Rechtbank Midden-Nederland, 30-09-2026 (C/16/611297 / HL RK 26-29)

RECHTBANK Midden-Nederland Civiel recht Zittingsplaats Lelystad Zaaknummer / rekestnummer: C/16/611297 / HL RK 26-29 Beschikking van 30 september 2026 in de zaak van [verzoeker] , wonend in [woonplaats] , verzoekende partij, hierna te noemen: [verzoeker] , procederend in persoon, tegen DE STICHTING DIAKONESSENHUIS , gevestigd in Utrecht, verwerende partij, hierna te noemen: Diakonessenhuis, advocaat: mr. S. Slangen en mr. W.K. Bischot. 1 De procedure 1.1 De volgende stukken zitten in het procesdossier: - het verzoekschrift met 4 bijlagen - het verweerschrift met 6 bijlagen - de aanvullende stukken van [verzoeker] van 30 augustus 2026 1.2 Op 14 september 2026 heeft de mondelinge behandeling plaatsgevonden. Namens [verzoeker] waren aanwezig [verzoeker] in persoon en [A] . Namens Diakonessenhuis waren aanwezig mr. S. Slangen, mr. W.K. Bischot, [B] ( [functie] ), [C] ( [functie] ) en [D] ( [functie] ). De griffier heeft aantekeningen gemaakt van wat er is besproken. Aan het eind van de zitting heeft de rechter bepaald dat op 28 oktober 2026 een uitspraak zal worden gedaan. Omdat de beschikking eerder klaar is, wordt deze vandaag uitgesproken. 2 De kern van de zaak 2.1 [verzoeker] heeft op 30 mei 2024 een videocapsule-endoscopie (hierna: VCE) laten uitvoeren bij Diakonessenhuis. [verzoeker] heeft nadien meerdere verzoeken gedaan tot inzage in de persoonsgegevens die Diakonessenhuis van haar verwerkt op grond van artikel 15 van de Algemene Verordening Gegevensbescherming (hierna: AVG). De vraag die in deze zaak ter beantwoording voorligt, is of Diakonessenhuis heeft voldaan aan haar verplichting om [verzoeker] inzage te verlenen van de in artikel 15 lid 1 AVG genoemde informatie. De rechtbank beantwoordt deze vraag ontkennend en veroordeelt Diakonessenhuis om dat alsnog te doen. 3 De achtergrond 3.1 [verzoeker] verzoekt in het petitum van haar verzoekschrift dat Diakonessenhuis wordt bevolen om haar inzage te verschaffen in haar persoonsgegevens ‘zoals door haar verzocht’. Uit het lichaam van het verzoekschrift en de inhoud van het debat dat partijen tijdens de mondelinge behandeling hebben gevoerd, leidt de rechtbank af dat [verzoeker] heeft bedoeld een inzage conform haar inzageverzoek aan Diakonessenhuis van 15 april 2026. De reikwijdte van dat verzoek is als volgt: de volledige logoverzichten van het medisch dossier van [verzoeker] over de periode 1 april 2024 tot en met 15 april 2026 een afschrift van het volledige medische dossier van [verzoeker] over de periode 1 april 2024 tot en met 15 april 2026 de logoverzichten van de MiroView software over de periode 26 juni 2024 tot en met 15 april 2026 of een bevestiging dat gedurende deze periode geen loggingen of vastleggingen van de persoonsgegegevens van [verzoeker] hebben plaatsgevonden een specificatie van de medewerkers van Diakonessenhuis die de gelogde activiteiten in de MiroView software hebben uitgevoerd een afschrift van de overige persoonsgegevens van [verzoeker] die Diakonessenhuis (heeft) verwerkt 4 De beoordeling het juridisch kader 4.1 Artikel 15 lid 1 AVG omschrijft het voorwerp en de werkingssfeer van het aan [verzoeker] toegekende recht van inzage. In het artikellid is bepaald dat [verzoeker] het recht heeft om van Diakonessenhuis inzage te verkrijgen in de persoonsgegevens die Diakonessenhuis van haar verwerkt en de in de punten a) tot en met h) van dat lid bedoelde informatie. Dit recht van inzage moet [verzoeker] in staat stellen om na te gaan of de haar betreffende persoonsgegevens juist zijn en rechtmatig worden verwerkt. Dat is met name nodig om [verzoeker] toe te laten om in voorkomend geval een aantal andere rechten uit te oefenen, namelijk haar recht op rectificatie van gegevens, op gegevenswissing en op beperking van de verwerking, die haar respectievelijk worden toegekend door de artikelen 16, 17 en 18 AVG, alsook haar in artikel 21 AVG vastgestelde recht om bezwaar te maken tegen de verwerking van haar persoonsgegevens en haar in de artikelen 79 en 82 AVG neergelegde rechten om zich tot de rechter te wenden wanneer haar rechten uit hoofde van de AVG zijn geschonden en zij daardoor schade lijdt. 4.2 Artikel 15 lid 3 AVG verduidelijkt op welke wijze de op Diakonessenhuis rustende verplichting in de praktijk moet worden nagekomen, door met name in de eerste volzin te specificeren in welke vorm zij de persoonsgegevens die worden verwerkt moet verstrekken, te weten in de vorm van een ‘kopie’. Deze verplichting van Diakonessenhuis houdt in dat zij aan [verzoeker] een getrouwe en begrijpelijke reproductie moet verstrekken van de persoonsgegevens die zij van haar verwerkt. Dit kan meebrengen dat Diakonessenhuis onderdelen van documenten of zelfs volledige documenten moeten verstrekken als dat noodzakelijk is om [verzoeker] in staat te stellen haar rechten uit de AVG daadwerkelijk uit te oefenen. 4.3 Diakonessenhuis kan geen inzage verstrekken in persoonsgegevens die zij niet (meer) heeft. Daarnaast dient Diakonessenhuis, mede gelet op de artikelen 15 lid 4 en 23 lid 1 aanhef en onder i AVG, bij het verstrekken van inzage rekening te houden met de rechten en vrijheden van anderen. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. In geval van strijdigheid tussen enerzijds de uitoefening van het recht van inzage — dat de nuttige werking van de door de AVG aan de betrokkene verleende rechten waarborgt — en anderzijds de rechten of vrijheden van anderen, moeten de betrokken rechten en vrijheden tegen elkaar worden afgewogen. Voor zover mogelijk moet worden gekozen voor een wijze die geen afbreuk doet aan de rechten of vrijheden van anderen. Daarbij moet er rekening mee worden gehouden dat deze overwegingen er niet toe mogen leiden dat de betrokkene alle informatie wordt onthouden. ad. 1: de loggegevens met betrekking tot het medisch dossier 4.4 Diakonessenhuis voert aan dat [verzoeker] de loggegevens over de periode 1 april 2024 tot en met 20 maart 2026 reeds van haar heeft ontvangen. Hoewel Diakonessenhuis van mening is dat de verzoeken tot inzage van [verzoeker] niet met redelijke tussenpozen zijn gedaan, heeft zij in haar verweerschrift toegezegd dat zij de loggegevens tot en met 15 april 2026 ook aan [verzoeker] zal verstrekken. Tijdens de mondelinge behandeling heeft [verzoeker] desgevraagd bevestigd dat zij de betreffende loggegevens op 7 september 2026 heeft ontvangen. Deze logoverzichten bevatten de volgende elementen: ‘patiëntnummer’, ‘afdeling medewerker’, ‘functie medewerker’, ‘controleperiode’, ‘inzage in onderstaande schermen’ en ‘inzage op’. Volgens [verzoeker] voldoet de weergave van de logging in de overzichten die Diakonessenhuis heeft verstrekt niet aan de NEN 7513. De NEN 7513 is een norm voor informatiebeveiliging in de zorg die ziet op het registreren en verstrekken van loggegevens. Daarin worden elementen voorgeschreven die in logoverzichten moeten staan. [verzoeker] meent dat Diakonessenhuis beschikt over de gegevens die nodig zijn om de logoverzichten alsnog te laten voldoen aan de NEN 7513. [verzoeker] baseert die veronderstelling op de stelling van Diakonessenhuis dat zij werkt volgens de NEN 7510 en de NEN 7513 en dat zij in het bezit is van een NEN 7510-certificaat. Tijdens de mondelinge behandeling heeft Wolters desgevraagd toegelicht wat volgens [verzoeker] in de overzichten ontbreekt: ‘waar het om gaat is dat je wil zien wat er met je persoonsgegevens is gebeurd en wat de grondslag daarvan is geweest. Dat zie je in een logfile terug als “deze persoon” heeft “op dit moment” “het volgende” gedaan met “deze gegevens”. Er staat in dit overzicht zeer globaal dat inzage in bepaalde schermen heeft plaatsgevonden. Wat er precies is gedaan met welke gegevens staat er niet in.’ 4.5 De rechtbank stelt voorop dat [verzoeker] haar inzageverzoek heeft gebaseerd op artikel 15 AVG. Dat artikel geeft [verzoeker] niet het recht van Diakonessenhuis inzage te verlangen in logoverzichten die conform de NEN 7513 zijn opgesteld. De rechtbank begrijpt dat het bezwaar van [verzoeker] tegen de logoverzichten van Diakonessenhuis met name is gelegen in het ontbreken van een specificatie van de geraadpleegde persoonsgegevens en informatie over de doeleinden van de raadplegingen. 4.6 Het raadplegen of het gebruiken van het medisch dossier van [verzoeker] door de medewerkers van Diakonessenhuis is een gegevensverwerking is in de zin van artikel 4 lid 2 AVG. De verplichting van Diakonessenhuis uit artikel 15 lid 3 AVG heeft betrekking op de persoonsgegevens die het voorwerp vormen van de betrokken verwerking. Dat brengt met zich mee dat Diakonessenhuis aan [verzoeker] een ‘kopie’ moet verstrekken van de persoonsgegevens die de medewerkers van haar hebben geraadpleegd. Het mededelen van een zuiver algemene beschrijving van die gegevens en een verwijzing naar categorieën persoonsgegevens voldoen niet aan de definitie van het begrip ‘kopie’ uit artikel 15 lid 3 AVG. Datzelfde geldt voor de mededeling van de schermen die de medewerkers hebben ingezien. Uit die mededeling kan weliswaar worden opgemaakt dat mogelijk persoonsgegevens van [verzoeker] zijn geraadpleegd, maar niet welke gegevens dat betrof. Van een getrouwe en begrijpelijke reproductie kan daarom niet worden gesproken. Wat betreft informatie over de doeleinden van de raadplegingen, geldt dat artikel 15 lid 1 onder a AVG [verzoeker] uitdrukkelijk recht geeft op deze informatie. De rechtbank zal Diakonessenhuis daarom opdragen om een toelichting te geven op de logoverzichten die zij heeft verstrekt aan [verzoeker] , waarin wordt gespecificeerd welke persoonsgegevens van [verzoeker] door de betrokken medewerkers zijn geraadpleegd en met welk doel dat is gebeurd. 4.7 Voor zover [verzoeker] andere bezwaren heeft tegen de logoverzichten van Diakonessenhuis, geldt dat deze bezwaren door haar onvoldoende duidelijk naar voren zijn gebracht. De logoverzichten van Diakonessenhuis wijzen erop dat raadplegingen van het medisch dossier van [verzoeker] hebben plaatsgevonden door medewerkers van Diakonessenhuis en geven informatie over de frequentie en de intensiteit van de raadplegingen. [verzoeker] kan met de informatie in de logoverzichten en de nadere toelichting zoals bedoeld in randnummer 4.6 van deze beschikking nagaan of de verwerking van haar gegevens daadwerkelijk is verricht onder het gezag van Diakonessenhuis en overeenkomstig haar instructies en daarmee of die verwerking rechtmatig is. ad. 2: een afschrift van het medisch dossier 4.8 Diakonessenhuis voert aan dat zij [verzoeker] bij brief van 30 april 2026 heeft medegedeeld dat zij een afschrift van haar medisch dossier kan aanvragen via de afdeling Kopie Medisch Dossier door het invullen van een aanvraagformulier via een daarvoor bestemde webpagina. Volgens Diakonessenhuis heeft [verzoeker] dat niet gedaan. Niettemin zegt Diakonessenhuis in haar verweerschrift toe dat zij het afschrift aan [verzoeker] zal verstrekken. Tijdens de mondelinge behandeling heeft [verzoeker] desgevraagd bevestigd dat zij het afschrift van haar medisch dossier op 7 september 2026 heeft ontvangen. Dat betekent dat aan dit deel van het verzoek van [verzoeker] is voldaan. 4.9 Wat betreft de stelling van [verzoeker] dat het afschrift op ‘formele aspecten’ en ‘materiële aspecten’ verschilt van een eerder afschrift dat zij in het verleden van Diakonessenhuis heeft ontvangen, geldt het volgende. [verzoeker] heeft haar stelling niet onderbouwd en zich beperkt tot de opmerking dat in het meest recent ontvangen afschrift een verslag van een consult zit dat niet eerder aan haar is verstrekt en op ‘een fundamenteel punt’ niet aansluit op een ander verslag in haar dossier. Als het door Diakonessenhuis verstrekte afschrift van het medisch dossier van [verzoeker] al verschilt van het afschrift dat [verzoeker] in het verleden heeft ontvangen, hetgeen zonder nadere onderbouwing die ontbreekt niet kan worden vastgesteld, is dat geen omstandigheid die tot het oordeel kan leiden dat Diakonessenhuis niet heeft voldaan aan haar verplichting om [verzoeker] inzage te verlenen van de in artikel 15 lid 1 AVG genoemde informatie. ad. 3: de loggegevens met betrekking tot de MiroView software of de gevraagde bevestiging 4.10 Diakonessenhuis heeft in haar verweerschrift bevestigd dat in de periode van 26 juni 2024 tot en met 15 april 2026 geen loggingen of vastleggingen met betrekking tot de persoonsgegevens van [verzoeker] zijn geregistreerd in de MiroView software. Daarmee heeft zij [verzoeker] overeenkomstig artikel 15 lid 1 eerste volzin AVG uitsluitsel gegeven over het al dan niet verwerken van haar persoonsgegevens. Dat betekent dat aan dit deel van het verzoek van [verzoeker] is voldaan. ad. 4: een specificatie van de medewerkers die gelogde activiteiten hebben uitgevoerd 4.11 Tussen partijen staat niet ter discussie dat [verzoeker] een overzicht heeft ontvangen van de gelogde activiteiten die in de MiroView software hebben plaatsgevonden. [verzoeker] wil weten welke medewerkers van Diakonessenhuis de gelogde activiteiten hebben uitgevoerd. Diakonessenhuis heeft aangevoerd dat zij de loggegevens standaard geanonimiseerd aanlevert om de privacy van haar medewerkers te beschermen. Daarnaast heeft zij aangevoerd dat het met de haar beschikbare informatie uit de MiroView software niet mogelijk is om de gelogde activiteiten te koppelen aan specifieke medewerkers, omdat de medewerkers gebruik maken van één overkoepelend account. Volgens Diakonessenhuis beschikken slechts vier van haar medewerkers over toegangsrechten tot de beelden van het VCE-onderzoek. Dit betreffen twee MDL-artsen en twee physician assistenten MDL. Diakonessenhuis stelt dat zij deze informatie én de namen van twee van de medewerkers op 6 augustus 2024 al met [verzoeker] heeft gedeeld. 4.12 De medewerkers van Diakonessenhuis die de persoonsgegevens van [verzoeker] in MiroView hebben geraadpleegd worden overeenkomstig artikel 29 AVG geacht de persoonsgegevens te hebben geraadpleegd onder het gezag van Diakonessenhuis en overeenkomstig haar instructies. Het inzagerecht uit artikel 15 lid 1 AVG geeft in beginsel geen aanspraak op informatie over de identiteit van de medewerkers van Diakonessenhuis die onder haar gezag en overeenkomstig haar instructies de persoonsgegevens hebben geraadpleegd. Dat is alleen anders als die informatie noodzakelijk is om [verzoeker] in staat te stellen de haar bij de AVG verleende rechten daadwerkelijk uit te oefenen. Als het verstrekken van informatie over de identiteit van de medewerkers van Diakonessenhuis noodzakelijk is voor [verzoeker] om na te gaan of de verwerking van haar persoonsgegevens rechtmatig is, dan kan dit niettemin afbreuk doen aan de rechten en vrijheden van deze medewerkers. In dat geval zal Diakonessenhuis een afweging moet maken tussen het belang van [verzoeker] bij inzage en het belang van haar medewerkers bij bescherming van hun privacyrechten. Voor zover mogelijk moet Diakonessenhuis ervoor kiezen om de logoverzichten te verstrekken op een wijze die geen afbreuk doet aan de privacyrechten van haar medewerkers en er niet toe leidt dat [verzoeker] alle informatie wordt onthouden. Het weergeven van loggegevens zonder namen van de medewerkers maar met vermelding van hun afdelingen en functies, zoals Diakonessenhuis dat heeft gedaan in de weergave van de loggegevens van het medisch dossier van [verzoeker] , kan daarvoor een goede methode zijn. 4.13 Het is de rechtbank niet duidelijk of Diakonessenhuis de medewerkers die de gelogde activiteiten hebben uitgevoerd in het geheel niet heeft gespecifieerd in de logoverzichten van de MiroView software die zij aan [verzoeker] heeft verstrekt. De rechtbank zal Diakonessenhuis daarom opdragen om een toelichting te geven op de logoverzichten van de MiroView software die zij aan [verzoeker] heeft verstrekt waarin de medewerkers die de gelogde activiteiten hebben uitgevoerd worden gespecificeerd, voor zover dat nog niet is gebeurd en met inachtneming van de privacyrechten van de medewerkers. Het verweer van Diakonessenhuis dat het voor haar niet mogelijk is om de gelogde activiteiten in de MiroView software te koppelen aan specifieke medewerkers treft geen doel. Gelet op de kennelijk beperkte groep van medewerkers die bevoegd waren om de beelden van het VCE-onderzoek te raadplegen, is het een kleine moeite voor Diakonessenhuis om aan de betreffende medewerkers te vragen wie van hen op welke datum de beelden in de MiroView software heeft geraadpleegd. ad. 5: een afschrift van de overige persoonsgegevens van [verzoeker] 4.14 Diakonessenhuis heeft als bijlage 6 bij haar verweerschrift een overzicht in het geding gebracht van de verwerkingen van de persoonsgegevens van [verzoeker] die niet in haar medisch dossier zijn opgenomen. Dat overzicht bevat de volgende elementen: ‘vindplaats’, ‘nummer’, ‘document en onderwerp’, ‘datum’, ‘al in bezit betrokkene’, ‘persoonsgegevens’, ‘herkomst’, ‘ontvanger’, ‘verwerkingsdoel’, ‘einde bewaartermijn’ en een afkortingenlijst. [verzoeker] heeft aangevoerd dat zij het overzicht voorafgaand aan de mondelinge behandeling niet heeft doorgenomen, omdat zij door een druk privéleven geen tijd daarvoor heeft gehad. Dat komt naar het oordeel van de rechtbank voor haar eigen rekening en risico omdat het overzicht door Diakonessenhuis voldoende tijdig in het geding is gebracht. De rechtbank heeft vanwege genoemde elementen geen reden om te veronderstellen dat het overzicht niet compleet is in die zin dat Diakonessenhuis in werkelijkheid meer gegevens van [verzoeker] heeft verwerkt dan hetgeen waarover zij met het overzicht inzage heeft verstrekt. Dat betekent dat aan dit deel van het verzoek van [verzoeker] is voldaan. de conclusie 4.15 Uit de hiervoor gegeven oordelen volgt dat de rechtbank het verzoek van [verzoeker] zal toewijzen voor zover dat ziet op het verstrekken van een toelichting op de logoverzichten van het medisch dossier van [verzoeker] en de logoverzichten van de MiroView software, dit laatste voor zover dat nog niet is gebeurd en met inachtneming van de privacyrechten van de medewerkers van Diakonessenhuis zoals in randnummer 4.12 van deze beschikking is overwogen. 4.16 [verzoeker] heeft ook verzocht om een dwangsom op te leggen voor het geval Diakonessenhuis niet binnen een maand voldoet aan het verstrekken van inzage. De rechtbank ziet geen aanleiding voor het opleggen van een dwangsom. Diakonessenhuis heeft in haar verweerschrift toegezegd dat zij zal meewerken aan een veroordeling en de rechtbank heeft geen reden om aan die toezegging te twijfelen. 4.17 Diakonessenhuis moet als de overwegend in het ongelijk gestelde partij worden veroordeeld in de kosten van de procedure. De proceskosten aan de zijde van [verzoeker] worden begroot op € 341,00 aan griffierecht. 4.18 De rechtbank zal haar beslissing uitvoerbaar bij voorraad verklaren, zoals is verzocht. Dat betekent dat de beslissing direct geldt, ook als er hoger beroep wordt ingesteld. 5 De beslissing De rechtbank 5.1 veroordeelt Diakonessenhuis om binnen een maand na deze beschikking [verzoeker] een toelichting te geven op de logoverzichten van haar medisch dossier die zij op 7 september 2026 aan [verzoeker] heeft verstrekt waarin wordt gespecificeerd welke persoonsgegevens door de betrokken medewerkers zijn geraadpleegd en met welk doel dat is gebeurd, 5.2 veroordeelt Diakonessenhuis om binnen een maand na deze beschikking [verzoeker] een toelichting te geven op de logoverzichten van de MiroView software die zij aan [verzoeker] heeft verstrekt waarin de medewerkers worden gespecificeerd die de gelogde activiteiten hebben uitgevoerd, voor zover dat nog niet is gebeurd en met inachtneming van de rechten en vrijheden van de medewerkers en andere derden, 5.3 veroordeelt Diakonessenhuis in de kosten van deze procedure welke aan de zijde van [verzoeker] tot aan deze uitspraak worden begroot op een totaalbedrag van € 341,00. Als Diakonessenhuis niet tijdig aan de veroordelingen voldoet en de beschikking daarna wordt betekend, dan moet Diakonessenhuis ook de kosten van betekening betalen, 5.4 verklaart de hierboven gegeven veroordelingen uitvoerbaar bij voorraad, 5.5 wijst de overige verzoeken af. Deze beschikking is gegeven door mr. H.M.M. Steenberghe en in het openbaar uitgesproken op 30 september 2026. 5932 Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. HvJ EU 4 mei 2023, C‑487/21, ECLI:EU:C:2023:369, r.o. 34. HvJ EU 4 mei 2023, C‑487/21, ECLI:EU:C:2023:369, r.o. 35. HvJ EU 4 mei 2023, C‑487/21, ECLI:EU:C:2023:369, r.o. 31. Gerechtshof Arnhem-Leeuwarden 26 augustus 2024, ECLI:NL:GHARL:2024:5384, r.o. 4.6. en de daar aangehaalde rechtspraak van het HvJ EU. Zie in gelijke zin: Gerechtshof Arnhem-Leeuwarden 26 augustus 2024, ECLI:NL:GHARL:2024:5384, r.o. 4.8. Gerechtshof Arnhem-Leeuwarden 26 augustus 2024, ECLI:NL:GHARL:2024:5384, r.o. 4.8 en 4.9. Overweging 4 AVG. Gerechtshof Arnhem-Leeuwarden 26 augustus 2024, ECLI:NL:GHARL:2024:5384, r.o. 4.9 en de daar aangehaalde rechtspraak van het HvJ EU. HvJ EU 22 juni 2023, ECLI:EU:C:2023:50, r.o. 64. HvJ EU 22 juni 2023, ECLI:EU:C:2023:50, r.o. 64. HvJ EU 22 juni 2023, C-579/21, ECLI:EU:C:2023:501, r.o. 83. HvJ EU 22 juni 2023, C-579/21, ECLI:EU:C:2023:501, r.o. 79.