Het coronavirus heeft op dit moment iedereen in zijn greep, met als gevolg dat Nederland thuiswerkt. Misschien werk je ergens in de tuin en geniet je van het warme weer. Of zit je in de woonkamer aan de eettafel en ben je ineens juf of meester geworden. Daardoor ben je wellicht minder oplettend, maar tegelijkertijd gaat het gewone werk als privacycoördinator, privacy officer of FG door. En juist op dát moment ontvang je een rechtsverzoek van een advocaat en wordt er gedreigd met een schadevergoeding. Wat moet je dan op dat moment scherp hebben? In deze longread beschrijft Alfonso Okué een aantal tips and tricks waarmee overheidsorganisaties hun voordeel kunnen doen.
Sinds de inwerkingtreding van de AVG zie ik veel organisaties – maar ook privacy officers en FG’s – die worstelen met de voorbereiding, afhandeling en registratie van rechtsverzoeken van betrokkene(n). Maar vaak begint het toch met de basis: hoe handel ik een rechtsverzoek af?
De basis
Een bekend misverstand is dat een rechtsverzoek binnen een maand afgehandeld dient te worden. Echter, de AVG vereist dat organisaties (in beginsel) binnen één maand een betrokkene(n) van een antwoord dienen te voorzien [1]. Je moet de termijn van een maand dus zien als een uitgangspunt. Eigenlijk moet zo’n rechtsverzoek zo snel mogelijk in behandeling worden genomen en beantwoord.
Een geldig antwoord is ook de weigering om aan dergelijke verzoeken gehoor aan te geven. Hierbij kun je bijvoorbeeld denken aan een fishing expedition [2] of een buitensporig verzoek [3]. Mijn eerste tip is dan ook als volgt: gebruik je verstand en beantwoord simpele verzoeken van een betrokkene dan ook simpel. Een moeilijk verzoek is vaak een onduidelijk verzoek of een verzoek dat verduidelijking behoeft. Vraag dan ook om duiding.
Legitimatie
De AVG beschrijft[4] men zich moet legitimeren voor de uitoefening van een rechtsverzoek. Legitimatie wil zeggen dat je een persoon daadwerkelijk moet hebben gezien en op uiterlijk vertoon moet hebben goedgekeurd.
Er zijn een aantal uitzonderingen op de legitimatie:
- Betrokkene(n) kunnen zich ook laten bijstaan door een advocaat of gemachtigde. Dan dient de machtiging als een oplossing voor de legitimatie.
- Overheidsinstanties dienen in het kader van de EIDAS-verordening ook na te denken over DigiD- en MijnOverheid-oplossingen. Die oplossingen gelden ook als geldige legitimatieoplossingen voor overheidsinstellingen.
En aantal tips om de legitimatie goed te laten verlopen:
- Accepteer nooit zomaar ingezonden identiteitsbewijzen en/of rijbewijzen. Bij ontvangst van deze gegevens, moet je dit kenbaar maken.
- Indien een persoon herhaaldelijk weigert om zijn identiteit bekend te maken, houdt het op wat betreft de inhoudelijke beantwoording van een rechtsverzoek.
- Voor overheidsinstellingen die met de Awb te maken hebben, geldt legitimatie als een voorbereidingshandeling om een besluit te nemen. Als legitimatie dus niet volgt, dan kunt u het verzoek niet in behandeling nemen. Dit zijn regels die ook tijdens de coronasituatie blijven gelden.
Lees het rechtsverzoek en uw antwoorden goed
Veel organisaties lezen rechtsverzoeken van betrokkene(n) niet altijd even accuraat, waardoor de beantwoording vaak ook niet accuraat is. Het gevolg is dat betrokkene(n) of hun gemachtigde enige ruimte zien om bezwaarschriften in te dienen.
Schadevergoedingsclaims
Let met name hier ook op schadevergoedingsclaims op grond van Artikel 82 AVG [5]. Het causale verband dient drie keer te worden aangetoond voordat men überhaupt aanspraak op een schadevergoeding kan maken. Een schadevergoedingsclaim dient daarnaast op basis van de onrechtmatige daad [6] echt goed te worden onderbouwd. Met name de eis van meervoudige causaliteit wordt doorgaans verkeerd toegepast of uitgelegd.
Sinds de inwerkingtreding van de AVG zie ik veel organisaties – maar ook privacy officers en FG’s – die worstelen met de voorbereiding, afhandeling en registratie van rechtsverzoeken van betrokkene(n). Maar vaak begint het toch met de basis: hoe handel ik een rechtsverzoek af?
De basis
Een bekend misverstand is dat een rechtsverzoek binnen een maand afgehandeld dient te worden. Echter, de AVG vereist dat organisaties (in beginsel) binnen één maand een betrokkene(n) van een antwoord dienen te voorzien [1]. Je moet de termijn van een maand dus zien als een uitgangspunt. Eigenlijk moet zo’n rechtsverzoek zo snel mogelijk in behandeling worden genomen en beantwoord.
Een geldig antwoord is ook de weigering om aan dergelijke verzoeken gehoor aan te geven. Hierbij kun je bijvoorbeeld denken aan een fishing expedition [2] of een buitensporig verzoek [3]. Mijn eerste tip is dan ook als volgt: gebruik je verstand en beantwoord simpele verzoeken van een betrokkene dan ook simpel. Een moeilijk verzoek is vaak een onduidelijk verzoek of een verzoek dat verduidelijking behoeft. Vraag dan ook om duiding.
Legitimatie
De AVG beschrijft[4] men zich moet legitimeren voor de uitoefening van een rechtsverzoek. Legitimatie wil zeggen dat je een persoon daadwerkelijk moet hebben gezien en op uiterlijk vertoon moet hebben goedgekeurd.
Er zijn een aantal uitzonderingen op de legitimatie:
- Betrokkene(n) kunnen zich ook laten bijstaan door een advocaat of gemachtigde. Dan dient de machtiging als een oplossing voor de legitimatie.
- Overheidsinstanties dienen in het kader van de EIDAS-verordening ook na te denken over DigiD- en MijnOverheid-oplossingen. Die oplossingen gelden ook als geldige legitimatieoplossingen voor overheidsinstellingen.
En aantal tips om de legitimatie goed te laten verlopen:
- Accepteer nooit zomaar ingezonden identiteitsbewijzen en/of rijbewijzen. Bij ontvangst van deze gegevens, moet je dit kenbaar maken.
- Indien een persoon herhaaldelijk weigert om zijn identiteit bekend te maken, houdt het op wat betreft de inhoudelijke beantwoording van een rechtsverzoek.
- Voor overheidsinstellingen die met de Awb te maken hebben, geldt legitimatie als een voorbereidingshandeling om een besluit te nemen. Als legitimatie dus niet volgt, dan kunt u het verzoek niet in behandeling nemen. Dit zijn regels die ook tijdens de coronasituatie blijven gelden.
Lees het rechtsverzoek en uw antwoorden goed
Veel organisaties lezen rechtsverzoeken van betrokkene(n) niet altijd even accuraat, waardoor de beantwoording vaak ook niet accuraat is. Het gevolg is dat betrokkene(n) of hun gemachtigde enige ruimte zien om bezwaarschriften in te dienen.
Schadevergoedingsclaims
Let met name hier ook op schadevergoedingsclaims op grond van Artikel 82 AVG [5]. Het causale verband dient drie keer te worden aangetoond voordat men überhaupt aanspraak op een schadevergoeding kan maken. Een schadevergoedingsclaim dient daarnaast op basis van de onrechtmatige daad [6] echt goed te worden onderbouwd. Met name de eis van meervoudige causaliteit wordt doorgaans verkeerd toegepast of uitgelegd.
Overheidsinstellingen dienen over een FG te beschikken. Maar wat je in de praktijk ziet gebeuren is dat de FG buitenspel staat bij met name bezwaar- en of beroepsprocedures. Dat strookt niet met de AVG, want een FG vervult voor de organisatie een ombudsfunctie en biedt daardoor extra rechtsbescherming. Daarnaast is zijn kennis en kunde met name bij klachten erg gewenst.
Wij zien dat dit op verschillende manieren gebeurt, maar dat niet elke optie passend is. Wij zetten ze voor u op een rij:
Optie 1: De FG behandelt rechtsverzoeken van de overheidsorganisatie. Echter, dat is in strijd met de AVG. Je kunt namelijk geen toezicht houden op jouw handelen als behandelaar. Advies geven of informeren zit er dan ook niet in. Daarnaast heeft het gevolgen voor de escalatieladder, want wie staat er boven de FG? Is dat de Autoriteit Persoonsgegevens?
Optie 2: de FG behandelt rechtsverzoeken in een bezwaarschrift of- beroepsschriftcommissie. Dit is een legitieme optie, maar hoe zit het dan met de onafhankelijkheid van de FG? Het is dan beter om zijn zienswijze in deze fase op te vragen.
Optie 3: Beschouw de FG als een (derde-) belanghebbende of beschouw hem/haar als een expert in de zin van de Awb. Laat hem/haar ook zijn zienswijze in de rechtszaal toelichten.
Voor welke optie of opties heeft u gekozen? En kunt u na het lezen van deze blog uw proces Rechten van Betrokkenen nog steeds verantwoorden? Is dat niet het geval, evalueer of laat dan uw processen Rechten van Betrokkene(n) auditen.
Coaching en advies
Als u moeite heeft met de behandeling van rechtsverzoeken, aarzel dan niet om met ons contact op te nemen. Wij kunnen u hierin coachen. Ook biedt PMP (juridische) ondersteuning of advies bij het opstellen van besluiten, beslissingen op bezwaar en verweerschriften. Dit geldt ook voor (juridische) advisering naar aanleiding van een gerechtelijke uitspraak.
In mei organiseren wij een Ronde tafel Rechten van betrokkene(n). Zodra het programma bekend is, kunt zich hiervoor inschrijven. Wilt u meer over andere AVG-vereisten te weten komen en geen blog of aankondiging van een PMP-Ronde Tafel meer missen?
U kunt zich dan aanmelden voor de PMP-nieuwsbrief of de TDC-update en Privacy Management Partners volgen op Twitter of LinkedIn.
Referenties
[1] Zie overweging 59 AVG
[2] Zie o.a.: Hof s-Hertogenbosch, 1 februari 2018, ECLI:NL: GHSE:2018:363, NJF 2018/159.
[3] Verzoeken die een onevenredige inspanning vergen in relatie tot de beantwoording van een vraag.
[4] Zie overweging 64 in relatie tot overwegingen 75 en 76, maar ook overweging 83, 85 en 86.
[5] Lees hiervoor o.a. ECLI:NL:RVS:2020:899 (praten op het VNG-forum)
[6] Het niet-voldoen aan wet – en regelgeving is een onrechtmatige daad ex. Artikel 6:162 lid 1 en lid 2 BW.
