On 14 July 2020, the Belgian DPA fined Google 600.000 EUR, by far the highest fine handed out to date in Belgium. The decision is interesting not just for Google (and Google users) but also for other organisations, due to the lessons it holds regarding international jurisdiction, special categories of personal data and the conditions for the right to erasure or "right to be forgotten".

The facts are fairly simple: 12 results of a Google search for X, the CEO of an undertaking ("dirigeant" in French), appeared to suggest ties between X and a specific political party or referred to an old harassment complaint that was set aside already in 2010. X, as data subject, requested the delisting of such results by Google; Google refused for various reasons (pages that did not appear to exist, pages that were inaccessible, pages which did not meet Google's criteria for removal).

1. Jurisdiction of the Belgian DPA over Google
The issue of international jurisdiction in data protection matters has been given much attention over the past few years as a result of the combination of case law of the Court of Justice of the European Union (CJEU), the GDPR's provisions on territorial scope (Art. 3 GDPR) and the "one-stop shop" mechanism in the GDPR, which provides for specific jurisdictional rules regarding the relationship between a "lead supervisory authority" and other supervisory authorities. 

Lees hier het gehele artikel.

Auteurs: Peter Craddock en Vincent Wellens, NautaDutilh.

HvJ EU 16 juli 2020, IT 3191, IEF 19327, IEFbe 3106; C-311/18 (Schrems tegen Facebook) Privacyrecht. Vandaag heeft het Europees Hof van Justitie geoordeeld in een van de meest verwachte zaken over privacy en gegevensbescherming sinds tijden. Schrems heeft als Facebookgebruiker Facebook Ierland aangesproken voor het doorgeven van persoonsgegevens aan Facebook Verenigde Staten. Hij heeft de Ierse toezichthouder verzocht om deze doorgiften te verbieden. Hiertoe voerde hij aan dat het recht van de Verenigde Staten en de gangbare praktijk geen waarborgen bieden voor voldoende bescherming tegen de toegang door de overheid tot de naar dit land doorgestuurde gegevens. Deze klacht werd afgewezen, omdat de Commissie in een beschikking had vastgesteld dat de Verenigde Staten wel een passend beschermingsniveau waarborgden. In 2015 heeft het Europees Hof van Justitie deze beschikking ongeldig verklaard, waardoor de Ierse rechter de afwijzing van de klacht van Schrems nietig verklaarde. De Ierse toezichthouder verzocht Schrems zijn klacht te herformuleren. In de hergeformuleerde klacht verzoekt Schrems de doorgifte van zijn persoonsgegevens vanuit de Unie naar de Verenigde Staten - die Facebook ondertussen uitvoert op grond van bepalingen uit de bijlage bij besluit 2020/87 - op te schorten of voor de toekomst te verbieden. De Ierse rechter vraagt aan het Europees Hof van Justitie of besluit 2010/87 en 2016/1250 geldig zijn. Vandaag heeft het Hof van Justitie in zijn arrest gesteld dat bij de toetsing van besluit 2010/87 aan het Handvest van de grondrechten van de Europese Unie niet is gebleken van feiten of omstandigheden die de geldigheid van dat besluit kunnen aantasten. Besluit 2016/1250 wordt daarentegen ongeldig verklaard. Daarnaast wijst het Hof erop dat een doorgifte van persoonsgegevens voor commerciële doeleinden door een in een lidstaat gevestigde onderneming naar een andere in een derde land gevestigde onderneming, niet kan worden uitgesloten van de werkingssfeer van de verordening. Bij een dergelijke doorgifte moet een beschermingsniveau worden geboden dat in grote lijnen overeenkomt met het beschermingsniveau dat binnen de Unie wordt gewaarborgd door die verordening, gelezen in het licht van het Handvest. Toezichthoudende autoriteiten zijn, tenzij de Commissie op geldige wijze een adequaatheidsbesluit heeft vastgesteld, verplicht om een doorgifte naar een derde land op te schorten of te verbieden wanneer zij - gelet op alle omstandigheden - van oordeel zijn dat de standaardbepalingen inzake gegevensbescherming in dat derde land niet worden of niet kunnen worden nageleefd en dat de door het Unierecht vereiste bescherming van de doorgegeven gegevens niet kan worden gewaarborgd met andere middelen, indien de in de Unie gevestigde exporteur de doorgifte niet zelf heeft opgeschort of beëindigd.

De ACM heeft haar jaarverslag netneutraliteit gepubliceerd. Hierin doet zij verslag van haar toezicht op deze netneutraliteitsverordening (EU) 2015/2120.
Lees verder op Acm.nl.

Vzr. Rechtbank Midden-Nederland 1 juli 2020, IEF 19320, IT 3189; ECLI:NL:RBMNE:2020:2451 (Siamese tweeling) Kort geding. Eisers zijn de mentor en bewindvoerder van een Siamese tweeling, geboren in 2001. Gedaagde is de zus van de tweeling die een Facebook en YouTube kanaal bestiert waarin zij uit naam van de tweeling bericht met foto's en video's. Eisers stellen dat gedaagde onrechtmatig, dan wel in strijd met de AVG, de Auteurswet, het EVRM en het EU Handvest handelt, door sociale media accounts aan te maken en te beheren en foto’s en video’s van de tweeling zonder hun toestemming, althans inmiddels door hun mentor en bewindvoerder ingetrokken toestemming, op sociale media en op de website van haar eenmanszaak te plaatsen. Vanwege de privacy van de tweeling en om hen te beschermen willen eisers de accounts zelf in beheer nemen. Gedaagde voert geen verweer tegen de vorderingen. Gedaagde wordt veroordeeld tot onder meer het overdragen van het beheer en de inlog- en toegangscodes van alle sociale media-accounts die op naam van de tweeling zijn aangemaakt, en de verspreiding en/of openbaarmaking van foto’s en video’s waarin de tweeling herkenbaar is afgebeeld en de verwerkingen van persoonsgegevens van de tweeling te staken en gestaakt te houden.

deLex najaarsagenda 2020

Blijf ook dit najaar op de hoogte met de actualiteitenlunches, webinars en congressen van deLex. Met actuele, interactieve programma’s en volop gelegenheid tot netwerken!

Waar mogelijk organiseren we bijeenkomsten op locatie, waar nodig gaan we online.

De agenda:

• Dinsdag 8 september: Nederlands Octrooicongres deel 2, Online
• Dinsdag 6 oktober: Benelux Merkencongres deel 2, Hybride (onilne en op locatie)
• Woensdag 18 november: Jurisprudentielunch Merken- Modellen- en Auteursrecht
• Donderdag 26 november: Nationaal Mediarechtcongres 2020
• Woensdag 2 december: Jurisprudentielunch Octrooirecht
• Donderdag 10 december: Nationaal Reclamerechtcongres 2020, Hotel Jakarta Amsterdam

Het najaarsprogramma belooft nog veel meer, met een Kunst & IE maand, meer actualiteitenlunches, een Retailmiddag, en - in herhaling - een actualiteitenmiddag Entertainment & Muziek. Kijk voor meer informatie op de website of mail naar info@delex.nl

De Rechtbank Den Haag, het Gerechtshof Den Haag en de Hoge Raad hebben de regelingen voor Indicatietarieven in octrooizaken vastgesteld. De regelingen worden van kracht vanaf 1 september 2020.

• Indicatietarieven in octrooizaken Rechtbank Den Haag
• Indicatietarieven in octrooizaken Gerechtshof Den Haag
• Indicatietarieven in octrooizaken Hoge Raad

HvJ EU 9 juli 2020, IEF 19318, IEFbe 3102, IT 3187; ECLI:EU:C:2020:542 (Constantin Film Verleih) Verzoek om een prejudiciële beslissing in het kader van een geding tussen Constantin Film Verleih GmbH, een in Duitsland gevestigde distributeur van films, enerzijds, en YouTube LLC en Google Inc., die zijn gevestigd in de Verenigde Staten, anderzijds, over de door Constantin Film Verleih van deze twee vennootschappen geëiste gegevens met betrekking tot de e-mailadressen, de IP-adressen en de mobiele telefoonnummers van gebruikers die inbreuk hebben gemaakt op haar intellectuele-eigendomsrechten. Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 8, lid 2, onder a), van richtlijn 2004/48/EG van het Europees Parlement en de Raad van 29 april 2004 betreffende de handhaving van intellectuele-eigendomsrechten (PB 2004, L 157, blz. 45, met rectificatie in PB 2004, L 195, blz. 16), zie ook [IEF 18550] en [IEF 19173]
Er wordt geoordeeld dat wanneer een film illegaal is geüpload op een onlineplatform zoals YouTube, de rechthebbende krachtens de richtlijn betreffende de handhaving van intellectuele eigendomsrechten bij de exploitant uitsluitend het postadres van de betrokken gebruiker kan opvragen, maar niet zijn e-mailadres, IP-adres of telefoonnummer.
Zie ook het perscommuniqué van het HvJ EU.

Hof Den Haag 16 juni 2020, IT 3185; ECLI:NL:GHDHA:2020:1180 (Appellant tegen ING Bank) Privacyrecht. Appellant verzocht om verwijdering van een bijzonderhedencodering in het Centraal Kredietinformatiesyseem (CKI) van het Bureau Kredietregistratie (BKR), maar de rechtbank wees dit bij beschikking af. Appellant gaat in hoger beroep tegen deze afwijzing. De registratie van een bijzonderhedencode in het CKI vormt een verwerking van persoonsgegevens in de zin van de AVG. Ingevolge artikel 21 lid 1 AVG dient de verwerkingsverantwoordelijke bij bezwaar van de betrokkene de verwerking van de persoonsgegevens te staken, tenzij de verwerkingsverantwoordelijke dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen van de betrokkene. Hierbij moet worden voldaan aan de beginselen van proportionaliteit en subsidiariteit. De grieven van appellant dat de noodstand uitsluitend moet worden toegeschreven aan een door ING gemaakte fout, dat ING niet tot bijzonderhedencodering over mocht gaan omdat appellant geen vooraankondiging had ontvangen en dat de codering niet proportioneel en evenredig is, falen. Derhalve wordt de beschikking van de rechtbank bekrachtigd.

De Consumentenbond en Data Privacy Stichting (DPS) beginnen een massaclaim tegen Facebook voor een financiële compensatie voor het jarenlang schenden van de privacy van Nederlandse gebruikers. Zij roepen consumenten op zich aan te sluiten bij deze actie. Facebook verzamelde jarenlang privégegevens van gebruikers en verkocht deze zonder toestemming aan adverteerders en appmakers. Hiermee heeft Facebook haar gebruikers misleid: het bedrijf stelde dat gebruik van het platform gratis zou zijn, maar feitelijk gezien betaalden gebruikers met hun gegevens. Op deze manier heeft Facebook zich ongerechtvaardigd verrijkt ten koste van haar gebruikers.

Lees verder op Consumentenbond.nl.

Hof Amsterdam 23 juni 2020 IT 3182; ECLI:NL:GHAMS:2020:1802 (Google tegen Geïntimeerde) Privacyrecht. Bij het googelen van de naam van geïntimeerde (plastisch chirurg), verschenen tussen de zoekresultaten koppelingen naar onder meer www.zwartelijstartsen.nl en www.drimble.nl met vermelding van de naam van geïntimeerde, haar BIG-nummer, haar specialisme en de uitspraak van het Tuchtcollege. Geïntimeerde verzocht Google de koppelingen te verwijderen. Google wees dit verzoek af en stelde dat de URL’s in de zoekresultaten gerechtvaardigd worden door het wezenlijk belang van het grote publiek hier toegang tot te hebben. Het Hof oordeelt - in tegenstelling tot de rechtbank - dat het recht op informatievrijheid van Google en derden hier zwaarder weegt dan het recht op privacy en bescherming van persoonsgegevens van geïntimeerde. Hoewel uit vaste rechtspraak (HR X/Google en HvJEU Costeja) volgt dat in beginsel het recht op informatievrijheid van het publiek moet wijken voor het recht op privacy en bescherming van persoonsgegevens, zijn er volgens het Hof in deze zaak bijzondere omstandigheden die ervoor zorgen dat in dit geval het recht op informatievoorziening wint. Allereerst omdat de arts een kwetsbare groep patiënten behandelt met weinig behandelopties, die eenvoudig en online toegang moeten hebben tot informatie over de voor- en nadelen van hun arts. Ten tweede wordt het BIG-register, met daarin aantekening van aan een arts opgelegde maatregelen, in de praktijk nauwelijks door patiënten geraadpleegd. Daarnaast behelst de Wet BIG geen regels over wat derden mogen publiceren of vindbaar maken over tuchtrechtelijke maatregelen. Tot slot is de vermelding van de arts op de ‘zwarte lijst’ van SIN-NL, waarnaar de zoekresultaten verwijzen, volgens het Hof recent, relevant, feitelijk, niet onnodig grievend en actueel. Derhalve hoeft Google de zoekresultaten niet te verwijderen.