Privacy  

RvS 10 juni 2026, IT 5372; ECLI:NL:RVS:2026:3333 ([appellant] tegen AP). Een betrokkene dient bij de Autoriteit Persoonsgegevens een klacht in tegen een administratiekantoor, omdat dit volgens hem niet volledig heeft voldaan aan zijn inzageverzoek op grond van artikel 15 AVG. De AP kan op basis van een globaal bureauonderzoek niet vaststellen dat sprake is van een AVG-overtreding. Omdat daarvoor nader onderzoek nodig zou zijn, beoordeelt zij aan de hand van haar Beleidsregels prioritering klachtenonderzoek of zij dat onderzoek zal uitvoeren. De AP besluit daarvan af te zien en wijst de klacht af. De rechtbank oordeelt dat de AP redelijkerwijs mocht uitgaan van de verklaring van het administratiekantoor dat alle opgevraagde stukken waarin persoonsgegevens van de betrokkene waren verwerkt, waren verstrekt. Ook mocht de AP volgens de rechtbank met toepassing van haar prioriteringsbeleid afzien van nader onderzoek.

Rb. Rotterdam 22 mei 2026, IT 5368; ECLI:NL:RBROT:2026:6839 ([eiser] tegen Woonexpress B.V.). Een consument vraagt Woonexpress om inzage in de verwerking van zijn persoonsgegevens. Volgens de consument heeft Woonexpress niet tijdig op dat verzoek gereageerd. Hij vordert onder meer een verklaring voor recht dat Woonexpress in strijd met de AVG heeft gehandeld, volledige inzage op grond van artikel 15 AVG op straffe van een dwangsom en € 1.500 aan immateriële schadevergoeding op grond van artikel 82 AVG. Woonexpress stelt in een incident dat de Nederlandse rechter geen rechtsmacht heeft en dat de rechtbank Zeeland-West-Brabant bevoegd is. De kantonrechter verwerpt dit verweer. Op grond van artikel 79 lid 2 AVG kan een procedure tegen een verwerkingsverantwoordelijke worden ingesteld in de lidstaat waar deze een vestiging heeft of waar de betrokkene woont. Woonexpress heeft vestigingen in Nederland en de consument woont in Nederland. De rechtbank Rotterdam is relatief bevoegd, omdat de consument daar woont en de vorderingen, hoewel zij niet rechtstreeks op de consumentenovereenkomst zijn gebaseerd, daarvan niet los kunnen worden gezien. Woonexpress wordt veroordeeld tot betaling van € 130,50 aan proceskosten in het incident.

Rb. Rotterdam 12 juni 2026, IT 5371; ECLI:NL:RBROT:2026:6799 ([verzoeker 2] tegen BMW). Een vennoot van een vof verzoekt BMW Financial Services om verwijdering van twee negatieve BKR-registraties: een A-code wegens een betalingsachterstand en een code 2 wegens opeising van de vordering. De registraties houden verband met een Operational Lease Agreement tussen de vof en BMW. Nadat betalingsachterstanden waren ontstaan, ontbond BMW de leaseovereenkomst en bleef de eindfactuur onbetaald. In een eerdere procedure waren de vof en haar vennoten hoofdelijk tot betaling veroordeeld en was bepaald dat zij vanaf 23 december 2024 in verzuim verkeerden. BMW wijzigde daarop de ingangsdatum van de A-code naar die datum. Dat de kantonrechter de maandelijkse vergoeding in het eerdere vonnis als “huur” aanduidde, betekent volgens de rechtbank niet dat geen sprake is van krediet. De operational-leaseovereenkomst kwalificeert materieel en juridisch als een zakelijke kredietovereenkomst. BMW moest daarom de overeenkomst en de betalingsonregelmatigheden bij het BKR registreren.

Rb. Amsterdam 9 juni 2026, IT 5367; ECLI:NL:RBAMS:2026:6299 (ICAM tegen de Staat, GGD GHOR en de GGD’en c.s.). Stichting ICAM voert een collectieve actie tegen onder meer de Staat, GGD GHOR en verschillende GGD’en naar aanleiding van het coronadatalek. Vaststaat dat medewerkers van GGD’en toegang hadden tot de systemen CoronIT en HPZone Lite en persoonsgegevens aan derden hebben verstrekt. In een eerder tussenvonnis had de rechtbank de schadevergoedingsvorderingen al niet-ontvankelijk verklaard. Voor personen van wie niet vaststond dat hun gegevens daadwerkelijk in verkeerde handen waren gekomen, was niet gebleken van schade die voor vergoeding in aanmerking kwam. Voor de groep van wie gegevens wel door onbevoegden waren ingezien of verkregen, hadden de meeste betrokkenen een financiële tegemoetkoming geaccepteerd en afstand gedaan van verdere schadeclaims. Voor de beperkte resterende groep had ICAM onvoldoende aannemelijk gemaakt dat zij representatief was. Na intrekking van de vorderingen tot beëindiging van inbreuken en verbetering van de beveiliging resteerden alleen verklaringen voor recht over de verwerkingsverantwoordelijkheid en gestelde schendingen van onder meer de AVG en artikel 6:162 BW.

Rb. Gelderland 16 juli 2026, IEF 23702; IT 5363; ECLI:NL:RBGEL:2026:5730 (CBR tegen [gedaagde]). In dit kort geding wijst de voorzieningenrechter de vorderingen van het CBR tegen [gedaagde] grotendeels toe en verklaart hij verschillende geboden en verboden uitvoerbaar bij lijfsdwang. [Gedaagde] dient voorafgaand aan de mondelinge behandeling stukken in, maar verschijnt niet op de zitting. De voorzieningenrechter verleent daarom verstek en slaat geen acht op de ingediende stukken. Op grond van art. 139 Rv worden vorderingen bij verstek toegewezen, tenzij zij de voorzieningenrechter onrechtmatig of ongegrond voorkomen. Omdat lijfsdwang een ingrijpende maatregel is, motiveert de voorzieningenrechter zijn beslissing uitgebreider dan bij verstek gebruikelijk is. Het CBR maakt voldoende aannemelijk dat [gedaagde] twee eerdere vonnissen uit 2023 niet naleeft, dat de daarin opgelegde dwangsommen niet inbaar zijn en dat hij door gemeenten opgelegde gebiedsverboden niet volledig naleeft. Ook blijft [gedaagde] structureel en veelvuldig examenauto’s volgen en houdt hij zich op bij of in de directe omgeving van CBR-locaties.

Voor de ontwikkeling van generatieve AI zijn grote hoeveelheden data nodig. Veel AI-ontwikkelaars verzamelen die data door middel van webscraping: het geautomatiseerd ophalen van informatie van het openbare internet. Gescrapete bronnen bevatten niet alleen teksten en afbeeldingen, maar vaak ook persoonsgegevens. Tegen die achtergrond heeft de European Data Protection Board (EDPB) richtlijnen vastgesteld. Deze geven een volledig beeld van de AVG-verplichtingen die gelden bij het verzamelen en gebruiken van online data voor het trainen en verfijnen van generatieve AI-modellen. Het betreft een ‘eerste versie’. De richtlijnen staan open voor publieke consultatie en kunnen naar aanleiding daarvan nog worden aangepast.

De richtlijnen beperken zich nadrukkelijk tot webscraping (i) door private partijen en (ii) van bronnen buiten de eigen organisatie. Zij zien zowel op situaties waarin een AI-ontwikkelaar zelf data scrapet of laat scrapen, als op situaties waarin een door een andere partij samengestelde dataset wordt hergebruikt. Dus niet op datahandelaren die datasets samenstellen en beschikbaar stellen, zonder zelf een AI-model te ontwikkelen.

Rb. Gelderland 3 juni 2026, IT 5361; ECLI:NL:RBGEL:2026:5268 ([de eiser] tegen Thuiswinkel). Een betrokkene vordert van Thuiswinkel.org volledige inzage in zijn persoonsgegevens op grond van artikel 15 AVG, op straffe van een dwangsom, en € 500 aan immateriële schadevergoeding, vermeerderd met rente en kosten. Hij stelt dat Thuiswinkel.org ondanks herhaalde verzoeken geen volledige inzage heeft verstrekt en dat hij daardoor onder meer onzekerheid, verlies van controle over zijn persoonsgegevens, stress en machteloosheid ervaart. Thuiswinkel.org voert aan dat de dagvaarding nietig is omdat niet alle voornamen van de eiser zijn vermeld en betwist onder meer zijn identiteit, de positie van zijn gemachtigde en de integriteit van zijn handelen. Ook stelt zij dat de eiser misbruik maakt van zijn inzagerecht en procesrecht. De kantonrechter passeert het beroep op nietigheid in dit stadium, omdat Thuiswinkel.org in de procedure is verschenen en niet aannemelijk is geworden dat zij door het ontbreken van de tweede voornaam onredelijk is benadeeld als bedoeld in artikel 66 Rv. Het griffierecht is weliswaar te laat betaald, maar uit de administratie blijkt dat de factuur naar een onjuist adres was verzonden. Omdat de te late betaling niet aan de eiser is te wijten, wordt Thuiswinkel.org niet op grond van artikel 127a lid 2 Rv van de instantie ontslagen.

Rb. Amsterdam 21 mei 2026, IEF 5360; ECLI:NL:RBAMS:2026:6951 ([verzoeker 1] en [verzoeker 2] tegen Bitvavo). Twee klanten van Bitvavo zijn slachtoffer geworden van helpdeskfraude waarbij gezamenlijk ruim € 2,7 miljoen aan cryptovaluta is buitgemaakt. De fraudeurs beschikten volgens hen over specifieke informatie, waaronder het type hardwarewallet, het actuele cryptotegoed, de soorten cryptovaluta en gegevens over de wijze waarop toegang tot de accounts werd verkregen. Omdat in mei 2024 bij Bitvavo een datalek had plaatsgevonden, vermoeden de slachtoffers dat de gebruikte informatie van Bitvavo afkomstig was en overwegen zij het cryptoplatform aansprakelijk te stellen. Zij verzoeken om een voorlopig getuigenverhoor van de voormalige en huidige head of legal van Bitvavo over onder meer het beleid rond datalekken, toegang tot klantgegevens en logging. Daarnaast verzoeken zij om een voorlopig deskundigenbericht naar de ICT-systemen van Bitvavo, het datalek en de vraag of hun persoonsgegevens daarbij betrokken waren. De rechtbank wijst het voorlopig getuigenverhoor af en wijst ook het deskundigenonderzoek af voor zover dit ziet op een algemeen onderzoek naar de ICT-systemen, het datalek in brede zin en eventuele andere datalekken. Deze verzoeken zijn zeer algemeen geformuleerd, onvoldoende op de verzoekers toegespitst en hun concrete belang daarbij is onvoldoende toegelicht. Zij hebben daarom het karakter van een zoektocht naar mogelijke verwijten, oftewel een ongeoorloofde fishing expedition, en leveren in zoverre misbruik van recht op.

Rb. Noord-Nederland 22 juni 2026, IT 5351; ECLI:NL:RBNNE:2026:2437 (Chipsoft tegen UMCG). Chipsoft verzocht om voorlopige bewijsverrichtingen ter onderbouwing van haar stelling dat de voorgenomen aansluiting van Treant en het Ommelander Ziekenhuis Groningen (OZG) op het Epic-EPD van het UMCG in strijd is met aanbestedingsrechtelijke en mogelijk staatssteunrechtelijke regels. Chipsoft is ontvankelijk, hoewel inmiddels een bodemprocedure liep, omdat zij het verzoek had ingediend voordat die zaak op de rol was ingeschreven. Voor inzage op grond van de artikelen 194 en 196 Rv hoeft de gestelde rechtsbetrekking nog niet vast te staan, maar moeten wel concrete aanknopingspunten voor het mogelijke bestaan daarvan worden gegeven. Die aanknopingspunten zijn er volgens de rechtbank ten aanzien van het UMCG, omdat de overeenkomsten ten tijde van de behandeling nog niet waren aangepast aan de voorwaarden waaronder volgens het gerechtshof geen sprake zou zijn van een wezenlijke wijziging van de in 2015 aanbestede opdracht. Daarmee is niet vastgesteld dat het UMCG onrechtmatig heeft gehandeld, maar heeft Chipsoft voldoende belang bij beperkte inzage. Voor een rechtsbetrekking met OZG en Treant heeft Chipsoft onvoldoende aanknopingspunten aangevoerd: de rechtbank sluit voor OZG aan bij het voorlopige oordeel dat zij geen aanbestedende dienst is en de gestelde betrokkenheid van Treant bij omzeiling van aanbestedings- of staatssteunregels is onvoldoende concreet onderbouwd.

Rb. Den Haag 27 mei 2026, IT 5340; ECLI:NL:RBDHA:2026:15919 ([eisers] tegen [gedaagden]). In deze zaak oordeelt de rechtbank Den Haag over AVG‑inzageverzoeken van elf voormalige spelers van online kansspelen via Unibet. Eisers namen vóór 1 oktober 2021 deel aan online kansspelen via de websites unibet.com en unibet.eu, in een periode waarin het in Nederland nog niet was toegestaan om zonder vergunning online kansspelen aan te bieden. In deze civiele procedure vorderen zij op grond van de AVG – in het bijzonder het inzagerecht op basis van Artikel 15 AVG – dat Kindred Group en Risepoint (voorheen Trannel International Limited) inzage geven in hun persoonsgegevens. Eisers vragen met name om transactiegegevens (stortingen, inzetten, uitbetalingen) en gegevens over de soorten spellen waaraan zij hebben deelgenomen en verlangen dat deze gegevens elektronisch worden verstrekt in een gangbaar bestandsformaat (zoals XLS(X) of CSV) of via een API, op een wijze die hen in staat stelt zowel de juistheid van de gegevens als de rechtmatigheid van de verwerking te controleren. In de dagvaarding wordt daarnaast een beroep gedaan op gegevensoverdraagbaarheid ex Artikel 20 AVG, maar de vorderingen zijn primair gebaseerd op het inzagerecht. Kindred en Risepoint weigeren de gevraagde gegevens te verstrekken. Zij voeren aan dat eisers het inzagerecht gebruiken om informatie te verzamelen voor mogelijke civiele procedures over terugbetaling van gokverliezen en dat daarmee misbruik van recht wordt gemaakt in de zin van Artikel 12 lid 5 AVG. Daarnaast beroepen zij zich op uitzonderingen op het inzagerecht, waaronder Artikel 15 lid 4 AVG en Artikel 23 AVG, mede onder verwijzing naar de Maltese uitvoeringsregeling.