkingsverantwoordelijke feitelijke gegevens delen over de identiteit van partijen die de betreffende persoonsgegevens hebben ontvangen.

Het Europese Hof benoemt hierop wel een aantal uitzonderingen.

Als de verwerkingsverantwoordelijke kan aantonen dat het verzoek ongegrond of buitensporig is, dan hoeven enkel de categorieën ontvangers gedeeld te worden. Dit geldt ook als het (nog) niet mogelijk is om de ontvangers te identificeren.

Wat betekent deze uitspraak voor de dagelijkse praktijk?

Deze uitspraak verandert de wijze waarop verwerkingsverantwoordelijken om moeten gaan met inzageverzoeken. Vraagt een betrokkene met welke partijen u zijn of haar persoonsgegevens heeft gedeeld? Dan moet u de identiteit van die partijen delen en niet verwijzen naar algemene doeleinden of categorieën. Dit hoeft uiteraard niet als er sprake is van één van eerdergenoemde uitzonderingen.

Het is in ieder geval verstandig om een overzicht te maken met welke partijen u persoonsgegevens deelt en welke persoonsgegevens u aan hen verstrekt. Dit kunt u ook toevoegen aan uw huidige verwerkingsregister. Zo bent u goed voorbereid op een volgend inzageverzoek.

Op de hoogte blijven van deze en andere ontwikkelingen ?

Meldt u zich dan aan voor onze maandelijkse nieuwsbrief en ontvang onze blogs gewoon in uw mailbox.