Persoonsgegevens  

Rb. Midden-Nederland 30 september 2026, IT 5583; ECLI:NL:RBMNE:2026:7063 ([verzoeker] tegen Diakonessenhuis). Verzoekster heeft na een videocapsule-endoscopie bij het Diakonessenhuis meerdere verzoeken ingediend om inzage te krijgen in haar persoonsgegevens op grond van artikel 15 AVG. Zij verzoekt onder meer om volledige logoverzichten van haar medisch dossier, een afschrift van dat dossier, loggegevens uit de MiroView-software en informatie over de medewerkers die haar gegevens hebben geraadpleegd. De Rechtbank Midden-Nederland oordeelt dat het Diakonessenhuis niet volledig aan zijn inzageverplichting heeft voldaan. Hoewel artikel 15 AVG geen recht geeft op logoverzichten die voldoen aan de NEN 7513, moet de verwerkingsverantwoordelijke op grond van artikel 15 lid 3 AVG wel een getrouwe en begrijpelijke reproductie van de verwerkte persoonsgegevens verstrekken. De verstrekte logoverzichten vermelden slechts welke schermen door medewerkers zijn geraadpleegd, maar niet welke persoonsgegevens daadwerkelijk zijn ingezien. Ook ontbreekt informatie over de doeleinden van de raadplegingen, waarop verzoekster op grond van artikel 15 lid 1 onder a AVG recht heeft. Het ziekenhuis moet daarom binnen een maand de verstrekte logoverzichten nader toelichten door te specificeren welke persoonsgegevens door de betrokken medewerkers zijn geraadpleegd en met welk doel.

Rb. Rotterdam 8 oktober 2026, IT 5582; ECLI:NL:RBROT:2026:13825 (eiser tegen ACNL). Eiser heeft beroep ingesteld omdat Airport Coordination Netherlands (ACNL) volgens hem niet tijdig heeft beslist op een AVG-verzoek dat hij op 28 februari 2022 zou hebben ingediend. Eiser stelt dat hierdoor dwangsommen zijn verbeurd. De Rechtbank Rotterdam oordeelt dat onvoldoende is komen vast te staan dat eiser destijds daadwerkelijk een aanvraag bij ACNL heeft ingediend. Wanneer een bestuursorgaan de ontvangst van een aanvraag ontkent, moet de afzender aan de hand van concrete en verifieerbare gegevens aannemelijk maken dat het bericht is verzonden. Eiser heeft dit niet gedaan. Ook de latere toezending van de processtukken door de rechtbank aan ACNL geldt niet als indiening van een aanvraag door eiser. Deze toezending vond plaats op grond van artikel 8:39 lid 1 Awb en niet op grond van artikel 2:3 Awb. ACNL heeft de stukken onverplicht als een alsnog ingediend verzoek behandeld en daarop op 27 mei 2025 beslist. Volgens de rechtbank is geen beslistermijn overschreden en zijn geen dwangsommen verbeurd. De rechtbank verklaart zich onbevoegd om kennis te nemen van het beroep wegens niet tijdig beslissen. Het beroep dat op grond van artikel 6:20 lid 3 Awb van rechtswege is ontstaan tegen het besluit van 27 mei 2025, wordt kennelijk ongegrond verklaard, omdat eiser geen inhoudelijke gronden tegen dat besluit heeft aangevoerd.

Rb. Midden-Nederland 1 oktober 2026, IT 5578; ECLI:NL:RBMNE:2026:6977 ([verzoeker] tegen [verweerder]). De rechtbank oordeelt over een inzageverzoek op grond van artikel 15 AVG van een voormalig werknemer aan zijn voormalige werkgever. De verzoeker was oprichter van een online platform en uitgaansagenda, had zijn onderneming in 2017 verkocht aan de verweerder en was vervolgens bij deze onderneming in dienst getreden. Via zijn vennootschap bleef hij aandeelhouder. Nadat in 2025 een conflict tussen de aandeelhouders was ontstaan en zijn dienstverband was beëindigd, verzocht hij om volledige inzage in de door zijn voormalige werkgever verwerkte gegevens, waaronder e-mails, Slack-berichten, WhatsApp-communicatie en personeelsgegevens. De rechtbank stelt voorop dat een betrokkene op grond van artikel 15 AVG recht heeft op inzage in zijn persoonsgegevens en de bijbehorende informatie over de verwerking. Dat een inzageverzoek mogelijk wordt gedaan om de procespositie in andere juridische procedures te versterken, doet aan dit recht niet af. Het begrip persoonsgegevens moet ruim worden uitgelegd en omvat ook subjectieve informatie, zoals meningen en beoordelingen, voor zover deze betrekking hebben op de betrokkene. Het inzagerecht strekt echter niet zonder meer tot het verkrijgen van integrale kopieën van documenten of volledige bedrijfsgegevens.

Rb. Midden-Nederland 2 oktober 2026, IT 5557; ECLI:NL:RBMNE:2026:6712 (POV, NMV, LTO en KAVB tegen minister van LVVN). Coöperatie Mobilisation for the Environment heeft op grond van de Wet open overheid verzocht om openbaarmaking van historische gegevens uit de Gecombineerde opgave, waaronder dieraantallen, stalsystemen, codes uit de Regeling ammoniak en veehouderij en gegevens over landgebruik. De minister van Landbouw, Visserij, Voedselzekerheid en Natuur besloot vier Excelbestanden openbaar te maken. De Producenten Organisatie Varkenshouderij, de Nederlandse Melkveehouders Vakbond, Land- en Tuinbouworganisatie Nederland en de Koninklijke Algemeene Vereeniging voor Bloembollencultuur verzochten om schorsing van dat besluit. De voorzieningenrechter merkt deze belangenorganisaties aan als belanghebbenden en oordeelt dat geen sprake is van misbruik van procesrecht. Ook de gebreken in de zienswijze- en kennisgevingsprocedure leiden niet tot schorsing. Hoewel de minister onvoldoende duidelijk had gemaakt dat de openbaarmaking niet alleen veehouders maar ook andere agrariërs betrof en een aan agrariërs verzonden brief bovendien een onjuiste rechtsmiddelenclausule bevatte, zijn de betrokken agrariërs daardoor volgens de voorzieningenrechter niet zodanig in hun belangen geschaad dat de procedure opnieuw moet worden gevoerd.

Hof Den Haag 29 september 2026, IT 5555; ECLI:NL:GHDHA:2026:2861 (Risepoint tegen [geïntimeerde]). [geïntimeerde] nam vóór 1 oktober 2021 deel aan online kansspelen van Unibet, die Risepoint destijds zonder Nederlandse vergunning maar onder een Maltese vergunning aan Nederlandse ingezetenen aanbood. Daarbij werden onder verantwoordelijkheid van Risepoint persoonsgegevens van [geïntimeerde] verwerkt, waaronder transactiegegevens. [geïntimeerde] verzocht Risepoint op grond van art. 12 en 15 AVG om inzage in en verstrekking van zijn kansspelgegevens en deed daarbij tevens een beroep op art. 20 AVG. De voorzieningenrechter wees de verstrekkingsvordering toe. In hoger beroep staat alleen deze verstrekkingsvordering nog ter beoordeling. Omdat [geïntimeerde] gewoonlijk in Nederland verblijft, is de Nederlandse rechter op grond van art. 79 lid 2 AVG bevoegd. Het hof neemt tot uitgangspunt dat de vordering naar Nederlands recht moet worden beoordeeld, waarbij de AVG als rechtstreeks werkende Unieverordening integraal deel uitmaakt van het Nederlandse recht. Daarnaast is, voor zover Risepoint zich beroept op een nationale beperking van AVG-rechten op grond van art. 23 AVG, ook het relevante Maltese recht van toepassing, omdat Risepoint als verwerkingsverantwoordelijke in Malta is gevestigd. De Nederlandse Uitvoeringswet AVG is op deze verwerking niet van toepassing. Het hof oordeelt verder dat [geïntimeerde] voldoende spoedeisend belang heeft bij verstrekking van zijn gegevens en dat de zaak geschikt is voor behandeling in kort geding.

Prejudiciële vragen gesteld aan HvJ EU 10 december 2025, IT 5547; IEFbe 4336; C-804/25 (Autorite de protection des donnees) via MinBuza. Een Amerikaan (hierna: JC) en de Belgische vereniging "Accidental Americans Association of Belgium" hebben een klacht tegen de Belgische staat ingediend bij de Belgische Gegevensbeschermingsautoriteit over de doorgifte van persoonsgegevens aan de Amerikaanse belastingdienst (IRS) krachtens het FATCA-akkoord. De Gegevensbeschermingsautoriteit stelde vast dat er meerdere schendingen van de AVG waren, waaronder het ontbreken van een gegevensbeschermingseffectbeoordeling en onvoldoende informatievoorziening aan betrokkenen, en legde een nalevingsbevel op. De Belgische staat heeft tegen het besluit van de Gegevensbeschermingsautoriteit beroep ingesteld bij de verwijzende rechter. De verwijzende rechter vraagt het Hof om uitleg van het Unierecht teneinde te kunnen beoordelen of het FATCA-akkoord verenigbaar is met richtlijn 95/46/EG, de AVG en de artikelen 7, 8 en 52 van het Handvest.

Rb. Midden-Nederland 22 september 2026, IT 5552; ECLI:NL:RBMNE:2026:6775 ([verzoeker] tegen [verweerder]). [verzoeker] verzocht [verweerder] primair op grond van art. 15 AVG en subsidiair op grond van art. 194 jo. 195 Rv om verstrekking van documenten en correspondentie waarin persoonsgegevens over hem waren verwerkt, inclusief de onderliggende verzendmetadata. [verweerder] had al een overzicht van zijn verwerkte persoonsgegevens verstrekt, maar [verzoeker] achtte dat onvoldoende. Na afbakening van het verzoek ging het nog om vijf specifiek aangeduide e-mails, onder meer over een aan [verzoeker] opgelegd communicatieverbod, de opzegging van zijn lidmaatschap bij de gemeenschappelijke ouderraad (GMR) en contacten tussen [verweerder] en [opleidingsinstelling] over zijn stageplaats. De rechtbank stelt voorop dat art. 15 AVG recht geeft op inzage in persoonsgegevens en in bepaalde informatie over de verwerking daarvan. Hoewel [verweerder] in beginsel aan het AVG-verzoek had voldaan door een overzicht van de geregistreerde persoonsgegevens te verstrekken, kunnen ook afschriften, kopieën of uittreksels onder het inzagerecht vallen wanneer verstrekking daarvan onontbeerlijk is om de betrokkene in staat te stellen de hem door de AVG verleende rechten daadwerkelijk uit te oefenen. De rechtbank acht verstrekking van de volledige vijf e-mails in dit geval noodzakelijk, omdat [verzoeker] alleen daarmee de juistheid en volledigheid van de daarin verwerkte persoonsgegevens in hun context kan controleren. Persoonsgegevens van derden moeten daarbij passend worden geanonimiseerd of afgeschermd.

Rb. Noord-Nederland 29 september 2026, IT 5556; ECLI:NL:RBNNE:2026:4145 ([eiser] tegen het college). [eiser] verzocht het college op grond van de Wet open overheid om documenten over de ontwikkeling van het Spoarpark te Feanwâlden, waaronder uitnodigingen, agenda’s, memo’s, tekeningen, verslagen, e-mails en appberichten. Het college maakte een deel van de documenten openbaar en handhaafde dit besluit na bezwaar. In beroep stelde [eiser] onder meer dat onvoldoende inzichtelijk was gemaakt hoe de zoekslag was verricht en dat die zoekslag onzorgvuldig en onvolledig was. De rechtbank oordeelt dat het college uiteindelijk voldoende inzichtelijk heeft gemaakt hoe is gezocht, doordat het heeft vermeld welke systemen zijn geraadpleegd, welke zoektermen zijn gebruikt en welke vragen aan betrokken ambtenaren zijn gesteld. De zoekslag was aanvankelijk echter niet volledig. Na het primaire besluit heeft het college naar aanleiding van het bezwaar, het advies van de bezwarencommissie, het beroep en latere aanvullingen meerdere nieuwe zoekslagen verricht, waarbij telkens nog documenten zijn aangetroffen en openbaar gemaakt. Dat het Woo-verzoek uiteindelijk ten minste zes keer tot een zoekslag heeft geleid die steeds nieuwe documenten opleverde, brengt de rechtbank tot het oordeel dat de zoekslag in eerste instantie onzorgvuldig en onvolledig is uitgevoerd. Het beroep is daarom gegrond en het bestreden besluit wordt vernietigd.

Rb. Den Haag 2 september 2026, IT 5537; ECLI:NL:RBDHA:2026:25209 (eisers tegen de minister van Asiel en Migratie). In procedures over de afwijzing van vier asielaanvragen stond onder meer het mogelijke gebruik van CaseMatcher door de IND ter discussie. Omdat de betrokken beslismedewerker zich niet meer kon herinneren of CaseMatcher was gebruikt en dit dus niet kon worden uitgesloten, gaat de rechtbank er voor haar beoordeling van uit dat het programma bij de beoordeling van de asielaanvragen en daarmee bij de totstandkoming van de besluiten is gebruikt. Volgens de rechtbank is CaseMatcher geen AI-systeem in de zin van artikel 3 AI-verordening en evenmin een complex algoritme of black box. Het programma is een eenvoudige, rule-based zoek- en vindfunctionaliteit waarmee een geautoriseerde IND-medewerker kan zoeken naar eerder behandelde zaken en daarin opgeslagen documenten waarin bepaalde zoektermen voorkomen. De resultaten worden op datum of relevantie gerangschikt, waarbij onder meer de frequentie van een zoekterm en het vooraf toegekende gewicht van documenttypen worden betrokken. Volgens de rechtbank leert, redeneert of modelleert CaseMatcher niet en worden de zoekresultaten deterministisch en volgens vaste regels gegenereerd en gesorteerd. Omdat het resultaat van een zoekopdracht logisch herleidbaar is, kan CaseMatcher volgens de rechtbank ook niet worden gelijkgesteld met de complexe algoritmen die aan de orde waren in de rechtspraak over AERIUS en SyRI.

Rb. Midden-Nederland 19 augustus 2026, IT 5530; ECLI:NL:RBMNE:2026:6338 ([eiser] tegen Infomedics). [eiser] ontvangt zorg van [onderneming 1], die voor de facturatie gebruikmaakt van Infomedics. Infomedics verwerkt daarbij persoonsgegevens van patiënten en heeft AddComm ingeschakeld als subverwerker voor onder meer het verzenden van rekeningen. Na een cyberaanval op AddComm stelde [eiser] Infomedics aansprakelijk wegens onrechtmatige verwerking van zijn persoonsgegevens, het delen daarvan met AddComm en andere derden, onvoldoende beveiliging, een volgens hem te late melding van het datalek en de daardoor geleden schade. De kantonrechter kwalificeert [onderneming 1] als verwerkingsverantwoordelijke, Infomedics als verwerker, AddComm als subverwerker en [eiser] als betrokkene in de zin van de AVG. De verwerking van de gezondheidsgegevens van [eiser] door Infomedics is volgens de kantonrechter niet onrechtmatig omdat toestemming niet de enige uitzondering vormt op het verbod van art. 9 lid 1 AVG. Art. 9 lid 2 onder h AVG, in samenhang met art. 30 lid 3 onder a en lid 4 UAVG, staat verwerking van gezondheidsgegevens toe wanneer die noodzakelijk is voor onder meer het beheer van een zorginstelling of beroepspraktijk, waaronder de betaling van medische rekeningen, mits de gegevens worden verwerkt door personen die tot geheimhouding zijn verplicht. Infomedics had zich contractueel tot geheimhouding verplicht. Op Infomedics rustte bovendien geen verplichting om zich ervan te vergewissen dat toestemming van [eiser] ontbrak. De verantwoordelijkheid voor de naleving van de beginselen van doelbinding, minimale gegevensverwerking, transparantie en opslagbeperking uit art. 5 lid 1 AVG rust op grond van art. 5 lid 2 AVG bij de verwerkingsverantwoordelijke, niet bij Infomedics als verwerker.