In deze zaak zijn de volgende bepalingen van belang.
4.2.1.
De AVG houdt, voor zover hier van belang, het volgende in:
Artikel 12 (…) nadere regels voor de uitoefening van de rechten van betrokkene
(…)
3. De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. (…)
Artikel 15 Recht van inzage van de betrokkene
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a. a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
2. (…)
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
4. (…)
1. De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 (…) kan (…) worden beperkt door middel van Unierechtelijke of lidstaatrechtelijke bepalingen die op de verwerkingsverantwoordelijke of de verwerker van toepassing zijn, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:
a. a) de nationale veiligheid;
b) landsverdediging;
c) de openbare veiligheid;
d) de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;
e) andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;
f) de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures;
g) de voorkoming, het onderzoek, de opsporing en de vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen;
h) een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de in de punten a), tot en met e) en punt g) bedoelde gevallen;
i. i) de bescherming van de betrokkene of van de rechten en vrijheden van anderen;
j) de inning van civielrechtelijke vorderingen.
2. De in lid 1 bedoelde wettelijke maatregelen bevatten met name specifieke bepalingen met betrekking tot, in voorkomend geval, ten minste:
a. a) de doeleinden van de verwerking of van de categorieën van verwerking,
b) de categorieën van persoonsgegevens,
c) het toepassingsgebied van de ingevoerde beperkingen,
d) de waarborgen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte, e) de specificatie van de verwerkingsverantwoordelijke of de categorieën van verwerkingsverantwoordelijken,
f) de opslagperiodes en de toepasselijke waarborgen, rekening houdend met de aard, de omvang en de doeleinden van de verwerking of van de categorieën van verwerking, g) de risico's voor de rechten en vrijheden van de betrokkenen, en
h) het recht van betrokkenen om van de beperking op de hoogte te worden gesteld, tenzij dit afbreuk kan doen aan het doel van de beperking.
4.2.2.
Paragraaf 3.3 van de Uitvoeringswet Algemene verordening gegevens-bescherming (hierna: UAVG) houdt, voor zover van belang, het volgende in.
Paragraaf 3.3. Rechtsbescherming
Artikel 34. Toepasselijkheid Algemene wet bestuursrecht bij beslissing van bestuursorganen.
Een schriftelijke beslissing op een verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening wordt genomen binnen de in artikel 12, derde lid, van de verordening genoemde termijnen en geldt, voor zover deze is genomen door een bestuursorgaan, als een besluit in de zin van de Algemene wet bestuursrecht.
Artikel 35. Toepasselijkheid burgerlijk recht bij beslissing van niet-bestuursorganen.
1. Indien de beslissing op een verzoek als bedoeld in artikel 34 is genomen door een ander dan een bestuursorgaan, kan de belanghebbende zich tot de rechtbank wenden met het schriftelijk verzoek de verwerkingsverantwoordelijke te bevelen het verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening alsnog toe of af te wijzen.
2. Het verzoekschrift wordt ingediend binnen zes weken na ontvangst van het antwoord van de verwerkingsverantwoordelijke. Indien de verwerkings-verantwoordelijke niet binnen de in artikel 12, derde lid, van de verordening genoemde termijnen heeft geantwoord, is de indiening van het verzoekschrift niet aan een termijn gebonden.
3. De rechtbank wijst het verzoek toe, voor zover zij dit gegrond oordeelt. Alvorens de rechtbank beslist, stelt zij zo nodig de belanghebbenden in de gelegenheid hun zienswijze naar voren te brengen.
4. De indiening van het verzoekschrift behoeft niet door een advocaat te geschieden.
5. De derde afdeling van de vijfde titel van het Tweede Boek van het Wetboek van Burgerlijke Rechtsvordering is van overeenkomstige toepassing.
6. De rechtbank kan partijen en anderen verzoeken binnen een door haar te bepalen termijn schriftelijke inlichtingen te geven en onder hen berustende stukken in te zenden. De verwerkingsverantwoordelijke en belanghebbende zijn verplicht aan dit verzoek te voldoen. De artikelen 8:45, tweede en derde lid, en 8:29 van de Algemene wet bestuursrecht zijn van overeenkomstige toepassing.
Voorts is in art. 41 UAVG de tekst van art. 23 AVG, voor zover van belang voor de beoordeling van deze zaak, opgenomen.
4.2.3.
De artikelen 16 en 23 van de Wet ter voorkoming van witwassen en financieren van terrorisme (hierna: Wwft), houden voor zover van belang, uitgaande van de tekst van art. 16 zoals die gold van 11 augustus 2016 tot en met 24 juli 2018, het volgende in.
Art. 16.
1. Een instelling meldt een verrichte of voorgenomen ongebruikelijke transactie onverwijld nadat het ongebruikelijke karakter van de transactie bekend is geworden, aan de Financiële inlichtingen eenheid.
2. Bij een melding als bedoeld in het eerste lid verstrekt de instelling de volgende gegevens:
a. de identiteit van de cliënt (…);
b. de aard en het nummer van het identiteitsbewijs van de cliënt (…);
c. de aard, het tijdstip en de plaats van de transactie;
d. de omvang en de bestemming en herkomst van de gelden, effecten, edele metalen of andere waarden die bij de transactie betrokken zijn;
e. de omstandigheden op grond waarvan de transactie als ongebruikelijk wordt aangemerkt;
f. een omschrijving van de desbetreffende zaken van grote waarde bij een transactie boven de € 15.000;
g. aanvullende, bij algemene maatregel van bestuur aan te wijzen, gegevens.
3. (…)
Art. 23.
1. Een instelling en de personen die werkzaam zijn voor een instelling zijn, behoudens voor zover uit deze wet de noodzaak tot bekendmaking voortvloeit, verplicht tot geheimhouding jegens een ieder van:
a. een melding ingevolge artikel 16 door die instelling;
(…)