Persoonsgegevens  

Rb. Amsterdam 17 juli 2024, IT 4600 ; ECLI:NL:RBAMS:2024:4264 (Stichting ICAM tegen de Staat en de GGD). Deze WAMCA-zaak betreft een massaschadeclaim van Stichting ICAM (hierna: ICAM) jegens de Staat en de GGD (hierna: gedaagden). Dit in verband met het coronadatalek: gedurende de coronapandemie zijn er medewerkers van de GGD geweest die de persoonsgegevens van personen die zich hebben laten testen en/of vaccineren ter beschikking hebben gesteld van ongeautoriseerde derden. In dat kader vordert ICAM onder meer dat gedaagden worden veroordeeld tot het betalen van schadevergoeding aan iedereen die gegevens aan de GGD heeft verstrekt, waaronder de mensen van wie niet vast staat dat hun persoonsgegevens aan derden zijn verstrekt. Het gaat om ruim 6,5 miljoen mensen. ICAM maakt voor de schadevergoeding onderscheid tussen categorie A en B, waarbij categorie A alle bij de GGD geregistreerde personen omvat en categorie B diegenen waarvan zeker is dat hun data is gelekt. Ter onderbouwing voert ICAM aan dat, hoewel tijdens de pandemie bijzonder snel moest worden opgeschaald, gedaagden desondanks beter paraat hadden moeten staan en sneller hadden moeten handelen om het datalek te voorkomen.

Hof 30 april 2024, IT 4597; ECLI:NL:GHAMS:2024:1165 (Appellant tegen ICS). Aanleiding tot dit geschil is het feit dat International Card Services B.V. (hierna: ICS), een dochtervennootschap van ABN AMRO Bank N.V., de creditcard van appellant, haar (zakelijke) klant, beoogt te blokkeren. Dit omdat appellant zich niet wil identificeren op de door ICS verzochte wijze. Appellant heeft aangegeven het niet eens te zijn met de wijze van identificatie, gezien de manier waarop zijn gegevens daarbij worden verwerkt. Volgens appellant is identificatie middels een gewaarmerkte kopie van zijn identiteitsbewijs voldoende; volgens ICS volstaat enkel een foto van het originele identiteitsbewijs, bij voorkeur ingediend via de digitale app van ICS. Bij verstekvonnis is appellant in het gelijk gesteld door de rechtbank, maar na verzet van ICS heeft de rechtbank dit vonnis vernietigd en de vorderingen van appellant afgewezen. Appellant gaat daartegen in hoger beroep bij het hof. Kort gezegd voert appellant aan dat ICS hem nooit had mogen verplichten tot de door ICS gehanteerde identificatie- en verificatieprocedure, gelet op de Wwft en de AVG.

Vzr. Rb. Amsterdam 2 juni 2014, IT 4595; ECLI:NL:RBAMS:2014:9881 (eiser tegen gedaagde). Eiser is presentator van een televisieprogramma dat aandacht heeft besteed aan spermadonoren die op internet actief zijn. Er is in het programma in het bijzonder aandacht besteed aan gedaagde. In een telefonisch gesprek met een programmamaker van het bedrijf van eiser, heeft gedaagde gezegd dat hij de persoonlijke (adres)gegevens van eiser heeft en die openbaar zou maken. Eiser vordert dat deze gegevens verwijderd worden en blijven. Daarnaast vordert hij dat gedaagde zich met onmiddellijke ingang onthoudt van de publicatie van de gegevens.

Hof Amsterdam 18 juni 2024, IT 4593; ECLI:NL:GHAMS:2024:1651 (TPC tegen Oracle en Salesforce). In deze zaak heeft TPC massaschadeclaims ingediend tegen Oracle en Salesforce wegens privacyschendingen, gerelateerd aan het plaatsen van cookies en het opstellen en gebruiken van gebruikersprofielen voor onder meer gerichte reclame. Omdat de wet specifieke eisen stelt aan stichtingen die dergelijke claims willen indienen (art. 3:305a BW - hierna: WAMCA), moet eerst worden vastgesteld of TPC wel aan deze eisen voldoet. De rechtbank oordeelde van niet en verklaarde TPC daarom niet-ontvankelijk. Het hof komt tot een ander besluit.

HvJ EU 11 juli 2024, IT 4592; ECLI:EU:C:2024:598 (Meta tegen Bundesverband). Meta bood via het “App-Zentrum” haar gebruikers gratis spelapplicaties van derden aan. Bij het bezoeken van dit centrum kreeg de gebruiker de melding dat hij de betrokken applicaties toestond een aantal persoonsgegevens te verzamelen en tevens het recht verleende om namens hem bepaalde van die gegevens te delen. Ook werd de gebruiker ervan op de hoogte gebracht dat hij akkoord ging met de algemene voorwaarden van de applicaties. Volgens het Bundesverband is de door Meta verstrekte informatie oneerlijk geweest, met name omdat die informatie niet voldeed aan de relevante wetgeving. In eerste aanleg is het Bundesverband door de Duitse rechter in het gelijk gesteld, evenals in het door Meta ingestelde hoger beroep. Hoewel de hoogste Duitse rechter (Bundesgerichtshof) de uitspraken bekrachtigt, betwijfelt hij de ontvankelijkheid van het Bundesverband, wiens procesbevoegdheid mogelijk verloren zou zijn gegaan als gevolg van de inwerkingtreding van de AVG. Het Hof EU geeft daarover uitsluiting, door te stellen dat iedere vereniging die consumentenbelangen behartigt in rechte kan optreden tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens, ook wanneer zij daartoe geen opdracht heeft gekregen en los van de vraag of er sprake is van enige schending van concrete rechten van de betrokkenen. Het Bundesgerichtshof vraagt zich echter nog steeds af of het niet-naleven van de informatieverplichtingen van de AVG een inbreuk “ten gevolge van de verwerking” in de zin van artikel 80 lid 2 AVG oplevert op grond waarvan het Bundesverband een verbodsactie zou kunnen instellen. In dat kader stelt hij een prejudiciële vraag aan het Hof.

AP 2 mei 2024, IT 4586 (AP tegen A.S. Watson). De Autoriteit Persoonsgegevens (hierna: AP) heeft besloten om aan A.S. Watson Health & Beauty Continental Europe B.V. (hierna: A.S. Watson), het moederbedrijf van onder meer Kruidvat, een bestuurlijke boete van € 600.000,- op te leggen voor de overtreding van artikel 6, eerste lid, in samenhang met artikel 5, eerste lid, onder a, van de Algemene verordening gegevensbescherming (hierna: AVG). Dit omdat A.S. Watson geen rechtmatige grondslag heeft voor het verwerken van persoonsgegevens door middel van (tracking) cookies bij het bezoeken van de website kruidvat.nl, terwijl zij wel verwerkingsverantwoordelijke is in de zin van de AVG.

AP 10 juli 2024, IT 4583 (Data Privacy Framework). De Autoriteit Persoonsgegevens heeft een nieuw beleid gepubliceerd dat uitvoering geeft aan het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023 en de Amerikaanse Executive Order 14086 van 7 oktober 2022. Het beleid zet een klachtmechanisme uiteen voor het behandelen van klachten van betrokkenen in de EU en EER over vermeende onrechtmatige toegang tot, en gebruik van hun persoonsgegevens door Amerikaanse inlichtingendiensten.

Vzr. Rb. Gelderland 13 juni 2024, IT 4582; ECLI:NL:RBGEL:2024:3644 (Arag tegen gedaagde). Deze zaak vloeit voort uit een tussen gedaagde en ABN-AMRO Verzekeringen (hierna: ABN-AMRO) afgesloten en later opgezegde rechtsbijstandverzekering. De uitvoering van de verzekering was belegd bij Arag, eiser in deze zaak. Het geschil tussen partijen is ontstaan naar aanleiding van de opzegging van de verzekeringsovereenkomst. ABN-AMRO heeft de overeenkomst, op basis van de verzekeringsvoorwaarden, eenzijdig opgezegd nadat gedaagde zich beledigend en bedreigend zou hebben uitgelaten naar de medewerkers van Arag. Gedaagde heeft hiertegen een klacht ingediend bij het Klachteninstituut Financiële Dienstverlening, maar tevergeefs. Ook het hoger beroep van gedaagde liep op niets uit. Gedaagde heeft diens frustratie kenbaar gemaakt door meerdere negatieve berichten op verschillende sociale media te plaatsen met betrekking tot Arag en haar medewerkers. Arag vordert in kort geding dat gedaagde alle berichten verwijdert waarin hij namen van de medewerkers van Arag noemt, alsmede waarin hij de reputatie van Arag schendt, dan wel zich neerbuigend over Arag uitlaat en/of Arag beschuldigt van strafbaar en/of onrechtmatig gedrag. Ook vordert Arag dat gedaagde wordt verboden om dergelijke uitingen te doen in de toekomst.

RvS 5 juni 2024, IT 4566; ECLI:NL:RVS:2024:2311 (Appellante tegen Gemeente Heemskerk). De rechtbank heeft uitspraak gedaan waarbij het verzoek van appellante om het college te veroordelen tot schadevergoeding werd afgewezen. Appellante heeft tegen deze uitspraak hoger beroep aangetekend. Het geschil draait om een datalek waarbij persoonsgegevens van appellante door een fout van het college van burgemeester en wethouders van Heemskerkin handen zijn gekomen van derden. De procesdossiers bevatten onder andere besluiten met daarin naam- en adresgegevens, het burgerservicenummer en medische informatie. Appellante claimt immateriële schade te hebben geleden door het verlies van controle over haar persoonsgegevens en eist een schadevergoeding van € 2.000,-. Het college betwist niet dat het datalek heeft plaatsgevonden door verwijtbaar gedrag, maar stelt dat appellante niet voldoende heeft aangetoond dat zij schade heeft geleden. Apellante stelt in hoger beroep dat zij ernstige psychische schade heeft geleden als gevolg van het datalek. Ze onderbouwt dit met gesprekken met verschillende professionals en verwijzingen naar haar psychische klachten. Echter, ook de Afdeling oordeelt dat appellante haar geclaimde psychische schade onvoldoende heeft onderbouwd met concrete gegevens, waardoor de rechtbank terecht het verzoek om schadevergoeding heeft afgewezen. Het hoger beroep wordt daarom verworpen en de eerdere uitspraak blijft gehandhaafd.

Rb. Den Haag 28 november 2023, IT 4560; ECLI:NL:RBDHA:2023:22169 (eiser tegen de minister van Financiën). Naar eiser is een strafrechtelijk onderzoek gaande waarvoor de FIOD informatie over eiser van de Belastingdienst heeft verkregen. Eiser heeft verweerder verzocht om inzage in al zijn persoonsgegevens die de Belastingdienst over hem heeft verwerkt voorafgaand aan de verstrekking aan de FIOD. Het gaat om een inzageverzoek van alle verwerkte gegevens en met name interne emailcorrespondentie en informatie over fraudesignaleringen die betrekking hebben op eiser. Verweerder heeft in het primaire besluit allereerst in algemene zin uiteengezet welke persoonsgegevens door de Belastingdienst worden verwerkt, waarom en in welk kader dit gebeurt, met wie deze gegevens worden gedeeld en hoe lang deze gegevens worden bewaard. Het verzoek van eiser om inzage in de informatiedeling met betrekking tot de lopende strafzaak heeft verweerder afgewezen op grond van artikel 23, eerste lid, van de AVG, gelezen in samenhang met artikel 41, eerste lid, van de Uitvoeringswet AVG (hierna: UAVG). De beperking is volgens verweerder noodzakelijk voor de waarborging van de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen. Het algemeen belang van het strafrechtelijk onderzoek weegt voor verweerder zwaarder dan het belang van eiser om zijn recht op bescherming van zijn persoonsgegevens uit te oefenen. De rechtbank acht de mededeling van verweerder dat er niet meer persoonsgegevens zijn, niet ongeloofwaardig. Eiser heeft onvoldoende onderbouwd dat er meer persoonsgegevens aanwezig zouden moeten zijn. De stelling van eiser dat de algemene persoonsgegevens die door verweerder zijn verstrekt geen basis zouden vormen voor een strafrechtelijk onderzoek, verandert dit oordeel niet. De rechtbank oordeelt dat de verstrekte overzichten voldoende duidelijkheid bieden over de context van de gegevens. Hoewel eiser om meer details vroeg over de uitwisseling van zijn gegevens met de FIOD en het OM, heeft verweerder alle gevonden persoonsgegevens verstrekt, waarmee aan het verzoek is voldaan. Eventuele gronden over de geheimhoudingsplicht behoeft daarom geen verdere bespreking. Het beroep van eiser is ongegrond.