Persoonsgegevens  

Rb. Overijssel 17 juli 2026, IT 5406; ECLI:NL:RBOVE:2026:4407 ([eiseres] tegen [gedaagde]). Een bouwonderneming had haar voormalige boekhouder op grond van een overeenkomst van opdracht belast met het voeren van haar administratie in het softwareprogramma Informer. Nadat de onderneming de overeenkomst had opgezegd, wijzigde de boekhouder de toegangscode, waardoor de bestuurder van de onderneming niet meer kon inloggen, en gaf hij geen gehoor aan het verzoek om de administratie aan de opvolgende boekhouder over te dragen. De vordering tot afgifte van de fysieke administratie werd tijdens de mondelinge behandeling ingetrokken, nadat de boekhouder had verklaard dat hij geen fysieke administratie bezat. De voorzieningenrechter acht het spoedeisende belang bij overdracht van de digitale administratie voldoende aannemelijk. De onderneming had op korte termijn administratieve stukken nodig voor een lopende procedure in hoger beroep en moest bovendien voldoen aan haar administratieplicht van artikel 2:10 BW. Tussen partijen stond vast dat de overeenkomst van opdracht was geëindigd en dat de digitale bescheiden die de administratie vormden eigendom waren van de onderneming. De boekhouder hield deze daarom in beginsel zonder recht of titel onder zich. Zijn wens om de administratie te bewaren met het oog op mogelijke toekomstige procedures rechtvaardigde niet dat hij de volledige administratie bleef achterhouden. Dit mogelijke belang was speculatief, woog minder zwaar dan het concrete belang van de onderneming en kon minder ingrijpend worden beschermd, bijvoorbeeld door de administratie in de bestaande toestand bij een onafhankelijke derde te deponeren.

Rb. Noord-Holland 21 juli 2026, IT 5403; ECLI:NL:RBNHO:2026:9167 ([verzoeker] tegen Scapino). Verzoeker diende op 22 juli 2025 bij Scapino een inzageverzoek in op grond van artikel 15 AVG. Nadat Scapino de ontvangst had bevestigd, maande en sommeerde verzoeker haar meermaals om aan het verzoek te voldoen. Op 20 mei 2026 reageerde Scapino alsnog inhoudelijk en verstrekte zij een overzicht van de persoonsgegevens die zij van verzoeker verwerkte. Volgens verzoeker was deze reactie te laat en bovendien onvolledig. Hij verzocht de rechtbank aanvankelijk onder meer om schadevergoeding, buitengerechtelijke kosten en vergoeding van de werkelijke proceskosten. Nadat hij zijn verzoek ter zitting had verminderd, verzocht hij alleen nog om Scapino op straffe van een dwangsom te bevelen volledige inzage te verstrekken en haar in de proceskosten te veroordelen.

Rb. Noord-Holland 21 juli 2026, IT 5402; ECLI:NL:RBNHO:2026:9168 ([verzoeker] tegen Suitable). Verzoeker diende bij Suitable een verzoek in tot inzage in zijn persoonsgegevens op grond van artikel 15 AVG. Suitable vroeg hem zijn identiteit te bevestigen door een kopie van een geldig identiteitsbewijs te verstrekken, maar verzoeker weigerde dat. Vervolgens sommeerde hij Suitable om alsnog aan het inzageverzoek te voldoen, maakte hij aanspraak op € 925 aan buitengerechtelijke kosten en stelde hij onder dreiging van een procedure een schikking van € 1.250 voor. In de procedure verzocht hij, na vermindering van zijn verzoek, alleen nog om Suitable op straffe van een dwangsom te bevelen inzage te verstrekken en haar in de proceskosten te veroordelen. Suitable voerde aan dat verzoeker zijn AVG-rechten niet gebruikte om de verwerking van zijn persoonsgegevens te controleren, maar om financieel voordeel te verkrijgen.

HvJ EU 14 juli 2026, LS&R 2425; IT 5399; ECLI:EU:C:2026:579 (AR e.a. tegen Österreichische Datenschutzbehörde e.a.). In deze zaak worden zeven prejudiciële vragen gesteld omtrent de openbaarmaking van persoonsgegevens van sporters die de antidopingregels hebben overtreden. AR, YT, DI en RN zijn vier sporters aan wie wegens overtreding van de Oostenrijkse antidopingregels een tijdelijke dan wel levenslange uitsluiting van deelname aan wedstrijden is opgelegd. Op grond van de Oostenrijkse antidopingwetgeving moet NADA Austria op haar website een lijst publiceren met onder meer de voor- en achternaam van de betrokken sporter, de beoefende sport, de begane overtreding, de opgelegde sanctie en de begin- en einddatum daarvan. De ÖADR publiceert deze gegevens daarnaast via persberichten op haar website. In oktober 2021 verzoeken de sporters NADA Austria en de ÖADR om hun namen en de betreffende sporten van de websites te verwijderen. Nadat hieraan geen gehoor wordt gegeven, dienen zij een klacht in bij de Oostenrijkse toezichthouder wegens schending van het recht op gegevenswissing uit artikel 17 AVG. Zij stellen onder meer dat sprake is van bijzondere persoonsgegevens in de zin van artikel 9 AVG en van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten in de zin van artikel 10 AVG. Ook achten zij het Oostenrijkse systeem van algemene openbaarmaking niet noodzakelijk en onevenredig. De Oostenrijkse toezichthouder verklaart de klachten van AR, DI en RN ongegrond. Volgens de toezichthouder is de publicatie noodzakelijk om te voldoen aan een wettelijke verplichting, zodat op grond van artikel 17, derde lid, onder b, AVG geen recht op gegevenswissing bestaat. De klacht van YT wordt afgewezen wegens gebrek aan procesbelang, omdat haar gegevens op dat moment nog niet waren gepubliceerd. De sporters stellen tegen deze beslissing beroep in bij het Bundesverwaltungsgericht. YT voert daarbij aan dat haar een uitsluiting van vier jaar is opgelegd en dat de publicatie van haar gegevens daarom ophanden is.

HvJ EU 9 juli 2026, IT 5398; ECLI:EU:C:2026:564 (ND tegen Legal Newsdesk Sweden AB). In deze zaak beheert Legal Newsdesk Sweden de databank Lexbase, waarin tegen betaling kan worden gezocht naar personen en ondernemingen die het voorwerp zijn geweest van strafprocedures voor Zweedse gerechten. ND is in 2011 strafrechtelijk veroordeeld. Legal Newsdesk Sweden publiceert het desbetreffende vonnis in Lexbase, waar het tot februari 2024 toegankelijk blijft. Nadat ND om verwijdering van zijn persoonsgegevens heeft verzocht, worden deze niet onmiddellijk verwijderd, maar pas later op grond van het interne bewaarbeleid van Legal Newsdesk Sweden. ND vordert daarop voor de Attunda tingsrätt een schadevergoeding van 300.000 Zweedse kroon wegens schending van de AVG. Legal Newsdesk Sweden betwist de vordering en beroept zich op een publicatiecertificaat dat grondwettelijke bescherming van de vrijheid van meningsuiting verleent aan de in Lexbase gepubliceerde informatie. Volgens de verwijzende rechter brengt het Zweedse recht mee dat de AVG in een dergelijk geval niet van toepassing is en dat de betrokkene slechts beschikt over de mogelijkheid van strafvervolging wegens laster of een schadevordering wegens laster. De verwijzende rechter vraagt het Hof daarom in wezen of artikel 85 lid 1 AVG lidstaten toestaat om, buiten de in artikel 85 lid 2 genoemde journalistieke doeleinden of academische, artistieke of literaire uitdrukkingsvormen, van bepalingen van de AVG af te wijken ter bescherming van de vrijheid van meningsuiting en informatie, of de rechtsbescherming van een betrokkene mag worden beperkt tot rechtsmiddelen wegens laster en of het tegen betaling online beschikbaar stellen van openbare strafrechtelijke veroordelingen zonder bewerking of aanpassing kan worden aangemerkt als verwerking voor journalistieke doeleinden. 

Rb. Den Haag 30 juli 2026, IEF 23726; IT 5397; ECLI:NL:RBDHA:2026:21021 (Formula 1 Companies tegen Metaregistrar en Mijndomein). In dit kort geding constateren de Formula 1 Companies dat via verschillende websites niet-bestaande tickets voor het FIA Formula One World Championship worden aangeboden en daarbij zonder toestemming gebruik wordt gemaakt van hun FORMULA 1- en F1-merken. Nadat een consument voor € 2.600 aan tickets voor de Grand Prix van Monza heeft betaald zonder deze te ontvangen, ontdekken de Formula 1 Companies meerdere vergelijkbare websites. De websites vertonen sterke overeenkomsten in vormgeving en contactgegevens en gebruiken onder meer gefingeerde namen. Mijndomein is hostingprovider van de betrokken websites en heeft bemiddeld bij de registratie van de domeinnamen, waarvoor Metaregistrar als registrar is ingeschakeld. Na verschillende notice-and-takedownverzoeken haalt Mijndomein de betrokken websites offline, maar weigeren gedaagden de identificerende gegevens van de domeinnaamhouders te verstrekken. De Formula 1 Companies vorderen in kort geding onder meer staking van de dienstverlening als tussenpersoon en verstrekking van de identificerende gegevens van de domeinnaamhouders.

RvS 17 juni 2026, IT 5390; ECLI:NL:RVS:2026:3763 ([appellante] en de staatssecretaris voor Rechtsbescherming). Een moeder verzocht de staatssecretaris voor Rechtsbescherming op grond van artikel 16 lid 1 AVG om rectificatie van twee rapporten van de Raad voor de Kinderbescherming uit 2018 over haar oudste zoon. Volgens haar bevatten de rapporten grotendeels onjuiste informatie en werd daarop nog steeds teruggegrepen in procedures over het gezag en de omgang met haar zoon. De staatssecretaris wees het verzoek gedeeltelijk toe en paste de rapporten aan waar verschillende onjuistheden waren vastgesteld. Klachten over het handelen of nalaten van de Raad voor de Kinderbescherming vielen volgens de staatssecretaris buiten de AVG-procedure. De Rechtbank Noord-Holland verklaarde het beroep ongegrond. Zij overwoog dat het rectificatierecht van artikel 16 AVG niet is bedoeld om indrukken, meningen, onderzoeksresultaten en conclusies te corrigeren of te verwijderen alleen omdat de betrokkene zich daarmee niet kan verenigen. Ook kan de bestuursrechter in deze procedure niet beoordelen welke gevolgen de Raad voor de Kinderbescherming of de civiele rechter aan de gerectificeerde rapporten moet verbinden. Over het verzoek om wissing van de rapporten was bovendien al in een andere procedure beslist.

Rb. Amsterdam 13 september 2018, IT 5387; ECLI:NL:RBAMS:2018:6438 ([verzoekster] tegen ABN AMRO). Een voormalige werkneemster van ABN AMRO verzocht de bank op grond van artikel 35 lid 2 Wbp om een volledig en begrijpelijk overzicht van de persoonsgegevens die over haar waren verwerkt. Tussen partijen had van 2001 tot en met 2011 een arbeidsverhouding bestaan en daarnaast was sprake geweest van een hypothecaire geldlening. Hoewel de Wbp tijdens de procedure was vervallen en de Uitvoeringswet AVG inmiddels van toepassing was, beoordeelt de rechtbank het verzoek op grond van de Wbp. Uit artikel 48 lid 10 Uitvoeringswet AVG volgt namelijk dat op verzoeken die bij de inwerkingtreding van die wet al aanhangig waren, het voordien geldende recht van toepassing blijft. Het verzoek betreft drie categorieën: het voormalige e-mailaccount van verzoekster, interne notities en correspondentie van medewerkers en juristen van ABN AMRO en gegevens over de hypotheek. Het verzoek ten aanzien van het e-mailaccount wordt afgewezen. ABN AMRO had al een overzicht verstrekt van de gevonden e-mails, met onder meer de datum, het onderwerp en de afzender en ontvanger. De bank had bovendien toegelicht dat het e-mailaccount na de uitdiensttreding was opgeheven en had na navraag bij de beheerder alsnog enkele e-mails gevonden en overgelegd. Daartegenover betwistte verzoekster onvoldoende gemotiveerd dat nog meer e-mails bestonden.

Rb. Noord-Holland 13 juli 2026, IT 5385; ECLI:NL:RBNHO:2026:8438 ([verzoeker] tegen Rydo). Verzoeker was als gemachtigde betrokken bij een procedure van een derde tegen Rydo Telecom over de gestelde niet-ontvangst van twee bestelde telefoons. In het kader van het onderzoek naar die kwestie had Rydo onder meer contact opgenomen met PostNL. Verzoeker diende vervolgens op 20 december 2023 een inzageverzoek in op grond van de AVG. Namens Rydo werd meegedeeld dat er op dat moment geen reden werd gezien om aan het verzoek te voldoen. Verzoeker sommeerde Rydo daarna alsnog inzage te geven en kondigde € 925 exclusief btw aan buitengerechtelijke kosten en een gerechtelijke procedure aan. In juli 2025 deelde Rydo mee dat zij in verband met de eerdere procedure alleen verzoekers naam, e-mailadres en een verklaring van PostNL had verwerkt en dat deze gegevens na sluiting van het dossier waren verwijderd. Verzoeker verlangde daarop onder meer inzage in de voormalige verwerking, bewijs van verwijdering door een onafhankelijke derde, informatie over verstrekkingen aan derden en de volledige verwerkingshistorie. Hij dreigde met een procedure, dwangsommen, schadevergoeding en vergoeding van kosten en stelde daarnaast voor de kwestie tegen betaling van € 3.250 te beëindigen. Kort voor de mondelinge behandeling verminderde hij zijn verzoek tot volledige inzage in zijn persoonsgegevens, op straffe van een dwangsom van € 250 per dag met een maximum van € 35.000, en een proceskostenveroordeling. De aanvankelijk gevorderde buitengerechtelijke kosten en werkelijke proceskosten handhaafde hij niet.

Rb. Amsterdam 16 juli 2026, IT 5386; ECLI:NL:RBAMS:2026:7300 (Consumentenbond en SBIA tegen ING). ING schafte op 17 september 2024 haar eigen app voor contactloos betalen met een Android-telefoon af en biedt deze mogelijkheid sindsdien uitsluitend aan via Google Pay. Bij de activering deelt ING onder meer de naam, het adres en het telefoonnummer van de rekeninghouder met Google. Bij het verrichten van betalingen worden ook de datum, het tijdstip en het bedrag van de betaling en de naam en locatie van de winkel gedeeld. De Consumentenbond en Stichting Benadeelden in Actie (SBIA) maken zich zorgen over de rechtmatigheid van deze gegevensverwerking en verzoeken op grond van de artikelen 194 en 195 Rv om inzage in onder meer de overeenkomsten tussen ING en Google, interne besluitvorming en correspondentie, onderzoeksgegevens en eventuele DORA-documentatie. De rechtbank wijst het verzoek tegen ING Groep af, omdat onvoldoende aanwijzingen bestaan dat zij rechtstreeks betrokken is bij Google Pay of de daarover gemaakte afspraken. Ten aanzien van ING Bank is wel sprake van een relevante rechtsbetrekking. De rechtbank oordeelt in het kader van dit inzageverzoek dat ING en Google gezamenlijk verwerkingsverantwoordelijken zijn voor de persoonsgegevens die zij beiden in het kader van Google Pay verwerken. Deze gezamenlijke verantwoordelijkheid is niet beperkt tot de activering van de token, maar omvat ook de identiteits- en transactiegegevens die worden verwerkt voor contactloos betalen en daarmee samenhangende functionaliteiten, zoals het betalingsoverzicht. De rechtbank beslist niet of deze verwerking onrechtmatig is en laat in het midden of de gezamenlijke verantwoordelijkheid zich ook uitstrekt tot een eventuele verdere verwerking door Google voor andere doeleinden, zoals profilering en gerichte reclame. De bancaire zorgplicht van ING kan volgens de rechtbank wel meebrengen dat zij ten behoeve van haar rekeninghouders garanties bedingt tegen verwerking voor andere doeleinden.