Persoonsgegevens  

Het FIFA WK 2026 wordt het grootste sporttoernooi ooit. Naar verwachting zullen miljoenen supporters de wedstrijden bezoeken in de Verenigde Staten, Canada en Mexico. Om de veiligheid van dergelijke evenementen te waarborgen wordt steeds vaker gekeken naar AI-systemen voor biometrische identificatie, waaronder gezichtsherkenning.

Dat roept een interessante juridische casus op. De Europese AI-verordening bevat enkele van de strengste regels ter wereld voor biometrische AI-systemen. Bovendien kunnen biometrische gegevens onder de AVG als bijzondere persoonsgegevens kwalificeren. Maar zijn deze kaders in dit geval wel van toepassing, gelet op de locatie van het toernooi? En zo ja, welke Europese waarborgen reizen met supporters mee naar het buitenland?

Interesse in dit onderwerp en andere juridische vraagstukken rond het WK? We verwelkomen u graag bij ons WK & Recht event op dinsdag 23 juni 2026 in Buro de Pijp, Amsterdam.

Hof Den Haag 28 april 2026, IT&R 5293; ECLI:NL:GHDHA:2026:664 (de Staat tegen [geïntimeerde 1] en [geïntimeerde 2]). Het Hof Den Haag oordeelt in dit tussenarrest dat de Staat onrechtmatig heeft gehandeld jegens twee voormalig leidinggevenden van de SUMO-restaurantketen door documentairemakers van Selfmade Films mee te laten lopen tijdens het FIOD-opsporingsonderzoek naar belastingfraude binnen het SUMO-concern. Op grond van een Mediacontract mochten de documentairemakers aanwezig zijn bij onder meer voorbereidingen, doorzoekingen, overleggen en andere onderzoekshandelingen voor een documentaire over het werk van de FIOD. Het hof acht aannemelijk dat zij daarbij op meerdere momenten kennis hebben genomen van politiegegevens die tot de betrokkenen herleidbaar waren, waaronder namen, adressen, verdenkingen, herkenbare beelden, locaties en andere details. Dat deze gegevens in de uiteindelijk uitgezonden documentaire zijn geblurd of weggepiept, is niet beslissend: de schending vond al plaats doordat de documentairemakers in de opsporingsfase kennis kregen van gegevens die onder de geheimhoudingsplicht van artikel 7 lid 1 Wet politiegegevens vielen. Het hof verwerpt het betoog van de Staat dat nog geen sprake was van “verwerkte” politiegegevens, omdat verwerking in de zin van artikel 1 Wpg ook het verzamelen van gegevens omvat. Ook het beroep op de strafrechtelijke beoordeling van artikel 272 Sr slaagt niet, omdat de civielrechtelijke toets aan de Wpg een andere is dan de vraag of sprake is van strafbare schending van een ambtsgeheim.

Rb. Midden-Nederland 28 april 2026, IT&R 5292; ECLI:NL:RBMNE:2026:2289 ([verzoekster] tegen WUB). De Rechtbank Midden-Nederland verklaart verzoekster deels niet-ontvankelijk en wijst haar overige verzoeken af in een procedure op grond van artikel 35 UAVG tegen ING Bank N.V., handelend onder de naam West Utrecht Bank. Verzoekster stelde dat WUB haar persoonsgegevens onrechtmatig had verwerkt door haar te registreren in het BKR-register, het Intern Verwijzingsregister (IVR), het Extern Verwijzingsregister (EVR) en eventuele interne zwarte lijsten. Ook stelde zij dat WUB haar persoonsgegevens onrechtmatig met derden had gedeeld. Zij verzocht onder meer om een verklaring voor recht dat WUB haar persoonsgegevens onrechtmatig had verwerkt en gedeeld, verwijdering van alle registraties, een verbod op verdere verwerking of verspreiding, een overzicht van de verwerkte persoonsgegevens en een bevel aan WUB om melding te doen bij de Autoriteit Persoonsgegevens. WUB voerde aan dat over de rechtmatigheid van de registraties al was beslist in een procedure bij de Geschillencommissie van het Kifid. Die commissie had op 7 februari 2025 bij bindend advies geoordeeld dat WUB de BKR-registratie niet hoefde te verwijderen en dat de duur van de IVR- en EVR-registraties werd teruggebracht tot zes jaar. Verzoekster had geen vernietiging van dat bindend advies gevorderd en bracht in deze procedure geen nieuwe relevante feiten of stukken naar voren.

Rb. Den Haag 6 mei 2026, IT&R 5291; ECLI:NL:RBDHA:2026:12862 (eisers tegen de Staat). De voorzieningenrechter van de Rechtbank Den Haag wijst de vorderingen af van drie Nederlandse burgers die wilden voorkomen dat de Staat de overeenkomst met Solvinity verlengt. Solvinity verzorgt het technische beheer van het Picard-platform, waarop diverse overheidsapplicaties van Logius draaien, waaronder DigiD en MijnOverheid. Eisers vreesden dat de voorgenomen overname van Solvinity door het Amerikaanse Kyndryl ertoe zou leiden dat persoonsgegevens van Nederlandse burgers onder het bereik komen van Amerikaanse wetgeving met extraterritoriale werking, zoals de CLOUD Act, FISA en Executive Order 12333. Volgens eisers zou de Staat daarom onrechtmatig handelen door de overeenkomst met Solvinity te verlengen, dan wel door dat te doen zonder nadere voorwaarden, zoals een gegevensbeschermingseffectbeoordeling op grond van artikel 35 AVG, advisering door de Functionaris Gegevensbescherming en, indien nodig, voorafgaande raadpleging van de Autoriteit Persoonsgegevens op grond van artikel 36 AVG. De voorzieningenrechter stelt voorop dat de Staat bij de uitvoering van zijn publieke taak, en in het bijzonder bij de beslissing of een overeenkomst voor kritieke ICT-dienstverlening wordt verlengd, een ruime beleidsvrijheid heeft. De rechter moet zich daarom terughoudend opstellen; ingrijpen is alleen aan de orde als evident sprake is van dreigend onrechtmatig handelen. Daarbij geldt bovendien dat ook zwaarwegende maatschappelijke belangen aan het opleggen van een verbod in de weg kunnen staan.

Rb. Limburg 1 mei 2026, IT 5289; ECLI:NL:RBLIM:2026:4259 ([eiseres] tegen de Minister van Financiën). In deze zaak tussen [eiseres] en de minister van Financiën stonden twee bestuursrechtelijke procedures centraal over de Fraude Signalering Voorziening (FSV) van de Belastingdienst. De eerste procedure zag op een AVG-inzageverzoek met betrekking tot persoonsgegevens die van eiseres in de FSV waren opgenomen. De tweede procedure betrof een verzoek om schadevergoeding wegens de registratie van eiseres in de FSV. [eiseres] had de Belastingdienst verzocht om volledige inzage in haar FSV-registratie, waaronder de zogeheten “screenprints” van de registratie, en stelde daarnaast schade te hebben geleden door opname in de FSV. De minister verstrekte een overzicht van persoonsgegevens uit de FSV, maar weigerde inzage in bepaalde gegevens met een beroep op artikel 23 AVG en artikel 41 Uitvoeringswet AVG. Volgens de minister was beperking van inzage noodzakelijk ter bescherming van toezicht-, opsporings- en privacybelangen van derden. Daarnaast stelde de minister dat uit beschikbare systemen niet bleek dat persoonsgegevens van eiseres met andere instanties waren gedeeld.

Rb. Overijssel 6 mei 2026, IT 5290; ECLI:NL:RBOVE:2026:2581 (Booking tegen Groepen). In deze zaak tussen Booking en Groepen, stond een geschil centraal over het terughalen van gegevens uit back-ups van een online reserveringssysteem. Groepen wil toegang krijgen tot gegevens die eerder aanwezig waren in het online reserveringssysteem BEX/CMS van Booking. Volgens Groepen heeft zij groot belang bij deze data in verband met fiscale verplichtingen, waaronder verplichtingen die voortvloeien uit DAC7. Het gaat onder meer om gegevens over facturen, boekingen, afrekeningen en commissies met betrekking tot huiseigenaren en consumenten. Booking stelde zich op het standpunt dat eerst duidelijk moest worden welke gegevens precies moesten worden teruggehaald en dat daarvoor kosten verschuldigd zijn.

Hof van Justitie EU 7 december 2023, IT 5280; IEFbe 4226; ECLI:EU:C:2023:957 (OQ tegen Land Hessen, SCHUFA Holding). In deze zaak staat de vraag centraal of het automatisch vaststellen van een kredietscore door een kredietinformatiebureau kan worden aangemerkt als geautomatiseerde individuele besluitvorming in de zin van artikel 22 AVG. SCHUFA stelde op basis van persoonsgegevens een waarschijnlijkheidswaarde vast over de kredietwaardigheid van een persoon. Die score werd vervolgens verstrekt aan derden, zoals banken, die deze waarde gebruikten bij de beoordeling of zij al dan niet een contractuele relatie met de betrokkene aangingen. Volgens SCHUFA nam zij zelf geen besluit, maar verstrekte zij slechts informatie aan haar contractuele partners.

Rb. Rotterdam 23 maart 2026, IT 5276; LS&R 2384; ECLI:NL:RBROT:2026:3605 ([verzoeker] tegen Velthuis Kliniek). [verzoeker] verzoekt de voorzieningenrechter om afgifte van haar volledige medisch dossier, onder verwijzing naar zowel artikel 7:456 BW als het inzagerecht uit artikel 15 AVG. De voorzieningenrechter stelt voorop dat een dergelijke vordering tot afgifte niet via een verzoekschrift kan worden ingesteld, maar via een dagvaardingsprocedure. Dat geldt ook in spoedeisende gevallen, waarbij bovendien bijstand van een advocaat vereist is. Voor zover [verzoeker] zich beroept op de AVG, geldt dat een verzoekschriftprocedure alleen openstaat in een bodemprocedure op grond van artikel 35 UAVG en niet in kort geding.

Rb. Rotterdam 17 april 2026, IT 5273; ECLI:NL:RBROT:2026:4682 ([eiseres] tegen MPG). [eiseres] heeft in 2021 deelgenomen aan een door MPG georganiseerde spelshow, waarvan een video op YouTube is geplaatst. In die video is zij herkenbaar in beeld, wordt zij bij haar voornaam genoemd en is haar stem hoorbaar. [eiseres] vordert verwijdering van de video, omdat zij niet heeft ingestemd met de wijze waarop haar persoonsgegevens zijn verwerkt, in het bijzonder vanwege de seksueel getinte opdrachten en vragen in het spel.