Privacy  

De Europese Commissie heeft de langverwachte (concept-)richtlijnen gepubliceerd over de classificatie van hoog-risico AI-systemen onder artikel 6 AI-verordening. De richtlijnen zijn formeel niet bindend, maar helpen bedrijven in de praktijk bij de verplichte beoordeling van hun systemen. Centraal staan onder andere de rol van het ‘beoogde doel’, de afbakening van veiligheidscomponenten, de reikwijdte van Annex III en het filtermechanisme van artikel 6 lid 3 AI-verordening. Een week eerder publiceerde de Commissie nog afzonderlijke concept-richtlijnen over de transparantieverplichtingen van artikel 50. Deze bepaling bevat verplichtingen voor aanbieders en gebruikers van bepaalde systemen, waaronder chatbots.

In dit overzichtsartikel volgt een heldere samenvatting van de eerstgenoemde richtlijn, waar nodig aangevuld met commentaar. Tussen haakjes wordt regelmatig verwezen naar de relevante vindplaatsen in de richtlijnen zelf.

Voor het gemak wordt vanaf nu volstaan met de Engelse termen high risk en AI Act.

Rb. Rotterdam 17 april 2026, IT 5273; ECLI:NL:RBROT:2026:4682 ([eiseres] tegen MPG). [eiseres] heeft in 2021 deelgenomen aan een door MPG georganiseerde spelshow, waarvan een video op YouTube is geplaatst. In die video is zij herkenbaar in beeld, wordt zij bij haar voornaam genoemd en is haar stem hoorbaar. [eiseres] vordert verwijdering van de video, omdat zij niet heeft ingestemd met de wijze waarop haar persoonsgegevens zijn verwerkt, in het bijzonder vanwege de seksueel getinte opdrachten en vragen in het spel.

Rb. Rotterdam 9 maart 2026, IT 5263; ECLI:NL:RBROT:2026:2915 ([verzoeker] tegen het College van B&W van Rotterdam). De voorzieningenrechter heeft een verzoek om voorlopige voorziening afgewezen in een zaak over inzage in persoonsgegevens en een Wmo-dossier. [verzoeker] stelde dat hij met een informatieachterstand procedeerde in een hogerberoepsprocedure over zijn Ziektewet-uitkering en daarom spoedeisend belang had bij onmiddellijke verstrekking van aanvullende gegevens. 

Hof Amsterdam 14 april 2026, IT 5255; ECLI:NL:GHAMS:2026:1138 ([appellante] tegen [geïntimeerde]). In deze zaak oordeelt het Hof Amsterdam over een verzoek van een schoolleider tot verwijdering van haar persoonsgegevens uit het Schoolleidersregister Primair Onderwijs. Zij stelde dat de registratie onrechtmatig was en beriep zich onder meer op haar recht op gegevenswissing onder de AVG. Het hof bekrachtigt het oordeel van de rechtbank (ECLI:NL:RBNHO:2025:1087), dat het verzoek moet worden afgewezen. De verwerking van persoonsgegevens door de beheerder van het register is rechtmatig op grond van artikel 6 lid 1 onder f AVG. Volgens het hof bestaat een gerechtvaardigd belang bij het registreren van schoolleiders, gelegen in het bewaken, stimuleren en borgen van de kwaliteit van schoolleiders en de professionalisering binnen het primair onderwijs. Deze registratie vloeit voort uit afspraken tussen sociale partners en voorwaarden die door de overheid zijn gesteld aan financiering van professionalisering.

Rb. Rotterdam 13 maart 2026, IT 5253; ECLI:NL:RBROT:2026:2765 ([verzoeker] tegen het Gerechtsbestuur). In deze zaak verzoekt [verzoeker] om op grond van de AVG inzage in alle interne communicatie en documenten van de rechtbank Den Haag waarin zijn persoonsgegevens voorkomen, waaronder interne e-mails, notities en analyses rond zijn eerdere procedures en klachten. De rechtbank wijst het verzoek grotendeels af. Hoewel artikel 15 AVG recht geeft op inzage in persoonsgegevens, strekt dit recht niet zo ver dat ook volledige toegang moet worden verleend tot interne correspondentie en documenten. Het doel van het inzagerecht is dat betrokkene de verwerking van zijn persoonsgegevens kan controleren, en daaraan was in dit geval al voldaan doordat een overzicht van de verwerkte gegevens en relevante stukken was verstrekt.

Parket bij de Hoge Raad 24 april 2026, IEF 23518; IT 5249; ECLI:NL:PHR:2026:435 ([eiser] tegen ING). Deze conclusie van A-G Drijber (zitting 24 april 2026) betreft een geschil tussen een ondernemer (eiser) en ING over de verwerking van zijn persoonsgegevens in de Gebeurtenissenadministratie en het Intern Verwijzingsregister (IVR) van ING. ING had de zakelijke bankrelatie beëindigd omdat zij onvoldoende kon uitsluiten dat eisers cashgelden betrokken waren bij heling, witwassen en andere criminele activiteiten, mede vanwege het ontbreken van een adequate inkoopadministratie en schending van de registratieplicht ex art. 437 Sr. Eiser vorderde verwijdering van zijn persoonsgegevens uit het IVR en de Gebeurtenissenadministratie. Zowel de rechtbank als het hof wezen de vorderingen af. Het hof oordeelde dat de geregistreerde gegevens geen strafrechtelijke persoonsgegevens zijn in de zin van art. 10 AVG, de vastgelegde feiten en omstandigheden (grote cashuitgaven zonder verantwoording, het ontbreken van een adequate boekhouding en onvoldoende maatregelen om betrokkenheid bij strafbare feiten uit te sluiten) kunnen geen bewezenverklaring in de zin van art. 350 Sv dragen, en dat de verwerking een gerechtvaardigd doel dient op grond van art. 6 lid 1 onder f AVG (waarborging van de veiligheid en integriteit van de financiële sector, mede gelet op de Wwft-verplichtingen van ING), dat de persoonsgegevens uitsluitend intern toegankelijk zijn, dat eiser niet in zijn toegang tot financiële diensten elders is belemmerd, en dat de aantekening een correcte weergave vormt van de redenen voor de beëindiging van de bankrelatie.

Rb. Gelderland 24 maart 2026, IT 5238; ECLI:NL:RBGEL:2026:2749 ([naam vrouw] tegen [naam man]). In een kort geding tussen (ex-)echtgenoten vordert de vrouw onder meer een contactverbod en een verbod op verdere verspreiding van beeldmateriaal, stellende dat sprake is van sextortion. De man zou seksueel getinte beelden via een usb-stick met familieleden van de vrouw hebben gedeeld om haar onder druk te zetten in een vermogensgeschil.

Hof Amsterdam 16 april 2026, IT 5228; ECLI:NL:GHAMS:2026:1003 (Openbaar Ministerie tegen [verdachte]). Het hof vernietigt het vonnis van de Rechtbank Noord-Holland, omdat het hof tot een deels andere bewijsconstructie, een op detail afwijkende bewezenverklaring en een andere strafoplegging komt, en verklaart vervolgens feit 1 primair en feit 2 bewezen. Het hof acht bewezen dat de verdachte, destijds tweedelijns helpdeskmedewerker bij [bedrijf], op 27 maart 2021 opzettelijk en wederrechtelijk is binnengedrongen in een server van [bedrijf] waarop medische gegevens van patiënten van [stichting] stonden, door onbevoegd gebruik te maken van een toegangscertificaat en wachtwoord waarover hij uit hoofde van zijn functie wel kon beschikken, maar die hij voor dit doel niet mocht gebruiken. Vervolgens heeft hij die gegevens overgenomen door ze te downloaden en op zijn privé-USB-stick op te slaan. Daarnaast acht het hof bewezen dat hij in de periode van 2 april 2021 tot en met 22 april 2021 heeft getracht [stichting] door bedreiging met openbaarmaking van die gegevens te dwingen tot afgifte van bitcoins. Het hof verwerpt zowel het verweer dat een derde de apparatuur van verdachte op afstand zou hebben gehackt als het juridische verweer dat geen sprake was van binnendringen met een “valse sleutel”. Uit de combinatie van het afwijkende IP-adres, de Postman-activiteit, de koppeling tussen desktop, Acer-laptop, Lumia-telefoon, Samsung-telefoon en hotspot, het aantreffen van de datasets, het certificaat en wachtwoord, en de op meerdere gegevensdragers gevonden concepten van de dreigberichten leidt het hof af dat de verdachte zelf de dader was. Het onbevoegd gebruiken van certificaat en wachtwoord levert volgens het hof, conform vaste rechtspraak, binnendringen met een vals gebruikte sleutel op. Het bewezenverklaarde kwalificeert het hof als computervredebreuk, terwijl de dader vervolgens gegevens die zijn opgeslagen door middel van het geautomatiseerd werk waarin hij zich wederrechtelijk bevindt, voor zichzelf of een ander overneemt, en als poging tot afdreiging.

Hof Amsterdam 14 april 2026, IEF23484, ECLI:NL:GHAMS:2026:961(X International Unlimited Company tegen [geïntimeerde]). In deze zaak staat de reikwijdte van het inzagerecht van artikel 15 AVG centraal in de context van interne moderatie- en logsysteemgegevens van X (voorheen Twitter). [geïntimeerde], een gebruiker van het platform X, werd in oktober 2023 geconfronteerd met een tijdelijke beperking van zijn account naar aanleiding van een tweet waarin het woord “kinderporno” voorkwam met een link naar een NOS-artikel. Deze beperking bleek achteraf onterecht en werd door X opgeheven zonder dat de verzoeker daarvan op de hoogte werd gesteld. Als reactie hierop heeft de [geïntimeerde] een inzageverzoek ingediend op grond van artikel 15 AVG. Daarbij vroeg hij onder meer om toegang tot interne registraties van het platform, waaronder het systeem dat binnen X bekend staat als [Y] (ook aangeduid als “Guano Notes”), waarin moderatiehandelingen, labels en andere account gerelateerde acties worden vastgelegd. De Rechtbank Amsterdam wees dit verzoek grotendeels toe en verplichtte X tot volledige inzage, op straffe van een doorlopende dwangsom. In hoger beroep lagen echter nog slechts twee geschilpunten voor: de vraag of ook inzage moest worden verleend in de [Y]/Guano Notes en de vraag of de opgelegde dwangsommen moesten worden gemaximeerd dan wel verhoogd. X kwam in dat kader op tegen het vonnis en beriep zich op de bescherming van bedrijfsgeheimen en de rechten en vrijheden van derden als grond om de inzage te beperken. Het gerechtshof stelt voorop dat gegevens die zijn opgenomen in interne systemen zoals [Y], voor zover zij betrekking hebben op handelingen rond het account van de betrokkene, moeten worden aangemerkt als persoonsgegevens in de zin van de AVG. Dit betekent dat zij in beginsel onder het bereik van het inzagerecht vallen. Daarmee sluit het hof aan bij de lijn van het C-487/21 (FF/CRIF), waarin is benadrukt dat het inzagerecht ertoe strekt de betrokkene in staat te stellen de rechtmatigheid van de verwerking daadwerkelijk te controleren. Tegelijkertijd onderkent het hof dat het inzagerecht niet absoluut is. Op grond van artikel 15 lid 4 AVG, gelezen in samenhang met artikel 23 AVG en artikel 41 UAVG, kan de verstrekking van gegevens worden beperkt ter bescherming van onder meer de rechten en vrijheden van anderen, waaronder bedrijfsgeheimen. In dat verband verwijst het hof mede naar de rechtspraak van het C-203/22 (Dun & Bradstreet Austria), waarin is benadrukt dat een dergelijke beperking steeds het resultaat moet zijn van een concrete en zorgvuldige belangenafweging.

Rb. Amsterdam 27 maart 2026, IEF 23465; IT 5201; ECLI:NL:RBAMS:2026:3130 ([eiser] tegen [gedaagde]). De voorzieningenrechter wijst alle vorderingen van een Australische singer-songwriter tegen een Nederlandse fan af. Partijen hebben gedurende ongeveer 2,5 jaar een persoonlijke relatie gehad, die in het najaar van 2025 definitief eindigde. Nadat de artiest op 30 oktober 2025 op Instagram had gereageerd op beschuldigingen van grensoverschrijdend gedrag jegens jonge vrouwelijke fans, plaatste de fan berichten op Instagram, TikTok en YouTube over haar ervaringen. De artiest vorderde in kort geding onder meer een verbod op uitlatingen waarin hij volgens hem werd beschuldigd van verkrachting, mishandeling, seksueel grensoverschrijdend gedrag en een narcistische persoonlijkheidsstoornis, alsmede verwijdering van berichten, een contactverbod, rectificatie en een auteursrechtelijk verbod met betrekking tot niet-uitgebrachte muziek. De voorzieningenrechter stelt voorop dat moet worden afgewogen tussen het recht van de fan op vrijheid van meningsuiting ex art. 10 EVRM en de belangen van de artiest bij bescherming van zijn eer, goede naam en privacy. Alleen als de uitingen onrechtmatig zijn in de zin van art. 6:162 BW, kan die vrijheid worden beperkt. Daarbij geldt dat ook uitingen die beledigen, choqueren of verontrusten onder de bescherming van art. 10 EVRM kunnen vallen.