Privacy  

Voor de ontwikkeling van generatieve AI zijn grote hoeveelheden data nodig. Veel AI-ontwikkelaars verzamelen die data door middel van webscraping: het geautomatiseerd ophalen van informatie van het openbare internet. Gescrapete bronnen bevatten niet alleen teksten en afbeeldingen, maar vaak ook persoonsgegevens. Tegen die achtergrond heeft de European Data Protection Board (EDPB) richtlijnen vastgesteld. Deze geven een volledig beeld van de AVG-verplichtingen die gelden bij het verzamelen en gebruiken van online data voor het trainen en verfijnen van generatieve AI-modellen. Het betreft een ‘eerste versie’. De richtlijnen staan open voor publieke consultatie en kunnen naar aanleiding daarvan nog worden aangepast.

De richtlijnen beperken zich nadrukkelijk tot webscraping (i) door private partijen en (ii) van bronnen buiten de eigen organisatie. Zij zien zowel op situaties waarin een AI-ontwikkelaar zelf data scrapet of laat scrapen, als op situaties waarin een door een andere partij samengestelde dataset wordt hergebruikt. Dus niet op datahandelaren die datasets samenstellen en beschikbaar stellen, zonder zelf een AI-model te ontwikkelen.

Rb. Gelderland 3 juni 2026, IT 5361; ECLI:NL:RBGEL:2026:5268 ([de eiser] tegen Thuiswinkel). Een betrokkene vordert van Thuiswinkel.org volledige inzage in zijn persoonsgegevens op grond van artikel 15 AVG, op straffe van een dwangsom, en € 500 aan immateriële schadevergoeding, vermeerderd met rente en kosten. Hij stelt dat Thuiswinkel.org ondanks herhaalde verzoeken geen volledige inzage heeft verstrekt en dat hij daardoor onder meer onzekerheid, verlies van controle over zijn persoonsgegevens, stress en machteloosheid ervaart. Thuiswinkel.org voert aan dat de dagvaarding nietig is omdat niet alle voornamen van de eiser zijn vermeld en betwist onder meer zijn identiteit, de positie van zijn gemachtigde en de integriteit van zijn handelen. Ook stelt zij dat de eiser misbruik maakt van zijn inzagerecht en procesrecht. De kantonrechter passeert het beroep op nietigheid in dit stadium, omdat Thuiswinkel.org in de procedure is verschenen en niet aannemelijk is geworden dat zij door het ontbreken van de tweede voornaam onredelijk is benadeeld als bedoeld in artikel 66 Rv. Het griffierecht is weliswaar te laat betaald, maar uit de administratie blijkt dat de factuur naar een onjuist adres was verzonden. Omdat de te late betaling niet aan de eiser is te wijten, wordt Thuiswinkel.org niet op grond van artikel 127a lid 2 Rv van de instantie ontslagen.

Rb. Amsterdam 21 mei 2026, IEF 5360; ECLI:NL:RBAMS:2026:6951 ([verzoeker 1] en [verzoeker 2] tegen Bitvavo). Twee klanten van Bitvavo zijn slachtoffer geworden van helpdeskfraude waarbij gezamenlijk ruim € 2,7 miljoen aan cryptovaluta is buitgemaakt. De fraudeurs beschikten volgens hen over specifieke informatie, waaronder het type hardwarewallet, het actuele cryptotegoed, de soorten cryptovaluta en gegevens over de wijze waarop toegang tot de accounts werd verkregen. Omdat in mei 2024 bij Bitvavo een datalek had plaatsgevonden, vermoeden de slachtoffers dat de gebruikte informatie van Bitvavo afkomstig was en overwegen zij het cryptoplatform aansprakelijk te stellen. Zij verzoeken om een voorlopig getuigenverhoor van de voormalige en huidige head of legal van Bitvavo over onder meer het beleid rond datalekken, toegang tot klantgegevens en logging. Daarnaast verzoeken zij om een voorlopig deskundigenbericht naar de ICT-systemen van Bitvavo, het datalek en de vraag of hun persoonsgegevens daarbij betrokken waren. De rechtbank wijst het voorlopig getuigenverhoor af en wijst ook het deskundigenonderzoek af voor zover dit ziet op een algemeen onderzoek naar de ICT-systemen, het datalek in brede zin en eventuele andere datalekken. Deze verzoeken zijn zeer algemeen geformuleerd, onvoldoende op de verzoekers toegespitst en hun concrete belang daarbij is onvoldoende toegelicht. Zij hebben daarom het karakter van een zoektocht naar mogelijke verwijten, oftewel een ongeoorloofde fishing expedition, en leveren in zoverre misbruik van recht op.

Rb. Noord-Nederland 22 juni 2026, IT 5351; ECLI:NL:RBNNE:2026:2437 (Chipsoft tegen UMCG). Chipsoft verzocht om voorlopige bewijsverrichtingen ter onderbouwing van haar stelling dat de voorgenomen aansluiting van Treant en het Ommelander Ziekenhuis Groningen (OZG) op het Epic-EPD van het UMCG in strijd is met aanbestedingsrechtelijke en mogelijk staatssteunrechtelijke regels. Chipsoft is ontvankelijk, hoewel inmiddels een bodemprocedure liep, omdat zij het verzoek had ingediend voordat die zaak op de rol was ingeschreven. Voor inzage op grond van de artikelen 194 en 196 Rv hoeft de gestelde rechtsbetrekking nog niet vast te staan, maar moeten wel concrete aanknopingspunten voor het mogelijke bestaan daarvan worden gegeven. Die aanknopingspunten zijn er volgens de rechtbank ten aanzien van het UMCG, omdat de overeenkomsten ten tijde van de behandeling nog niet waren aangepast aan de voorwaarden waaronder volgens het gerechtshof geen sprake zou zijn van een wezenlijke wijziging van de in 2015 aanbestede opdracht. Daarmee is niet vastgesteld dat het UMCG onrechtmatig heeft gehandeld, maar heeft Chipsoft voldoende belang bij beperkte inzage. Voor een rechtsbetrekking met OZG en Treant heeft Chipsoft onvoldoende aanknopingspunten aangevoerd: de rechtbank sluit voor OZG aan bij het voorlopige oordeel dat zij geen aanbestedende dienst is en de gestelde betrokkenheid van Treant bij omzeiling van aanbestedings- of staatssteunregels is onvoldoende concreet onderbouwd.

Rb. Den Haag 27 mei 2026, IT 5340; ECLI:NL:RBDHA:2026:15919 ([eisers] tegen [gedaagden]). In deze zaak oordeelt de rechtbank Den Haag over AVG‑inzageverzoeken van elf voormalige spelers van online kansspelen via Unibet. Eisers namen vóór 1 oktober 2021 deel aan online kansspelen via de websites unibet.com en unibet.eu, in een periode waarin het in Nederland nog niet was toegestaan om zonder vergunning online kansspelen aan te bieden. In deze civiele procedure vorderen zij op grond van de AVG – in het bijzonder het inzagerecht op basis van Artikel 15 AVG – dat Kindred Group en Risepoint (voorheen Trannel International Limited) inzage geven in hun persoonsgegevens. Eisers vragen met name om transactiegegevens (stortingen, inzetten, uitbetalingen) en gegevens over de soorten spellen waaraan zij hebben deelgenomen en verlangen dat deze gegevens elektronisch worden verstrekt in een gangbaar bestandsformaat (zoals XLS(X) of CSV) of via een API, op een wijze die hen in staat stelt zowel de juistheid van de gegevens als de rechtmatigheid van de verwerking te controleren. In de dagvaarding wordt daarnaast een beroep gedaan op gegevensoverdraagbaarheid ex Artikel 20 AVG, maar de vorderingen zijn primair gebaseerd op het inzagerecht. Kindred en Risepoint weigeren de gevraagde gegevens te verstrekken. Zij voeren aan dat eisers het inzagerecht gebruiken om informatie te verzamelen voor mogelijke civiele procedures over terugbetaling van gokverliezen en dat daarmee misbruik van recht wordt gemaakt in de zin van Artikel 12 lid 5 AVG. Daarnaast beroepen zij zich op uitzonderingen op het inzagerecht, waaronder Artikel 15 lid 4 AVG en Artikel 23 AVG, mede onder verwijzing naar de Maltese uitvoeringsregeling.

Rb. Amsterdam 27 mei 2026, IT 5343; ECLI:NL:RBAMS:2026:6440 (SOMI tegen X Corp c.s). In deze zaak tussen belangenorganisatie SOMI (Stichting Onderzoek Marktinformatie) en X Corp c.s. (X Corp, XIUC en Twitter Netherlands) draait het om de ontvankelijkheid van een collectieve actie over onder meer gestelde AVG-schendingen, datalekken, ongeoorloofde microtargeting en schending van verplichtingen uit de Digital Services Act (DSA). SOMI vertegenwoordigt ruim 51.000 deelnemers en zegt op te komen voor ongeveer acht miljoen Nederlandse gebruikers van het X-platform. De rechtbank verklaart zich internationaal en relatief bevoegd, ook ten aanzien van de buitenlandse vennootschappen binnen het X-concern. Volgens X Corp c.s. voldoet SOMI niet aan de ontvankelijkheidseisen van de WAMCA. Ook stellen zij dat verschillende onderdelen van de vorderingen op voorhand geen kans van slagen hebben. De rechtbank volgt die verweren vrijwel niet en wijst ook de verzoeken om de procedure aan te houden af. Alleen over het waarborgvereiste wil de rechtbank meer informatie, in het bijzonder over de financiering van de procedure en de vraag of de zeggenschap daarover daadwerkelijk bij SOMI ligt. De rechtbank kent daarbij veel gewicht toe aan het feit dat SOMI eerder is aangewezen als representatieve organisatie voor grensoverschrijdende collectieve vorderingen. Daarom gaat zij ervan uit dat SOMI aan de eisen voldoet waarop die aanwijzing is gebaseerd, tenzij nieuwe feiten of omstandigheden aanleiding geven daar anders over te oordelen. Volgens de rechtbank hebben X Corp c.s. daarvoor op de meeste punten onvoldoende aangevoerd. Dat geldt ook voor de bezwaren tegen de governance van SOMI. De rechtbank twijfelt niet aan het ontbreken van een winstoogmerk bij de bestuurders, de inspraakmogelijkheden voor deelnemers, de transparantie van de website, de onafhankelijkheid van de financiering of de deskundigheid van het bestuur en de raad van toezicht. Ook het feit dat SOMI gebruikmaakt van diensten van ondernemingen die zijn gelieerd aan haar bestuurder betekent volgens de rechtbank niet dat de belangen van de achterban onvoldoende zijn gewaarborgd. De resterende twijfel gaat vooral over de complexe financieringsstructuur met schenkingen en certificaten en de vraag of SOMI daarin de zeggenschap over de procedure behoudt. Daarom moet SOMI alsnog onderbouwen dat zij over voldoende financiële middelen beschikt en dat de zeggenschap over de procedure daadwerkelijk bij haar ligt. Pas daarna beslist de rechtbank of ook aan het waarborgvereiste van artikel 3:305a BW is voldaan.

HR 12 juni 2026, IT 5331; ECLI:NL:HR:2026:921 ([de kaarthoudster] tegen ICS). In deze zaak tussen [de kaarthoudster] en International Card Services B.V. (ICS) staat de vraag centraal of International Card Services (ICS) de creditcardovereenkomst met [de kaarthoudster] mocht opzeggen nadat zij had geweigerd mee te werken aan een nieuwe online-identificatie op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Voor deze identificatie diende zij een foto van haar identiteitsbewijs en een selfie aan te leveren. [de kaarthoudster] verzette zich tegen deze werkwijze omdat ICS de foto's zou opslaan. Volgens haar is sprake van verwerking van biometrische gegevens en ontbreekt een toereikende wettelijke grondslag voor het bewaren van deze foto's. Het hof oordeelde eerder dat ICS de overeenkomst mocht opzeggen. Volgens het hof was de online-identificatie noodzakelijk om te voldoen aan de verplichtingen uit de Wwft en vormt het enkele opslaan van een foto geen verwerking van biometrische gegevens in de zin van de AVG, omdat daarvoor specifieke technische verwerking nodig is waarmee een persoon uniek kan worden geïdentificeerd of geauthentiseerd. In cassatie ziet de Hoge Raad aanleiding om op meerdere punten prejudiciële vragen aan het Hof van Justitie te stellen. De Hoge Raad stelt voorop dat de zaak draait om de afweging tussen enerzijds de verplichtingen die voortvloeien uit de Europese anti-witwasregelgeving en anderzijds het recht op bescherming van persoonsgegevens en de persoonlijke levenssfeer zoals gewaarborgd door de AVG, het Handvest en het EVRM. Omdat deze afweging in belangrijke mate afhankelijk is van de uitleg van Unierecht, acht de Hoge Raad beantwoording door het Hof van Justitie noodzakelijk. Een eerste vraag betreft de kwalificatie van foto's als biometrische gegevens. De Hoge Raad overweegt dat uit de tekst van artikel 4, onder 14, AVG en overweging 51 van de AVG volgt dat een gewone foto niet zonder meer een biometrisch gegeven vormt. Daarvoor is vereist dat de foto wordt onderworpen aan een specifieke technische verwerking waarmee een persoon uniek kan worden geïdentificeerd of geauthentiseerd. De foto vormt dan de bron waaruit biometrische gegevens kunnen worden afgeleid, maar is niet zonder meer zelf een biometrisch gegeven. De Hoge Raad wijst er echter op dat een recent arrest van het Hof van Justitie aanleiding geeft om hierover alsnog prejudiciële vragen te stellen.

HvJ EU 18 juni 2026, IT 5330; ECLI:EU:C:2026:496 (NTH Haustechnik GmbH tegen EM). In deze zaak tussen NTH Haustechnik GmbH en haar voormalige werknemer EM tussen staat de vraag centraal in hoeverre een nationale rechter in een civiele procedure persoonsgegevens mag verwerken en gebruiken die mogelijk in strijd met de AVG zijn verkregen. De zaak ontstond nadat NTH Haustechnik haar voormalige werknemer aansprakelijk stelde voor de gestelde doorverkoop van bedrijfseigendommen via een privéaccount op eBay. De werkgever baseerde zich daarbij op gegevens die waren verkregen door toegang tot dat privéaccount. Volgens de verwijzende Duitse rechter kon niet worden uitgesloten dat deze gegevens op onrechtmatige wijze waren verzameld. Het Hof van Justitie kreeg daarom onder meer de vraag voorgelegd welke eisen de AVG stelt aan het gebruik van dergelijke persoonsgegevens als bewijsmiddel in een gerechtelijke procedure. Het Hof stelt voorop dat de AVG van toepassing kan zijn op de verwerking van persoonsgegevens door rechters wanneer deze gegevens worden opgenomen in een procesdossier of digitaal worden geraadpleegd, opgeslagen of gebruikt. Dat de beoordeling van de toelaatbaarheid van bewijs in beginsel een kwestie van nationaal procesrecht is, neemt niet weg dat een rechter bij de verwerking van persoonsgegevens de AVG moet naleven. Daarbij wijst het Hof erop dat het begrip "verwerking" ruim is en ook ziet op het toevoegen van stukken aan een dossier en het raadplegen daarvan door de rechter, en dat rechterlijke verwerkingen niet onder de uitzonderingen van artikel 2 AVG vallen. Vervolgens bepaalt het Hof welke rechtsgrond geldt voor de verwerking van persoonsgegevens door de rechter. De verwerking van persoonsgegevens door een rechter in het kader van de bewijsvoering is in beginsel gebaseerd op artikel 6 lid 1 onder c AVG. De rechter verwerkt de gegevens namelijk omdat hij op grond van het nationale procesrecht verplicht is de aangevoerde feiten en het aangeboden bewijs te beoordelen. Daarmee maakt het Hof duidelijk dat niet artikel 6 lid 1 onder e AVG (taak van algemeen belang), maar de wettelijke verplichting van de rechter om over de toelaatbaarheid en waardering van bewijs te beslissen de relevante grondslag vormt. In dat kader wijst het Hof erop dat artikel 6 lid 1 onder f AVG (gerechtvaardigd belang) niet de grondslag is voor deze rechterlijke verwerking; de rechter baseert zich in deze context op artikel 6 lid 1 onder c AVG. Artikel 17 lid 3 onder e AVG vormt daarentegen geen zelfstandige grondslag voor verwerking.

Rb. Amsterdam 11 juni 2026, IT&Recht 5327; ECLI:NL:RBAMS:2026:6091 (Dynamiet tegen Google). In deze zaak tussen Dynamiet en Google (Google Netherlands en Google Ireland) staat de vraag centraal of Dynamiet op grond van artikel 196 Rv inzage kan verkrijgen in gegevens waarover Google beschikt met betrekking tot maatregelen die de zichtbaarheid van haar website in Google Search tussen februari en april 2025 hebben beïnvloed. Dynamiet wil deze informatie gebruiken om haar rechtspositie te bepalen en te beoordelen of aanleiding bestaat een civielrechtelijke procedure tegen Google te starten. De rechtbank wijst het verzoek grotendeels toe. De rechtbank stelt haar internationale bevoegdheid vast op grond van Brussel I-bis en oordeelt dat Nederlands recht van toepassing is. Dynamiet exploiteert een website waarop consumenten informatie kunnen vinden over het terugvorderen van verliezen bij aanbieders van online kansspelen en verleent daarnaast juridische dienstverlening aan consumenten die dergelijke vorderingen willen instellen. Volgens Dynamiet is de vindbaarheid van haar website en een aantal specifieke webpagina's begin 2025 aanzienlijk afgenomen. Nadat een eerder kort geding waarin herstel van de zichtbaarheid werd gevorderd was afgewezen, verzocht Dynamiet Google om gegevens te verstrekken over eventuele technische of inhoudelijke maatregelen die de ranking, filtering, blokkering of verwijdering van haar webpagina's uit de zoekresultaten hadden beïnvloed. Google liet weten geen nadere informatie te verstrekken, voor zover zij daartoe al gehouden zou zijn. Dynamiet verzoekt vervolgens de rechtbank Google te bevelen inzage te geven in gegevens over de betrokken URL's en zoektermen, waaronder informatie over eventuele delisting, demotion, filtering of blokkering, de redenen en triggers voor dergelijke maatregelen, de vraag of deze handmatig of algoritmisch zijn toegepast, de duur daarvan en de interne communicatie, logbestanden en technische documentatie waarin deze maatregelen zijn vastgelegd. Daarnaast vraagt zij dat de gegevens in een digitaal en doorzoekbaar formaat worden verstrekt, voorzien van een leesbare toelichting op de logbestanden, en dat aan niet-nakoming een dwangsom wordt verbonden. Google verschijnt niet in de procedure en reageert evenmin op het verzoek van de rechtbank om zich uit te laten over een mondelinge behandeling.

Rb. Amsterdam 27 november 2025, IEF 23655; IT 5326; ECLI:NL:RBAMS:2025:9184 ([eiser] tegen De Telegraaf). In deze zaak tussen [eiser] en De Telegraaf staat de vraag centraal of De Telegraaf onrechtmatig heeft gehandeld door in een online artikel een citaat op te nemen waarin een derde [eiser] in verband brengt met een grote brand bij een pluimveebedrijf. [eiser], een dierenrechtenactivist die bekendstaat als de "[alias 1]", vordert – onder meer op straffe van een dwangsom – verwijdering van de passage en plaatsing van een rectificatie. Aanvankelijk was ook Mediahuis Nederland B.V. als gedaagde partij betrokken, maar de vordering tegen Mediahuis is ter zitting ingetrokken, zodat alleen de online publicatie op de website van De Telegraaf aan de orde is. De voorzieningenrechter wijst alle vorderingen af. De publicatie is niet onrechtmatig in de zin van artikel 6:162 BW, omdat De Telegraaf de uitlating slechts als boodschapper heeft weergegeven en voldoende journalistieke zorgvuldigheid heeft betracht. De voorzieningenrechter verklaart de proceskostenveroordeling uitvoerbaar bij voorraad. De gewraakte passage maakt deel uit van een artikel over de arrestatie van een activist die had gedreigd met brandstichting bij het kantoor van BBB. In dat artikel staat dat volgens deze activist een cel van het Animal Liberation Front onder leiding van [eiser] verantwoordelijk zou zijn voor een eerdere miljoenenbrand bij een pluimveebedrijf. Nadat [eiser] De Telegraaf had verzocht de passage te rectificeren, voegde de krant een reactie van hem aan het artikel toe waarin hij iedere betrokkenheid bij de brand en iedere band met de betreffende bron ontkent. De passage zelf werd niet verwijderd. De procedure bestond uit een kort geding met mondelinge behandeling op 24 november 2025, waarin [eiser] na debat zijn vordering tegen Mediahuis Nederland B.V. introk en uitsluitend de online publicatie op de website van De Telegraaf van [datum 1] 2025 aan de orde stelde. De voorzieningenrechter stelt voorop dat toewijzing van de gevorderde maatregelen een beperking zou vormen van de vrijheid van meningsuiting als bedoeld in artikel 10 EVRM en dat die beperking alleen gerechtvaardigd kan zijn indien sprake is van onrechtmatigheid in de zin van artikel 6:162 BW. Daarom moet een afweging plaatsvinden tussen enerzijds het belang van De Telegraaf om verslag te doen van nieuwswaardige gebeurtenissen en anderzijds het belang van [eiser] om niet lichtvaardig te worden blootgesteld aan beschuldigingen die zijn eer en goede naam aantasten.