Privacy  

Rb. Den Haag 31 mei 2024, IT4666; ECLI:NL:RBDHA:2024:17249 (eiseres tegen de AP) De AP heeft eiseres een boete opgelegd omdat zij de AVG heeft overtreden. De AP wilde het handhavingsbesluit, inclusief het boetebedrag, openbaar maken aan de twee klagers die de zaak bij de AP hadden aangekaart. Eiseres vordert de voorzieningenrechter de AP te gebieden het boetebedrag onleesbaar te maken. De voorzieningenrechter oordeelt dat de klagers weliswaar als belanghebbenden moesten worden gezien, maar dat dit niet betekent dat ze het volledige handhavingsbesluit, inclusief het boetebedrag, mochten inzien. Het belang om de hoogte van de boete geheim te houden weegt zwaarder dan het belang van de klagers om de hoogte te weten. De rechter baseert de beslissing op het feit dat de boete aanzienlijk hoog was en openbaarmaking ervan de reputatie en bedrijfsvoering van het bedrijf kan schaden. De AP moet het boetebedrag en de berekening daarvan onleesbaar te maken voor de klagers. 

HvJ EU 4 oktober 2024, IT 4658; ECLI:EU:C:2024:854 (Patērētāju tiesību aizsardzības centrs) In Letland heeft een journalist een zaak aangespannen tegen de autoriteit PTAC vanwege een video die zonder zijn toestemming werd verspreid en zijn imago beschadigde, waarbij hij compensatie voor immateriële schade eiste. De zaak is voorgelegd aan het Hof van Justitie van de EU om verduidelijking te krijgen over art. 82 AVG. Het Hof benadrukt dat een inbreuk op de AVG op zichzelf niet voldoende is om te kunnen spreken van schade in de zin van art. 82 AVG, zie [IT 4477]. Verder oordeelt het Hof dat het aanbieden van excuses een passende vergoeding voor immateriële schade in de zin van art. 82 AVG kan vormen, met name wanneer het onmogelijk is om de toestand te herstellen, mits de geleden schade op die manier volledig wordt vergoed. Tot slot mag met betrekking tot de hoogte van de te vergoeden schade op grond van art. 82 AVG, alleen rekening worden gehouden met de daadwerkelijk geleden schade. Er mag dus geen rekening worden gehouden met de houding en beweegredenen van de verwerkingsverantwoordelijke om de betrokkene een lagere vergoeding toe te kennen dan de schade die hij daadwerkelijk heeft geleden.

HvJ EU 4 oktober 2024, IT 4653; ECLI:EU:C:2024:834 (Schrems/Meta) Het Hof van Justitie van de Europese Unie heeft zich in een zaak over de verwerking van persoonsgegevens door Meta uitgelaten over de interpretatie van artikel 5 lid 1 onder c en artikel 9 lid 2 onder e AVG. Maximillian Schrems maakte bezwaar tegen de manier waarop Meta zijn gegevens verzamelde en gebruikte voor gepersonaliseerde reclame. Het Hof benadrukt dat het beginsel van minimale gegevensverwerking een uitdrukking is van het evenredigheidsbeginsel. In de zaak van Schrems verzamelde Meta een grote hoeveelheid persoonsgegevens over zijn activiteiten op en buiten Facebook, zonder onderscheid naar de aard van die gegevens en zonder tijdslimiet. Het Hof oordeelde dat deze omvangrijke en ingrijpende verwerking van gegevens in strijd is met het beginsel van minimale gegevensverwerking. De inmenging in de grondrechten van Schrems, met name zijn recht op privacy en gegevensbescherming, was onevenredig in verhouding tot het doel van gepersonaliseerde reclame.

Rb. Midden-Nederland 9 oktober 2024, IT 4647; ECLI:NL:RBMNE:2024:5787 (De Waarden c.s. tegen Google en KvK). De aanleiding van betreffende zaak was de verspreiding van een anoniem document via een Gmail-account, waarin de eisers werden beschuldigd van ernstige misstanden, waaronder machtsmisbruik, belangenverstrengeling, corruptie, en zelfs fraude met subsidies. Dit document bevatte bovendien privégegevens van betrokkenen en hun families en werd breed verspreid binnen de kraamzorgbranche, de media, en de politiek. De Waarden c.s. zagen dit als een ernstige aantasting van hun reputatie en wilden de identiteit achterhalen van de persoon of personen die verantwoordelijk waren voor deze verspreiding. Hun verzoek begon bij Google, van wie zij eisten informatie over de eigenaar van het anonieme Gmail-account te verstrekken. Google gaf echter aan dat de gebruiker het account kort na de verspreiding van het document had verwijderd, waarna het technisch onmogelijk bleek om de gegevens te herstellen. Google ondersteunde deze stelling met documentatie, en de rechter achtte deze informatie overtuigend. Omdat Google geen gegevens meer bezat, wees de rechtbank de vordering tegen Google af. De aandacht van de eisers richtte zich daarna op de KvK. Het anonieme document bevatte namelijk KvK-uittreksels waarop tijdstippen waren zichtbaar gebleven, wat de KvK in staat stelde om het verzoeker-account te traceren. De KvK ontdekte dat de uittreksels waren opgevraagd door een groot, anoniem bedrijf. Hoewel de eisers toegang wilden tot de naam van dit bedrijf om zo mogelijk de identiteit van de anonieme verspreider te achterhalen, weigerde de KvK mee te werken, met als reden dat zij geen internetdienstaanbieder waren zoals in de bekende Lycos/Pessers-zaak, en dus niet verplicht waren gegevens te verstrekken.

HvJ EU 4 oktober 2024, IT 4642; ECLI:EU:C:2024:846 (Lindenapotheke). In deze zaak vroeg een Duitse apotheker zijn concurrent, de eigenaar van de online verkopende apotheek “Lindenapotheke”, om het verkopen van apotheekgeneesmiddelen te staken, zolang klanten geen voorafgaande toestemming voor gegevensverwerking gaven. Volgens de concurrent vormde het gebrek aan toestemming een schending van de AVG en een verboden oneerlijke handelspraktijk onder Duitse wetgeving. De Duitse rechter stelde vragen aan het HvJ EU over de toelaatbaarheid van een rechtsvordering door een concurrent in AVG-zaken, en of de klantinformatie bij de online aankoop van apotheekgeneesmiddelen als gezondheidsgegevens onder de AVG valt. Het Hof oordeelt dat de AVG het niet uitsluit dat concurrenten rechtsvorderingen instellen voor schendingen van de AVG op basis van nationale wetgeving inzake oneerlijke handelspraktijken. Het Hof benadrukte dat deze mogelijkheid naast de handhavingsbevoegdheden van toezichthouders en het recht van betrokkenen op schadevergoeding bestaat, en bijdraagt aan een hoog beschermingsniveau van persoonsgegevens. Verder oordeelt het Hof dat informatie die klanten invoeren bij het bestellen van geneesmiddelen online – zoals namen en adresgegevens – gezondheidsgegevens betreft, omdat deze gegevens inzicht kunnen geven in iemands gezondheidstoestand. Hierdoor moet de verkoper duidelijk en volledig informeren over de gegevensverwerking en expliciete toestemming van de klant vragen, ongeacht of een medisch voorschrift vereist is.

HvJ EU 4 oktober 2024, IT 4640; ECLI:EU:C:2024:857 (KNLTB tegen Autoriteit Persoonsgegevens) KNLTB verkocht persoonsgegevens van haar leden aan sponsoren voor marketingdoeleinden, zonder toestemming van de leden. Dit had als doel het werven van meer sponsoren, een commercieel belang. De AP legde de KNLTB hiervoor een boete op, waartegen de KNLTB in beroep ging bij de rechtbank. De KNLTB beriep zich op een gerechtvaardigd belang onder de AVG om de verkoop van de persoonsgegevens te rechtvaardigen. De rechtbank stelde hierover prejudiciële vragen aan het Hof van Justitie.

Hof Arnhem-Leeuwarden 21 oktober 2024, IT 4714; ECLI:NL:GHARL:2024:6463 (appellant tegen Profile Tyrecenter) Appellant heeft zijn werkgever, Profile Tyrecenter, beschuldigd van ernstig verwijtbaar handelen nadat hij langdurig arbeidsongeschikt was geraakt. Profile Tyrecenter had een recherchebureau ingeschakeld om appellant te observeren op basis van geruchten dat hij tijdens zijn ziekte werkte, wat leidde tot een ernstige inbreuk op zijn privacy. De bedrijfsarts constateerde dat de arbeidsongeschiktheid van appellant deels werkgerelateerd was en verergerde door het onderzoek. Het hof oordeelt dat Profile Tyrecenter ernstig verwijtbaar heeft gehandeld door een recherchebureau in te schakelen zonder concrete serieuze verdenkingen tegen appellant. Dit onderzoek leidde tot een ernstige inbreuk op de privacy van appellant en verergerde zijn arbeidsongeschiktheid. Het hof kent appellant een billijke vergoeding van € 17.000,- toe vanwege het ernstig verwijtbare handelen van de werkgever.

Hof 's-Hertogenbosch 15 augustus 2024, IT 4630; ECLI:NL:GHSHE:2024:2602 (Appellante tegen de Stichting). Zaak betreffende een inzageverzoek op grond van artikel 15 AVG. In eerste aanleg verzoekt appellante, een huurder, de woningstichting (hierna: de Stichting) om een overzicht van de persoonsgegevens die zij van hem heeft verwerkt. In eerste aanleg werd dit verzoek al afgewezen. De Stichting heeft gemotiveerd betwist dat zij meer of andere gegevens heeft verwerkt dan hetgeen in het verstrekte verwerkingsoverzicht staat. Zij geeft zelfs aan dat ze meer gegevens dan nodig heeft verstrekt om verzoeker tegemoet te komen. Het verzoek werd daarmee afgewezen. Ook in hoger beroep wordt het verzoek van appellante afgewezen. Het overzicht voldoet, behalve enkele vermeldingen, aan hetgeen dat appellant mocht verwachten. 

HvJEU 26 september 2024, IT 4626; C-768/21 (Land Hessen). Het Europese Hof van Justitie heeft zich uitgesproken over een Duitse zaak met betrekking tot een AVG-schending. Eiseres in die zaak had gevorderd dat de AVG-toezichthouder in Duitsland een boete zou opleggen aan haar bank. Zij was er namelijk achter gekomen dat een bankmedewerker haar data meermaals had ingezien zonder toestemming. Aangezien de bank al maatregelen had genomen jegens de medewerker, achtte de toezichthouder het in dit geval niet nodig om verdere actie te ondernemen. De Duitse rechter wendt zich tot het Europese Hof met de vraag of een dergelijke beslissing van de toezichthouder is toegestaan. Het Europese Hof antwoordt daarop bevestigend: AVG-toezichthouders zijn niet verplicht hun bevoegdheden te gebruiken voor zover dat niet noodzakelijk is om de AVG te waarborgen. In een geval als de onderhavige, waarin de gegevensverwerker zelf al maatregelen heeft getroffen om de schending te verhelpen nadat zij hiervan op de hoogte is gesteld, kan de toezichthouder besluiten af te zien van verdere stappen. Het is daarbij aan de nationale rechter om te bepalen of de toezichthouder (in het algemeen) een voldoende consistent en hoog niveau van bescherming van persoonsgegevens waarborgt.

Rb. Rotterdam 16 december 2022, IT 4623; ECLI:NL:RBROT:2022:11808 (Eiseres tegen het college van burgemeester en wethouders van Rotterdam). Eiseres bevindt zich in een re-integratietraject bij het college van burgemeester en wethouders van Rotterdam. Zij verzoekt het college om inzage in of afschriften van documenten uit haar re-integratiedossier, voor zover die gaan over monitoring, logging, controle en opsporing. Het college geeft gehoor en verstrekt een aantal documenten aan eiseres. Het college meent volledig aan het inzageverzoek tegemoet te zijn gekomen, maar eiseres is het daar niet mee eens. Ook botsen partijen over het verzoek van eiseres tot rectificatie van haar persoonsgegevens. Volgens het college zijn de onjuistheden waar eiseres op doelt niet vatbaar voor het rectificatierecht: het gaat om professionele indrukken, meningen en conclusies. Het college wijst de verzoeken van eiseres af; het inzageverzoek voor zover hij daar niet aan kan voldoen. Dit zowel in eerste aanleg als na bezwaar van eiseres. Eiseres stapt naar de rechter.