Privacy  

Vzr. Rechtbank Overijssel 11 juni 2015, IT 1808; ECLI:NL:RBOVE:2015:3265 (Flavourites tegen Strada Concordia)
Databankenrecht. Klantgegevens. Samenwerking. Partijen waren ieder 50% aandeelhouder van The Happy Few voor de exploitatie van online warenhuis Flavourites store. De webshop Flavourites wordt vervangen door Knijter, dat wordt aangekondigd aan webshophouders en vanaf de start van de nieuwe webshop wordt aan klanten uit eerdere samenwerking een nieuwsbrief gestuurd. De database met klantgegevens wordt niet onrechtmatig gebruikt, omdat de rechten daarvan bij de gezamenlijk gevoerde BV The Happy Few liggen. Vorderingen worden afgewezen.

4.5.
Flavourites Holding c.s. grondt haar (deel)vordering tot het staken van het gebruik van de database van Flavourites Holding op het voortdurend zonder toestemming van Flavourites Holding en dus onrechtmatig gebruikmaken van genoemde database, bijvoorbeeld voor het verzenden van nieuwsbrieven. Nu Strada Concordia c.s. nog immer nieuwsbrieven verzendt - naar Flavourites Holding c.s. stellen met gebruikmaking van de database van Flavourites Holding - kan een spoedeisend belang aan de vordering niet worden ontzegd.
Ter beoordeling staat aldus of voldoende aannemelijk is geworden dat Strada Concordia c.s. jegens Flavourites Holding c.s. onrechtmatig gebruik maakt van de database van Flavourites Holding c.s. Dit laatste is naar voorshands oordeel niet het geval. Bij onvoldoende betwisting van hetgeen Strada Concordia c.s. op dit punt naar voren heeft gebracht, moet het ervoor worden gehouden dat Strada Concordia c.s. bij de mailing gebruik heeft gemaakt van een door Flavourites Store aangelegde database, waarin Flavourites Store de adressen van personen/organisaties heeft opgenomen die hebben gereageerd nádat zij een mailing van Flavourites Store hebben ontvangen die was verzonden naar alle adressen in de database van Flavourites Holding. De vraag of deze door Flavourites Store aangelegde database moet worden aangemerkt als eigendom van Flavourites Store of - vanwege de oorsprong ervan - als eigendom van Flavourites Holding, leent zich niet voor beantwoording in het kader van onderhavige procedure. De door partijen ingenomen standpunten staan haaks op elkaar, terwijl uit de door partijen overgelegde stukken onvoldoende kan worden opgemaakt dat de in het databestand van Flavourites Store opgenomen gegevens eigendom zijn (gebleven) van Flavourites Holding. Nu in een kort geding geen ruimte is voor nadere bewijslevering moet worden geoordeeld dat de deelvordering als hier aan de orde voor afwijzing gereed ligt.

4.6. Ten aanzien van het door Flavourites Holding c.s. gestelde onrechtmatig gebruik van de database van Flavourites Store en de website van Flavourites Store heeft te gelden dat het hier gaat om een gestelde inbreuk op rechten van The Happy Few en niet op de rechten van Flavourites Holding c.s. Dit betekent dat – nog afgezien van het antwoord op de vraag of Strada Concordia c.s. inbreuk maakt op rechten van The Happy Few – de door Flavourites Holding c.s. geformuleerde deelvordering haar niet toekomt en bijgevolg niet toewijsbaar is.

Vzr. Rechtbank Rotterdam 7 juli 2015, IT 1803; ECLI:NL:RBROT:2015:4812 (Rotterdamse Penoze)
Privacy. Gedaagde is auteur van het boek met de titel “Rotterdamse Penoze” met als subtitel “over kruimeldieven en keiharde killers”. Just Publishers is de uitgever van dit boek. Eiseres heeft over de schietpartij een interview gegeven aan een journalist van de Nieuwe Revu. In de nieuwspublicatie wordt zij met haar voor- en achternaam vermeld. Gestelde inbreuk op persoonlijke levenssfeer (uitsluitend) door vermelding van volledige naam is niet aannemelijk en de gestelde onrechtmatigheid van de publicatie is daardoor evenmin aannemelijk.

4.3. Niet in geschil is dat [gedaagden] voorafgaand aan de publicatie van het boek [eiseres] geen toestemming hebben gevraagd voor de vermelding van haar (voor- en achter)naam in dat boek. Zoals [gedaagden] terecht hebben aangevoerd is een dergelijke toestemming niet vereist. Het ontbreken van die toestemming brengt echter wel mee dat [eiseres] zich tegen het gebruik van haar naam in het boek kan verzetten indien daardoor inbreuk op haar persoonlijke levenssfeer wordt gemaakt. Aangezien de juistheid van het feitelijk relaas over de schietpartij in het boek niet ter discussie staat, kan de door [eiseres] gestelde schending van de onderzoeksplicht van [gedaagden] verder onbesproken blijven.

4.5. Van onjuistheid van de feiten die in het boek van [gedaagde1] over [eiseres] zijn vermeld is geen sprake. Voorts is niet gesteld dat hetgeen daarin is vermeld iets toevoegt aan de informatie over [eiseres] die het boek met de titel “Levenslang” en de nieuwspublicatie van de Nieuwe Revu bevatten. Dat de vermelding van de volledige naam van [eiseres] in het boek van [gedaagde1], zoals zij stelt, schadelijk is voor haar maatschappelijk leven, waaronder haar terugkeer op de arbeidsmarkt, is derhalve evenmin aannemelijk. Daarbij neemt de voorzieningenrechter in aanmerking dat, zoals ter zitting met partijen besproken, een eenvoudige zoektocht op internet naar [eiseres]’s naam een reeks van hits, die nagenoeg allen zien op de schietpartij en veelal haar voor- en achternaam vermelden, oplevert. Een causaal verband tussen de publicatie van het boek en schade voor haar maatschappelijke positie is, ervan uitgaande dat een potentiële werkgever een dergelijke zoekopdracht ook eenvoudig kan en zal uitvoeren, daarom voorshands niet aannemelijk.

RCC 18 juni 2015, IT 1801; dossiernr. 2015/00542 (originele-kinderfeestjes.nl)
Aanbeveling. Strijd met artikel 1 KJC, dat klager heeft ingestemd met verstrekken van persoonsgegevens, maakt het oordeel niet anders. Het betreft een op het adres van klager ontvangen envelop, gericht ‘aan de (bijna) jarige’, met daarin een brochure (mailing) waarin suggesties worden gedaan voor diverse kinderfeestjes en waarin voorts staat: “Als je nu je kinderfeestje reserveert, krijg jij van ons je verjaardag cadeau!”(…) “Heb je al een keuze gemaakt? Je gratis verjaardag reserveren is zo gedaan: Ga snel naar www.originele-kinderfeestjes.nl (...) Klacht: De mailing is gericht aan de (bijna) jarige minderjarige zoon (9 jaar) van klager.

    Krachtens artikel 1 KJC mag een reclame gericht op kinderen (t/m 12 jaar) niets in woord, geluid of beeld bevatten waardoor kinderen op enigerlei wijze worden misleid over de mogelijkheid en eigenschappen van het aangeboden product. In de toelichting op dit artikel staat dat daarbij rekening gehouden dient te worden met hun bevattingsvermogen en verwachtingspatroon.

     De Commissie is van oordeel dat adverteerder in strijd heeft gehandeld met voornoemd artikel door in de – rechtstreeks tot kinderen gerichte – uiting te vermelden: “Als je nu je kinderfeestje reserveert, krijg je van ons je verjaardag cadeau!” (…) “Je gratis verjaardag reserveren is zo gedaan.” (…) “Jij viert je meest originele verjaardag ooit. gratis!” Gelet op het bevattingsvermogen en verwachtingspatroon van kinderen is de Commissie van oordeel dat het gemiddelde kind deze informatie gemakkelijk aldus kan opvatten dat indien hij een reservering maakt voor een kinderfeestje (waartoe hij in de uiting wordt aangezet), hij zijn kinderfeestje gratis met al zijn vriendjes en vriendinnetjes bij adverteerder kan komen vieren. Dat alleen het jarige kind ‘gratis’ naar binnen kan, zal de doelgroep van de uiting naar het oordeel van de Commissie gemakkelijk ontgaan.

    Dat klager kennelijk heeft ingestemd met het verstrekken van de persoonsgegevens van zowel hem als zijn minderjarige zoon aan adverteerder maakt het oordeel van de Commissie niet anders.

Vzr. Rechbank Den Haag 1 juli 2015, IT 1797; ECLI:NL:RBDHA:2015:7436 (NL Vereniging van Strafrechtadvocaten tegen De Staat)
Uit het persbericht. Privacy. De Staat krijgt zes maanden tijd om het beleid voor het afluisteren van advocaten door veiligheidsdiensten bij te stellen. Doet de Staat dat niet, dan moet de Staat het afluisteren van advocaten staken. Dat is het oordeel van de Haagse kortgedingrechter in een kort geding tussen advocatenkantoor Prakken d’Oliviera tegen de Staat. De rechter verlangt dat een onafhankelijk orgaan de bevoegdheid krijgt om het afluisteren tegen te gaan of te stoppen. Ook mogen veiligheidsdiensten informatie verkregen uit het afluisteren van advocaten alleen doorspelen aan het Openbaar Ministerie (OM) als een onafhankelijk orgaan heeft gekeken of en onder welke voorwaarden deze informatie mag worden verstrekt.

Afluisteren advocaten onrechtmatig
Volgens het bestaande beleid kunnen veiligheidsdiensten ook (vertrouwelijke gesprekken van) advocaten afluisteren en eventueel de verkregen informatie aan het openbaar ministerie doorgeven. De Haagse kortgedingrechter vindt deze praktijk onrechtmatig. Deze vertrouwelijke gesprekken vallen onder het verschoningsrecht van advocaten. Inbreuk op het verschoningsrecht is volgens de rechter alleen onder strikte waarborgen toegestaan. Nu zijn deze waarborgen onvoldoende gezien de rechtspraak van Europese hof voor de rechten van de mens (EHRM). In zijn uitspraak geeft de rechter de Staat zes maanden de tijd om alsnog deze waarborgen in te vullen.

Onafhankelijk orgaan voor toetsing afluisteren
In zijn uitspraak verlangt de voorzieningenrechter dat een onafhankelijk orgaan de bevoegdheid krijgt om het afluisteren tegen te gaan of te stoppen. Zo kan voorkomen worden dat de veiligheidsdiensten te gemakkelijk overgaan tot afluisteren of daar te lang mee doorgaan.

Volgens het bestaande beleid moet alleen een minister voorafgaand aan het afluisteren toestemming geven en controleert een Commissie van Toezicht (de CTIVD) pas achteraf. Dit wordt door de rechter dus als ontoereikend beoordeeld.

Zonder onafhankelijke toetsing geen informatie naar het OM
In het strafrecht mag geen gebruik gemaakt worden van informatie die valt onder het verschoningsrecht van advocaten. Daarom mogen ook veiligheidsdiensten dergelijke informatie in principe niet aan het OM doorspelen. Als veiligheidsdiensten dergelijke informatie toch aan het OM willen verstrekken, moet naar het oordeel van de rechter een onafhankelijke toetsing plaatsvinden. Getoetst moet dan worden of en onder welke voorwaarden deze informatie mag worden verstrekt. Daarom verbiedt de rechter het verstrekken van deze informatie aan het openbaar ministerie als deze toetsing niet plaatsvindt.

Afluisteren op grote schaal niet gebleken
De advocaten van het Amsterdamse advocatenkantoor Prakken d’Oliveira hadden samen met de Nederlandse Vereniging van Strafrechtadvocaten een kort geding aangespannen tegen de Staat, omdat zij vinden dat de Staat moet stoppen met het afluisteren van vertrouwelijke gesprekken tussen advocaten en hun cliënten. Hiertoe hebben de advocaten onder meer gesteld dat zij op grote schaal worden afgeluisterd. Dat afluisteren op grote schaal zou plaatsvinden is volgens de rechter overigens niet gebleken. Uit de rapporten van de Commissie van Toezicht valt af te leiden dat de veiligheidsdiensten bij de uitoefening van hun bevoegdheden ten aanzien van advocaten zich terughouden opstellen.

S. van Otterloo, Onderzoek meldplicht persoonsgegevens, 29 juni 2015.
Een bijdrage van Sieuwert van Otterloo, Softwarezaken.nl. Veel grote bedrijven voldoen niet aan de wettelijke verplichting om de verwerking van persoonsgegevens te melden. Dit blijkt uit een door SoftwareZaken uitgevoerd onderzoek. In het onderzoek zijn alle meldingen van de 25 bedrijven in de AEX-index geanalyseerd en bij meer dan driekwart van de bedrijven zijn er problemen: onjuiste bedrijfsgegevens, incomplete, vage en ook overbodige meldingen. De conclusie is dat bedrijven te weinig aandacht besteden aan het goed informeren van gebruikers over privacy, en het CBP blijkbaar niet de middelen heeft om de meldingen goed te kunnen controleren.

(...) In technische zin werkt het register eenvoudig: het is voor iedereen eenvoudig om het register te vinden, te zoeken op bedrijfsnaam en om vervolgens de meldingen te lezen. Inhoudelijk blijkt er echter veel mis met de meldingen die bedrijven hebben gedaan, waardoor consumenten nog steeds niet weten waar ze aan toe zijn. De volgende problemen zijn gevonden:

• Voor 4 van de 25 bedrijven zijn er helemaal geen meldingen
• Organisatienamen en plaatsen staan niet goed in register
• Er ontbreken veel meldingen
• Meldingen zijn vaag en incompleet
• Er worden overbodige meldingen gedaan
• Het is niet te zien of meldingen nog actueel zijn
• Het register is niet doorzoekbaar op thema of datum

Waarschijnlijk voldoen veel bedrijven, groot en klein, niet aan de regels voor gegevensverwerking. Het advies aan deze bedrijven is om zich beter te verdiepen in de regels en binnen het bedrijf mensen aan te stellen en op te leiden op het gebied van privacy en informatiebeveiliging. Waarschijnlijk speelt er ook een gebrek aan samenwerking tussen verschillende afdelingen: de IT-ers kennen de meldplicht niet, en de juristen weten niet goed welke gegevens worden verzameld. Het advies in dit geval is om de juridische afdeling, de marketing afdeling en de IT-afdeling meer samen te laten werken aan privacy en beveiliging. Het aanstellen van een speciale functionaris gegevensbescherming, vanaf volgend jaar verplicht voor grote bedrijven, kan hierbij helpen.

Vzr. Rechtbank Amsterdam 25 juni 2015, IT 1794; ECLI:NL:RBAMS:2015:3984 (Facebook wraakporno)
Als randvermelding. Veroordeling Facebook tot verstrekken van gegevens aan slachtoffer ‘wraakporno’ en tot het laten verrichten van onderzoek voor het geval deze gegevens niet worden verstrekt, omdat ze definitief verwijderd zouden zijn. Rechtsplicht voor provider verstrekken NAW gegevens bij onrechtmatig handelen gebruiker. Onrechtmatige daad.

3.2. (...) Bovendien kan het volgens Facebook 90 dagen duren voordat verwijdering definitief is. Als Facebook in dergelijke gevallen de gegevens niet bewaart, geeft zij een vrijbrief aan iedereen die zich schuldig maakt aan zogenoemde ‘wraakporno’ (het zonder toestemming plaatsen van intiem beeldmateriaal van (voormalige) relaties op openbaar toegankelijke websites), om daarmee zonder gevolgen weg te komen. Mocht Facebook in dat standpunt echter volharden, dan dient in ieder geval de subsidiaire vordering te worden toegewezen. Facebook handelt onrechtmatig door te weigeren om de gegevens te verstrekken, dan wel om mee te werken aan een onafhankelijk onderzoek door een ict-deskundige naar de vraag of deze echt permanent en onherstelbaar verwijderd zijn. Niet valt uit te sluiten dat de gegevens van de aanmaker van de account (eventueel via andere personen die ‘vrienden’ zijn geworden met ‘[profielnaam]’, op de servers van Facebook nog wel te traceren zijn.

4.5.
Verder heeft Facebook niet betwist dat het openbaar maken van de gewraakte opname waarbij eiseres herkenbaar in beeld seksuele handelingen verricht, jegens haar onrechtmatig is, noch dat eiseres ten tijde van het maken van het filmpje minderjarig was. Evenmin heeft Facebook betwist dat eiseres thans niet op andere wijze dan via het benaderen van Facebook de gegevens kan achterhalen van degene die op deze wijze onrechtmatig jegens haar heeft gehandeld.
Onder deze omstandigheden kan daarom worden aangenomen dat op Facebook in beginsel de rechtsplicht rust om aan eiseres de gevraagde gegevens te verstrekken en dat zij jegens eiseres onrechtmatig handelt door daartoe niet over te gaan. Facebook heeft, behoudens het navolgende, waarop in r.o. 4.6 en volgende nader wordt ingegaan, geen (juridische) weren, feiten of omstandigheden aangevoerd op grond waarvan zich een dergelijke rechtsplicht in dit concrete geval niet zou voordoen.
4.6.
Het inhoudelijke verweer van Facebook dat volgens haar zou moeten leiden tot afwijzing van de vorderingen, is beperkt tot haar stelling dat zij niet aan de vorderingen kan voldoen, omdat de gevraagde gegevens al volledig en permanent gewist zouden zijn.

De voorzieningenrechter
5.1. beveelt Facebook om aan eiseres binnen 14 dagen na de betekening van dit vonnis alle bij Facebook bekende gegevens met betrekking tot de houder c.q. maker van de Facebook account met gebruikersnaam [profielnaam] en met kenmerk: [naam digitaal adres] te verstrekken, waaronder in ieder geval:
a. de (opgegeven) voor- en achternaam
b. het e-mailadres en het mobiele nummer
c. de geboortedatum
d. het IP-adres van de computer die is gebruikt om de account aan te maken
e. de datum en tijd (en andere log-gegevens waarover Facebook mocht beschikken) ten aanzien van het aanmaken, gebruik en het verwijderen van de account;

Conclusie AG HvJ EU 25 juni 2015, IT 1792; ECLI:EU:C:2015:426; zaak C-230/14(Weltimmo)
Persoonsgegevens. Zie IT 1571. Voor de gegevensverwerking verantwoordelijke, gevestigd op het grondgebied van een andere lidstaat. Bepaling van het toepasselijke recht en de bevoegde toezichthoudende autoriteit. Sanctiebevoegdheid. Begrip ‚gegevensverwerking’. Conclusie:

1)      Artikel 4, lid 1, onder a), van richtlijn 95/46 verzet zich ertegen dat de Hongaarse gegevensbeschermingsautoriteit de Hongaarse wet toepast op een voor de verwerking verantwoordelijke die uitsluitend in een andere lidstaat is gevestigd. Hiervoor dient het begrip vestiging aldus te worden uitgelegd dat het het bestaan van een vaste inrichting veronderstelt, onafhankelijk van de rechtsvorm daarvan, door middel waarvan effectief en daadwerkelijk activiteiten worden uitgeoefend. Eén agent kan al worden beschouwd als vaste inrichting, wanneer deze een voldoende mate van duurzaamheid biedt met behulp van de personele en technische middelen die voor het verlenen van de betrokken concrete diensten nodig zijn.

      Andere elementen, zoals de plaats van waar de gegevens zijn verzonden, de nationaliteit van de betrokken adverteerders, de woonplaats van de eigenaren van de voor de gegevensverwerking verantwoordelijke onderneming, of het feit dat de door die verantwoordelijke geleverde dienst gericht is op het grondgebied van een andere lidstaat, spelen geen rechtstreekse en bepalende rol bij de vaststelling van het toepasselijke recht, maar kunnen wel een aanwijzing vormen voor het effectieve en daadwerkelijke karakter van de activiteiten – waardoor de plaats van vestiging kan worden bepaald – en in het bijzonder voor de vaststelling of de gegevensverwerking is verricht in het kader van de activiteiten van die vestiging.

2)      Ingeval de nationale rechter, op grond van het criterium van artikel 4, lid 1, onder a), van richtlijn 95/46, bepaalt dat zijn nationale recht niet van toepassing is, moet artikel 28, lid 6, van bedoelde richtlijn aldus worden uitgelegd dat het opleggen van sancties wegens inbreuken in verband met gegevensverwerking valt onder de bevoegdheid van de toezichthoudende autoriteit van de lidstaat wiens recht van toepassing is, ongeacht welke lokale toezichthoudende autoriteit het geheel van de in artikel 28, lid 3, genoemde bevoegdheden op haar eigen grondgebied kan uitoefenen, overeenkomstig de bepalingen van haar nationale recht.

3)      Het begrip ‚adatfeldolgozás’, gebruikt in artikel 4, lid 1, onder a), en artikel 28, lid 6, van de Hongaarse versie van richtlijn 95/46, moet aldus worden uitgelegd dat het zowel de gegevensverwerking in ruime zin, als het verrichten van technische taken in het kader van de gegevensverwerking omvat.

Gestelde vragen:

1)      Moet artikel 28, lid 1, van richtlijn 95/46 [...] aldus worden uitgelegd dat de nationale regeling van een lidstaat op diens grondgebied van toepassing is op een voor de gegevensverwerking verantwoordelijke die uitsluitend in een andere lidstaat is gevestigd en een vastgoedsite beheert waarop hij ook advertenties plaatst voor in de eerstbedoelde lidstaat gelegen onroerend goed, waarvan de eigenaars hun persoonsgegevens naar een middel (server) voor opslag en technische bewerking van gegevens sturen dat aan de sitebeheerder toebehoort en in een andere lidstaat staat?

2)      Moet artikel 4, lid 1, onder a), van de richtlijn gegevensbescherming, junctis de punten 18 tot en met 20 van de considerans en de artikelen 1, lid 2, en 28, lid 1, ervan, aldus worden uitgelegd dat de Hongaarse gegevensbeschermingsautoriteit de Hongaarse wet inzake gegevensbescherming als nationaal recht niet kan toepassen op een uitsluitend in een andere lidstaat gevestigde beheerder van een vastgoedsite, ook al publiceert hij daarop ook advertenties voor in Hongarije gelegen onroerend goed, waarvan de eigenaars de desbetreffende gegevens waarschijnlijk vanuit Hongarije naar een middel (server) voor opslag en technische bewerking van gegevens sturen dat aan de sitebeheerder toebehoort en in een andere lidstaat staat?

3)      Is het voor uitleggingsdoeleinden relevant dat de dienst die wordt verricht door de voor de gegevensverwerking verantwoordelijke, die de website beheert, is gericht op het grondgebied van een andere lidstaat?

4)      Is het voor uitleggingsdoeleinden relevant dat de gegevens betreffende in de andere lidstaat gelegen onroerend goed en de persoonsgegevens van de eigenaars ervan daadwerkelijk zijn ingevoerd vanop het grondgebied van die andere lidstaat?

5)      Is het voor uitleggingsdoeleinden relevant dat de met dat onroerend goed verband houdende persoonsgegevens burgers van een andere lidstaat betreffen?

6)      Is het voor uitleggingsdoeleinden relevant dat de eigenaars van de in Slowakije gevestigde onderneming een woonplaats hebben in Hongarije?

7)      Indien uit het antwoord op de vorige vragen volgt dat de Hongaarse autoriteit voor gegevensbescherming kan optreden, maar daarbij niet het nationale recht, doch het recht van de lidstaat van vestiging moet toepassen, moet artikel 28, lid 6, van de richtlijn gegevensbescherming dan aldus worden uitgelegd dat de Hongaarse autoriteit voor gegevensbescherming de haar overeenkomstig artikel 28, lid 3, daarvan verleende bevoegdheden enkel mag uitoefenen in overeenstemming met de regeling van de lidstaat van vestiging, en dus niet bevoegd is om een geldboete op te leggen?

8)      Mag ervan worden uitgegaan dat het begrip ‚adatfeldolgozás’ [technische bewerking van gegevens] dat zowel in artikel 4, lid 1, onder a), als in artikel 28, lid 6 van de [Hongaarse taalversie van] de richtlijn gegevensbescherming wordt gebruikt, in de terminologie van deze richtlijn overeenkomt met het begrip ‚adatkezelés’ [gegevensverwerking]?

Rechtbank Rotterdam 6 januari 2015, IT 1790; ECLI:NL:RBROT:2015:4352 (verzoekster tegen Volkswagen Bank)
Verzoek om verwijdering van codes uit het Centraal Krediet Informatiesysteem (CKI) op grond van artikel 45 jo 46 Wbp. Niet gesteld of gebleken is van feiten en of omstandigheden die ervoor zorgen dat de handelswijze van Volkswagen Bank een grond opleveren voor het verwijderen van de persoonsgegevens van Hetharia. Het verzoek wordt afgewezen.

4.1. [verzoekster] heeft als productie 2 overgelegd een uitdraai van haar geregistreerde kredietgegevens bij de BKR, waarvan deel uitmaakt de registratie die door Volkswagen Bank is gedaan. Tussen partijen staat als niet weersproken vast dat de door Volkswagen Bank geregistreerde kredietgegevens van [verzoekster] zijn aan te merken als persoonsgegevens in de zin van artikel 1 aanhef en sub a van de Wet bescherming persoonsgegevens (verder: Wbp) en dat het CKI is aan te merken als bestand in de zin van artikel 1 aanhef en sub c jo. artikel 2 lid 1 van de Wbp.

4.2. Op grond van artikel 36 lid 1 Wbp heeft [verzoekster] Volkswagen Bank verzocht om de code A en code H uit het CKI te verwijderen.

4.3. Volkswagen Bank heeft haar verzoek afgewezen. Op grond van artikel 45 jo. 46 Wbp heeft [verzoekster] zich thans tot de rechtbank gewend met het verzoek om Volkswagen Bank te bevelen de code A en code H uit het CKI te verwijderen.

4.7. Artikel 29, lid 3 AR luidt als volgt:
De deelnemer is verplicht om de betrokkene, indien zich een achterstand dreigt voor te doen als aangegeven in artikel 25 lid 1 van dit reglement, tijdig en schriftelijk te waarschuwen dat verder uitstel van betalen zal leiden tot een achterstandsmelding bij de stichting. De deelnemer is gehouden om het tijdstip van deze vooraankondiging zodanig vast te stellen dat de betrokkene nog de gelegenheid heeft zijn achterstand geheel in te lopen en daarmee de achterstandsmelding af te wenden.

Het toetsingskader
4.8. Artikel 36 lid 1 Wbp vermeld als gronden voor het doen van een verzoek om de desbetreffende persoonsgegevens te verwijderen dat deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend dan wel dat de desbetreffende persoonsgegevens anderszins in strijd met een wettelijk voorschrift worden verwerkt.

4.9. Voorts moet de Wbp worden uitgelegd in overeenstemming met artikel 8 EVRM. Dit betekent dat dient te worden beoordeeld of de persoonsgegevens van [verzoekster] zijn verwerkt op een wijze die verenigbaar is met het bepaalde in artikel 8 EVRM, op grond waarvan een belangenafweging dient plaats te vinden. Bij elke gegevensverwerking moet zijn voldaan aan beginselen van proportionaliteit en subsidiariteit. De inbreuk op de belangen van betrokkene mag niet onevenredig zijn in verhouding tot het met de verwerking te dienen doel, en dit doel moet in redelijkheid niet op een andere, voor de betrokkene minder nadelige, wijze kunnen worden verwerkelijkt.

Bijdrage ingezonden door Fulco Blokhuis, Boekx. Verzoeker had Facebook NL verzocht om inzage. De rechtbank verklaart verzoeker niet ontvankelijk, omdat Facebook NL geen verantwoordelijke is. verzoeker had er verstandig aan gedaan om ook Facebook Inc. en Facebook Ierland aan te spreken.

Facebook NL verkoopt advertentieruimte (volgens kvk: Het verkopen van advertentieruimte , commerciële ontwikkeling, marketing en, meer in het algemeen , alle commerciële, industriële, financiële, zakelijke of persoonlijke transactie welke, direct of indirect, verband houden met vorengenoemd doel of het tot stand brengen daarvan bevorderd, alsmede houdster- en financieringsactiviteiten)

In het Costeja-arrest oordeelde het Europese Hof al eens dat het hebben van een vestiging die advertenties verkoop voldoende is om locaal recht van toepassing te verklaren. zie ro 44.-60 Google Inc had een vestiging in Spanje, omdat Google Spain een vestiging was van Google Inc., die gebruikt werd in het kader van de activiteiten van Google Inc.

Die redenering had ook kunnen worden toegepast door de rechtbank in deze zaak tegen Facebook.

Echter, de rechtbank overweegt [red IT 1784]: "Als onvoldoende weersproken staat vast dat voldoende juridisch en feitelijk onderscheid tussen Facebook Nederland en Facebook Ierland bestaat, en dat deze entiteiten niet met elkaar kunnen worden vereenzelvigd. Niet betwist is dat uitsluitend Facebook Ierland, en niet (mede) Facebook NL, verantwoordelijk is voor de verwerking van persoonsgegevens. Dit leidt ertoe dat een verzoek tot inzage niet kan worden gericht aan Facebook Nederland."

De zaak strandt dus op de feiten en matig procederen door verzoeker. De verzoeker had moeten stellen dat de activiteiten van Facebook Nederland onlosmakelijk verbonden is met die van Facebook Ierland, daar de activiteiten inzake de advertentieruimtes het middel vormen om de betrokken website economisch rendabel te maken. Daarmee zou Facebook Nederland verantwoordelijk kunnen worden gehouden voor de verwerking.

Overigens vindt het College Bescherming Persoonsgegevens dat Facebook en Google onderworpen zijn aan haar toezicht.

Ik gaf ook mijn commentaar op Computerworld.

Er is nog tijd voor hoger beroep om de omissie te herstellen.

Prejudiciële vragen gesteld aan HvJ EU 29 april 2015, IT 1786 (Tele2 Sverige tegen Post- och telestyrelsen)
Vragen gesteld door Kammarrätten i Stockholm, Zweden. Verzoekster deelt de dag nadat het HvJEU arrest heeft gewezen in zaak C-293/12; IT 1479 (Digital Rights Ireland) per brief aan de Zweedse toezichthouder PTS (verweerster) mede dat zij niet langer gegevens bewaart zoals vereist op grond van de ZWE wet, en eerder bewaarde gegevens gaat wissen. Zij onderneemt deze actie omdat zij van mening is dat de Zweedse wet (tot omzetting RL 2006/24) niet verenigbaar is met het Handvest grondrechten. De Zweedse politie laat verweerster weten dat deze actie grote gevolgen heeft voor de opsporing. De Zweedse regering geeft opdracht de zaak te onderzoeken. De daartoe aangewezen Commissie komt tot de conclusie dat de Zweedse regelgeving niet in strijd met EURrecht en/of EVRM. Verzoekster ontvangt dan een bevel van verweerster vanaf 25 juli-2014 tot gegevensbewaring over te gaan.

Zij gaat tegen dat besluit in beroep, dat op 13 oktober 2014 wordt verworpen. De bestuursrechter oordeelt dat de Zweedse bepalingen inzake gegevensbewaring vallen onder de door artikel 15, lid 1, van RL 2002/58 geboden mogelijkheid om nationale wettelijke maatregelen te treffen ter beperking van de omvang van bepaalde in de richtlijn bedoelde rechten en plichten. Hij benadrukt dat arrest C-293/12 aldus dient te worden begrepen dat RL 2006/24 ongeldig is verklaard omdat de geconstateerde tekortkomingen van de RL, in hun geheel beschouwd, impliceren dat de RL niet voldoet aan het Unierechtelijke vereiste van evenredigheid van beperkingen van de rechten en vrijheden. Verzoekster stelt hoger beroep in bij de verwijzende rechter. Zij stelt dat de Zweedse regelgeving strijdig is met het EVRM en bijgevolg de Zweedse Gw. Zij acht de omvang van de bewaarplicht onevenredig. Daarnaast wijst zij op een ernstige tekortkoming in de ZWE regelgeving, namelijk dat toegang tot de bewaarde gegevens niet vereist dat de gegevens verband houden met verdenking van ernstige strafbare feiten. Verweerster stelt dat de ongeldigheid van RL 2006/24 niet impliceert dat de Zweedse regelgeving ook ongeldig is, zolang maar is voldaan aan de eisen van RL 2002/58 en overig EUrrecht.

De verwijzende Zweedse rechter (bestuursrechter in hoger beroep) is met verweerster van oordeel dat het arrest C-293/12 de mogelijkheid om verkeersgegevens te bewaren onverlet laat, zolang is voldaan aan de genoemde eisen. Maar hij vindt ook zowel argumenten voor als tegen de opvatting dat de ruime bewaarplicht die wordt opgelegd door de Zweedse regelgeving verenigbaar is met RL 2002/58 en het Handvest. Om een eenduidig antwoord te krijgen op de vraag of het HvJEU in arrest C-293/12 een afgewogen beoordeling heeft verricht van de omvang van de bewaarplicht en de bepalingen inzake toegang tot gegevens, bewaartermijn en beveiliging legt hij de volgende vragen aan het HvJEU voor:

1) Is een algemene verplichting, zoals beschreven [in de punten 1 tot en met 6 infra], om met het oog op wetshandhaving op strafrechtelijk gebied verkeersgegevens te bewaren, welke verplichting zich zonder enig onderscheid, enige beperking of uitzondering uitstrekt tot alle personen, alle elektronische communicatiemiddelen en alle verkeersgegevens, verenigbaar met artikel 15, lid 1, van richtlijn 2002/58/EG, gelezen in samenhang met de artikelen 7, 8 en 52, lid 1, van het Handvest van de Grondrechten van de Europese Unie?
2) Indien de eerste vraag ontkennend wordt beantwoord, kan de bewaring dan niettemin toegestaan zijn
a) wanneer de toegang van de nationale instanties tot de gegevens die worden bewaard, is geregeld zoals [beschreven in de punten 7 tot en met 24 infra];
b) wanneer de veiligheidseisen worden geregeld zoals [beschreven in de punten 26 tot en met 31 infra], en
c) alle relevante gegevens moeten worden bewaard gedurende zes maanden te rekenen vanaf de dag waarop de communicatie werd beëindigd, en daarna moeten worden gewist, zoals [beschreven in punt 25 infra]?