Personalia

IT 1896

CBP publiceert conceptboetebeleidsregels

CBP 22 oktober 2015, IT 1896 (boetebeleidsregels)
Het College bescherming persoonsgegevens (CBP) heeft vandaag de conceptbeleidsregels voor het opleggen van een bestuurlijke boete door de Autoriteit Persoonsgegevens gepubliceerd. Belanghebbenden kunnen gedurende 4 weken reageren op deze conceptversie van de boetebeleidsregels. Per 1 januari 2016 krijgt het CBP (op dat moment: Autoriteit Persoonsgegevens) de bevoegdheid om boetes op te leggen als organisaties de Wet bescherming persoonsgegevens overtreden. Met de boetebeleidsregels beoogt het CBP inzicht te geven in hoe de hoogte van een bestuurlijke boete zal worden bepaald. De maximale boete is 810.000 euro.

Boetebevoegdheid
De wetgever heeft besloten de sanctiemogelijkheden van het CBP te versterken om zo de naleving van de Wbp te bevorderen. Het CBP vindt hierbij vooral de preventieve werking van de boetebevoegdheid van belang. De verwachting is namelijk dat de boetebevoegdheid bedrijven en overheden zal stimuleren om in een eerder stadium aandacht te besteden aan de bescherming van persoonsgegevens. Hierdoor kunnen privacyovertredingen worden voorkomen. Als sprake is van een overtreding van de Wbp die opzettelijk is gepleegd of het gevolg is van ernstig verwijtbare nalatigheid, kan de toezichthouder direct een boete opleggen. In andere gevallen gaat hier een bindende aanwijzing aan vooraf.

Hoogte boete
Uitgangspunt bij het bepalen van de hoogte van een boete is dat deze in verhouding moet staan tot de begane overtreding. In de conceptboetebeleidsregels is gekozen voor een categorie-indeling en bandbreedte-systematiek. Dit betekent dat de beboetbare wettelijke bepalingen per wettelijk boetemaximum van 810.000 euro, 450.000 euro of 20.250 euro ingedeeld zijn in een aantal boetecategorieën met daaraan verbonden in zwaarte oplopende boetes. Daarnaast geeft het CBP in de beleidsregels inzicht in de relevante factoren die bepalend zijn voor de hoogte van een boete in een concreet geval.

Consultatie boetebeleidsregels
Het CBP nodigt belanghebbenden uit om in de komende 4 weken op de nu gepubliceerde conceptversie te reageren. Het CBP zal rekening houden met deze reacties in de definitieve versie van de boetebeleidsregels. Reacties op de boetebeleidsregels kunnen worden ingezonden via consultatieboetebeleid@cbpweb.nl.

Autoriteit Persoonsgegevens
De definitieve versie van de boetebeleidsregels treedt op 1 januari 2016 in werking. Vanaf die datum heeft het CBP ook een nieuwe naam: Autoriteit Persoonsgegevens.
IT 1889

Privacyprotocol persoonsgegevens pre-employment screening is rechtmatig verklaard

CBP besluit 5 augustus 2015, IT 1889 (Randstad / Adecco)
Zie eerder IT 1782. Het College bescherming persoonsgegevens (CBP) heeft het ‘Privacyprotocol persoonsgegevens pre-employment screening’ van Randstad Nederland B.V. en Adecco Group Nederland rechtmatig verklaard. Dit protocol beschrijft de werkwijze bij het uitvoeren van pre-employment screeningen om de achtergrond van flexwerkers te controleren of te onderzoeken. Het CBP concludeert dat de beschreven werkwijze in het protocol voldoende privacywaarborgen bevat.

Randstad en Adecco Group Nederland bemiddelen in (tijdelijk) werk tussen flexkrachten en opdrachtgevers. Het komt daarbij regelmatig voor dat opdrachtgevers een pre-employment screening eisen voordat zij een flexkracht willen inhuren. Een pre-employment screening is het doorlichten van het (arbeids)verleden van de kandidaat. Bij zo’n screening verwerken Randstad en Adecco Group Nederland mogelijk strafrechtelijke gegevens en/of gegevens over onrechtmatig of hinderlijk gedrag. Dit zijn zogeheten bijzondere persoonsgegevens, die een organisatie alleen bij uitzondering mag verwerken.

Beroep tegen CBP-besluit
Bent u belanghebbende? Dan kunt u beroep instellen tegen het besluit van het CBP bij de rechtbank. U heeft 6 weken de tijd om een beroepschrift in te dienen. Deze termijn loopt vanaf 5 augustus 2015, de datum waarop het CBP-besluit is gepubliceerd in de Staatscourant.
IT 1880

Geen sprake van auteursrechtinbreuk op de broncode van PLC-software

Rechtbank Oost-Brabant 30 september 2015, IT 1880; ECLI:NL:RBOBR:2015:5626 (Premier Tech Chronos tegen Votech)
Auteursrecht. Onrechtmatige concurrentie. Zie eerder IEF11036. Chronos houdt zich bezig met ontwikkeling en productie van industriële verpakkingssystemen. Gedaagden zijn ex-medewerkers van Chronos en oprichters van Votech. Er bestond noch een concurrentie -noch een relatie- noch een geheimhoudingsbeding tussen Chronos en zijn ex-medewerkers. De rechtbank overweegt dat er geen sprake is van onrechtmatig gebruik ten aanzien van het klantenbestand met offerte - en projectgegevens van Chronos vanwege tekort aan concrete aanwijzingen. Daarnaast is er geen sprake van auteursrechtinbreuk op de broncode van de PLC-software en technische tekeningen van Chronos. Ook heeft Votech met betrekking tot de knowhow niet onrechtmatig gehandeld. Er is geen sprake van onrechtmatige concurrentie omdat Votech geen klanten afhandig heeft gemaakt, geen bestellingen of offertes heeft uitgebracht gedurende het dienstverband, geen personeel afhandig heeft gemaakt, geen verwarring heeft geschept tussen de twee bedrijven of misbruik heeft gemaakt van bedrijfsvertrouwelijke gegevens.

4.2.3 (...) Er zijn voorts geen concrete aanwijzingen dat Votech c.s. gebruik maken/hebben gemaakt van het in Become-IT opgeslagen klantenbestand met daaraan gekoppeld de offerte- en projectgegevens van Chronos.
De stelling van Chronos dat er geen andere reden voor bestaat om het Become-IT bestand naar een extern medium te kopiëren, dan het gebruiken daarvan bij de opzet van de nieuwe onderneming, vindt dan ook geen steun in de feiten. Gelet op het verweer van Votech c.s. is de enkele bevinding van de partijdeskundige Evidentium onvoldoende om daaraan de conclusie te verbinden dat [gedaagde sub 2] en/of Votech c.s. op enige wijze onrechtmatig gebruik hebben gemaakt van het Become-IT bestand.

4.3.17. Zoals de rechtbank hiervoor onder 4.3.11. heeft overwogen, komt aan Chronos geen auteursrecht op het programma TW1284.r10 toe, aangezien dit programma is geschreven door [naam 3] . Voor zover Votech c.s. al inbreuk hebben gemaakt op het auteursrecht op de broncode van dit programma, betreft dit dan ook geen aan Chronos toekomend auteursrecht.

4.3.20. (...) Naar het oordeel van de rechtbank moet het er in rechte voor worden gehouden dat de klanten van Chronos, dan wel Votech c.s. als door hen gemachtigd, gerechtigd waren om ten behoeve van de interoperabiliteit van de machines van Chronos met de machines van Votech c.s. een kopie te maken van de PLC-software en deze aan Votech c.s. te sturen. Dat een aantal van deze kopieën vervolgens intern is doorgestuurd bij Votech levert naar het oordeel van de rechtbank geen ongeoorloofde verveelvoudiging op. Het in verband met de interoperabiliteit doorsturen van de PLC-programma’s door klanten en het intern doorsturen daarvan binnen Votech levert dan ook geen inbreuk op Chronos’ auteursrecht op de broncode van deze programma’s op.

4.3.23. De rechtbank overweegt als volgt. Uit niets blijkt dat Votech bij de ontwikkeling van haar PLC-software voor door haar geleverde machines gebruik heeft gemaakt van de broncode van Chronos. Voor zover het al zo zou zijn dat Votech c.s. zich hebben laten inspireren door de software van Chronos voor wat betreft de functionaliteiten, hetgeen Votech c.s. betwisten, levert dat geen inbreuk op het auteursrecht van Chronos op de broncode op. De stelling van Chronos dat uit de rapporten blijkt dat de software voor de opdracht bij [Petfood] is gebaseerd op Chronos-software is een blote stelling. Zonder nadere toelichting, die ontbreekt, kan de rechtbank uit geen van de rapporten opmaken dat dit het geval is, laat staan dat daarmee inbreuk zou zijn gemaakt op het auteursrecht op de broncode. Een elektrisch schema als zodanig is geen auteursrechtelijk beschermd werk.

4.4.2. (...) De conclusie is dan ook dat de technische tekeningen van Chronos auteursrechtelijke bescherming ontberen en dat het verveelvoudigen dan wel bewerken van deze tekeningen door Votech c.s. niet kan worden beschouwd als auteursrechtinbreuk.

4.5.4. De conclusie is dat Votech c.s. met betrekking tot de Knowhow niet onrechtmatig hebben gehandeld jegens Chronos.

4.6.28. De conclusie is dat het verwijt dat Votech c.s. Chronos onrechtmatige concurrentie aandoen, onterecht is.

4.8. De conclusie is, dat geen van de door Chronos aan Votech c.s. gedane verwijten terecht is. Dat betekent dan ook dat alle vorderingen moeten worden afgewezen.
IT 1875

Vraag aan HvJ EU over uitleg van art. 10,11 en 13 Richtlijn 95/46/EG betreffende bescherming van personen in verband met de verwerking van persoonsgegevens

Prejudiciële vragen aan HvJ EU 1 oktober 2015, zaak C-201/14 (Smaranda Bara tegen Presedintele Casei Nationale de Asigurari de Sanatate)
Prejudiciële verwijzing. Verwerking persoonsgegevens. De prejudiciële beslissing betreft de uitleg van art. 124 VWEU en art. 10,11 en 13 van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Het Hof verklaart voor recht: Dat de artikelen 10,11 en 13 van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer moeten worden uitgelegd dat nationale maatregelen, zoals die welke in het hoofdgeding, een overheidsinstantie van een lidstaat toestaan om persoonlijke gegevens door te geven aan een andere overheidsdienst en daaropvolgende behandeling, zonder dat de betrokkenen op de hoogte zijn van deze transmissie of behandeling.

Sur les dépens
47      La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (troisième chambre) dit pour droit:
Les articles 10, 11 et 13 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doivent être interprétés en ce sens qu’ils s’opposent à des mesures nationales, telles que celles en cause au principal, qui permettent à une administration publique d’un État membre de transmettre des données personnelles à une autre administration publique et leur traitement subséquent, sans que les personnes concernées n’aient été informées de cette transmission ou de ce traitement.
IT 1860

Schadevergoeding kan vanwege proceseconomie en effectiviteit van de Wbp toch in verzoekschriftprocedure worden meegenomen

Hof Den Haag 1 september 2015, IT 1860; ECLI:NL:GHDHA:2015:2332 (verzoeker tegen KPN Callfactory per 14 september 2010 ontbonden, activiteiten voortgezet door KPN en per 1 juli 2014 door CM Group)
Wet bescherming persoonsgegevens. Artikel 46 Wbp brengt niet mee dat in een procedure op de voet van deze bepaling in hoger beroep, het beroepschrift moet worden ingediend door een advocaat. Dat het beroepschrift van verzoeker niet door een advocaat is ingediend doch door hemzelf, staat dus niet in de weg aan de ontvankelijkheid van het beroep. Ingevolge art. 46 Wbp kan een belanghebbende zich bij verzoekschrift wenden tot de rechter met een verzoek ex. artikel 30 lid 3, 35, 36 of 38 lid 2 dan wel een verzet als bedoeld in art. 40, 41. Artikel 49 Wbp, over schadevergoeding, wordt in die opsomming niet genoemd. Proceseconomie en effectiviteit van de Wbp brengen mee dat een verzoek tot schadevergoeding (ook) kan worden meegenomen in de verzoekschriftprocedure ex art. 46 Wbp. Het hoger beroep van verzoeker slaagt en schadevergoeding wordt toegewezen.

5. Ambtshalve overweegt het hof dat artikel 46 Wbp niet meebrengt dat, in een procedure op de voet van deze bepaling in hoger beroep, het beroepschrift moet worden ingediend door een advocaat (in dezelfde zin Gerechtshof Amsterdam 5 juli 2011, ECLI:NL:GHAMS:2011:BR3020). Dat het beroepschrift van [verzoeker] niet door een advocaat is ingediend doch door hemzelf, staat dus niet aan de ontvankelijkheid van zijn beroep in de weg.

17. Het hof overweegt als volgt. Ingevolge artikel 46 Wbp kan een belanghebbende zich bij verzoekschrift wenden tot de rechter met een verzoek ex artikel 30 lid 3, 35, 36 of 38 lid 2 dan wel een verzet als bedoeld in artikel 40 of 41. Artikel 49 Wbp, over schadevergoeding, wordt in die opsomming niet genoemd.
Artikel 49 Wbp is grotendeels overgenomen uit artikel 9 Wet persoonsregistraties (Stb. 1988, 665; hierna WPR), de voorganger van de huidige Wbp (Kamerstukken II 1997-1998, 25 892, nr. 3, p. 176). (...) Het voorgaande in aanmerking nemende, moet naar het oordeel van het hof worden aangenomen dat proceseconomie en effectiviteit van de Wbp meebrengen dat een verzoek tot schadevergoeding (ook) kan worden meegenomen in de verzoekschriftprocedure ex artikel 46 Wbp.

19. Uit het vorenstaande volgt dat het hoger beroep van [verzoeker] slaagt. Het hof zal de bestreden beschikking vernietigen en, opnieuw rechtdoende, het verzoek van [verzoeker] tot schadevergoeding toewijzen. KPN zal als de in het ongelijk te stellen partij worden veroordeeld in de kosten van de beide instanties. Het gaat daarbij alleen om griffierechten, [verzoeker] heeft zich immers niet laten bijstaan door een advocaat. De proceskostenveroordeling zal uitvoerbaar bij voorraad worden verklaard, zoals door [verzoeker] gevorderd. De vernietiging van de beschikking brengt mee dat voor zover [verzoeker] de proceskosten van het geding in eerste aanleg aan KPN heeft voldaan, KPN deze aan [verzoeker] zal moeten terugbetalen.
IT 1859

Registratie in Incidentenregister en EVR toegestaan nadat is verzuimd echtheid documenten aan te tonen

Rechtbank Oost-Brabant 23 juli 2015, IT 1858; ECLI:NL:RBOBR:2015:5389 (verzoeker tegen SNS Bank)
Privacy. Wet bescherming persoonsgegevens. In deze zaak dient de vraag te worden beantwoord of belanghebbende gegronde redenen heeft om verzoeker te registreren in het Incidentenregister en het EVR. De rechtbank stelt bij de beoordeling voorop dat de Wbp moet worden uitgelegd in overeenstemming met art. 8 EVRM. Bij elke gegevensverwerking moet zijn voldaan aan de beginselen van subsidiariteit en proportionaliteit. Belanghebbende heeft voldoende aannemelijk gemaakt dat verzoeker zich op een wijze heeft gedragen dat registratie rechtvaardigt, nu verzoeker geen verklaring geeft waarom het onrechtmatig zou zijn. Verzoeker heeft ook verzuimd de echtheid van zijn documenten aan te tonen.

4. De beoordeling
4.2. De rechtbank stelt bij de beoordeling van het onderhavige verzoek voorop dat de Wbp moet worden uitgelegd in overeenstemming met het bepaalde in artikel 8 EVRM. Bij elke gegevensverwerking moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Dit brengt met zich dat de inbreuk op de belangen van betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel, en dit doel in redelijkheid niet op een andere, voor de betrokkene minder nadelige, wijze kan worden verwerkelijkt (Hoge Raad 9 september 2011, LJN: BQ8097).

4.3. De rechter is van oordeel dat belanghebbende voldoende aannemelijk heeft gemaakt dat verzoeker zich op een wijze heeft gedragen die een registratie in het Incidentenregister en het EVR rechtvaardigt, nu er van de zijde van verzoeker geen verklaring is gekomen waaruit zou blijken dat voornoemde registratie onrechtmatig zou zijn. Verzoeker legt geen enkel bewijs over waaruit blijkt dat hij wel in dienst is geweest bij Universal te Son. Daarnaast heeft verzoeker verzuimd de echtheid aan te tonen van de door hem overgelegde documenten uit 2007 ter verkrijging van een hypothecaire banklening, zodat de rechtbank niet anders kan beslissen dan het onderhavige verzoek in al zijn onderdelen af te wijzen.

IT 1855

Vraag aan HvJ EU of gegevens op grond van 'vergeetrecht' gewist, geanonimiseerd of afgeschermd mogen worden

Prejudiciële vragen gesteld aan HvJ EU 21 mei 2015, IT 1855, zaak C-398/15 (Camera di Commercio, Industria, Artigianato e Agricoltura di Lecce tegen Salvatore Manni)
Handelsregister. Personalia. Verzoeker Salvatore Manni is enig bestuurder van een bouwonderneming. Hij dagvaardt de KvK van Lecce (verweerster) omdat verweerster in haar handelsregister heeft opgenomen dat hij eerder (in 1992) failliet verklaard is geweest. Hij stelt dat hij hierdoor schade lijdt bij verkoop van zijn wooneenheden en eist dat verweerster zijn naam anonimiseert of afschermt en dat hij een schadevergoeding ontvangt. De Rechtbank wijst de vordering toe met name gezien de tijd die inmiddels is verstreken. Verweerster gaat in cassatieberoep. Zij stelt dat het handelsregister een openbare databank is met als essentiële functie het (op verzoek) informeren over relevante gegevens van bedrijven. Voor de verwijzende Italiaanse rechter (Hof van Cassatie) gaat het om de vraag of er op grond van een ‘recht om vergeten te worden’ gegevens die bij wet aan verweerster zijn toevertrouwd, mogen worden gewist, geanonimiseerd, of na zekere tijd afgeschermd. Hij wijst op het belang van het handelsregister voor de rechtszekerheid. De verwijzende rechter verwijst naar de punten 1 en 3 van het dictum in Google Spain en Google, en merkt op dat de toepassing van het door het HvJ vastgestelde beginsel op situaties als die van de onderhavige zaak niet tot gevolg heeft dat de gegevens uit het openbare register worden gewist, maar juist dat er grenzen worden gesteld aan het gebruik van de uit het openbare register verkregen gegevens door anderen die deze gegevens vervolgens zelf verwerken. Hij vraagt zich echter af of Richtlijn 95/46 een maximale duur aan het aanhouden van gegevens stelt, en legt het HvJ EU de volgende prejudiciële vragen voor:

1) Heeft het beginsel dat persoonsgegevens, in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, als bedoeld in artikel 6, onder e), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 [betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens], uitgevoerd [bij] decreto legislativo nr. 196 van 30 juni 1968, voorrang boven en staat het derhalve in de weg aan het door het handelsregister tot stand gebrachte openbaarmakingsysteem, als voorzien in de Eerste richtlijn 68/151/EEG van de Raad van 9 maart 1968 [strekkende tot het coördineren van de waarborgen, welke in de lidstaten worden verlangd van de vennootschappen in de zin van de tweede alinea van artikel 58 van het Verdrag, om de belangen te beschermen zowel van de deelnemers in deze vennootschappen als van derden, zulks teneinde die waarborgen gelijkwaardig te maken], alsmede in het nationale recht in art. 2188 codice civile (burgerlijk wetboek) en art. 8, lid 1, van wet nr. 580 van 29 september 1993, voor zover dat vereist dat eenieder zonder beperking in de tijd kennis kan nemen van de daarin opgeslagen persoonsgegevens?
2) Staat artikel 3 van de Eerste richtlijn 68/151/EEG derhalve toe dat deze gegevens, in afwijking van de regel dat de in het handelsregister openbaar gemaakte gegevens voor onbeperkte tijd worden opgeslagen en door eenieder kunnen worden ingezien, niet langer onderworpen zijn aan ‚openbaarmaking’ in deze tweeledige betekenis, doch gedurende slechts een beperkt tijdsbestek en voor een specifieke groep ontvangers beschikbaar zijn, op grond van een beoordeling van het specifieke geval door de beheerder van het gegeven?
IT 1842

Stichting Libau heeft niet onrechtmatig gehandeld in de zin van art. 1 sub a Wbp

Hof Arnhem-Leeuwarden 18 augustus 2015, IT 1842; ECLI:NL:GHARL:2015:6160 (eiser tegen Stichting LIBAU welstands-en monumentenzorg Groningen)
Privacy. Artikel 1 aanhef en onder a Wet bescherming persoonsgegevens. Eiser heeft een tal boederijen in eigendom in de provincie Groningen. Door Stichting Libau zijn verschillende boerderijen aangewezen tot beschermd monument. Volgens eiser heeft Libau onrechtmatig tegenover hem gehandeld door ten aanzien van zijn voorouders, dan wel familie, een beeld te schetsen van welvarende, statusgerichte en uitbuitende herenboeren. Het hof verwerpt de stellingen van eiser. Er is geen sprake van aantasting van de goede naam van eiser, en evenmin aantasting van de nagedachtenis van een overleden voorouder. Het beroep op de Wet bescherming persoonsgegevens faalt.

3. De beoordeling
3.28 (...) Daargelaten of in de omschrijving van deze panden enkele fouten zijn gemaakt, is er naar het oordeel van het hof geen sprake van aantasting van de goede naam van [appellant] , dan wel inbreuk op zijn persoonlijke levenssfeer. De omschrijvingen als zodanig zijn niet grievend van aard en de beschreven handelingen hebben bovendien omstreeks honderd jaar geleden plaatsgevonden. Daarnaast is er geen sprake van aantasting van de nagedachtenis van een overledene als bedoeld in artikel 6:106 lid 1 aanhef en onder c BW, nu [appellant] niet heeft gesteld dat het hier gaat om familieleden van hem in de eerste of tweede graad.
3.30 Het enkele feit dat in de eerste omschrijving van het pand [adres] fouten zijn gemaakt wil echter nog niet zeggen dat Libau daarmee onrechtmatig heeft gehandeld ten opzichte van [appellant] . De beschrijvingen zijn niet denigrerend of anderszins grievend jegens [appellant] en/of zijn familie. Naar het oordeel van het hof kan niet in rechte staande worden gehouden dat [appellant] daardoor is aangetast in zijn goede naam, dan wel zijn persoonlijke levenssfeer.
3.33 Waar het betreft de vermelding van zijn (voor)ouders in de in de registers van het Kadaster opgenomen omschrijvingen moet worden geoordeeld dat [appellant] in beginsel geen beroep toekomt op de bepalingen van de Wbp. Voor zover nog één van zijn ouders in leven mocht zijn komt hem of haar een zelfstandig beroep toe op de bepalingen van deze wet en voor zover zij zijn overleden komt nabestaanden in beginsel geen beroep toe op de bepalingen van deze wet. Artikel 1 aanhef en onder a Wbp verstaat namelijk onder persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon.