Ondernemingen opgelet, verwerk niet meer informatie dan nodig!

Vrijwel iedere onderneming verwerkt persoonsgegevens. Het is met de inwerkingtreding van de Algemene Verordening Gegevensbescherming (“AVG”) steeds belangrijker geworden om telkens weer te evalueren welke persoonsgegevens worden verzameld, met welk doel, en of dat noodzakelijk is. Een recentelijke uitspraak van de Raad van State benadrukt nogmaals waarom dit van essentieel belang is.

Raad van State 24 september 2025 ECLI:NL:RVS:2025:4562

Feiten

Op grond van de AVG hebben betrokkene het recht van inzage en het recht van gegevenswissing. Samengevat houdt het recht van inzage in dat een betrokkene bij een onderneming kan opvragen welke persoonsgegevens worden verwerkt, voor welk doel dat gebeurt en met wie deze persoonsgegevens worden gedeeld. Het recht op gegevenswissing houdt in dat de betrokkene het recht heeft op wissing van deze persoonsgegevens. Dat betekent dat de onderneming zo spoedig mogelijk de gebruikte persoonsgegevens moet verwijderen, tenzij er sprake is van een uitzonderingsgrond.

In deze uitspraak ging het om een tijdschrift waarbij abonnees van dit tijdschrift hun recht op inzage en hun recht op gegevenswissing konden uitoefenen door middel van het account dat zij bij het tijdschrift hadden. Sommigen abonnees vroegen echter deze informatie op buiten het account om. In dat geval verzocht het tijdschrift om een kopie van een identificatiebewijs. Het BSN-nummer mocht daarbij worden weggelakt en de pasfoto mocht onherkenbaar worden gemaakt. In artikel 12 lid 2 AVG wordt namelijk aangegeven dat een verwerkingsverantwoordelijke een verzoek van een betrokkene moet faciliteren, tenzij de verwerkingsverantwoordelijke niet in staat is de betrokkene te identificeren.

Als er geen identificatiebewijs werd aangeleverd, nam het tijdschrift het verzoek niet in behandeling.

Rechtsvraag

Had het tijdschrift om een kopie van het identiteitsbewijs mogen vragen in dit geval?

Oordeel Raad van State

Nee, het tijdschrift had in dit geval niet naar een (afgeschermde) kopie van het identificatiebewijs mogen vragen. Ook een afschermde kopie bevat veel meer persoonsgegevens dan het tijdschrift nodig had. Het opvragen hiervan is derhalve in strijd met het beginsel van minimale gegevensverwerking (art. 5, lid 1, sub c). Het tijdschrift had in het kader van de noodzakelijkheidstoets moeten beoordelen of de betrokkene op een minder ingrijpende manier had kunnen worden geïdentificeerd. Dat had volgens de Raad van State gekund door bijvoorbeeld een abonnee- of klantnummer op te vragen of door middel van e-mailverificatie.

Door het verzoek om inzage of gegevenswissing niet in behandeling te nemen omdat er geen kopie van het identificatiebewijs werd overgelegd, heeft het tijdschrift gelet op het voorgaande in strijd met de AVG-regels gehandeld. De Autoriteit Persoonsgegevens mocht daarom een (hoge) boete opleggen.

Waarom is deze uitspraak van belang voor uw onderneming?

Bedrijven staan niet altijd stil bij het beginsel van minimale gegevensverwerking. Vaak wordt er om een identificatiebewijs (of een kopie daarvan) opgevraagd omdat het handig kan zijn om deze gegevens te hebben. Dat is in strijd met de AVG. Een onderneming mag niet meer persoonsgegevens verwerken dan noodzakelijk. Als deze regel niet wordt nageleefd, riskeert u een hoge boete van de Autoriteit Persoonsgegevens. Twijfelt u of u bepaalde persoonsgegevens mag opvragen of opslaan? Wij denken graag met u mee. U kunt contact opnemen met onze advocaten Privacyrecht.