Persoonsgegevens  

Rb. Amsterdam 21 mei 2026, IEF 5360; ECLI:NL:RBAMS:2026:6951 ([verzoeker 1] en [verzoeker 2] tegen Bitvavo). Twee klanten van Bitvavo zijn slachtoffer geworden van helpdeskfraude waarbij gezamenlijk ruim € 2,7 miljoen aan cryptovaluta is buitgemaakt. De fraudeurs beschikten volgens hen over specifieke informatie, waaronder het type hardwarewallet, het actuele cryptotegoed, de soorten cryptovaluta en gegevens over de wijze waarop toegang tot de accounts werd verkregen. Omdat in mei 2024 bij Bitvavo een datalek had plaatsgevonden, vermoeden de slachtoffers dat de gebruikte informatie van Bitvavo afkomstig was en overwegen zij het cryptoplatform aansprakelijk te stellen. Zij verzoeken om een voorlopig getuigenverhoor van de voormalige en huidige head of legal van Bitvavo over onder meer het beleid rond datalekken, toegang tot klantgegevens en logging. Daarnaast verzoeken zij om een voorlopig deskundigenbericht naar de ICT-systemen van Bitvavo, het datalek en de vraag of hun persoonsgegevens daarbij betrokken waren. De rechtbank wijst het voorlopig getuigenverhoor af en wijst ook het deskundigenonderzoek af voor zover dit ziet op een algemeen onderzoek naar de ICT-systemen, het datalek in brede zin en eventuele andere datalekken. Deze verzoeken zijn zeer algemeen geformuleerd, onvoldoende op de verzoekers toegespitst en hun concrete belang daarbij is onvoldoende toegelicht. Zij hebben daarom het karakter van een zoektocht naar mogelijke verwijten, oftewel een ongeoorloofde fishing expedition, en leveren in zoverre misbruik van recht op.

Rb. Noord-Holland 3 juli 2026, IT 5354; ECLI:NL:RBNHO:2026:8057 ([verzoeker] tegen ICS). In een tussenbeschikking beoordeelt de Rechtbank Noord-Holland twee incidentele verzoeken in een procedure tussen een verzoeker en International Card Services B.V. (ICS). ICS verzocht de zaak op grond van artikel 285 lid 2 Rv te voegen met een andere, eveneens tussen dezelfde partijen aanhangige procedure. De verzoeker verzette zich daartegen en stelde dat de procedures verschillende rechtsvragen betroffen: enerzijds de naleving van onder meer de artikelen 12 en 15 AVG en anderzijds de rechtmatigheid van een CAAML-registratie. De rechtbank oordeelt dat voor voeging voldoende is dat tussen de onderwerpen een zodanige samenhang bestaat dat gezamenlijke behandeling uit doelmatigheidsoverwegingen gerechtvaardigd is. Beide procedures spelen tussen dezelfde partijen, lopen in de tijd gelijk en zijn volgens de inleidende processtukken gebaseerd op de gestelde onrechtmatige verwerking van persoonsgegevens door ICS. De rechtbank wijst het verzoek tot voeging daarom toe.

Rb. Amsterdam 18 juni 2026, IT 5353; ECLI:NL:RBAMS:2026:6092 ([eiser] tegen Kyrrex Ltd en Rex Ltd). Een belegger stelde dat hij tussen juni en augustus 2025 slachtoffer was geworden van online beleggingsfraude via het platform Horizons28. Personen die zich voordeden als medewerkers van dat platform zouden hem ertoe hebben bewogen meer dan € 650.000 over te maken voor de aankoop van cryptovaluta, die vervolgens naar door hen opgegeven blockchainadressen werden verzonden. Toen de belegger zijn vermeende belegging wilde opnemen, bleek dit niet mogelijk en deed hij aangifte van fraude. Volgens door hem verricht blockchainonderzoek was een aanzienlijk deel van de cryptovaluta via een zogenoemde nested-serviceconstructie terechtgekomen op depositadressen die konden worden herleid tot het Kyrrex-platform, dat volgens hem door Kyrrex Ltd en Rex Ltd werd geëxploiteerd. De belegger verzocht daarom op grond van artikel 196 Rv om verstrekking van de bij deze ondernemingen bekende identificerende gegevens van de aan de depositadressen en transactiecodes gekoppelde accounthouder(s), waaronder naam, geboortedatum, adres, identiteitsbewijs, foto of gezichtsscan, IP-adres, telefoonnummer en e-mailadres. Daarnaast verzocht hij om de mutatieoverzichten vanaf 26 juni 2025, zodat hij zijn rechtspositie kon bepalen en kon beoordelen of hij een vordering uit onrechtmatige daad kon instellen tegen de ontvangers van de cryptovaluta of tegen Kyrrex Ltd en Rex Ltd zelf.

Rb. Den Haag 27 mei 2026, IT 5352; ECLI:NL:RBDHA:2026:15919 (eisers tegen KINDRED GROUP PLC en RISEPOINT LIMITED). Elf spelers vorderden op grond van artikel 15 AVG inzage in de persoonsgegevens die waren verwerkt bij hun deelname aan online kansspelen via Unibet vóór 1 oktober 2021. De Nederlandse rechter is op grond van artikel 79 lid 2 AVG bevoegd. Niet in geschil was dat de gevraagde transactiegegevens persoonsgegevens zijn en dat Risepoint, voorheen Trannel, verwerkingsverantwoordelijke is. De rechtbank oordeelt dat ook Kindred als verwerkingsverantwoordelijke gold voor de inzageverzoeken die tussen mei en eind oktober 2024 waren ingediend. Kindred oefende toen via het centrale privacybeleid, het OneTrust-platform en het Kindred Privacy Team mede beslissende invloed uit op het doel en de wezenlijke middelen van de verwerking. De hoedanigheid van verwerkingsverantwoordelijke moet worden beoordeeld naar de feitelijke situatie op het moment waarop het inzageverzoek wordt gedaan. Na het vertrek van Risepoint uit de Kindred-groep eind oktober 2024 bepaalde Risepoint zelfstandig het doel en de middelen van de verwerking. Daarom hoefde Kindred niet te voldoen aan de pas daarna ingediende verzoeken van eisers 5 en 9, terwijl Risepoint tegenover alle eisers verantwoordelijk bleef.

Rb. Noord-Nederland 22 juni 2026, IT 5351; ECLI:NL:RBNNE:2026:2437 (Chipsoft tegen UMCG). Chipsoft verzocht om voorlopige bewijsverrichtingen ter onderbouwing van haar stelling dat de voorgenomen aansluiting van Treant en het Ommelander Ziekenhuis Groningen (OZG) op het Epic-EPD van het UMCG in strijd is met aanbestedingsrechtelijke en mogelijk staatssteunrechtelijke regels. Chipsoft is ontvankelijk, hoewel inmiddels een bodemprocedure liep, omdat zij het verzoek had ingediend voordat die zaak op de rol was ingeschreven. Voor inzage op grond van de artikelen 194 en 196 Rv hoeft de gestelde rechtsbetrekking nog niet vast te staan, maar moeten wel concrete aanknopingspunten voor het mogelijke bestaan daarvan worden gegeven. Die aanknopingspunten zijn er volgens de rechtbank ten aanzien van het UMCG, omdat de overeenkomsten ten tijde van de behandeling nog niet waren aangepast aan de voorwaarden waaronder volgens het gerechtshof geen sprake zou zijn van een wezenlijke wijziging van de in 2015 aanbestede opdracht. Daarmee is niet vastgesteld dat het UMCG onrechtmatig heeft gehandeld, maar heeft Chipsoft voldoende belang bij beperkte inzage. Voor een rechtsbetrekking met OZG en Treant heeft Chipsoft onvoldoende aanknopingspunten aangevoerd: de rechtbank sluit voor OZG aan bij het voorlopige oordeel dat zij geen aanbestedende dienst is en de gestelde betrokkenheid van Treant bij omzeiling van aanbestedings- of staatssteunregels is onvoldoende concreet onderbouwd.

Rb. Rotterdam 24 juni 2026, IT 5359; ECLI:NL:RBROT:2026:7699 (HBL tegen KPN). Helder bij Letselschade B.V. (HBL) verzocht bij wijze van voorlopige bewijsverrichting om inzage in gegevens van de KPN-klant aan wie op 21 april 2022 een bepaald IP-adres was toegewezen. HBL stelde dat sinds 2025 via verschillende nepaccounts ongeveer honderd lasterlijke en smadelijke reviews over haar waren geplaatst en dat zij de gebruiker van het IP-adres moest kunnen identificeren om deze in rechte aan te spreken. KPN verzette zich niet tegen verstrekking op grond van een rechterlijk bevel, maar vroeg het bevel te beperken tot de noodzakelijke identificerende gegevens. De rechtbank toetst het verzoek aan de artikelen 197, 196 en 194 Rv. De door HBL gestelde onrechtmatige daad kan als rechtsbetrekking in de zin van artikel 194 Rv gelden. Voor toewijzing is niet vereist dat de onrechtmatigheid al in rechte vaststaat of dat HBL haar vordering in deze fase al voldoende aannemelijk maakt.

Rb. Rotterdam 24 juni 2026, IT 5349; ECLI:NL:RBROT:2026:7263 (eisers tegen de AP). Twee rekeninghouders van ING dienden bij de Autoriteit Persoonsgegevens een klacht in over de verwerking van hun persoonsgegevens bij contactloos betalen. Volgens hen bleef de NFC-chip in hun betaalpassen ook werken als een pas was geblokkeerd of verlopen, of als contactloos betalen was uitgeschakeld. Dit zou veiligheidsrisico’s opleveren en leiden tot verwerking zonder geldige grondslag. Nadat een eerdere beslissing op bezwaar wegens schending van de hoorplicht was vernietigd, hoorde de AP de rekeninghouders en nam zij een nieuwe beslissing. De AP concludeerde dat zij de klacht in passende mate had onderzocht en dat op basis van het dossier geen overtreding van de AVG door ING kon worden vastgesteld. De rekeninghouders stelden in beroep dat de AP nader technisch onderzoek had moeten doen en zo nodig andere toezichthouders had moeten inschakelen.

Rb. Den Haag 27 mei 2026, IT 5340; ECLI:NL:RBDHA:2026:15919 ([eisers] tegen [gedaagden]). In deze zaak oordeelt de rechtbank Den Haag over AVG‑inzageverzoeken van elf voormalige spelers van online kansspelen via Unibet. Eisers namen vóór 1 oktober 2021 deel aan online kansspelen via de websites unibet.com en unibet.eu, in een periode waarin het in Nederland nog niet was toegestaan om zonder vergunning online kansspelen aan te bieden. In deze civiele procedure vorderen zij op grond van de AVG – in het bijzonder het inzagerecht op basis van Artikel 15 AVG – dat Kindred Group en Risepoint (voorheen Trannel International Limited) inzage geven in hun persoonsgegevens. Eisers vragen met name om transactiegegevens (stortingen, inzetten, uitbetalingen) en gegevens over de soorten spellen waaraan zij hebben deelgenomen en verlangen dat deze gegevens elektronisch worden verstrekt in een gangbaar bestandsformaat (zoals XLS(X) of CSV) of via een API, op een wijze die hen in staat stelt zowel de juistheid van de gegevens als de rechtmatigheid van de verwerking te controleren. In de dagvaarding wordt daarnaast een beroep gedaan op gegevensoverdraagbaarheid ex Artikel 20 AVG, maar de vorderingen zijn primair gebaseerd op het inzagerecht. Kindred en Risepoint weigeren de gevraagde gegevens te verstrekken. Zij voeren aan dat eisers het inzagerecht gebruiken om informatie te verzamelen voor mogelijke civiele procedures over terugbetaling van gokverliezen en dat daarmee misbruik van recht wordt gemaakt in de zin van Artikel 12 lid 5 AVG. Daarnaast beroepen zij zich op uitzonderingen op het inzagerecht, waaronder Artikel 15 lid 4 AVG en Artikel 23 AVG, mede onder verwijzing naar de Maltese uitvoeringsregeling.

HR 12 juni 2026, IT 5331; ECLI:NL:HR:2026:921 ([de kaarthoudster] tegen ICS). In deze zaak tussen [de kaarthoudster] en International Card Services B.V. (ICS) staat de vraag centraal of International Card Services (ICS) de creditcardovereenkomst met [de kaarthoudster] mocht opzeggen nadat zij had geweigerd mee te werken aan een nieuwe online-identificatie op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Voor deze identificatie diende zij een foto van haar identiteitsbewijs en een selfie aan te leveren. [de kaarthoudster] verzette zich tegen deze werkwijze omdat ICS de foto's zou opslaan. Volgens haar is sprake van verwerking van biometrische gegevens en ontbreekt een toereikende wettelijke grondslag voor het bewaren van deze foto's. Het hof oordeelde eerder dat ICS de overeenkomst mocht opzeggen. Volgens het hof was de online-identificatie noodzakelijk om te voldoen aan de verplichtingen uit de Wwft en vormt het enkele opslaan van een foto geen verwerking van biometrische gegevens in de zin van de AVG, omdat daarvoor specifieke technische verwerking nodig is waarmee een persoon uniek kan worden geïdentificeerd of geauthentiseerd. In cassatie ziet de Hoge Raad aanleiding om op meerdere punten prejudiciële vragen aan het Hof van Justitie te stellen. De Hoge Raad stelt voorop dat de zaak draait om de afweging tussen enerzijds de verplichtingen die voortvloeien uit de Europese anti-witwasregelgeving en anderzijds het recht op bescherming van persoonsgegevens en de persoonlijke levenssfeer zoals gewaarborgd door de AVG, het Handvest en het EVRM. Omdat deze afweging in belangrijke mate afhankelijk is van de uitleg van Unierecht, acht de Hoge Raad beantwoording door het Hof van Justitie noodzakelijk. Een eerste vraag betreft de kwalificatie van foto's als biometrische gegevens. De Hoge Raad overweegt dat uit de tekst van artikel 4, onder 14, AVG en overweging 51 van de AVG volgt dat een gewone foto niet zonder meer een biometrisch gegeven vormt. Daarvoor is vereist dat de foto wordt onderworpen aan een specifieke technische verwerking waarmee een persoon uniek kan worden geïdentificeerd of geauthentiseerd. De foto vormt dan de bron waaruit biometrische gegevens kunnen worden afgeleid, maar is niet zonder meer zelf een biometrisch gegeven. De Hoge Raad wijst er echter op dat een recent arrest van het Hof van Justitie aanleiding geeft om hierover alsnog prejudiciële vragen te stellen.

HvJ EU 18 juni 2026, IT 5330; ECLI:EU:C:2026:496 (NTH Haustechnik GmbH tegen EM). In deze zaak tussen NTH Haustechnik GmbH en haar voormalige werknemer EM tussen staat de vraag centraal in hoeverre een nationale rechter in een civiele procedure persoonsgegevens mag verwerken en gebruiken die mogelijk in strijd met de AVG zijn verkregen. De zaak ontstond nadat NTH Haustechnik haar voormalige werknemer aansprakelijk stelde voor de gestelde doorverkoop van bedrijfseigendommen via een privéaccount op eBay. De werkgever baseerde zich daarbij op gegevens die waren verkregen door toegang tot dat privéaccount. Volgens de verwijzende Duitse rechter kon niet worden uitgesloten dat deze gegevens op onrechtmatige wijze waren verzameld. Het Hof van Justitie kreeg daarom onder meer de vraag voorgelegd welke eisen de AVG stelt aan het gebruik van dergelijke persoonsgegevens als bewijsmiddel in een gerechtelijke procedure. Het Hof stelt voorop dat de AVG van toepassing kan zijn op de verwerking van persoonsgegevens door rechters wanneer deze gegevens worden opgenomen in een procesdossier of digitaal worden geraadpleegd, opgeslagen of gebruikt. Dat de beoordeling van de toelaatbaarheid van bewijs in beginsel een kwestie van nationaal procesrecht is, neemt niet weg dat een rechter bij de verwerking van persoonsgegevens de AVG moet naleven. Daarbij wijst het Hof erop dat het begrip "verwerking" ruim is en ook ziet op het toevoegen van stukken aan een dossier en het raadplegen daarvan door de rechter, en dat rechterlijke verwerkingen niet onder de uitzonderingen van artikel 2 AVG vallen. Vervolgens bepaalt het Hof welke rechtsgrond geldt voor de verwerking van persoonsgegevens door de rechter. De verwerking van persoonsgegevens door een rechter in het kader van de bewijsvoering is in beginsel gebaseerd op artikel 6 lid 1 onder c AVG. De rechter verwerkt de gegevens namelijk omdat hij op grond van het nationale procesrecht verplicht is de aangevoerde feiten en het aangeboden bewijs te beoordelen. Daarmee maakt het Hof duidelijk dat niet artikel 6 lid 1 onder e AVG (taak van algemeen belang), maar de wettelijke verplichting van de rechter om over de toelaatbaarheid en waardering van bewijs te beslissen de relevante grondslag vormt. In dat kader wijst het Hof erop dat artikel 6 lid 1 onder f AVG (gerechtvaardigd belang) niet de grondslag is voor deze rechterlijke verwerking; de rechter baseert zich in deze context op artikel 6 lid 1 onder c AVG. Artikel 17 lid 3 onder e AVG vormt daarentegen geen zelfstandige grondslag voor verwerking.