Privacy  

Bijdrage ingezonden door Mark Jansen,  Dirkzwager. De Raad van State heeft op 15 april 2015 twee prejudiciële vragen gesteld aan het Hof van Justitie. De Raad wil allereerst weten in hoeverre het College Bescherming Persoonsgegevens bevoegd is wanneer door een buitenlands onderzoeksbureau in Nederland een persoonsonderzoek is verricht. De Raad wil verder weten of het beleid van het College Bescherming Persoonsgegevens om niet handhavend op te treden in individuele gevallen, wel in overeenstemming is met de privacyrichtlijn.

Onderzoek door Amerikaanse verzekeraar in Nederland

De zaak gaat in de kern over het volgende. Een man die tot 2005 in de USA woonachtig was, raakte begin deze eeuw arbeidsongeschikt. Hij was op dat moment verzekerd bij een Amerikaanse verzekeringsmaatschappij. Deze maatschappij startte daarop uitkeringen. In 2005 is de man verhuisd naar Amsterdam.

In 2008 en in 2010 is in opdracht van de Amerikaanse verzekeraar onderzoek verricht naar de man. Het onderzoek in 2008 is uitgevoerd door een Engels bedrijf en het onderzoek in 2010 door een Nederlands bedrijf. Naar aanleiding van deze onderzoeken heeft de Amerikaanse verzekeringsmaatschappij de uitkering van de man stopgezet.

Verzoek tot handhaving afgewezen

De man dient daarop een verzoek tot handhaving in bij het College Bescherming Persoonsgegevens (CBP). Dit verzoek wordt door het CBP afgewezen. Met betrekking tot de Amerikaanse en Engelse partij stelt het CBP zich op het standpunt dat het niet bevoegd is handhavend jegens hen op te treden.

Met betrekking tot de betrokken Nederlandse partijen stelt het CBP zich – conform zijn handhavingsbeleid - op het standpunt dat handhavend optreden niet opportuun is, omdat er geen aanwijzingen zijn dat sprake is van een structurele overtreding van de wet.

Beroep en hoger beroep

De man gaat vervolgens in bezwaar en beroep. De rechtbank heeft het beroep van de man afgewezen. De rechtbank oordeelde dat het CBP het beleid goed heeft toegepast en dat er geen aanleiding was prejudiciele vragen te stellen. Overigens heb ik over die uitspraak al een eerder blogbericht geschreven.

De man gaat van die uitspraak in hoger beroep. Daarmee komt de zaak dus bij de Raad van State terecht.

Raad van State: aanleiding voor twee vragen

De Raad van State -de hoogste rechter op bestuursrechtelijk gebied – concludeert dat er aanleiding is om twee vragen te stellen.

Eerste vraag: maakt onderzoek doen in Nederland het CBP bevoegd?

In de privacyrichtlijn staat onder meer dat de Wbp van toepassing is – en daarmee het CBP bevoegd – als er zich middelen in Nederland bevinden waarmee persoonsgegevens worden verwerkt, tenzij die middelen louter voor doorvoer worden gebruikt. In de regel wordt hierbij gedacht aan bijv. een serverpark op Nederlandse bodem.

De Raad van State vraagt zich nu af hoe ruim je dit begrip “middelen” moet lezen. Daarbij is ook relevant dat de privacyrichtlijn is bedoeld om een goede privacybescherming te borgen. Vast staat namelijk dat er mensen in Nederland zijn geweest die de man hebben geobserveerd, aantekeningen hebben gemaakt en hem hebben gefilmd. De vraag is dan ook in hoeverre de privacyrichtlijn nog wel nuttig effect heeft, als de privacyregels niet van toepassing (zouden) zijn op observaties die in de EU plaatsvinden, maar van buiten de EU worden aangestuurd. Het is nu aan het Hof van Justitie om hierop antwoord te geven.

Tweede vraag: is effectieve privacybescherming wel geborgd bij huidige beleid CBP?

De eerste vraag is nog wat juridisch-technisch van aard en voor velen wellicht niet zo 1-2-3 toepasbaar. De tweede vraag raakt echter iedereen die zich met privacy bezighoudt en is in zoverre nog veel relevanter.

Lees hier het gehele artikel.

RCC 16 maart 2015, IT 1735, dossiernr. 2014/00923 (VGZ ongewenste e-mail)
Code Reclame via e-mail 2012. Ongewenste e-mail. Zonder afmeldlink. Gedeeltelijke aanbeveling. Uiting: Het betreft een op 1 december 2014 aan klager toegezonden e-mail. Daarin staat boven het zogenaamde “Van-veld”: “Goede zorg én een scherpe premie? Regel het nu bij VGZ!”. In de uiting staat onder meer: “Basisverzekering VGZ Goede Keuze Nog 30 dagen om voor over te stappen € 95,95 naar VGZ!” per maand. Beste (naam geadresseerde), Kies in 2015 voor VGZ. Dan bent u verzekerd van goede zorg, ruime vergoedingen én een scherpe premie. Voor € 95,95 per maand het u al de basisverzekering VGZ Goede Keuze. Regel het snel, u hebt nog tot en met 31 december!”. Onderaan de uiting staat: “U ontvangt deze eenmalige e-mail, omdat u zich hebt aangemeld voor de VGZ premiemelder”.

Klacht:

Klager heeft zich aangemeld om de nieuwe premie te ontvangen. Deze premie heeft klager ontvangen bij (de bij de klacht overgelegde) e-mail van 11 november 2014. Deze e-mail, (...) eindigt met: “U ontvangt deze eenmalige e-mail, omdat u zich hebt aangemeld voor de VGZ premiemelder” (...)

Op 1 december 2014 ontving klager “verdere nieuwsbrieven” (......) Hiervoor heeft hij geen toestemming gegeven.

Met de bestreden mail worden de volgende artikelen overtreden:

1. Artikel 5.1 Code Reclame via e-mail 2012, omdat klager geen mogelijkheid wordt geboden om zich af te melden.

2. Artikel 2.3 Code Reclame via e-mail 2012, omdat het e-mailadres van de afzender (tevens reply to-adres) geen werkend antwoordadres is. Mails aan dit adres bouncen niet, maar leveren een “Automatisch antwoord”, inhoudende onder meer:

“Uw reactie wordt via dit e-mailadres niet gelezen” (zo blijkt uit de door klager bij repliek overgelegde afdruk van dit antwoord).

Oordeel:

Als niet weersproken staat vast dat klager via www.vgz.nl/premiemelder toestemming heeft gegeven om een e-mail te ontvangen als de premies voor 2015 bekend zouden zijn. Blijkens de in het verweer opgenomen tekst van het bewuste onderdeel van de website van adverteerder staat daarin onder het kopje “Benieuwd naar uw premie voor 2015?” onder meer:

“U ontvangt een e-mail als de nieuwe premie bekend is”, waarna de belangstellende onder meer zijn naam en e-mailadres kan invullen en verzenden.

Gelet hierop zal de gemiddelde consument ervan uitgaan dat hij door het verstrekken van zijn gegevens aan VGZ, toestemming geeft om een e-mail van VGZ te ontvangen, inhoudende de nieuwe premie.

Met de e-mail van 11 november 2014 heeft adverteerder gevolg gegeven aan klagers verzoek om bovenbedoelde e-mail te ontvangen. Onderin deze e-mail wordt bevestigd dat het om een eenmalige e-mail gaat: “U ontvangt deze eenmalige e-mail, omdat u zich hebt aangemeld voor de VGZ premiemelder”. Niets wijst erop dat nog een e-mail zou kunnen volgen.

Bij verweer heeft adverteerder meegedeeld dat de tweede aan klager gezonden e-mail van 1 december 2014 louter een correctie op de eerste betreft en dat er geen sprake is van ongevraagde reclame in de zin van de Code Reclame via e-mail 2012. Dit verweer kan niet slagen. Ten eerste wijst de tekst van de tweede e-mail er niet op dat het om een correctie van de eerste e-mail gaat. Dit zou men hoogstens kunnen opmaken uit het feit dat een ander maandbedrag is vermeld. Ten tweede houdt de tweede e-mail ten opzichte van de eerste een extra aanprijzing in; de uiting bevat de aansporingen:

“Regel het nu bij VGZ!”,

“Nog 30 dagen om over te stappen naar VGZ!”

en

“Regel het snel, u hebt nog tot en met 31 december!”.

Aldus is er sprake van reclame via e-mail en naar het oordeel van de Commissie ziet vorenbedoelde toestemming via www.vgz.nl/premiemelder niet (mede) op het ontvangen van deze reclame.

Gelet op het bovenstaande is de Code Reclame via e-mail 2012 van toepassing.

Nu één bezwaar van klager luidt dat hij geen toestemming heeft gegeven om “verdere nieuwsbrieven” (kennelijk is bedoeld: de e-mail van 1 december 2014) te ontvangen, vat de Commissie de klacht mede op in die zin dat artikel 1.3 onder a Code Reclame via e-mail 2012 is overtreden.

Gelet op hetgeen hiervoor overwogen acht de Commissie dit onderdeel van de klacht gegrond. Artikel 1.3 onder a Code Reclame via e-mail 2012 luidt, voor zover hier van belang:

“Reclame via e-mail is in beginsel toegestaan als de geadresseerde van reclame via e-mail daarvoor aan de bestandseigenaar door middel van een actieve handeling vooraf toestemming heeft verleend (..)”.

In de e-mail van 1 december 2014 ontbreekt de mogelijkheid van het recht van verzet als bedoeld in artikel 5.1 Code Reclame via e-mail 2012. Derhalve is de uiting in strijd met deze bepaling.

De Commissie acht de uiting niet in strijd met artikel 2.3 Code Reclame via e-mail 2012; naar haar oordeel is er sprake van een werkend antwoordadres waarop response kan worden ontvangen, nu via het bewuste adres het bij repliek overgelegde “Automatisch antwoord” is verzonden. In dit antwoord staat weliswaar “Uw reactie wordt via dit e-mailadres niet gelezen”, maar VGZ biedt klager daarin ook de gelegenheid om zich via de in het antwoord vermelde links door VGZ te laten helpen.

RCC 13 februari 2015, IT 1727 (Eneco Gmail Sponsored Promotions)
Het betreft de hierna te omschrijven reclame-uiting voor de thermostaat ‘Toon’ van Eneco, die bij klager verscheen toen hij gebruik maakte van zijn Gmail account. De hier aan de orde zijnde manier van adverteren betreft geen e-mail campagne maar een relatief nieuwe ontwikkeling binnen Google Display Netwerk met de naam Gmail Sponsored Promotions (GSP). Hierbij laat Google op de Gmail startpagina advertenties zien onder het tabblad ‘Reclame’. De advertentie ziet er in een dergelijk geval visueel qua opmaak uit als een e-mail maar is het niet. Hierdoor kan de advertentie niet in de ‘spam’ map worden geplaatst.

1) Klager heeft een Gmail account en wenst niet langer reclame-uitingen van adverteerder te zien indien hij gebruik maakt van dat account. Klager maakt in het bijzonder bezwaar tegen het feit dat het niet mogelijk blijkt zich definitief af te melden voor de ongewenste reclame-uiting van adverteerder voor “Toon” die verschijnt onder het tabblad ‘Reclame’. Weliswaar kan men deze uiting, die duidelijk als reclame herkenbaar is doordat zij onder genoemd tabblad verschijnt, binnen Gmail blokkeren, maar de Commissie begrijpt dat deze blokkade in een cookie wordt opgeslagen en daardoor slechts geldt zolang men niet de cookies op de computer wist. De Commissie dient op grond van de klacht te beoordelen of adverteerder verplicht is te bewerkstelligen dat klager zich definitief kan afmelden voor haar reclame-uitingen onder het tabblad ‘Reclame’ van Gmail. Ten aanzien van de aard van deze uitingen en het daarop toepasselijke toetsingskader is het volgende van belang.

2) Kenmerk van Gmail is dat men met behulp van dit programma zonder vergoeding e-mails kan ontvangen en verzenden. Hiertegenover staat dat men instemt met de door Google gehanteerde algemene voorwaarden en daarmee, zoals Eneco onbetwist heeft gesteld, het feit dat geautomatiseerde systemen de inhoud van e-mails, op bepaalde trefwoorden, analyseren. Hierdoor is het mogelijk dat Google advertenties toont die aansluiten bij de geanalyseerde inhoud van de e-mails die de gebruiker verzendt en ontvangt. Als onbetwist staat verder vast dat de gebruiker ook met het vertonen van deze advertenties instemt middels de aanvaarding van de algemene voorwaarden. In het onderhavige geval betreft het een reclame-uiting van adverteerder die is verschenen onder het tabblad ‘Reclame’. Het betreft een zogenaamde Gmail Sponsored Promotion, welke werd getoond omdat klager een of meer e-mails heeft ontvangen en/of verzonden in verband met de bestelling van een “Ectual”. Dit is een apparaat dat de consument aan zijn slimme meter met betrekking tot nutsvoorzieningen kan koppelen teneinde realtime verbruiksdata te kunnen opvragen en deze via het eigen Wi-Fi netwerk te kunnen inzien. Het betreft overigens geen apparaat dat is verstrekt door adverteerder, maar door een derde. Niet in geschil is dat adverteerder toestemming heeft gegeven om haar advertentie te tonen indien de analyse van Google daartoe aanleiding geeft. Evenmin is in geschil dat klager aan Gmail toestemming heeft gegeven om zijn berichten te analyseren en aan de hand daarvan Gmail Sponsored Promotions te plaatsen onder het tabblad ‘Reclame’. Naast het tabblad ‘Reclame’ beschikt Gmail overigens over nog twee tabbladen, te weten ‘Primair’ en ‘Sociaal’, waarbij ‘Primair’ het eigenlijke postvak is waarin ontvangen e-mail berichten verschijnen, terwijl onder ‘Sociaal’ blijkbaar berichten via Social Media verschijnen.

3) Beoordeeld dient te worden wat het karakter van Gmail Sponsored Promotions is, nu de klacht specifiek betrekking heeft op een dergelijke reclame-uiting verschenen onder het tabblad ‘Reclame’. Indien Gmail Sponsored Promotions als e-mail dient te worden beschouwd, is daarop de Code e-mail van toepassing, welke in artikel 5.1 een specifieke regeling bevat voor het recht van verzet. De Commissie overweegt in dit kader dat het begrip e-mail geen afgebakend begrip is. Noch de Code e-mail noch de Telecommunicatiewet of enige andere wet of regeling definiëren dit begrip. Aan de hand van de inhoud en de strekking van de op “e-mail” toepasselijke regelgeving, waaronder de Code e-mail en de Telecommunicatiewet, vult de Commissie dit begrip aldus in, dat sprake dient te zijn van een elektronisch bericht waarbij een ontvanger (geadresseerde) en een verzender (adressant) is aan te wijzen en waarbij gebruik wordt gemaakt van een elektronisch adres van de ontvanger waaraan het bericht via een elektronisch communicatienetwerk wordt verzonden. Uitgaande hiervan oordeelt de Commissie als volgt.

4) De wijze waarop de onderhavige uitingen worden getoond, te weten als Gmail Sponsored Promotion onder het tabblad ‘Reclame’, heeft kenmerken van het ontvangen van reclame via e-mail, maar wijkt daar op andere punten ook wezenlijk van af. Als belangrijkste overeenstemmende kenmerk noemt de Commissie het feit dat de uitingen worden getoond in een omgeving die specifiek is bedoeld voor het verzenden en ontvangen van geadresseerde elektronische berichten. Optisch hebben de uitingen ook de vorm van een ontvangen e-mail bericht. Adverteerder erkent dat de “getargete advertentie” feitelijk in een e-mail kader wordt geopend en daardoor op een e-mail lijkt.

5) Als belangrijkste afwijkend element noemt de Commissie het feit dat er geen sprake is van het verzenden van de onderhavige uitingen als e-mail bericht. Ter toelichting geldt het volgende. Het tonen van deze uitingen vindt volgens adverteerder plaats middels targeting en heeft, zoals Eneco eveneens heeft gesteld en klager niet heeft betwist, technisch gezien verwantschap met advertenties die in een web omgeving op basis van cookies worden getoond. Immers de reclame-uiting wordt zichtbaar als Gmail Sponsored Promotion op basis van een analyse op bepaalde keywords van door de gebruiker ontvangen en verzonden berichten, waarbij Google naar aanleiding van de door adverteerder opgegeven keywords zelfstandig bepaalt dat een bepaalde uiting, afkomstig van een adverteerder met wie zij een overeenkomst heeft, verschijnt onder het tabblad ‘Reclame’. Er wordt, zoals Eneco onbetwist heeft gesteld, geen gebruik gemaakt van een koppeling van de advertentie aan een klant of mailingsbestand. Van het verzenden van een elektronisch bericht waarbij een ontvanger (geadresseerde) en een verzender (adressant) is aan te merken en waarbij gebruik wordt gemaakt van een elektronisch adres van de ontvanger waaraan het bericht via een elektronisch communicatienetwerk wordt verzonden, is derhalve in de gegeven omstandigheden geen sprake.

6) Het voorgaande brengt mee dat de onderhavige uitingen weliswaar uiterlijk overeenkomsten vertonen met een e-mail, maar technisch gezien zoveel daarvan afwijken, dat de Commissie onvoldoende aanleiding ziet om deze aan te merken als e-mail in de zin van de Code e-mail. Dit oordeel laat overigens onverlet dat uitingen die onder andere tabbladen of op basis van een andere systematiek binnen Gmail verschijnen eventueel wel als e-mail in de zin van deze code dienen te worden aangemerkt. Nu evenwel de onderhavige reclame-uitingen niet als e-mail kunnen worden aangemerkt, mist artikel 5.1 Code e-mail toepassing. Dit betekent dat er geen zogenaamd recht van verzet geldt en de klacht in zo verre faalt.

7) Ten aanzien van de vraag of de onderhavige uitingen vallen onder de reikwijdte van artikel 11.7 lid 3 Telecommunicatiewet, welke wet een ruimer toepassingsgebied heeft dan de Code e-mail, oordeelt de Commissie als volgt. Ingevolge deze bepaling mag, voor zover hier van belang, een ieder die elektronische contactgegevens voor elektronische berichten heeft verkregen in het kader van de verkoop van zijn product of dienst, deze gegevens gebruiken voor het overbrengen van communicatie voor commerciële doeleinden met betrekking tot eigen gelijksoortige producten of diensten, mits bij de verkrijging van de contactgegevens aan de klant duidelijk en uitdrukkelijk de gelegenheid is geboden om kosteloos en op gemakkelijke wijze verzet aan te tekenen tegen het gebruik van die elektronische contactgegevens. Adverteerder brengt echter niet zelf de hier bedoelde communicatie over, waardoor deze bepaling niet op haar van toepassing is.

8) Evenmin is sprake van het verkrijgen van elektronische contactgegevens van de klant en het verwerken daarvan door adverteerder. Adverteerder beschikt immers niet over dergelijke gegevens. Artikel 41 tweede lid Wet bescherming persoonsgegevens is derhalve evenmin op adverteerder van toepassing. Naar het oordeel van de Commissie is er ook geen andere wettelijke bepaling of regeling te vinden op grond waarvan adverteerder bij advertenties die als Gmail Sponsored Promotion onder het tabblad ‘verschijnen een zelfstandige, direct uit de wet voortvloeiende verplichting heeft om het mogelijk te maken dat klager specifiek reclame-uitingen van haar definitief kan blokkeren.

Vzr. Rechtbank Noord-Nederland 26 februari 2014, IT 1714; ECLI:NL:RBNNE:2014:6831 (Viva la Vida tegen Achmea c.s.)
Viva la Vida vordert, dat de voorzieningenrechter bij vonnis Achmea c.s. verbiedt om Viva la Vida te verplichten dan wel onder druk te zetten om Achmea c.s. inzage te verschaffen in de medische dossiers van patiënten van Viva la Vida of GGZ Manoto en meer in het bijzonder dat Achmea verboden wordt om, zolang zij die inzage niet heeft gekregen op grond daarvan geleverde en te leveren specialistische geestelijke gezondheidszorg niet te verzorgen of derden te informeren dat Viva la Vide weigert mee te werken aan detailcontrole. De vorderingen worden afgewezen. De voorzieningenrechter stelt voorop dat de Regeling Zorgverzekering in combinatie met artikel 87 van de Zorgverzekeringswet de volgens de Wet bescherming persoonsgegevens noodzakelijke juridische grondslag voor de zorgverzekeraars geeft om formele en materiële controle te mogen uitvoeren voor in de Regeling opgenomen doelen.

4.2.De voorzieningenrechter stelt voorop dat de Regeling Zorgverzekering (hierna: de Regeling) in combinatie met artikel 87 van de Zorgverzekeringswet (hierna: Zvw) de volgens de Wet bescherming persoonsgegevens (hierna: Wbp) noodzakelijke juridische grondslag voor de zorgverzekeraars geeft om formele en materiële controle te mogen uitvoeren voor in de Regeling opgenomen doelen. Anderzijds biedt de Regeling in combinatie met artikel 87 Zvw de zorgaanbieders het volgens de Wbp en het Burgerlijk Wetboek (geneeskundige behandelingsovereenkomst) noodzakelijke wettelijke voorschrift dat voor de zorgaanbieder aanwezig moet zijn om met een daartoe toereikende juridische grondslag te voldoen aan de verplichting het beroepsgeheim te doorbreken bij het verstrekken van medische persoonsgegevens aan de verzekeraar die volgens de procedure in de Regeling formele en materiële controles uitvoert. Voldoet de verzekeraar aan de in de Regeling gestelde eisen, dan is de zorgaanbieder gehouden medewerking te verlenen aan de materiële controle (zie de toelichting op de Regeling, Staatscourant 2010 nr. 10581, 8 juli 2010). De vraag is thans of Achmea c.s. heeft voldaan aan de in de Regeling gestelde eisen.

4.6. Naar het oordeel van de voorzieningenrechter blijkt uit het bij de vaststaande feiten geciteerde controleplan dat aan de hiervoor bedoelde voorwaarden is voldaan. Opgemerkt wordt daarbij dat door Viva la Vida niet is gespecificeerd op welke gronden volgens haar niet aan deze voorwaarden is voldaan. Zo heeft zij niet gesteld dat het onderhavige fraudeonderzoek ook kan worden uitgevoerd zonder inzage door Achmea c.s. van de door Achmea c.s. gevraagde gegevens uit de patiëntendossiers. Ter gelegenheid van de mondelinge behandeling is van de zijde Van Achmea c.s. (onweersproken) aangevoerd dat deze gegevens onontbeerlijk zijn voor het onderhavige fraudeonderzoek. De voorzieningenrechter merkt daarbij op dat voorts door Achmea c.s. onweersproken is gesteld dat - ter bescherming van de privacybelangen van de patiënten - verwerking van persoonsgegevens zal geschieden onder verantwoordelijkheid van een medisch adviseur, zoals in artikel 7.8 lid 2 van de Regeling bedoeld.

Vzr. Rechtbank Den Haag 11 maart 2015, IT 1713; ECLI:NL:RBDHA:2015:2498 (Stichting Privacy First e.a. tegen Staat der Nederlanden)
Uitspraak mede ingezonden door Otto Volgenant en Fulco Blokhuis, Boekx. Telecom. De voorzieningenrechter in Den Haag stelt de Wet bewaarplicht telecommunicatiegegevens buiten werking. Deze wet verplicht aanbieders van telefoon- en internetdiensten de verkeers- en locatiegegevens van gebruikers op te slaan. De wet maakt een inbreuk op het recht op eerbiediging van privéleven en het recht op bescherming van persoonsgegevens. De rechter is van oordeel dat deze inbreuk niet is beperkt tot het strikt noodzakelijke.

3.1. Vooropgesteld wordt dat de vordering zich richt tegen de Staat als wetgever en strekt tot het buiten toepassing doen verklaren van een deel van een wet in formele zin. De burgerlijke rechter kan (onderdelen van) een wet in formele zin in kort geding slechts buiten toepassing verklaren indien en voor zover deze onmiskenbaar onverbindend is wegens strijd met eenieder verbindende bepalingen van verdragen en besluiten van volkenrechtelijke organisaties. Dit criterium vloeit voort uit artikel 94 van de Grondwet en vaste jurisprudentie (vgl. HR 1 juli 1983, NJ 1984, 360) en wijst op grote terughoudendheid, te meer nu in een kortgedingprocedure als de onderhavige slechts een voorlopig oordeel kan worden gegeven. De in acht te nemen terughoudendheid vindt haar grondslag in de op de Grondwet berustende verdeling van bevoegdheden van de verschillende staatsorganen – de scheiding der machten. Wetten in formele zin worden vastgesteld door de wetgever. Het is bij uitstek de taak van de wetgever om alle in het geding zijnde argumenten en belangen tegen elkaar af te wegen, waarbij aan hem een grote mate van beleidsvrijheid toekomt. Er is dan ook geen plaats voor een eigen “volle” toetsing door de burgerlijke rechter.

3.11. Het voorgaande klemt temeer nu de Wbt en aanverwante regelgeving de toegang tot de bewaarde gegevens niet onderwerpen aan een voorafgaande controle door een rechterlijke instantie of onafhankelijke administratieve instantie. Anders dan de Staat betoogt, kan het openbaar ministerie niet als een onafhankelijke administratieve instantie worden aangemerkt. Dat het Hof dit als een zwaarwegend bezwaar beschouwt, kan worden afgeleid uit het gebruik van het woord “bovenal” (“above all”) onder punt 62 van het arrest.

3.12. Een en ander leidt tot de conclusie dat de Wbt in de huidige vorm een inbreuk maakt op de in de artikelen 7 en 8 van het Handvest gewaarborgde rechten die niet is beperkt tot het strikt noodzakelijke en dus als ontoelaatbaar dient te worden gekwalificeerd. Gelet hierop is de Wbt onmiskenbaar onverbindend. De voorzieningenrechter is zich ervan bewust dat buitenwerkingstelling van de Wbt ingrijpende gevolgen kan hebben voor de opsporing en vervolging van strafbare feiten. Dat rechtvaardigt evenwel niet dat voornoemde inbreuk blijft voortbestaan. Dat de gevolgen van een buitenwerkingstelling mogelijk onomkeerbaar zijn, staat op zichzelf evenmin in de weg aan het geven van de gevraagde voorziening. De primaire vordering van Privacy First cs, als geformuleerd onder I, zal dan ook worden toegewezen. Gelet hierop hebben Privacy First cs geen belang meer bij toewijzing van het onder II gevorderde. Buitenwerkingstelling van de Wbt leidt er immers toe dat de grondslag voor het opvragen van de bedoelde gegevens komt te vervallen.

Hof Amsterdam 24 februari 2015, IT 1701; ECLI:NL:GHAMS:2015:550 (appellant tegen Srlev)
Geen onrechtmatig handelen/schending privacywetgeving door onderzoek ter verificatie aangeleverde gegevens ten behoeve van hypotheekaanvraag. Srlev heeft in het jaar 1998 [X] ingeschakeld ter verificatie van de door [appellant] in het kader van zijn hypotheekaanvraag aangeleverde gegevens. Srlev heeft een verzoek ingediend een diepgaand onderzoek te verrichten naar de bron van inkomsten van [appellant]. Het stond Srlev op zichzelf vrij een dergelijk verzoek te doen. Dat de resultaten van een dergelijk onderzoek slechts door onrechtmatig handelen van [X], in het bijzonder door haar overtreding van de geldende privacywetgeving, zouden kunnen worden verkregen, is onvoldoende onderbouwd.

3.2. Grief 1 richt zich tegen het oordeel van de rechtbank dat [appellant] onvoldoende heeft gesteld waaruit blijkt dat [X] een malafide bedrijf was en dat dit bij Srlev bekend was. In hoger beroep voert [appellant] nadere feiten en omstandigheden aan die daarop zouden moeten duiden. Hij stelt daartoe het volgende. Srlev was op de hoogte van de privacywetgeving, of had dat moeten zijn, en had zich er van bewust moeten zijn dat de door haar gevraagde gegevens niet legaal konden worden verkregen door [X], welk bureau niet bevoegd was die gegevens te verzamelen. Door het opvragen en gebruiken van die gegevens heeft Srlev onrechtmatig jegens [appellant] gehandeld en is zij op basis van artikel 9 Wet persoonsregistraties verplicht tot schadevergoeding. In de inleiding op de grieven merkt [appellant] in dat verband nog op dat medewerkers van [X], naar aanleiding van een rond de zomer van 2002 op initiatief van het College Bescherming Persoonsgegevens ingesteld onderzoek, voor fraude en oplichting met betrekking tot het verkrijgen van informatie over personen, strafrechtelijk zijn veroordeeld. Volgens [appellant], die dit adstrueert met diverse publicaties en een deel van een politie proces-verbaal met verklaringen van betrokkenen, was overtreding van de privacywetgeving door informatie- of recherchebureaus voor 2002 jarenlang een gebruikelijke praktijk en hield ook [X] zich bezig met strafbare informatieverzameling van persoonsgegevens. Opdrachtgevers zoals in dit geval Srlev, wisten dit of behoorden dit te weten, zodat Srlev door van die persoonsgegeven gebruik te maken onrechtmatig heeft gehandeld jegens [appellant]. Ook uit de schriftelijke verklaring van [K] (hierna: [K]) kan een en ander blijken.

3.3 In grief 2 voert [appellant] aan dat de rechtbank ten onrechte heeft overwogen dat hij zou hebben nagelaten aan te geven welke specifieke bepalingen van de Wet persoonsregistratie jegens hem zouden zijn geschonden en dat hij in zoverre de vorderingen onvoldoende heeft onderbouwd. [appellant] verwijst naar hetgeen hij in grief 1 heeft toegelicht omtrent het onrechtmatig handelen van Srlev en specificeert dat artikel 11 Wet persoonsregistratie bepaalt dat uit een persoonsregistratie slechts gegevens aan een derde worden verstrekt, voor zover zulks voortvloeit uit het doel van de registratie dan wel wordt vereist ingevolge een wettelijk voorschrift of geschiedt met toestemming van de geregistreerde. Aan die vereisten is niet voldaan. Artikel 9 van diezelfde wet doet alsdan een schadevergoedingsverplichting ontstaan. Ook op grond van onrechtmatige daad is Srlev gehouden tot schadevergoeding, aldus steeds [appellant].

3.4. De grieven 1 en 2 lenen zich voor gezamenlijke behandeling. Voor zover [appellant] in zijn grieven [M] B.V. opvoert, heeft hij niet weersproken dat deze vennootschap in de onderhavige procedure geen rol speelt. Het hof heeft de vermelding van deze B.V. daarom hiervoor achterwege gelaten. Voorop staat verder dat in deze procedure - voor zover voor de beoordeling van belang - niet méér vast staat dan dat Srlev in het jaar 1998 [X] heeft ingeschakeld ter verificatie van de door [appellant] in het kader van zijn hypotheekaanvraag aangeleverde gegevens. Srlev heeft in dat verband volgens het onderzoeksverslag van 11 december 1998 van [X] een verzoek ingediend een diepgaand onderzoek te verrichten naar de bron van inkomsten van [appellant]. Het stond Srlev op zichzelf vrij een dergelijk verzoek te doen. Dat de resultaten van een dergelijk onderzoek slechts door onrechtmatig handelen van [X], in het bijzonder door haar overtreding van de geldende privacywetgeving, zouden kunnen worden verkregen, is onvoldoende onderbouwd. In dat verband speelt mede een rol dat de destijds van kracht zijnde Wet persoonsregistraties weliswaar regels stelde voor het registreren en gebruiken van persoonsgegevens, maar zich richtte tot overheidsinstellingen, particuliere organisaties en bedrijven die zo’n bestand voerden, en in zoverre onvoldoende is onderbouwd in hoeverre [X] de norm van artikel 11 van die wet heeft geschonden. Evenmin is voldoende onderbouwd dat [X] bij haar onderzoek onrechtmatige onderzoeksmethoden heeft gehanteerd, of dat Srlev wist of behoorde te weten welke methoden [X] hanteerde, laat staan dat zij wist dat die methoden onrechtmatig waren. Dat in 2002 onderzoek naar onrechtmatige praktijken van onder meer [X] heeft plaatsgevonden, dat heeft geleid tot strafrechtelijke veroordelingen van haar medewerkers, zegt er immers op zichzelf niets over of daarvan in het betreffende onderzoek naar [appellant] in 1998 sprake was. De stellingen van [appellant] zijn daarvoor - met uitzondering van de verwijzing naar de schriftelijke verklaring van [K], waarover hierna meer - te vaag en onvoldoende specifiek. De door [appellant] in het geding gebrachte producties maken dat oordeel niet anders, te minder nu de vraagstelling van de politie (zie bijv. genummerde pagina 897 van een verhoor van een NN-persoon) er op duidt dat strafrechtelijk verwijtbaar handelen (pas) vanaf 1999 plaatsvond.

F.J. van Eeckhoutte, Iedereen heeft het recht om met rust gelaten te worden. Of niet? IT 1700.
Bijdrage ingezonden door Filip van Eeckhoutte, Van Eeckhoutte advocaten. In bepaalde media wordt een wat te rooskleurig beeld geschetst over het vergeet-mij-principe dat sinds het Costeja Gonzalez-arrest [HvJ EU 13 mei 2014, zaak C-131/12, ECLI:EU:C:2014:317] onderwerp van debat vormt. Hoe kom je van je online verleden af? Stel je voor: als je jouw naam googelt, verschijnt het kinderachtige artikel dat je ooit voor de schoolkrant schreef bovenaan in de zoekresultaten. En vlak daaronder een reactie op een YouTube-video die je ooit in een opwelling plaatste; de toon ervan bevalt je bij nader inzien totaal niet. En nu ben je aan het solliciteren, dus je wilt dat die informatie niet het eerste is wat HR-medewerkers zien als ze jouw naam intypen in Google voor een background check. Daar is nu een oplossing voor, aldus NRC.
Lees verder

Rechtbank Midden-Nederland 17 februari 2015, IT ; ECLI:NL:RBMNE:2015:922 (Phishing neppagina's Bol.com Wehkamp en Otto)
Strafrecht. Webwinkel. De rechtbank Midden-Nederland veroordeelt een 20-jarige verdachte uit Amsterdam-Zuidoost tot een gevangenisstraf van veertien maanden, waarvan zes maanden voorwaardelijk, en een taakstraf van 160 uur. Volgens de rechtbank heeft de verdachte computers gehackt en vervolgens (klanten van) verschillende webwinkels en klanten van een bank opgelicht.

De verdachte was betrokken bij een criminele organisatie die zich gedurende lange tijd bezighield met phishing fraude. De organisatie verstuurde een phishing e-mail met daarin een link naar een nagemaakte inlogpagina van bijvoorbeeld een webwinkel. Nadat de lezer op deze neppagina zijn inloggegevens had ingevoerd, kon de organisatie met die inloggegevens op de echte pagina van de webwinkel bestellingen plaatsen. Er werden op deze manier onder andere telefoons, tablets, laptops en camera’s besteld. Vervolgens werden de afleveradressen van de bestaande klanten gewijzigd. De gewijzigde adressen werden doorgeven aan postbezorgers, die tevens deel uitmaakten van de criminele organisatie. De postbezorgers tekenden indien nodig voor ontvangst en hielden de pakketten achter. Er werd nooit voor de bestelde goederen betaald.

Verdachte heeft op deze manier op stelselmatige wijze verschillende webwinkels en klanten van een Nederlandse bank opgelicht. Hij heeft hiermee financiële schade en veel overlast veroorzaakt voor de (klanten van) die webwinkels en de bank. Daarbij komt dat het vertrouwen van consumenten in het online bestelproces en betalingsverkeer is geschaad.

Prejudiciële vragen aan HvJ EU 28 oktober 2015, IT 1698; zaak C-582/14 (Breyer tegen Duitsland)
Persoonsgegevens. Privacy. Vragen:

1. Dient artikel 2 richtlijn betreffende gegevensbescherming – aldus te worden uitgelegd dat een internetprotocoladres (IP-adres) dat een aanbieder van diensten in verband met de toegang tot zijn internetsite opslaat, voor deze aanbieder reeds dan een persoonsgegeven vormt, wanneer een derde (in casu: de aanbieder van de toegang) beschikt over de bijkomende kennis die nodig is om de betrokken persoon te identificeren?

2. Verzet artikel 7, onder f, van de richtlijn betreffende gegevensbescherming zich tegen een regel van nationaal recht op grond waarvan de aanbieder van diensten persoonsgegevens van een gebruiker zonder diens toestemming enkel mag verzamelen en benutten, voor zover dit nodig is om het concrete gebruik van het telemedium door de betrokken gebruiker mogelijk te maken en te factureren en op grond waarvan de doelstelling die erin bestaat de goede werking van het telemedium in het algemeen te waarborgen, niet rechtvaardigt dat de gegevens worden benut na afloop van het betrokken gebruik?

Verzoeker Patrick Breyer heeft een vordering tegen Duitsland ingesteld tot staking van opslag van internetprotocoladressen (IP-adressen). Deze adressen worden op door computergebruikers bezochte internetportalen (het gaat hier over openbare internetportalen van de federale overheden) opgeslagen met gegevens over tijdstip van opvraging en de hoeveelheid gegevens die zijn geraadpleegd. Verzoeker eist staking van het (doen) bewaren van die gegevens. Het geadieerde Amtsgericht verwerpt zijn beroep. In hoger beroep wordt hij gedeeltelijk in het gelijk gesteld: verweerster wordt veroordeeld tot staking van het na afloop van het betrokken gebruik, samen met het tijdstip van het betrokken gebruik, bewaren of door derden doen bewaren van het IP-adres van het host-systeem van verzoeker waarmee de toegang plaatsvindt, dat in verband met het gebruik van voor het publiek toegankelijke telemedia van verweerster via internet wordt verstuurd, voor zover verzoeker zijn personalia tijdens het gebruik ook opgeeft in de vorm van een e-mailadres waaruit zijn personalia blijken en tenzij de bewaring in geval van storing nodig is om de beschikbaarheid van het telemedium te herstellen. Beide partijen vragen ‘revision’: verzoeker vordert veroordeling zonder de door de appelrechter gegeven beperkingen; verweerster handhaaft haar standpunt dat het beroep in zijn geheel moet worden afgewezen.

De verwijzende DUI rechter (Bundesgerichtshof) is van mening dat het IP-adres tezamen met het tijdstip van gebruik en in gevallen waarin de gebruiker zijn echte naam meedeelt een persoonsgegeven vormt. Gebruik na afloop is naar DUI recht ongeoorloofd indien verzoeker daarvoor geen toestemming heeft verleend en er geen rechtvaardigingsgrond is of een in de wet vereiste ‘noodzaak’ (bijvoorbeeld voor facturering). Voor verweerster vormt het enkele IP-adres echter geen persoonsgegeven omdat de houder/gebruiker zo niet kan worden geïdentificeerd. Het doorgeven aan derden is slechts in beperkte gevallen toegestaan (bijvoorbeeld voor een strafrechtelijk onderzoek). Veilige exploitatie valt daar niet onder. Voor wat betreft de vraag of verzoeker „identificeerbaar” was (voorwaarde voor een persoonsgegeven) constateert hij dat de heersende opvatting is dat sprake moet zijn van een relatief criterium. Dat wil zeggen dat identificatie voor de betreffende instantie gepaard moet gaan met een onevenredige besteding van tijd, kosten en inspanning, zodat het risico op identificatie nagenoeg onbestaande lijkt (zie ook overweging 26 bij RL 95/46). Voor de uitlegging van het nationale recht is bepalend hoe de kwalificatie als persoonsgegeven in artikel 2, onder a, van de richtlijn betreffende gegevensbescherming dient te worden begrepen.

Vzr. Rechtbank Gelderland 24 december 2014, IT 1680; ECLI:NL:RBGEL:2014:8167 (SNS Bank tegen Stichting Krediet Verdriet)
Stichting Krediet Verdriet plaatst namen, telefoonnummers, emailadressen en links naar persoonlijke en/of zakelijke profielen van (oud-)werknemers van de SNS Bank op de website bankenboeven.nl. De belangenafweging van vrijheid van meningsuiting (7 Grondwet en 10 EVRM) tegenover inbreuk op persoonlijke levenssfeer (285b Sr en 8 Wbp), slaat uit naar de laatste. Zij krijgt een verbod op het internet publiceren van deze persoonlijke gegevens.

De voorzieningenrechter veroordeelt gedaagde en Stichting Krediet Verdriet om binnen twaalf uur na betekening van het vonnis alle persoonsgegevens van werknemers en/of oud-werknemers van SNS Bank als bedoeld in artikel 1 sub a van de Wet Bescherming Persoonsgegevens waaronder tenminste namen, links naar persoonlijke of zakelijke profielen op andere websites en telefoonnummers en e-mailadressen te verwijderen en verwijderd te houden van de website Bankenboeven.nl of elke andere openbare bron, digitaal of anderszins,