Wijziging van de Wet bescherming persoonsgegevens en enige andere wetten in verband met meldplicht datalekken en uitbreiding bestuurlijke boetebevoegdheid Cbp.
1. Strekking van het wetsvoorstel
2. Beleidsmatige achtergrond
2.1 Verhouding met voorstel Algemene verordening gegevensbescherming
3. Algemene aspecten van de meldplicht

3.1 Inbreuk op beveiligingsmaatregelen
3.2 Beslismodel meldplicht Wbp
3.3 Verhouding verantwoordelijke voor de verwerking en bewerker
4. Verhouding tot andere rechtsgebieden
4.1 Verhouding tot specifieke meldplicht op grond van de Telecommunicatiewet
4.2 Rol van het Cbp
4.3 Verhouding tot meldplicht incidenten Wet op het financieel toezicht
5. Sanctionering

Uit het persbericht: Het College bescherming persoonsgegevens (CBP) heeft Google een last onder dwangsom opgelegd. De dwangsom kan oplopen tot 15 miljoen euro. De reden voor deze sanctie is dat de in 2012 aangepaste privacyvoorwaarden van Google in strijd zijn met de Wet bescherming persoonsgegevens (Wbp).
Lees verder

Op andere blogs:
Dirkzwagerieit

HvJ EU 11 december 2014, IT 1653, zaak C-212/13 (Ryneš) - dossier
Uit het perscommuniqué: De richtlijn betreffende de bescherming van persoonsgegevens is van toepassing op video-opnames die worden gemaakt met behulp van een bewakingscamera die door een persoon aan zijn huis is bevestigd en op de openbare weg is gericht. De richtlijn laat het echter toe rekening te houden met het gerechtvaardigde belang van deze persoon tot bescherming van zijn eigendom, zijn gezondheid en zijn leven, alsook ook die van zijn familie.

Vraag:

Kan de werking van een camerasysteem dat is gemonteerd op een gezinswoning, met als doel de bescherming van eigendom, gezondheid en leven van de eigenaars van het huis, worden aangemerkt als het verwerken van persoonsgegevens „die door een natuurlijk persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht” in de zin van artikel 3, lid 2, van richtlijn 95/46/EG1 ofschoon dit systeem ook een openbare ruimte in beeld brengt?

Antwoord:

"The second indent of Article 3(2) of Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data must be interpreted as meaning that the operation of a camera system, as a result of which a video recording of people is stored on a continuous recording device such as a hard disk drive, installed by an individual on his family home for the purposes of protecting the property, health and life of the home owners, but which also monitors a public space, does not amount to the processing of data in the course of a purely personal or household activity, for the purposes of that provision."

Rechtbank Rotterdam 3 oktober 2014, IT 1652 (Agentschap Telecom)
Boete en last onder dwangsom wegens illegale radio-uitzending. Een constructie, waarbij ten behoeve van een radio-uitzending een computer via het internet een zender op een ander perceel aanstuurt, kan worden aangemerkt als een radiozendapparaat.

5.2. Naar het oordeel van de rechtbank kan, onder verwijzing naar de hiervoor onder 5.1 weergegeven passages, de constructie zoals hier aan de orde, waarbij ten behoeve van een radio-uitzending een computer in de schuur op het perceel van eiser via het internet een zender op een ander perceel aanstuurt, worden aangemerkt als een radiozendapparaat.

6.3. Naar het oordeel van de rechtbank is de boete van € 12.475 vastgesteld overeenkomstig de vaste gedragslijn. Daarbij heeft verweerder het begrip demografisch bereik in het licht van de vaste gedragslijn niet onjuist uitgelegd. Voor zover eiser heeft aangevoerd dat hij niet op de hoogte was van de radio-uitzending en het hem niet bekend was dat er ook uitzendingen mogelijk gemaakt kunnen worden door middel van een internet aansluiting, heeft verweerder terecht opgemerkt dat eiser als eigenaar van het perceel verantwoordelijk is en toezicht had moeten houden op wat er in de schuur gebeurde. Bij de wijze waarop eiser dat toezicht heeft uitgeoefend kunnen vraagtekens worden gezet, nu de uitzending kennelijk al vijf dagen aan de gang was. Bovendien is eisers stelling dat hij toezicht heeft gehouden op wat er op zijn erf en in de schuren gebeurde in tegenspraak met zijn verklaring dat hij het ten tijde van de radio-uitzending te druk had met zijn werk om zich met de activiteiten van de jongeren in zijn schuur bezig te houden. Er is dus geen sprake van verminderde verwijtbaarheid.

ACM 31 oktober 2014, IT 1651, zaaknr. 10.0131.37.1.02 (SD&P Interactive tegen ACM)
Uit het persbericht: ACM heeft op 28 april 2010 aan SD&P boetes opgelegd van in totaal 550.000 euro vanwege overtreding van het spamverbod. Het bedrijf verzond zonder voorafgaande toestemming sms-berichten aan consumenten die hun gegevens hadden achtergelaten op een commerciële website waarmee je kans kon maken op een gratis product.

Nadat eerst is geprocedeerd over de vraag of SD&P tegen dit sanctiebesluit wel naar behoren bezwaar had gemaakt velt ACM in deze zaak nu een inhoudelijk oordeel op bezwaar. Het bezwaar van SD&P wordt gedeeltelijk gegrond verklaard, omdat uit de uitspraak van het College van Beroep voor het bedrijfsleven van 5 juni 2014 [IT 1525] volgt dat een deel van de sms-berichten die SD&P heeft verzonden (de zogenoemde vervolgberichten) niet kan worden beschouwd als ‘direct marketing’ en daarmee niet onder het spamverbod valt.

De overige verzonden sms-berichten (de zogenoemde aanmeldberichten) beschouwt ACM wel als ‘direct marketing’. Bovendien zijn deze berichten ongevraagd en zonder toestemming aan consumenten verzonden. Daarom blijft ACM bij haar eerdere oordeel dat het verzenden van dit soort berichten een overtreding van het spamverbod oplevert. ACM matigt de daarvoor opgelegde boete van 150.000 euro naar 60.000 euro. Dit gebeurt omdat die overtreding minder ernstig wordt gevonden, nu de andere overtredingen niet overeind zijn gebleven.

CBb 26 november 2014, ECLI:NL:CBB:2014:446 (appellante tegen AFM)
Boete wegens bemiddelen zonder vergunning; doorsturen van leads via website. Indien door de consument een keuze wordt gemaakt voor een bepaalde aanbieder worden de ingevulde gegevens (de ‘lead’) verzonden naar een digitale ruimte op een server die appellante huurt en onderverhuurt aan de desbetreffende aanbieder of bemiddelaar. De aanbieder kan vervolgens tegen betaling de door de consument achtergelaten gegevens ophalen. Indien geen bepaalde aanbieder wordt gekozen door de consument, wordt de lead naar een digitale verzamelplaats verzonden. De aanbieders kunnen vervolgens op hun eigen gehuurde digitale ruimte of op de verzamelplaats inloggen om, als zij dat willen, de lead(s) tegen betaling te downloaden.

De rechtbank is terecht tot het oordeel gekomen dat de activiteiten van appellante aan te merken zijn als bemiddelen in de zin van artikel 1:1 Wft en AFM de bevoegdheid heeft om appellante een boete op te leggen wegens overtreding van artikel 2:80, eerste lid, Wft.

3.4. Wat betreft de vraag of de activiteiten van appellante kunnen worden aangemerkt als bemiddelen in de zin van artikel 1:1 Wft overweegt het College dat op grond van vaste jurisprudentie (zie onder meer de uitspraak van het College van 11 februari 2013, ECLI:NL:CBB:2013:BZ1866) sprake moet zijn van inhoudelijke betrokkenheid bij de totstandkoming van het financiële product. Op grond van de niet door appellante betwiste feiten is het College van oordeel dat haar activiteiten gericht waren op het tot stand brengen van overeenkomsten tussen aanbieders van (hypothecair) krediet en consumenten. De activiteiten van appellante behelsden immers het als lead doorsturen van niet alleen de NAW-gegevens van de consumenten, maar ook van andere gegevens, waaronder de geboortedatum, die relevant zijn voor het afsluiten van een (hypothecaire) lening. De feiten in de voorliggende zaak en hetgeen door appellante in hoger beroep is aangevoerd vormen voor het College geen aanleiding anders te oordelen dan in eerdere zaken is gedaan.
Gelet hierop is de rechtbank terecht tot het oordeel gekomen dat de activiteiten van appellante in de periode in geding zijn aan te merken als bemiddelen in de zin van artikel 1:1 Wft en AFM in beginsel de bevoegdheid toekwam om appellante een boete op te leggen wegens overtreding van artikel 2:80, eerste lid, Wft.

CBb 8 december 2014, ECLI:NL:CBB:2014:450 (Uber tegen Minister Infrastructuur en Milieu)
Via een mobiele applicatie (Uber app) worden gebruikers in meer dan 200 steden in 45 landen in contact gebracht met door UBER geselecteerde vervoerders. UBER biedt sinds 2012 in Nederland verschillende vervoersopties aan, waaronder de diensten UberLUX en UberBLACK voor taxivervoer per limousine of luxe auto met professionele chauffeurs.

Verzoek om een voorlopige voorziening (hangende bezwaar) afgewezen. Verzoek strekt tot schorsing primair besluit tot opleggen last onder dwangsom wegens het overtreden van artikel 76/1 Wp2000. Voorzieningenrechter: Chauffeurs die met UberPOP tegen betaling personen vervoeren in een auto overtreden artikel 76/1 Wp2000 als zij niet over een taxivergunning beschikken. In die gevallen overtreedt ook Uber die bepaling omdat zij nauw met deze chauffeurs samenwerkt en meedeelt in hun opbrengsten. Verweerder heeft terecht en op juiste wijze handhavend opgetreden.

4. Het verzoek strekt ertoe dat het besluit wordt geschorst. Daartoe voert Uber, kort samengevat, de volgende gronden aan: Uber overtreedt de Wp2000 niet. Het besluit is gericht tot de onjuiste rechtspersoon. De last is onvoldoende specifiek, onvoldoende gemotiveerd en onzorgvuldig voorbereid. Handhaving van de Wp2000 is jegens Uber onevenredig en niet noodzakelijk, gelet op de waarborgen die Uber biedt ten aanzien van kwaliteit en betrouwbaarheid, en ontwikkelingen in de wetgeving. De last beperkt de concurrentie op de taximarkt, wat geen legitiem belang is. De last is in strijd met het binnen de Europese Unie geldende recht op vrij verkeer van diensten en met artikel 1 van het Eerste Protocol van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) inzake het recht op eigendom.

5.5.3. De door Uber aangevoerde grond dat de last onvoldoende specifiek, onvoldoende gemotiveerd en onzorgvuldig voorbereid is, slaagt evenmin. Uber heeft aangevoerd dat zij in het duister tast over wat zij moet doen of nalaten om het verbeuren van de dwangsom te voorkomen, zodat de last in strijd is met het rechtszekerheidsbeginsel. Hoewel de voorzieningenrechter Uber volgt in haar stelling dat een meer specifieke aanduiding in het besluit van de door Uber na te laten handelingen mogelijk zou zijn geweest, is het, mede gelet op het verhandelde ter zitting, naar het oordeel van de voorzieningenrechter voldoende duidelijk dat van Uber wordt verwacht dat zij in Nederland UberPOP niet meer aanbiedt, dan wel dat zij in het kader van UberPOP niet meer samenwerkt met particuliere chauffeurs zonder taxivergunning. Dat het besluit ondeugdelijk zou zijn gemotiveerd of onzorgvuldig zou zijn voorbereid is de voorzieningenrechter niet gebleken.

5.6.1. Uber stelt zich op het standpunt dat er geen noodzaak is om tot handhaving over te gaan. De Wp2000 is verouderd en achterhaald door nieuwe ontwikkelingen, technologieën en mogelijkheden als waar Uber gebruikt van maakt. Volgens Uber passen haar diensten, als het gaat om waarborgen van kwaliteit en betrouwbaarheid, volledig binnen de doelstellingen van de Wp2000. UberPOP biedt de gebruikers de onder 2.1.4 vermelde bescherming. Dit is ten minste dezelfde bescherming als die wordt bereikt met het vergunningvereiste van artikel 76, eerste lid, van de Wp2000. De UberPOP chauffeurs moeten beschikken over een VOG. Ze zijn fysiek in staat een voertuig veilig te besturen. De UberPOP chauffeurs worden beoordeeld door hun passagiers. Alle auto’s die voor UberPOP worden gebruikt zijn volledig verzekerd en gekeurd. Er is daarom geen reden de consument te dwingen gebruik te maken van een professionele chauffeur met taxivergunning.

Uber wijst er verder op dat de door haar aangeboden diensten op de politieke agenda staan, dat de huidige taxiwetgeving naar verwachting binnenkort zal worden geëvalueerd en, indien nodig, aan de nieuwste ontwikkelingen zal worden aangepast. Zowel de regering als het parlement staan daarbij open voor technologische diensten als van Uber. Uber acht het daarom onwenselijk, mede gelet op de positieve reacties van haar gebruikers, dat haar initiatieven in afwachting van aanpassing van de taxiwetgeving onmogelijk worden gemaakt. Volgens Uber is UberPOP geen probleem maar een oplossing. Het biedt de consument een betaalbaar alternatief voor autobezit, zorgt ervoor dat de beschikbare auto’s beter benut worden doordat mensen met elkaar meerijden en dat er een betere aansluiting is op het openbaar vervoer. Dit is volgens Uber een mobiliteitsoplossing met een positief effect op leefbaarheid, milieu en energieverbruik.

Uit het persbericht: Het College bescherming persoonsgegevens (CBP) heeft tijdens onderzoek geconstateerd dat personenvervoersbedrijf Noot Holding BV meer medische gegevens van werknemers verwerkte dan noodzakelijk was voor de vaststelling van de verplichting om loon door te betalen en de re-integratie van zieke werknemers. Daarmee handelde de werkgever in strijd met de wet. Noot Holding BV vroeg onder meer naar situationele omstandigheden en naar de aard en oorzaak van de ziekte van de werknemer. Ook vroeg het bedrijf in strijd met de wet werknemers om toestemming om hun gezondheidsgegevens op te vragen bij het UWV. Inmiddels heeft Noot Holding BV naar aanleiding van het onderzoek haar werkwijze aangepast en de werknemers over de onrechtmatig verzamelde gegevens geïnformeerd. Ook zijn alle eerder onrechtmatig verzamelde gegevens vernietigd. Hiermee zijn de geconstateerde overtredingen beëindigd.
Lees verder

Hieronder een selectie van de hoofdartikelen uit de vakbladen, voor de sites dient u in te loggen: Computerrecht 2014, afl. 6
EDITORIAL 178 - Draagbare technologieën: een verdere bedreiging van onze privacy?
S. De Schrijver

ARTIKELEN 179 - Zoekmachines in Europa – gevangen tussen twee vuren?
Het artikel onderzoekt de juridische positie van tussenpersonen op het internet, in het bijzonder in relatie tot de verwerking van persoonsgegevens. De Richtlijn Gegevensbescherming (95/46/EG) en de eCommerce Richtlijn (2000/31/EG) worden vanuit deze vraagstelling geanalyseerd. De uitspraak van het Hof van Justitie in het arrest Google Spain van mei 2014 wordt gebruikt als leidraad.
Mr. J. Ausloos

180 - Allen tegen één: over de rechtsvordering tot collectief herstel en de bescherming van persoonsgegevens op het internet
Onlangs heeft de Belgische wetgever in het Wetboek Economisch Recht de ‘rechtsvordering tot collectief herstel’ geïntroduceerd. Dat is de langverwachte Belgische variant van de class action. In deze bijdrage wordt onderzocht of er bij grootschalige inbreuken op persoonsgegevensrechten een beroep kan worden gedaan op dit nieuwe juridische instrument. Eerst en vooral worden de belangrijkste kenmerken van de nieuwe regelgeving kort toegelicht. Daarna wordt ingegaan op enkele knelpunten die de toepassing van de nieuwe wet in het kader van de persoonsgegevensbescherming kunnen bemoeilijken (de hoedanigheid van de schadelijders, de gemeenschappelijke oorzaak, het oorzakelijk verband en de schade).
Y.S. Van Der Sype, W. Vandenbussche, I. Samyn, N. Portugaels

RECHTSPRAAK
181 - Gerechtshof Amsterdam, 19 augustus 2014, ECLI 2014:3435, m.nt. dr M.H.M. Schellekens
Dit tussenarrest adresseert vele aspecten van de verantwoordelijkheid van een usenet provider in verband met inbreukmakend materiaal van derden, o.a.: usenet provider kan beroep doen op de vrijstellingen van aansprakelijkheid voor mere conduit en hosting. Verhouding tussen rechterlijk bevel en vrijstelling van algemene toezichtverplichting. Invulling van een NTD procedure. Tussenarrest: nadere aktes te nemen over maatregelen aanvullend op NTD.

182 - Gerechtshof ’s Hertogenbosch, 19 augustus 2014, ECLI:NL:GHSHE:2014:2803, m.nt. T.H.A. Wisman
Vervolg van kort geding tussen SMSParking en de Belastingdienst, waarbij de kern van het geschil neerkomt op een verschil van mening over de vraag of de Belastingdienst zijn verzoek van alle parkeergegevens van SMSParking haar cliënten over 2012 de proportionaliteitstoets van art. 8 EVRM kan doorstaan.

183 - Gerechtshof Amsterdam 4 maart 2014, ECLI:NL:GHAMS:2014:644, m.nt. D.T.L. Oosterbaan
Hof wijst vordering tot vernietiging arbitrale vonnissen af. Geschil over ict-diensten. Arbitrage volgens reglement Stichting Geschillenoplossing Automatisering. Motiveringsplicht. Hoor en wederhoor. Geen vernietigingsgrond als bedoeld in artikel 1065 Wetboek van Burgerlijke Rechtsvordering aanwezig.

184 - Rechtbank Amsterdam 18 september 2014, ECLI:NL:RBAMS:2014:6118, m.nt. mr. F.C. van der Jagt
Vordering tot verwijdering persoonsgegevens van Google Search. Kan een beroep worden gedaan op ‘recht om vergeten te worden’ zoals neergelegd in Costeja-arrest voor verwijdering van informatie aangaande de veroordeling voor een ernstig misdrijf?

185 - Rechtbank Den Haag 23 juli 2014, ECLI:NL:RBDHA:2014:9892, m.nt. H. Struik
Dit vonnis biedt de beslechting (in eerste aanleg) van een meerfrontenoorlog over namaak van software.

186 - Rechtbank Den Haag, 23 juli 2014, ECLI:NL:RBDHA:2014:8966, m.nt. Rob van den Hoven van Genderen
De zaak betreft de uitwisseling van telecommunicatiegegevens tussen internationale veiligheidsdiensten en de afweging tussen de fundamentele rechten van individuen en van “eenieder” waarvoor de eisende partijen opkomen, waaronder het belang bij respect voor het privéleven van het individu, en het algemeen belang van internationale samenwerking ten behoeve van nationale veiligheid.

Wilt u ook uw vakblad hiervoor kosteloos aanmelden, stuur uw inhoudsopgave naar redactie@itenrecht.nl.

CBb 3 december 2014, IT 1646 (ACM tegen Digital Magazines en Rivièra Vastgoed)
Zie eerder IT 380, ECLI:NL:RBROT:2013:BZ5151. Boetes wegens overtreding spamverbod. Reikwijdte spamverbod ten aanzien van abonnees en gebruikers. Nader bewijs in hoger beroep toegelaten, maar is niet toereikend. Hoewel bij punitieve sancties onder omstandigheden wel denkbaar, is in dit geval geen toepassing van de bestuurlijke lus om het bestuursorgaan in de gelegenheid te stellen om alsnog nader bewijs bij te brengen. Bevestiging van de aangevallen uitspraak waarin de boetes zijn herroepen.

Rechtbank:
2.    De rechtbank heeft, met beslissingen over de proceskosten en de vergoeding van het griffierecht, de beroepen gegrond verklaard, het besluit van 5 oktober 2011 vernietigd en de boetebesluiten van 19 april 2011 herroepen, omdat ACM niet heeft bewezen dat de e‑mailberichten zijn verzonden aan abonnees (en voor de periode tot 1 oktober 2009: zijnde natuurlijke personen).

4.1.7
ACM betoogt dat het faciliteren van een e-mailadres of e-maildienst valt onder het begrip elektronische communicatiedienst zoals gedefinieerd in artikel 1.1, aanhef en onder f, van de Tw. Deze bepaling definieert een elektronische communicatiedienst als: “gewoonlijk tegen vergoeding aangeboden dienst die geheel of hoofdzakelijk bestaat in het overbrengen van signalen via elektronische communicatienetwerken, waaronder telecommunicatiediensten en transmissiediensten op netwerken die voor omroep worden gebruikt, doch niet de dienst waarbij met behulp van elektronische communicatienetwerken en -diensten overgebrachte inhoud wordt geleverd of redactioneel wordt gecontroleerd. Het omvat niet de diensten van de informatiemaatschappij zoals omschreven in artikel 1 van de notificatierichtlijn die niet geheel of hoofdzakelijk bestaan uit het overbrengen van signalen via elektronische communicatienetwerken”. Een e-maildienst bestaat volgens ACM voor een belangrijk deel uit het transport van signalen om de berichten over te brengen. Een aanbieder van e-maildiensten moet de e-mailberichten immers niet alleen routeren, maar ook transporteren van en naar andere abonnees. Abonnee van een e-maildienst wil dus zeggen dat de gebruiker van de dienst een overeenkomst heeft met een aanbieder van een elektronische communicatiedienst.

4.1.8
Deze uitleg volgt het College niet. De aanbieders van e-maildiensten, zoals Gmail of Hotmail, zijn doorgaans immers niet degenen die de signalen waaruit die e-maildiensten bestaan via elektronische communicatienetwerken overbrengen, zodat de e-maildiensten die zij leveren niet kunnen worden beschouwd als elektronische communicatiediensten als bedoeld in artikel 1.1, aanhef en onder f, van de Tw.

4.2.3
De verkeerde uitleg die ACM aan artikel 11.7, eerste lid, (oud) van de Tw heeft gegeven, had tot gevolg dat zij aanvankelijk niet heeft onderzocht of de e‑mailberichten aan abonnees zijn verzonden. De rechtbank heeft naar het oordeel van het College op goede gronden geconcludeerd dat het in dit verband benodigde bewijs ontbrak en zij verbond daaraan terecht de conclusie dat daarmee het inleidende beroep gegrond moest worden verklaard. Artikel 8:72, eerste lid, van de Awb dwingt in zo'n geval de rechtbank tot de vernietiging van het in beroep bestreden besluit. Met die vernietiging bracht de rechtbank de zaak terug in de fase van het bezwaar tegen de boetebesluiten.

Het nadere bewijs
4.3.1 Het College ziet geen reden om het in hoger beroep door ACM overgelegde bewijsmateriaal niet in het geding te betrekken. Het College verwijst naar zijn uitspraak van 2 juli 2010, ECLI:NL:CBB:2010:BN0534. De stelling van Digital, Rivièra, [naam 1] en [naam 2] dat ACM met haar nadere bewijsvoering in strijd handelt met artikel 8:58 van de Awb, gaat ervan uit dat op 23 april 2014 een zitting zou plaats vinden. Dat is een (feitelijk) onjuist vertrekpunt. Weliswaar is van de zijde van het College bij partijen telefonisch geïnformeerd of 23 april 2014 een haalbare zittingsdatum zou zijn, maar toen één van de partijen die dag verhinderd bleek, is er voor die datum geen zitting uitgeschreven.

4.3.2
Het College is het met de rechtbank eens dat in verband met de hier van belang zijnde ambtshalve, belastende besluiten op ACM de bewijsvoeringslast (en daarmee het bewijsrisico) rust om aan te tonen dat commerciële e-mailberichten zijn verzonden aan abonnees (in gelijke zin ECLI:NL:CBB:2010:BN0534). De rechtbank kan tevens worden gevolgd voor wat betreft haar oordeel dat ACM voor de periode vóór 1 oktober 2009 ook dient aan te tonen dat de commerciële e-mailberichten waren gericht aan natuurlijke personen. Dat bewijs was in eerste aanleg niet beschikbaar.