Privacy  

Brief aan de Voorzitter van de Tweede Kamer der Staten-Generaal, Kamerstukken II 2013-2014, 26 643, nr. 313.
Mede namens de Minister van Veiligheid en Justitie bied ik u hierbij het rapport «Meting dataretentie 2013» aan (ter inzage gelegd bij het Centraal Informatiepunt Tweede Kamer). Het rapport van Agentschap Telecom, de toezichthouder voor dataretentie, over de naleving van de Wet bewaarplicht telecommunicatiegegevens is u toegezegd tijdens het vragenuur op 15 oktober 2013.

Door het uitvoeren van de «Meting dataretentie 2013» is inzicht ontstaan in de mate van naleving. De meting is uitgevoerd bij 525 kleine en middelgrote aanbieders. De zes grotere aanbieders3 zijn niet bij de meting betrokken. Agentschap Telecom controleert deze aanbieders periodiek en op individuele basis. Uit deze controles blijkt dat zij voldoen aan de wettelijke voorschriften op het gebied van bewaren van gegevens en privacy van hun klanten.

Het inspectieonderzoek van Agentschap Telecommunicatie onder de kleinere aanbieders heeft betrekking op bijna 10% van het totaal aan telefoon- en internetklanten. Het aantal bevragingen van opsporingsdiensten bij deze kleinere partijen is relatief beperkt en omvat ca 2% van het totaal aantal bevragingen4.

De «Meting dataretentie 2013» richt zich op twee aspecten uit de Telecommunicatiewet. Naast het bewaren van de Naam, Adres en Woonplaats (NAW) gegevens en verkeers- en locatiegegevens in het kader van de bewaarplicht, is ook de naleving van de bepalingen voor het gebruik van NAW- en verkeers- en locatiegegevens voor bedrijfsdoeleinden onderzocht.

Eerder, in antwoord op vragen van uw Kamer op 15 oktober 2013 over de eerste meting uit 2012, heb ik aangegeven dat nieuwe wetgeving een periode van gewenning kent voor de aanbieders. Deze periode is in beginsel verstreken na de tweede meting. De uitkomst van deze meting is voor de toezichthouder aanleiding om de aanbieders gericht te bezoeken en waar nodig te sanctioneren.

Het beperkte marktaandeel van de 525 aanbieders uit dit onderzoek laat onverlet dat ook deze groep van kleinere telecomaanbieders zorgvuldig dient om te gaan met de NAW- en verkeers- en locatiegegevens. Handhaving en toezicht is, zoals toegelicht in het onderhavige rapport, risicogericht opgezet. Agentschap Telecom zal op basis hiervan de komende toezichtperiode prioriteit leggen bij:

1) De vernietiging van de NAW- en verkeers- en locatiegegevens
De meting laat zien dat een aantal aanbieders, namelijk 73 van de 525 bedrijven, niet of niet volledig voldoet aan het tijdig vernietigen van deze gegevens. Het is overigens niet gezegd dat alle 73 bedrijven in overtreding zijn. Sommige bedrijven hebben opgemerkt gegevens langer te moeten bewaren voor bedrijfsdoeleinden, zoals bijvoorbeeld in het geval er met een klant discussie is over de factuur en mate van gebruik van telecomdiensten.

2) Naleving van de privacyvereisten
De meting laat zien dat een kwart van de onderzochte 525 aanbieders verkeersgegevens voor bedrijfsdoeleinden gebruikt. Om de verkeersgegevens voor bedrijfsdoeleinden te mogen gebruiken dienen de aanbieders te voldoen aan de wettelijke privacyvereisten uit de Telecommunicatiewet. 48 Bedrijven voldoen hier niet of niet volledig aan. Ten opzichte van de eerdere meting is de naleving daarmee ongeveer op hetzelfde niveau gebleven.

Het agentschap zal de komende toezichtperiode inzetten op een verbetering in de naleving van deze verplichtingen en is daarbij bevoegd boetes op te leggen oplopend tot € 450.000,– per overtreding.

Uitspraak Europese Hof van Justitie
De aanbieding van het rapport van Agentschap Telecom komt kort na de uitspraak van het Europese Hof van Justitie van 8 april 2014, waarbij de richtlijn5 dataretentie ongeldig werd verklaard. Het Hof is van oordeel dat de richtlijn een onevenredige inmenging op de eerbiediging van het privéleven en bescherming van persoonsgegevens vormt.

De Staatssecretaris van Veiligheid en Justitie heeft aangegeven dat de nationale regelgeving van kracht blijft en heeft toegezegd de Tweede Kamer nader te berichten over de consequenties van de uitspraak van het Hof voor de nationale regelgeving. De berichtgeving over de uitspraak van het Hof wordt in samenhang gezien met de brief van de Minister van Veiligheid en Justitie van 12 februari 20146 over de evaluatie van de Wet bewaarplicht telecommunicatiegegevens. De uitkomsten van het rapport «Meting dataretentie 2013» en de ervaringen van de toezichthouder in dit traject zullen betrokken worden bij de beleidsreactie op de evaluatie van de Wet bewaarplicht.

Handhaving van bestaande wettelijke normen blijft onverminderd van belang en dan met name het toezicht op niet te lang en niet te veel bewaren van gegevens van klanten/gebruikers. Het betreft hier immers persoonsgegevens. De uitvoering van de «Meting dataretentie 2013» is voor Agentschap Telecom een belangrijk ijkpunt in het streven naar een hogere naleving door aanbieders. De beide prioriteiten bij handhaving sluiten aan op de uitspraak van het Hof en de aandacht daarbij voor privacyaspecten.

De Minister van Economische Zaken,

H.G.J. Kamp

CBP 27 maart 2014, Z2012-00811 (YD Advertising)
Uit het persbericht: Het CBP heeft geconcludeerd dat het online advertentiebemiddelingsbedrijf YD Display Advertising Benelux B.V (hierna: YD) de wet overtreedt door zonder toestemming persoonsgegevens van internetgebruikers te verzamelen om hun vervolgens gepersonaliseerde advertenties te tonen. YD verzamelt met zogeheten tracking cookies onder meer informatie over producten of diensten die internetgebruikers hebben bekeken op websites van zijn adverteerders. Vervolgens laat het bedrijf in de dagen daarna, op basis van kennelijke interesses en voorkeuren, op verschillende andere sites advertenties van die adverteerders zien (retargeting).

Het bedrijf YD bemiddelt tussen adverteerders en websites bij het plaatsen van online advertenties. YD plaatst en leest eigen tracking cookies. Bovendien stelt YD advertentienetwerken in staat om tracking cookies te plaatsen in de browsers van internetgebruikers en daarmee hun surfgedrag te volgen.

Door de werkwijze van YD worden mensen achtervolgd door advertenties op het web zonder dat is gevraagd of ze dat wel willen. Internetgebruikers hebben het recht om te weten wie welke persoonsgegevens van hen verzamelt en met welk doel dat gebeurt. De wet staat het volgen van surfgedrag via cookies alleen toe als internetgebruikers hiervoor hun ondubbelzinnige toestemming hebben gegeven.

Het CBP zal YD uitnodigen voor een hoorzitting. Hierna zal de toezichthouder controleren in hoeverre de overtredingen voortduren en beslissen over eventuele inzet van handhavende maatregelen.

Op andere blogs:
ICTRecht Adnetwork YD door Cbp gewaarschuwd vanwege gebruik trackingcookies
PIT Legal Gebruik trackingcookies door reclamebemiddelaar YD onrechtmatig

Vzr. Rechtbank Noord-Nederland 2 mei 2014, ECLI:NL:RBNNE:2014:2192 (Verwijdering beveiligingscamera's)
Vordering tot verwijdering van beveiligingscamera's afgewezen. Eiser is de eigenaar van een perceel grond met daarop een woning en een bedrijfshal. Gedaagde is de eigenaar van het daarnaast gelegen perceel met daarop eveneens een woning en een bedrijfshal. Beide percelen zijn gelegen op een bedrijventerrein. Uit de technische beschrijving van de camera's kan worden afgeleid dat deze een zodanig bereik hebben dat er opnamen van zijn woning en tuin kunnen worden gemaakt, maar het gevoel van privacyinbreuk wordt niet nader onderbouwd. Gezien het verweer over het gebruik van de beelden (opslag en slechts bekijken wanneer er inbraak is), wordt er niet onrechtmatig gehandeld.

4.3. Bij de beoordeling van de vorderingen van [eiser] wordt voorop gesteld dat [gedaagde] als eigenaar van zijn perceel het meest omvattende recht heeft dat een persoon op een zaak kan hebben en dat het hem om die reden in beginsel is toegestaan om beveiligingscamera’s te plaatsen. De uitoefening van het eigendomsrecht van Van der Gieszen is echter niet onbegrensd: de aanwezigheid van de camera's kan ontoelaatbaar zijn als sprake is van een onrechtmatige inbreuk op de privacy van [eiser]. Het is aan [eiser] als eisende partij om aannemelijk te maken dat die situatie zich hier voordoet.

4.4. [eiser] stelt dat hij in zijn privacy wordt aangetast door de aanwezigheid van de camera's en dat uit de technische beschrijving van de camera's kan worden afgeleid dat deze een zodanig bereik hebben dat er opnamen van zijn woning en tuin kunnen worden gemaakt. Wat [eiser] hiermee stelt, komt in feite daarop neer dat hij het gevoel heeft dat er inbreuk op zijn privacy wordt gemaakt, zonder dat hij deze inbreuk nader kan onderbouwen. In het licht van het verweer van [gedaagde] over onder meer het gebruik van de beelden*, stelt [eiser] daarmee naar het oordeel van de voorzieningenrechter onvoldoende om aan te nemen dat van [gedaagde] onrechtmatig jegens hem handelt.

* 3.2. (...) [gedaagde] voert ook aan dat hij de camerabeelden niet bekijkt, maar dat deze worden opgeslagen op de computer, enkel om te kunnen worden bekeken in het geval van bijvoorbeeld een inbraak. Van het op onrechtmatige wijze aantasten van de privacy van [eiser] is dan ook geen sprake aldus [gedaagde].

Op andere blogs:
IusMentis Hoe ver mag een beveiligingscamera reiken?

Hof Amsterdam 24 september 2013, ECLI:NL:GHAMS:2013:5224 (Appellanten tegen Google Netherlands)
Geen gegevens natuurlijkse persoon. Vordering tot gebod verwijdering persoonsgegevens van websites Google Maps en/of Google Street View. Er is geen spoedeisend belang meer nu appellanten van de opt-out-regeling of non-mailing-indicator van de KvK gebruikmaken en de koppeling via de Google-diensten niet meer bestaat. De naam van een rechtspersoon waarin de naam van een natuurlijk persoon is verwerkt kan niet zonder meer worden beschouwd als een gegeven dat betrekking heeft op die natuurlijke persoon en daarmee onder de werkingssfeer van de Wbp kan worden gebracht. Dat die gegevens voordien werden vrijgegeven via een koppeling van data die Google (contractueel) onderhoudt met de Kamer van Koophandel en dat een dergelijke koppeling niet meer tot stand komt indien en zodra een rechtspersoon van de zogenoemde opt out-regeling (of non mailing-indicator) gebruik maakt.

3.3. De voorzieningenrechter heeft bij het vonnis waarvan beroep, kort samengevat en voor zover thans relevant, het volgende overwogen. De onder 3.2 sub a bedoelde vordering moet worden afgewezen omdat voor de toepasselijkheid van de Wbp is vereist dat sprake is van verwerking van gegevens betreffende een geïdentificeerde of identificeerbare natuurlijke persoon en de foto's die via Google openbaar worden gemaakt geen verwijzing naar een bepaalde natuurlijke persoon bevatten. Ook de onder 3.2 sub b bedoelde vordering moet worden afgewezen omdat de naam van een rechtspersoon waarin de naam van een natuurlijk persoon is verwerkt niet zonder meer kan worden beschouwd als een gegeven dat betrekking heeft op die natuurlijke persoon en daarmee onder de werkingssfeer van de Wbp kan worden gebracht en, zo in het onderhavige geval – veronderstellenderwijs – zou moeten worden aangenomen dat dit toch het geval is, een weging van belangen als bedoeld in artikel 8 aanhef en sub f Wbp dient plaats te vinden waarbij, gelet op alle concrete omstandigheden over en weer, het belang van [appellanten 1] dient te wijken voor het belang dat Google erbij heeft om rechtmatig door haar verkregen informatie te gebruiken voor haar commerciële activiteiten. Op grond van een en ander heeft de voorzieningenrechter beide vorderingen van [appellanten 1] afgewezen en [appellanten 1] veroordeeld in de proceskosten.

3.9. Het hof beantwoordt ook deze vraag ontkennend. Vaststaat – zo is bij gelegenheid van de pleidooien voor dit hof door beide partijen ook uitdrukkelijk bevestigd – dat op dit moment de naam en het telefoonnummer van de stichting na het intypen van de zoekwoorden '[appellanten 2]' en '[A]' in de zoekfunctie van Google Maps niet meer worden vrijgegeven, dat Google dit reeds vóór de procedure in eerste aanleg zelf onmogelijk heeft gemaakt, dat die gegevens voordien werden vrijgegeven via een koppeling van data die Google (contractueel) onderhoudt met de Kamer van Koophandel, dat een dergelijke koppeling niet meer tot stand komt indien en zodra een rechtspersoon van de zogenoemde opt out-regeling (of non mailing-indicator: zie memorie van grieven onder 47) bij de Kamer van Koophandel gebruik maakt en dat [appellanten 1] van die laatste mogelijkheid inmiddels gebruik hebben gemaakt. Dit laatste betekent dat Google, ook indien zij dit zou wensen, de openbaarmaking van de gewraakte gegevens niet meer kan bewerkstelligen, tenzij [appellanten 1] eerst zelf hun keuze voor de zogenoemde opt out-regeling bij de Kamer van Koophandel ongedaan maken. Onder die omstandigheden kan niet worden gezegd dat [appellanten 1] voldoende (spoedeisend) belang hebben bij hun onder 3.2 sub b bedoelde vordering zoals nader onder 3.8 omschreven. Dit impliceert dat de vraag of de gewraakte gegevens, dat wil zeggen de naam en het telefoonnummer van de stichting, onder de reikwijdte van de Wbp vallen alsmede de vraag of, als dit het geval is, een belangenafweging als bedoeld in artikel 8 aanhef en sub f Wbp in het voordeel van [appellanten 1] dan wel in het voordeel van Google moet uitvallen, in het onderhavige (kort) geding buiten bespreking kunnen blijven.

Op andere blogs:
ICTRecht Kun je via de privacywet als ondernemer uit Google Maps en Streetview blijven?

Bijdrage ingezonden door Douwe Linders, bureau Brandeis. Aanstaande donderdag 1 mei zal voor de rechtbank Den Haag een kort geding plaatsvinden tegen de Nederlandse Staat. De aanleiding is dat de overheid bij de afgelopen gemeenteraadsverkiezingen niet voldeed aan haar verplichting het stemgeheim te waarborgen. Het ministerie van Binnenlandse Zaken communiceerde expliciet dat het is toegestaan in het stemhokje foto’s te maken van een ingevuld stembiljet, onder andere in een bericht aan de Nederlandse gemeenten en op Twitter. De Stichting Bescherming Burgerrechten en Lucas Kruijswijk drongen erop aan dat het ministerie dit rechtzet vóór de Europese verkiezingen van 22 mei. Helaas zonder resultaat. Er rest hen nu slechts de weg naar de rechter.

Het stemgeheim is essentieel voor vrije verkiezingen
Het stemgeheim is een internationaal erkend mensenrecht. Het is neergelegd in onder andere het VN Verdrag inzake Burgerrechten en Politieke rechten, het Europees Verdrag voor de Rechten van de Mens en de Nederlandse Grondwet. De overheid heeft op grond hiervan de plicht om zorg te dragen voor geheime stemmingen.

Het stemgeheim betekent niet dat het kiezers verboden is om te vertellen op wie zij hebben gestemd. Het moet echter onmogelijk zijn om aan te tonen welke stem de kiezer heeft uitgebracht. Als dat gegarandeerd is, kunnen anderen geen invloed uitoefenen op het stemgedrag. De kiezer kan dan achteraf ook liegen over zijn stem. Het stemgeheim is ook de reden dat niet meer dan één persoon tegelijk in het stemhokje staat.

Het gevaar van ongeoorloofde beïnvloeding bestaat wel als de overheid toestaat dat foto’s worden gemaakt van ingevulde stembiljetten. Dan kunnen allerlei vormen van druk ontstaan om iemand ertoe te bewegen op een partij of persoon te stemmen. Van het geven van korting bij een winkel en het ronselen van stemmen, tot het dreigen met uitsluiting uit een gemeenschap, het wordt allemaal makkelijker zodra er een bewijs gevraagd kan worden van het stemgedrag.

Niet alleen staat het recht op vrije verkiezingen in Nederland op het spel, de praktijk heeft ook invloed op waarnemingsmissies in het buitenland. Als de Nederlandse overheid zelf het stemgeheim niet serieus neemt, hoe kangt zij anderen daar dan op aanspreken?

Maatregelen ter bescherming van het stemgeheim
Bij de vorige verkiezingen heeft het ministerie op basis van een verkeerde interpretatie van het stemgeheim gecommuniceerd dat foto’s gemaakt mogen worden van een ingevuld stembiljet. De Kiesraad heeft al aangegeven dat dit wringt. Tijdens een overleg dat vrijdag 25 april plaatsvond, wilde het ministerie echter niet terugkomen op haar onjuiste uitlatingen. Teneinde het stemgeheim bij de Europese verkiezingen te waarborgen, rest nu niks anders dan een kort geding tegen de Staat. Daarin wordt een aantal simpele maatregelen gevorderd. Het ministerie moet haar uitlatingen rectificeren en in de stemlokalen moet een mededeling worden opgehangen waarin duidelijk wordt aangegeven wat wel en niet mag. Ook moeten stembureaus de instructie krijgen hierop toe te zien, net zoals zij toezien op de vele andere regels die gelden in het stemlokaal.
(...)
Over het stemgeheim
Het stemgeheim wordt beschermd door artikel 25 van het VN Verdrag inzake Burgerrechten en Politieke rechten, artikel 3 van het Eerste Protocol bij het Europees Verdrag voor de Rechten van de Mens en artikel 53 van de Grondwet. Zie ook artikel 4 van Code of Good Practice in Electoral Matters van de Raad van Europa: “For the voter, secrecy of voting is not only a right but also a duty”.

Vzr. Rechtbank Rotterdam 7 maart 2014, ECLI:NL:RBROT:2014:1740 (DSW Zorgverzekeraar c.s. tegen gedaagde)
Inzage documenten. Fraudeonderzoek huisarts. DSW c.s. vorderen gedaagde te bevelen medewerking te verlenen aan het door hen gevoerde fraudeonderzoek als bedoeld in de Regeling Zorgverzekering en/of het tussen DSW c.s. en gedaagde gesloten overeenkomsten naar aanleiding van de bevindingen, zoals neergelegd in de rapporten met betrekking tot de spiegelinformatie. De voorzieningenrechter oordeelt dat uit deze wet- en regelgeving in beginsel een verplichting voor gedaagde voortvloeit om op verzoek gegevens en inlichtingen te verstrekken, derhalve kan gedaagde niet met een beroep op de contractuele bepalingen van de overeenkomsten vrijgesteld worden van deze verplichtingen. Ware dit anders, dat zou het wettelijk systeem van de Zvw, waarin nadrukkelijk is voorzien in deze controlerende rol voor zorgverzekeraars, op onaanvaardbare wijze worden doorkruist.

5.5.
De voorzieningenrechter overweegt als volgt. Met DSW/Stad Holland is de voorzieningenrechter van oordeel dat de verhouding tussen partijen voor wat betreft de controle van DSW/Stad Holland op de rechtmatigheid van de ingediende declaraties van [gedaagde] niet alleen wordt geregeld door de overeenkomsten die tussen hen zijn afgesloten, maar ook door de Zwv en de daarop gebaseerde Regeling Zorgverzekering.

5.7.
Uit de hierboven in overweging 5.6 aangehaalde wet- en regelgeving volgt dat een zorgaanbieder (zoals [gedaagde] is) verplicht kan zijn inlichtingen en gegevens te verstrekken aan een zorgverzekeraar. De wetgever heeft de verplichting om inlichtingen en gegevens te verstrekken immers niet beperkt tot een verplichting jegens krachtens publiekrecht ingestelde instellingen, maar deze nadrukkelijk ook vastgelegd als verplichting jegens zorgverzekeraars, ook als daar persoonsgegevens als bedoeld in de Wet bescherming persoonsgegevens worden gevraagd.

Nu geconcludeerd wordt dat uit deze wet- en regelgeving in beginsel een verplichting voor [gedaagde] voortvloeit om op verzoek gegevens en inlichtingen te verstrekken aan DSW/Stad Holland, kan naar voorlopig oordeel van de voorzieningenrechter [gedaagde] niet met een beroep op de contractuele bepalingen van de overeenkomsten worden vrijgesteld van deze verplichtingen. Ware dit anders, dat zou het wettelijk systeem van de Zvw, waarin nadrukkelijk is voorzien in deze controlerende rol voor zorgverzekeraars, op onaanvaardbare wijze worden doorkruist. Het betoog van [gedaagde] dat de vorderingen primair op grond van de overeenkomsten moeten worden beoordeeld, omdat DSW/Stad Holland geen publiekrechtelijke rechtspersonen zijn, faalt daarom. Ook het beroep op 6:58 BW door [gedaagde] kan, gelet op het voorgaande, naar voorlopig oordeel reeds hierom niet slagen. Het voorgaande laat onverlet dat de verhouding tussen partijen ook beheerst wordt door maatstaven van redelijkheid en billijkheid.

5.19
Gelet op het signaal van de mogelijke fraude is voorshands te billijken dat door de accountant breed informatie is opgevraagd, ook als deze informatie ziet op gegevens die op het eerste oog niet direct de praktijkvoering door [gedaagde] raken, omdat zij een eventuele verstrengeling van belangen met derde partijen aan het licht kunnen brengen. Daarbij is de toezegging van DSW/Stad Holland van belang dat de accountant aangetroffen gegevens, voor zover deze zien op persoonsgegevens of gegevens in de privésfeer slechts in het rapport zal vermelden voor zover dit noodzakelijk is gelet op het onderzoeksdoel.

Wijziging Telecommunicatiewet art. 11.7a, Kamerstukken II 2013-2014, 33 902, nr. 2. , Memorie van Toelichting, nr. 3, Advies Raad van State, nr. 4.
Uit de Memorie van Toelichting: Uitzondering voor cookies met geringe privacygevolgen. Nu in de praktijk enige tijd ervaring is opgedaan met artikel 11.7a, zijn internetgebruikers bewuster geworden van het feit dat veel websites cookies plaatsen op hun computers. In dat opzicht heeft artikel 11.7a een positief effect. Maar er is ook veel ergernis over de effecten van de bepaling. (...)

Dat het voor de privacy van de internetgebruiker overbodig is om toestemming te vragen voor het gebruik van analytic cookies, en dat hierdoor de cookiebepaling juist zijn doel voorbij schiet, werd ook opgemerkt tijdens het Algemeen Overleg met de Vaste commissie voor Economische Zaken van de Tweede Kamer van 21 november 2012. Tijdens dit overleg deed het lid Verhoeven (D66) het voorstel om ‘first party analytic cookies’ niet langer onder het toestemmingsvereiste te laten vallen. Aangezien dit type cookies doorgaans inderdaad niet privacygevoelig is, kon ik mij in een dergelijke benadering vinden.

Op andere blogs:
CBPweb

CBB 27 februari 2014, ECLI:NL:CBB:2014:97 (NMT tegen NZa)

Wet marktordening gezondheidszorg. Opvragen van persoonsgegevens, die op basis van vertrouwelijkheid zijn verkregen van deelnemers aan een onderzoeksproject. De gegevens zijn relevant voor de uitvoering van de Wmg en noodzakelijk voor een goede vervulling van de publieke taak van NZa; belang van appellante bij handhaving van door haar toegezegde vertrouwelijkheid van de op vrijwillige basis verkregen gegevens zijn niet meegewogen; beroep gegrond.

Het College overweegt als volgt.
3.1 Artikel 61, eerste lid, aanhef en onder a, Wmg bepaalt dat een ieder gehouden is desgevraagd aan de NZa de gegevens en inlichtingen te verstrekken welke redelijkerwijs voor de uitvoering van de Wmg van belang kunnen zijn.

Op grond van artikel 76 Wmg is NZa bevoegd ter handhaving van het bepaalde bij of krachtens artikel 61 Wmg een aanwijzing te geven, erop gericht dat aan het bepaalde bij of krachtens dat artikel wordt voldaan. Voorts is NZa op grond van artikel 82 Wmg ter handhaving van het bepaalde bij of krachtens artikel 61 Wmg bevoegd tot het opleggen van een last onder dwangsom.

Ingevolge artikel 8, aanhef, onder e, van de Wet bescherming persoonsgegevens (hierna: Wbp) mogen persoonsgegevens slechts worden verwerkt als die gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan.

3.2 Het College is van oordeel dat de hier gevraagde gegevens redelijkerwijs relevant kunnen zijn voor de uitvoering van de Wmg (als bedoeld in artikel 61, eerste lid, aanhef en onder a, Wmg) en voorts dat die gegevens noodzakelijk zijn voor een goede invulling van de publiekrechtelijke taak van NZa (als bedoeld in artikel 8, aanhef en onder e, Wbp). Hierbij is in aanmerking genomen dat NZa de gegevens heeft opgevraagd met het oog op de gewenste gelijkschakeling van de tarieven van tandartsen die (tevens) orthodontische zorg leveren (D-tarieven) met de tarieven die orthodontisten voor de door hen verleend orthodontische zorg in rekening mogen brengen (O-tarieven), alsmede met het oog op een verlaging van die tarieven. Hiertoe is een aantal in het bestreden besluit nader omschreven onderzoeken verricht, en zijn de effecten van vier scenario’s van tariefdalingen op het praktijkresultaat onderzocht, ten einde de inkomenseffecten voor tandartspraktijken met een D-omzet in kaart te brengen. NZa heeft voldoende aannemelijk gemaakt dat zij hiertoe diende te beschikken over de gevraagde, tot individuele tandartspraktijken herleidbare informatie, en dat geaggregeerde dan wel geanonimiseerde gegevens daartoe niet volstonden. Gelet hierop was NZa in beginsel bevoegd om een aanwijzing te geven, die er op was gericht dat de verzochte gegevens door appellante aan NZa zouden worden verstrekt. Dit zo zijnde was NZa eveneens bevoegd tot het opleggen van een last onder dwangsom, aangezien appellante niet betwist dat zij niet tijdig aan de aanwijzing heeft voldaan.

3.3 Vervolgens komt het College toe aan de vraag of NZa in dit geval op goede gronden van de bevoegdheid tot het geven van de aanwijzing en tot het opleggen van de last onder dwangsom gebruik heeft gemaakt.

Een rechtmatige uitoefening van de bevoegdheid van NZa vereist dat alle in geding zijnde belangen worden afgewogen alvorens van die bevoegdheid gebruik wordt gemaakt.
De gevraagde gegevens omtrent tandartspraktijken hebben betrekking op onderzoeksdata die in opdracht van appellante worden verzameld door het [naam 3] in het kader van het project Peilstations. Vast staat dat ongeveer 2000 tandartsen periodiek privacygevoelige financieel-economische praktijkgegevens beschikbaar stellen aan [naam 3], waarbij appellante de deelnemende tandartsen heeft toegezegd dat de verstrekte informatie vertrouwelijk zal worden behandeld zonder dat anderen inzage krijgen in individuele gegevens. Het [naam 3] fungeert ten aanzien van de gegevensverwerking voor appellante en haar leden als zogenoemde Trusted Third Party. Het behoeft geen betoog dat appellante de jegens haar leden gedane toezegging schendt indien in weerwil daarvan de gevraagde gegevens aan NZa worden verstrekt. Appellante vreest dat hierdoor de bereidheid van haar leden tot deelname aan het project Peilstations op losse schroeven komt te staan. Naar het oordeel van het College kan niet gezegd worden, dat het hier niet om een zwaarwegend belang zou gaan. NZa is in het bestreden besluit niet op dit belang van appellante ingegaan. Ter zitting van het College heeft NZa weliswaar verklaard dat ook indien met dit belang wel rekening zou zijn gehouden, dit niet tot een ander besluit zou hebben geleid, maar het is het College onvoldoende duidelijk geworden welke overwegingen NZa tot deze conclusie hebben geleid.

3.4 Dit betekent dat het bestreden besluit, waarin de bezwaren tegen zowel de aanwijzing als de last onder dwangsom in stand zijn gelaten, niet kan worden gedragen door de daaraan ten grondslag gelegde motivering.

4. Het beroep is gegrond. Het bestreden besluit zal worden vernietigd.

 'Betalingen iets heel persoonlijks', De Telegraaf, 11 maart 2014;
'Plan ING juridisch haalbaar, maar ondoordacht', Nederlands Dagblad, 11 maart 2014;
'Liever een betere rente dan korting op een tuinbankje', Trouw, 14 maart 2014.

Rechtbank Amsterdam 26 februari 2014, ECLI:NL:RBAMS:2014:898 (Memory Publications tegen Trius)

Gebruikslicentie persoonsgegevens. Geen matiging boete. Eiseres vordert schadevergoeding die voortvloeit uit de boetes van de door haar verleende licenties aan Trius. Daaraan legt zij ten grondslag dat Trius de licentiebepalingen heeft overtreden en is tekortgeschoten in de nakoming van de gesloten overeenkomsten. De rechtbank stelt vast dat Trius zich niet heeft gehouden aan de verboden om persoonsgegevens uit de overeenkomsten aan derden te geven en te gebruiken voor communicatie over andere evenementen dan die van Memory Events. Voor matiging van de boete is geen aanleiding naar maatstaven van redelijkheid en billijkheid.

4.7. Bovenstaande leidt tot de tussenconclusie dat Trius zich niet heeft gehouden:
-aan het verbod om persoonsgegevens uit overeenkomst I aan een derde (door) te geven, en
-aan het verbod om persoonsgegevens uit overeenkomst II aan een derde (door) te geven, en
-aan het verbod om persoonsgegevens uit overeenkomst II te gebruiken voor communicatie over andere carrière-evenementen dan die van Memory Events.
Memory Publications vordert betaling van twee maal de boete zonder te specificeren op welke van de drie overtredingen zij het oog heeft. Mr. Kaaks heeft daarover ter zitting opgemerkt dat Memory Publications van mening is dat de boete op elk van de drie overtredingen van toepassing is en dat zij met het gevorderde zelf de boete heeft gemaximeerd. De rechtbank is van oordeel dat nu drie overtredingen hebben plaatsgevonden en tweemaal de boete is gevorderd de vraag of tegenover de twee overtredingen van overeenkomst II één of tweemaal de boete is verbeurd in het midden kan blijven. De vordering van Memory Publications ligt derhalve voor toewijzing gereed, tenzij het beroep van Trius op matiging van de gevorderde boete slaagt.

4.8. Bij de beoordeling van dit beroep van Trius op matiging staat voorop, dat matiging slechts aan de orde kan zijn, indien de billijkheid dit klaarblijkelijk eist (artikel 6: 94 lid 1 BW). Dit brengt mee dat de rechter pas als de toepassing van een boetebeding in de gegeven omstandigheden tot een buitensporig en daarom onaanvaardbaar resultaat leidt, van zijn bevoegdheid tot matiging gebruik mag maken. Daarbij zal de rechter niet alleen moeten letten op de verhouding tussen de werkelijke schade en de hoogte van de boete, maar ook op de aard van de overeenkomst, de inhoud en strekking van het beding en de omstandigheden waaronder het is ingeroepen (zie HR 7 april 2007, NJ 2007, 262 (Intrahof/ Bart Smit)). Een en ander brengt met zich dat de rechtbank in het onderhavige geval een belangenafweging moet maken.

4.8.1. Memory Publications heeft een commercieel belang bij naleving van de licentiebepalingen en het daarin opgenomen verbod. Zoals zij onbetwist heeft gesteld, zullen potentiële opdrachtgevers niet meer bereid zijn om de vraagprijs voor de databestanden te betalen als blijkt dat tegen ongeoorloofd gebruik niet effectief wordt opgetreden. Zij kunnen dan op een andere (illegale) wijze aan de gegevens komen. Uit de stellingen van Memory Publications komt naar voren dat zij de persoonsgegevens verkrijgt doordat zij zelf eerst investeringen heeft gedaan om de gegevens te verkrijgen. Memory Publications heeft onbetwist gesteld dat één van haar kernactiviteiten bestaat uit het opbouwen van databases met persoonsgegevens. Memory Publications heeft daarmee een groot belang bij bescherming van haar investeringen. Verder heeft Memory Publications onbetwist naar voren gebracht dat het doorgeven van de gegevens door opdrachtgevers tot gevolg heeft dat haar concurrentiepositie ter zake van (de organisatie van) beurzen verzwakt. Tot slot heeft Memory Publications onbetwist gesteld dat zij met de boete tracht te waarborgen dat – met het oog op de Wet bescherming persoonsgegevens – slechts een beperkt aantal werkgevers over de gegevens beschikt.

Tegenover de belangen van Memory Publications bij effectuering van de boete, staat dat Trius heeft betoogd dat matiging op zijn plaats is, omdat Memory Publications niet inzichtelijk heeft gemaakt dat zij schade heeft geleden. De rechtbank volgt Trius hierin echter niet. De enkele omstandigheid dat Memory Publications (mogelijk) geen schade heeft geleden, althans dit op dit moment niet inzichtelijk heeft gemaakt, leidt er niet toe dat reeds om die reden de boete moet worden gematigd. Dit geldt te meer nu uit de stellingen van Memory Publications volgt dat het boetebeding met name erop is gericht te voorkomen dat de gegevens bij derden belanden.

Verder heeft Trius naar voren gebracht dat de verhouding tussen de door Trius voor de databestanden betaalde prijs en de boete aanleiding moet zijn voor matiging. Trius heeft echter niet onderbouwd in welk opzicht dit gegeven van belang is bij de beoordeling van de vraag of matiging van de boete moet plaatsvinden. De enkele omstandigheid dat er een verschil bestaat tussen de door Trius betaalde prijs en de boete is onvoldoende. Ook heeft Trius aangevoerd dat er sprake is van een wanverhouding tussen de omvang van de overtreding en de boete. Volgens Trius zijn er slechts acht personen aangeschreven uit een databestand van 17.500 personen. Dit betoog legt naar het oordeel van de rechtbank geen gewicht in de schaal. Het staat namelijk geenszins vast dat slechts acht personen zouden zijn aangeschreven, nog los van de vraag of dat op zichzelf aanleiding zou zijn tot matiging. Memory Publications heeft immers onweersproken gesteld dat zij door een steekproef te houden een aantal personen op het spoor gekomen die een uitnodiging hadden ontvangen. Memory Publications heeft daarmee niet in beeld kunnen krijgen om hoeveel personen het gaat en vermoedt dat het om veel meer personen gaat dan degenen die uit de steekproef naar voren kwamen. Nu Trius stelt dat er sprake is van een wanverhouding lag het ook op haar weg om dit nader te onderbouwen, hetgeen zij heeft nagelaten terwijl dit - zoals naar voren is gebracht namens Trius toen daar op de zitting naar werd gevraagd - wel in haar vermogen lag.

Tenslotte geldt dat de rechtbank Trius evenmin volgt in haar verweer dat sprake is van een eenheidsboete, zodat deze gematigd moet worden, waarbij zij verwijst naar het arrest van de HR van 13 februari 1998 (NJ 1998, 725). De licentiebepalingen uit overeenkomst I en II zijn immers specifiek beschreven vormen van overtreding van het verbod (zie hiervoor onder 2.5) en zien niet op ‘vele, mogelijk sterk uiteenlopende tekortkomingen’ zoals het geval was in de casus uit bovengenoemd arrest. Dat het beding slechts van toepassing is bij het verstrekken van de persoonsgegevens als geheel, zoals door Trius naar voren is gebracht, vindt geen steun in de overeenkomst.

4.9. Naar het oordeel van de rechtbank kan, gelet op de wederzijdse belangen van partijen, niet worden gezegd dat de gevorderde boete buitensporig en derhalve onaanvaardbaar is. Evenmin is de boete naar maatstaven van redelijkheid en billijkheid onaanvaardbaar. Trius heeft aan dit verweer geen andere stellingen ten grondslag gelegd dan hiervoor onder 4.8.1 aan de orde zijn gekomen. Er bestaat daarmee geen aanleiding voor matiging van de boete.

Lees de uitspraak hier:
ECLI:NL:RBAMS:2014:898 (link)
ECLI:NL:RBAMS:2014:898 (pdf)