ECLI:NL:RBMNE:2023:6964

RECHTBANK MIDDEN-NEDERLAND Zittingsplaats Utrecht Bestuursrecht zaaknummers: UTR 23/305 en 23/871 uitspraak van de enkelvoudige kamer van 21 december 2023 in de zaken tussen [eiser] , uit [woonplaats] , eiser en het college van bestuur van de [universiteit] , het college (gemachtigden: mr. [A] en mr. [B] ). Inleiding In deze uitspraak beoordeelt de rechtbank twee beroepen van eiser die gaan over zijn verzoek om opgave van gegevens met betrekking tot het op 17 augustus 2020 gemelde datalek bij [leverancier] . De rechtbank heeft de beroepen op 9 oktober 2023 op zitting behandeld. Hieraan hebben deelgenomen: eiser en de gemachtigden van het college.

UTR 23/305 Waar gaat deze zaak over en wat ging eraan vooraf? 1. Eiser heeft op 31 augustus 2020 verweerder verzocht om:- de verstrekking van een volledig overzicht van de gegevens die in handen zijn gekomen van de hackers, de herkomst en het gebruik van de persoonsgegevens;- uitleg over waarom de gegevens bij [leverancier] waren ondergebracht; en- aan te geven of er nog anderen zijn aan wie de [universiteit] toegang heeft gegeven tot zijn persoonsgegevens. 2. Op 30 november 2020 heeft het college (bij brief van [C] ) beslist op dit verzoek van eiser van 31 augustus 2020. Daartegen heeft eiser op 10 december 2020 bezwaar gemaakt. Eiser heeft vervolgens beroep ingesteld tegen het niet tijdig beslissen op zijn bezwaar. 3. Op 14 juli 2021 heeft de rechtbank dat beroep tegen het niet tijdig beslissen op een zitting behandeld. Tijdens deze zitting is het college in de gelegenheid gesteld om (onder andere) deze zaak nogmaals te beoordelen. Bij brief van 12 november 2021 (de herbeoordeling) heeft het college laten weten dat zij niet op alle vragen die eiser stelde in zijn verzoek van 31 augustus 2020, is ingegaan. Het college had inzage moeten geven in de (categorieën) van ontvangers van zijn persoonsgegevens, zoals door hem verzocht. Uiterlijk 15 december 2021 zal eiser alsnog inzage krijgen in deze gegevens, aldus het college. 4. Bij brief van 15 december 2021 heeft het college eiser vervolgens een overzicht verstrekt van anderen dan [leverancier] aan wie het college (mogelijk) inzage in eisers persoonsgegevens heeft verleend. Eiser heeft hierop gereageerd bij brieven van 4 en 10 februari 2022. 5. Bij uitspraak van 15 juli 2022 heeft de rechtbank het beroep tegen het niet tijdig nemen van een beslissing op bezwaar gegrond verklaard en het college opgedragen binnen 16 weken na de dag van verzending van de uitspraak alsnog een besluit op bezwaar bekend te maken. In de uitspraak van 15 juli 2022 heeft de rechtbank als volgt overwogen: “De rechtbank ziet aanleiding om toepassing te geven aan artikel 6:20, vierde lid, van de Awb door de beslissing op het beroep te verwijzen naar verweerder waar het bezwaar van eiser tegen het besluit van 30 november 2020 (aangevuld met de brief van 15 december 2021) aanhangig is. De rechtbank stelt vast dat verweerder op dit bezwaar nog geen besluit heeft genomen. De door de gemachtigde uitgevoerde herbeoordeling kan niet als een dergelijk besluit worden aangemerkt. Het door verweerder gedane verzoek daartoe kan door de rechtbank gelet op het ontbreken van bevoegdheid tot het nemen van besluiten niet worden gevolgd. De rechtbank ziet ook aanleiding voor een verwijzing omdat verweerder in zijn brief van 15 december 2021 niet of onvoldoende heeft gereageerd op het bezwaar van eiser van 10 december 2020, nader uitgewerkt in de brief van eiser van 4 februari 2022 (N15) en de reactie op de herbeoordeling van 10 februari 2022. Eiser heeft de volledigheid en de juistheid van het bij brief van 15 december 2021 verstrekte overzicht gemotiveerd betwist en daarop is geen reactie van verweerder gekomen. Verweerder dient dus alsnog een besluit op bezwaar te nemen. Ook in dit geval geeft de rechtbank verweerder in overweging om de functionaris gegevensbescherming te betrekken bij de besluitvorming.” 6. Na de uitspraak van 15 juli 2022 heeft het college eiser bij brief van 6 oktober 2022 geïnformeerd over de wijze waarop zij voornemens is om uitvoering te geven aan het inzageverzoek van eiser in het licht van voornoemde uitspraak van de rechtbank. Het college zal een nieuwe zoekslag verrichten en zal daarbij ook acht slaan op de door eiser opgeworpen vragen in zijn brieven van 4 en 10 februari 2022. Verder vraagt het college eiser of hij nader kan toelichten wat hij bedoelt met zijn opmerking dat hij op 3 juli 2020 nog andere gevallen bij de voorzitter heeft gemeld. 7. Bij brief van 12 oktober 2022 heeft eiser gereageerd op deze brief van 6 oktober 2022. 8. Bij besluit van 2 december 2022 heeft het college vervolgens beslist op het bezwaar. In dit besluit staat – voor zover van belang – dat de eerste twee punten van het verzoek van eiser (zie rechtsoverweging 1) zijn beantwoord met de brief van 30 november 2020 van [C] , die kwalificeert als het primaire besluit. In het besluit staat verder dat aan eiser bij brief van 15 december 2021 alsnog inzage is gegeven in de partijen aan wie de [universiteit] inzage heeft verleend tot zijn persoonsgegevens. Voor zover nodig bekrachtigt het college deze inzage in het bestreden besluit. Verder omvat het besluit een reactie op de incidenten A t/m H vermeld in eisers bezwaarschrift van 10 december 2020 en aanvullende brieven van 4 en 10 februari 2022. Het college wijst er ten aanzien van incident A en B (de door eiser gestelde verstrekking aan derden: [1] en [2] ) op dat zowel de [1] als [2] op het overzicht van 15 december 2021 staan vermeld. Over de door eiser gemelde incidenten E en F in respectievelijk in 2008 en 2014 (eveneens verstrekken van gegevens aan derden) merkt het college op dat, als het al zo is dat gegevens aan andere derden zijn verstrekt, dit gebeurd is voor inwerkingtreding van de AVG en het college dus niet verplicht was deze gegevensverstrekkingen bij te houden. Het college kan deze gegevens daarom ook niet verstrekken. Over het door eiser gemelde incident G van 18 september 2022 dat er met zijn persoonsgegevens zou zijn geknoeid in de personeelsadministratie, merkt het college op dat dit niet kan worden opgevat als een verzoek waarop een besluit moet worden genomen. Dit verzoek wordt daarom buiten toepassing gelaten. Ten aanzien van de overige incidenten (A, B, C, D en H) heeft het college erop gewezen dat daarop zal worden ingegaan in het besluit dat genomen zal worden naar aanleiding van de uitspraak van de rechtbank van 15 juli 2022 in de zaak met nummer UTR 21/1778. 9. Eiser is het niet eens met dit besluit van 2 december 2022 en zijn beroep richt zich dan ook tegen dit besluit. De rechtbank beoordeelt het beroep van eiser aan de hand van zijn beroepsgronden. Overzicht van gegevens die in handen zijn gekomen van hackers 10. Eiser voert aan dat het niet juist is dat op zijn verzoek om inzage is beslist met de brief van [C] van 30 december 2020. [C] zelf ontkent deze brief te hebben geschreven. Bovendien is van “inzage” in de zin van artikel 15 van de Algemene verordening gegevensbescherming (AVG) geen sprake omdat informatie over met name de herkomst en juistheid van de gegevens ontbreekt en daardoor de rechtmatigheid van de verwerking niet vastgesteld kan worden. Ook blijft er onduidelijkheid bestaan over de vraag of zijn BSN is gehackt of niet, en over zijn rechtspositie (promotie en senior docent-onderzoeker). 10. De rechtbank volgt het college in zijn stelling dat de brief van 30 november 2020 gekwalificeerd moet worden als het primaire besluit op eisers verzoek om inzage van 31 augustus 2020. Het college heeft eisers brief van 10 december 2020 in behandeling genomen als een bezwaarschrift gericht tegen deze brief en daarmee (en overigens ook met het bestreden besluit) de brief van 30 november 2020 bekrachtigd als zijnde een besluit in de zin van artikel 1:3 van de Algemene wet bestuursrecht (Awb). Dat deze brief niet geschreven zou zijn door [C] , zoals eiser stelt, is door hem niet nader toegelicht en onderbouwd. De rechtbank ziet dan ook geen reden om eraan te twijfelen dat deze brief van [C] afkomstig is. 12. Artikel 15, derde lid, van de AVG, luidt: 'De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkings-verantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.' 12.

De rechtbank verklaart het beroep ongegrond. UTR 23/871 Waar gaat deze zaak over? Eiser heeft op 23 februari 2023 beroep ingesteld tegen het niet tijdig beslissen door het college. Eiser stelt dat hem een besluit is toegezegd bij brief van 6 oktober 2022 en dat dit besluit nog altijd niet is genomen. De rechtbank stelt vast dat dit gaat over dezelfde brief van 6 oktober 2022, die aan de orde is gekomen in de zaak die de rechtbank hiervoor heeft behandeld (UTR 23/305 rechtsoverweging 6). In deze brief vermeldt het college inderdaad dat er nog besluiten zullen volgen naar aanleiding van de uitspraak van de rechtbank van 15 juli 2022 in zaken UTR 20/4125 en UTR 21/1778. Deze besluiten heeft het college ook genomen, namelijk op 2 december 2022 (besluiten met kenmerken [kenmerk 1] en [kenmerk 2] ). Het beroep over het besluit met kenmerk [kenmerk 1] heeft de rechtbank hiervoor behandeld en tegen het besluit met kenmerk [kenmerk 2] heeft eiser bezwaar gemaakt en loopt inmiddels ook een procedure bij de rechtbank (UTR 23/2120). De rechtbank is daarom van oordeel dat het beroep niet-ontvankelijk is wegens het ontbreken van procesbelang. De door het college toegezegde besluiten in de brief van 6 oktober 2022 zijn op 2 december 2022 al genomen, ruimschoots dus voordat eiser het college in gebreke stelde en beroep instelde. Deze besluiten zijn bij eiser ook bekend, hetgeen blijkt uit het feit dat hij daartegen rechtsmiddelen heeft aangewend. Conclusie Het beroep is niet-ontvankelijk. Voor een proceskostenveroordeling ziet de rechtbank geen aanleiding.

De rechtbank verklaart het beroep niet-ontvankelijk; Deze uitspraak is gedaan door mr. J.H. Lange, rechter, in aanwezigheid van mr. M.L. Bressers, griffier. De uitspraak is uitgesproken in het openbaar op 21 december 2023. griffier rechter Een afschrift van deze uitspraak is verzonden aan partijen op: Informatie over hoger beroep Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen. UTR 20/4125 Zie de uitspraken van de Afdeling van 3 maart 2021, ECLI:NL:RVS:2021:452 en 9 augustus 2023, ECLI:NL:RVS:2023:3067.

De verplichting om een 'kopie van de persoonsgegevens’ te verstrekken op grond van artikel 15, derde lid, van de AVG, betekent niet dat een bestuursorgaan verplicht is een kopie te verstrekken van de documenten waarin die persoonsgegevens voorkomen. Een bestuursorgaan mag dat doen, maar het mag ook voor een andere vorm kiezen waarin de kopie van de persoonsgegevens wordt verstrekt, mits met de gekozen wijze van verstrekking maar aan het doel van artikel 15, derde lid, van de AVG wordt voldaan. Het doel van artikel 15 van de AVG is dat betrokkene zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. 14. Naar het oordeel van de rechtbank heeft het college met het besluit van 30 november 2020 aan het voorgaande voldaan. Bij dit besluit heeft het college aan eiser namelijk een uitdraai verstrekt van de persoonsgegevens van eiser waarover het college en (dus ook) [leverancier] beschikt en die dus in handen zijn gekomen van hackers. Daarbij heeft het college per persoonsgegeven het doel van de verwerking beschreven. Het college heeft verder duidelijk vermeld dat de persoonsgegevens van eiser met [leverancier] zijn gedeeld, omdat [leverancier] het alumni- en donateursrelatiesysteem beheert voor de [universiteit] . De rechtbank is verder van oordeel dat eiser niet gevolgd kan worden in zijn stelling dat het college onduidelijkheid heeft laten bestaan over de vraag of ook zijn BSN-nummer is gehackt. Het college heeft eiser al direct in de brief van 17 augustus 2020 bericht dat zijn BSN-nummer niet in handen van de hackers is gekomen. De rechtbank stelt vast dat het BSN-nummer van eiser ook niet vermeld staat in de uitdraai die bij het besluit van 30 november 2020 is gevoegd. Dat bevestigt de mededeling van het college in de brief van 17 augustus 2020, zodat de rechtbank geen reden ziet om daaraan te twijfelen. Op zitting heeft eiser opgemerkt dat hij ook een brief heeft ontvangen van het college waarin het tegenovergestelde wordt beweerd. Deze brief heeft hij echter niet overgelegd en bovendien ligt het voor de hand om de uitdraai als uitgangspunt te nemen, waarin het BSN-nummer dus niet staat. Dat mogelijk op enig moment een mededeling is gedaan die hiermee strijdig is, maakt dat niet anders.Over de door eiser gestelde onduidelijkheid over zijn rechtspositie merkt de rechtbank het volgende op. Op zitting heeft eiser opgemerkt dat op de uitdraai ten onrechte vermeld staat dat hij universitair docent is. Daar zou moeten staan dat hij universitair hoofddocent is en gepromoveerd. Eiser zou dit gecorrigeerd willen zien, maar de rechtbank merkt op dat daarover in deze procedure niet kan worden geoordeeld. Deze procedure gaat over een verzoek om inzage op grond van artikel 15 van de AVG. Als eiser het niet eens is met de manier waarop zijn persoonsgegevens zijn verwerkt, kan hij een correctieverzoek doen op grond van artikel 16 van de AVG. De beroepsgrond slaagt niet.Aan wie heeft de [universiteit] nog meer toegang gegeven tot eisers persoonsgegevens? 14. Eiser voert aan dat de brief van 15 december 2021 van het college niet kan dienen als inzage in de zin van artikel 15 van de AVG ten aanzien van de partijen aan wie de [universiteit] inzage heeft verleend in zijn persoonsgegevens, anders dan [leverancier] . Er was immers al een inzagebesluit van 30 november 2020. De rechtszekerheid verbiedt dubbele besluiten. 14. De rechtbank overweegt hierover dat de inzage die het college eiser heeft gegeven bij de brief van 15 december 2021 door de bekrachtiging door het college in het bestreden besluit, onderdeel is geworden van het bestreden besluit. Daar is juridisch-technisch niets op tegen. Ook is er geen rechtsregel die zich ertegen verzet dat een besluit op bezwaar een aanvulling bevat op het primaire besluit, zoals hier aan de orde. Er is geen sprake van dubbele besluiten zoals eiser stelt, maar van een aanvulling. Het college moest dit aanvullende besluit ook nemen, omdat in het primaire besluit niet volledig was gereageerd op eisers verzoek om inzage. Deze beroepsgrond slaagt niet. De door eiser gemelde incidenten 17. Eiser voert aan dat het college in het bestreden besluit ten onrechte niet heeft beslist op alle genoemde incidenten en enkel de belofte heeft gedaan dat ze zullen worden meegenomen in een ander besluit. Dit is in strijd met de opdracht van de rechtbank, met de rechtszekerheid en leidt tot verstrengeling van onderscheidbare gedingen. 17. De rechtbank is dit niet met eiser eens. In de uitspraak van 15 juli 2022 heeft de rechtbank het college opdracht gegeven om in te gaan op de incidenten die eiser in zijn bezwaarschrift van 10 december 2020 heeft benoemd. Op 15 juli 2022 heeft de rechtbank ook uitspraak gedaan in de zaak met nummer UTR 21/1778 en het college opgedragen een nieuwe zoekslag te maken naar de verwerking van eisers persoonsgegevens. Naar het oordeel van de rechtbank heeft het college kunnen besluiten deze twee opdrachten van de rechtbank te combineren en neer te leggen in één besluit. Dit is niet in strijd met de rechtszekerheid en eiser is hierdoor niet in zijn belangen geschaad. Te minder omdat dit besluit op dezelfde dag is genomen als het onderhavige bestreden besluit. Eiser kan tegen dat besluit rechtsmiddelen aanwenden en in die procedure ter discussie stellen of het college afdoende heeft gereageerd op de incidenten A, B, C, D en H. Eiser heeft ook rechtsmiddelen aangewend. Deze beroepsgrond slaagt niet. Conclusie 17. Omdat de beroepsgronden niet slagen is het beroep ongegrond. Voor een proceskostenveroordeling bestaat geen aanleiding.