HvJ EU: privacytoezichthouder kan inzagerecht klager niet categorisch uitsluiten

HvJ EU 5 november 2026, IT 5640; ECLI:EU:C:2026:933 (Bayerisches Landesamt für Datenschutzaufsicht). Het Hof van Justitie van de Europese Unie oordeelt dat een toezichthoudende autoriteit die een klacht op grond van artikel 77 AVG behandelt, zelf als verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG moet worden aangemerkt voor de persoonsgegevens van de klager die zij daarbij verwerkt. De zaak betreft een geschil tussen de Duitse journalist Joachim Lindenberg en het Bayerische Landesamt für Datenschutzaufsicht, de Beierse toezichthouder op gegevensbescherming. Lindenberg had bij de toezichthouder een klacht ingediend over een derde, waarna een onderzoeksprocedure werd ingesteld. Nadat de toezichthouder hem had meegedeeld dat bij deze derde inbreuken op de gegevensbeschermingsregels waren vastgesteld, verzocht Lindenberg op grond van artikel 15 AVG om inzage in zijn dossier. De toezichthouder wees dit verzoek af onder verwijzing naar artikel 20, lid 2, van de Beierse wet inzake gegevensbescherming, dat het recht op informatie en inzage in dossiers en bestanden van toezichthoudende autoriteiten uitsluit. Hoewel Lindenberg later alsnog inzage in het dossier kreeg, bleef hij een rechterlijk oordeel verlangen over de rechtmatigheid van de eerdere weigering. Het Hof overweegt dat een toezichthouder bij de behandeling van een klacht persoonsgegevens van de klager vastlegt, raadpleegt, opslaat en gebruikt en daarom als verwerkingsverantwoordelijke moet worden beschouwd. De toezichthouder is bijgevolg in beginsel verplicht de klager inzage te verlenen in de hem betreffende persoonsgegevens en de in artikel 15 AVG genoemde informatie. Dit recht omvat echter geen algemeen recht op inzage in het volledige administratieve dossier of alle documenten waarover de toezichthouder beschikt.

Daarnaast oordeelt het Hof dat artikel 23, lid 1, onder c, h en i, AVG zich verzet tegen een nationale regeling die het recht op inzage in persoonsgegevens bij een toezichthoudende autoriteit categorisch uitsluit. Hoewel het inzagerecht onder bepaalde voorwaarden kan worden beperkt ter bescherming van de rechten en vrijheden van derden, de goede werking en onafhankelijkheid van toezichthoudende autoriteiten of de openbare veiligheid, moeten dergelijke beperkingen noodzakelijk en evenredig zijn en de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laten. De bescherming van persoonsgegevens van derden rechtvaardigt geen volledige weigering zonder belangenafweging. Volgens het Hof kunnen maatregelen zoals het onleesbaar maken of anonimiseren van persoonsgegevens van derden de betrokken belangen met elkaar verzoenen. Ook de administratieve belasting van inzageverzoeken rechtvaardigt geen algemene uitsluiting, mede omdat artikel 12, lid 5, AVG mogelijkheden biedt om kennelijk ongegronde of buitensporige verzoeken te weigeren of daarvoor een redelijke vergoeding te vragen. Voor een beperking vanwege de openbare veiligheid moet bovendien sprake zijn van een werkelijke en voldoende ernstige bedreiging van een fundamenteel maatschappelijk belang, waarvoor in deze zaak geen aanwijzingen bestaan. Het Hof concludeert daarom dat de AVG zich verzet tegen een nationale bepaling die een klager categorisch het recht ontzegt op inzage in zijn persoonsgegevens die bij de toezichthouder berusten.

62      Bijgevolg is het waarborgen van de goede werking en de onafhankelijkheid van toezichthoudende autoriteiten een legitiem doel in de zin van artikel 23, lid 1, onder h), van deze verordening, op grond waarvan in beginsel beperkingen kunnen worden gesteld aan onder meer het in artikel 15 van die verordening gewaarborgde recht van inzage.

63      Zoals de advocaat-generaal in wezen heeft opgemerkt in punt 86 van zijn conclusie kan de uitoefening van dat recht van inzage echter geen belemmering opleveren voor de onafhankelijkheid waarmee de toezichthoudende autoriteiten hun taken moeten kunnen uitvoeren.

64      Hetzelfde geldt voor de doeltreffendheid waarmee zij die taken moeten kunnen uitvoeren. Een wettelijke bepaling die op algemene en abstracte wijze elke inzage van de betrokkene verbiedt in hem betreffende persoonsgegevens die in het bezit zijn van de toezichthoudende autoriteit, streeft immers niet op evenredige wijze een dergelijk doel na.

65      In dit verband moet overigens worden benadrukt dat, zelfs indien de administratieve last die gepaard gaat met de behandeling van verzoeken om inzage op grond van artikel 15 AVG in voorkomend geval aanzienlijk zou zijn, iedere lidstaat, zoals in punt 61 van dit arrest in herinnering is gebracht, ervoor zorgt dat elke toezichthoudende autoriteit beschikt over de personele, technische en financiële middelen die nodig zijn voor het effectief uitvoeren van haar taken en het effectief uitoefenen van haar bevoegdheden.

66      Krachtens artikel 12, lid 5, AVG kan een verwerkingsverantwoordelijke die wordt geconfronteerd met een kennelijk ongegrond of buitensporig verzoek om inzage, bovendien hetzij een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de informatie gepaard gaat, hetzij weigeren gevolg te geven aan dergelijke verzoeken.

67      Bijgevolg kan het recht van inzage van iedere betrokkene in hem betreffende persoonsgegevens niet op algemene wijze worden uitgesloten om het goed functioneren en de onafhankelijkheid van toezichthoudende autoriteiten te waarborgen overeenkomstig artikel 23, lid 1, onder h), AVG.

68      Wat ten derde de doelstelling betreft om de openbare veiligheid te beschermen, moet worden opgemerkt dat die doelstelling overeenkomstig artikel 23, lid 1, onder c), AVG een beperking kan rechtvaardigen van het in artikel 15, lid 1, AVG neergelegde recht van inzage van de betrokkene in hem betreffende persoonsgegevens. Een lidstaat kan zich echter slechts op een dergelijke beperking beroepen wanneer er sprake is van een werkelijke en voldoende ernstige bedreiging die een fundamenteel belang van de samenleving aantast [zie naar analogie arrest van 13 november 2025, Commissie/Hongarije (Bouwmaterialen voor kritieke infrastructuren), C‑499/23, EU:C:2025:875, punt 41]. Het dossier waarover het Hof beschikt bevat echter geen aanwijzingen in die zin.

69      Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 23, lid 1, onder c), h) en i), AVG aldus moet worden uitgelegd dat het zich verzet tegen een nationale bepaling op grond waarvan een klager niet beschikt over het in artikel 15 AVG vastgestelde recht van inzage in hem betreffende persoonsgegevens die in het bezit zijn van een toezichthoudende autoriteit in de zin van artikel 4, punt 21, AVG.