Persoonsgegevens  

HvJ EU 4 oktober 2024, IT 4642; ECLI:EU:C:2024:846 (Lindenapotheke). In deze zaak vroeg een Duitse apotheker zijn concurrent, de eigenaar van de online verkopende apotheek “Lindenapotheke”, om het verkopen van apotheekgeneesmiddelen te staken, zolang klanten geen voorafgaande toestemming voor gegevensverwerking gaven. Volgens de concurrent vormde het gebrek aan toestemming een schending van de AVG en een verboden oneerlijke handelspraktijk onder Duitse wetgeving. De Duitse rechter stelde vragen aan het HvJ EU over de toelaatbaarheid van een rechtsvordering door een concurrent in AVG-zaken, en of de klantinformatie bij de online aankoop van apotheekgeneesmiddelen als gezondheidsgegevens onder de AVG valt. Het Hof oordeelt dat de AVG het niet uitsluit dat concurrenten rechtsvorderingen instellen voor schendingen van de AVG op basis van nationale wetgeving inzake oneerlijke handelspraktijken. Het Hof benadrukte dat deze mogelijkheid naast de handhavingsbevoegdheden van toezichthouders en het recht van betrokkenen op schadevergoeding bestaat, en bijdraagt aan een hoog beschermingsniveau van persoonsgegevens. Verder oordeelt het Hof dat informatie die klanten invoeren bij het bestellen van geneesmiddelen online – zoals namen en adresgegevens – gezondheidsgegevens betreft, omdat deze gegevens inzicht kunnen geven in iemands gezondheidstoestand. Hierdoor moet de verkoper duidelijk en volledig informeren over de gegevensverwerking en expliciete toestemming van de klant vragen, ongeacht of een medisch voorschrift vereist is.

HR 4 oktober 2024, IT 4716; ECLI:NL:HR:2024:1372 (verzoekster tegen rechtbank Noord-Holland) Verzoekster is een voormalige werkneemster van de rechtbank Noord-Holland. Verzoekster heeft verzocht om inzage in haar persoonsgegevens op grond van de AVG. De rechtbank Noord-Holland had advies gevraagd aan de Raad voor de rechtspraak over een arbeidsgeschil met verzoekster en weigerde inzage in deze adviesaanvraag en het daaropvolgende advies. De rechtbank stelde dat het belang van een vrije en besloten gedachtewisseling zwaarder woog dan het inzagerecht van verzoekster. Het hof bekrachtigde dit oordeel, waarbij het benadrukte dat de bescherming van de rechten en vrijheden van anderen, waaronder de verwerkingsverantwoordelijke, een legitieme beperking van het inzagerecht kan rechtvaardigen. De Hoge Raad verwerpt het cassatieberoep van verzoekster en bevestigt dat de weigering van inzage gerechtvaardigd was.

HvJEU 26 september 2024, IT 4626; C-768/21 (Land Hessen). Het Europese Hof van Justitie heeft zich uitgesproken over een Duitse zaak met betrekking tot een AVG-schending. Eiseres in die zaak had gevorderd dat de AVG-toezichthouder in Duitsland een boete zou opleggen aan haar bank. Zij was er namelijk achter gekomen dat een bankmedewerker haar data meermaals had ingezien zonder toestemming. Aangezien de bank al maatregelen had genomen jegens de medewerker, achtte de toezichthouder het in dit geval niet nodig om verdere actie te ondernemen. De Duitse rechter wendt zich tot het Europese Hof met de vraag of een dergelijke beslissing van de toezichthouder is toegestaan. Het Europese Hof antwoordt daarop bevestigend: AVG-toezichthouders zijn niet verplicht hun bevoegdheden te gebruiken voor zover dat niet noodzakelijk is om de AVG te waarborgen. In een geval als de onderhavige, waarin de gegevensverwerker zelf al maatregelen heeft getroffen om de schending te verhelpen nadat zij hiervan op de hoogte is gesteld, kan de toezichthouder besluiten af te zien van verdere stappen. Het is daarbij aan de nationale rechter om te bepalen of de toezichthouder (in het algemeen) een voldoende consistent en hoog niveau van bescherming van persoonsgegevens waarborgt.

Rb. Rotterdam 16 december 2022, IT 4623; ECLI:NL:RBROT:2022:11808 (Eiseres tegen het college van burgemeester en wethouders van Rotterdam). Eiseres bevindt zich in een re-integratietraject bij het college van burgemeester en wethouders van Rotterdam. Zij verzoekt het college om inzage in of afschriften van documenten uit haar re-integratiedossier, voor zover die gaan over monitoring, logging, controle en opsporing. Het college geeft gehoor en verstrekt een aantal documenten aan eiseres. Het college meent volledig aan het inzageverzoek tegemoet te zijn gekomen, maar eiseres is het daar niet mee eens. Ook botsen partijen over het verzoek van eiseres tot rectificatie van haar persoonsgegevens. Volgens het college zijn de onjuistheden waar eiseres op doelt niet vatbaar voor het rectificatierecht: het gaat om professionele indrukken, meningen en conclusies. Het college wijst de verzoeken van eiseres af; het inzageverzoek voor zover hij daar niet aan kan voldoen. Dit zowel in eerste aanleg als na bezwaar van eiseres. Eiseres stapt naar de rechter.

Hof Arnhem-Leeuwarden 27 augustus, IT 4622; ECLI:NL:GHARL:2024:5458 (Appellante tegen Achmea Schadeverzekeringen N.V.). Deze zaak betreft een schadeclaim van appellante tegen Achema, een inboedelverzekeraar, in verband met diefstal met braak. Na een onderzoek heeft Achmea aan appellante laten weten iedere verzekeringsuitkering te weigeren en de gegevens van appellante in het Externe Verwijzingsregister (hierna: EVR) te registreren voor de duur van acht jaar, wegens opzettelijke misleiding door appellante. Appellante heeft vervolgens bij de kantonrechter gevorderd dat Achmea wordt veroordeeld tot uitkering van de verzekering inclusief wettelijke rente. Bovendien vordert appellante dat haar gegevens uit het EVR worden gehaald. De kantonrechter wijst de vorderingen af. Appellante gaat in hoger beroep met de bedoeling dat haar vorderingen alsnog worden toegewezen. Het hof concludeert dat appellante verzekeringsfraude heeft gepleegd. Appellante heeft Achmea namelijk onjuist voorgelicht en haar verklaring telkens gewijzigd zonder logische verklaring. Zij heeft haar mededelingsplicht geschonden met de onmiskenbare bedoeling om een hogere uitkering te ontvangen. Haar recht op uitkering komt dan ook te vervallen. Wat betreft de verwerking van de gegevens van appellante in het EVR, oordeelt het hof dat de vastgestelde verzekeringsfraude hiervoor voldoende basis biedt. Appellante motiveert onvoldoende waarom dat anders zou moeten zijn en mede hierom ziet het hof geen reden om af te wijken van de door Achmea vastgestelde duur van acht jaar.

HvJ EU 12 september 2024, IT 4621; ECLI:EU:C:2024:738 (HTB tegen Müller en Ökorenta). In deze uitspraak beantwoordt het Europese Hof een aantal door de Duitse rechter ingediende prejudiciële vragen. De vragen vloeien voort uit de zaak tussen HTB enerzijds en Müller en Ökorenta anderzijds. HTB en Ökorenta zijn beleggingsvennootschappen die elk via een fiduciaire vennootschap een indirecte deelneming in beleggingsfondsen bezitten. Deze beleggingsfondsen worden georganiseerd in de vorm van een commanditaire vennootschap. De Duitse rechter vraagt zich af of de AVG zo moet worden uitgelegd dat, op verzoek van een vennoot van een beleggingsfonds, de persoonsgegevens van alle vennoten met indirecte deelnemingen in dat fonds openbaar moeten worden gemaakt. Naar Duits recht is dit wel gebruikelijk, maar de Duitse rechter heeft er twijfels over of de Duitse rechtspraak verenigbaar is met artikel 6 van de AVG.

Rb. Den Haag 9 september, IT 4620; ECLI:NL:RBDHA:2024:14477 (Verzoeker tegen Bunq B.V.). Verzoeker is klant van Bunq. Bunq heeft de bankrekeningen van verzoeker geblokkeerd, omdat hij niet heeft gereageerd op het herhaaldelijke verzoek om bepaalde documenten toe te sturen. Verzoeker verstrekt de documenten daarna alsnog en de blokkade wordt opgeheven. Verzoeker vraagt Bunq vervolgens om inzage in alle van hem verwerkte gegevens, onder andere met betrekking tot de blokkering van zijn rekeningen. Bunq doet als verzocht, maar verzoeker stelt dat er gegevens ontbreken. Verzoeker stapt naar de rechter. In de tussentijd heeft Bunq aanvullende gegevens verstrekt die Bunq in relatie tot verzoeker heeft verwerkt. Desondanks vraagt verzoeker aan de rechtbank om Bunq op te dragen hem volledige inzage te verschaffen in zijn persoonsgegevens, inclusief de gegevens die zijn verwerkt als onderdeel van het besluitvormingsproces rondom de blokkade en de opheffing daarvan. Verzoeker legt daaraan ten grondslag dat Bunq onzorgvuldig te werk is gegaan, onder andere door het gebruik van geautomatiseerde besluitvorming. Bunq stelt daarentegen dat zij voldoende tegemoet is gekomen aan het inzageverzoek en dat er geen sprake is geweest van geautomatiseerde besluitvorming.

Rb. Rotterdam 21 augustus 2024, IT 4619; ECLI:NL:RBROT:2024:8250 (Verzoekster tegen Veilig Thuis). Verzoekster heeft een dochter voor wie zij een omgangsregeling heeft afgesproken met haar (voormalige) partner, de vader van haar dochter. Op 18 oktober 2022 heeft verzoekster een melding gedaan bij Veilig Thuis, omdat zij zich zorgen maakte over de veiligheid van haar dochter wanneer zij bij haar vader verbleef. Naar aanleiding van deze melding heeft Veilig Thuis één dossier voor het hele gezin aangemaakt (inmiddels zijn dit drie dossiers). Later zijn er verschillende andere meldingen gemaakt, zowel door verzoekster, als door haar partner en de politie. Er zijn daarbij veel contactmomenten geweest. Op 12 december 2023 heeft Veilig Thuis een melding gedaan bij het Jeugdbeschermingsplein en naar aanleiding daarvan is een onderzoek gestart. Verzoekster heeft Veilig Thuis vervolgens verzocht om een van de dossiers over haar gezin volledig te laten verwijderen, maar Veilig Thuis heeft dit verzoek afgewezen, met name uit anticipatie op een mogelijke situatie van kindermishandeling. Verzoekster stapt naar de rechtbank en verzoekt daar hetzelfde, inclusief met betrekking tot een tweede dossier. Subsidiair verzoekt zij dat Veilig Thuis wordt bevolen om specifiek haar persoonsgegevens uit de twee dossiers te verwijderen.

Hof Arnhem-Leeuwarden 26 augustus 2024, IT 4615; ECLI:NL:GHARL:2024:5384 (Verzoeker tegen Stichting Sint Antonius Ziekenhuis). Verzoeker in deze zaak is de vader van een meisje dat tijdelijk opgenomen is geweest in het Antonius Ziekenhuis (hierna Antonius), omdat zij te vroeg was geboren. Zijn dochter is daar bovendien een aantal jaar in behandeling geweest. Bij de eerste tijdelijke opname was een maatschappelijk werker betrokken in wie verzoeker zijn vertrouwen later heeft opgezegd. In de jaren daarna heeft verzoeker diverse klachten geuit richting Antonius. Ondanks een mediationtraject dat partijen samen hebben gevolgd, zijn partijen niet tot een oplossing gekomen. Verzoeker is vervolgens naar de rechtbank gestapt, waar hij heeft verzocht dat Antonius wordt verplicht om inzage te verlenen in de complete dossiers van zijn dochter, inclusief alle contactmomenten, correspondentie en verslagleggingen. Daarnaast heeft hij toegang gevorderd tot alle persoonsgegevens van zijn dochter, de logoverzichten betreffende de dossiers van zijn dochter en de registratiegegevens van de betrokken zorgverleners. De rechtbank heeft alle verzoeken afgewezen. Verzoeker gaat daartegen in hoger beroep.

AP 22 juli 2024, IT 4611 (Autoriteit Persoonsgegevens tegen Uber). De Autoriteit Persoonsgegevens (hierna: AP) legt Uber een boete op van 290 miljoen euro. Het bedrijf heeft namelijk twee jaar lang persoonsgegevens van EU-taxichauffeurs doorgegeven aan de Verenigde Staten (hierna: VS) zonder daarbij aan de AVG te voldoen. Het gaat onder andere om locatiegegevens, foto’s, betaalgegevens, ID's en in sommige gevallen zelfs strafrechtelijke en medische gegevens. Aangezien de VS het door de AVG vereiste beveiligingsniveau voor persoonsgegevens niet waarborgen, is het aan Uber om passende maatregelen te treffen wanneer zij persoonsgegevens naar de VS verzendt. Deze maatregelen moeten ervoor zorgen dat het door de AVG gewaarborgde beveiligingsniveau alsnog wordt behaald. De AP constateert dat Uber tussen augustus 2021 en eind 2023 geen passende maatregelen heeft getroffen, ondanks het feit dat zij persoonsgegevens naar de VS heeft verzonden. Hiervoor krijgt Uber een boete opgelegd van iets minder dan één procent over haar jaaromzet (zo'n 34,5 miljard euro). Dit komt uit op de hoogste boete die de AP ooit heeft opgelegd. Uber laat in een persverklaring weten dat zij in beroep gaat tegen de boete, desnoods bij de rechter. Volgens haar bestond er in de genoemde periode onduidelijkheid over de privacyregels en heeft zij naar beste weten en kunnen gehandeld.