ECLI:NL:RBNHO:2023:8912

RECHTBANK NOORD-HOLLAND Zittingsplaats Haarlem Bestuursrecht zaaknummers: HAA 22/2413 en 22/2369 uitspraak van de enkelvoudige kamer van 4 juli 2023 in de zaken tussen [eiseres] en [eiser], uit [plaats], eisers (gemachtigde: mr. I. Brouwer), en de minister van Volksgezondheid, Welzijn en Sport, verweerder (gemachtigden: mr. W.J. Samuels, S. Went, mr. A. Sekerdag en mr. S. Moll). Inleiding 1.1. In deze uitspraak beoordeelt de rechtbank de beroepen van eisers over de besluiten van verweerder op hun verzoeken om persoonsgegevens te verwijderen. 1.2. Verweerder heeft deze verzoeken met de besluiten van 7 december 2021 buiten behandeling gesteld. Met de bestreden besluiten van respectievelijk 4 april 2022 en 21 maart 2022 op de bezwaren van eisers is verweerder daarbij gebleven. 1.3. Eisers hebben beroep ingesteld. Het beroep van [eiseres] is geregistreerd onder nummer HAA 22/2413, het beroep van [eiser] onder nummer HAA 22/2369. 1.4. Verweerder heeft op de beroepen gereageerd met een verweerschrift. Eisers hebben daarna een nader stuk ingediend. 1.5. De rechtbank heeft de beroepen op 11 april 2023 samen op zitting behandeld. Hieraan hebben deelgenomen: [eiser], de gemachtigde van eisers en de gemachtigden van verweerder. 1.6. Bij sluiting van het onderzoek op zitting heeft de rechtbank meegedeeld in beginsel binnen zes weken uitspraak te doen. De rechtbank heeft deze termijn niet gehaald en partijen bericht dat de uitspraaktermijn met zes weken is verlengd.

2. 2.1. De rechtbank beoordeelt of verweerder de verzoeken buiten behandeling mocht stellen. Zij doet dat aan de hand van de beroepsgronden van eisers. In het beroep van [eiser] (eiser) beoordeelt de rechtbank ook of verweerder een dwangsom heeft verbeurd wegens het niet tijdig nemen van het besluit op bezwaar. 2.2. De rechtbank is van oordeel dat verweerder beide aanvragen inderdaad buiten behandeling heeft mogen stellen. Verweerder heeft geen dwangsom aan eiser verbeurd. Hierna legt de rechtbank uit hoe zij tot deze oordelen komt en welke gevolgen deze oordelen hebben. 2.3. De voor de beoordeling van de beroepen belangrijke wet- en regelgeving is te vinden in de bijlage die deel uitmaakt van deze uitspraak. Van welke feiten gaat de rechtbank uit? 3.1. Eisers hebben allebei op 31 mei 2021 aan het – onder verweerder ressorterende – Rijksinstituut voor Volksgezondheid en Milieu (RIVM) gevraagd om verwijdering van hun COVID-19-vaccinatiegegevens en COVID-19-persoonsgegevens. Het RIVM heeft de ontvangst van de verzoeken diezelfde dag bevestigd. 3.2. Op 27 oktober 2021 heeft het RIVM aan eisers laten weten dat het de identiteit van eisers nog niet heeft kunnen vaststellen. De verzoeken zijn daarom niet in behandeling genomen. Het RIVM heeft eisers gevraagd om binnen veertien dagen een kopie van een geldig identiteitsbewijs toe te sturen, ter bevestiging van hun identiteit. Het RIVM heeft daarbij medegedeeld dat de behandelingstermijn van de verzoeken wordt opgeschort, tot het moment dat het RIVM de gevraagde kopieën heeft ontvangen. 3.3. Eisers hebben op 11 november 2021 aan het RIVM laten weten dat zij het te ingrijpend en fraudegevoelig vinden om een kopie van hun identiteitsbewijzen te verstrekken. Zij hebben aangegeven dat hun identiteit kan worden vastgesteld op basis van de laatste drie cijfers van hun burgerservicenummer (BSN). In reactie daarop heeft het RIVM eisers de mogelijkheid geboden om zich te identificeren op locatie, namelijk op woens- en vrijdagen tussen 14:00 en 17:00 uur aan de balie van het RIVM in Bilthoven. In deze reactie heeft het RIVM medegedeeld dat de verzoeken niet in behandeling worden genomen als het RIVM binnen veertien dagen de identiteit van eisers nog steeds niet heeft kunnen vaststellen. Eisers hebben van de mogelijkheid tot identificatie op locatie geen gebruik gemaakt en ook geen kopie van hun identiteitsbewijs verstrekt. 3.4. Daarna heeft verweerder de primaire besluiten genomen. Verweerder heeft daarin de verzoeken van eisers buiten behandeling gesteld, omdat verweerder niet de identiteit van eisers heeft kunnen vaststellen. Eisers hebben bezwaar gemaakt. Eiser heeft verweerder bij brief van 3 maart 2022 in gebreke gesteld omdat verweerder niet op tijd op het bezwaar heeft beslist. Wat staat er in de bestreden besluiten? 4.1. Verweerder heeft de bezwaren van eisers kennelijk ongegrond verklaard. Dat heeft verweerder – samengevat – op het volgende gebaseerd: In dit geval is het passend en noodzakelijk dat het RIVM vroeg om een kopie van een identiteitsbewijs. Het vragen om een kopie van een identiteitsbewijs vormt een belangrijke waarborg om te voorkomen dat iemand bijzondere persoonsgegevens van een ander kan laten verwijderen, door diens naam te gebruiken. Het RIVM kon de identiteit niet op een andere, minder vergaande manier vaststellen. Omdat eisers zich niet hebben geïdentificeerd en identificatie noodzakelijk is om de verwijderingsverzoeken in behandeling te nemen, zijn de verzoeken terecht buiten behandeling gesteld. Een hoorzitting had niet uitgemaakt voor de beslissing, aangezien er na lezing van hun bezwaren geen enkele twijfel over de uitkomst was. Daarom zijn eisers niet gehoord, ondanks dat zij hadden aangegeven dat zij over de bezwaren telefonisch gehoord wilden worden. 4.2. In de zaak van eiser heeft verweerder daaraan toegevoegd dat hij geen dwangsom is verschuldigd. Verweerder heeft gesteld dat hij op 7 maart 2022 een ingebrekestelling van eiser heeft ontvangen. Verweerder had toen nog twee weken om te beslissen voordat verweerder een dwangsom zou verbeuren en dat heeft verweerder binnen die termijn gedaan. Wat is het toetsingskader? 5.1. Het uitgangspunt is dat verweerder kan besluiten een verzoek niet te behandelen, als de verstrekte gegevens en bescheiden onvoldoende zijn voor de beoordeling van de aanvraag of voor de voorbereiding van de beschikking. Voorwaarde is wel dat de aanvrager de gelegenheid heeft gehad de aanvraag binnen een door het bestuursorgaan gestelde termijn aan te vullen. Een aanvraag is onder andere onvolledig of ongenoegzaam als de aanvrager onvoldoende gegevens of bescheiden verstrekt om een goede beoordeling van de aanvraag mogelijk te maken. Daarbij gaat het om gegevens die voor de beslissing op de aanvraag nodig zijn en waarover de aanvrager redelijkerwijs de beschikking kan krijgen. 5.2. Eisers hebben gevraagd dat verweerder hun COVID-19-vaccinatiegegevens en COVID-19-persoonsgegevens verwijdert. De grondslag van deze verzoeken staat in artikel 17 van de Algemene Verordening Gegevensbescherming (AVG). Als reden bestaat om te twijfelen aan de identiteit van degene die een dergelijk verzoek doet, mag om aanvullende informatie gevraagd worden, zo volgt uit artikel 12, zesde lid, van de AVG. 5.3. Verweerder heeft de verzoeken buiten behandeling gesteld, omdat hij zich op het standpunt stelt dat hij de identiteit van eisers niet kon vaststellen. Tussen partijen is het belang van die vaststelling niet in geschil. Dat belang is te meer aanwezig, nu het gaat om verzoeken om bijzondere persoonsgegevens te wissen, namelijk medische gegevens. In geschil is of verweerder van eisers mocht verlangen om een kopie van hun identiteitsbewijs te verstrekken of zich te identificeren aan de balie in Bilthoven. Als verweerder dit inderdaad van hen mocht verlangen, was verweerder bevoegd de verzoeken buiten behandeling te stellen. Eisers hebben dit namelijk niet binnen de daarvoor gestelde termijn gedaan en dan mag gezegd worden dat de door hen verstrekte gegevens onvoldoende zijn om de aanvraag te beoordelen of de beschikking voor te bereiden, zoals bedoeld in artikel 4:5 van de Algemene wet bestuursrecht (Awb). Rechtspraak over vaststelling van de identiteit 6.1. De rechtbank is het met eisers eens dat een paspoort of ander identiteitsbewijs een belangrijk document is. Het is begrijpelijk dat eisers daar voorzichtig mee willen zijn en terughoudend zijn met het verstrekken van kopieën daarvan aan derden, zoals verweerder. In de rechtspraak is uitgemaakt dat het overleggen van een kopie van een paspoort of ander identiteitsbewijs in beginsel een redelijke maatregel is om de identiteit te controleren. 6.2. Het standpunt van eisers komt erop neer dat die rechtspraak niet aansluit op richtsnoeren van het Europees Comité voor Gegevensbescherming (ECG), de AVG en ook niet op een boetebesluit van de Autoriteit Persoonsgegevens (AP) van 14 januari 2022. De rechtbank volgt dit standpunt van eisers niet en legt hierna uit waarom. 6.3. Het ECG geeft voorlichting, onder andere over de identificatie van betrokkenen zoals bedoeld in artikelen 11 en 12 van de AVG. Het ECG geeft deze voorlichting door richtsnoeren uit te vaardigen, zoals de door eisers genoemde ‘Guidelines 01/2022 on data subject rights – Right of access’.

11. De beroepen zijn ongegrond. Dat betekent dat eisers geen gelijk krijgen en de bestreden besluiten in stand blijven. Eisers krijgen daarom het griffierecht niet terug. Zij krijgen ook geen vergoeding van hun proceskosten.

De rechtbank: - verklaart de beroepen ongegrond; - wijst de verzoeken om schadevergoeding af. Deze uitspraak is gedaan door mr. drs. J. de Vries, rechter, in aanwezigheid van mr. F. Vermeij, griffier. De uitspraak is uitgesproken in het openbaar op 4 juli 2023. griffier rechter Een afschrift van deze uitspraak is verzonden aan partijen op: Informatie over hoger beroep Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen. Bijlage: voor deze uitspraak belangrijke wet- en regelgeving Algemene wet bestuursrecht Artikel 4:2 (…) 2. De aanvrager verschaft voorts de gegevens en bescheiden die voor de beslissing op de aanvraag nodig zijn en waarover hij redelijkerwijs de beschikking kan krijgen. Artikel 4:5 1. Het bestuursorgaan kan besluiten de aanvraag niet te behandelen, indien: (…) c. de verstrekte gegevens en bescheiden onvoldoende zijn voor de beoordeling van de aanvraag of voor de voorbereiding van de beschikking, mits de aanvrager de gelegenheid heeft gehad de aanvraag binnen een door het bestuursorgaan gestelde termijn aan te vullen. (…) Algemene Verordening Gegevensbescherming Artikel 17 Recht op gegevenswissing („recht op vergetelheid”) 1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is: a. a) de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt; b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking; c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2; d) de persoonsgegevens zijn onrechtmatig verwerkt; e) de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust; f) de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1. (…) Artikel 11 Verwerking waarvoor identificatie niet is vereist 1. Indien de doeleinden waarvoor een verwerkingsverantwoordelijke persoonsgegevens verwerkt, niet of niet meer vereisen dat hij een betrokkene identificeert, is hij niet verplicht om, uitsluitend om aan deze verordening te voldoen, aanvullende gegevens ter identificatie van de betrokkene bij te houden, te verkrijgen of te verwerken. 2. Wanneer de verwerkingsverantwoordelijke in de in lid 1 van dit artikel bedoelde gevallen kan aantonen dat hij de betrokkene niet kan identificeren, stelt hij de betrokkene daarvan indien mogelijk in kennis. In dergelijke gevallen zijn de artikelen 15 tot en met 20 niet van toepassing, behalve wanneer de betrokkene, met het oog op de uitoefening van zijn rechten uit hoofde van die artikelen, aanvullende gegevens verstrekt die het mogelijk maken hem te identificeren. Artikel 12 Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene 1. De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is. 2. De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22. In de in artikel 11, lid 2, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren. (…) 6. Onverminderd artikel 11 kan de verwerkingsverantwoordelijke, wanneer hij redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient als bedoeld in de artikelen 15 tot en met 21, om aanvullende informatie vragen die nodig is ter bevestiging van de identiteit van de betrokkene. (…) Op basis van artikel 12 en artikel 17, eerste lid, van de Algemene Verordening Gegevensbescherming. Dit volgt uit artikel 4:5, eerste lid, aanhef, onder c en slot, van de Algemene wet bestuursrecht (Awb). Dit volgt uit artikel 4:2, tweede lid, van de Awb. Zie bijvoorbeeld de uitspraken van de Afdeling bestuursrechtspraak van de Raad van State van 9 december 2020, ECLI:NL:RVS:2020:2833 en ECLI:NL:RVS:2020:2915, en van 8 juni 2022, ECLI:NL:RVS:2022:1608. Versie 1.0, vastgesteld op 18 januari 2022 voor openbare raadpleging. Betreffende DPG Media Magazines B.V.

Deze richtsnoeren benadrukken dat de verwerkingsverantwoordelijken (in dit geval: verweerder) voorzichtig om moeten gaan met de gegevens die zij ontvangen ten behoeve van de identificatie, maar schrijven de manier van identificatie niet dwingend voor en bevatten geen absoluut verbod op het opvragen van een kopie van een paspoort of ander identiteitsbewijs. Zoals in de richtsnoeren is vermeld, kan een kopie van een identiteitsbewijs onder omstandigheden een passend middel voor het controleren van de identiteit van de betrokkene zijn. De rechtbank ziet daarom geen reden om de rechtspraak die onder 6.1 is genoemd, ten aanzien van bijzondere persoonsgegevens zoals hier aan de orde in strijd met die richtsnoeren te achten. Ook is niet gebleken dat die rechtspraak niet in lijn zou zijn met de AVG zelf. Daarvoor hebben eisers onvoldoende aanknopingspunten naar voren gebracht, gelet op het feit dat de AVG niet concreet voorschrijft hoe identificatie dient te geschieden. Het boetebesluit van de AP zag op een situatie waarin een mediabedrijf van iedereen die zijn gegevens wilde inzien of laten verwijderen, verlangde dat een identiteitsbewijs werd geüpload of opgestuurd. De AP concludeerde dat dit in die situatie niet nodig was en dat voor die situatie er te veel persoonsgegevens werden opgevraagd. De rechtbank merkt op dat in het boetebesluit uitdrukkelijk niet is uitgesloten dat een kopie van een identiteitsbewijs wordt gevraagd in een individueel geval tussen een burger en de overheid, dat het in dat besluit niet ging om medische gegevens en dat het ging om een situatie waar geen overheidsinstantie bij betrokken was. Om deze redenen gaat de vergelijking met de verzoeken van eisers niet op. Moet er worden afgeweken van de rechtspraak? 7. De rechtbank ziet geen reden om af te wijken van de onder 6.1 genoemde rechtspraak, waarin het vragen van een kopie van een identiteitsbewijs redelijk wordt geacht. In de eerste plaats is daarvoor de aard van de gegevens van belang. Eisers hebben gevraagd om het wissen van medische gegevens. Zoals al is geconstateerd zijn dit bijzondere persoonsgegevens. In de tweede plaats spelen de gevolgen mee van het eventueel ten onrechte wissen van die gegevens. Ten tijde van de primaire besluiten golden nog coronamaatregelen. Zo was onder andere de corona-app nog in gebruik, waarmee iemand kon aantonen dat hij gevaccineerd was. Verweerder heeft op zitting verklaard dat het zogenaamde ‘groene vinkje’ niet zou verschijnen als de desbetreffende vaccinatiegegevens gewist zouden zijn. Kortom, de gevolgen voor eisers zouden aanzienlijk zijn geweest als verweerder buiten hen om de gegevens gewist zou hebben. Een derde aspect dat meeweegt is dat aannemelijk is dat de door eisers voorgestelde manier van identificatie, niet dezelfde mate van zekerheid met zich brengt. Die methode komt erop neer dat hun identiteit per e-mail wordt vastgesteld via de laatste drie cijfers van hun BSN. Zoals verweerder terecht aangeeft, zijn de laatste drie cijfers van een BSN niet uniek. Er kunnen meerdere personen zijn met een BSN dat eindigt op dezelfde drie cijfers. Eisers stellen voor dat zij dan per e-mail kunnen bevestigen dat het om hun BSN’s gaat en dat er een code naar hun telefoonnummer gestuurd kan worden door verweerder, maar ook dat systeem is niet waterdicht. Het telefoonnummer wordt opgegeven door degene die het verzoek doet en garandeert daarmee niet dat het de persoon betreft die de indiener van het verzoek zegt te zijn. Dat geldt ook voor een e-mailadres. Als vierde element speelt mee dat verweerder op zichzelf niet gehouden is om de identiteit vast te stellen op dezelfde manier als de wijze waarop de door eisers genoemde instanties dat doen (bijvoorbeeld GGD Zuid-Limburg en GGD Kennemerland). Tussenconclusie 8. De beroepen van eisers met betrekking tot het buiten behandeling stellen van hun aanvragen zijn ongegrond. Schadevergoeding 9. Eisers hebben gevraagd om een passende schadevergoeding vast te stellen. De rechtbank wijst dit verzoek af. De besluitvorming van verweerder is niet onrechtmatig gebleken. Onder die omstandigheden is schadevergoeding niet aan de orde. Dwangsom in zaak HAA 22/2369 10.1. Eiser stelt zich op het standpunt dat zijn ingebrekestelling op 4 maart 2022 door verweerder is ontvangen. Verweerder had volgens hem tot 17 maart 2022 de tijd om met het alsnog nemen van een besluit op bezwaar te voorkomen dat een dwangsom aan hem zou worden verbeurd. Omdat verweerder op 21 maart 2022 op het bezwaar heeft beslist, is verweerder een dwangsom verschuldigd over de periode van 17 tot 21 maart 2022, aldus eiser. 10.2. Verweerder heeft op de zitting bevestigd dat hij de ingebrekestelling van 3 maart 2022 heeft ontvangen op 4 maart 2022 en gesteld dat er beslist had moeten worden op uiterlijk 18 maart 2022 om het verbeuren van een dwangsom te voorkomen, maar dat de beslissing is genomen op 21 maart 2022. Volgens verweerder betekent dit dat hij over twee dagen dwangsommen heeft verbeurd. 10.3. Op grond van artikel 4:19, eerste lid, van de Awb heeft het beroep van eiser van rechtswege mede betrekking op de beslissing van verweerder om geen dwangsom toe te kennen wegens het niet tijdig nemen van een besluit op bezwaar. De rechtbank overweegt daarover als volgt: Het bezwaar van eiser tegen de buitenbehandelingstelling van zijn aanvraag is kennelijk ongegrond verklaard. Uit hetgeen hiervoor over de buitenbehandelingstelling is overwogen, volgt dat de ongegrondverklaring terecht is. Dat de uitkomst van het bezwaar kennelijk was, en dus van horen mocht worden afgezien, heeft eiser niet bestreden. Uit artikel 4:17, zesde lid, aanhef en onder c, van de Awb volgt dat er geen dwangsom verschuldigd is bij het niet tijdig beslissen op een kennelijk ongegrond bezwaar. Het beroep van eiser op dit punt slaagt daarom niet.