Nogmaals de Wbp en de winstverdubbelaar

Een jaar geleden schreef ik met kantoorgenoot Jos Webbink een overzichtsartikel over de verschillende Dexia-zaken, dat werd geplaatst in Privacy & Informatie. Voor Computerrecht schreef ik, naar aanleiding van drie arresten van de Hoge Raad, een update op dit artikel.

 

NOGMAALS DE WBP EN DE WINSTVER­DUBBELAAR
Hoge Raad 29 juni 2007, LJN AZ4664, AZ4663 en BA3529
Mr. G.J. Zwenne*)

Over de Dexia-zaken wordt nog steeds veel geprocedeerd. En, zoals bij de lezers van dit blad wellicht bekend,[1]  gaat een deel van de procedures over de Wet bescherming per­­soons­gegevens. Of, om preciezer te zijn: over vragen betreffende de reikwijdte en in­houd van het kennisnemingsrecht van artikel 35 van deze wet. Over deze vragen heeft inmiddels een groot aantal rechtbanken zich uitgelaten, alsmede vier gerechtshoven. Veel is daar­mee opgehelderd, maar veel toch nog niet. Er werd dan ook met veel belangstelling uitgekeken naar wat de Hoge Raad erover had te zeg­gen.

Waar ging het ook alweer over? Eind vorige eeuw boden verschillende banken, waaronder LegioLease en later de Dexia Bank, beleggingsproducten aan, aangeprezen als de «winstverdubbelaar» en zelfs de «winstverdriedubbelaar». Dit betrof producten waarbij consumenten geld van de bank leenden die daarmee vervolgens voor hen aandelen kocht. Zolang de aandelenkoersen stegen kon zo een heel behoorlijk rendement worden gerealiseerd, wat leidde tot een grote po­pu­la­ri­teit van deze producten. Uiteindelijk ging het mis. De aandelenmarkten zakten in en veel af­ne­mers van deze beleggingsproducten kwamen er achter dat zij, naar eigen zeggen zonder het te weten, grote schulden hadden opgebouwd. Om zich voor te bereiden op een procedure tegen de bank deed een aantal van hen een op artikel 35 Wbp gebaseerd verzoek om verstrekking van een overzicht van de persoonsgegevens die Dexia over hen verwerkte. In voorkomende ge­val­len maakten zij daarbij dankbaar gebruik van een voorbeeldbrief die de programmamakers van Tros Radar graag op het internet beschikbaar stelden. De bank weigerde om een aantal redenen aan deze kennisnemingsverzoeken te voldoen. Aan de verschillende rechtbanken, gerechtshoven en ten slotte de Hoge Raad, werd vervolgens voorgelegd in hoeverre deze weigering terecht was.
De Hoge Raad beantwoordt deze rechtsvraag in drie arresten, waarvan er twee gaan over Dexia en één over de Hollandsche Bank Unie of HBU, een bank die al eerder op een ander terrein zorgde voor baanbrekende jurisprudentie.[2] De relevante overwegingen in de drie arresten zijn grotendeels gelijkluidend, zij het dat het arrest over HBU een wat beperktere omvang heeft dan de beide Dexia-arresten. De vragen die de Hoge Raad in de arresten beantwoordt komen neer op de volgende:

• in hoeverre kan een op artikel 35 Wbp gebaseerd kennisnemingsverzoek, mede gelet op het bepaalde in artikel 843a van het Wetboek van Rechtsvordering (Rv), misbruik van bevoegdheid in de zin van artikel 3:15 jo 3:13 Bw opleveren?
• in hoeverre kan de bank met een beroep op de uitzonderingsgrond van artikel 43 Wbp niet gehouden zijn te voldoen aan het kennisnemingsverzoek omdat de daarmee gemoeide administratieve lasten voor de bank disproportioneel zijn?
• vallen ook opnamen van telefoongesprekken en de schriftelijke uitwerkingen daarvan onder het kennisnemingsrecht? en
• wat moet worden verstaan onder het in artikel 35, tweede lid, Wbp vereiste ‘ volledig overzicht in begrijpelijke vorm’, en in hoeverre brengt dit met zich mee dat er kopieën en afschriften van originele documenten moeten worden verstrekt?

In zijn antwoorden op deze vragen gaat de Hoge Raad uit van een ruime reikwijdte van het kennisnemingsrecht. Alleen in uitzonderingssituaties, die door de bank als verantwoordelijke voor de gegevensverwerkingen aannemelijk moeten worden gemaakt, kan er sprake van zijn dat er niet hoeft te worden voldaan aan een kennisnemingsverzoek. Ook beslist het rechtscollege dat, als daarom wordt verzocht, in beginsel ook kopieën en afschriften van documenten moeten worden verstrekt, evenals opgenomen telefoon­gesprekken en de schriftelijke uitwerkingen daarvan.
Voor de teleurgestelde beleggers in winstverdubbelaars en -verdriedubbelaars is dat allemaal goed nieuws, zij het dat zij daarmee nog niet kunnen beschikken over het geld dat zij hebben ingelegd, laat staan de niet-gerealiseerde opbrengsten daarover. De bank had uiteraard anders gewild. En, het moet gezegd, op een enkel onderdeel heeft ons hoogste rechtscollege toch anders beslist dan  en anderen eerder betoogden.[3]
In de rest van deze bespreking ga ik nader in op de verschillende door de Hoge Raad beantwoorde vragen. Daarbij bespreek ik ook hoe deze antwoorden zich verhouden tot de uitspraken van lagere rechters en wat daarover in de literatuur zoal is gezegd.

Misbruik van bevoegdheid (art. 3:15 jo. 3:13 Bw)
Dexia stelt dat zij niet hoefde te voldoen aan kennisnemingsverzoeken omdat er sprake zou zijn van misbruik van bevoegdheid in de zin van artikel 3:15 jo 3:13 Bw. Ook meent de bank dat een op artikel 35 Wbp gebaseerd kennisnemingsverzoek een doorkruising betekent van het stelsel van artikel 843a Rv. Dit betreft een procesrechtelijke bepaling op grond waarvan de ene partij van de andere kan verlangen dat die ‘inzage, afschrift of uittreksel’ geeft van bepaalde bescheiden, aangaande een rechtsbetrekking waarin hij partij is. Deze bescheiden behoeven niet te worden verstrekt als daarvoor ‘gewichtige redenen’ zijn of als kan worden aangenomen dat een ‘behoorlijke rechtsbedeling’ ook zonder verstrekking is gewaarborgd. [4]
Op het misbruik-van-bevoegdheid verweer zegt de Hoge Raad niet heel veel. In het arrest dat aan hem werd voorgelegd had het Hof ‘s-Hertogenbosch geoordeeld dat een kennisnemingsverzoek wel misbruik van recht zou kunnen opleveren, maar dat dit dan wel door Dexia moet worden aange­toond. Dat was Dexia niet gelukt. En dus oordeelde het hof dat het kennisnemings­ver­zoek in dat geval geen misbruik van bevoegdheid oplevert. Omdat dit niet in cassatie is bestreden, en wellicht ook te zeer zou zijn verweven met wat wordt genoemd ‘waarderingen van feitelijke aard’, kan de Hoge Raad daarover niet veel meer zeggen dan dat dit oordeel van het hof niet onjuist of onbegrijpelijk is. Wel overweegt hij nog dat er voor een op artikel 35 Wbp gebaseerd verzoek door de betrokkene geen bijzondere redenen hoeven te worden gegeven, en dat mag worden aangenomen dat aan zo een verzoek in het algemeen een rechtmatig belang ten grondslag ligt. Uit de toevoeging ‘in het algemeen’ kan worden opgemaakt dat zo een kennisnemingsverzoek wel misbruik van recht kán opleveren, maar dat dit alleen bij uitzondering kan worden aangenomen en zonodig door de verantwoordelijke moet worden aangetoond. Dit is in lijn met de meeste uitspraken van lagere rechters in Dexia-zaken.[5]
Aan de doorkruising van het stelsel van artikel 843a Rv door een kennisnemingsverzoek op grond van  artikel 35 Wbp besteedt de Hoge Raad meer aandacht. Hij overweegt dat  deze procesrechtelijke bepaling geen afbreuk doet aan de verplichting van artikel 35 Wbp tot het verstrekken van informatie. De procedures van artikel 843a Rv en 35 Wbp kunnen dus, zoals het Hof ’s-Hertogen­bosch al oordeelde,[6] naast elkaar lopen, in die zin dat de ene procedure niet in de weg staat aan de andere. De omstandigheid dat de betrokkene door zijn kennis­nemings­verzoek kan gaan beschikken over informatie die voor hem van nut kan zijn in een pro­ce­dure, is onvoldoende om aan te nemen dat de verstrekking daarvan achterwege dient te blij­ven. De Hoge Raad wijst erop dat artikel 43 Wbp eigen uitzonderingsgronden kent. Verder wijst hij er nog op, dat zelfs als artikel 843a Rv van toepassing zou zijn, er behoudens de bescherming van rechten en belangen van derden, geen sprake zou zijn van de in dat ar­ti­kel genoemde gewichtige redenen op basis waarvan de verstrekking achterwege zou mogen blijven.
“het door Dexia aangevoerde feit dat [verweerder] uit de door Dexia verstrekte stukken informatie kan destilleren die voor hem van nut kan zijn in een procedure, [is] onvoldoende om aan te nemen dat op grond van gewichtige redenen als bedoeld in art. 843a Rv de verstrekking van de door [verweerder] verzochte informatie achterwege dient te blijven. Niet alleen kent de Wbp in art. 43 eigen uitzonderingsgronden, maar de gewichtige redenen van art. 843a Rv zouden, indien deze bepaling in het onderhavige geval van toepassing zou zijn, aan de verantwoordelijke ook geen mogelijkheid bieden op die grond aan de betrokkene informatie te onthouden, behoudens bijzondere redenen zoals een beroep op vertrouwelijkheid ter bescherming van de rechten of belangen van derden.”
Ook wat art. 843a Rv-verweer betreft, lijkt de Hoge Raad zich te kunnen vinden in wat de meeste lagere rechters daarover hebben gezegd – met uitzondering van de rechtbank Arnhem.[7] Deze rechtbank vond dat in het hem voorgelegde geval het gebruik van het kennisnemingsrecht niet zou passen in het door het Wetboek van Rechtsvordering voorgeschreven ‘betrekkelijk fijnmazige systeem van stelplicht, bewijslast­verdeling en exhibitieplicht’. Deze rechtbank  was er niet van overtuigd dat de betrokkenen hun verzoek om een andere reden hadden gedaan dan het beginnen van een procedure tegen de bank.[8] Voor de Hoge Raad lijkt dat niet relevant. Als ik het goed zie vindt de Hoge Raad dat er ook geen sprake behoeft te zijn van misbruik van bevoegdheid, in het geval het verzoek met geen andere reden is gedaan dan het beginnen van een procedure tegen de bank. 

Onevenredige administratieve lasten (art. 43, onder e, Wbp)
In de procedures stelde Dexia zich op het standpunt dat zij niet zou hoeven voldoen aan kennisnemingsverzoeken op grond van artikel 35 Wbp omdat dat voor haar onevenredige administratieve lasten zou betekenen. De Hoge Raad ziet dat, evenals nagenoeg alle lagere rechters,[9] anders. Hij stelt voorop:
“dat Dexia in beginsel niet op grond van haar belang om administratieve lasten te beperken het verstrekken van kopieën of transcripties van telefoongesprekken mag afwijzen. Het bezit van een groot cliëntenbestand brengt immers mee dat veel cliënten – al dan niet daartoe aangemoedigd door televisieacties – een beroep op de hun toekomende rechten kunnen doen.”
Het gaat dus om een normaal bedrijfsrisico waar bedrijven met veel klanten maar rekening mee moeten houden. Eerder gebruikte onder meer de rechtbank Breda[10] en de rechtbank ’s-Hertogenbosch[11] gelijke overwegingen. Verder wijst de Hoge Raad erop, zoals eerder ook onder meer de rechtbank Amsterdam,[12] dat de bank op grond van artikel 39 Wbp aanspraak kan maken op een tegemoetkoming in de door haar gemaakte administratieve kosten. Aan een kennisnemingsverzoek behoeft de bank niet te voldoen als zij aannemelijk maakt dat de daarmee gemoeide administratieve lasten zodanig disproportioneel zijn, dat hij in een van zijn rechten en vrijheden wordt aangetast of dreigt te worden aangetast. En daarbij gaat het niet, zoals de rechtbank Utrecht[13] eerder meende, om het totaal van alle kennisnemingsver­zoeken, maar alleen om dat van de desbetreffende, individuele betrokkene. Het hof meende dat Dexia er niet in was geslaagd aannemelijk te maken dat er sprake was van onevenredige administratieve lasten. De Hoge Raad kan zich daarin vinden.

Opnamen en uitwerkingen van telefoongesprekken (art. 1, onder c, jo. 2, eerste lid, Wbp)
Veel van de winstver(drie)dubbel-overeenkomsten tussen beleggers en de bank waren telefonisch aangegaan. Vandaar dat beleggers er belang bij hadden om te kunnen beschikken over de opnamen en schriftelijke uitwerkingen van deze telefoongesprekken. In alle procedures moest dan ook de vraag worden beantwoord of het kennisnemingsrecht ook zag op deze opnamen en de uitwerkingen. In termen van de Wbp komt deze vraag neer op de vraag of opnamen en uitwerkingen al dan niet moeten worden aangemerkt als bestand in de zin van artikel 1, onder c. Wbp. Het antwoord op deze vraag is niet alleen bepalend voor de inhoud van het kennisnemingsrecht, maar ook meer in het algemeen voor het toepassingsbereik van de wet, zoals bepaald in artikel 2, eerste lid, daarvan.[14]
Een bestand betreft “elk gestructureerd geheel van persoonsgegevens [..] dat volgens be­paalde criteria toegankelijk is en betrekking heeft op verschillende personen.” Uit de par­lementaire geschiedenis van de wet blijkt dat daarvan sprake kan zijn als het gaat om ge­luids­opnamen die min of meer toegankelijk zijn voor latere raadpleging. Dexia stelde dat de band­­opnamen van de telefoongesprekken en de schriftelijke uitwerkingen geen bestand zijn en evenmin bestemd zijn om daarin te worden opgenomen. Daartoe voerde de bank met zo­veel woorden aan dat deze opnamen niet voldoende toegankelijk waren – dit omdat zij eerst aan de hand van de door de betrokkene op te geven data de geluidsbanden zou moeten traceren waarop mogelijk telefoongesprekken met deze betrokkene zijn te vinden; ver­vol­gens zou zij dan die banden moeten afluisteren om de gesprekken met die bepaalde betrokkene te kunnen vinden. Een en ander zou vooral lastig zijn omdat de bank niet beschikte over een zoekfunctie.
Het hof was daardoor niet overtuigd. Het had vastgesteld dat de bank de geluidsbanden be­waarde met het oog op haar procespositie en deze dus als bewijs wilde kunnen gebruiken tegen haar cliënten, hetgeen in een van de procedures ook door de bank was toegegeven. En daarbij had het hof vastgesteld dat Dexia op grond van de Gedragscode Verwerking Per­soons­gegevens Financiële Instellingen[15] hoe dan ook is gehouden de technische en orga­ni­sa­torische voorzieningen te treffen om de opgenomen telefoongesprekken en andere gegevens zo­nodig te kunnen traceren en reconstrueren. De Hoge Raad kan zich in een en ander vin­den.
Opmerkelijk, en voor de bank enigszins wrang, is dat de rechtbank ’s?Hertogen­bosch[16] haar had opgedragen om een overzicht te verstrekken van onder andere de data en exacte tijd­stip­pen van de met de betrokkenen gevoerde telefoongesprekken. Ook daar had Dexia grie­ven tegen gericht. Vervolgens komt de Hoge Raad evenwel tot de conclusie dat juist met dit overzicht, dat de bank tegen haar zin had moeten verstrekken, de banden met de tele­foon­gesprekken zijn ontsloten, zodat er ook om die reden moet worden geconcludeerd dat er sprake is van een bestand. Veel doet dat er echter niet toe. Uit de andere arresten blijkt immers dat de geluidsopnamen ook zonder zo een overzicht worden aangemerkt als bestand in de zin van artikel 1. onder c, van de Wbp.
Voorzover het gaat om de opnamen van telefoongesprekken krijgt Dexia op één formeel, processueel onderdeel toch haar zin. In een (niet-gepubliceerde) beschikking had de rechtbank Roermond,[17] evenals de rechtbank Utrecht[18] maar anders dan uiteindelijk de Hoge Raad, geoordeeld dat bandopnamen buiten het bereik van de Wbp vallen omdat ze geen bestand zouden vormen. Dit zou alleen anders zijn voor telefoongesprekken die schriftelijk of op digitale wijze, geautomatiseerd, zijn vastgelegd.[19] Het hof en de Hoge Raad kunnen zich daar, bleek in het voorgaande, niet in vinden. Echter, omdat betrokkene tegen dit oordeel van de rechtbank geen beroep had ingesteld, had het hof niet mogen oordelen dat artikel 35 Wbp recht geeft op uitwerkingen van telefoongesprekken. Door dit toch te doen is het hof buiten de rechtsstrijd van partijen getreden. Om deze reden wordt het beroep van Dexia tegen dit onderdeel gegrond verklaard. Een geval van jammer voor de betrokkene, zij het dat dit in het onderhavige geval zonder gevolgen voor hem blijft, aangezien inmiddels vaststaat dat de schriftelijke uitwerkingen in het onderhavige geval wel onder de Wbp vallen.

Een ‘volledig overzicht in begrijpelijke vorm’ (art. 35, tweede lid, Wbp)
Ook over de wijze waarop het door artikel 35, tweede lid, Wbp vereiste ‘volledig overzicht in begrijpelijke vorm’ kan worden verstrekt, verschilden de banken en betrokkenen met elkaar van mening. Dexia en HBU meenden dat dit overzicht ook kon worden gegeven op andere wij­ze dan de verstrekking van kopieën of afschriften of uitwerkingen van de originele do­cu­men­­ten of bandopnamen. De Hoge Raad ziet dat, evenals het hof, genuanceerd, maar gaat an­ders dan de banken wel uit van het uitgangspunt dat er in beginsel wél kopieën, afschriften of uitwerkingen moeten worden verstrekt.
De Hoge Raad stelt voorop dat, anders dan Dexia kennelijk wil betogen, om te voldoen aan de verplichting van artikel 35, tweede lid, Wbp niet kan worden volstaan met de verstrekking van globale informatie, doch dat alle relevante informatie over de betrokkene moet worden ver­strekt. Dit zal, zo stelt het rechtscollege, afhankelijk van de omstandigheden, vaak kunnen en zonodig moeten gebeuren door het verstrekken van afschriften, kopieën of uittreksels. De Hoge Raad leidt dit af uit een van de overwegingen in de considerans bij de privacy­richt­lijn,[20] waarin staat dat het kennisnemingsrecht beoogt de betrokkene in staat te stellen zich te ver­gewissen van de juistheid en de rechtmatigheid van de over hem verwerkte gegevens.[21] In dit verband wijst hij ook op de parlementaire geschiedenis van artikel 29 Wet Persoons­registraties, de voorganger van artikel 35 Wbp.[22] In het door artikel 35 Wbp gebruikte begrip ‘vol­ledig overzicht’ leest hij dan ook geen beperking van de omvang van het ken­nis­nemingsrecht:
“Het in art. 35 gebruikte begrip ‘volledig overzicht’ moet veeleer als een ruime aanduiding van de verplichting tot het verschaffen van de gegevens en niet als een beperking worden beschouwd”
Voor de vraag hoe moet worden voldaan aan een kennisnemingsverzoek met betrekking tot opgenomen telefoongesprekken werkt de Hoge Raad een en ander uit in het arrest over de HBU-bank.[23] In deze procedure was het hof ervan uit gegaan, en de Hoge Raad kan zich daarin vinden, dat het vereiste volledige overzicht in elk geval kan worden gegeven door een afschrift, kopie of schriftelijke uitwerking te verstrekken. Het hof meende daarom dat het in beginsel voor de hand ligt om op deze wijze aan het kennisnemingsverzoek te voldoen. Op andere wijze kan mogelijk ook. Maar het is dan wel aan de bank om aannemelijk te maken dat ook op deze andere wijze het vereiste ‘volledige overzicht in begrijpelijke vorm’ zou kunnen worden verstrekt. De bank heeft dat niet gedaan. En dus moeten kopieën van de bandopnamen en/of uitwerkingen worden verstrekt. De Hoge Raad zegt het zo:
“Als, zoals HBU meent, zich zeer wel laat denken dat het vereiste volledige overzicht in begrijpelijke vorm wordt verschaft zonder verstrekking van afschriften, bandopnames en/of schriftelijke uitwerkingen daarvan, had HBU haar standpunt aan de hand van concrete voorbeelden aannemelijk moeten maken, hetgeen zij evenwel heeft nagelaten. Het hof heeft hieraan begrijpelijkerwijs de slotsom verbonden dat HBU geen bezwaren tegen het verschaffen van de gevraagde bescheiden en opnamen heeft aangevoerd die stand kunnen houden, terwijl HBU, naar het hof kennelijk en niet onbegrijpelijk heeft geoordeeld, ook geen andere steekhoudende redenen heeft aangevoerd die aan toewijzing van de vorderingen in de weg staan.”
Dit zal, denk ik, niet per se beperkt zijn tot opnamen van telefoongesprekken, maar zal ook van toepassing zijn op persoonsgegevens vastgelegd op andere gegevensdragers. In beginsel kan en moet aan een op artikel 35 Wbp gebaseerd kennisnemingsverzoek worden voldaan door verstrekking van kopieën of afschriften van de gegevensdrager waarop de gegevens zijn vastgelegd. Op een andere wijze kan en mag alleen als aannemelijk kan worden gemaakt, door de verantwoordelijke, dat daarmee wordt voldaan het de wettelijke vereisten. Uitgangspunt daarbij is dat geen afbreuk wordt gedaan aan de mogelijkheden van de betrokkene om de juistheid en volledigheid van zijn gegevens na te gaan. 

Risicoprofielen, aan- en verkoopbewijzen en andere gegevens
In de lagere rechtspraak is over een groot aantal andere categorieën van gegevens het nodige gezegd, zoals de risicoprofielen, aan- en verkoopbewijzen, effectennota’s en dergelijke.[24] Over dergelijke gegevens zegt de Hoge Raad niets specifieks, wat kan worden verklaard doordat het bij dergelijke documenten vooral gaat om de vraag in hoeverre er sprake is van persoonsgegevens en/of in hoeverre deze gegevens bestemd zijn om te worden opgenomen in een bestand of daartoe bestemd. Dat is allemaal erg feitelijk en dus in cassatie beperkt toetsbaar. Wij moeten het daarom doen met de vaststelling van het rechtscollege dat het kennisnemingsrecht een ruime strekking heeft. Als het gaat om persoonsgegevens waarop de wet van toepassing is – ofwel als er sprake is van geautomatiseerde verwerking en/of een bestand –  dan zal al snel moeten worden aangenomen dat van deze gegevensdragers kopieën of afschriften moeten worden verstrekt.
Wel gaat de Hoge Raad nog kort in op de notities die door de bankmedewerkers bij de dossiers van betrokkenen waren gevoegd. In dat verband maakte het hof onderscheid tussen enerzijds interne en anderzijds de notities die bij derden of de betrokkene zelf waren opgevraagd; de laatste notities kunnen bijvoorbeeld BKR-gegevens zijn of andere gegevens over de kredietwaardigheid van de betrokken. Wat betreft de gegevens in deze laatste soort van notities had het hof geoordeeld dat deze deel uitmaken van een bestand of bestemd zijn om in een bestand te worden opgenomen. De Hoge Raad kan zich daar wel in vinden. Dit omdat dergelijke gegevens door de bank met een bepaald doel zijn opgevraagd en als zodanig ‘naar hun aard’  bedoeld zijn om bij de andere persoonsgegevens te worden bewaard. Als dat anders was had de bank dat moeten aanvoeren, hetgeen zij niet heeft gedaan.
Waar het gaat om de interne notities ligt dat anders. Voor deze notities, die persoonlijke gedachten van bankmedewerkers bevatten en zijn bedoeld voor intern overleg, is veel minder vanzelfsprekend dat deze bedoeld zijn om tezamen met andere persoonsgegevens in een bestand te worden opgenomen. Van deze interne notities behoeven dus in beginsel geen kopieën te worden verstrekt, tenzij de betrokkene aannemelijk kan maken dat de wet wel ook op deze gegevens van toepassing is (d.w.z. geautomatiseerd worden verwerkt en/of deel uitmaken van een bestand of daartoe bestemd zijn).

Afsluitende opmerkingen
Er mag, gelet op wat er al eerder al is gezegd over de betekenis van de Dexia-zaken voor de Wbp, worden verwacht dat het laatste woord daarover nog niet is gezegd –  ook omdat de Hoge Raad niet veel heeft willen of kunnen zeggen over een aantal in de lagere rechtspraak terugkerende onderwerpen, zoals wat er zou moeten met risicoprofielen, cliëntprofielen en wat wel wordt aangeduid als ‘groepsprofielen’.[25]
Waar het gaat om opnamen van telefoongesprekken en de schriftelijke uitwerkingen daarvan hebben de twee Dexia-arresten het nodige opgehelderd . Omdat Dexia de opnamen heeft bewaard voor bewijsdoeleinden en/of met het oog op haar procespositie, kan worden aangenomen dat er sprake is van voldoende toegankelijkheid en gestructureerdheid om te kunnen spreken van een bestand in de zin van artikel 1, onder c, Wbp – zeker als er in aanmerking wordt genomen dat er ook nog een gedragscode is die van de bank verlangt dat zij technische en organisatorische voorzieningen heeft getroffen om deze telefoon­gesprekken zonodig te kunnen traceren en reconstrueren.
Voor een bank als Dexia is er misschien wel wat voor  te zeggen dat de door haar opgenomen gesprekken wel als bestand moeten worden aangemerkt. In elk geval bleek de bank in veel van de procedures over haar beleggingsproducten heel wel in staat om de relevante telefoongesprekken zonodig te reproduceren. En dat duidt inderdaad op enige toegankelijkheid en structurering, zij het dat die mogelijk pas is gerealiseerd in de loop van deze procedures. Zoals gezegd kan dat laatste tot de merkwaardige situatie leiden dat de persoonsgegevens die inzet zijn van de procedure eerst niet onder de wet vielen (want: geen bestand) maar vervolgens wel onder de wet zijn gaan vallen omdat in dezelfde procedure werd verlangd dat de gegevens werden ontsloten (dus: wel een bestand).
Toch komt het voor dat de toegankelijkheid en structurering van dergelijke opnamen niet altijd zomaar kan worden verondersteld. Er zijn talloze partijen die om wat voor reden dan ook opnamen van gesprekken (of videobeelden of wat dan ook) bewaren, zonder dat zij zich echt druk maken over hoe ze die opnamen ooit zouden kunnen gebruiken. Over de zin en onzin van het bewaren van dergelijke opnamen valt van alles te zeggen, maar dat maakt nog niet dat deze opnamen voldoende toegankelijk en gestructureerd zijn om als bestand te worden aangemerkt. In dergelijke gevallen moet de conclusie zijn dat er geen sprake is van een bestand, en dat de Wbp dus niet van toepassing is op de persoonsgegevens daarin.[26]
In een eerdere bespreking[27] stelde ik mij met anderen op het standpunt dat het door de wet vereiste ‘ volledig overzicht in begrijpelijke vorm’ niet meer hoeft te omvatten dan een opgave van welke gegevens er op welke wijze en voor welke doeleinden worden verwerkt, en dus niet per se een kopie van de desbetreffende gegevensdrager  zelf. Ik stelde in dat verband dat persoonsgegevens zijn te onderscheiden van de dragers waarop deze zijn vastgelegd: een naam, persoonsnummer of risicoprofiel kan een persoonsgegeven zijn, een document of een bandopname waarop dat gegeven is vastgelegd, is een gegevensdrager.[28] En met onder andere Berkvens[29] meen ik dat de vermelding van een naam of andere persoonsgegevens de desbetreffende betrokkene nog geen aanspraken geeft op toegang tot het hele document, maar alleen een recht op een begrijpelijke mededeling over die gegevens. In het HBU-arrest legt de Hoge Raad in dat verband de bewijslast in dat verband nadrukkelijk bij de verantwoordelijke. Er kan mogelijk ook worden voldaan aan de vereisten van artikel 35, tweede lid, Wbp zonder verstrekking van kopie of afschrift van de originele gegevensdragers. Maar dat moet de verantwoordelijke dan wel kunnen uitleggen.
In de praktijk zal dit betekenen dat ondernemingen die telefonisch overeenkomsten aangaan maatregelen moeten nemen om zonodig aan kennisnemingsverzoeken te kunnen voldoen. In veel gevallen zal dit betekenen dat men gebruik gaat maken van systemen die het mogelijk maken om de opgenomen gesprekken te structureren en toegankelijk te maken. Voorzover er dan al geen sprake zou zijn van geautomatiseerde verwerkingen, gaat het wel om een bestand, zodat de wet hoe dan ook van toepassing zal zijn. Er moet echter ook niet worden uitgesloten dat verantwoordelijken gaan heroverwegen wat zij op welke wijze vastleggen en bewaren, en hoelang zij dat gaan doen. Want wat niet is bewaard, kan en hoeft ook niet in het kader van een kennisnemingverzoek te worden verstrekt.
Ten slotte lijkt het in dat verband niet onredelijk om nog eens te kijken naar de kosten die door de  verantwoordelijke aan de betrokkene in rekening mogen worden gebracht met betrekking tot kennisnemingverzoeken. Er mag op dit moment maximaal €4,50 worden gevraagd, of €22,50 als er meer dan honderd pagina’s worden verstrekt of als het gaat om een, vanwege de aard van de verwerking, moeilijk toegankelijke gegevensverwerking.[30] Veel verantwoordelijken vinden dat dergelijke bedragen niet meer in een redelijke verhouding staan tot de kosten die zij moeten maken om aan kennisnemingsverzoeken te voldoen.[31] Aanpassing van de maximale kostenvergoedingen ligt voor de hand, zeker nu de Hoge Raad heeft uitgemaakt dat er veel eerder dan gedacht en op meer bewerkelijke wijze aan kennisnemingsverzoeken moet worden voldaan.
Op deze tekst is een Creative Commons Licentie (by-nc-nd 2.5 Netherlands) van toepassing. Zie voor gebruiksvoorwaarden:  http://creativecommons.org/licenses/by-nc-nd/2.5/nl.  Een voor internet geschikte versie van deze tekst met links naar de genoemde rechtspraak is te vinden op http://weblog.leidenuniv.nl/users/zwennegj

 

*) Gerrit-Jan Zwenne (gerrit-jan.zwenne@twobirds.com) is advocaat bij Bird & Bird in ’s-Gravenhage, alsmede universitair hoofddocent bij eLaw@Leiden, het Centrum voor Recht in de Informatie­maatschappij van de Universiteit Leiden, en fellow bij het E.M. Meijers Instituut, het onderzoeks­instituut van de rechtenfaculteit van deze universiteit. Citeertitel G-J. Zwenne, ‘Nogmaals de Wbp en de winstverdubbelaar: HR 29 juni 2007, LJN AZ4664, AZ4663 en BA3529’, Computerrecht 2007/6, p. 292-297.

[1] Vgl. J.P. van Schoonhoven, ‘Inzage bij banken; een recht te ver?’, Computerrecht 2006/99J. Holvast, ‘Annotatie bij Rechtbank Amsterdam 19 mei 2004’, Computerrecht 2005/49, alsmede Computerrecht 2006/103.
[2] Vgl. HR 19 mei 1967, NJ 1967, 261, mnt. GJS (Saladin/HBU).
[3] G-J. Zwenne & J. Webbink ‘De winstverdubbelaar en de Wbp: over de reikwijdte en inhoud van het ken­nisnemingsrecht van artikel 35’, P&I 2006/1, p. 1 – 8; J.M.A. Berkvens, ‘Inzage, inzicht of overzicht’, P&I 2005/3, p. 119-121.
[4] Zie over de toepassing van artikel 843a Rv, J.R. Sijmonsma, ‘Enkele aspecten van de inzage­plicht van art. 843a Rv’, Praktisch procederen, 2005/5, p. 145 t/m 152.
[5] Vgl. Rb Almelo 14 februari 2005, LJN AS5909 en LJN AS5919, Rb ‘s-Hertogenbosch 23 maart 2005, LJN AT2985 en LJN AT2889, Rb Rotterdam 20 maart 2005, LJN AT8525 en Hof Amsterdam 10 november 2005, LJN AU8223 maar anders Rb Arnhem 22 februari 2005, JOR 2005/124; zie Zwenne & Webbink 2006, p. 3-4.
[6] Hof Den ‘s-Hertogenbosch 16 januari 2006, LJN AV0011 en AV0012, r.o. 4.6.3.
[7] Rb Arnhem 22 februari 2005, JOR 2005/124; Zwenne & Webbink 2006, p. 4.
[8] Zwenne & Webbink 2006, p. 4-5.
[9] Alleen de rechtbank Utrecht zag dit anders, zie Rb Utrecht 12 januari 2005, LJN AS2127.
[10] Rb Breda 15 april 2005, LJN AT3948.
[11] Rb ’s-Hertogenbosch 23 maart 2005, LJN AT2985, alsmede Van Schoonhoven 2006.
[12] Rb Amsterdam 19 mei 2005, LJN AT5858, alsmede Computerrecht 2005/49.
[13] Rb Utrecht 12 januari 2005, LJN AS2127.
[14] Vgl.. HR 3 juni 2005, LJN AT1093 (zwartboek); zie daarover A.D. Putker-Blees & A. Meulenveld, ‘Inzicht in inzagerecht’, Sociaal Recht 2006/60 en S.M. Artz, ‘De reikwijdte van het begrip bestand’, P&I 2004/5.
[15] Stcrt. 2003, 23.
[16] Rb ’s-Hertogenbosch 23 maart 2005, LJN AT2985 en LJN AT2889.
[17] Rb Roermond 30 maart 2005, zie Hof ’s-Hertogenbosch 16 januari 2006, LJN AV0011.
[18] Rb Utrecht 12 januari 2005, LJN AS2127.
[19] Zie r.o. 3.10 van HR 29 juni 2007, LJN AZ4664; daarbij de opmerking dat een digitale bandopname sowieso onder de werking van de Wbp valt omdat het een geautomatiseerde verwerking betreft; de vraag of er sprake is van een bestand i.d.z.v. artikel 1, onder c, Wbp is dan in zoverre dus niet meer relevant.
[20] Dit betreft uiteraard Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, PbEG L 281.
[21] In §4.8 van zijn zeer lezenswaardige conclusie gaat AG Verkade in op deze overweging 41 van de richtlijn en het verband dat daarin wordt gelegd met het verbeteringsrecht. Hij stelt dat het kennisnemingsrecht wel dienstig kan zijn voor het verbeteringsrecht, maar dat het daarnaast ook zelfstandige betekenis heeft.
[22] Resp. kamerstukken II 1986-1987, 19095, nr. 6, p. 57-58 en kamerstukken II 1997-1998, 25892, nr. 3, p. 157-158.
[23] HR 29 juni 2007, LJN BA 3529.
[24] Zwenne &  Webbink 2005,  p. 6-7.
[25] Vgl. P.J.A. de Hert c.s, ‘De WBP na de Dexia-uitspraken’, P&I 2007/4, p. 147-157.
[26] Overigens heeft Nederlandse wetgever er uitdrukkelijk voor gekozen om het bestandsbegrip te beperken tot gegevensverzamelingen die betrekking hebben op meerdere personen. Een opname waarop slechts de gegevens van één individu staan valt om deze reden buiten het bereik van de wet; zie Kamerstukken II 1997-1998, 25 892, nr. 3, p. 52; Kamerstukken II 1998-1999, 25 892, nr. 8, p. 13.
[27] Zwenne & Webbink 2005, p. 7-8.
[28] Ook Rank & Haasjes gingen uit van deze, beperktere opvatting over wat moet worden verstrekt om aan het vereiste volledige overzicht te verstrekken. Om dit te onderbouwen wezen wij op enige parlementaire geschiedenis bij de Wet persoonsregistraties die daarop zou duiden (nl. Kamerstukken I 1987-1988, 19 095, nr. 14, p. 589-590). In voetnoot 20 bij zijn conclusie maakt de AG doeltreffend gehakt van deze argumentatie.
[29] Berkvens 2005, p. 119-121; zie ook Rank & Haasjes 2005, p. 370-379. Anders: J. Holvast, annotatie bij Rb Amsterdam 19 mei 2005 in Computerrecht 2005/6, p. 323-327; A.J.E. van den Bergen, ‘De Wet bescherming persoonsgegevens in de financiële procespraktijk’, Tijdschrift voor financieel recht, 2005/10, p. 296-306; W.A.K.
[30] O.g.v artikel 39, eerste lid, Wbp jo. de artikelen 2 en 3 Besluit kostenvergoeding rechten betrokkene Wbp (Stb. 2001, 305).
[31] Vgl. G-J. Zwenne et al, Eerste fase evaluatie Wet bescherming persoonsgegevens. Literatuuronderzoek en knelpuntenanalyse, eLaw@Leiden/WODC 2007, p. 80.