ABRvS: DPG Media schond AVG door altijd kopie ID te eisen voor inzageverzoeken

De boete voor DPG Media B.V. die de Autoriteit Persoonsgegevens in 2022 oplegde ter hoogte van EUR 525.000 was in eerste instantie (ECLI:NL:RBAMS:2023:5074) van tafel geveegd. De Rb. hield wel het oordeel van de AP in stand dat DPG Media B.V. de AVG had geschonden door een kopie identiteitsbewijs in alle gevallen te vereisten voordat een inzage of wissingsverzoek buiten de online inlogomgeving werd gehonoreerd. De ABRvS bevestigt deze laatste conclusie, namelijk dat het beleid van DPG Media B.V. onnodige drempels voor betrokkenen had opgeworpen om hun rechten uit de AVG te kunnen uitoefenen. (r.o. 6.2) Hierbij maakt de ABRvS nogmaals duidelijk dat een kopie van een identiteitsbewijs 'op zichzelf geen onredelijk middel is om een persoon te identificeren', maar dit buiten de inlogomgeving áltijd vereisen en het enkel in de Privacyverklaring melden dat de kopie ook afgeschermd mocht worden was onvoldoende.

Door dit niet ook steeds in de verzoeken om een dergelijk kopie te overleggen op te nemen was dit niet steeds duidelijk voor verzoekers. (r.o. 6.1) Dat is wel belangrijk, want de ABRvS geeft aan dat een niet-afgeschermde kopie veel meer persoonsgegevens bevat dan nodig. Het beginsel van minimale gegevensverwerking dient zich dus ook hier aan. Daarnaast is niet onderzocht of een alternatieve, minder ingrijpende verificatiemethode zoals verificatie aan de hand van abonnee- of klantnummer, e-mailverificatie of anderszins niet mogelijk was. Daarmee was het beleid in strijd met de beginselen van proportionaliteit en subsidiariteit. (r.o. 6.2) Vervolgens boog de ABRvS zich over de vraag of de Autoriteit Persoonsgegevens nu wel of niet een boete had kunnen opleggen en zo ja hoe hoog deze mocht zijn.