2 De feiten
2.1.
Met ingang van 1 mei 2017 is [verzoekster] bij [verweerster sub 2] in dienst getreden op basis van een arbeidsovereenkomst voor onbepaalde tijd. Bij indiensttreding heeft zij de functie vervuld van [functie 1] en per 27 juli 2017 die van [functie 2] .
2.2.
Op 25 september 2017 heeft [verweerster sub 2] een verzoek tot ontbinding van de arbeidsovereenkomst ingediend bij de kantonrechter van deze rechtbank op grond van – kort gezegd – een werkrelatie die in heel korte tijd is vastgelopen althans subsidiair een verstoorde arbeidsverhouding dan wel disfunctioneren van [verzoekster] . Dit verzoek heeft de kantonrechter bij beschikking van 13 oktober 2017 afgewezen.
2.3.
Op 2 november 2017 is [verweerster sub 2] gestart met een verbeterplan teneinde onder meer de verstandhouding tussen [verzoekster] en [verweerster sub 2] te verbeteren.
2.4.
Met ingang van 1 maart 2018 is [verzoekster] tijdelijk arbeidsongeschikt geraakt.
2.5.
Op 4 april 2018 heeft [naam interne klant] (hierna: [naam interne klant] ), een interne klant van [verweerster sub 2] en werkzaam bij een van de bedrijfsonderdelen van [verweerster sub 2] , bij [verweerster sub 2] klachten geuit over het gedrag van [verzoekster] .
2.6.
Op 19 april 2018 heeft een gesprek plaatsgevonden tussen [verzoekster] en de [functie 3] van [verweerster sub 2] , [naam functionaris] (hierna: [naam functionaris] ). In dit gesprek is aan [verzoekster] meegedeeld dat is gebleken dat ten minste één collega het gedrag van [verzoekster] als grensoverschrijdend, althans bedreigend en intimiderend heeft ervaren, dat [verweerster sub 2] om die reden [verweerster sub 1] heeft benaderd om een onafhankelijk onderzoek te laten uitvoeren en dat [verzoekster] gedurende dit onderzoek op non-actief wordt gesteld. Dit alles heeft [verweerster sub 2] ook bevestigd in een brief aan [verzoekster] van dezelfde datum.
2.7.
[verweerster sub 1] is een onderzoeks- en trainingsbureau dat is gespecialiseerd in de aanpak van ongewenste omgangsvormen op het werk. [verweerster sub 1] doet onderzoek in geval van klachten zoals (seksuele) intimidatie, pesten, agressie en discriminatie.
2.8.
In een e-mail van 26 april 2018 zijn zowel [verzoekster] als [naam interne klant] door [verweerster sub 1] uitgenodigd voor een individueel interview op 1 mei 2018. Bij deze e-mail is de ‘procedure voor onderzoek naar meldingen over ongewenste omgangsvormen/grensoverschrijdend gedag’ gevoegd, waarin staat beschreven volgens welke procedure [verweerster sub 1] haar onderzoek uitvoert.
2.9.
[verzoekster] heeft [verweerster sub 1] in een e-mail van 27 april 2018 verzocht om nadere informatie over de achtergrond van het onderzoek.
2.10.
[verweerster sub 1] heeft hierop bij e-mail van 30 april 2018 gereageerd en, voor zover van belang, het volgende geschreven:
“(…) [naam functionaris] , HR of [verweerster sub 2] (your employer) asked us ( [verweerster sub 1] ) to conduct an independant investigation into the problems which have arised between you and [naam interne klant] . According to [naam interne klant] your behaviour has a negative effect upon his work and his well being. [naam interne klant] did not file a formal complaint against you, but brought forward this problem with your behaviour towards him. These are called ‘signals of inproper behaviour’ (signalen van ongewenst gedrag).
Your employer decided to ask us to conduct an objective and independent investigation of the problems which have arised, according to him, between the two of you.
Until now we – [verweerster sub 1] – know nothing more. [naam interviewer] (…) will have an indepth interview with [naam interne klant] , and with you. The interviews will be separate. [naam interviewer] will tell you all [naam interne klant] brought forward, and you will be given the opportunity to react to his testimony and of course you can bring forward your part of the story.
Minutes will be made of both interviews. After the interview [naam interviewer] will decide how to proceed the investigation.
(…) [naam interviewer] will explain again the procedure in your interview (…)”
2.11.
Het interview met [verzoekster] heeft op 1 mei 2018 plaatsgevonden. Van het interview is met instemming van [verzoekster] een geluidsopname gemaakt, die later is uitgewerkt in een schriftelijk verslag. Verder heeft [verzoekster] e-mails en WhatsApp-berichten tussen haar en [naam interne klant] aan [verweerster sub 1] verstrekt.
2.12.
In mei, juni en juli 2018 heeft [verzoekster] diverse e-mails aan [verweerster sub 1] verzonden waarin zij vragen heeft gesteld over onder meer het vervolg, de transparantie, de vertrouwelijkheid en de rechtmatigheid van het onderzoek en de verwerking van haar persoonsgegevens. [verweerster sub 1] heeft hier diverse malen per e-mail op gereageerd.
2.13.
In een e-mail van 13 mei 2018 heeft [verzoekster] voor zover van belang, het volgende aan [verweerster sub 1] geschreven:
“With regard to privacy, want to address that [verweerster sub 1] did not communicate with me before this investigation or during the interview, with whom you were going to share which part of my privacy and how you were going to share my privacy. Also you did not answer my questions on this concrete/meaningful manner after I asked again and again.
I have never given you any authorization to share my privacy with [verweerster sub 2] (HR) or any other party/person. The private emails/whatsapp messages I sent to [naam interviewer] is only to support the investigation (As how she requested me during the interview. She never mentioned that she would share them with [verweerster sub 2] or anyone else) for your use. It is not for sharing with any other party including anyone from [verweerster sub 2] HR, I
did not
and I
do not
give you any authorization/permission (‘toestemming’) to share my private emails or WhatsApp messages (from/to my personal accounts) that I sent you with any other party or person including [verweerster sub 2] HR.
I hereby request you to operate your investigation strictly in line with the privacy law including but not limited to: Wbp and AVG. (…)”.
2.14.
[verzoekster] heeft in een e-mail van 21 juni 2018, voor zover van belang, het volgende aan [verweerster sub 1] geschreven:
“(…) with regard to the ‘inzage’, I hereby within my rights request you to send me copies of all the documents/data you collected and/or received with regard to/or related to me.”
2.15.
In een e-mail van 9 juli 2018 heeft [verzoekster] , voor zover van belang, het volgende aan [verweerster sub 1] geschreven:
“Volgens AVG (artikel 18) ‘recht op beperking van de verwerking’ vraag ik u om het verwerken van mijn persoonsgegevens te beperken. Ik heb voor dit verzoek de volgende reden:
Onrechtmatige verwerking – Uw organisatie verwerkt mijn persoonsgegevens onrechtmatig.
(…)”
2.16.
Op 10 augustus 2018 heeft [verweerster sub 1] een concept-rapport opgesteld, waarna op 23 augustus 2018 de definitieve versie is uitgebracht (hierna: het rapport). [verweerster sub 1] heeft het rapport opgestuurd aan [verweerster sub 2] en heeft aan [verzoekster] een kopie verstrekt. Bij dit rapport zijn onder meer het uitgewerkte verslag van het interview tussen [verzoekster] en [verweerster sub 1] gevoegd, alsmede (zakelijk) WhatsApp-berichten tussen [verzoekster] en [naam interne klant] , e-mailcorrespondentie tussen [verzoekster] en [naam interne klant] , e-mailcorrespondentie tussen [verzoekster] en [verweerster sub 1] en e-mailcorrespondentie tussen [verzoekster] en [verweerster sub 2] . De conclusie van het rapport luidt, voor zover van belang:
“- De onderzoeker acht in voldoende mate aangetoond dat verweerder [ [verzoekster] , toevoeging rechtbank] zich ten aanzien van melder [ [naam interne klant] , toevoeging rechtbank] op een onwenselijke en grensoverschrijdende wijze heeft gedragen. Zij heeft haar gedrag, zoals schelden, aanhoudende berichten sturen, zich negatief over de organisatie en leidinggevenden uitlaten, niet ontkend. Zij ziet dit echter als een gerechtvaardigde reactie op het gedrag van melder (…)”
2.17.
Bij e-mail van 23 augustus 2018 heeft [naam functionaris] namens [verweerster sub 2] aan [verzoekster] meegedeeld dat zij de arbeidsovereenkomst met haar wenst te beëindigen, dat gestreefd wordt naar een beëindigingsovereenkomst en dat een ontbindingsverzoek bij de kantonrechter zal worden ingediend, indien een overeenkomst niet tot stand komt. Bij deze e-mail is het rapport meegezonden. Voorts staat in de e-mail vermeld, voor zover van belang:
“ [verweerster sub 1] have now concluded the independent investigation I requested. They have prepared a report, a copy of which I have attached to this email. Based upon the conclusions drawn in the report we come to the conclusion that a) your actions towards a colleague have been inappropriate and b) you have been responsible for creating a hostile working environment. Furthermore we have come to the conclusion that there is an irreparable breach in trust as well as in the working relationship with you. This is not only demonstrated in the report but also in the way that you have recently communicated with us.(…)”
2.18.
Op 24 augustus 2018 heeft [verzoekster] een klacht tegen [verweerster sub 1] ingediend bij de Autoriteit Persoonsgegevens, inhoudende dat [verweerster sub 1] (1) handelt in strijd met de vergunningsplicht van de Wet particuliere beveiligingsorganisaties en recherchebureaus (Wpbr), (2) handelt in strijd met de plicht een Gedragscode vast te stellen als bedoeld in de Regeling particuliere beveiligingsorganisaties en recherchebureaus (Rpbr), (3) zich niet houdt aan de bepalingen van de Gedragscode en (4) zonder grondslag en (5) op niet transparante wijze persoonsgegevens van [verzoekster] verwerkt.
2.19.
Op 27 augustus 2018 zijn aan [verzoekster] op haar verzoek ook de bijlagen van het rapport toegezonden door [verweerster sub 2] .
2.20.
Op 10 september 2018 heeft [verzoekster] aangifte gedaan tegen [verweerster sub 1] wegens overtreding van artikel 2 Wpbr.
2.21.
Bij afzonderlijke brieven van 11 september 2018 heeft (de advocate van) [verzoekster] aan [verweerster sub 2] en [verweerster sub 1] verzocht haar persoonsgegevens, waarbij gedoeld wordt op het rapport, te wissen, omdat deze volgens [verzoekster] onrechtmatig zijn verkregen, onder meer omdat [verweerster sub 1] niet over een vergunning voor recherchewerkzaamheden beschikt. [verzoekster] heeft [verweerster sub 2] en [verweerster sub 1] verzocht om binnen twee kalenderdagen aan haar mee te delen of aan dit verzoek zou worden voldaan.
2.22.
Vervolgens heeft [verzoekster] [verweerster sub 2] in kort geding gedagvaard waarbij zij kort gezegd heeft gevorderd om het gebruik en verdere verwerking van het rapport te verbieden tot het moment dat een definitief oordeel is gegeven over het verzoek tot inzage, beperking van de verwerking en wissing van de persoonsgegevens. Bij vonnis van 10 oktober 2018 heeft de voorzieningenrechter bij deze rechtbank de door [verzoekster] gevraagde voorzieningen geweigerd.
2.23.
Op 27 september 2018 heeft [verweerster sub 2] de kantonrechter bij deze rechtbank verzocht de arbeidsovereenkomst te ontbinden vanwege een verstoorde arbeidsverhouding. Bij beschikking van 19 december 2018 heeft de kantonrechter het verzoek toegewezen en de arbeidsovereenkomst per 1 februari 2019 ontbonden.
4 De beoordeling
4.1.
De kern van het geschil is of de persoonsgegevens van [verzoekster] onrechtmatig zijn verwerkt in het rapport dat [verweerster sub 1] in opdracht van [verweerster sub 2] heeft opgesteld naar aanleiding van het onderzoek naar vermeend grensoverschrijdend gedrag van [verzoekster] . De vragen die voorliggen zijn: (i) of [verweerster sub 1] en [verweerster sub 2] gehouden zijn om [verzoekster] inzage te verschaffen in die persoonsgegevens, (ii) of zij de verwerking van die persoonsgegevens dienen te beperken en (iii) of zij gehouden zijn die persoonsgegevens te vernietigen.
4.2.
De verzoeken van [verzoekster] zijn gebaseerd op artikel 15, 17 en 18 en artikel 82 AVG, alsmede artikel 35 van de UAVG. Tussen partijen is niet in geschil dat de AVG van toepassing is, dat [verweerster sub 1] en [verweerster sub 2] persoonsgegevens van [verzoekster] verwerken, althans hebben verwerkt in de zin van artikel 4 onderdeel 1 en 2 AVG, dat zij verwerkings-verantwoordelijken zijn zoals bedoeld in artikel 4 onderdeel 7 AVG en dat [verzoekster] een betrokkene is als bedoeld in artikel 4 onderdeel 1 AVG.
4.3.
Op grond van artikel 5 lid 1 AVG moeten persoonsgegevens:
a. a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie”);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt;
(…)
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”);
d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren („juistheid”);(…)”
4.4.
In artikel 6 lid 1 AVG wordt de rechtmatigheid van de verwerking van persoonsgegevens nader omschreven. Hierin is, voor zover van belang, bepaald dat de verwerking alleen rechtmatig is indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a. a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
(…)
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.(…)”
Onrechtmatige verwerking persoonsgegevens?
4.5.
[verzoekster] heeft gesteld dat [verweerster sub 1] haar persoonsgegevens niet rechtmatig heeft verwerkt, zoals omschreven in artikel 5 en 6 AVG, en dat zij op die grond recht heeft op beperking van de verwerking van haar persoonsgegevens (artikel 18 lid 1 onder b AVG) en op wissing van de betreffende persoonsgegevens (artikel 17 lid 1 onder d AVG).
4.6.
Hoewel [verzoekster] in eerste instantie heeft meegewerkt aan het onderzoek door middel van het door haar gegeven interview op 1 mei 2018 en door het naderhand overleggen van WhatsApp-berichten en e-mailcorrespondentie, heeft zij (onder meer) bij e-mail van 13 mei 2018 (zie 2.13) aan [verweerster sub 1] kenbaar gemaakt dat zij geen toestemming geeft voor het delen van deze informatie met derden, waaronder [verweerster sub 2] . Daarom is geen sprake van toestemming van [verzoekster] voor de verwerking van haar persoonsgegevens, zoals bedoeld in artikel 6 lid 1 onder a AVG.
4.7.
[verweerster sub 1] en [verweerster sub 2] hebben evenwel aangevoerd dat is voldaan aan het bepaalde onder f van artikel 6 lid 1 AVG. [verweerster sub 1] heeft aangevoerd dat [verweerster sub 2] als werkgever op grond van artikel 3 Arbowet de verplichting heeft om zorg te dragen voor de veiligheid en gezondheid van haar werknemers inzake alle met de arbeid verbonden aspecten. Ingevolge lid 2 van dat artikel, in combinatie met artikel 7:611 van het Burgerlijk Wetboek (goed werkgeverschap), dient [verweerster sub 2] als werkgever een beleid te voeren dat gericht is op voorkoming danwel beperking van psychosociale arbeidsbelasting. Aangezien [verweerster sub 2] met betrekking tot [verzoekster] een melding van ongewenst gedrag had ontvangen van [naam interne klant] , had zij als werkgever een gerechtvaardigd belang om [verweerster sub 1] opdracht te verstrekken om hiernaar onderzoek te doen, aldus [verweerster sub 1] . [verweerster sub 2] heeft gesteld dat haar gerechtvaardigd belang samenhangt met het arbeidsrechtelijk debat tussen haar en [verzoekster] , dat is veroorzaakt door het vermoeden dat [verzoekster] een onveilige werkomgeving zou hebben veroorzaakt.
4.8.
Het beroep van [verweerster sub 1] en [verweerster sub 2] op artikel 6 lid 1 onder f AVG slaagt: in dit geval is de verwerking van de persoonsgegevens van [verzoekster] noodzakelijk voor de behartiging van de gerechtvaardigde belangen van [verweerster sub 2] en van (een) derde(n). Deze belangen dienen ook te prevaleren boven het belang van [verzoekster] . Daarvoor is het volgende redengevend.
4.9.
De AVG moet in overeenstemming met artikel 8 EVRM worden uitgelegd. De inmenging in de uitoefening van het door artikel 8 EVRM gewaarborgde recht op respect voor het privéleven is gerechtvaardigd als voldaan is aan de eisen van proportionaliteit en subsidiariteit. Uit de voorloper van de AVG, de Wet bescherming persoonsgegevens (Wbp), volgt dat bij elke gegevensverwerking voldaan moet zijn aan die eisen, ook als de gegevensverwerking in beginsel is toegestaan (HR 9 september 2011, ECLI:NL:HR:2011:BQ8097). Dit brengt mee dat de inbreuk op de belangen van betrokkene daardoor niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel en dit doel moet in redelijkheid niet op een andere, voor de betrokkene minder nadelige wijze verwezenlijkt kunnen worden.
4.10.
[verzoekster] heeft op grond van artikel 8 EVRM recht op respect voor haar privéleven en haar correspondentie, ook op haar werk. Het Europees Hof voor de Rechten van de Mens (EHRM) heeft bepaald dat het respect voor iemands privéleven ook het recht omvat om, tot op zekere hoogte, relaties aan te gaan en te ontwikkelen met andere mensen tijdens zakelijke en bedrijfsmatige activiteiten (EHRM 16 december 1992, nr. 13710/88, NJ 1993, 400, [partijnaam] , EHRM 12 juni 2014, nr. 56030/07, [partijnaam] en EHRM 5 september 2017, nr. 61496/08, [partijnaam] ). Daar staat tegenover dat de werkgever – onder meer op grond van artikel 3 van de Arbowet en artikel 7:611 BW – gehouden is om maatregelen te treffen indien hij vermoedt, bijvoorbeeld na een klacht van een medewerker, dat sprake is van ongewenste omgangsvormen of grensoverschrijdend gedrag op de werkvloer. Het kan daarbij ook gaan om gedrag dat zich (deels) afspeelt in de privésfeer, wanneer dat gedrag invloed heeft op de arbeidsrelatie.
Proportionaliteits- en subsidiariteitsbeginsel
4.11.
In dit geval heeft een werknemer ( [naam interne klant] ) aan [verweerster sub 2] gemeld dat de zakelijke samenwerking met [verzoekster] ernstig werd bemoeilijkt wegens grensoverschrijdend gedrag van [verzoekster] dat ook buiten werktijd en in de privésfeer plaatsvond, namelijk door het sturen van WhatsApp-berichten en e-mails naar zijn privé e-mailadres. [verweerster sub 2] was gelet op hetgeen onder 4.10 is overwogen gehouden om de gegrondheid van de melding van [naam interne klant] nader te onderzoeken. Door de melding van [naam interne klant] bestond er een concreet vermoeden dat sprake was van grensoverschrijdend gedrag van [verzoekster] . Uit hetgeen [verweerster sub 2] onbetwist heeft gesteld en uit het rapport volgt dat [naam interne klant] herhaaldelijk had geklaagd over het gedrag van [verzoekster] en dat hij aan [verweerster sub 2] had meegedeeld dat hij vanaf november 2017 van [verzoekster] een groot aantal telefoontjes en WhatsApp-berichten en e-mails op zijn privé e-mailadres had ontvangen waaronder e-mails met een aanvallende, beledigende en scheldende toon.
4.12.
In de gegeven omstandigheden heeft [verweerster sub 2] dan ook redelijkerwijs tot het doen van onderzoek en aldus de verwerking van de persoonsgegevens van [verzoekster] kunnen besluiten. De inbreuk die daardoor op de persoonlijke levenssfeer van [verzoekster] werd gemaakt is gerechtvaardigd door de wettelijke plicht van [verweerster sub 2] als werkgever om zorg te dragen voor een veilige en gezonde werkomgeving voor haar werknemers. Aan het proportionaliteitsvereiste is daarom voldaan.
4.13.
Ook is aan het subsidiariteitsvereiste voldaan. In het rapport is vermeld dat er, nadat [naam interne klant] op 4 april 2018 bij de leidinggevende van [verzoekster] had gemeld dat hij niet meer met haar kon samenwerken, eerst een gesprek heeft plaatsgevonden tussen de leidinggevende en [verzoekster] en vervolgens met een vertegenwoordiger van de afdeling HR van [verweerster sub 2] , de leidinggevende van [verzoekster] en [naam interne klant] . De stelling van [verzoekster] dat [verweerster sub 2] ten onrechte niet eerst met haar in gesprek is gegaan voordat zij een ingrijpend onderzoek heeft laten uitvoeren door [verweerster sub 1] is dan ook onvoldoende gemotiveerd.
[verweerster sub 2] heeft toegelicht dat zij heeft besloten om [verweerster sub 1] in te schakelen en niet zelf onderzoek te doen om de melding op een zo zorgvuldig en objectief mogelijke wijze te onderzoeken, omdat zich al het een en ander tussen partijen had afgespeeld. [verweerster sub 2] heeft hiermee voldoende onderbouwd dat het onderzoek door [verweerster sub 1] voor deze situatie een passende wijze was om persoonsgegevens van [verzoekster] te verzamelen en verwerken. Het was immers mede in het belang van [verzoekster] dat de melding op onafhankelijke wijze zou worden onderzocht. Anders dan [verzoekster] heeft betoogd, hoefden [verweerster sub 1] en [verweerster sub 2] niet eerst objectief te hebben vastgesteld of er een redelijk vermoeden was van grensoverschrijdend gedrag door [verzoekster] . Immers, de gegrondheid en de inhoud van de melding van [naam interne klant] zou juist door [verweerster sub 1] worden onderzocht. Ook zou worden onderzocht of een zakelijke samenwerking tussen [verzoekster] en [naam interne klant] nog mogelijk was. Het onderzoek had ook kunnen resulteren in de conclusie dat geen sprake was van grensoverschrijdend gedrag van [verzoekster] . Dat er andere, minder ingrijpende middelen voorhanden waren om het onderzoeksdoel te realiseren is niet gebleken. Ook is niet gebleken dat [verweerster sub 1] zich verder in het privéleven van [verzoekster] heeft gemengd dan voor het onderzoek naar haar gedrag en de gevolgen daarvan voor de werkvloer noodzakelijk was.
4.14.
De conclusie is dat de inmenging in de uitoefening van het recht op respect voor het privéleven onder de gegeven omstandigheden als gerechtvaardigd moet worden beschouwd. Het voorgaande geldt ook voor [verweerster sub 1] , die het onderzoek in opdracht van [verweerster sub 2] heeft uitgevoerd.
4.15.
Dat [verzoekster] haar toestemming voor het gebruik van haar persoonsgegevens heeft ingetrokken is niet van belang, omdat de rechtmatigheid van de verwerking van haar persoonsgegevens kan worden gevonden in artikel 6 lid 1 onder f AVG. De rechtbank merkt daarbij op dat door [verweerster sub 1] is aangevoerd en door [verzoekster] niet is weersproken dat de WhatsApp-berichten en e-mailberichten die bij het rapport zijn gevoegd, afkomstig zijn van [naam interne klant] en van (medewerkers van) [verweerster sub 2] die aan het onderzoek hebben meegewerkt en dus niet de door [verzoekster] aan [verweerster sub 1] verstrekte berichten betreffen voor het gebruik waarvan zij later haar toestemming heeft ingetrokken.
Onrechtmatig in verband met ontbreken vergunning op grond van Wpbr?
4.16.
Door [verzoekster] is verder gesteld dat de verwerking van haar persoonsgegevens niet rechtmatig is in de zin van artikel 5 AVG, omdat de door [verweerster sub 1] in opdracht van [verweerster sub 2] verrichte werkzaamheden recherchewerkzaamheden zouden zijn, voor de uitvoering waarvan [verweerster sub 1] ingevolge artikel 2 Wpbr over een vergunning moet beschikken. Nu deze vergunning ontbreekt, was [verweerster sub 1] niet bevoegd om het onderzoek uit te voeren en is zij strafbaar op grond van de Wet Economische Delicten (WED), aldus [verzoekster] . Aangezien [verweerster sub 2] opdracht aan [verweerster sub 1] heeft gegeven voor de uitvoering van het onderzoek, kan haar dit eveneens worden aangerekend.
4.17.
Door zowel [verweerster sub 1] als [verweerster sub 2] is uitgebreid verweer gevoerd tegen deze stelling van [verzoekster] . [verweerster sub 2] heeft onder meer aangevoerd dat het doel en de inhoud van de Wpbr en AVG van elkaar verschillen, dat de Wpbr niet de verwerking van persoonsgegevens beoogt te reguleren, dat de Wpbr en de AVG afzonderlijk van elkaar gelden en dat daarom niet kan worden gezegd dat [verweerster sub 1] zonder vergunning geen persoonsgegevens mag verwerken. [verweerster sub 1] heeft onder meer aangevoerd dat, ongeacht of haar werkzaamheden onder de Wpbr vallen, op grond van de AVG meer privacywaarborgen bestaan dan onder Wpbr en de voor particuliere onderzoeksbureaus geldende privacycode.
4.18.
Bij de beoordeling van de verzoeken van [verzoekster] is niet van belang of [verweerster sub 1] moet worden aangemerkt als recherchebureau in de zin van de Wpbr en om die reden in het bezit had moeten zijn van een vergunning zoals genoemd in artikel 2 Wpbr. De verzoeken van [verzoekster] zijn gegrond op de AVG, zodat moet worden beoordeeld of aan de beschermingsbepalingen van de AVG is voldaan. De verwerking van de persoonsgegevens van [verzoekster] door [verweerster sub 1] en [verweerster sub 2] is rechtmatig als die kan worden gebaseerd op een van de in artikel 6 lid 1 AVG genoemde grondslagen. In dit geval moet worden aangenomen dat de gegevensverwerking rechtmatig is (geweest), omdat zoals hiervoor onder 4.11 tot en met 4.14 is overwogen is voldaan aan het bepaalde in artikel 6 lid 1 onder f AVG.
4.19.
Daarbij komt dat de privacycode sector particuliere onderzoeksbureaus en de regeling particulieren beveiligingsorganisaties en recherchebureaus beogen dat deze bureaus zich houden aan en handelen conform de voorloper van de AVG, de Wbp. De stelling van [verzoekster] dat door het ontbreken van de mogelijk op grond van de Wpbr vereiste vergunning sprake zou zijn van niet rechtmatige verwerking van persoonsgegevens door [verweerster sub 1] , zoals bedoeld in artikel 5, 6, 17 en 18 AVG, is in die zin door haar onvoldoende gemotiveerd.
4.20.
[verzoekster] heeft verder gesteld dat de verwerking van haar gegevens door [verweerster sub 2] en [verweerster sub 1] niet transparant is (geweest) in de zin van artikel 5 lid 1 onder a AVG. Volgens [verzoekster] was het doel van het onderzoek en de wijze waarop haar persoonsgegevens zouden worden verwerkt en met wie die gegevens zouden worden gedeeld niet duidelijk. Ook was haar niet duidelijk hoe zij inzage in de verwerkte persoonsgegevens kon verkrijgen. [verzoekster] heeft haar stelling dat [verweerster sub 1] en [verweerster sub 2] haar gegevens hebben verwerkt op een wijze die niet transparant is tegenover de gemotiveerde betwisting daarvan door [verweerster sub 1] en [verweerster sub 2] onvoldoende concreet onderbouwd. [verweerster sub 2] heeft [verzoekster] in haar brief van 19 april 2018 waarin het gesprek van diezelfde datum is bevestigd (zie 2.6) geïnformeerd over de melding van [naam interne klant] en het onderzoek door [verweerster sub 1] . Vervolgens heeft [verweerster sub 1] [verzoekster] bij e-mail van 26 april 2018 (zie 2.8) geïnformeerd waarom [verweerster sub 1] door [verweerster sub 2] is verzocht een onderzoek in te stellen (‘to conduct an investigation of reports of udesirable forms of conduct on your part’). Bij deze e-mail heeft [verweerster sub 1] de procedure voor het onderzoek aan [verzoekster] verstrekt, waarin de onderzoeksprocedure staat omschreven. Vervolgens heeft [verweerster sub 1] , naar aanleiding van nadere vragen van [verzoekster] , bij e-mail van 30 april 2018 aan [verzoekster] (zie 2.10) een nadere toelichting gegeven en laten weten van wie de melding afkomstig was ( [naam interne klant] ) en wie van [verweerster sub 2] contact heeft gezocht met [verweerster sub 1] ( [naam functionaris] ). Met de hiervoor genoemde informatie moet [verzoekster] voldoende duidelijk geïnformeerd worden geacht over het doel en de strekking van het onderzoek. Weliswaar heeft [verzoekster] gesteld dat zij niet is geïnformeerd over de precieze inhoud van de melding van [naam interne klant] , maar een meer specifieke omschrijving was niet noodzakelijk om [verzoekster] inzicht te geven in het doel van het onderzoek.
Uit de in het rapport geciteerde e-mailcorrespondentie tussen [verweerster sub 1] en [verzoekster] , waarvan [verzoekster] de juistheid niet heeft betwist, volgt verder dat [verweerster sub 1] inhoudelijk heeft gereageerd op de vragen van [verzoekster] met betrekking tot transparantie en de wijze waarop zij inzage in de verwerkte gegevens kon verkrijgen. Het had dan ook op de weg van [verzoekster] gelegen om concreet toe te lichten welke informatie [verweerster sub 1] nog meer had moeten verstrekken om haar in staat te stellen om haar rechten onder de AVG uit te oefenen. Dat heeft zij echter niet gedaan.
4.21.
De rechtbank zal hierna de verschillende door [verzoekster] gedane verzoeken afzonderlijk bespreken.
Verzoek tot beperking van de verwerking (artikel 18 AVG)
4.22.
Ingevolge artikel 18 lid 1 AVG heeft de betrokkene het recht beperking van de verwerking van de verwerkingsverantwoordelijke te verkrijgen indien aan een van de in dat artikel genoemde elementen is voldaan, waaronder de onder b vermelde onrechtmatige verwerking van persoonsgegevens. Op grond van artikel 34 UAVG jo artikel 12 lid 3 AVG dient de verwerkingsverantwoordelijke binnen een maand na ontvangst van het verzoek van betrokkene tot beperking van de verwerking te reageren. Artikel 35 UAVG bepaalt vervolgens dat indien de beslissing op het verzoek door de verwerkingsverantwoordelijke genomen is (of indien deze uitblijft), de betrokkene zich tot de rechtbank kan wenden met het schriftelijk verzoek om de verwerkingsverantwoordelijke te bevelen het verzoek als bedoeld in artikel 18 AVG alsnog toe te wijzen. Hetzelfde geldt voor de verzoeken op grond van artikel 15 en 17 AVG.
4.23.
[verzoekster] heeft een beroep gedaan op artikel 18 lid 1 onder b AVG en heeft ten aanzien van het in artikel 34 UAVG genoemde verzoek verwezen naar een vijftal door haar aan [verweerster sub 1] verzonden e-mails van 1, 21 en 26 juni en 6 en 9 juli 2018.
4.24.
[verweerster sub 2] heeft aangevoerd dat [verzoekster] aan haar nimmer een verzoek heeft gedaan zoals omschreven in artikel 34 en 35 UAVG en dat de door [verzoekster] genoemde e-mailberichten enkel aan [verweerster sub 1] zijn gericht en niet aan haar.
4.25.
[verzoekster] heeft haar stelling dat haar (subsidiaire) verzoek jegens [verweerster sub 1] ontvankelijk is op grond van artikel 35 UAVG vervolgens niet nader onderbouwd, hoewel dit wel op haar weg had gelegen. Bij deze stand van zaken is niet gebleken dat [verzoekster] aan [verweerster sub 2] een verzoek heeft gedaan zoals omschreven in artikel 34 UAVG. Dit betekent dat [verzoekster] op grond van artikel 35 UAVG niet-ontvankelijk moet worden verklaard in haar (subsidiaire) verzoek op grond van artikel 18 AVG jegens [verweerster sub 2] .
4.26.
Ten aanzien van het verzoek jegens [verweerster sub 1] is [verzoekster] wel ontvankelijk, gelet op het – door [verweerster sub 1] niet weersproken – verzoek van [verzoekster] aan [verweerster sub 1] tot beperking van de verwerking van de gegevens in haar e-mail van (onder meer) 9 juli 2018 (zie 2.15).
4.27.
Zoals hiervoor is overwogen is geen sprake van onrechtmatige verwerking van de gegevens van [verzoekster] door [verweerster sub 1] . Het beroep van [verzoekster] op artikel 18 lid 1 onder b AVG slaagt dus niet. Bovendien kan enkel een beroep op artikel 18 lid 1 sub b AVG worden gedaan indien de betrokkene zich bij onrechtmatige verwerking verzet tegen wissing. Van dat laatste is hier geen sprake. [verzoekster] verzoekt immers tevens om wissing van de persoonsgegevens. Nu niet is gesteld noch gebleken dat [verzoekster] een recht op beperking toekomt op een andere grond dan artikel 18 lid 1 onder b AVG, zal dit verzoek jegens [verweerster sub 1] worden afgewezen.
Verzoek tot wissing (artikel 17 AVG)
4.28.
Ingevolge artikel 17 lid 1 AVG heeft betrokkene het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en is de verwerkingsverantwoordelijke verplicht persoonsgegevens zonder onredelijke vertraging te wissen indien een van de in dit artikel opgesomde gevallen van toepassing is. [verzoekster] heeft een beroep gedaan op de in lid 1 onder d van het artikel genoemde onrechtmatige verwerking van persoonsgegevens.
4.29.
Door zowel [verweerster sub 1] als [verweerster sub 2] is erkend dat [verzoekster] aan hen beide op 11 september 2018 een verzoek tot wissing van haar persoonsgegevens heeft gedaan (zie 2.21). [verweerster sub 1] heeft per e-mail van 27 september 2018 afwijzend op dit verzoek gereageerd. [verweerster sub 2] heeft op 26 september 2018 tijdens de kort gedingprocedure meegedeeld niet bereid te zijn tot wissing van het rapport en daarmee de persoonsgegevens van [verzoekster] . Aangezien beide reacties buiten de termijn zoals genoemd in artikel 34 UAVG jo artikel 12 lid 3 AVG door [verzoekster] zijn ontvangen, is het verzoek van [verzoekster] ontvankelijk op grond van artikel 35 lid 2 UAVG.
4.30.
Zoals hiervoor is overwogen is naar het oordeel van de rechtbank evenwel geen sprake van onrechtmatige verwerking van de persoonsgegevens zoals genoemd in artikel 17 lid 1 onder d jo artikel 6 AVG. Nu niet is gesteld noch gebleken dat [verzoekster] recht heeft op wissing van haar persoonsgegevens op een andere grond, zal dit verzoek jegens zowel [verweerster sub 1] als [verweerster sub 2] worden afgewezen.
Verzoek tot inzage (artikel 15 AVG)
4.31.
Op grond van artikel 15 AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en om inzage te verkrijgen in die persoonsgegevens en in andere in dat artikel genoemde informatie.
4.32.
Ook ten aanzien van dit verzoek is door [verweerster sub 2] aangevoerd dat [verzoekster] haar nimmer heeft verzocht om inzage en ook op dit punt heeft [verzoekster] haar stelling dat zij ontvankelijk zou zijn in haar verzoek jegens [verweerster sub 2] niet nader onderbouwd. Nu niet gesteld noch gebleken is dat [verzoekster] aan [verweerster sub 2] een verzoek heeft gedaan zoals omschreven in artikel 34 UAVG zal [verzoekster] ook ten aanzien van dit (subsidiaire) verzoek jegens [verweerster sub 2] op grond van artikel 35 UAVG niet-ontvankelijk worden verklaard.
4.33.
Ten aanzien van het verzoek tot inzage jegens [verweerster sub 1] is [verzoekster] wel ontvankelijk, gelet op het – door [verweerster sub 1] niet weersproken – verzoek van [verzoekster] aan [verweerster sub 1] tot inzage in (onder meer) haar e-mail van 21 juni 2018 (zie 2.14).
4.34.
[verzoekster] heeft verzocht om inzage van alle over haar door [verweerster sub 1] verwerkte persoonsgegevens en heeft hiertoe het volgende gesteld. [verweerster sub 1] had haar op grond van artikel 12 lid 3 AVG onverwijld en in ieder geval binnen een maand moeten informeren over het gevolg dat aan het verzoek is gegeven en daarnaast op grond van artikel 12 lid 4 AVG moeten aangeven waarom het verzoek zonder gevolg is gebleven en [verzoekster] moeten informeren over de mogelijkheid om een klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen. Doordat [verweerster sub 1] dit heeft nagelaten was het voor [verzoekster] niet mogelijk om haar rechten – het vergewissen van een juiste en rechtmatige verwerking van haar persoonsgegevens – uit te oefenen. Dit heeft [verzoekster] genoodzaakt tot het doen van een verzoek tot inzage, al.
4.35.
De rechtbank zal dit verzoek van [verzoekster] afwijzen wegens gebrek aan belang. Vast staat dat [verzoekster] het rapport, inclusief bijlagen heeft ontvangen en dat zij daarmee inzage heeft gekregen in de persoonsgegevens die door [verweerster sub 1] zijn verwerkt. Dat [verweerster sub 1] andere persoonsgegevens van [verzoekster] zou hebben verwerkt is door [verzoekster] niet althans onvoldoende gemotiveerd onderbouwd.
4.36.
Het verzoek tot schadevergoeding zal worden afgewezen. Uit het voorgaande volgt dat geen sprake is van een inbreuk op de AGV of het niet voldoen aan een verplichting van de AGV zoals bedoeld in artikel 82 AVG.
4.37.
Omdat [verzoekster] deels niet-ontvankelijk zal worden verklaard in haar verzoeken en de verzoeken voor het overige zullen worden afgewezen, zal zij in de proceskosten worden veroordeeld. De kosten aan de zijde van [verweerster sub 1] en [verweerster sub 2] worden afzonderlijk begroot op € 639,00 aan griffierecht en € 1.086,00 (2 punten x tarief € 543,00) aan salaris advocaat. De rechtbank ziet geen aanleiding om – zoals door [verzoekster] verzocht – voor de begroting van de advocaatkosten aansluiting te zoeken bij de tarieven zoals die in bestuurszaken gelden, omdat [verweerster sub 2] en [verweerster sub 1] geen bestuursorganen zijn.
.jpg?width=50&height=55)
.jpg?width=50&height=55)
