Privacy

IT 211

Ongevraagd wervend bericht?

Een dienstverlener biedt abonnementen aan voor het downloaden van games, ringtones of het gebruik van msn. Het abonnement kost  € 9 per week en om dat te incasseren stuurt dienstverlener 6 SMS-jes à € 1,50 per week. Berichten als “Veel plezier met een extra week msn op je mobiel. Maak er gebruik van!”. Is hier sprake van spam? OPTA is vindt van wel, het College van Beroep voor het bedrijfsleven vindt (voorlopig) van niet. OPTA legt toch een boete op van € 550.000, zo werd eind vorige week bekend.

U vindt het persbericht van OPTA en haar besluiten hier.

U vindt de uitspraak van het College van Beroep voor het bedrijfsleven hier.

Het persbericht van de bewuste aanbieder SD&P vindt u hier.

Volgens het persbericht van SD&P bereidt zij een "rechtszaak en schadeclaim voor tegen de OPTA inzake opgelegde boete." Een zaak om met interesse te blijven volgen. Hoe vaak komt het niet voor dat het verzenden van (wervende) berichten wordt gegoten in een overeenkomst en dus (mede) onderwerp is van de dienst?

IT 205

Art. 29 WG over toepasselijk recht

Artikel 29 Werkgroep, WP 179, Opinie 8/2010 inzake toepasselijk recht. De praktijk worstelt met de vraag welk recht van toepassing is op verwerking van persoonsgegevens in internationale context. De Werkgroep heeft de volgende mening (p. 2):

"With regard to Article 4(1)a, the reference to "an" establishment means that the applicability of a Member State's law will be triggered by the location of an establishment of the controller in that Member State, and other Member States’ laws could be triggered by the location of other establishments of that controller in those Member States. To trigger the application of the national law, the notion of the "context of activities" of the establishment is decisive. It implies that the establishment of the controller is involved in activities implying the processing of personal data, taking into consideration its degree of involvement in the processing activities, the nature of the activities and the need to guarantee effective data protection."

Dit kan als volgt uitwerken (p. 13):

"In the third scenario, the controller is established in Austria and outsources the processing to a processor in Germany. The processing in Germany is in the context of the activities of the controller in Austria. That is to say, the processing is carried out for the business purposes of, and on instructions from the Austrian establishment. Austrian law will be applicable to the processing carried out by the processor in Germany. In addition, the processor will be subject to the requirements of German law in relation to the security measures it is obliged to put in place in connection with the processing. Such arrangements would require coordinated supervision by the German and Austrian DPAs."

Tot slot doet de Artikel 29 Werkgroep de suggestie om de wetgeving als volgt aan te passen (p. 31):

"[...] The Working Party considers that Article 4(1)a as it stands now leads to a workable but sometimes complex solution, which seems to argue in favour of a more centralised and harmonised approach.

c. The change envisaged in order to simplify the rules for determining applicable law would consist of a shift back to the country of origin principle: all establishments of a controller within the EU would then apply the same law regardless of the territory in which they are located. In this perspective, the location of the main establishment of the controller would be the first criterion to be applied. The fact that several establishments exist within the EU would not trigger a distributed application of national laws."

De (Engelstalige) opinie vindt u hier als pdf of via deze link.

Voor een interessante discussie over toepasselijk recht tussen Lokke Moerel en het Cbp, zie Computerrecht 2008, 61, 168 en 169.

Update 10/1/2010: Zie ook dit interessante artikel van Lokke Moerel d.d. 23 december 2010 (pdf of link), met de makkelijke titel: "The long arm of EU data protection law: Does the Data Protection Directive apply to processing of personal data of EU citizens by websites worldwide?", International Data Privacy Law, 2011.

 

IT 186

De grenzen van het privacyrechtelijke inzagerecht

Blog van Mark Jansen. De rechtbank Utrecht heeft op 29 november drie interessante uitspraken gewezen waarin zij de grenzen aangeeft van het inzagerecht dat op grond van het privacyrecht bestaat.

Ruim inzagerecht

Op grond van artikel 35 Wet bescherming persoonsgegevens (WBP) heeft iedereen van wie persoonsgegevens worden verwerkt het recht op inzage welke gegevens worden verwerkt. De Hoge Raad heeft enkele jaren geleden al uitgemaakt dat wie een dergelijk verzoek doet dit niet hoeft te motiveren maar kan “volstaan met een verwijzing naar art. 35 Wbp” en dat hij mag verwachten dat “de vervolgens aan te reiken informatie transparant en volledig zal zijn“. Dat sluit ook aan bij de opmerkingen uit de wetsgeschiedenis dat het inzagerecht samenhangt met het transparantiebeginsel: een ieder moet in beginsel in de gelegenheid zijn om na te kunnen gaan of zijn gegevens worden verwerkt.

Uitzonderingen

Er zijn echter ook grenzen aan het inzagerecht. Op grond van artikel 43 WBP mag een inzageverzoek worden geweigerd voor zover dit noodzakelijk is in het belang van “de bescherming van de betrokkene of van de rechten en vrijheden van anderen“. In twee van de drie hierna te bespreken zaken doet deze uitzondering zich voor.

Verder is van belang te onthouden dat het inzagerecht alleen bestaat wanneer de Wet bescherming persoonsgegevens van toepassing is. Dat lijkt evident, maar zoals hierna zal blijken kan een verzoek op grond van artikel 35 WBP ook daarop stranden (zie de 3e kwestie).

Gegevens uit meldingsysteem ziekenhuis niet ter inzage voor betrokkene

De eerste uitspraak van de rechtbank Utrecht zag op een geschil tussen een (voormalig) patiënte en een ziekenhuis. De patiënte was in het verleden geopereerd en daarbij was – zo bleek later – een spons in de buik van de vrouw achtergebleven. Dit incident is intern in het ziekenhuis gemeld in haar meldingssysteem. Dat systeem is door het ziekenhuis opgesteld in het kader van haar kwaliteitsbeleid en met als bedoeling dat personeel zonder angst voor repercussies incidenten vertrouwelijk kan melden.

In het kader van het verhalen van de schade op het ziekenhuis, heeft de vrouw bij het ziekenhuis met een beroep op artikel 35 WBP zowel afschrift van haar medische dossier als van deze melding in het meldingssysteem opgevraagd. Afschrift van het dossier is door het ziekenhuis verschaft, maar afschrift van de melding is door het ziekenhuis geweigerd. De vrouw verzoekt nu aan de rechtbank het ziekenhuis te bevelen ook deze gegevens te verschaffen.

De rechtbank wijst dit verzoek echter af. De rechtbank volgt het verweer van het ziekenhuis dat “voor het goed functioneren van het meldingssysteem vertrouwelijkheid gegarandeerd moet zijn“. Dat rechtvaardigt volgens de rechtbank ook dat artikel 35 WBP buiten toepassing blijft. Ik kan mij goed vinden in deze overweging.

De rechtbank overweegt ook nog (ten overvloede) dat gegevens in het meldingsysteem niet bestaan uit “persoonsgegevens in de zin van de Wbp“. Gezien de ruime definitie van persoonsgegevens en de ruime uitleg die de gezamenlijke privacytoezichthouders aan dit begrip geven is maar de vraag of die constatering helemaal juist is.

Advies van medisch adviseur verzekraar niet ter inzage voor betrokkene

In de tweede uitspraak gaat het ook om een kwestie over medische aansprakelijkheid. Een vrouw was enkele jaren geleden foutief door een ziekenhuis behandeld. Zij stelt het ziekenhuis aansprakelijk voor deze fout en de dientengevolge geleden schade.

In het kader van deze aansprakelijkheidsstelling heeft zij bij de verzekeraar van het ziekenhuis een kopie opgevraagd van (1) de medische informatie die zij over haar heeft en (2) van het medisch advies dat deze verzekeraar over deze kwestie heeft ontvangen. De kopie van de medische gegevens is aan haar verschaft, het verschaffen van de kopie van het (voor intern gebruik bedoelde) medische advies is echter geweigerd. Tegen deze weigering komt de vrouw nu bij de rechtbank op.

De verzekeraar had (kort samengevat) betoogd dat zij vertrouwelijk met haar adviseur moet kunnen overleggen over lopende aansprakelijkheidskwesties. De rechtbank volgt haar daarin: ” Het zou de ongestoorde gedachtewisseling van de aangesproken persoon – in dit geval de verzekeraar – om te kunnen komen tot een standpunt naar aanleiding van de aansprakelijkstelling en zijn positie ten opzichte van de wederpartij in een eventuele procedure te zeer (kunnen) schaden als van de inhoud van de adviezen van de medisch adviseur aan de betrokkene/wederpartij mededeling zou moeten worden gedaan in de zin van artikel 35 Wbp.”.

Ook in deze uitspraak kan ik me vinden. Soortgelijke kwesties doen zich bijvoorbeeld ook bij advocaten voor. Het zou het beroepsgeheim van advocaten geweld aandoen wanneer betrokkenen met een beroep op de WBP inzage in vertrouwelijke correspondentie zouden kunnen opeisen. De zaak doet wat dat betreft denken aan een eerdere uitspraak van de rechtbank Zutphen waarover ik geblogd heb en waarin uitdrukkelijk is bepaald dat inzage in de correspondentie met de advocaat niet onder het inzagerecht valt.

Klachtdossier seksuele intimidatie valt niet onder de WBP

De derde kwestie handelt over een klacht over seksuele intimidatie die was ingediend bij de klachtcommissie van de betreffende onderneming. Nadat de klachtcommissie uitspraak had gedaan, heeft de klagende vrouw een kopie van het klachtdossier verzocht. Deze kopie is haar geweigerd. Tegen deze weigering komt ze nu op bij de rechtbank.

De rechtbank weigert het verzoek echter, omdat volgens haar de WBP in dit geval niet van toepassing is. Het betreft hier een papieren dossier en voor toepasselijkheid van de wet is in dat geval vereist dat sprake is van een “bestand” in de zin van de WBP. Volgens de rechtbank is het “door de COO aangelegde klachtdossier is niet te kwalificeren als een dergelijk “bestand”. Het heeft immers uitsluitend betrekking op de door [verzoekster] ingediende klachten en bevat geen (vergelijkbare) persoonsgegevens van anderen.“.

Ik vraag me af of de rechtbank de wet hier niet te eng uitlegt. Er mag weliswaar in dit geval sprake zijn van slechts een enkel klachtdossier, ik kan me niet voorstellen dat een commissie die nota bene is aangesteld om klachten te behandelen die klachten niet op gestructureerde wijze bewaart. De redenering van de rechtbank zou bovendien tot de wat wonderlijke consequentie kunnen leiden dat de eerste klager bij een dergelijke commissie geen inzage in het dossier heeft, maar dat zodra de commissie meer klachten heeft behandeld alle individuele klagers opeens wel inzage in hun dossier zouden kunnen krijgen.

Vergelijk in dat kader ook de opinie van de gezamenlijke privacytoezichthouders over personeelsdossiers: “Not all manual records necessarily fall within the Directive’s scope. They only do so if they form part of a ‘personal data filing system’. This is defined as any structured set of personal data, which are accessible according to specific criteria, whether centralised, decentralised or dispersed on a functional or geographical basis. Most employment records are likely to fall within this definition. However, in some countries, the implementing measures may exclude some hand-written notes retained outside any form of filing system but given the necessarily structured nature of employment records will include most information kept about workers whether centrally or by line managers.

Het zou wat mij betreft overtuigender zijn geweest wanneer de rechtbank ook deze kwestie met een beroep op de uitzondering van artikel 43 WBP zou hebben afgedaan. Klachtencommissies voor seksuele intimidatie kunnen vermoedelijk alleen goed functioneren wanneer zij in vertrouwen alle personen kunnen horen die (al dan niet zijdelings) bij de klacht betrokken zijn en/of die de commissie van informatie kunnen voorzien over de klager en/of de beklaagde. Er zijn waarschijnlijk niet veel mensen bereid mee te werken aan onderzoeken van de klachtencommissie wanneer de klagende partij de volledige inhoud van het betreffende klachtdossier – met daarin o.a. verklaringen van de personen die door de commissie gehoord zijn – eenvoudig met een beroep op artikel 35 WBP kan opvragen. Juist omdat transparantie het functioneren van dergelijke commissies ondergraaft, zou wat mij betreft ook hier een beroep op artikel 43 WBP gerechtvaardigd zijn.

Lees de originele blog hier.

IT 174

Onvoldoende beveiligde websites schenden privacywetgeving

De laatste tijd is er in IT-land veel te doen om de open-source software Firesheep. Met deze software is het heel eenvoudig het acccount van een ander op een website over te nemen. De betreffende websites schenden hiermee de verplichting tot het garanderen van een passend niveau van beveiliging. Gebruikmaken van de software is echter ook niet zonder risico.

Met dank aan Mark Jansen, Dirkzwager advocaten & notarissen

Werking software Firesheep

De software Firesheep maakt gebruik van het volgende principe. Op moderne “web 2.0″ websites moet je veelal inloggen om de (volledige) functionaliteit van de website te kunnen gebruiken (sites als Facebook, Hotmail, Hyves, etc.). Na succesvol inloggen wordt meestal een cookie teruggezonden aan de bezoeker, zodat deze bij een volgend bezoek eenvoudig herkend kan worden. Die cookie wordt vaak onversleuteld verzonden en is dus – bijvoorbeeld bij gebruik van draadloos internet – door iedereen af te vangen. Firesheep detecteert dergelijke onbeveiligd verzonden cookies automatisch op ieder draadloos netwerk in de buurt. Na afvangen van de betreffende cookie kan eenvoudig worden ingelogd op de website onder de naam van degene wiens cookie is afgevangen.

Beveiligingsverplichting

Deze software roept juridisch de nodige vragen op. Websites waarop moet worden ingelogd om toegang te krijgen tot het eigen account, verwerken persoonsgegevens in de zin van de Wet bescherming persoonsgegevens (WBP). Op grond van artikel 13 WBP moet de exploitant van de website “passende technische en organisatorische maatregelen” treffen om die gegevens te beveiligen tegen o.a. verlies. Uit de wetsgeschiedenis volgt dat dit onder andere betekent dat de beveiliging in overeenstemming moet zijn “met de stand van de techniek“.

Huidige stand van de techniek

Een korte zoektocht op internet leert dat diverse bedrijven hun beveiliging naar aanleiding van de software hebben aangepast. Ook blijkt uit onderzoek dat bij diverse websites het inlogproces niet af te luisteren is. Daarmee kan denk ik goed verdedigd worden dat, voor zover het hanteren van een versleuteld inlogproces en het versleuteld versturen van cookies niet al tot de stand van de techniek behoorde, dat thans toch in ieder geval wel de stand van de techniek is geworden.

Risico websitehouders die stand techniek niet gebruiken

Websitehouders die deze stand van de techniek niet hanteren voor hun inlogproces, schenden dus hoogstwaarschijnlijk de beveiligingsverplichting die artikel 13 WBP stelt. Het College Bescherming Persoonsgegevens zou hier tegen kunnen optreden door het opleggen van dwangsommen of boetes. Ook is denkbaar dat individuele gebruikers van wie de account gekaapt is, de websitehouder voor alle daaruit voortvloeiende schade aansprakelijk kunnen stellen.

Risico gebruikers software

Overigens is het gebruik van de Firesheep software ook niet zonder risico. Het inloggen op andermans account met gebruikmaking van afgevangen cookies valt zeer waarschijnlijk onder het delict computervredebreuk (artikel 138ab Wetboek van Strafrecht). Op dit misdrijf staat maximaal een jaar gevangenisstraf of € 19.000 boete. Die gevangenisstraf wordt verhoogd naar maximaal vier jaren wanneer na inloggen op het account gegevens worden overgenomen. Wanneer na inloggen op andermans account gegevens worden gewijzigd, is vermoedelijk sprake van het misdrijf beschreven in artikel 350a Sr. Hierop staat maximaal twee jaar gevangenisstraf en dezelfde boete.

Dit bericht is oorspronkelijk verschenen op: http://dirkzwagerieit.nl/2010/12/02/onvoldoende-beveiligde-websites-schenden-privacywetgeving/ 

IT 169

Recht op data-portabiliteit en het recht om vergeten te worden

Eurocommissaris Neelie Kroes wil aanvullende privacyregels voor cloud computing. Lees de tekst van de inleiding hier die zij gisteren voordroeg bij een congres op een Parijse universiteit. Kroes lijkt onder meer te zinspelen op regelgeving die het voor een consument mogelijk maakt om de informatie die hij bij een dienstverlener heeft opgeslagen, mee te nemen naar een andere dienstverlener (data-portabiliteit). Ook zinspeelt zij op een recht om "vergeten" te kunnen worden.

De inleiding van Kroes gaat over cloud computing, zonder dat precies wordt duidelijk gemaakt wat daaronder wordt verstaan. Uit de context lijkt te volgen dat Kroes doelt op diensten waarbij consumenten informatie opslaan/plaatsen bij een dienstverlener die gebruik maakt van cloud computing.

Smit Kroes:

"So now we need to change the general data protection framework to ensure our fundamental rights and freedoms are well addressed in the digital era. There are important questions to answer, such as:

How do we ensure transparency in the processing of personal data? People should be aware of what they are signing up to. They should have the possibility to review their choice in a user-friendly manner at any time.

Data minimisation: what can be done to ensure that just the right amount of personal data is collected, and nothing more?

The "right to be forgotten" – how can that work in practice? Here I want to pass my personal thanks to Nathalie Kosciusko-Morizet whose relentless work on this subject has been very valuable. Let me be clear: in my view, the issue is not merely about deleting all data. Just like in real life, when you present yourself on the net, you cannot assume no records exist of your past actions. What matters is that in those cases any data records are made irreversibly anonymous before further use is made of them.

Data portability. This is all about freedom of choice: the right for you to change your mind and preference about the services you need. Freedom of choice is only possible when a user can easily and freely transfer his or her data to him or herself and then possibly to another service provider.

Efficient use of the resources invested in data protection is important – both for the supervisory authorities and for the industry complying with it. Unnecessary administrative burdens should be removed where possible. "

Een deel van deze uitgangspunten lijkt overigens al afgevangen in de huidige privacyregelgeving, zoals het beginsel van "data minimisation".

IT 163

Gemeentes in de fout met privacy bij Wob-verzoeken.

 

Op de -algemeen toegankelijke- website van de Vereniging van Nederlandse Gemeenten (VNG) zijn bij behandeladviezen aan gemeenten onder meer de naam en de woonplaats gepubliceerd van indieners van Wob-verzoeken. Het College bescherming persoonsgegevens (CBP) heeft de VNG laten weten dat dit in strijd is met de Wet bescherming persoonsgegevens (Wbp). Zie hier. Michaël van Leeuwen van ICTRecht schreef een column over deze kwestie.

"Vereniging van Nederlandse Gemeenten de fout in bij publicatie Wob-verzoeken met persoonsgegevens
12-11-2010

Bij het publiceren van verzoeken op grond van de Wet openbaarheid van bestuur (Wob) heeft de Vereniging van Nederlandse Gemeenten (VNG) achterwege gelaten die te ontdoen van persoonsgegevens van de indieners. Dat is in strijd met de Wet bescherming persoonsgegevens omdat geen van de situaties uit artikel 8 van die wet, waarin strikt wordt geregeld onder welke omstandigheden de verwerking (en dus ook publicatie) van persoonsgegevens is toegestaan, van toepassing zou zijn.

Dat oordeelde het College Bescherming Persoonsgegevens (CBP) vorige week na het ontvangen van een klacht over de niet-geanonimiseerde Wob-verzoeken die gepubliceerd werden op de VNG-website. Uit de brief, gepubliceerd op overheidsnetwerk Ambtenaar 2.0, blijkt dat de VNG aangaf de Wob-verzoeken te publiceren om advies te geven aan gemeenten over hoe om te gaan met Wob-verzoeken. Inmiddels zouden de persoonsgegevens verwijderd zijn door de VNG, zo geeft in ieder geval de brief van het CBP aan. Een zoekactie van enkele minuten leidt echter nog altijd tot documenten op de VNG-website waar de naam van de indiener van het Wob-verzoek naar voren komt.

De publicatie van andermans persoonsgegevens is alleen toegestaan als er bijvoorbeeld ondubbelzinnige toestemming is verkregen van de betreffende persoon of als de verwerking noodzakelijk is voor een publiekrechtelijke taak. Van die publiekrechtelijke taak kan in het geval van de VNG wel degelijk sprake zijn, maar het CBP gaf aan dat de documenten ook geanonimiseerd hadden kunnen worden omdat dat geen afbreuk zou doen aan het doel dat de VNG met de publicatie van de Wob-verzoeken probeerde te bereiken.

Het proactief openbaar maken van informatie door de overheid zal alleen maar toenemen. Die actieve houding is namelijk vastgelegd in de Wet openbaarheid van bestuur. Bij de uitvoering blijkt dit vaak te knellen met de privacy van de personen die in de gepubliceerde documenten voorkomen. Belangrijk voor het voldoen aan de privacywetgeving is dat niet alleen NAW-gegevens worden verwijderd, maar ook andere gegevens die ervoor zorgen dat te achterhalen is om welke persoon het gaat. Vorig jaar presenteerde het CBP nog richtsnoeren voor de publicatie van persoonsgegevens door de overheid (saillant detail: aan de VNG)."

Lees de originele column hier.

IT 155

Recht van verzet en de bewoners van dit pand

Rechtbank Amsterdam 5 augustus 2010, 455882 / HA RK 10-319 (LJN: BO3254). Verzoeker verzoekt verwijdering van zijn gegevens uit alle bestanden van de Nationale Postcode Loterij (NPL), zowel de gegevens aangaande zijn woonadres als zijn werkadres. Verzoek wordt gedeeltelijk toegewezen. De rechtbank oordeelt dat na het uitoefenen van het recht van verzet ook geen post meer mag worden gericht aan "de bewoners" van het betreffende adres.

A is opgenomen in het postweigeraarsbestand van NPL. Toch heeft hij nog post van NPL ontvangen, namelijk post die is gericht aan "de bewoners van" het woonadres van A. A stelt dat het postweigeraarsbestand kennelijk niet werkt en vordert verwijdering van zijn gegevens uit het bestand. Tegelijkertijd vordert hij dat NPL niet langer post aan hem stuurt. Dat is tegenstrijdig volgens de rechtbank:

"5.8. De rechtbank is verder van oordeel dat het verzoek van [A] om zowel uit het postweigeraarsbestand als uit de adressenbestanden voor het versturen van direct marketing te worden verwijderd, innerlijk tegenstrijdig is. Het is het één of het ander: of [A] wordt verwijderd uit het postweigeraarsbestand en zijn gegevens kunnen dan in de toekomst niet uit de door NPL aangekochte bestanden worden gefilterd, of [A] wordt als postweigeraar geregistreerd en NPL mag zijn gegevens, gelet op het door hem ingeroepen verzet, niet gebruiken voor de verzending van direct marketing."

De vordering om te worden verwijderd uit het postweigeraarsbestand wordt afgewezen:

"5.6. Het verzoek van [A] om verwijdering van zijn gegevens, zowel van zijn privé- als zijn werkadres, uit het postweigeraarsbestand van NPL zal worden afgewezen. Hiertoe overweegt de rechtbank als volgt. Het recht van verzet ex artikel 41 Wbp betreft een absoluut recht. Dit recht, en daarmee het verbod op gegevensverstrekking indien het recht van verzet wordt ingeroepen, ziet echter alleen op de verwerking van gegevens voor commerciële of charitatieve doeleinden. NPL heeft gemotiveerd aangegeven dat het enkele doel van dit bestand is dat wordt voorkomen dat direct mail worden gestuurd aan personen die hun recht van verzet hebben ingeroepen. De stelling van [A] dat het postweigeraarsbestand van NPL een commercieel doel dient is, gelet op de betwisting door NPL, onvoldoende onderbouwd. Het bestand dient geen commercieel of charitatief doel en is het aangewezen middel voor NPL om te kunnen voldoen aan het bepaalde in artikel 41 Wbp. De door NPL gehanteerde methode is in overeenstemming met de Memorie van Toelichting en de informatie van het College Bescherming Persoonsgegevens."

A vordert verwijdering van de persoonsgegevens en aanschrijvingen betreffende zijn werkadres en woonadres die op naam zijn gesteld. Omdat hij op beide adressen na opname in het postweigeraarsbestand geen op naam gestelde post meer heeft ontvangen van NPL, wordt de vordering afgewezen.

De rechter laat A echter niet geheel in de kou staan. A wordt gelijkgesteld met de bewoners van zijn adres:

"5.12. De rechtbank is van oordeel dat NPL wel de correspondentie die is gericht aan “de bewoner(s) van” het woonadres van [A] dient te staken. [A] heeft aangegeven dat hij op zijn woonadres geen post wenst te ontvangen van NPL en zijn recht van verzet ingeroepen. Hieronder valt ook post die niet op zijn naam is gesteld, waarvan niet uit de adressering kan worden afgeleid dat deze post niet voor hem bedoeld is maar voor een ander. [A] valt immers ook onder “de bewoner(s) van” dat adres. Als het mogelijk blijft voor NPL om aldus post aan [A] te sturen, al is deze post volgens NPL niet voor hem bedoeld en ook niet in naam aan hem geadresseerd, dan zou de wet haar doelstelling in dit geval niet bereiken.

5.13. Het door NPL aan het einde van de mondelinge behandeling naar voren gebrachte, nieuwe procedé waardoor wordt voorkomen dat personen die zich als postweigeraar hebben laten registreren post ontvangen die is gericht aan “de bewoner(s) van”, maakt het oordeel van de rechtbank niet anders. Het procedé wordt pas recentelijk toegepast en het is nog te vroeg om vast te kunnen stellen of het systeem werkt. Thans kan niet redelijkerwijs al worden aangenomen dat [A] geen belang heeft bij dit gedeelte van het verzoek. Derhalve zal, ondanks deze nieuwe maatregel, het gedeelte van het verzoek van [A] dat ziet op de ontvangst van aanschrijvingen gericht aan “de bewoner(s) van” zijn woonadres, gelegen aan de -- te --, worden toegewezen. NPL zal worden bevolen deze aanschrijvingen te staken en gestaakt houden."

Lees de uitspraak hier.

IT 153

Diverse commentaren inzake depot verkeersgegevens

De rechtbank Alkmaar oordeelde onlangs dat iemand zijn internetprovider moest verzoeken de verkeersgegevens (als bedoeld in de telecommunicatiewet) over zijn privé internetgebruik over een bepaalde periode ter bewaring te geven aan een notaris (zie IT en Recht IT 146). Inmiddels zijn er diverse commentaren verschenen bij de uitspraak en kunnen wij zelfs een noot uit Internetrecht voorpubliceren van Tina van der Linden.

Met veel dank aan Arnoud Engelfriet, die deze commentaren bij elkaar heeft gebracht en de toestemming voor de voorpublicatie heeft geregeld. Arnoud vond ook nog deze oudere opmerking van Gerrit-Jan Zwenne in een noot bij Promusicae:

"Een interessante vraag is of de gegevens die op grond van de nieuwe wet moeten worden bewaard, al dan niet aan rechthebbenden zouden mogen worden verstrekt in het kader van civiele procedures tegen vermeende inbreukmakers. Het komt mij voor dat de tekst van de Data Retentie Richtlijn daarvoor géén mogelijkheden biedt. Omdat auteursrechthebbenden dit waarschijnlijk anders zien, zou dit wel eens aanleiding kunnen zijn voor nieuwe procedures en wellicht nieuwe prejudiciële vragen."

Zie hier.