Persoonsgegevens  

Rb. Noord-Holland 3 juli 2026, IT 5354; ECLI:NL:RBNHO:2026:8057 ([verzoeker] tegen ICS). In een tussenbeschikking beoordeelt de Rechtbank Noord-Holland twee incidentele verzoeken in een procedure tussen een verzoeker en International Card Services B.V. (ICS). ICS verzocht de zaak op grond van artikel 285 lid 2 Rv te voegen met een andere, eveneens tussen dezelfde partijen aanhangige procedure. De verzoeker verzette zich daartegen en stelde dat de procedures verschillende rechtsvragen betroffen: enerzijds de naleving van onder meer de artikelen 12 en 15 AVG en anderzijds de rechtmatigheid van een CAAML-registratie. De rechtbank oordeelt dat voor voeging voldoende is dat tussen de onderwerpen een zodanige samenhang bestaat dat gezamenlijke behandeling uit doelmatigheidsoverwegingen gerechtvaardigd is. Beide procedures spelen tussen dezelfde partijen, lopen in de tijd gelijk en zijn volgens de inleidende processtukken gebaseerd op de gestelde onrechtmatige verwerking van persoonsgegevens door ICS. De rechtbank wijst het verzoek tot voeging daarom toe.

Rb. Amsterdam 18 juni 2026, IT 5353; ECLI:NL:RBAMS:2026:6092 ([eiser] tegen Kyrrex Ltd en Rex Ltd). Een belegger stelde dat hij tussen juni en augustus 2025 slachtoffer was geworden van online beleggingsfraude via het platform Horizons28. Personen die zich voordeden als medewerkers van dat platform zouden hem ertoe hebben bewogen meer dan € 650.000 over te maken voor de aankoop van cryptovaluta, die vervolgens naar door hen opgegeven blockchainadressen werden verzonden. Toen de belegger zijn vermeende belegging wilde opnemen, bleek dit niet mogelijk en deed hij aangifte van fraude. Volgens door hem verricht blockchainonderzoek was een aanzienlijk deel van de cryptovaluta via een zogenoemde nested-serviceconstructie terechtgekomen op depositadressen die konden worden herleid tot het Kyrrex-platform, dat volgens hem door Kyrrex Ltd en Rex Ltd werd geëxploiteerd. De belegger verzocht daarom op grond van artikel 196 Rv om verstrekking van de bij deze ondernemingen bekende identificerende gegevens van de aan de depositadressen en transactiecodes gekoppelde accounthouder(s), waaronder naam, geboortedatum, adres, identiteitsbewijs, foto of gezichtsscan, IP-adres, telefoonnummer en e-mailadres. Daarnaast verzocht hij om de mutatieoverzichten vanaf 26 juni 2025, zodat hij zijn rechtspositie kon bepalen en kon beoordelen of hij een vordering uit onrechtmatige daad kon instellen tegen de ontvangers van de cryptovaluta of tegen Kyrrex Ltd en Rex Ltd zelf.

Rb. Den Haag 27 mei 2026, IT 5352; ECLI:NL:RBDHA:2026:15919 (eisers tegen KINDRED GROUP PLC en RISEPOINT LIMITED). Elf spelers vorderden op grond van artikel 15 AVG inzage in de persoonsgegevens die waren verwerkt bij hun deelname aan online kansspelen via Unibet vóór 1 oktober 2021. De Nederlandse rechter is op grond van artikel 79 lid 2 AVG bevoegd. Niet in geschil was dat de gevraagde transactiegegevens persoonsgegevens zijn en dat Risepoint, voorheen Trannel, verwerkingsverantwoordelijke is. De rechtbank oordeelt dat ook Kindred als verwerkingsverantwoordelijke gold voor de inzageverzoeken die tussen mei en eind oktober 2024 waren ingediend. Kindred oefende toen via het centrale privacybeleid, het OneTrust-platform en het Kindred Privacy Team mede beslissende invloed uit op het doel en de wezenlijke middelen van de verwerking. De hoedanigheid van verwerkingsverantwoordelijke moet worden beoordeeld naar de feitelijke situatie op het moment waarop het inzageverzoek wordt gedaan. Na het vertrek van Risepoint uit de Kindred-groep eind oktober 2024 bepaalde Risepoint zelfstandig het doel en de middelen van de verwerking. Daarom hoefde Kindred niet te voldoen aan de pas daarna ingediende verzoeken van eisers 5 en 9, terwijl Risepoint tegenover alle eisers verantwoordelijk bleef.

Rb. Noord-Nederland 22 juni 2026, IT 5351; ECLI:NL:RBNNE:2026:2437 (Chipsoft tegen UMCG). Chipsoft verzocht om voorlopige bewijsverrichtingen ter onderbouwing van haar stelling dat de voorgenomen aansluiting van Treant en het Ommelander Ziekenhuis Groningen (OZG) op het Epic-EPD van het UMCG in strijd is met aanbestedingsrechtelijke en mogelijk staatssteunrechtelijke regels. Chipsoft is ontvankelijk, hoewel inmiddels een bodemprocedure liep, omdat zij het verzoek had ingediend voordat die zaak op de rol was ingeschreven. Voor inzage op grond van de artikelen 194 en 196 Rv hoeft de gestelde rechtsbetrekking nog niet vast te staan, maar moeten wel concrete aanknopingspunten voor het mogelijke bestaan daarvan worden gegeven. Die aanknopingspunten zijn er volgens de rechtbank ten aanzien van het UMCG, omdat de overeenkomsten ten tijde van de behandeling nog niet waren aangepast aan de voorwaarden waaronder volgens het gerechtshof geen sprake zou zijn van een wezenlijke wijziging van de in 2015 aanbestede opdracht. Daarmee is niet vastgesteld dat het UMCG onrechtmatig heeft gehandeld, maar heeft Chipsoft voldoende belang bij beperkte inzage. Voor een rechtsbetrekking met OZG en Treant heeft Chipsoft onvoldoende aanknopingspunten aangevoerd: de rechtbank sluit voor OZG aan bij het voorlopige oordeel dat zij geen aanbestedende dienst is en de gestelde betrokkenheid van Treant bij omzeiling van aanbestedings- of staatssteunregels is onvoldoende concreet onderbouwd.

Rb. Rotterdam 24 juni 2026, IT 5359; ECLI:NL:RBROT:2026:7699 (HBL tegen KPN). Helder bij Letselschade B.V. (HBL) verzocht bij wijze van voorlopige bewijsverrichting om inzage in gegevens van de KPN-klant aan wie op 21 april 2022 een bepaald IP-adres was toegewezen. HBL stelde dat sinds 2025 via verschillende nepaccounts ongeveer honderd lasterlijke en smadelijke reviews over haar waren geplaatst en dat zij de gebruiker van het IP-adres moest kunnen identificeren om deze in rechte aan te spreken. KPN verzette zich niet tegen verstrekking op grond van een rechterlijk bevel, maar vroeg het bevel te beperken tot de noodzakelijke identificerende gegevens. De rechtbank toetst het verzoek aan de artikelen 197, 196 en 194 Rv. De door HBL gestelde onrechtmatige daad kan als rechtsbetrekking in de zin van artikel 194 Rv gelden. Voor toewijzing is niet vereist dat de onrechtmatigheid al in rechte vaststaat of dat HBL haar vordering in deze fase al voldoende aannemelijk maakt.

Rb. Rotterdam 24 juni 2026, IT 5349; ECLI:NL:RBROT:2026:7263 (eisers tegen de AP). Twee rekeninghouders van ING dienden bij de Autoriteit Persoonsgegevens een klacht in over de verwerking van hun persoonsgegevens bij contactloos betalen. Volgens hen bleef de NFC-chip in hun betaalpassen ook werken als een pas was geblokkeerd of verlopen, of als contactloos betalen was uitgeschakeld. Dit zou veiligheidsrisico’s opleveren en leiden tot verwerking zonder geldige grondslag. Nadat een eerdere beslissing op bezwaar wegens schending van de hoorplicht was vernietigd, hoorde de AP de rekeninghouders en nam zij een nieuwe beslissing. De AP concludeerde dat zij de klacht in passende mate had onderzocht en dat op basis van het dossier geen overtreding van de AVG door ING kon worden vastgesteld. De rekeninghouders stelden in beroep dat de AP nader technisch onderzoek had moeten doen en zo nodig andere toezichthouders had moeten inschakelen.

Rb. Den Haag 27 mei 2026, IT 5340; ECLI:NL:RBDHA:2026:15919 ([eisers] tegen [gedaagden]). In deze zaak oordeelt de rechtbank Den Haag over AVG‑inzageverzoeken van elf voormalige spelers van online kansspelen via Unibet. Eisers namen vóór 1 oktober 2021 deel aan online kansspelen via de websites unibet.com en unibet.eu, in een periode waarin het in Nederland nog niet was toegestaan om zonder vergunning online kansspelen aan te bieden. In deze civiele procedure vorderen zij op grond van de AVG – in het bijzonder het inzagerecht op basis van Artikel 15 AVG – dat Kindred Group en Risepoint (voorheen Trannel International Limited) inzage geven in hun persoonsgegevens. Eisers vragen met name om transactiegegevens (stortingen, inzetten, uitbetalingen) en gegevens over de soorten spellen waaraan zij hebben deelgenomen en verlangen dat deze gegevens elektronisch worden verstrekt in een gangbaar bestandsformaat (zoals XLS(X) of CSV) of via een API, op een wijze die hen in staat stelt zowel de juistheid van de gegevens als de rechtmatigheid van de verwerking te controleren. In de dagvaarding wordt daarnaast een beroep gedaan op gegevensoverdraagbaarheid ex Artikel 20 AVG, maar de vorderingen zijn primair gebaseerd op het inzagerecht. Kindred en Risepoint weigeren de gevraagde gegevens te verstrekken. Zij voeren aan dat eisers het inzagerecht gebruiken om informatie te verzamelen voor mogelijke civiele procedures over terugbetaling van gokverliezen en dat daarmee misbruik van recht wordt gemaakt in de zin van Artikel 12 lid 5 AVG. Daarnaast beroepen zij zich op uitzonderingen op het inzagerecht, waaronder Artikel 15 lid 4 AVG en Artikel 23 AVG, mede onder verwijzing naar de Maltese uitvoeringsregeling.

HR 12 juni 2026, IT 5331; ECLI:NL:HR:2026:921 ([de kaarthoudster] tegen ICS). In deze zaak tussen [de kaarthoudster] en International Card Services B.V. (ICS) staat de vraag centraal of International Card Services (ICS) de creditcardovereenkomst met [de kaarthoudster] mocht opzeggen nadat zij had geweigerd mee te werken aan een nieuwe online-identificatie op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Voor deze identificatie diende zij een foto van haar identiteitsbewijs en een selfie aan te leveren. [de kaarthoudster] verzette zich tegen deze werkwijze omdat ICS de foto's zou opslaan. Volgens haar is sprake van verwerking van biometrische gegevens en ontbreekt een toereikende wettelijke grondslag voor het bewaren van deze foto's. Het hof oordeelde eerder dat ICS de overeenkomst mocht opzeggen. Volgens het hof was de online-identificatie noodzakelijk om te voldoen aan de verplichtingen uit de Wwft en vormt het enkele opslaan van een foto geen verwerking van biometrische gegevens in de zin van de AVG, omdat daarvoor specifieke technische verwerking nodig is waarmee een persoon uniek kan worden geïdentificeerd of geauthentiseerd. In cassatie ziet de Hoge Raad aanleiding om op meerdere punten prejudiciële vragen aan het Hof van Justitie te stellen. De Hoge Raad stelt voorop dat de zaak draait om de afweging tussen enerzijds de verplichtingen die voortvloeien uit de Europese anti-witwasregelgeving en anderzijds het recht op bescherming van persoonsgegevens en de persoonlijke levenssfeer zoals gewaarborgd door de AVG, het Handvest en het EVRM. Omdat deze afweging in belangrijke mate afhankelijk is van de uitleg van Unierecht, acht de Hoge Raad beantwoording door het Hof van Justitie noodzakelijk. Een eerste vraag betreft de kwalificatie van foto's als biometrische gegevens. De Hoge Raad overweegt dat uit de tekst van artikel 4, onder 14, AVG en overweging 51 van de AVG volgt dat een gewone foto niet zonder meer een biometrisch gegeven vormt. Daarvoor is vereist dat de foto wordt onderworpen aan een specifieke technische verwerking waarmee een persoon uniek kan worden geïdentificeerd of geauthentiseerd. De foto vormt dan de bron waaruit biometrische gegevens kunnen worden afgeleid, maar is niet zonder meer zelf een biometrisch gegeven. De Hoge Raad wijst er echter op dat een recent arrest van het Hof van Justitie aanleiding geeft om hierover alsnog prejudiciële vragen te stellen.

HvJ EU 18 juni 2026, IT 5330; ECLI:EU:C:2026:496 (NTH Haustechnik GmbH tegen EM). In deze zaak tussen NTH Haustechnik GmbH en haar voormalige werknemer EM tussen staat de vraag centraal in hoeverre een nationale rechter in een civiele procedure persoonsgegevens mag verwerken en gebruiken die mogelijk in strijd met de AVG zijn verkregen. De zaak ontstond nadat NTH Haustechnik haar voormalige werknemer aansprakelijk stelde voor de gestelde doorverkoop van bedrijfseigendommen via een privéaccount op eBay. De werkgever baseerde zich daarbij op gegevens die waren verkregen door toegang tot dat privéaccount. Volgens de verwijzende Duitse rechter kon niet worden uitgesloten dat deze gegevens op onrechtmatige wijze waren verzameld. Het Hof van Justitie kreeg daarom onder meer de vraag voorgelegd welke eisen de AVG stelt aan het gebruik van dergelijke persoonsgegevens als bewijsmiddel in een gerechtelijke procedure. Het Hof stelt voorop dat de AVG van toepassing kan zijn op de verwerking van persoonsgegevens door rechters wanneer deze gegevens worden opgenomen in een procesdossier of digitaal worden geraadpleegd, opgeslagen of gebruikt. Dat de beoordeling van de toelaatbaarheid van bewijs in beginsel een kwestie van nationaal procesrecht is, neemt niet weg dat een rechter bij de verwerking van persoonsgegevens de AVG moet naleven. Daarbij wijst het Hof erop dat het begrip "verwerking" ruim is en ook ziet op het toevoegen van stukken aan een dossier en het raadplegen daarvan door de rechter, en dat rechterlijke verwerkingen niet onder de uitzonderingen van artikel 2 AVG vallen. Vervolgens bepaalt het Hof welke rechtsgrond geldt voor de verwerking van persoonsgegevens door de rechter. De verwerking van persoonsgegevens door een rechter in het kader van de bewijsvoering is in beginsel gebaseerd op artikel 6 lid 1 onder c AVG. De rechter verwerkt de gegevens namelijk omdat hij op grond van het nationale procesrecht verplicht is de aangevoerde feiten en het aangeboden bewijs te beoordelen. Daarmee maakt het Hof duidelijk dat niet artikel 6 lid 1 onder e AVG (taak van algemeen belang), maar de wettelijke verplichting van de rechter om over de toelaatbaarheid en waardering van bewijs te beslissen de relevante grondslag vormt. In dat kader wijst het Hof erop dat artikel 6 lid 1 onder f AVG (gerechtvaardigd belang) niet de grondslag is voor deze rechterlijke verwerking; de rechter baseert zich in deze context op artikel 6 lid 1 onder c AVG. Artikel 17 lid 3 onder e AVG vormt daarentegen geen zelfstandige grondslag voor verwerking.

HvJ EU 16 juni 2026, IEF 23643; IT 5323; ECLI:EU:C:2026:492 (WebGroup Czech Republic en NKL Associates tegen Franse Staat / Coyote System tegen Franse Staat). In deze gevoegde zaken staat de vraag centraal in hoeverre lidstaten regels mogen opleggen aan online diensten die in een andere lidstaat zijn gevestigd. Het Hof van Justitie buigt zich over de Franse regels die pornografische websites verplichten een leeftijdsverificatiesysteem in te voeren om minderjarigen de toegang te ontzeggen, en over regels die aanbieders van navigatie- en verkeersapps verbieden informatie over bepaalde politiecontroles door te geven. Het Hof schetst daarbij uitvoerig de reikwijdte van het begrip “gecoördineerd gebied” in de Richtlijn elektronische handel, de verhouding tussen dat gecoördineerde gebied en de (beperkte) harmonisatie in hoofdstuk II en III, en de ruimte die lidstaten behouden om op te treden ter bescherming van fundamentele belangen zoals de waardigheid van minderjarigen, de openbare orde en de openbare veiligheid. De eerste zaak betreft twee Tsjechische ondernemingen die pornografische websites exploiteren. Op grond van Franse wetgeving mogen minderjarigen geen toegang hebben tot pornografische inhoud. Een eenvoudige verklaring van de gebruiker dat hij of zij meerderjarig is, volstaat daarvoor niet. De Franse strafbepaling verbiedt in algemene en abstracte bewoordingen het aanbieden van bepaalde content die door minderjarigen kan worden gezien, en wordt uitgewerkt in een regeling die de toezichthouder (ARCOM) in staat stelt concrete aanbieders individueel aan te schrijven en hen te verplichten technische maatregelen te nemen die de leeftijd van gebruikers daadwerkelijk controleren. De ondernemingen voeren aan dat Frankrijk hiermee de Richtlijn elektronische handel schendt, omdat aanbieders van informatiemaatschappijdiensten in beginsel uitsluitend onder het recht van hun lidstaat van vestiging vallen. De tweede zaak draait om de Franse navigatie-app van Coyote. De Franse wetgever heeft bepaald dat aanbieders van elektronische rijhulpen en navigatiediensten gedurende een beperkte periode en binnen een geografisch beperkt gebied geen meldingen mogen verspreiden over bepaalde alcohol- en drugscontroles of politieacties tegen personen die worden gezocht voor ernstige misdrijven of een ernstige bedreiging vormen voor de openbare orde. Volgens Coyote vormt dit een ontoelaatbare beperking van de vrije dienstverrichting en legt deze regeling in feite een verboden algemene toezichtverplichting op. Het Hof begint met een principiële uitleg van de Richtlijn elektronische handel. Volgens het Hof is het zogenoemde “gecoördineerde gebied” niet beperkt tot de onderwerpen die uitdrukkelijk zijn geharmoniseerd in hoofdstuk II en III van de richtlijn. Ook nationale regels die niet zijn geharmoniseerd vallen daaronder, mits zij betrekking hebben op de toegang tot of de uitoefening van een activiteit van een informatiemaatschappijdienst en niet vallen onder de expliciete uitzonderingen in de richtlijn (zoals belasting, gegevensbescherming, kansspelen e.d.). Dat geldt eveneens voor regels van strafrechtelijke aard en voor regels die de openbare orde, openbare veiligheid of de bescherming van minderjarigen dienen. De richtlijn sluit dergelijke terreinen niet categorisch uit en de in de bijlage genoemde derogaties vormen een uitputtende lijst van materies waarvoor het art. 3‑mechanisme niet geldt. Daaruit volgt volgens het Hof dat zowel een verplichting om de leeftijd van gebruikers van pornografische websites te controleren als een verbod om bepaalde verkeersinformatie door te geven, kwalificeren als eisen die betrekking hebben op de uitoefening van een informatiemaatschappijdienst (toegangsvoorwaarden, inhoud/functionaliteit van de dienst). Deze nationale regels vallen daarom binnen het gecoördineerde gebied van de richtlijn en moeten worden getoetst aan het stelsel van artikel 3 daarvan, waarin het uitgangspunt geldt dat een dienst in beginsel wordt gereguleerd door de lidstaat waar de aanbieder is gevestigd en andere lidstaten de vrije dienstverrichting niet mogen beperken, behoudens een beroep op de derogatie van artikel 3, lid 4. Het Hof maakt vervolgens een onderscheid tussen algemene wetgeving en individuele maatregelen.