(On)rechtmatige registratie  

AP 2 mei 2024, IT 4586 (AP tegen A.S. Watson). De Autoriteit Persoonsgegevens (hierna: AP) heeft besloten om aan A.S. Watson Health & Beauty Continental Europe B.V. (hierna: A.S. Watson), het moederbedrijf van onder meer Kruidvat, een bestuurlijke boete van € 600.000,- op te leggen voor de overtreding van artikel 6, eerste lid, in samenhang met artikel 5, eerste lid, onder a, van de Algemene verordening gegevensbescherming (hierna: AVG). Dit omdat A.S. Watson geen rechtmatige grondslag heeft voor het verwerken van persoonsgegevens door middel van (tracking) cookies bij het bezoeken van de website kruidvat.nl, terwijl zij wel verwerkingsverantwoordelijke is in de zin van de AVG.

Gerecht in Eerste Aanleg van Curaçao 12 juni 2024, IT 4579; ECLI:NL:OGEAC:2024:112 (De minister tegen gedaagde). Kort geding. De minister, lid van de politieke partij Movementu Futuro Kòrsou (hierna: MFK), is na de verkiezingen van 2021 benoemd tot minister van Verkeer, Vervoer en Ruimtelijke Planning. Gedaagde heeft met zijn partij, Union i Progrese (hierna: UP), ook aan de verkiezingen meegedaan, maar geen zetel behaald. Op de Facebookpagina van UP staan video's waarop gedaagde zich negatief uitlaat over de minister. De minister vordert in dit kort geding dat het gerecht gedaagde verbiedt de videobeelden op enige wijze voor het publiek toegankelijk te maken, andere opruiende en/of smadelijke uitspraken te openbaren, en een dwangsom op te leggen voor de dagen dat gedaagde zich hier niet aan houdt. Gedaagde voert verweer.

Rb. Den Haag 29 november 2023, IEF 22118; IT 4576; ECLI:NL:RBMNE:2023:7733 (H.O.D.N.). Eiser exploiteert sinds 1 oktober 2020 een eenmanszaak die gericht is op de verkoop van machines en apparaten voor de warmte-, koel- en vriestechniek voor de horeca. Hiertoe runt eiser een webshop, waarvan de domeinnaam op 24 oktober 2023 zonder diens toestemming op naam is gezet van gedaagde, de voormalige vennoot van eiser. Het gevolg is dat eiser zijn webshop niet langer kan exploiteren en de domeinnaam nu doorverwijst naar de website van gedaagde. De actie zou te kwader trouw hebben plaatsgevonden, aldus eiser, omdat gedaagde het succes van eiser niet zou kunnen verkroppen. In dat kader zou gedaagde de website-ontwikkelaar van eiser (gedaagde 2) hebben gecontacteerd, om hem te overtuigen de domeinnaam aan gedaagde over te dragen. Vast staat dat de website-ontwikkelaar een dergelijke autorisatie inderdaad had, aangezien hij het domein zonder medeweten van eiser op naam van zijn vriendin had gezet.

Rb. Amsterdam 14 maart 2024, IT 4514; ECLI:NL:RBAMS:2024:1439 (Verzoekers tegen ING Bank). Verzoekers hebben een persoonlijke rekening, een zakelijke lening en een doorlopend krediet afgesloten bij de ING bank. Als gevolg van een betalingsachterstand is op de leningen en het krediet bijzonderheidscode A in het Centraal Krediet Informatiesysteem (hierna: CKI) van Stichting Bureau Krediet Registratie (hierna: BKR) geplaatst op contactnummers. De BKR-registratie is te kwalificeren als gegevensverwerking van persoonsgegevens waarop de AVG van toepassing is. In casu dienen verzoekers bezwaar in op de verwerking op grond van artikel 21 lid 1 AVG. Een belangenafweging bepaalt of het bezwaar wel of niet gehonoreerd moet worden. Verzoekers stellen dat de negatieve BKR-registratie het hen onmogelijk maakt een lening te krijgen om een huis mee te kopen en zij hiermee een zwaarwegend belang hebben. ING bank stelt zich op het standpunt dat de mogelijkheid dat kredietverstrekkers informatie kunnen krijgen over de recente kwijting van €34.000 een zwaarder wegend belang is. De rechtbank is het eens met de ING bank en wijst de vordering van verzoekers af. Het feit dat verzoekers er ruim negen jaar over hebben gedaan om de schuld bij ING bank af te lossen en er een grote betalingsachterstand was ontstaan, getuigt niet van een goed betalingsmoraal, en is een belangrijke factor bij de belangenafweging.

Hof Arnhem Leeuwarden 5 maart 2024, IT 4495; ECLI:NL:GHARL:2024:1639 (Appellanten tegen Defam B.V.). Defam B.V. (Defam) heeft in 2017 een kredietaanvraag ontvangen van betrokkene voor een persoonlijke lening van € 45.500,-. Na onderzoek en navraag bij de ING bank, heeft Defam ontdekt dat de gegevens (salarisbijschrijvingen) incorrect zijn. Ingevolge deze ontdekking heeft Defam betrokkene geregistreerd in het incidentenregister en het Extern Verwijzingsregister (hierna: EVR) en is een strafrechtelijke vervolging gestart die tot een veroordelend vonnis heeft geleid. Uiteindelijk is betrokkene vrijgesproken. Het vonnis had geleid tot blokkering van de betaalrekeningen van betrokkene bij de ING bank. Betrokkene doet aan de hand hiervan beroep op de onrechtmatige daad en vordert schadevergoeding wegens schending van de AVG door het onterecht registreren en/of het ten onrechte langer handhaven van de persoonsgegevens van betrokken en haar echtgenoot in het incidentenregister en/of het EVR. De bodemrechter heeft een afwijzende vonnis gewezen waartegen appellanten in hoger beroep zijn gegaan.

Rb. Amsterdam 6 september 2023, IT 4407; ECLI:NL:RBAMS:2023:5743 (Verzoeker tegen ING). Verzoeker had krediet afgesloten bij ING voor zijn eenmanszaak. Op een bepaald moment kon verzoeker het krediet niet meer terugbetalen en is hij failliet verklaard. ING heeft meerdere malen verzocht om het betaalde bedrag terug te betalen, maar verzoeker was hiertoe niet in staat en is toegelaten tot de schuldsanering. Toen verzoeker de schuldsanering had afgerond met een schone lei, heeft ING de bijzonderheidscode 3 toegevoegd in het BKR-systeem aan de kredietverlening van verzoeker. Verzoeker heeft ING tweemaal verzocht om de bijzonderheidscode bij de BKR-registratie te verwijderen, maar kreeg tweemaal nul op rekest. Verzoeker verzoekt nu de rechtbank om ING te veroordelen de codering van de BKR-registratie te verwijderen. Partijen zijn het erover eens dat de BKR-registratie juist is. De einddatum van bijzonderheidscodering 3 aan de BKR-registratie is 2025, maar verzoeker is van mening dat deze eerder verwijderd dient te worden. Een BKR-registratie is aan te merken als het verwerken van persoonsgegevens waarop de AVG van toepassing is.

Rechtbank Amsterdam 10 augustus 2023, IT 4351; ECLI:NL:RBAMS:2023:5074 (DPG Media/AP) Bestuursrecht. In deze zaak oordeelt de rechtbank Amsterdam over het beroep van DPG Media B.V. (hierna: DPG) tegen een boete die haar door de Autoriteit Persoonsgegevens (hierna: AP) is opgelegd. DPG is een uitgever van bladen en boeken. Hierbij worden persoonsgegevens van klanten verwerkt. Als een betrokkene om verwijdering of inzage van diens persoonsgegevens vraagt, vraagt DPG eerst verificatie van de identiteit van betrokkene middels een identiteitsbewijs. De AP stelt dat dit in strijd is met de AVG, omdat hiermee een onnodige barrière voor betrokkenen wordt opgeworpen. Volgens de AP past DPG geen maatwerk toe aangezien ze niet beoordeelt of een verzoeker op een andere, minder ingrijpende wijze kan worden geïdentificeerd. DPG verweert zich met de stelling dat haar werkwijze niet in strijd is met de AVG, aangezien er wél ruimte was voor maatwerk, en dit ook werd toegepast in de praktijk.

Hof van Justitie van de Europese Unie 26 januari 2023, IT 4214; ECLI:EU:C:2023:49 (bijzondere strafrechter, Bulgarije tegen V.S.) De Bulgaarse rechter vraagt het Europees Hof om een prejudiciële beslissing over de compatibiliteit van de politiële registratie van biometrische en genetische gegevens in het nationale recht met Richtlijn 2016/680 voor de verwerking van persoonsgegevens en het Handvest van de grondrechten van de Europese Unie. Artikel 10 van Richtlijn 2016/680 bepaalt dat de verwerking van gevoelige gegevens zoals biometrische en genetische gegevens slechts toegestaan is als het noodzakelijk is en er passende waarborgen zijn voor de rechten van de betrokkene. Het Handvest garandeert effectieve rechtsgang bij bescherming van door Unierecht gewaarborgde rechten, waaronder het bezwaar maken tegen verzameling van deze gegevens voor politiële registratie. Lidstaten moeten ook zorgen voor effectieve rechtsgang bij verwerking van persoonsgegevens. Verzameling van biometrische en genetische gegevens van verdachten is toegestaan als het door een rechter is goedgekeurd, met een latere effectieve rechterlijke toetsing en als de doelstellingen welbepaald, uitdrukkelijk omschreven en legitiem zijn.

Rb. Gelderland 15 augustus 2022, IT 4184; ECLI:NL:RBGEL:2022:6932 (verzoekster tegen BKR) In het CKI staat een registratie op naam van verzoekster met betrekking tot een overeenkomst waar zij niet bekend mee is. Het betreft een overeenkomst met De Volksbank, verzoekster is hier geen klant en heeft ook geen betalingsachterstand bij De Volksbank. BKR voert aan dat zij verwijderverzoeken niet in behandeling hoeft te nemen, dan wel mag afwijzen, omdat de rechtmatigheid van bijzonderheidscoderingen niet onder de verwerkingsverantwoordelijkheid valt van BKR, maar onder die van de kredietaanbieder die de gegevens in het CKI heeft geregistreerd. De rechtbank oordeelt dat zowel De Volksbank, als BKR verwerkingsverantwoordelijke is. Artikel 26 lid 3 AVG bepaalt uitdrukkelijk dat bij gezamenlijke verwerkingsverantwoordelijken een betrokkene zijn rechten uit de AVG tegenover iedere gezamenlijke verwerkingsverantwoordelijke kan uitoefenen. BKR is dus verplicht om verwijderverzoeken te behandelen. Verder oordeelt de rechtbank dat één van de twee geregistreerde coderingen onrechtmatig is, die moet worden verwijderd.

Vzr. Rechtbank Amsterdam 12 oktober 2022, IT 4154; ECLI:NL:RBAMS:2022:5842 (eiser tegen Hoist Finance) Op 29 juni 2019 is de woning van eiser volledig afgebrand. De verzekeraar heeft de totale schade getaxeerd op € 1.066.928,43 en daarvan op 9 december 2021 alvast ongeveer de helft uitgekeerd. Eiser heeft een aannemer opdracht gegevens tot heropbouw van de woning. In juli 2022 heeft de aannemer vanwege de prijsstijgingen/inflatie een verhoogde offerte gestuurd. Daarop heeft eiser de bank verzocht de bestaande hypothecaire lening uit te breiden met ongeveer € 3 ton, maar dit is geweigerd vanwege een BKR-registratie op naam van eiser. Op 26 juli 2022 heeft eiser het openstaande bedrag van de vordering die reden was voor de BKR-registratie voldaan aan de deurwaarder. Desondanks wil Hoist niet overgaan tot verwijdering van de registratie. De voorzieningenrechter veroordeelt Hoist de BKR-registraties te verwijderen omdat voldoende aannemelijk is dat eiser groot belang heeft bij verwijdering van zijn BKR-registratie. Daar tegenover is niet duidelijk geworden welke dwingende gerechtvaardigde gronden Hoist heeft voor handhaving van de registratie.