Standaard kopietje paspoort vragen bij inzageverzoeken mag dus écht niet van de AVG
24/08
DPG hanteerde een te rigide procedure voor het identificeren van betrokkenen, waarmee op voorhand in ieder geval een onnodige belemmering werd opgeworpen. Zo motiveerde de rechtbank Amsterdam haar oordeel om een besluit van de AP in stand te laten, alleen dan minus de opgelegde boete. De rigide procedure: iedereen moet kopietje paspoort opsturen bij AVG-vragen.
Waarom moet ik elke keer een kopietje paspoort opsturen als ik onder de AVG wat vraag, zo vroeg ik mezelf retorisch af in 2019 alweer. Mijn cynische opvatting was dat dit bedoeld was om vragen een beetje in te dammen: het is gedoe, mensen maken zich zorgen over hun paspoort, dus laat maar met dat inzage- of correctieverzoek.
Meer juridisch is het argument dat het nergens op slaat: je krijgt een mail van carl@example.com en een kopie paspoort van iemand die Carl Barks heet, leg mij eens uit hoe nu vaststaat dat de aanvraag van de heer Barks (lidnummer 176-616) afkomstig is? Een paspoort toont alleen wat aan als de houder er naast staat, volgens mij.
Natuurlijk mag je niet om extra legitimatie vragen bij een online account, zo concludeerden ze in Oostenrijk al in 2019. Maar ook onze AP bleek er toen al bovenop te zitten: uitgeverij DPG kreeg al in 2019 een boze mail van de toezichthouder over deze procedure. Na enige mailwisseling maakte de AP een rapport:
Op 7 oktober 2021 heeft verweerder het ‘Onderzoeksrapport inzake het opvragen van een kopie ID bij verzoeken om inzage of verwijdering bij DPG Media Magazines B.V., voorheen Sanoma Media Netherlands B.V.’ van 29 september 2021 aan DPG gezonden. In dat rapport heeft verweerder geconcludeerd dat DPG met haar beleid en het actief uitdragen ervan het recht op inzage en wissing belemmerde en daarmee onnodige drempels opwierp voor het inzetten van deze rechten.
Inderdaad, dat was in 2021 en ik weet ook niet waarom een rapport dat je in 2019 start, pas in 2021 af kan zijn. In januari 2022 volgde het definitieve besluit: dit mag niet, onnodige drempels, boete.
De rechtbank vindt die boete niet gepast gezien dit langdurige traject en het feit dat in 2019 de AVG nog best nieuw was (want die tekst was pas in 2016 bekend en leek totáál niet op de wet daarvoor, och hemeltje). Maar de onderliggende motivatie blijft overeind:
DPG hanteerde naar het oordeel van de rechtbank een te rigide procedure voor het identificeren van verzoekers, waarmee op voorhand in ieder geval voor een deel van de verzoeken een onnodige belemmering werd opgeworpen. Gebleken is dat er in de praktijk wel meer ruimte bestond wanneer verzoekers na het doen van het verzoek ertoe over gingen te klagen dat zij een kopie van hun identiteitsbewijs moesten verstrekken. Naar het oordeel van de rechtbank is dat echter te laat. DPG had zijn proces zo kunnen en moeten inrichten dat er in een eerder stadium meer ruimte was om rekening te houden met alle relevante omstandigheden, waaronder de aard van het verzoek en de informatie waarom wordt gevraagd.
Ik vind het dan een beetje jammer dat de rechtbank opent met dat “een kopie van een identiteitsbewijs op zichzelf geen onredelijk middel is om een persoon te identificeren”. Dat is natuurlijk zo, maar in de situaties waarin het gros van de mensen AVG-rechten uitoefent, is het gewoon een onlogisch middel. De uitspraken waar men zich op baseert, zijn dan ook nog eens bestuursrecht – in de relatie burger/overheid vind ik standaard je ID-kaart trekken inderdaad wel redelijk, maar bij burger/bedrijf is dat heel wat anders.
Ik kan me dan niet aan de indruk onttrekken dat de rechters (of de Raad van State, waar de rechtbank op vaart) minder vaak online verzoeken doen en gewend zijn dat mensen zich ter balie vervoegen om zich daar adequaat te identificeren alvorens een verzoek hen betreffende in te dienen.
Arnoud
Het bericht Standaard kopietje paspoort vragen bij inzageverzoeken mag dus écht niet van de AVG verscheen eerst op Ius Mentis.