Privacy  

Rb. Midden-Nederland 2 september 2025, IT 4953; ECLI:NL:RBMNE:2025:4562 ([eiseres] tegen de burgemeester van de gemeente [plaats 2]). In deze uitspraak beoordeelt de rechtbank het beroep van eiseres tegen de afwijzing van haar verzoek om rectificatie van haar persoonsgegevens en de gedeeltelijke afwijzing van haar verzoek om wissing van deze gegevens uit het Raadsinformatiesysteem (RIS) van de gemeente [plaats 2]. Eiseres is voormalig [functie] voor de fractie van [politieke partij]. Op 24 januari 2022 is door haar fractie een persbericht verzonden met als titel “Grensoverschrijdend seksueel gedrag en angstcultuur bij [bedrijf]”. Op dezelfde dag heeft de fractie raadsvragen gesteld met diezelfde titel. In reactie hierop door het college (van burgemeester en wethouders) een memo verzonden, waarin staat dat onderzocht zou worden of de fractie met het persbericht en de raadsvragen een eerder, in juni 2021, door het college opgelegde en door de raad bekrachtigde verplichting tot geheimhouding had geschonden. In zijn memo van 21 februari 2022 heeft de burgemeester de raad over de voortgang van dit onderzoek geïnformeerd en geschreven een feitenonderzoek in te stellen en daartoe opdracht te hebben gegeven aan een extern bureau. De uitkomst van dit onderzoek heeft ertoe geleid dat de burgemeester aangifte heeft gedaan van schending van het ambtsgeheim. In december 2023 heeft het Openbaar Ministerie de zaak geseponeerd wegens onvoldoende bewijs. Hierover heeft de burgemeester de raad enkele keren geïnformeerd via het RIS. Eiseres verzoekt nu om rectificatie en verwijdering van haar persoonsgegevens uit het RIS.

HVJ EU 4 september 2025, IT 4954; ECLI:EU:C:2025:645 (EDPS tegen GAR). De EDPS verzoekt vernietiging van het arrest van het Gerecht van de Europese Unie (ECLI:EU:T:2023:219). Op 7 juni 2017 besloot de Gemeenschappelijke Afwikkelingsraad (GAR) om de Spaanse bank Banco Popular in afwikkeling te plaatsen op grond van de GAM-verordening. De aandelen werden overgedragen aan Banco Santander. Deloitte werd aangesteld om te onderzoeken of aandeelhouders en crediteuren beter af zouden zijn geweest bij een normale insolventie. De GAR startte in 2018 een consultatieprocedure over mogelijke compensatie. Getroffen aandeelhouders en crediteuren konden zich registreren en opmerkingen indienen. Deze gegevens werden gepseudonimiseerd en deels doorgestuurd naar Deloitte door de GAR, zonder dat die toegang kreeg tot identiteitsgegevens. Enkele klagers dienden klachten in bij de EDPS over het delen van persoonsgegevens met Deloitte. De EDPS oordeelde dat sprake was van gepseudonimiseerde persoonsgegevens en dat GAR had nagelaten Deloitte als ontvanger te vermelden in de privacyverklaring, wat een schending was van de informatieplicht. Dit besluit is nietig verklaard door het Gerecht. De EDPS verzoekt vernietiging van dat arrest, zij voert hiervoor twee middelen aan, waarvan het eerste is ontleend aan schending van artikel 3, punten 1 en 6, van verordening 2018/1725, en het tweede aan schending van artikel 4, lid 2, en artikel 26, lid 1, van deze verordening. Met het eerste onderdeel van het eerste middel voert de EDPS aan dat de aan Deloitte verstrekte informatie betrekking had op een natuurlijk persoon. Met het tweede onderdeel van het eerste middel voert de EDPS aan dat het Gerecht ten onrechte heeft geoordeeld dat het niet kon vaststellen dat de informatie uit de aan Deloitte toegezonden opmerkingen betrekking had op een 'identificeerbare' natuurlijke persoon.

Vzr. Rb. Den Haag 17 juli 2025, IT 4952; ECLI:NL:RBDHA:2025:15581 ([eisers c.s.] tegen Whitebit). In dit kort geding vorderen [eisers c.s.] dat Whitebit identificerende gegevens verstrekt van accountgebruiker(s) die vermoedelijk betrokken zijn bij fraude. [eisers c.s.] heeft mogelijk een vordering uit onrechtmatige daad op de ontvangers van de van haar afkomstige geswapte cryptovaluta en heeft hun gegevens nodig om hen te kunnen identificeren en een vordering tegen hen in te kunnen stellen. Whitebit is niet in de procedure verschenen. De voorzieningenrechter buigt zich eerst over de vraag of tegen Whitebit verstek kan worden verleend. 

Rb. Gelderland 5 september 2025, IT 4951; ECLI:NL:RBGEL:2025:7488 (Innova Energie B.V. tegen [gedaagde 1] en [gedaagde 2]). Innova exploiteert een onderneming die is gericht op de levering van gas en elektriciteit. [gedaagde 1], waarvan [gedaagde 2] enig bestuurder en aandeelhouder is, verricht activiteiten op de markt voor het telefonisch aanbieden van energiecontracten aan consumenten en neemt opdrachten aan om energiecontracten aan te bieden. In een samenwerkingsovereenkomst met CCTr, daarin aangeduid als “Partner”, is onder meer bepaald dat partner verantwoordelijk is voor zorgvuldige omgang met systemen en data, binnen de grenzen van de AVG en overige wetgeving. Gegevensverwerking moet voldoen aan de AVG, de Telecommunicatiewet en eventuele branchecodes, en op verzoek dient partner bewijs te overleggen van opt-in en databron. Bij brief van 20 juni 2025 schrijft Innova dat klanten van haar ongevraagd zijn benaderd. Daarbij is volgens Innova gesuggereerd dat Innova failliet zal gaan of leveringstarieven zal verhogen, en is onjuist meegedeeld dat namens Innova werd gebeld. Innova stelt dat ongevraagd telefonische communicatie voor commerciële doeleinden naar natuurlijke personen verboden is, tenzij voor elk ongevraagd telefoongesprek voorafgaande toestemming is verkregen, en heeft [gedaagde 1] gesommeerd om alle onrechtmatige activiteiten te staken.

HvJ EU 10 september 2025, IT 4950; ECLI:EU:T:2025:842 (Meta Platforms Ireland Ltd tegen Europese Commissie). Meta Platforms Ireland Ltd (hierna: Meta Platforms) vordert met haar beroep op artikel 263 VWEU een nietigverklaring van uitvoeringsbesluit C(2023) 8176 final van de Europese Commissie van 27 november 2023 tot vaststelling van de toezichtsvergoeding die voor Facebook en Instagram geldt krachtens artikel 43, lid 3, van verordening (EU) 2022/2065 van het Europees Parlement en de Raad. Meta Platforms voert hiertoe zes middelen aan. Het vijfde middel is van belang: de methode voor de berekening van het gemiddeld aantal maandelijkse actieve afnemers (hierna: GAMAA) is onjuist en onrechtmatig voor zover de Commissie haar gedelegeerde bevoegdheid heeft uitgeoefend via individuele uitvoeringshandelingen. Met dit middel voert Meta Platforms aan dat het bestreden besluit onjuist is en in strijd is met artikel 290, lid 1, en artikel 291, lid 2, VWEU, artikel 33, lid 3, artikel 43, lid 4, en artikel 87 van de digitaledienstenverordening en artikel 4, lid 2, van gedelegeerde verordening 2023/1127, aangezien het doel ervan verder reikt dan de vaststelling van een uitvoeringshandeling om het bedrag van de vergoeding te bepalen doordat het een nieuwe gemeenschappelijke methode voor de berekening GAMAA invoert en het de digitaledienstenverordening op onaanvaardbare wijze aanvult. 

Rb. Den Haag 30 juni 2025, IT4947, ECLI:NL:RBDHA:2025:15486 (Eiser tegen Bybit). Het geschil tussen eiser en Bybit gaat over boilerroomfraude. Eiser stelt dat hij in de dagvaarding dat hij door oplichting ertoe is bewogen om te investeren in cryptovaluta. Daarna is eiser slachtoffer geworden van vervolgfraude ('recovery fraude'). Eiser heeft met een blockchain tracing-onderzoek achterhaald dat de gestolen cryptovaluta van ETH Recovery scam zijn ontvangen op een deposit adres dat onderdeel is van exchangeplatform Bybit. Het bij dit adres behorende gebruikersaccount staat op naam van een persoon. De vorderingen van eiser in dit kort geding strekken ertoe de naam- en adresgegevens van de bij het gebruikersaccount behorende persoon van Bybit te verkrijgen, zodat eiser een bodemprocedure tegen die persoon kan beginnen. Daarnaast wil eiser het gebruikersaccount laten bevriezen, zodat hij zich later bij een toewijzend bodemvonnis op de activa in dit account kan verhalen. 

Rb. Rotterdam 23 juli 2025; IT 4941; ECLI:NL:RBROT:2025:9088 (SDBN tegen Amazon). De Rechtbank Rotterdam heeft in een collectieve actie van de Stichting Data Bescherming Nederland (SDBN) tegen Amazon prejudiciële vragen gesteld aan het Hof van Justitie van de EU. SDBN stelt dat Amazon sinds 25 mei 2018 persoonsgegevens van circa vijf miljoen Nederlandse accounthouders in strijd met de AVG verwerkt en vordert dat Amazon dit onrechtmatig handelen staakt en schade vergoedt. De procedure valt onder de WAMCA (Wet afwikkeling massaschade in collectieve actie), die sinds 2020 ook schadevergoedingsvorderingen in collectieve acties mogelijk maakt. Kernpunt is of SDBN voldoet aan de ontvankelijkheidseisen van de WAMCA, waaronder de gelijksoortigheid van belangen en representativiteit van de achterban. Amazon betwist dat, onder meer vanwege het ontbreken van voldoende steun vanuit de achterban en de afhankelijkheid van procesfinanciering. De rechtbank oordeelde dat SDBN grotendeels voldoet aan de formele WAMCA-vereisten, maar hield de beoordeling van representativiteit en gelijksoortigheid aan in afwachting van uitleg door het HvJEU.

Rb. Amsterdam 4 februari 2020, IT 4940; ECLI:NL:RBAMS:2020:3786 (Eiseres tegen de korpschef van politie). Eiseres verzoekt de politie om inzage in alle over haar geregistreerde persoonsgegevens, gebaseerd op de AVG. Ze wil weten welke gegevens er zijn, het doel van gebruik, aan wie ze zijn verstrekt, hoe ze worden beveiligd, de herkomst, de opslagduur en of er automatische besluitvorming plaatsvindt. Ze vraagt ook om inzage in verslagstukken van gesprekken met de wijkagent. De korpschef interpreteert het verzoek echter als een inzageverzoek op grond van artikel 25 van de Wet politiegegevens (Wpg) en verstrekt een overzicht van alle registraties in het Bedrijfsprocessensysteem van de politie. Oudere gegevens zijn verwijderd of beperkt raadpleegbaar, en communicatie met derden zoals de GGD vindt plaats op basis van art. 20 Wpg en het convenant Zorg en Overlast. Er is geen sprake van automatische besluitvorming en er zijn passende beveiligingsmaatregelen getroffen.

Hof Arnhem-Leeuwarden 1 juli 2025; IT 4943; ECLI:NL:GHARL:2025:4776 ([appellanten] tegen [geïntimeerden]). Het Gerechtshof Arnhem-Leeuwarden heeft in hoger beroep geoordeeld over een burenconflict. De voorzieningenrechter had eerder beslist dat [appellanten] hun beveiligingscamera’s moesten afplakken zodat geen beelden meer konden worden gemaakt van het perceel en de woning van [geïntimeerden]. Het hof bekrachtigt die beslissing: hoewel [appellanten] stellen dat een privacy-mask voldoende bescherming biedt, kunnen zij dat zelf op elk moment uitschakelen. Gezien de ernstig verstoorde verhoudingen en het gebrek aan vertrouwen mocht de voorzieningenrechter daarom een afplakplicht opleggen. De termijn van een week en de dwangsom van €100 per dag (maximaal €10.000) zijn volgens het hof redelijk.

RvS 30 juli 2025, IT 4939; ECLI:NL:RVS:2025:3561 (Appellant sub 1 tegen de burgemeester van Eindhoven). Appellant had de burgemeester van Eindhoven op grond van de Wet open overheid verzocht om informatie over een vermeend buurtonderzoek aan de Lorrainelaan. Zij wilde weten of er een buurtonderzoek aan de Lorrainelaan had plaatsgevonden en vroeg tevens om alle meldingen die over haar zouden zijn gedaan en wat daarmee was gebeurd. Naar aanleiding van dit verzoek verstrekte de gemeente een overzicht van meldingen van woonoverlast, waarin de gegevens van melders waren geanonimiseerd. In dat overzicht stond ook een adres vermeld dat betrekking had op een boom in de openbare ruimte. De appelant stelde dat de vermelding van dit adres in strijd was met de Algemene verordening gegevensbescherming, omdat het haar adres betrof en daarmee een persoonsgegeven vormde. De rechtbank oordeelde dat een adres in dit overzicht een persoonsgegeven kon zijn, omdat het in verband was gebracht met meldingen van woonoverlast en eenvoudig te herleiden viel tot de eigenaar van het pand. De rechtbank achtte dit in strijd met de AVG en droeg de burgemeester op een nieuw besluit te nemen. Het beroep werd gegrond verklaard en een verzoek om schadevergoeding werd afgewezen.