Introductie
De AVG bevat verschillende regels voor het verwerken van persoonsgegevens, waaronder de verantwoordelijkheden en plichten van gegevensverwerkers. De plicht om een kopie van verwerkte persoonsgegevens te overhandigen als de betrokkene daarom vraagt, valt daar ook onder. Maar moet dit kosteloos gebeuren? En wat als het nationale recht anders bepaalt? Het Hof van Justitie gaat in deze zaak in op deze en andere vragen over de kopie van verwerkte persoonsgegevens.
Zaak
HvJ EU 26 oktober 2023, C‑307/22, ECLI:EU:C:2023:811, FT (Copies du dossier médical)
Beleidsdossier en thematiek
Algemene Verordening Gegevensbescherming
Feiten
Deze zaak gaat over FT, een tandarts, en DW, haar patiënt. Het geschil gaat over de weigering van de tandarts om haar patiënt kosteloos een eerste kopie van zijn medisch dossier te verstrekken. De patiënt was van mening dat de tandarts fouten had gemaakt bij het verlenen van tandheelkundige zorg en had de tandarts daarom verzocht om een eerste kopie van zijn medisch dossier aan hem te verlenen. Hij wilde dit gebruiken om de tandarts aansprakelijk te stellen.
De tandarts was bereid om deze kopie te verstrekken op voorwaarde dat de patiënt de kosten voor de verstrekking zou betalen. In Duitsland schrijft het nationale recht voor dat een patiënt die kosten moet betalen.
Volgens artikel 15, lid 3 AVG, gelezen in samenhang met artikel 12, lid 5 AVG, heeft de betrokkene echter het recht om kosteloos een eerste kopie van verwerkte persoonsgegevens te verkrijgen. Naar aanleiding van deze botsende regelgeving verwijst de Duitse rechter de zaak door naar het Hof van Justitie van de Europese Unie (hierna: het Hof).
Rechtsvragen
De verwijzende rechter stelt drie prejudiciële vragen aan het Hof. De kern van de vragen is als volgt:
- Is de verwerker van de persoonsgegevens verplicht om kosteloos een eerste kopie van de verwerkte persoonsgegevens aan de betrokkene te verstrekken wanneer deze de kopie voor een ander doel wil gebruiken dan in de AVG staat?
- Valt het belang van de tandarts bij de vergoeding van de verstrekkingskosten onder de rechten en vrijheden zoals gespecificeerd in artikel 23, lid 1, sub 1 van de AVG en wordt de verplichting om kosteloos een eerste kopie van de verwerkte persoonsgegevens te verstrekken daardoor beperkt?
- Als een arts een kopie van verwerkte persoonsgegevens moet verstrekken aan een patiënt, welke eisen worden er dan gesteld aan de inhoud van deze kopie?
Uitspraak van het Hof
Eerste prejudiciële vraag
Het Hof stelt vast dat in artikel 12, lid 5 en artikel 15, lid 3 van de AVG het recht om kosteloos een eerste kopie van verwerkte persoonsgegevens te krijgen, vastgelegd is. Volgens het Hof hoeft de patiënt een verzoek om een kopie van zijn medische dossier niet te motiveren. Er staat namelijk nergens in artikel 12, lid 5 en artikel 15, leden 1 en 3 van de AVG dat de kosteloze verstrekking van een kopie afhankelijk is van de voorwaarde dat de betrokkene bij het verzoek daarvoor een reden geeft.
Ook mag het verzoek niet worden afgewezen door de behandelaar omdat de kopie voor een ander doel wordt gebruikt dan het vernemen en controleren van de verwerkte persoonsgegevens. In deze zaak kon dus om een kopie van het medisch dossier worden gevraagd om daarmee de behandelaar aansprakelijk te stellen.
Volgens de AGV mag een gegevensverwerker dus geen kosten in rekening brengen als hij voor de eerste keer een kopie van verwerkte gegevens verstrekt. Het Hof wijst er in deze zaak echter op, dat de gegevensverwerker wel kosten in rekening mag brengen als een betrokkene daarna nogmaals om eenzelfde kopie vraagt.
Tweede prejudiciële vraag
Op grond van artikel 23, lid 1 van de AVG kan het recht op een kosteloze eerste kopie van verwerkte persoonsgegevens, zoals vervat in artikel 15 van de AGV, worden ingeperkt. Daarbij moet er gebruik worden gemaakt van de gronden die in artikel 23 van de AVG worden genoemd. De Duitse rechter vroeg in de tweede prejudiciële vraag naar de mogelijkheid om gebruik te maken van de optie die geboden wordt onder sub i: de bescherming van de betrokkene of van de rechten en vrijheden van anderen.
Het Hof oordeelt dat de nationale regel die wordt ingezet om de economische belangen van de behandelaar te beschermen, geen evenredige maatregel is en dus niet onder artikel 23, lid 1, sub i van de AGV valt. Deze bepaling kan volgens het Hof dus niet worden gebruikt om het recht op een kopie van artikel 15 van de AGV te beperken. Dit betekent dat het belang van de tandarts bij de vergoeding van verstrekkingskosten niets afdoet aan het recht op een kosteloze eerste kopie van verwerkte persoonsgegevens.
Derde prejudiciële vraag
Ook over de inhoud van een kopie van verwerkte persoonsgegevens liet het Hof zich uit in deze zaak. Omdat tussen een behandelaar en een patiënt in de regel gevoelige persoonsgegevens worden overgedragen, is het volgens het Hof belangrijk dat de kopie van een medisch dossier volledig, juist en begrijpelijk is. Daarom oordeelt het Hof als antwoord op de derde prejudiciële vraag dat de kopie in ieder geval moet bestaan uit documenten over diagnosen, onderzoeksresultaten, beoordelingen door behandelende artsen en verrichte behandelingen of ingrepen.
Decentrale relevantie
Zoals de tandarts in deze zaak een verwerker van persoonsgegevens was, zijn decentrale overheden dat ook. Denk aan alle adressen, BSN-nummers en contactgegevens van inwoners die door gemeenten, provincies en waterschappen worden verzameld en opgeslagen. Als verwerkers van persoonsgegevens, zijn decentrale overheden verplicht om kosteloos een kopie van verwerkte persoonsgegevens te verlenen. Dat moet bij een eerste kopie dus kosteloos gebeuren en bovendien hoeft de aanvraag niet door de betrokkene gemotiveerd te worden. Een eventuele lokale regeling die eisen stelt aan de verstrekking van een eerste kopie van verwerkte persoonsgegevens, zoals betaling daarvoor, zal in de regel niet als evenredige beperking worden gezien. Zo’n regeling zal dus in strijd zijn met de AVG en zal buiten toepassing moeten worden gelaten.
Meer informatie
Persbericht, Hof van Justitie van de EU
Algemene Verordening Gegevensbescherming, Kenniscentrum Europa Decentraal
Verordening (EU) 2016/679 (AGV)
