Bedrijfsgegevens vallen niet onder AVG; KvK schendt zorgplicht door niet verder te helpen

Rb. Midden-Nederland 9 oktober 2024, IT 4647; ECLI:NL:RBMNE:2024:5787 (De Waarden c.s. tegen Google en KvK). De aanleiding van betreffende zaak was de verspreiding van een anoniem document via een Gmail-account, waarin de eisers werden beschuldigd van ernstige misstanden, waaronder machtsmisbruik, belangenverstrengeling, corruptie, en zelfs fraude met subsidies. Dit document bevatte bovendien privégegevens van betrokkenen en hun families en werd breed verspreid binnen de kraamzorgbranche, de media, en de politiek. De Waarden c.s. zagen dit als een ernstige aantasting van hun reputatie en wilden de identiteit achterhalen van de persoon of personen die verantwoordelijk waren voor deze verspreiding. Hun verzoek begon bij Google, van wie zij eisten informatie over de eigenaar van het anonieme Gmail-account te verstrekken. Google gaf echter aan dat de gebruiker het account kort na de verspreiding van het document had verwijderd, waarna het technisch onmogelijk bleek om de gegevens te herstellen. Google ondersteunde deze stelling met documentatie, en de rechter achtte deze informatie overtuigend. Omdat Google geen gegevens meer bezat, wees de rechtbank de vordering tegen Google af. De aandacht van de eisers richtte zich daarna op de KvK. Het anonieme document bevatte namelijk KvK-uittreksels waarop tijdstippen waren zichtbaar gebleven, wat de KvK in staat stelde om het verzoeker-account te traceren. De KvK ontdekte dat de uittreksels waren opgevraagd door een groot, anoniem bedrijf. Hoewel de eisers toegang wilden tot de naam van dit bedrijf om zo mogelijk de identiteit van de anonieme verspreider te achterhalen, weigerde de KvK mee te werken, met als reden dat zij geen internetdienstaanbieder waren zoals in de bekende Lycos/Pessers-zaak, en dus niet verplicht waren gegevens te verstrekken.

De rechter oordeelt dat de KvK in dit geval wel een zorgplicht had, omdat zij over de enige informatie beschikten die De Waarden c.s. mogelijk kon helpen in hun zoektocht naar de anonieme verspreider. Gezien de ernst en onrechtmatigheid van de beschuldigingen in het document, weegt het belang van de eisers om deze identiteit te achterhalen zwaarder dan het belang van de afzender om anoniem te blijven. Daarbij benadrukt de rechter dat de bedrijfsgegevens die de KvK moest verstrekken niet onder de bescherming van de AVG vallen, die enkel geldt voor persoonsgegevens van individuen. De rechtbank verplicht de KvK uiteindelijk om de bedrijfsnaam van het account vrij te geven aan De Waarden c.s., zodat zij verdere stappen kunnen ondernemen. Hiermee krijgen de eisers deels gelijk en wordt hen een mogelijke route geboden om de verspreider van het schadelijke document te identificeren.

3.15. De rechtbank acht het van groter belang dat KvK toevalligerwijs in de positie verkeert dat zij De Waarden c.s. – mogelijk – kan helpen de identiteit van iemand die onrechtmatig heeft gehandeld te achterhalen dan dat KvK niet (zoals een internet service provider) onwetend de onrechtmatige daad heeft gefaciliteerd. Daarbij weegt zwaar dat KvK de enige partij is die De Waarden c.s. mogelijk verder kan helpen. De door KvK aangedragen alternatieven leiden immers nergens toe (contact opnemen met de opstellers kan niet, want die hebben het emailadres direct opgeheven, via Google kan niet, zoals hierboven is overwogen, en De Waarden c.s. hebben op zitting goed uitgelegd dat een poging tot een strafrechtelijke traject nergens toe heeft geleid). Als je de enige partij bent die iemand verder kan helpen bij het optreden tegen een onrechtmatige daad en het niet of nauwelijks moeite (meer) kost om die partij te helpen (KvK beschikt, door haar eigen onderzoek, al over de informatie die De Waarden c.s. willen) heb je naar het oordeel van de rechtbank eerder een reden nodig om stil te zitten dan om die partij te helpen.

3.17. Volgens KvK is zij verplicht de AVG na te leven en valt een eventuele verstrekking van persoonsgegevens van opvragers van handelsregistergegevens onder de AVG. Zij stelt dat aan haar als overheidsinstantie geen beroep toekomt op de in artikel 6 lid 1 sub f AVG (gerechtvaardigd belang) genoemde grondslag. De rechtbank heeft echter al vastgesteld dat uit het onderzoek van de KvK slechts is gebleken dat de uittreksels vanuit een bedrijf zijn aangevraagd. De gegevens van dat bedrijfsaccount zijn niet herleidbaar tot een persoon. Dit betekent in dit concrete geval dat de AVG niet van toepassing is, omdat toewijzing van de vordering (voor zover die kan worden toegewezen) niet tot gevolg heeft dat er persoonsgegevens zullen worden verwerkt. De AVG ziet (artikel 1) alleen op de verwerking van gegevens van natuurlijke personen. Daarvan is in dit concrete geval dus geen sprake, zodat het beroep van KvK op de AVG hierop afstuit.