Privacy  

HvJ EU 12 september 2024, IT 4621; ECLI:EU:C:2024:738 (HTB tegen Müller en Ökorenta). In deze uitspraak beantwoordt het Europese Hof een aantal door de Duitse rechter ingediende prejudiciële vragen. De vragen vloeien voort uit de zaak tussen HTB enerzijds en Müller en Ökorenta anderzijds. HTB en Ökorenta zijn beleggingsvennootschappen die elk via een fiduciaire vennootschap een indirecte deelneming in beleggingsfondsen bezitten. Deze beleggingsfondsen worden georganiseerd in de vorm van een commanditaire vennootschap. De Duitse rechter vraagt zich af of de AVG zo moet worden uitgelegd dat, op verzoek van een vennoot van een beleggingsfonds, de persoonsgegevens van alle vennoten met indirecte deelnemingen in dat fonds openbaar moeten worden gemaakt. Naar Duits recht is dit wel gebruikelijk, maar de Duitse rechter heeft er twijfels over of de Duitse rechtspraak verenigbaar is met artikel 6 van de AVG.

Rb. Den Haag 9 september, IT 4620; ECLI:NL:RBDHA:2024:14477 (Verzoeker tegen Bunq B.V.). Verzoeker is klant van Bunq. Bunq heeft de bankrekeningen van verzoeker geblokkeerd, omdat hij niet heeft gereageerd op het herhaaldelijke verzoek om bepaalde documenten toe te sturen. Verzoeker verstrekt de documenten daarna alsnog en de blokkade wordt opgeheven. Verzoeker vraagt Bunq vervolgens om inzage in alle van hem verwerkte gegevens, onder andere met betrekking tot de blokkering van zijn rekeningen. Bunq doet als verzocht, maar verzoeker stelt dat er gegevens ontbreken. Verzoeker stapt naar de rechter. In de tussentijd heeft Bunq aanvullende gegevens verstrekt die Bunq in relatie tot verzoeker heeft verwerkt. Desondanks vraagt verzoeker aan de rechtbank om Bunq op te dragen hem volledige inzage te verschaffen in zijn persoonsgegevens, inclusief de gegevens die zijn verwerkt als onderdeel van het besluitvormingsproces rondom de blokkade en de opheffing daarvan. Verzoeker legt daaraan ten grondslag dat Bunq onzorgvuldig te werk is gegaan, onder andere door het gebruik van geautomatiseerde besluitvorming. Bunq stelt daarentegen dat zij voldoende tegemoet is gekomen aan het inzageverzoek en dat er geen sprake is geweest van geautomatiseerde besluitvorming.

Rb. Rotterdam 21 augustus 2024, IT 4619; ECLI:NL:RBROT:2024:8250 (Verzoekster tegen Veilig Thuis). Verzoekster heeft een dochter voor wie zij een omgangsregeling heeft afgesproken met haar (voormalige) partner, de vader van haar dochter. Op 18 oktober 2022 heeft verzoekster een melding gedaan bij Veilig Thuis, omdat zij zich zorgen maakte over de veiligheid van haar dochter wanneer zij bij haar vader verbleef. Naar aanleiding van deze melding heeft Veilig Thuis één dossier voor het hele gezin aangemaakt (inmiddels zijn dit drie dossiers). Later zijn er verschillende andere meldingen gemaakt, zowel door verzoekster, als door haar partner en de politie. Er zijn daarbij veel contactmomenten geweest. Op 12 december 2023 heeft Veilig Thuis een melding gedaan bij het Jeugdbeschermingsplein en naar aanleiding daarvan is een onderzoek gestart. Verzoekster heeft Veilig Thuis vervolgens verzocht om een van de dossiers over haar gezin volledig te laten verwijderen, maar Veilig Thuis heeft dit verzoek afgewezen, met name uit anticipatie op een mogelijke situatie van kindermishandeling. Verzoekster stapt naar de rechtbank en verzoekt daar hetzelfde, inclusief met betrekking tot een tweede dossier. Subsidiair verzoekt zij dat Veilig Thuis wordt bevolen om specifiek haar persoonsgegevens uit de twee dossiers te verwijderen.

Hof Arnhem-Leeuwarden 26 augustus 2024, IT 4615; ECLI:NL:GHARL:2024:5384 (Verzoeker tegen Stichting Sint Antonius Ziekenhuis). Verzoeker in deze zaak is de vader van een meisje dat tijdelijk opgenomen is geweest in het Antonius Ziekenhuis (hierna Antonius), omdat zij te vroeg was geboren. Zijn dochter is daar bovendien een aantal jaar in behandeling geweest. Bij de eerste tijdelijke opname was een maatschappelijk werker betrokken in wie verzoeker zijn vertrouwen later heeft opgezegd. In de jaren daarna heeft verzoeker diverse klachten geuit richting Antonius. Ondanks een mediationtraject dat partijen samen hebben gevolgd, zijn partijen niet tot een oplossing gekomen. Verzoeker is vervolgens naar de rechtbank gestapt, waar hij heeft verzocht dat Antonius wordt verplicht om inzage te verlenen in de complete dossiers van zijn dochter, inclusief alle contactmomenten, correspondentie en verslagleggingen. Daarnaast heeft hij toegang gevorderd tot alle persoonsgegevens van zijn dochter, de logoverzichten betreffende de dossiers van zijn dochter en de registratiegegevens van de betrokken zorgverleners. De rechtbank heeft alle verzoeken afgewezen. Verzoeker gaat daartegen in hoger beroep.

AP 22 juli 2024, IT 4611 (Autoriteit Persoonsgegevens tegen Uber). De Autoriteit Persoonsgegevens (hierna: AP) legt Uber een boete op van 290 miljoen euro. Het bedrijf heeft namelijk twee jaar lang persoonsgegevens van EU-taxichauffeurs doorgegeven aan de Verenigde Staten (hierna: VS) zonder daarbij aan de AVG te voldoen. Het gaat onder andere om locatiegegevens, foto’s, betaalgegevens, ID's en in sommige gevallen zelfs strafrechtelijke en medische gegevens. Aangezien de VS het door de AVG vereiste beveiligingsniveau voor persoonsgegevens niet waarborgen, is het aan Uber om passende maatregelen te treffen wanneer zij persoonsgegevens naar de VS verzendt. Deze maatregelen moeten ervoor zorgen dat het door de AVG gewaarborgde beveiligingsniveau alsnog wordt behaald. De AP constateert dat Uber tussen augustus 2021 en eind 2023 geen passende maatregelen heeft getroffen, ondanks het feit dat zij persoonsgegevens naar de VS heeft verzonden. Hiervoor krijgt Uber een boete opgelegd van iets minder dan één procent over haar jaaromzet (zo'n 34,5 miljard euro). Dit komt uit op de hoogste boete die de AP ooit heeft opgelegd. Uber laat in een persverklaring weten dat zij in beroep gaat tegen de boete, desnoods bij de rechter. Volgens haar bestond er in de genoemde periode onduidelijkheid over de privacyregels en heeft zij naar beste weten en kunnen gehandeld.

Vzr. Rb. Rotterdam 6 augustus 2024, IT 4606; ECLI:NL:RBROT:2024:7481 (Stedin tegen gedaagde). Gedaagde is een voormalig medewerker van Stedin. Zijn contract werd niet verlengd nadat er klachten waren binnengekomen over agressief en bedreigend gedrag. Deze gebeurtenis leidde ertoe dat gedaagde zijn oude teamleider een Whatsappbericht stuurt met daarin 40 onderwerpen die naar buiten zullen komen wanneer ze “er samen niet uit zouden komen”. Waar ze precies uit moeten komen, wordt niet duidelijk. Gedaagde gaat echter verder en publiceert op zijn website artikelen die inhoudelijk betrekking hebben op zijn werk en de slechte werkomgeving. Het gaat hierbij onder andere over fraude, ongepast gedrag jegens gedaagde en andere ernstige beschuldigingen. Stedin vordert in reactie hierop een gebod tot verwijdering van al dit soort artikelen en de plaatsing van een rectificatie.

Rb. Amsterdam 4 juli 2024, IT 4602; ECLI:NL:RBAMS:2024:4019 (Verzoeker tegen Twitter). 

Het Twitter-account van verzoeker is opgeschort nadat hij een tweet plaatste waarin het woord kinderporno stond. Dit bericht ging over de Europese plannen tegen kinderporno en linkte naar een artikel van de NOS. Hier kwam verzoeker pas achter nadat andere gebruikers hem niet meer konden vinden. Daarom heeft verzoeker een inzageverzoek in de zin van artikel 15 AVG ingediend bij Twitter, om er zo achter te komen waarom deze beperking opgelegd was. Dit verzoek bevatte specifieke punten waar verzoeker informatie over wilde. Hier is door Twitter niet op ingegaan. Wel is de beperking opgeheven. Verzoeker verzoekt de rechtbank om Twitter te bevelen alsnog inhoudelijk te reageren op het inzageverzoek, omdat hier tot nu toe nog niet aan voldaan is. Het gaat hierbij om inzage in geautomatiseerde besluiten, de logica daarachter, het belang daarbij en de verwachte gevolgen.

Rb. Midden-Nederland 26 juni 2024, IT 4599;  ECLI:NL:RBMNE:2024:4225 (Eiser tegen Rabobank). Eiser heeft als zzp’er via een overeenkomst van opdracht voor Rabobank gewerkt. Voor het sluiten van die overeenkomst is eiser gevraagd om haar nevenfuncties op te geven. Niet alleen heeft zij dit niet gedaan, maar bovendien heeft zij na aanvang van haar werkzaamheden meermaals schriftelijk in strijd met de waarheid verklaard dat zij geen nevenfuncties had. Rabobank zag zich hierdoor genoodzaakt om de overeenkomst met eiser te beëindigen en de gegevens van eiser voor de duur van twee jaar laten registreren in het Incidentenregister en het Extern Verwijzingsregister (EVR), alsmede voor de duur van acht jaar in het Intern Verwijzingsregister (IVR). Eiser vordert in kort geding dat Rabobank deze registraties verwijdert omdat die volgens haar onrechtmatig en disproportioneel zijn.

Rb. Amsterdam 17 juli 2024, IT 4600 ; ECLI:NL:RBAMS:2024:4264 (Stichting ICAM tegen de Staat en de GGD). Deze WAMCA-zaak betreft een massaschadeclaim van Stichting ICAM (hierna: ICAM) jegens de Staat en de GGD (hierna: gedaagden). Dit in verband met het coronadatalek: gedurende de coronapandemie zijn er medewerkers van de GGD geweest die de persoonsgegevens van personen die zich hebben laten testen en/of vaccineren ter beschikking hebben gesteld van ongeautoriseerde derden. In dat kader vordert ICAM onder meer dat gedaagden worden veroordeeld tot het betalen van schadevergoeding aan iedereen die gegevens aan de GGD heeft verstrekt, waaronder de mensen van wie niet vast staat dat hun persoonsgegevens aan derden zijn verstrekt. Het gaat om ruim 6,5 miljoen mensen. ICAM maakt voor de schadevergoeding onderscheid tussen categorie A en B, waarbij categorie A alle bij de GGD geregistreerde personen omvat en categorie B diegenen waarvan zeker is dat hun data is gelekt. Ter onderbouwing voert ICAM aan dat, hoewel tijdens de pandemie bijzonder snel moest worden opgeschaald, gedaagden desondanks beter paraat hadden moeten staan en sneller hadden moeten handelen om het datalek te voorkomen.

Hof 30 april 2024, IT 4597; ECLI:NL:GHAMS:2024:1165 (Appellant tegen ICS). Aanleiding tot dit geschil is het feit dat International Card Services B.V. (hierna: ICS), een dochtervennootschap van ABN AMRO Bank N.V., de creditcard van appellant, haar (zakelijke) klant, beoogt te blokkeren. Dit omdat appellant zich niet wil identificeren op de door ICS verzochte wijze. Appellant heeft aangegeven het niet eens te zijn met de wijze van identificatie, gezien de manier waarop zijn gegevens daarbij worden verwerkt. Volgens appellant is identificatie middels een gewaarmerkte kopie van zijn identiteitsbewijs voldoende; volgens ICS volstaat enkel een foto van het originele identiteitsbewijs, bij voorkeur ingediend via de digitale app van ICS. Bij verstekvonnis is appellant in het gelijk gesteld door de rechtbank, maar na verzet van ICS heeft de rechtbank dit vonnis vernietigd en de vorderingen van appellant afgewezen. Appellant gaat daartegen in hoger beroep bij het hof. Kort gezegd voert appellant aan dat ICS hem nooit had mogen verplichten tot de door ICS gehanteerde identificatie- en verificatieprocedure, gelet op de Wwft en de AVG.