Hof Den Haag 13 oktober 2026, IT 5642; ECLI:NL:GHDHA:2026:3005 ([appellante] tegen [geïntimeerde]). Het hof oordeelt dat een cyberverzekeraar het door een verzekerde betaalde losgeld na een ransomwareaanval moet vergoeden, omdat niet is komen vast te staan dat de uitkering in strijd zou zijn met Amerikaanse sanctieregelgeving. De zaak betreft een onderneming in de logistieke dienstverlening die in februari 2021 slachtoffer werd van een cyberaanval met de ransomware DoppelPaymer, waarbij ook de malware Dridex werd gebruikt. Een groot deel van het netwerk werd versleuteld, vitale back-upsystemen werden getroffen en ten minste 13.228 bestanden werden buitgemaakt. De onderneming betaalde vervolgens losgeld aan de hackers en vorderde vergoeding van deze betaling en de daarmee samenhangende kosten op grond van haar cyberverzekering. De verzekeraar weigerde uitkering, omdat het losgeld volgens haar waarschijnlijk ten goede was gekomen aan de Russische hackersgroep Evil Corp, die op de sanctielijst van de Amerikaanse Office of Foreign Assets Control (OFAC) staat. Zij beriep zich onder meer op twee bepalingen uit de polisvoorwaarden die volgens haar uitsloten dat zij in strijd met sanctieregelgeving dekking moest verlenen. Het hof stelt voorop dat de verzekeraar heeft erkend dat het betaalde losgeld in beginsel onder de dekking van de cyberverzekering valt. De polisvoorwaarden moeten volgens de Haviltex-maatstaf worden uitgelegd, waarbij vanwege het ontbreken van onderhandelingen over de betreffende bepalingen vooral gewicht toekomt aan hun bewoordingen en aan de polisvoorwaarden als geheel. Artikel 4.1 betreft uitsluitend het territoriale dekkingsgebied en bevat geen zelfstandige sanctieclausule. Artikel 4.28 vormt daarentegen wel een dekkingsuitsluiting, waarvan de verzekeraar de toepasselijkheid moet stellen en zo nodig bewijzen. Deze bepaling staat weigering van uitkering alleen toe wanneer de uitkering een inbreuk op sanctiewet- en regelgeving zou vormen. De enkele mogelijkheid dat sancties worden opgelegd of onzekerheid over de toepasselijkheid van sanctieregelgeving is daarvoor onvoldoende.

Rb. Amsterdam 15 oktober 2026, IT 5641; ECLI:NL:RBAMS:2026:10290 ([verzoeker 1] en [verzoeker 2] tegen Bitvavo). De rechtbank bepaalt dat een voorlopig deskundigenonderzoek naar een datalek bij cryptoplatform Bitvavo en de toegang van medewerkers tot klantaccounts pas mag plaatsvinden nadat partijen een geheimhoudingsovereenkomst hebben gesloten. De zaak betreft twee klanten van Bitvavo die vermoeden dat medewerkers zonder gerechtvaardigde reden hun accounts hebben ingezien en dat hun persoonsgegevens mogelijk betrokken zijn geweest bij een datalek in mei 2024. De rechtbank had bij tussenbeschikking van 21 mei 2026 al een voorlopig deskundigenonderzoek bevolen naar de vraag of hun gegevens bij het datalek betrokken waren en welke medewerkers tussen 1 januari 2024 en 1 september 2025 toegang tot hun accounts hadden gehad, wanneer en om welke reden. Bitvavo verzoekt de rechtbank haar eerdere feitelijke omschrijving aan te passen en voert aan dat bij het deskundigenonderzoek rekening moet worden gehouden met de privacy van haar medewerkers en de vereisten van noodzakelijkheid en proportionaliteit uit de AVG. De rechtbank ziet geen aanleiding om haar eerdere belangenafweging te wijzigen. Het belang van de verzoekers om te achterhalen welke medewerkers hun accounts hebben ingezien, weegt in dit geval zwaarder dan het privacybelang van de medewerkers. Daarbij acht de rechtbank vooral van belang dat fraudeurs die de verzoekers hadden benaderd, beschikten over zeer specifieke informatie, waaronder hun exacte cryptosaldi, de soorten cryptovaluta die zij bezaten en gegevens over hun beveiligingsmiddelen. Volgens de rechtbank onderscheidt deze informatie zich van gegevens die fraudeurs bijvoorbeeld via een datalek bij een derde zouden kunnen hebben verkregen.

HvJ EU 5 november 2026, IT 5640; ECLI:EU:C:2026:933 (Bayerisches Landesamt für Datenschutzaufsicht). Het Hof van Justitie van de Europese Unie oordeelt dat een toezichthoudende autoriteit die een klacht op grond van artikel 77 AVG behandelt, zelf als verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG moet worden aangemerkt voor de persoonsgegevens van de klager die zij daarbij verwerkt. De zaak betreft een geschil tussen de Duitse journalist Joachim Lindenberg en het Bayerische Landesamt für Datenschutzaufsicht, de Beierse toezichthouder op gegevensbescherming. Lindenberg had bij de toezichthouder een klacht ingediend over een derde, waarna een onderzoeksprocedure werd ingesteld. Nadat de toezichthouder hem had meegedeeld dat bij deze derde inbreuken op de gegevensbeschermingsregels waren vastgesteld, verzocht Lindenberg op grond van artikel 15 AVG om inzage in zijn dossier. De toezichthouder wees dit verzoek af onder verwijzing naar artikel 20, lid 2, van de Beierse wet inzake gegevensbescherming, dat het recht op informatie en inzage in dossiers en bestanden van toezichthoudende autoriteiten uitsluit. Hoewel Lindenberg later alsnog inzage in het dossier kreeg, bleef hij een rechterlijk oordeel verlangen over de rechtmatigheid van de eerdere weigering. Het Hof overweegt dat een toezichthouder bij de behandeling van een klacht persoonsgegevens van de klager vastlegt, raadpleegt, opslaat en gebruikt en daarom als verwerkingsverantwoordelijke moet worden beschouwd. De toezichthouder is bijgevolg in beginsel verplicht de klager inzage te verlenen in de hem betreffende persoonsgegevens en de in artikel 15 AVG genoemde informatie. Dit recht omvat echter geen algemeen recht op inzage in het volledige administratieve dossier of alle documenten waarover de toezichthouder beschikt.

HvJ EU Conclusie A-G 15 oktober 2026, IT 5638; ECLI:EU:C:2026:871 (Universal Versand). Advocaat-generaal Medina concludeert dat de automatische weigering van bepaalde betaalmethoden op basis van een geautomatiseerde kredietwaardigheidsbeoordeling onder artikel 22, lid 1, AVG kan vallen wanneer die weigering eraan in de weg kan staan dat een koopovereenkomst tot stand komt. De zaak betreft een geschil tussen de Oostenrijkse consumentenorganisatie Verein für Konsumenteninformation en postorderbedrijf Universal Versand GmbH. Het bedrijf beoordeelt de kans op wanbetaling van klanten via een geautomatiseerd proces voordat zij gebruik mogen maken van betaalmethoden zoals betaling op rekening of in termijnen. Bij nieuwe klanten wordt daarvoor een externe kredietwaardigheidscontrole uitgevoerd. Wanneer een klant bij het externe bedrijf niet bekend is of een ongunstige beoordeling krijgt, kan de gewenste betaalmethode automatisch worden geweigerd. De klant kan dan nog wel met bijvoorbeeld een creditcard of PayPal betalen en heeft bij een automatische weigering de mogelijkheid om een handmatige controle te verzoeken en het besluit aan te vechten. Volgens de consumentenorganisatie is deze praktijk systematisch in strijd met artikel 22 AVG. De advocaat-generaal overweegt dat een uitsluitend op geautomatiseerde verwerking gebaseerd besluit voor een klant rechtsgevolgen kan hebben of hem anderszins in aanmerkelijke mate kan treffen wanneer de weigering van bepaalde betaalmethoden ertoe kan leiden dat hij de overeenkomst niet kan sluiten, bijvoorbeeld omdat hij de koopprijs niet onmiddellijk kan voldoen. Het feit dat alternatieve betaalmethoden beschikbaar blijven, sluit de toepasselijkheid van artikel 22, lid 1, AVG daarom niet uit.

HvJ EU 5 november 2026, IT 5636; ECLI:EU:C:2026:936 (Netz Niederösterreich () en compteurs intelligents). Het Hof van Justitie van de Europese Unie oordeelt dat een netbeheerder op grond van richtlijn 2019/944 niet verplicht is tegemoet te komen aan de wens van een eindafnemer om geen slimme elektriciteitsmeter te ontvangen en in plaats daarvan een conventionele meter ter beschikking te stellen. De zaak betreft een geschil tussen een Oostenrijkse consument en netbeheerder Netz Niederösterreich GmbH over de vervanging van een conventionele elektriciteitsmeter door een slimme meter. De consument weigert de vervanging vanwege zorgen over elektromagnetische straling en de bescherming van haar persoonsgegevens. Zij stelt onder meer dat de gegevensoverdracht onvoldoende beveiligd is en dat zij niet kan controleren of de netbeheerder toegang tot haar verbruiksgegevens heeft verkregen. Het Hof overweegt dat de artikelen 19, 21 en 22 van richtlijn 2019/944, gelezen in samenhang met bijlage II, de invoering van slimme-metersystemen sterk aanmoedigen om energie-efficiëntie en de actieve deelname van consumenten aan de energiemarkt te bevorderen. Hoewel eindafnemers die niet over een slimme meter beschikken recht hebben op een conventionele meter die aan bepaalde minimumeisen voldoet, volgt hieruit geen algemeen recht om de installatie van een slimme meter te weigeren of in alle gevallen een conventionele meter te behouden.

HvJ EU Conclusie A-G 5 november 2026, IT 5637; ECLI:EU:C:2026:948 (Undelam). Advocaat-generaal Szpunar concludeert dat een dynamisch IP-adres dat door een websitebeheerder automatisch aan een derde wordt doorgegeven, onder bepaalde voorwaarden een persoonsgegeven vormt in de zin van artikel 4, punt 1, AVG. De zaak betreft een geschil tussen een Duitse websitebeheerder en een internetgebruiker die met geautomatiseerde software websites bezocht waarop Google Fonts dynamisch was geïntegreerd. Door deze configuratie werden de lettertypen rechtstreeks van Google-servers geladen, waarbij het dynamische IP-adres van de bezoeker automatisch aan Google in de Verenigde Staten werd doorgegeven. De gebruiker had software ontwikkeld om dergelijke websites op te sporen en automatisch te bezoeken, waarna hij via zijn advocaat een financiële vergoeding verlangde wegens vermeende AVG-inbreuken. De websitebeheerder betaalde aanvankelijk 170 euro, maar vorderde dit bedrag later terug. Volgens de advocaat-generaal moet bij de kwalificatie van een dynamisch IP-adres als persoonsgegeven worden beoordeeld of de ontvanger beschikt over middelen waarvan redelijkerwijs valt te verwachten dat daarmee de betrokkene kan worden geïdentificeerd. Daarbij is een niet-onbeduidend identificatierisico voldoende. De mogelijkheid om het IP-adres te combineren met andere door Google verzamelde gegevens kan hierbij van belang zijn. Het staat aan de nationale rechter om dit te beoordelen. Wanneer de ontvanger over dergelijke identificatiemiddelen beschikt, vormt het IP-adres rechtstreeks een persoonsgegeven ten aanzien van die ontvanger en indirect ten aanzien van de websitebeheerder, mits deze wist of had moeten weten dat de ontvanger over die middelen beschikte.

HR 6 oktober 2026, IT 5608; ECLI:NL:HR:2026:1615 ([verdachte], prejudiciële beslissing smartphoneonderzoek). De Hoge Raad buigt zich over prejudiciële vragen van de rechter-commissaris van de Rechtbank Oost-Brabant over de vraag of politie en justitie zonder voorafgaande rechterlijke machtiging een forensische kopie van de inhoud van een inbeslaggenomen smartphone mogen maken. Aanleiding is een strafrechtelijk onderzoek waarin de politie na inbeslagneming van een iPhone een forensische kopie van de gegevens heeft gemaakt om deze veilig te stellen, zonder daarvoor vooraf een machtiging van de rechter-commissaris te verkrijgen. Voor het daaropvolgende inhoudelijke onderzoek aan de gegevens is wel een machtiging gevraagd. De rechter-commissaris vraagt zich af of deze werkwijze verenigbaar is met het Unierecht, in het bijzonder Richtlijn (EU) 2016/680 en het arrest CG/Bezirkshauptmannschaft Landeck (C-548/21). Volgens dat arrest is bij toegang tot persoonsgegevens die het risico van een ernstige of zeer ernstige inmenging in de grondrechten van de betrokkene meebrengt, in beginsel een voorafgaande toetsing door een rechter of onafhankelijk bestuursorgaan vereist.

Rb. Rotterdam 3 september 2025, IT 5598; ECLI:NL:RBROT:2025:12419 ([eiseres] tegen [gedaagde]). Twee softwarebedrijven zijn in 2023 in gesprek gegaan over een samenwerking voor het ontwikkelen en aanbieden van communicatiesoftware voor het sociale domein. Nadat zij gezamenlijk onder de naam van [gedaagde] hadden ingeschreven op een aanbesteding van twee gemeenten en de opdracht aan [gedaagde] was gegund, ontstond onenigheid over de financiële voorwaarden van de samenwerking. Partijen waren overeengekomen dat [eiseres] 30% van de eenmalige implementatievergoeding van € 450.000 zou ontvangen, maar bereikten geen overeenstemming over de verdeling van de werkzaamheden en inkomsten voor het beheer en onderhoud van de software. Volgens de rechtbank behoorden deze afspraken tot de essentiële onderdelen van de beoogde samenwerkingsovereenkomst, omdat de opdracht van de gemeenten naast implementatie ook minimaal vijf jaar beheer en onderhoud omvatte. Nu partijen daarover geen overeenstemming hadden bereikt, is geen samenwerkingsovereenkomst tot stand gekomen. De rechtbank wijst daarom de vordering van [eiseres] tot betaling van € 175.000 op grond van die overeenkomst af. Wel moet [gedaagde] een factuur van € 121.000 inclusief btw betalen voor verrichte implementatiewerkzaamheden. Partijen hadden namelijk afzonderlijk afgesproken dat [eiseres] deze werkzaamheden tegen € 100 per uur, tot maximaal € 100.000 exclusief btw, mocht factureren, ook wanneer de onderhandelingen niet tot een samenwerkingsovereenkomst zouden leiden. De rechtbank veroordeelt [gedaagde] tot betaling van dit bedrag, vermeerderd met wettelijke handelsrente vanaf 30 augustus 2024, en € 40 aan buitengerechtelijke incassokosten, vermeerderd met wettelijke rente vanaf 1 september 2024.

Hof Amsterdam 28 april 2026, ECLI:NL:GHAMS:2026:1170 9[appellant] tgegn [geïntimeerden]). In deze zaak tussen [appellant], [geïntimeerde 1] en [geïntimeerde 2] staat een minicompetitie voor print- en kopieerdiensten centraal, waaronder de levering van multifunctionals, een SaaS-printmanagementoplossing en een betaaloplossing. [appellant], een universiteit, heeft de opdracht voorlopig gegund aan [geïntimeerde 2]. [geïntimeerde 1], de zittende leverancier, betwist de beoordeling van de inschrijvingen en stelt onder meer dat [geïntimeerde 2] ten onrechte extra punten heeft gekregen voor de overgang naar een nieuw betaalsysteem en het contact met studenten op de campus.

Rb. Amsterdam 21 oktober 2026, IEF 23995; RB 4180; IT 5635; ECLI:NL:RBAMS:2026:10630 (SOMI tegen X Corp c.s.). In deze zaak tussen Stichting Onderzoek Marktinformatie (SOMI) en X Corp, staat de ontvankelijkheid van SOMI in een collectieve actie namens ongeveer acht miljoen Nederlandse gebruikers van X (voorheen Twitter) centraal. SOMI stelt dat [gedaagden] met de inrichting, exploitatie en beveiliging van het platform de grondrechten van gebruikers schenden. De verwijten hebben onder meer betrekking op datalekken, ongeoorloofde microtargeting en haatzaaiende berichten. SOMI vordert dat [gedaagden] deze praktijken beëindigen en de schade van gebruikers vergoeden. In een eerder tussenvonnis heeft de rechtbank geoordeeld dat SOMI aan vrijwel alle ontvankelijkheidseisen van de Wet afwikkeling massaschade in collectieve actie (WAMCA) voldoet. Alleen de financiële middelen en de zeggenschap over de collectieve vordering moesten nader worden onderbouwd. De rechtbank stelt voorop dat het middelenvereiste van artikel 3:305a lid 2 onder c BW slechts marginaal hoeft te worden getoetst. Een belangenorganisatie moet aannemelijk maken dat zij over voldoende middelen beschikt of kan beschikken om de procedure te voeren. De rechter hoeft daarbij niet diepgaand te onderzoeken of de organisatie de gehele procedure kan financieren en hoeft evenmin vooraf zekerheid te verkrijgen over de financiering van een eventueel hoger beroep of cassatie. Ook is geen zelfstandig onderzoek vereist naar de kapitaalkrachtigheid en solvabiliteit van de externe procesfinancier.