Voor de ontwikkeling van generatieve AI zijn grote hoeveelheden data nodig. Veel AI-ontwikkelaars verzamelen die data door middel van webscraping: het geautomatiseerd ophalen van informatie van het openbare internet. Gescrapete bronnen bevatten niet alleen teksten en afbeeldingen, maar vaak ook persoonsgegevens. Tegen die achtergrond heeft de European Data Protection Board (EDPB) richtlijnen vastgesteld. Deze geven een volledig beeld van de AVG-verplichtingen die gelden bij het verzamelen en gebruiken van online data voor het trainen en verfijnen van generatieve AI-modellen. Het betreft een ‘eerste versie’. De richtlijnen staan open voor publieke consultatie en kunnen naar aanleiding daarvan nog worden aangepast.

De richtlijnen beperken zich nadrukkelijk tot webscraping (i) door private partijen en (ii) van bronnen buiten de eigen organisatie. Zij zien zowel op situaties waarin een AI-ontwikkelaar zelf data scrapet of laat scrapen, als op situaties waarin een door een andere partij samengestelde dataset wordt hergebruikt. Dus niet op datahandelaren die datasets samenstellen en beschikbaar stellen, zonder zelf een AI-model te ontwikkelen.

Rb. Gelderland 3 juni 2026, IT 5361; ECLI:NL:RBGEL:2026:5268 ([de eiser] tegen Thuiswinkel). Een betrokkene vordert van Thuiswinkel.org volledige inzage in zijn persoonsgegevens op grond van artikel 15 AVG, op straffe van een dwangsom, en € 500 aan immateriële schadevergoeding, vermeerderd met rente en kosten. Hij stelt dat Thuiswinkel.org ondanks herhaalde verzoeken geen volledige inzage heeft verstrekt en dat hij daardoor onder meer onzekerheid, verlies van controle over zijn persoonsgegevens, stress en machteloosheid ervaart. Thuiswinkel.org voert aan dat de dagvaarding nietig is omdat niet alle voornamen van de eiser zijn vermeld en betwist onder meer zijn identiteit, de positie van zijn gemachtigde en de integriteit van zijn handelen. Ook stelt zij dat de eiser misbruik maakt van zijn inzagerecht en procesrecht. De kantonrechter passeert het beroep op nietigheid in dit stadium, omdat Thuiswinkel.org in de procedure is verschenen en niet aannemelijk is geworden dat zij door het ontbreken van de tweede voornaam onredelijk is benadeeld als bedoeld in artikel 66 Rv. Het griffierecht is weliswaar te laat betaald, maar uit de administratie blijkt dat de factuur naar een onjuist adres was verzonden. Omdat de te late betaling niet aan de eiser is te wijten, wordt Thuiswinkel.org niet op grond van artikel 127a lid 2 Rv van de instantie ontslagen.

Rb. Amsterdam 21 mei 2026, IEF 5360; ECLI:NL:RBAMS:2026:6951 ([verzoeker 1] en [verzoeker 2] tegen Bitvavo). Twee klanten van Bitvavo zijn slachtoffer geworden van helpdeskfraude waarbij gezamenlijk ruim € 2,7 miljoen aan cryptovaluta is buitgemaakt. De fraudeurs beschikten volgens hen over specifieke informatie, waaronder het type hardwarewallet, het actuele cryptotegoed, de soorten cryptovaluta en gegevens over de wijze waarop toegang tot de accounts werd verkregen. Omdat in mei 2024 bij Bitvavo een datalek had plaatsgevonden, vermoeden de slachtoffers dat de gebruikte informatie van Bitvavo afkomstig was en overwegen zij het cryptoplatform aansprakelijk te stellen. Zij verzoeken om een voorlopig getuigenverhoor van de voormalige en huidige head of legal van Bitvavo over onder meer het beleid rond datalekken, toegang tot klantgegevens en logging. Daarnaast verzoeken zij om een voorlopig deskundigenbericht naar de ICT-systemen van Bitvavo, het datalek en de vraag of hun persoonsgegevens daarbij betrokken waren. De rechtbank wijst het voorlopig getuigenverhoor af en wijst ook het deskundigenonderzoek af voor zover dit ziet op een algemeen onderzoek naar de ICT-systemen, het datalek in brede zin en eventuele andere datalekken. Deze verzoeken zijn zeer algemeen geformuleerd, onvoldoende op de verzoekers toegespitst en hun concrete belang daarbij is onvoldoende toegelicht. Zij hebben daarom het karakter van een zoektocht naar mogelijke verwijten, oftewel een ongeoorloofde fishing expedition, en leveren in zoverre misbruik van recht op.

Rb. Amsterdam 24 juni 2026, IT 5358; ECLI:NL:RBAMS:2026:6444 ([eiser] tegen [gedaagden]). In deze zaak oordeelt de rechtbank Amsterdam dat [eiser] onvoldoende heeft onderbouwd dat de vennootschappen van zijn communicatieadviseur en advocaat jegens hem toerekenbaar zijn tekortgeschoten dan wel onrechtmatig hebben gehandeld bij hun advisering over het commentaar dat hij aan een journalist van het FD heeft gegeven. Voor de vorderingen tegen de communicatieadviseur en advocaat persoonlijk geldt dat geen persoonlijk ernstig verwijt is komen vast te staan. [eiser] was directielid bij [bedrijf] en werd vanaf 2021 verdacht van het mededelen van en handelen met voorwetenschap. Het strafrechtelijk onderzoek naar hem eindigde in een transactie met het Openbaar Ministerie. Nadat een journalist van het FD hem in dat verband om wederhoor vroeg voor een artikel, schakelde [eiser] de vennootschappen van een communicatieadviseur en een advocaat in om hem te adviseren over de vraag of, en zo ja welk, commentaar hij aan de journalist moest geven. In het uiteindelijk aan de journalist gegeven commentaar stond onder meer dat geen sprake was van het bewust delen of gebruiken van verboden informatie, maar dat een familielid zonder medeweten van [eiser] had gehandeld op basis van een onschuldig bedoeld gesprek. Die passage werd overgenomen in het FD-artikel. Kort daarna werd [eiser] door [bedrijf] op non-actief gesteld en later op staande voet ontslagen. Volgens [eiser] kon de passage worden opgevat als een bekentenis dat hij voorwetenschap had gedeeld. Hij stelt dat hij ondeugdelijk is geadviseerd en dat de bewuste passage heeft bijgedragen aan zijn ontslag. Hij vordert schadevergoeding uit hoofde van wanprestatie dan wel onrechtmatige daad.

Rb. Den Haag 27 mei 2026, IT 5355; ECLI:NL:RBDHA:2026:14022 (Talisman tegen Lemontree c.s.). Talisman Software B.V. en Lemontree Interim Solutions B.V. (LIS) hadden een mantelovereenkomst gesloten voor het ter beschikking stellen van arbeidskrachten voor ICT-diensten. In strijd met het daarin opgenomen exclusiviteitsbeding leende LIS een via Talisman ingezette arbeidskracht zonder toestemming rechtstreeks uit aan een klant. LIS werd daarom bij vonnis van 14 februari 2024 veroordeeld tot betaling van € 193.000 aan contractuele boetes, vermeerderd met wettelijke rente en proceskosten. Nadat de bedrijfsactiviteiten van LIS waren beëindigd en tot liquidatie was besloten, stelde Talisman Lemontree Holding B.V., Lemontree B.V., de indirect bestuurder en een gevolmachtigde aansprakelijk voor het niet kunnen verhalen van haar vordering. Volgens Talisman hadden zij toegelaten dat LIS haar contractuele verplichtingen schond, LIS bewust leeggehaald of betalingsonmacht gecreëerd, een op Lemontree Holding als moedervennootschap rustende zorgplicht geschonden en misbruik gemaakt van het identiteitsverschil tussen LIS en Lemontree B.V.

Prejudiciële vragen aan de Hoge Raad 3 juli 2026, IT 5357; ECLI:NL:HR:2026:1159 ([deelnemers] tegen TSG en Electraworks). De Hoge Raad beantwoordt prejudiciële vragen van de rechtbank Amsterdam en de rechtbank Noord-Holland over de civiele geldigheid van overeenkomsten met aanbieders van online kansspelen zonder Nederlandse vergunning. In de onderliggende procedures vorderen twee deelnemers terugbetaling van hun gokverliezen van respectievelijk TSG, aanbieder van PokerStars, en Electraworks, exploitant van onder meer partycasino.com. Beide aanbieders beschikten niet over een vergunning op grond van de Wet op de kansspelen (Wok) om in Nederland online kansspelen aan te bieden. De deelnemers stellen dat de kansspelovereenkomsten nietig of vernietigbaar zijn wegens strijd met art. 1 lid 1 onder a Wok en art. 3:40 BW. De prejudiciële vragen zien in de kern op de vraag of het zonder vergunning aanbieden van online kansspelen meebrengt dat de met deelnemers gesloten overeenkomsten civielrechtelijk nietig of vernietigbaar zijn, en of deelnemers hun verloren inzetten daarom als onverschuldigd betaald kunnen terugvorderen.

Rb. Noord-Holland 3 juli 2026, IT 5354; ECLI:NL:RBNHO:2026:8057 ([verzoeker] tegen ICS). In een tussenbeschikking beoordeelt de Rechtbank Noord-Holland twee incidentele verzoeken in een procedure tussen een verzoeker en International Card Services B.V. (ICS). ICS verzocht de zaak op grond van artikel 285 lid 2 Rv te voegen met een andere, eveneens tussen dezelfde partijen aanhangige procedure. De verzoeker verzette zich daartegen en stelde dat de procedures verschillende rechtsvragen betroffen: enerzijds de naleving van onder meer de artikelen 12 en 15 AVG en anderzijds de rechtmatigheid van een CAAML-registratie. De rechtbank oordeelt dat voor voeging voldoende is dat tussen de onderwerpen een zodanige samenhang bestaat dat gezamenlijke behandeling uit doelmatigheidsoverwegingen gerechtvaardigd is. Beide procedures spelen tussen dezelfde partijen, lopen in de tijd gelijk en zijn volgens de inleidende processtukken gebaseerd op de gestelde onrechtmatige verwerking van persoonsgegevens door ICS. De rechtbank wijst het verzoek tot voeging daarom toe.

Rb. Amsterdam 18 juni 2026, IT 5353; ECLI:NL:RBAMS:2026:6092 ([eiser] tegen Kyrrex Ltd en Rex Ltd). Een belegger stelde dat hij tussen juni en augustus 2025 slachtoffer was geworden van online beleggingsfraude via het platform Horizons28. Personen die zich voordeden als medewerkers van dat platform zouden hem ertoe hebben bewogen meer dan € 650.000 over te maken voor de aankoop van cryptovaluta, die vervolgens naar door hen opgegeven blockchainadressen werden verzonden. Toen de belegger zijn vermeende belegging wilde opnemen, bleek dit niet mogelijk en deed hij aangifte van fraude. Volgens door hem verricht blockchainonderzoek was een aanzienlijk deel van de cryptovaluta via een zogenoemde nested-serviceconstructie terechtgekomen op depositadressen die konden worden herleid tot het Kyrrex-platform, dat volgens hem door Kyrrex Ltd en Rex Ltd werd geëxploiteerd. De belegger verzocht daarom op grond van artikel 196 Rv om verstrekking van de bij deze ondernemingen bekende identificerende gegevens van de aan de depositadressen en transactiecodes gekoppelde accounthouder(s), waaronder naam, geboortedatum, adres, identiteitsbewijs, foto of gezichtsscan, IP-adres, telefoonnummer en e-mailadres. Daarnaast verzocht hij om de mutatieoverzichten vanaf 26 juni 2025, zodat hij zijn rechtspositie kon bepalen en kon beoordelen of hij een vordering uit onrechtmatige daad kon instellen tegen de ontvangers van de cryptovaluta of tegen Kyrrex Ltd en Rex Ltd zelf.

Rb. Midden-Nederland 17 juni 2026, RB 4050; IT 5356; ECLI:NL:RBMNE:2026:3796 ([eiser] tegen [gedaagde]). Een bewoner sprak met zijn buurman af dat deze een Ziggo-abonnement voor internet en televisie voor hem zou afsluiten, waarvoor hij maandelijks € 92,50 betaalde. De kantonrechter merkt de buurman aan als handelaar, omdat het zakelijke abonnement was afgesloten op naam van zijn eenmanszaak, waarvan de activiteiten mede bestonden uit IT-dienstverlening, en hij naast de abonnementskosten kosten voor het inboeken en btw doorberekende. Dat de afspraak tussen buren was gemaakt, doet daaraan niet af. Omdat de overeenkomst buiten de verkoopruimte tot stand was gekomen, moest de handelaar vooraf duidelijke en begrijpelijke informatie verstrekken over onder meer de prijs en de wijze van betaling en de overeenkomst vervolgens op papier of, met toestemming, op een andere duurzame gegevensdrager bevestigen. Hij kon niet bewijzen dat hij aan deze verplichtingen had voldaan. Ook had hij onvoldoende duidelijk gemaakt dat het abonnement een looptijd van 36 maanden had, hoe het maandbedrag was samengesteld en dat hij een commercieel oogmerk had. Het weglaten of onduidelijk verstrekken van deze essentiële informatie vormt volgens de kantonrechter een misleidende omissie en daarmee een oneerlijke handelspraktijk.

Rb. Den Haag 27 mei 2026, IT 5352; ECLI:NL:RBDHA:2026:15919 (eisers tegen KINDRED GROUP PLC en RISEPOINT LIMITED). Elf spelers vorderden op grond van artikel 15 AVG inzage in de persoonsgegevens die waren verwerkt bij hun deelname aan online kansspelen via Unibet vóór 1 oktober 2021. De Nederlandse rechter is op grond van artikel 79 lid 2 AVG bevoegd. Niet in geschil was dat de gevraagde transactiegegevens persoonsgegevens zijn en dat Risepoint, voorheen Trannel, verwerkingsverantwoordelijke is. De rechtbank oordeelt dat ook Kindred als verwerkingsverantwoordelijke gold voor de inzageverzoeken die tussen mei en eind oktober 2024 waren ingediend. Kindred oefende toen via het centrale privacybeleid, het OneTrust-platform en het Kindred Privacy Team mede beslissende invloed uit op het doel en de wezenlijke middelen van de verwerking. De hoedanigheid van verwerkingsverantwoordelijke moet worden beoordeeld naar de feitelijke situatie op het moment waarop het inzageverzoek wordt gedaan. Na het vertrek van Risepoint uit de Kindred-groep eind oktober 2024 bepaalde Risepoint zelfstandig het doel en de middelen van de verwerking. Daarom hoefde Kindred niet te voldoen aan de pas daarna ingediende verzoeken van eisers 5 en 9, terwijl Risepoint tegenover alle eisers verantwoordelijk bleef.