ACM Adviesaanvraag codevoorstel Dataveiligheid, 23 oktober 2017. Naar aanleiding van het Actieplan Dataveiligheid van EnergieNederland, Netbeheer Nederland en de Vrijhandelsorganisatie Elektriciteit en Gas (VOEG) heeft de Autoriteit Consument & Markt op 29 mei 2017 een voorstel ontvangen van NEDU (Nederlandse EnergieData Uitwisseling) tot wijziging van de Informatiecode elektriciteit en gas (hierna: ICeg). De ACM moet de voorgestelde wijzigingen beoordelen en het is aan de ACM om de wijzigingen vast te stellen. Ter voorbereiding op haar besluitvorming verzoekt de ACM de Autoriteit persoonsgegevens een advies uit te brengen (Adviesaanvraag). De AP heeft bezwaar tegen het voorstel en adviseert u dit niet aldus vast te stellen.

Gemeenten zitten regelmatig met de vraag voor welke verwerkingen een data protection impact assessment (DPIA) uitgevoerd moet worden en wanneer. In artikel 35 (Gegevensbeschermingseffectbeoordeling) van de AVG staat beschreven wanneer een DPIA uitgevoerd moet worden. Om meer duiding aan de eisen uit artikel 35 te geven heeft de werkgroep van Europese privacytoezichthouders (WP29) aanvullende kaders opgesteld die ook op de site van de Autoriteit Persoonsgegevens (AP) gepubliceerd staan.

De Checklist Data Privacy Impact Analyse is van deze kaders afgeleid en dient als handreiking om te bepalen wanneer het verplicht is een DPIA uit te voeren.

Hof Den Haag 31 oktober 2017, IT 2587; ECLI:NL:GHDHA:2017:3011 (Appellant tegen Bankiers NV) Privacy. Appellant is in 2003 een effectenbemiddelingsovereenkomst aangegaan met de rechtsvoorgangster van Geïntimeerde. In 2008 is een conflict ontstaan over een door geïntimeerde opgezette beleggingsconstructie. Appellant dient in 2016 een verzoek in tot het verschaffen van onder andere een overzicht van op hem betrekking hebbende persoonsgegevens ex art. 35 Wbp. Geïntimeerde heeft geweigerd aan dit verzoek te voldoen. Bij de bestreden beschikking heeft de rechtbank het verzoek afgewezen. De rechtbank achtte dat Appellant misbruik had gemaakt van zijn inzagerecht. Het belang van Appellant bij zijn verzoek is echter gegeven, omdat het belang om te weten of zijn persoonsgegevens juist en rechtmatig worden verwerkt is voldoende. Dat hij daarbij mogelijk tevens een ander belang heeft (gehad), is ontoereikend om aan te nemen dat hij van dit recht misbruik maakt. Het belang van Geïntimeerde dat toewijzing van het verzoek een ‘buitengewone inspanning en administratieve last’ zou vergen weegt niet op tegen het belang van Appellant. De grief is gegrond. De overige verzoeken worden afgewezen. De beschikking van de rechtbank wordt vernietigd.

Rechtbank Limburg 20 maart 2018, IT 2580; ECLI:NL:RBLIM:2018:2751 (Bestuurder failliete onderneming) Privacy. Geen verwijdering zoekresultaat Google. Verzoeker was bestuurder van verschillende besloten vennootschappen en één commanditair vennootschap. Deze zijn respectievelijk op 5 juli 2005 en 4 november 2005 failliet verklaard. Voormelde vennootschappen hadden ten tijde van haar faillissementen omstreeks 550 medewerkers in dienst. Verzoeker wil dat Google URL's in de zoekresultaten verwijdert dan wel afschermt. De informatie in de URL’s is niet onjuist, niet irrelevant en niet onnodig grievend. Er moet een belangenafweging plaatsvinden. De URL’s hebben betrekking op publicaties van professionele media die een journalistieke rol vervullen in het maatschappelijke debat inzake onder meer bestuurdersaansprakelijkheid. Het moeilijker vindbaar maken van de artikelen via Google Search kan worden gezien als een inperking van de vrijheid van meningsuiting van de originele auteurs. Bovendien heeft de informatie die in de artikelen staat enkel betrekking op de rol van verzoeker als bestuurder. Het verzoek wordt afgewezen.

RCC 16 mei 2018, IT 2586; RB 3146; dossiernr. 2018/00227 (FIFA Ultimate Team loot box) Reclamerecht. FUT is een onderdeel van het spel FIFA18, dat verkrijgbaar is voor PlayStation 4. Binnen FUT kunnen pakketten worden gekocht waarin spelers zitten die voor het elftal kunnen worden ingezet. Van tevoren is niet bekend welke spelers in een pakket zitten. Alleen het aantal spelers is bekend en hoeveel daarvan “goud” en “zeldzaam” zijn. Hoe duurder een pakket, des te groter de kans dat er een zeldzame (en dus waardevolle) speler in het pakket zit. Daarnaast zijn er speciale pakketten met nog betere scores verkrijgbaar. In de uiting wordt geadverteerd voor een speciaal pakket. Op basis van de tekst “…een gloednieuwe FUT-verjaardagsselectie, vanaf 16 maart in pakketten beschikbaar” meende klager dat het speciale pakket minimaal één van de afgebeelde 23 spelers uit de verjaardagsselectie zou bevatten. Deze indruk wordt volgens klager versterkt doordat de opmaak van de (overgelegde) pagina, waarop het Ultimate pakket in ‘Brons’, ‘Zilver’ en ‘Goud’ wordt aangeboden, anders is dan gebruikelijk en is aangepast aan de lay-out van de advertentie. Klager heeft voor 20 euro aan FIFA-punten gekocht en deze in het spel ingewisseld voor een ‘Gold Ultimate’ pakket. Bij opening van het pakket bleek dat hierin geen enkele speler uit de verjaardagsselectie zat. Omdat in de advertentie niet wordt vermeld dat bij aanschaf van het verjaardagspakket geen zekerheid bestaat op het ontvangen van één (of meer) speler(s) uit de verjaardagsselectie, vindt klager de uiting misleidend. Als hij had geweten dat slechts sprake is van een kleine kans op één van de 23 spelers, had hij het ‘Gold Ultimate’ pakket niet gekocht.

Conclusie AG HR 4 mei 2018, IT 2581; ECLI:NL:PHR:2018:496 (Particulieren en belanghebbenden tegen de Staat) Privacy. Nederlandse inlichtingen- en veiligheidsdiensten ontvangen gegevens van buitenlandse inlichtingendiensten, zoals de Amerikaanse NSA en de Britse GCHQ. Als gevolg van het feit dat deze buitenlandse diensten de herkomst van de verschafte gegevens niet aan de ontvanger bekend maken, kan niet altijd de mogelijkheid worden uitgesloten dat internationaal erkende grondrechten zijn geschonden bij het verwerven van die gegevens. De conclusie strekt tot verwerping van het cassatieberoep. 

Uit het persbericht: The EU is to enhance its cyber resilience by setting up an EU-wide certification framework for information and communication technology (ICT) products, services and processes. The industry could use the new mechanism to certify products such as connected cars and smart medical devices. The Council today agreed its general approach on the proposal, known as the Cybersecurity Act. The proposal will also upgrade the current European Union Agency for Network and Information Security (ENISA) into a permanent EU agency for cybersecurity.

Rechtbank Midden Nederland 24 mei 2017, IT 2579; ECLI:NL:RBMNE:2017:6893 (Belangenverstengeling decaan universiteit) Geen verwijdering zoekresultaat Google. Verzoekster voerde in de periode 2004 tot en met 2010 opdrachten uit voor een universiteit. Enkele opdrachten zijn verstrekt in de periode dat de echtgenoot van verzoekster als decaan werkzaam was op die universiteit. Onderzoeksbureau PwC heeft onderzocht of er sprake was van belangenverstrengeling. Verzoekster wil dat Google bepaalde zoekresultaten verwijdert of afschermt. Deze zoekresultaten verwijzen naar verschillende artikelen die berichten over kwestie(s) waarbij verzoekster een rol heeft gespeeld. Dat de auteurs van de artikelen achter de URL’s het nieuwswaardig hebben geacht om in de artikelen ook de naam van verzoekster te noemen is niet onbegrijpelijk. Het verzoek wordt afgewezen.

Hof Arnhem-Leeuwarden 5 juni 2018, IT 2584; ECLI:NL:GHARL:2018:5145(burengeschil vernieling bewakingscamera) Burengeschil. Vernieling camera’s. Maken van opnames met bewakingscamera’s. Contactverbod. Cameraschade is gelijk aan waarde van de (recent geplaatste) verloren gegane camera’s op datum incident. Die waarde kan worden bepaald op basis van de vervangingswaarde ten tijde van het incident. Zonder toestemming maken van opnames van personen in of om hun huis is onrechtmatig. Zogenaamd “privacy-mask” in de camerasoftware is in beginsel afdoende inperking van de mogelijkheid dergelijke opnames te maken. Voor contactverbod over en weer onvoldoende gronden.

Na steekproefsgewijs onderzoek naar cameratoezicht in sauna’s constateert de Autoriteit Persoonsgegevens (AP) geen overtredingen. Bezorgde saunabezoekers meldden zich bij de AP omdat zij mogelijk ontkleed gefilmd werden in sauna’s. Dat was voor de AP aanleiding voor onderzoek. Cameratoezicht in ruimtes waar mensen ontkleed zijn is volgens de privacywetgeving verboden. Aleid Wolfsen, voorzitter van de AP: “Sauna-eigenaren lijken inmiddels doordrongen van de regels. Ze hebben ons laten weten dat ze camera’s weggehaald hebben naar aanleiding van onze waarschuwingsbrief uit 2016 of kort geleden na de commotie over gelekte beelden van saunabezoekers op internet .” Lees verder