ABRvS, 13-07-2022, nr. 202006125/1/A3

202006125/1/A3.

Datum uitspraak: 13 juli 2022

AFDELING

BESTUURSRECHTSPRAAK

Uitspraak op het hoger beroep van:

[appellant], wonend te Den Haag,

tegen de uitspraak van de rechtbank Den Haag van 16 oktober 2020 in zaak nr. 19/6782 in het geding tussen:

[appellant]

en

het college van burgemeester en wethouders van Den Haag.

Procesverloop

Bij besluit van 7 februari 2019 en nader besluit van 17 april 2019 heeft het college informatie aan [appellant] verstrekt over de verwerking van zijn persoonsgegevens door de gemeente Den Haag.

Bij besluit van 30 september 2019 heeft het college het door [appellant] daartegen gemaakte bezwaar ongegrond verklaard.

Bij uitspraak van 16 oktober 2020 heeft de rechtbank het door [appellant] daartegen ingestelde beroep ongegrond verklaard. Deze uitspraak is aangehecht.

Tegen deze uitspraak heeft [appellant] hoger beroep ingesteld.

Het college heeft een schriftelijke uiteenzetting gegeven.

De Afdeling heeft de zaak ter zitting behandeld op 16 augustus 2021, waar [appellant], en het college, vertegenwoordigd door mr. L. Groeneveld, advocaat te Den Haag, zijn verschenen.

Na de zitting heeft de Afdeling het onderzoek heropend en vragen gesteld aan het college.

Bij brief van 22 december 2021 heeft het college antwoorden op de gestelde vragen ingediend.

Bij besluit van 21 maart 2022 heeft het college het besluit van 30 september 2019 aangevuld en aan [appellant] alsnog informatie verstrekt over de verwerking van zijn persoonsgegevens.

Partijen hebben toestemming verleend voor het achterwege laten van een nadere zitting. Vervolgens heeft de Afdeling het onderzoek gesloten.

Overwegingen

Juridisch kader

1.       Het juridisch toetsingskader is vermeld in de bijlage, die deel van deze uitspraak uitmaakt.

Inleiding

2.       [appellant] heeft het college met een beroep op artikel 15, eerste lid, van de Algemene verordening gegevensbescherming (hierna: AVG), verzocht hem te informeren welke hem betreffende persoonsgegevens door de gemeente zijn verwerkt. In dit verband heeft hij onder meer genoemd de gegevens over en verbonden aan het door hem gebruikte IP-adres en de gegevens die zijn verwerkt in verband met een door de gemeente verwijderde fiets. Verder heeft hij verzocht om inzage in de e-mailcommunicatie die tussen hem en de gemeente heeft plaatsgehad.

Bij de besluiten van 7 februari 2019 en 17 april 2019 heeft het college overzichten aan [appellant] verstrekt van zijn persoonsgegevens die door de gemeente zijn verwerkt. Bij het besluit van 30 september 2019 heeft het college het door [appellant] daartegen gemaakte bezwaar ongegrond verklaard.

Aangevallen uitspraak

3.       De rechtbank heeft overwogen dat het college zich terecht op het standpunt heeft gesteld dat IP-adressen in dit geval niet als persoonsgegevens moeten worden aangemerkt.

Het college heeft meegedeeld dat de gegevens over het ophalen van een fiets bij Fietsdepot Haaglanden zijn geanonimiseerd in het systeem Perfect View en daardoor niet meer naar [appellant] herleidbaar zijn. Het college heeft hiermee volgens de rechtbank aannemelijk gemaakt dat er bij het fietsdepot geen persoonsgegevens van [appellant] (meer) worden verwerkt.

Ten aanzien van de e-mailcommunicatie tussen [appellant] en de gemeente vindt de rechtbank van belang dat [appellant] reeds over de e-mails beschikt. De rechtbank vindt dat het college aannemelijk heeft gemaakt dat binnen de gemeente niet wordt geregistreerd met wie wordt gecommuniceerd. Als een proces voorschrijft dat een e-mail bewaard moet worden, dan wordt deze gearchiveerd.

Gelet op het vorenstaande ziet de rechtbank geen grond voor de conclusie dat het door het college aan [appellant] verstrekte verwerkingsoverzicht onvolledig is of dat de door het college verrichte zoekslag onvoldoende is geweest.

Hoger beroep

Gronden

4.       [appellant] betoogt dat de rechtbank niet heeft onderkend dat statische (vaste) IP-adressen, zoals door hem gebruikt, persoonsgegevens zijn, omdat deze op eenvoudige wijze tot de identiteit van de gebruiker zijn te herleiden. De computerservers van de gemeente houden bij welke HTTP-verzoeken binnenkomen en uitgaan. Deze gegevens worden opgeslagen in verband met mogelijke aanvallen op het netwerk. Uitgaande van een bepaalde actie, zoals een op een bepaald moment ingediende aanvraag, kan het college achterhalen welke persoon bij het IP-adres hoort. Volgens [appellant] is het door het college verstrekte overzicht van de verwerkte persoonsgegevens ook overigens incompleet. Hij wijst erop dat het overzicht bij het besluit van 17 april 2019 is aangevuld, nadat hij op ontbrekende gegevens heeft gewezen. Verder heeft het college in de bezwaarprocedure meegedeeld dat het centrale register van verwerkingen, genaamd iNavigator, nog met standaardinformatie is gevuld en verder verfijnd moet worden.

Als het register niet volledig is, is de kans groot dat niet alle verwerkte persoonsgegevens zijn verstrekt, aldus [appellant]. Het college heeft volgens hem in ieder geval ten onrechte geen gegevens verstrekt over een pinbetaling die hij op 28 december 2018 bij het ophalen van een verwijderde fiets bij Fietsdepot Haaglanden heeft voldaan en over een bezwaarschrift dat hij namens iemand anders bij de gemeente heeft ingediend. Ook heeft het college geen inzage gegeven in de e-mailcommunicatie die eerder tussen [appellant] en de gemeente heeft plaatsgevonden. [appellant] verzoekt de Afdeling het college op te dragen te onderzoeken of er meer hem betreffende persoonsgegevens zijn verwerkt dan nu aan hem zijn meegedeeld.

Beoordeling door de Afdeling

Pinbetaling

5.       Het college heeft meegedeeld dat er geen gegevens over de door [appellant] bij het fietsdepot opgehaalde fiets worden bewaard op een tot hem herleidbare manier. Dat, zoals [appellant] aanvoert, hij in het verleden voor werkzaamheden als stembureauvoorzitter bij verkiezingen in de gemeente een vergoeding heeft ontvangen en zijn bankrekeningnummer daarom bekend kan worden verondersteld, maakt niet dat de pintransactie in dit geval als een persoonsgegeven moet worden aangemerkt. Een identificatie langs die weg zou in dit geval ondoenlijk zijn. Het daadwerkelijke gevaar voor identificatie lijkt daardoor onbeduidend (vergelijk de arresten van het Europese Hof van Justitie van 24 november 2011, ECLI:EU:C:2011:771, 19 oktober 2016, ECLI:EU:C:2016:779, en 17 juni 2021, ECLI:EU:C:2021:492). Voor zover [appellant] betoogt dat de pintransactie met behulp van de door hem aangedragen gegevens (datum, transactienummer, bankrekeningnummer) tot hem kan worden herleid, geldt dat dit de transactie niet een persoonsgegeven maakt, omdat het college dat gegeven zonder deze door [appellant] zelf verstrekte aanvullende informatie niet tot hem kan herleiden.

Gegevens bezwaarschriftprocedure

5.1.    Naar ter zitting bij de Afdeling is vastgesteld, is een overzicht van de gegevens met betrekking tot de door [appellant] bedoelde bezwaarprocedure aan hem toegezonden.

E-mails

5.2.    Niet in geschil is dat [appellant] beschikt over alle e-mails die hij zelf heeft gestuurd aan de gemeente en die de gemeente aan hem heeft gestuurd. [appellant] kan daaruit afleiden welke persoonsgegevens door wie en voor welk doel in die e-mails worden verwerkt. Met de rechtbank is de Afdeling van oordeel dat het college aannemelijk heeft gemaakt dat binnen de gemeente geen register wordt bijgehouden met wie de gemeente communiceert per e-mail. De persoonsgegevens worden dus niet verder verwerkt. In dit verband merkt de Afdeling op dat, anders dan [appellant] kennelijk veronderstelt, bestuursorganen niet verplicht zijn om alle inkomende en uitgaande e-mails te bewaren. Zoals volgt uit de uitspraak van de Afdeling van 21 oktober 2020, ECLI:NL:RVS:2020:2477, kan de AVG juist eraan in de weg staan dat persoonsgegevens verwerkt (blijven) worden en gelden daarvoor eisen van grondslag, noodzaak en proportionaliteit.

Volgens [appellant] volgt uit artikel 7, eerste lid, van het Privacyreglement e-mail- en internetgebruik, welk reglement geldt voor medewerkers in dienst van de gemeente en personen die werkzaamheden voor de gemeente verrichten, dat persoonsgegevens uit verzonden en ontvangen e-mails automatisch elektronisch worden vastgelegd. Uit het tweede artikellid volgt echter dat die vastlegging is beperkt tot een verwerking van gegevens die noodzakelijk is voor specifieke doeleinden die in het artikel worden opgesomd.

Gezien het vorenstaande is de Afdeling met de rechtbank van oordeel dat het college het standpunt mocht innemen dat met de beschikking over de e-mails [appellant] in staat moet worden geacht kennis te kunnen nemen van zijn gegevens en die te controleren op hun juistheid. Het college was dus in dit geval niet gehouden ook nog een afzonderlijk overzicht te verstrekken van de e-mailcommunicatie die heeft plaatsgevonden tussen [appellant] en de gemeente.

IP-adressen

5.3.    Het standpunt van het college in het besluit op bezwaar van 30 september 2019 was dat binnen de gemeente geen IP-adressen worden opgeslagen, vastgelegd en gekoppeld aan personen en dat de gemeente zelf niet beschikt over de benodigde gegevens om een koppeling te kunnen maken tussen een IP-adres en een burger, maar die alleen bij de internetprovider berusten. Uit het aanvullende besluit van 21 maart 2022 volgt dat het college dit standpunt niet langer handhaaft voor wat betreft de applicatielogs van de webserver van de gemeentelijke website en de applicatielogs van de applicatie VGZ. De IP-adressen die hierbij worden opgeslagen, zijn herleidbaar tot personen en moeten, anders dan de rechtbank heeft overwogen, als persoonsgegeven worden aangemerkt. Het betoog van [appellant] slaagt in zoverre.

Voor het overige is de Afdeling met de rechtbank van oordeel dat het college aannemelijk heeft gemaakt dat binnen de gemeente die IP-adressen niet worden opgeslagen, vastgelegd en gekoppeld aan personen en dat de gemeente zelf niet beschikt over de benodigde gegevens om een koppeling te kunnen maken tussen die IP-adressen en een burger. Een daadwerkelijk gevaar voor identificatie is onbeduidend. In zoverre slaagt het betoog van [appellant] niet.

Verdere persoonsgegevens

5.4.    Zoals hiervoor overwogen is het, wanneer een bestuursorgaan meedeelt dat na onderzoek is gebleken dat er niet meer persoonsgegevens zijn dan de gevraagde gegevens die zijn verstrekt en die mededeling niet ongeloofwaardig voorkomt, in beginsel aan degene die om deze gegevens verzoekt om aannemelijk te maken dat er meer persoonsgegevens moeten zijn. De Afdeling is van oordeel dat, daargelaten de door het college later overgelegde gegevens uit IP-adressen, de mededeling van het college dat niet meer persoonsgegevens zijn aangetroffen die op [appellant] betrekking hebben, niet ongeloofwaardig voorkomt. [appellant] heeft niet aannemelijk gemaakt dat het college over nog meer persoonsgegevens moet beschikken. Dat het college nadere gegevens aan hem heeft verstrekt, maakt niet dat reeds daarom aannemelijk is dat onder het college nog meer persoonsgegevens berusten.

Conclusie over het hoger beroep

6.       Gelet op wat onder 5.3 is overwogen, is het hoger beroep gegrond. De aangevallen uitspraak moet worden vernietigd. Doende hetgeen de rechtbank zou behoren te doen, zal de Afdeling het beroep gegrond verklaren en het besluit van 30 september 2019 wegens strijd met de artikelen 3:2 en 7:12, eerste lid, van de Awb vernietigen voor zover het college heeft nagelaten [appellant] uitsluitsel te geven over het al dan niet verwerken van hem betreffende persoonsgegevens middels IP-adressen. De Afdeling zal hierna het van rechtswege ontstane beroep tegen het aanvullende besluit van 21 maart 2022 beoordelen.

Beroep

Aanvullend besluit op bezwaar

7.       In het aanvullende besluit op bezwaar van 21 maart 2022 heeft het college inzage gegeven in de [appellant] betreffende IP-adressen die de gemeente verwerkt in de processen voor het aanmelden stembureau, het melden van woonoverlast en het doorgeven van een verhuizing. Het college heeft zich daarbij op het standpunt gesteld dat de [appellant] betreffende IP-adressen beperkt vindbaar zijn. Alleen in de applicatielogs van de webserver van de gemeentelijke website en de applicatielogs van de applicatie VGZ, worden IP-adressen opgeslagen. Met het aanvullende besluit heeft het college ook een overzicht van de [appellant] betreffende IP-adressen, die zijn aangetroffen, gegeven.

7.1.    [appellant] is in de gelegenheid gesteld een reactie in te dienen op deze aanvulling. Van deze mogelijkheid heeft hij geen gebruik gemaakt.

Conclusie beroep

8.       Het beroep van rechtswege is ongegrond.

Proceskosten

Het college hoeft geen proceskosten te vergoeden.

Beslissing

De Afdeling bestuursrechtspraak van de Raad van State:

I.        verklaart het hoger beroep gegrond;

II.       vernietigt de uitspraak van de rechtbank Den Haag van 16 oktober 2020 in zaak nr. 19/6782;

III.      verklaart het beroep gegrond;

IV.      vernietigt het besluit van het college van burgemeester en wethouders van Den Haag van 30 september 2019, kenmerk B.3.19.0987.001/BZW0000011031, voor zover het college heeft nagelaten [appellant] uitsluitsel te geven over het al dan niet verwerken van hem betreffende persoonsgegevens middels IP-adressen;

V.       verklaart het beroep van rechtswege tegen het besluit van 21 maart 2022 ongegrond;

VI.      gelast dat het college van burgemeester en wethouders van Den Haag aan [appellant] het door hem betaalde griffierecht ten bedrage van € 430,00 (zegge: vierhonderddertig euro) voor de behandeling van het hoger beroep en het beroep vergoedt.

Aldus vastgesteld door mr. C.J. Borman, voorzitter, en mr. A.W.M. Bijloos en mr. J.M.L. Niederer, leden, in tegenwoordigheid van mr. C.C.J. de Wilde, griffier.

w.g. Borman

voorzitter

De griffier is verhinderd de uitspraak te ondertekenen

Uitgesproken in het openbaar op 13 juli 2022

598-290

BIJLAGE

Algemene verordening gegevensbescherming

Artikel 4

Voor de toepassing van deze verordening wordt verstaan onder:

1) "persoonsgegevens": alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene"); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

[-]

Artikel 15

1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens [-].

[-]