Geen enkele organisatie ontkomt eraan: het verwerken van persoonsgegevens. Wanneer de Wet bescherming persoonsgegevens (Wbp) van toepassing is, heeft de betrokkene recht op inzage. Dit is neergelegd in artikel 35 Wbp. Hoe moet u reageren op een inzageverzoek en welke gegevens moeten worden verstrekt?

Artikel 35 Wbp lid 1 en 2 luiden:

1. De betrokkene (dat wil zeggen de persoon op wie de gegevens betrekking hebben, ITJ) heeft het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt. De verantwoordelijke deelt de betrokkene schriftelijk binnen vier weken mee of hem betreffende persoonsgegevens worden verwerkt.
   
2. Indien zodanige gegevens worden verwerkt, bevat de mededeling een volledig overzicht daarvan in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.

Het Europese Hof van Justitie (HvJ) heeft onlangs een uitspraak over de reikwijdte van het inzagerecht gedaan. Dat is dus een uitleg van het tweede lid van artikel 35 Wbp. In het arrest stond de vraag centraal of een verantwoordelijke die een inzageverzoek krijgt, een afschrift moet geven van alle documenten waar in de persoonsgegevens zijn opgenomen, en niet slechts een afschrift van de persoonsgegevens zelf.

Het HvJ is van mening dat het verstrekken van de documentatie waarin de persoonsgegevens staan in beginsel niet nodig is. Het verstrekken van een volledig overzicht van de verwerkte persoonsgegevens – dat overigens ook al een behoorlijk ingewikkelde handeling kan zijn – is voldoende. Het HvJ maakt hiermee een einde aan de verschillende uitleg die de Hoge Raad (hoogste nationale civiele rechter) en de Afdeling Bestuursrechtspraak van de Raad van State (hoogste nationale bestuursrechter) aan artikel 35 Wbp geven.

In diverse analyses is al gemeld dat in sommige gevallen toch een afschrift van het volledige document moet worden verstrekt. De tekst kan namelijk zelf ook een persoonsgegevens zijn (dus dan gaat het om de vraag wat de reikwijdte is van een persoonsgegeven). Daarnaast dient het inzagerecht de mogelijkheid voor de betrokkene om te controleren of zijn persoonsgegevens rechtmatig worden verwerkt. Dat kan soms alleen door te onderzoeken hoe de persoonsgegevens zijn gebruikt, dus in het licht van het gehele document. Nadere uitleg van het persoonsgegevensbegrip en het inzagerecht zal ongetwijfeld volgen uit de rechtspraak.