Volgens de rechtbank is het opvragen van een kopie op zichzelf geen onredelijk verificatiemiddel, maar bij niet-gevoelige persoonsgegevens moet er ook lichter middel mogelijk zijn. Het oordeel van de rechtbank luidde als volgt:
“DPG had zijn proces zo kunnen en moeten inrichten dat er in een eerder stadium meer ruimte was om rekening te houden met alle relevante omstandigheden, waaronder de aard van het verzoek en de informatie waarom wordt gevraagd. Zo zal bij een eenvoudig verzoek om geen reclamemateriaal meer te ontvangen het verlangen van een (afgeschermde) kopie identiteitsbewijs als voorwaarde voor het in behandeling nemen van dat verzoek doorgaans niet proportioneel en subsidiair zijn. De procedure moet flexibel genoeg zijn om een dergelijk verzoek laagdrempeliger af te kunnen doen.”
De rechtbank is het dus in zekere zin eens met de AP dat het beleid van DPG een onnodige belemmering opwierp. Maar de rechtbank stipt daarbij ook aan dat er een spanningsveld bestaat met betrekking tot het ‘faciliteren’ van het inzagerecht en de identificatieplicht die daarbij hoort. Gebruikers hebben namelijk het recht om hun persoonsgegevens in te zien, maar zonder verificatiemiddel kunnen deze in handen komen van de verkeerde persoon. Daarbij is er volgens de rechtbank op voorhand niet één middel te bepalen dat bruikbaar is in iedere situatie. Er moet per geval worden bekeken of er wordt voldaan aan de beginselen van proportionaliteit, subsidiariteit en dataminimalisatie. Samengevat moet het identificatiemiddel in verhouding staan tot de verwerking en de gevoeligheid van de persoonsgegevens.
De Autoriteit Persoonsgegevens oordeelde te streng
De hoogte van een boete moet worden afgestemd op de ernst van de overtreding en de mate van verwijtbaarheid. Daar is bij het besluit van de AP volgens de rechtbank geen sprake van. DPG Media handelde hier niet verwijtbaar maar deed juist haar best om een goede invulling te geven aan identificatieplicht. Dat zij een onjuiste inschatting hebben gemaakt van het vereiste evenwicht tussen databescherming en het recht op inzage, maakt dat niet anders. Daarmee is de boete volgens de rechtbank te hoog en wordt hij zelfs in zijn geheel van tafel geschoven.
De rechtbank stelt daarnaast ook dat de AP een andere sanctie dan een boete had kunnen kiezen. De toezichthouder had al in een eerder stadium het gesprek aan kunnen gaan met DPG Media om het beleid aan te passen. DPG Media heeft voorafgaand aan de boete, nadat zij hier een klacht over binnenkregen, aan de toezichthouder gevraagd of zij haar beleid zo kon voortzetten. Aangezien de Autoriteit Persoonsgegevens ook een voorlichtende rol heeft, was een waarschuwing hier meer op zijn plaats geweest volgens de rechtbank.
- Laatste legal updates in je mailbox? Meld je aan voor de DDMA Legal Nieuwsbrief.
- Ben je lid en heb je een vraag? Je kunt ons bereiken via 020 4528413 en legal@ddma.nl.
- Nog geen lid? Bekijk hier alle voordelen van het DDMA-lidmaatschap.
Sara Mosch
Ook interessant
AP legt een boete van 600.000 euro op voor niet-compliant cookiebanner
Privacykoepel deelt richtlijnen voor ‘consent or pay’ model voor grote online platformen
