Hof Arnhem-Leeuwarden, 19-03-2024, nr. 200.313.922/01

[de betrokkene] heeft hoger beroep ingesteld tegen de beschikking die de rechtbank Midden-Nederland, locatie Utrecht, op 25 mei 2022 tussen partijen heeft gegeven. Het procesverloop in hoger beroep blijkt uit:

Op 20 juni 2023 heeft een mondelinge behandeling plaatsgevonden. Daarvan is een verslag (het proces-verbaal) gemaakt dat aan het dossier is toegevoegd. Partijen hebben vervolgens om aanhouding van de zaak gevraagd om tot onderlinge afspraken te komen om het geschil te beëindigen of verder af te bakenen. Vervolgens heeft KPMG verzocht om een akte te mogen nemen. KPMG heeft op 12 september 2023 een akte genomen met producties 12 tot en met 15. [de betrokkene] heeft op 28 september 2023 een antwoordakte genomen met zeven bijlagen en twee USB-sticks met geluidsbestanden. KPMG heeft verzocht om op de bijlagen en geluidsbestanden te mogen reageren en heeft dat in haar akte van 18 oktober 2023 gedaan. [de betrokkene] heeft bezwaar gemaakt tegen deze akte van KPMG. KPMG heeft op dat bezwaar gereageerd. Het hof heeft partijen op 30 november 2023 geïnformeerd dat onderdeel 4 van de akte van KPMG zal worden geschrapt en niet zal worden meegenomen bij de beslissing en dat het hof wat betreft de rest van deze akte alleen de concrete reactie van KPMG op de producties van [de betrokkene] bij zijn akte van 28 september 2023 zal meewegen in zijn beoordeling.

Het hof heeft op 16 november 2023 partijen geïnformeerd dat één van de raadsheren die bij de mondelinge behandeling aanwezig was niet in staat is om mee uitspraak te doen en dat daarom een rechterswisseling zal plaatsvinden. Beide partijen hebben het hof geïnformeerd dat zij geen behoefte hebben aan een nieuwe mondelinge behandeling.

Vervolgens heeft het hof beschikking bepaald.

[de betrokkene] heeft KPMG inzage verzocht in zijn persoonsgegevens die KPMG heeft verwerkt tussen 1 januari 2012 en 1 oktober 2019. KPMG heeft hem een overzicht met zijn persoonsgegevens verstrekt. Volgens [de betrokkene] is dat overzicht onvolledig.

[de betrokkene] heeft de rechtbank verzocht om KPMG te bevelen een volledig overzicht te verschaffen van zijn persoonsgegevens die zijn verwerkt in de administratie van KPMG met onder meer informatie over de doelen van de verwerking, welke persoonsgegevens aan derden zijn verstrekt en welke documenten met zijn persoonsgegevens van derden zijn verkregen. Daarnaast heeft hij informatie verzocht over welke persoonsgegevens medewerkers van KPMG hebben verkregen door het houden van interviews met derden met een kopie van de interviewverslagen. De rechtbank heeft zijn verzoeken afgewezen. [de betrokkene] verzoekt het hof KPMG alsnog te bevelen om een volledig overzicht te verstrekken, zoals bij hij bij de rechtbank heeft verzocht.

Het hof gaat uit van de feiten zoals beschreven in de rechtsoverwegingen 2.1 tot en met 2.12 van de beschikking van 25 mei 2022 van de rechtbank Midden-Nederland, locatie Utrecht.1.De volgende feiten zijn in hoger beroep van belang.

[de betrokkene] werkte als ambtenaar voor de gemeente Rotterdam. KPMG heeft in opdracht van de gemeente Rotterdam in 2012 en 2015 onderzoeken naar hem en aan hem verbonden (rechts)personen uitgevoerd. Uit die onderzoeken kwamen onregelmatigheden naar voren in het handelen van [de betrokkene] . [de betrokkene] is in 2020 door de rechtbank Rotterdam strafrechtelijk veroordeeld voor valsheid in geschrifte en gewoontewitwassen. Voor zover aan het hof bekend loopt het hoger beroep tegen die veroordeling nog.

[de betrokkene] heeft diverse tuchtrechtelijke procedures gevoerd tegen KPMG en de accountants die de hiervoor genoemde onderzoeken hebben uitgevoerd. Al zijn klachten zijn afgewezen, dan wel is hij daarin niet ontvankelijk verklaard. Daarnaast zijn onder meer door de gemeente Rotterdam procedures tegen [de betrokkene] en de aan hem verbonden rechtspersonen gevoerd, waarbij [de betrokkene] is veroordeeld tot betaling van schadevergoeding, waaronder in 2017 door het Hof Den Haag.2.

[de betrokkene] heeft op 20 september 2019 in een brief aan KPMG inzage verzocht in zijn persoonsgegevens. Op 20 oktober 2019 heeft [de betrokkene] dit verzoek beperkt tot de periodes van 1 januari 2012 tot 17 juli 2015 en vanaf 17 juli 2015 tot en met 1 oktober 2019.

KPMG heeft per brief van 20 december 2019 gereageerd op het inzageverzoek. Daarbij heeft KPMG een overzicht van de door haar verwerkte persoonsgegevens meegestuurd. [de betrokkene] heeft in zijn e-mails van 20 en 21 december 2019 aan KPMG laten weten dat hij informatie miste en dat het verstrekte overzicht niet voldoet aan zijn verzoek.

KPMG heeft op 27 december 2019 [de betrokkene] bericht dat zij met het overzicht en de toelichting daarop op juiste wijze uitvoering heeft gegeven aan zijn verzoek en de behandeling van het verzoek als afgerond beschouwt. In de daarop volgende correspondentie herhalen partijen hun standpunten over en weer. Daarop is [de betrokkene] deze procedure gestart. KPMG heeft bij haar verweerschrift een tweede overzicht overgelegd van de persoonsgegevens die KPMG van [de betrokkene] heeft verwerkt met per bron een opsomming van de categorieën van persoonsgegevens en een nadere toelichting.3.

Op 11 september 2023 heeft KPMG een brief gestuurd aan [de betrokkene] met een nieuw verwerkingsoverzicht.4.Zij heeft deze overgelegd bij haar akte na de mondelinge behandeling bij het hof.

Het hof oordeelt dat [de betrokkene] met zijn inzageverzoek geen misbruik van recht heeft gemaakt en wijst zijn inzageverzoek grotendeels toe. Het hof ziet geen aanleiding voor het opleggen van een dwangsom. Het hof legt hieronder uit hoe het tot dit oordeel komt.

Geen misbruik van recht

De rechtbank heeft geoordeeld dat uit het verzoekschrift van [de betrokkene] ondubbelzinnig blijkt dat hij met zijn inzageverzoek een ander doel dient dan het doel van het inzagerecht en dat daarom sprake is van misbruik van recht. [de betrokkene] is het daar niet mee eens en voert onder meer aan dat hij wil weten welke persoonsgegevens KPMG van hem verwerkt, op grond waarvan en op welke wijze. Hij wil inzage in zijn persoonsgegevens om te kunnen controleren of deze gegevens juist en volledig zijn en om bezwaar te kunnen maken tegen verdere verwerking, aldus [de betrokkene] . Volgens KPMG maakt [de betrokkene] om diverse redenen wel misbruik van zijn inzagerecht. Aan de hand van de twee overzichten die KPMG heeft verstrekt is [de betrokkene] volgens KPMG voldoende bekend met de persoonsgegevens die zij van hem verwerkt en de door hem gevraagde informatie en is hij in staat om zijn rechten die de AVG hem biedt uit te oefenen. Ook uit het beroepschrift volgt volgens KPMG dat het verzoek om aanvullende stukken door [de betrokkene] juist is bedoeld om die stukken te gebruiken in andere procedures.

Het hof stelt voorop dat het inzageverzoek van [de betrokkene] beoordeeld moet worden aan de hand van de regels uit de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet op de AVG (UAVG). De AVG is op 25 mei 2018 in werking getreden en vanaf dat moment is de Wet bescherming persoonsgegevens ingetrokken. [de betrokkene] heeft op 20 september 2019 inzage verzocht in zijn persoonsgegevens, dus toen de AVG al ruim een jaar in werking was.5.Op grond van artikel 15 AVG heeft [de betrokkene] recht op inzage in zijn persoonsgegevens. Een recht dat bedoeld is om te kunnen controleren of de persoonsgegevens die KPMG van [de betrokkene] verwerkt, juist zijn en rechtmatig worden verwerkt.6.

Het recht op bescherming van persoonsgegevens is een grondrecht dat voortvloeit uit artikel 8 EVRM en onder meer is vastgelegd in artikel 8 van het Handvest van de grondrechten van de Europese Unie. Daarin is ook bepaald dat eenieder recht heeft op toegang tot de over hem verzamelde gegevens.7.Misbruik van dit recht, dat is uitgewerkt in artikel 15 AVG, kan daarom niet snel worden aangenomen. Dat [de betrokkene] wellicht (ook) een ander doel heeft met zijn inzageverzoek, zoals het gebruiken van bepaalde stukken in andere procedures, betekent dan ook nog niet dat hij misbruik maakt van zijn inzagerecht.8.Als het inzagerecht alleen wordt gebruikt om de verwerkingsverantwoordelijke (hier: KPMG) te schaden, kan wel sprake zijn van misbruik van het inzagerecht.9.

Anders dan KPMG aanvoert, is het hof van oordeel dat [de betrokkene] aan de hand van het op 20 december 2019 aan hem toegestuurde overzicht nog niet in staat geacht kon worden zijn AVG-rechten uit te oefenen. Dat overzicht bevat een opsomming van e-mails en documenten met een datum en een algemene omschrijving zoals ‘communicatie met opdrachtgever in het kader van procedures’ met daarbij een opsomming van een aantal directe persoonsgegevens zoals de naam, de voorletters of het (e-mail)adres van [de betrokkene] . Weliswaar heeft KPMG in de begeleidende brief toegelicht wat de doeleinden van de verwerking van deze persoonsgegevens zijn, hoe deze gegevens zijn verkregen en hoelang ze worden bewaard, maar enige context ontbreekt. In het tweede overzicht dat KPMG in de procedure bij de rechtbank heeft overgelegd (zie hiervoor in 3.6.) staat een algemene omschrijving van de persoonsgegevens die KPMG van [de betrokkene] heeft verwerkt, maar ontbreekt de letterlijke weergave daarvan, zoals bedoeld in artikel 15 lid 3 AVG. Het hof zal daar hierna verder op ingaan.

[de betrokkene] was aan de hand van die overzichten niet in staat om de juistheid en rechtmatigheid van de verwerking van zijn persoonsgegevens te controleren. Dat [de betrokkene] zelf al veel wist over de gegevensverwerking door KPMG, omdat hij had meegewerkt aan haar onderzoeken, maakt nog niet dat hij op de hoogte was van de concrete verwerking van zijn persoonsgegevens door KPMG. [de betrokkene] heeft in zijn stukken voldoende onderbouwd dat hij de (rechtmatigheid van de) verwerking van zijn persoonsgegevens wil kunnen controleren. Dat geldt zowel voor zijn inzageverzoek bij de rechtbank als voor zijn (herhaalde) verzoek bij het hof. Het hof volgt KPMG daarom niet in haar stelling dat het evident is dat [de betrokkene] zijn inzageverzoek in deze procedure uitsluitend gebruikt om informatie te ontvangen die hij in andere procedures zou kunnen gebruiken. Zoals KPMG ook zelf aanvoert, komt een betrokkene het recht op inzage toe zolang hij nog niet de mogelijkheid heeft om de gegevensverwerking te controleren. Dat is hier naar het oordeel van het hof het geval. [de betrokkene] maakt met zijn verzoeken in deze procedure daarom geen misbruik van recht.

In haar akte na de mondelinge behandeling voert KPMG nog aan dat [de betrokkene] met de twee genoemde overzichten in combinatie met de informatie die hij al heeft, zoals haar rapport, in staat is om de gegevensverwerking te controleren en zijn AVG-rechten uit te oefenen. Dat dit zo is, blijkt volgens KPMG onder meer uit de lijst met vragen die [de betrokkene] na de mondelinge behandeling bij het hof aan haar heeft gestuurd. Het hof gaat voorbij aan dit betoog omdat het de verplichting van KPMG als verwerkingsverantwoordelijke is om op een transparante en begrijpelijke wijze inzage te verstrekken in de door haar verwerkte persoonsgegevens (artikel 12 AVG).10.KPMG kan het niet aan [de betrokkene] als betrokkene overlaten om aan de hand van de door haar verstrekte overzichten op zoek te moeten naar de concrete verwerkingen in de eerder door KPMG verstrekte informatie zonder dat zij dit op begrijpelijke wijze toelicht.

Het hof wil aannemen dat, zoals KPMG stelt, de tuchtprocedures, klachten en correspondentie van [de betrokkene] grote impact hebben (gehad) op KPMG, de accountants en haar andere medewerkers. De context waarin iemand inzage verzoekt heeft echter geen invloed op (de omvang van) het inzagerecht.11.

Met de eerste twee overzichten heeft KPMG niet voldaan aan artikel 15 AVG

Volgens [de betrokkene] is het eerste overzicht dat KPMG hem heeft verstrekt onvolledig, omdat daar aantoonbaar documenten in ontbreken waar zijn persoonsgegevens in zijn opgenomen en een opgave van subjectieve persoonsgegevens volledig ontbreekt. Volgens KPMG heeft zij op correcte, transparante en volledige wijze inzage gegeven in de persoonsgegevens die zij van [de betrokkene] verwerkt. Zij verwijst daarvoor niet alleen naar het overzicht dat zij hem op 20 december 2019 heeft toegestuurd, maar ook naar het overzicht dat zij in bijlage 9 bij het verweerschrift bij de rechtbank heeft overgelegd met de daarbij horende toelichting in haar verweerschrift. Daarnaast voert KPMG aan dat het inzagerecht niet absoluut is en dat [de betrokkene] onder meer geen recht heeft op kopieën van bescheiden waarin zijn persoonsgegevens staan, interne analyses en notities, informatie die hij al heeft en informatie die onder het beroepsgeheim van accountants of advocaten valt.

Op grond van artikel 15 lid 3 AVG moet KPMG [de betrokkene] een kopie verstrekken van de persoonsgegevens die zij van hem verwerkt. Deze verplichting houdt in dat KPMG een getrouwe en begrijpelijke reproductie moet verstrekken van de persoonsgegevens die KPMG van hem verwerkt. Dit kan meebrengen dat KPMG onderdelen van documenten of zelfs volledige documenten zal moeten verstrekken als dat noodzakelijk is om [de betrokkene] in staat te stellen zijn AVG-rechten daadwerkelijk uit te oefenen. Daarbij moet uiteraard wel rekening worden gehouden met de rechten en vrijheden van anderen.12.

Zoals al hiervoor in 4.5. geoordeeld, voldoen het eerste en tweede overzicht van KPMG niet aan de vereisten van artikel 15 lid 3 AVG. Deze overzichten bevatten namelijk geen reproductie van de daadwerkelijk door KPMG verwerkte persoonsgegevens van [de betrokkene] . In het eerste overzicht geeft de uitsluitende vermelding van een bepaald document met de directe persoonsgegevens zoals de naam of het adres van [de betrokkene] geen enkel beeld over de concrete verwerking van zijn persoonsgegevens in die documenten. Ook de vermelding van categorieën van persoonsgegevens in het tweede overzicht, zoals ‘rol [de betrokkene] in onderzoek’ of ‘betrokkenheid bij onderzochte onregelmatigheden’, geeft dat inzicht niet. Om [de betrokkene] in staat te stellen zijn AVG-rechten daadwerkelijk uit te oefenen, is het noodzakelijk om de verwerkte gegevens in hun context te plaatsen. Bovendien stelt [de betrokkene] terecht dat de tussen partijen genoemde ‘subjectieve persoonsgegevens’ ontbreken in dit overzicht. Dat zijn persoonsgegevens die indirect herleidbaar zijn tot [de betrokkene] , zoals bijvoorbeeld zijn functie of bepaalde kwalificaties over hem. Ook die persoonsgegevens vallen onder het begrip persoonsgegevens zoals genoemd in artikel 15 lid 3 AVG (zie ook hierna in 4.18.) en hadden dus opgenomen moeten zijn in deze overzichten van KPMG.

Ook met haar nieuwe overzicht heeft KPMG niet volledig voldaan aan artikel 15 AVG

Na de mondelinge behandeling bij het hof heeft KPMG een volledig nieuw overzicht naar [de betrokkene] gestuurd.13.In de brief bij dit overzicht schrijft KPMG onder meer:

“Doel van deze brief is dan ook u zo volledig en duidelijk mogelijk inzage te geven in de persoonsgegevens die KPMG van u heeft verwerkt zodat u in staat bent de rechten uit te oefenen die u zijn gegeven uit hoofde van de AVG. Hierna wordt informatie verstrekt over a) de verwerkingsdoeleinden, b) de betrokken (categorieën van) persoonsgegevens, c) de herkomst van de persoonsgegevens, d) de (categorieën van) ontvangers, e) de bewaartermijn van de persoonsgegevens en f) uw rechten uit hoofde van de AVG.”

Bij het onderdeel over de betrokken persoonsgegevens schrijft KPMG vervolgens:

“KPMG heeft een grote hoeveelheid (persoons)gegevens verwerkt in het kader van de

Feitenonderzoeken die zij heeft verricht naar u. Het opstellen van een overzicht waarin per

individueel document wordt aangegeven welke persoonsgegevens daarin staan, voor zover

zich geen uitsluitingsgrond daartegen verzet, kan niet van KPMG worden gevergd. (…) Gelet op de omvang van het dossier, de grote hoeveelheid informatie waarover u al beschikt, de context waarin deze verzoeken zijn gedaan en de tijd, moeite en kosten die hiermee gepaard gaan, zou hiermee voorbij worden gegaan aan het doel van artikel 15 AVG.

KPMG heeft nagedacht over de wijze waarop zij in deze concrete omstandigheden zo volledig en duidelijk mogelijk inzage kan geven in de persoonsgegevens die KPMG van u heeft verwerkt, zodat u in staat bent de rechten uit te oefenen die u zijn gegeven uit hoofde van de AVG. De belangrijkste persoonsgegevens die KPMG van u heeft verwerkt zijn opgenomen in het KPMG-rapport. Dit rapport bevat immers de bevindingen (en daarmee waarderende gegevens van u) van de betrokken accountants van KPMG naar aanleiding van het Feitenonderzoek (…). De in het KPMG-rapport opgenomen persoonsgegevens van u zijn daarom in een overzicht geplaatst dat is aangehecht als bijlage 3. KPMG meent dat hiermee in dit concrete geval op efficiënte en effectieve wijze inzage wordt gegeven dit is een manier die voor KPMG uitvoerbaar is en u op zodanige wijze informeert dat u de juistheid en rechtmatigheid van de belangrijkste persoonsgegevens kan controleren. Voor een groot deel van de onderliggende documenten geldt bovendien dat geen inzage kan worden verstrekt omdat dit in strijd zou zijn met de rechten en vrijheden van anderen of de informatie onder enige geheimhoudingsplicht valt (zie bijlage 4).”

Volgens KPMG heeft zij in ieder geval met die brief, het daarbij gevoegde overzicht en de overige bijlagen (hierna samen: het derde overzicht), voldaan aan het inzagerecht van artikel 15 AVG. Zij heeft het derde overzicht overgelegd bij haar akte van 12 september 2023. [de betrokkene] heeft in zijn antwoordakte van 26 september 2023 hierop gereageerd. Volgens hem heeft KPMG ook met het derde overzicht niet voldaan aan haar verplichting om hem volledige inzage te verstrekken in zijn persoonsgegevens. Daarnaast noemt hij 12 onderwerpen die hij na de mondelinge behandeling bij het hof met KPMG heeft besproken en verwijst hij in dat kader naar diverse geluidsfragmenten en e-mails die hij bij zijn antwoordakte heeft overgelegd. Ook heeft hij zijn verzoek gewijzigd. KPMG heeft vervolgens in een laatste akte nog mogen reageren op de door [de betrokkene] overgelegde geluidsfragmenten en e-mails.

Het hof zal beoordelen of KPMG met het derde overzicht alsnog heeft voldaan aan de inzageverzoeken van [de betrokkene] . Daarbij merkt het hof allereerst op dat het de overgelegde geluidsfragmenten niet in zijn beoordeling zal meenemen. Het gaat om fragmenten die uit een gesprek zijn geknipt, waardoor weinig waarde aan deze fragmenten kan worden gehecht. Bovendien zijn deze niet relevant voor de vraag of KPMG heeft voldaan aan de verplichtingen uit artikel 15 AVG. Dat is de vraag die voorligt. Om die reden kan in het midden blijven of de opnames kunnen dienen als bewijs voor de stellingen van [de betrokkene] . Uit de overgelegde e-mails maakt het hof wel op dat de 12 onderwerpen die [de betrokkene] aan KPMG heeft gestuurd, waren bedoeld om tot een onderlinge oplossing te komen voor dit geschil. Deze oplossing is er niet gekomen. Deze onderwerpen maken dus geen onderdeel uit van het geschil in deze procedure. Ook de bespreking tussen partijen om tot een mogelijke minnelijke regeling te komen en eventuele afspraken die in dat kader zijn gemaakt, liggen niet bij het hof voor. Zowel tijdens de mondelinge behandeling bij het hof als in de berichtgeving daarna heeft het hof partijen de mogelijkheid gegeven om hun geschil nader af te bakenen. Het hof heeft daarbij geen ruimte geboden om het geschil verder uit te breiden. Dit brengt ook mee dat de aanvulling van het verzoek die [de betrokkene] in het eerste punt van onderdeel 10 van zijn antwoordakte heeft opgenomen, geen onderwerp is van dit geschil. Een aanvulling van het verzoek is niet alleen in strijd met de goede procesorde, omdat deze pas bij antwoordakte na de mondelinge behandeling bij het hof is gedaan, maar valt ook buiten de reikwijdte van de verzoeken van [de betrokkene] die hij ten grondslag heeft gelegd aan deze procedure. Het hof gaat daarom voorbij aan dat eerste punt van zijn gewijzigde verzoek. Ook gaat het hof voorbij aan de overige wijzigingen van zijn verzoek, tenzij deze een nadere afbakening van dat verzoek vormen, zoals het hof hierna bij zijn beoordeling van de omvang van het verzoek zal toelichten.

In bijlage 2 bij haar brief aan [de betrokkene] heeft KPMG een overzicht verstrekt van het dossier waarover zij beschikt als gevolg van het door haar verrichte onderzoek en de daarop volgende procedures. In haar brief geeft zij aan dat niet in al de daarin genoemde documenten persoonsgegevens van [de betrokkene] zullen voorkomen. In de derde bijlage heeft KPMG een overzicht opgenomen van alle in haar rapport verwerkte persoonsgegevens. Hiermee is volgens KPMG op efficiënte en effectieve wijze inzage gegeven in de persoonsgegevens van [de betrokkene] omdat in dat rapport de bevindingen van de accountants staan naar aanleiding van het onderzoek naar [de betrokkene] . Daar voegt KPMG aan toe dat in een groot deel van de onderliggende documenten geen inzage kan worden verstrekt, omdat dit in strijd zou zijn met de rechten en vrijheden van anderen of met een geheimhoudingsplicht (zie het citaat hiervoor in 4.12.). In de vierde bijlage heeft KPMG een overzicht overgelegd met de beperkingsgronden per bron.

Vaststaat dat [de betrokkene] beschikt over een volledige kopie van het rapport van KPMG. Het plaatsen van de persoonsgegevens uit dat rapport in een overzicht (bijlage 3 bij genoemde brief) voegt daar niet veel aan toe. Dat [de betrokkene] daarmee volledig op de hoogte is van de verwerking van zijn persoonsgegevens door KPMG, volgt het hof niet. In haar eerste overzicht van 20 december 2019 noemt KPMG naast het rapport, als bronnen van de verwerking van persoonsgegevens van [de betrokkene] ‘e-mailbestanden’, ‘overige digitale bestanden’ en ‘hard copy documenten’, waaronder gespreksverslagen. In het tweede overzicht maakt KPMG een onderscheid tussen ‘e-mailcorrespondentie’, ‘memoranda en werkdocumenten’, ‘processtukken en rapportage’, ‘reeds bestaande documentatie ontvangen door KPMG’, ‘gespreksverslagen’ en ‘emailreview’. In bijlage 4 bij haar brief van 11 september 2023 noemt KPMG dezelfde bronnen (hierna: de overige bronnen). De stelling van KPMG dat van haar niet kan worden gevergd om een overzicht op te stellen van alle persoonsgegevens die zij van [de betrokkene] heeft verwerkt in de overige bronnen, voor zover daar geen uitsluitingsgrond voor bestaat, komt erop neer dat zij niet hoeft te voldoen aan artikel 15 AVG, omdat dit teveel tijd, geld en moeite kost en vanwege de context waarin [de betrokkene] dit inzageverzoek doet. De AVG kent echter niet een dergelijke uitzondering voor het inzagerecht.14.Artikel 12 AVG verplicht KPMG juist om passende maatregelen te nemen om aan een inzageverzoek te kunnen voldoen.15.Wel heeft KPMG de mogelijkheid om aan [de betrokkene] een precisering te vragen op welke informatie of verwerkingsactiviteiten zijn verzoek betrekking heeft.16.[de betrokkene] voert echter terecht aan dat KPMG dit niet voorafgaand aan het verstrekken van haar (eerste) overzichten heeft gedaan. KPMG stelt weliswaar dat het verzoek van [de betrokkene] te ruim en te onbepaald is, maar op [de betrokkene] rust (in ieder geval) niet de verplichting om zijn verzoek af te bakenen, zolang KPMG daar niet concreet om verzoekt.17.

KPMG voert aan dat zij geen inzage hoeft te verstrekken in de overige bronnen vanwege de rechten en vrijheden van anderen, waaronder de rechten van KPMG zelf. Daarbij onderstreept zij het belang voor alle medewerkers en derden die waren betrokken bij het onderzoek naar [de betrokkene] om zich vrij te kunnen beraden en van gedachte te kunnen wisselen, zonder dat zij ervoor hoeven te vrezen dat de vastlegging daarvan op een later moment zou moeten worden gedeeld met de persoon die onderwerp is van onderzoek. Ook voert zij aan dat interne stukken geen persoonsgegevens zijn. Daarnaast wijst zij op de geheimhoudingsplicht van haar accountants en de betrokken (in-house) advocaten. In bijlage 4 bij haar brief aan [de betrokkene] heeft KPMG van de overige bronnen per (sub)bron aangegeven welke beperkingsgronden gelden. Aan het verweer van KPMG dat [de betrokkene] geen recht heeft op kopieën van de documenten waarin zijn persoonsgegevens zijn vastgelegd komt het hof niet toe, omdat [de betrokkene] geen kopieën meer vraagt van de documenten, maar instemt met een verwerkingsoverzicht waarin de van hem verwerkte persoonsgegevens zijn opgenomen.

Anders dan KPMG stelt, is het onjuist dat in het algemeen geen inzage in interne stukken hoeft te worden verstrekt, omdat dit geen persoonsgegevens zijn. De definitie van het begrip ‘persoonsgegevens’ in artikel 4 onder 1 van de AVG is zeer ruim. Het gaat om “alle informatie over een (…) natuurlijke persoon”. Het was de bedoeling van de Uniewetgever om een ruime betekenis te geven aan dit begrip, dat niet beperkt is tot gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elke soort informatie, zowel objectieve informatie als subjectieve informatie in de vorm van meningen of beoordelingen, voor zover die informatie de betrokkene betreft. Dat laatste is het geval wanneer die informatie wegens haar inhoud, doel of gevolg gelieerd is aan de betrokkene.18.Uit de door KPMG verstrekte eerste twee overzichten volgt al dat zich in de interne correspondentie en werkdocumenten persoonsgegevens van [de betrokkene] bevinden. Dat brengt mee dat [de betrokkene] in beginsel recht heeft op inzage in deze documenten.

Zoals KPMG terecht aanvoert, dient zij bij het verstrekken van inzage de rechten en vrijheden van anderen in acht te nemen (artikelen 15 lid 4 en 23 lid 1 aanhef en onder i AVG). Het gaat dan om de rechten en vrijheden van de medewerkers van KPMG en om die van derden, zoals personen bij wie KPMG informatie heeft opgevraagd in het kader van haar onderzoek. Deze verplichting geldt niet alleen voor de genoemde interne documenten, maar voor alle overige bronnen. Het hof wijst erop dat overwegingen die verband houden met de bescherming van de rechten en vrijheden van anderen uitsluitend een beperking van het inzagerecht rechtvaardigen, voor zover een dergelijke beperking de wezenlijke inhoud van die rechten en vrijheden onverlet laat en, zoals bepaald in artikel 23, lid 1, onder i AVG, een noodzakelijke en evenredige maatregel is ter waarborging van die bescherming.19.Dit brengt mee dat KPMG een afweging moet maken tussen het belang van [de betrokkene] bij inzage in de persoonsgegevens en het belang van die anderen bij bescherming van hun persoonlijke levenssfeer. Voor zover mogelijk moet KPMG ervoor kiezen om de persoonsgegevens te verstrekken op een wijze die geen afbreuk doet aan de rechten of vrijheden van die anderen. Daarbij moet KPMG er rekening mee houden dat deze belangenafweging er niet toe mag leiden dat [de betrokkene] alle informatie wordt onthouden.20.KPMG stelt weliswaar dat zij de vereiste belangenafweging heeft gemaakt, maar dat volgt niet uit de stukken. Bij nagenoeg alle overige bronnen voert KPMG aan dat de belangen van derden (per definitie) aan de weg staan aan het verstrekken van inzage van de vastgelegde persoonsgegevens in die documenten. Daaruit volgt geen concrete belangenafweging per document, zoals wel door KPMG gemaakt moet worden. KPMG zal per document van de overige bronnen moeten beoordelen of het verstrekken aan [de betrokkene] van de in dat document vastgelegde persoonsgegevens afbreuk doet aan de rechten en vrijheden van derden en of zij aan die rechten en vrijheden tegemoet kan komen door bijvoorbeeld een beperkter deel van de persoonsgegevens in dat document toe te voegen aan het verwerkingsoverzicht. Wanneer het in een document bijvoorbeeld gaat om feitelijke gegevens over [de betrokkene] en de constateringen tijdens het onderzoek, zullen de rechten van de derde die die feitelijke gegevens heeft vastgelegd, minder snel in het geding zijn dan wanneer die derde een subjectieve kwalificatie geeft aan de gedragingen van [de betrokkene] .

Dat is anders voor de persoonsgegevens in de overige bronnen die onder de wettelijke geheimhoudingsplicht vallen van de betrokken accountants van KPMG of van de betrokken (in-house) advocaten. [de betrokkene] heeft in punt 3 van zijn gewijzigde verzoek terecht toegevoegd dat geen inzage hoeft te worden verstrekt in de vertrouwelijke communicatie tussen KPMG en haar advocaten. Datzelfde geldt voor de gegevens die onder de wettelijke geheimhoudingsplicht van de accountants vallen of waarvan de verstrekking tot een schending van de voor hen geldende gedragsregels zou leiden. Dat volgt uit artikel 23 lid 1 onder g AVG die het wettelijke beroepsgeheim beoogt te waarborgen.21.Dit brengt mee dat KPMG geen inzage hoeft te verschaffen in de persoonsgegevens die zich bevinden in documenten die vallen onder het wettelijke beroepsgeheim van haar accountants of van de betrokken (in-house) advocaten. KPMG hoeft bovendien geen inzage te verschaffen in de persoonsgegevens wanneer het verschaffen van inzage in strijd zou zijn met het in de artikelen 16 en 17 van de Verordening gedrags- en beroepsregels accountants geregelde beginsel van vertrouwelijkheid. Het hof tekent daarbij aan dat dit beginsel niet absoluut is. Het heeft allereerst alleen betrekking op gegevens met een vertrouwelijk karakter, dus niet op alle gegevens waarover de accountant in zijn hoedanigheid de beschikking krijgt. Bovendien geldt de verplichting tot geheimhouding op grond van dit beginsel niet voor gegevens of inlichtingen die de accountant krachtens wettelijk voorschrift dient te verstrekken. Dat betekent naar het oordeel van het hof dat het beginsel van vertrouwelijkheid niet per definitie in de weg staat aan de verplichting van KPMG om op grond van artikel 15 AVG inzage te verstrekken, maar dat het er wel toe kan leiden dat KPMG met een beroep op dat beginsel inzage in bepaalde persoonsgegevens kan weigeren, bijvoorbeeld omdat die verstrekking het beginsel van de vertrouwelijkheid in de kern zou raken. Artikel 23 lid 1 onder g AVG is dan ook geen categorische beperking van het recht op inzage voor alle gegevens die de accountant onder zich heeft, maar biedt de accountant wel de mogelijkheid om inzage te weigeren in persoonsgegevens waarvan de verstrekking het beginsel van de vertrouwelijkheid in de kern zouden raken. Het is aan KPMG om per document te motiveren dat daarvan sprake is.

Het hof volgt KPMG in haar verweer dat zij geen inzage hoeft te verstrekken in de gegevens die [de betrokkene] reeds in zijn bezit heeft. Dat zal in ieder geval gelden voor de correspondentie en de verslagen van de gesprekken waar [de betrokkene] zelf direct bij betrokken was. Daarnaast is tussen partijen niet in geschil dat [de betrokkene] ook over de stukken uit de tussen partijen gevoerde procedures beschikt.

De omvang van het verzoek

In zijn verzoekschrift en inzageverzoek van 20 september 2019 heeft [de betrokkene] verzocht KPMG te bevelen om binnen vier weken over de periode van 1 januari 2012 tot 1 oktober 2019 een volledig overzicht te verschaffen van de persoonsgegevens die KPMG in haar administratie heeft opgenomen met onder meer de informatie uit artikel 15 lid 1 AVG. In zijn beroepschrift verzoekt [de betrokkene] om KPMG te verplichten de door hem gevraagde inzage in zijn persoonsgegevens juist, correct en volledig te verlenen door het aanvullen van het door KPMG opgestelde overzicht met de door hem gevraagde informatie. In zijn antwoordakte van 26 september 2023 verzoekt [de betrokkene] meer specifiek om KPMG te verplichten om het overzicht dat KPMG als bijlage 3 bij haar brief heeft gevoegd met alle beschikbare informatie over de bron van de daarin opgenomen persoonsgegevens aan te vullen (punt twee van onderdeel 10). Daarnaast verzoekt hij inzage in de stukken die zijn opgenomen in bijlage 2 bij genoemde brief van KPMG voor zover deze persoonsgegevens van hem bevatten, met uitzondering van de communicatie tussen KPMG en haar advocaat (punt drie van onderdeel 10). Tot slot verzoekt hij KPMG te verplichten een terugkoppeling te geven aan het hof, waarna het hof nog een definitief oordeel zou moeten geven over de inzage. Dit laatste is een uitbreiding van het verzoek waar in de antwoordakte na de mondelinge behandeling bij het hof geen ruimte meer voor is. Het hof verwijst daarvoor naar wat het daarover heeft geoordeeld in 4.14. Datzelfde geldt voor het verzoek om de dwangsom te verdubbelen. De gewijzigde verzoeken in het tweede en derde punt van onderdeel 10 van deze akte zijn nadere afbakeningen van het verzoek, waardoor het hof die zal meenemen in zijn beoordeling van de omvang van het verzoek.

Het hof begrijpt het tweede punt in dit gewijzigde verzoek zo dat [de betrokkene] alle beschikbare informatie over de herkomst vraagt per afzonderlijk persoonsgegeven in het rapport van KPMG, zoals opgenomen in het overzicht in bijlage 3 bij de brief van KPMG van 11 september 2023. Het hof zal dit verzoek afwijzen. Zoals KPMG terecht stelt, heeft zij in haar rapport de verschillende herkomstbronnen van de persoonsgegevens die zij van [de betrokkene] heeft verwerkt al opgenomen, waaronder in hoofdstuk 2. KPMG heeft daar nog een toelichting op gegeven in onderdeel c van haar brief van 11 september 2023 met verwijzing naar bijlage 1 bij die brief. Met deze herkomstinformatie kan [de betrokkene] in staat worden geacht om zijn AVG-rechten uit te oefenen, met name ook omdat hij al beschikt over het volledige rapport. Het hof is daarom van oordeel dat de verplichting van artikel 15 lid 1 onder g AVG in dit geval niet zo ver strekt dat KPMG ook nog per afzonderlijk persoonsgegeven de herkomstbron zou moeten vermelden.

Het derde punt van het gewijzigde verzoek zal geclausuleerd worden toegewezen. Zoals hiervoor in 4.19. tot en met 4.21. is geoordeeld, wordt het recht op inzage beperkt voor zover dat noodzakelijk is voor de bescherming van de rechten en vrijheden van derden, hoeft geen inzage te worden verstrekt in de persoonsgegevens in die documenten die vallen onder de wettelijke geheimhoudingsplicht van de betrokken (in-house) advocaten en accountants of waarvan de verstrekking het door de accountants in acht te nemen beginsel van vertrouwelijkheid in de kern zou raken en hoeft geen inzage te worden verstrekt in de persoonsgegevens in de documenten waar [de betrokkene] reeds over beschikt. Bovendien zal het inzageverzoek worden toegewezen wat betreft de overige bronnen, zoals KPMG die in haar tweede overzicht en in bijlage 4 bij haar brief van 11 september 2023 heeft opgesomd (zie hiervoor in 4.16), omdat niet is gebleken dat er meer bronnen zijn waarin persoonsgegevens van [de betrokkene] zijn verwerkt. Bijlage 2 bij die brief, waar [de betrokkene] in zijn verzoek naar verwijst, is daarvoor niet specifiek genoeg. KPMG heeft geen expliciet verweer gevoerd tegen de gevorderde termijn van vier weken, maar gelet op de stellingen van KPMG over de hoeveelheid documenten die zij zal moeten doorzoeken en waarvan zij zal moeten beoordelen in hoeverre de persoonsgegevens van [de betrokkene] opgenomen kunnen worden in een aanvullend overzicht zal het hof een termijn van drie maanden bepalen in overeenstemming met de verlengde termijn zoals genoemd in artikel 12 lid 3 AVG.

De laatste twee onderdelen van het verzoek in het verzoekschrift van [de betrokkene] bij de rechtbank zullen worden afgewezen. Het voorlaatste punt inzake de verstrekking van documenten is door [de betrokkene] reeds ingetrokken (zie hiervoor in 4.17.). Het verzoek in het laatste onderdeel om aan te geven op welke wijze KPMG heeft voldaan aan bepaalde vereisten van de Wet bescherming persoonsgegevens en de AVG valt buiten de reikwijdte van het inzagerecht van artikel 15 AVG.22.

Het hof ziet geen reden de inzageveroordeling met een dwangsom te versterken. Het hof gaat er vanuit dat KPMG zich aan de veroordeling zal houden, zoals zij ook heeft aangekondigd. Bovendien moet KPMG nog beoordelen in hoeverre de persoonsgegevens van [de betrokkene] in een aanvullend overzicht kunnen en mogen worden opgenomen. Het hof acht de kans aanwezig dat partijen daarover van mening verschillen en wil voorkomen dat een verschil van inzicht daarover zal leiden tot een geschil over de executie van dwangsommen. KPMG moet haar afwegingen zonder de dreiging van de verschuldigdheid van een dwangsom kunnen maken. Daarbij geeft het hof partijen in overweging om samen een onafhankelijke derde aan te stellen die de bedoelde afwegingen maakt om zoveel mogelijk discussie achteraf te voorkomen.

De grieven slagen grotendeels, zodat de bestreden beschikking zal worden vernietigd en het verzoek van [de betrokkene] in een geclausuleerde vorm zal worden toegewezen.

Als de overwegend in het ongelijk gestelde partij zal KPMG in de kosten van beide instanties worden veroordeeld. [de betrokkene] procedeert in persoon, waardoor geen sprake is van een vergoeding voor advocaatkosten. Andere kosten zijn door [de betrokkene] niet aangevoerd, waardoor uitsluitend de door [de betrokkene] betaalde griffierechten voor vergoeding in aanmerking komen.

Het hof, beschikkende in hoger beroep:

vernietigt de bestreden beschikking van de rechtbank Midden-Nederland, locatie Utrecht, van 25 mei 2022,

veroordeelt KPMG om binnen drie maanden na deze beschikking [de betrokkene] inzage te verstrekken in de overige bronnen over de periode van 1 januari 2012 tot 1 oktober 2019 door het opnemen in een overzicht van de in de overige bronnen verwerkte persoonsgegevens van [de betrokkene] , voor zover deze inzage geen inbreuk maakt op de rechten en vrijheden van derden, niet valt onder de geheimhoudingsplicht van de betrokken (in-house) advocaten en accountants of waarvan de verstrekking het door de accountants in acht te nemen beginsel van vertrouwelijkheid in de kern zou raken, een en ander voor zover [de betrokkene] nog niet over die gegevens beschikt. Dit alles in overeenstemming met wat is geoordeeld in rechtsoverweging 4.19. tot en met 4.21. en 4.24. van deze beschikking;

veroordeelt KPMG in de kosten van beide instanties, tot aan de bestreden uitspraak aan de zijde van [de betrokkene] wat betreft de eerste aanleg vastgesteld op € 304,- voor het griffierecht en tot aan deze uitspraak wat betreft het hoger beroep vastgesteld op € 343,- voor het griffierecht;

wijst af wat meer of anders is gevorderd.

Deze beschikking is gegeven door mrs. M.P.M. Hennekens, H. de Hek en W.F. Boele en in tegenwoordigheid van de griffier in het openbaar uitgesproken op 19 maart 2024.