Risepoint moet Unibet-speler kansspelgegevens verstrekken ondanks mogelijke aansprakelijkstelling

Hof Den Haag 29 september 2026, IT 5555; ECLI:NL:GHDHA:2026:2861 (Risepoint tegen [geïntimeerde]). [geïntimeerde] nam vóór 1 oktober 2021 deel aan online kansspelen van Unibet, die Risepoint destijds zonder Nederlandse vergunning maar onder een Maltese vergunning aan Nederlandse ingezetenen aanbood. Daarbij werden onder verantwoordelijkheid van Risepoint persoonsgegevens van [geïntimeerde] verwerkt, waaronder transactiegegevens. [geïntimeerde] verzocht Risepoint op grond van art. 12 en 15 AVG om inzage in en verstrekking van zijn kansspelgegevens en deed daarbij tevens een beroep op art. 20 AVG. De voorzieningenrechter wees de verstrekkingsvordering toe. In hoger beroep staat alleen deze verstrekkingsvordering nog ter beoordeling. Omdat [geïntimeerde] gewoonlijk in Nederland verblijft, is de Nederlandse rechter op grond van art. 79 lid 2 AVG bevoegd. Het hof neemt tot uitgangspunt dat de vordering naar Nederlands recht moet worden beoordeeld, waarbij de AVG als rechtstreeks werkende Unieverordening integraal deel uitmaakt van het Nederlandse recht. Daarnaast is, voor zover Risepoint zich beroept op een nationale beperking van AVG-rechten op grond van art. 23 AVG, ook het relevante Maltese recht van toepassing, omdat Risepoint als verwerkingsverantwoordelijke in Malta is gevestigd. De Nederlandse Uitvoeringswet AVG is op deze verwerking niet van toepassing. Het hof oordeelt verder dat [geïntimeerde] voldoende spoedeisend belang heeft bij verstrekking van zijn gegevens en dat de zaak geschikt is voor behandeling in kort geding.

Dat [geïntimeerde] de gegevens mogelijk mede wil gebruiken om Risepoint aansprakelijk te stellen, betekent niet dat hij misbruik maakt van het inzage- en verstrekkingsrecht van art. 15 AVG. Onder verwijzing naar het arrest FT/DW van het HvJ EU overweegt het hof dat een verwerkingsverantwoordelijke ook een eerste kopie van de verwerkte persoonsgegevens moet verstrekken wanneer het verzoek wordt gedaan met een ander doel dan het in overweging 63 AVG genoemde doel. Bovendien heeft [geïntimeerde] aangegeven dat hij ook de juistheid van zijn persoonsgegevens en de rechtmatigheid van de verwerking wil controleren. Evenmin is sprake van een kennelijk ongegrond of buitensporig verzoek als bedoeld in art. 12 lid 5 AVG. Risepoint kan de transactiegegevens ook niet achterhouden met een beroep op art. 4(e) van de Maltese RDPR 2018. Die bepaling kan, mede gelet op art. 23 AVG en art. 52 lid 1 Handvest, niet zo worden uitgelegd dat toegang tot persoonsgegevens mag worden geweigerd enkel omdat de betrokkene deze mogelijk wil gebruiken om een rechtsvordering tegen de verwerkingsverantwoordelijke te bepalen of te onderbouwen. Een dergelijke uitleg zou het recht op toegang tot de eigen persoonsgegevens in de kern aantasten en verder gaan dan noodzakelijk is om Risepoint in staat te stellen zich tegen een eventuele vordering te verdedigen. Ook art. 23 lid 1 onder i AVG biedt Risepoint geen zelfstandige grond om het inzagerecht te beperken: die bepaling schept slechts de mogelijkheid voor de Unie- of nationale wetgever om dergelijke beperkingen bij afzonderlijke regelgeving vast te stellen. Dat Risepoint met veel vergelijkbare verzoeken wordt geconfronteerd en daardoor aanzienlijke werkzaamheden en kosten heeft, kan zij evenmin aan [geïntimeerde] tegenwerpen.

Ook het bezwaar tegen de vorm waarin de gegevens moeten worden verstrekt leidt niet tot vernietiging van het vonnis. Risepoint voert terecht aan dat art. 20 AVG over dataportabiliteit een ander recht betreft dan het inzagerecht van art. 15 AVG, maar [geïntimeerde] had zijn verzoek elektronisch ingediend. Op grond van art. 12 lid 3 AVG moesten de gegevens daarom, indien mogelijk, elektronisch worden verstrekt en ingevolge art. 12 lid 1 AVG in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm. Risepoint heeft geen inhoudelijke argumenten aangevoerd waarom zij de kansspelgegevens niet in een gangbaar elektronisch formaat als XLS(X) of CSV zou kunnen verstrekken. Bovendien had [geïntimeerde] zowel in zijn oorspronkelijke verzoek als in de daaropvolgende sommatie uitdrukkelijk mede een beroep op art. 20 AVG gedaan. Het hof bekrachtigt daarom het vonnis van de voorzieningenrechter en veroordeelt Risepoint in de proceskosten van het hoger beroep, begroot op € 1.841.

[geïntimeerde] heeft geen misbruik gemaakt van het inzage- en verstrekkingsrecht van artikel 15 AVG

6.15

Risepoint voert aan dat [geïntimeerde] zijn recht op inzage en verstrekking op grond van artikel 15 AVG inzet voor een ander doel dan waarvoor het hem is verleend, en dat hij dat recht daarom misbruikt. Risepoint wijst daarbij op overweging 63 eerste volzin AVG, waarin staat dat een betrokkene het recht moet hebben om “de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig (…) uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren”.

6.16

Het hof volgt Risepoint daarin niet. Het Hof van Justitie EU heeft de vraag naar de relevantie van die overweging beoordeeld in zijn arrest van 26 oktober 2023 in de zaak FT/DW (Inzage in patiëntendossier)7, waarin patiënt DW aan zijn tandarts FT had verzocht om verstrekking van zijn patiëntendossier met het doel om haar aansprakelijk te stellen.8 Het Hof van Justitie EU oordeelde dat artikel 12 lid 5 en artikel 15 leden 1 en 3 AVG aldus moeten worden uitgelegd dat de verwerkingsverantwoordelijke ook verplicht is om aan de betrokkene (kosteloos) een (eerste) kopie van de hem betreffende persoonsgegevens die worden verwerkt te verstrekken wanneer dit verzoek wordt gedaan met een ander doel dan vermeld in overweging 63 eerste volzin AVG.9

6.17

Het betoog van Risepoint dat [geïntimeerde] zijn verstrekking heeft ingesteld met als enkel doel om haar aansprakelijk te stellen stuit reeds af op dit oordeel. Daar komt bij dat [geïntimeerde] in de dagvaarding heeft toegelicht dat hij “simpelweg [wil] weten of de van hem verwerkte persoonsgegevens kloppen” en in zijn petitum in eerste aanleg heeft verduidelijkt dat hij de gegevens wilde verkrijgen in een elektronische opmaak die hem in staat stelt (onder andere) “de juistheid van de persoonsgegevens en de rechtmatigheid van de verwerking van die gegevens te controleren”. Dat zijn onmiskenbaar belangen die het door de AVG gewaarborgde inzagerecht beschermt.

6.18

Om deze redenen kan in deze zaak ook geen toepassing worden gegeven aan artikel 12 lid 5 tweede volzin AVG, dat, voor zover hier van belang, bepaalt dat een verstrekkingsverzoek kan worden geweigerd als het kennelijk ongegrond of buitensporig is.

6.19

Een door de Europese Commissie voorgestelde verduidelijking van die bepaling, in die zin dat een verstrekkingsverzoek ook kan worden afgewezen “because the data subject abuses the rights conferred by this regulation for purposes other than the protection of their data” maakt de zaak niet anders. Het gaat daarbij niet om geldend recht en uit die toevoeging blijkt niet dat reeds sprake is van misbruik indien een verstrekkingsverzoek mede wordt gedaan om andere redenen dan gegevensbescherming.

6.20

Naar geldend recht kan een verstrekkingsverzoek alleen als buitensporig worden aangemerkt in de zin van artikel 12 lid 5 AVG als (i) uit een geheel van objectieve omstandigheden blijkt dat in weerwil van de formele naleving van de door artikel 15 AVG opgelegde voorwaarden het door dat artikel beoogde doel niet is bereikt, en (ii) de bedoeling blijkt van de betrokkene om een door artikel 15 AVG toegekend voordeel te verkrijgen door kunstmatig de voorwaarden te creëren waaronder het recht op dat voordeel ontstaat, met andere woorden dat sprake is van opzettelijk misbruik door de betrokkene.10 Risepoint heeft hiervoor onvoldoende gesteld.