Privacy  

Rechtbank Haarlem 31 augustus 2011, LJN BR6518 (A c.s. tegen ING Bank N.V.)

Wet bescherming persoonsgegevens. Na een bezoek aan Parijs geeft A c.s. een diefstal aan, welke onjuist bleek. Verzoek tot verwijdering (art. 46 Wbp) uit het incidentenregister van (reis)verzekeraar afgewezen. Het vermoeden is gerechtvaardigd dat verzoekster een vervalste factuur heeft overgelegd en vervolgens heeft geprobeerd haar verklaringen in overeenstemming te brengen met deze factuur.

3.4.  Vast staat dat [B] bij het invullen van het SAF aanzienlijk meer sieraden als gestolen heeft opgegeven dan waarvan het proces-verbaal van aangifte melding maakt. Op zichzelf levert dit echter geen redelijk vermoeden van benadeling van de verzekeraar op, aangezien het goed voorstelbaar is dat iemand die bestolen is zich pas later bewust wordt van de precieze omvang van de diefstal. Opmerkelijk is echter dat het proces-verbaal van aangifte verkeerde merknamen vermeldt van de foto- en videocamera die zij en haar man pas de dag ervoor hadden aangeschaft. Te verwachten is immers dat zij niet lichtvaardig zijn overgegaan tot de aanschaf van deze apparatuur die - naar uit het SAF kan worden afgeleid - een waarde van EUR 2.600,00 vertegenwoordigde, zodat verwacht mag worden dat zij deze merknamen bij het doen van aangifte paraat had. De rechtbank passeert als ongeloofwaardig de eerst ter zitting gegeven verklaring van [B] dat haar man deze apparatuur alleen heeft aangeschaft - wat daar overigens ook van zij - omdat zij tijdens het eerste gesprek met onderzoeksbureau Vidi heeft verklaard dat zij deze apparatuur zelf heeft aangeschaft.

Uit de door ING overgelegde stukken leidt de rechtbank af dat op de factuur van Bijouterie Assoin oorspronkelijk het jaartal 2003 heeft gestaan en dat deze betrekking heeft op de aanschaf van een 18 karaats gouden armband voor een prijs van 1.250,00 dirham. Tijdens het tweede gesprek met onderzoeksbureau Vidi heeft [B] niettemin volhard in haar evident onhoudbare standpunt dat deze factuur in 2008 is opgemaakt voor de aankoop van een ketting, een armband en een ring voor EUR 125.000,00 dirham, waar zij bij het invullen van het SAF met deze factuur de aanschaf van een ketting, een armband en oorbellen in 2009 beoogde te onderbouwen. De rechtbank tekent hierbij aan dat, uitgaande van de wisselkoers per 1 januari 2010, een prijs van 125.000,00 dirham (EUR 11.046,16) niet in de buurt komt van de door haar in het SAF opgegeven waarde van de sieradenset van EUR 900,00. Wat dat betreft biedt de factuur van Bijouterie Belle Vue een betere onderbouwing. Deze is kennelijk opgemaakt op 21 juli 2008 en saldeert op 12.000 dirham (EUR 1.060,43). De naam van de winkel komt echter niet overeen met de verklaring van [B] dat zij de sieraden bij Bijouterie Assoin heeft gekocht (zie 2.4), en ook deze factuur wijkt af van het SAF waar deze melding maakt van de aankoop van oorbellen, een armband en een ring. Dat [B] ter zitting in afwijking van haar eerdere verklaringen weer heeft verklaard dat de sieradenset door haar man is aangeschaft, maakt haar verklaringen er al met al niet geloofwaardiger op. De rechtbank hecht derhalve geen geloof aan de stelling van [B] dat het overleggen van de factuur van Bijouterie Assoin op een vergissing berust. Een dergelijke vergissing zou haar, zoals ING terecht heeft betoogd, reeds tijdens het tweede gesprek met onderzoeksbureau Vidi moeten zijn opgevallen. Het vermoeden is gerechtvaardigd dat [B] een vervalste factuur heeft overgelegd en vervolgens heeft geprobeerd haar verklaringen in overeenstemming te brengen met deze factuur. De vergissingen die zij daarbij heeft gemaakt hebben tot gevolg dat zij daar niet in is geslaagd. Het verzoek zal worden afgewezen.

Antwoord Minister Donner vragen Neppérus inzake het eenvoudige kraken van de DigiD, Aanhangselen II, 2010-11, nr. 3 427.

Vraag 1 Bent u bekend met de berichten dat een DigiD eenvoudig te kraken zou zijn voor criminelen en dat het om vele miljoenen gaat?

Antwoord Ja, ik ben bekend met de berichtgeving in de media.

Vraag 2 Hoe verhoudt zich dit nieuws zich tot uw antwoorden van 9 mei 2011 op Kamervragen dat het probleem maar beperkt voorkomt?

Antwoord: Tot op heden is niet gebleken dat bij de huidige situatie sprake is van het ontvreemden van DigiD’s van de getroffen huishoudens. Het betreft hier wèl het frauduleus aanvragen van toeslagen met behulp van identiteitsgegevens van de getroffen huishoudens. Daarvoor waren de DigiD’s van de getroffen huishoudens niet nodig. De Belastingdienst heeft inmiddels maatregelen getroffen waardoor dit niet meer mogelijk is. De desbetreffende burgers zijn inmiddels geïnformeerd. Ook zijn de invorderingsmaatregelen gestopt en krijgen de burgers die door deze fraude hun toeslagen niet hebben uitgekeerd gekregen, deze alsnog uitbetaald. Daarnaast is er bij de Belastingdienst/Toeslagen een fraudemeldpunt, waar burgers die vermoeden dat zij slachtoffer zijn van dit soort fraude zich kunnen melden. De Staatssecretaris van Financiën zal de Kamer in de komende halfjaarsrapportage nader informeren over de maatregelen die de Belastingdienst in dit verband heeft genomen.

Vraag 3 Bent u bereid alsnog naar de omvang van het genoemde probleem te kijken?

Antwoord Zoals gemeld in antwoord op vraag 2 bestaat de misbruikmogelijkheid die de aanleiding vormt voor de huidige vragen niet meer. Wat andere vormen van misbruik betreft, is het niet onmogelijk voor een kwaadwillende om een DigiD van een ander te bemachtigen (zoals ook aangegeven in de antwoorden op uw vragen uit april 2011 en de vragen van het lid Gerkens uit maart 20101). De strekking van die antwoorden is dan ook niet gewijzigd. 100% fraudebestendigheid bestaat niet. Het aantal gevallen van het ontvreemden van DigiD, ten opzichte van het totaalgebruik van DigiD, is minimaal. DigiD wordt gebruikt door 9 miljoen mensen. Sinds de invoering van DigiD in 2005 zijn door de beheerder van DigiD enkele honderden DigiD’s onderzocht vanwege een vermoeden van misbruik. Daarnaast zijn bij het Centraal Meldpunt Identiteitsfraude en -fouten enkele tientallen gevallen van vermoeden van misbruik gemeld. Wanneer er meer aan de hand blijkt te zijn wordt een DigiD opgeheven. Dat is dit jaar acht maal gebeurd. Het tegengaan van fraude is een continue wedloop tussen het nemen van beveiligingsmaatregelen en fraudeurs. In dat kader onderzoek ik momenteel de wenselijkheid en haalbaarheid van de invoering van een geheel nieuw (hoger) zekerheidsniveau binnen DigiD, de zogeheten eNIK. Daarover informeer ik uw Kamer medio september separaat.

Vraag 4 Hoe komt het dat kennelijk in bepaalde straten en wijken meer DigiD wordt gekraakt, dan in andere buurten? Welke afspraken zijn er over screening van medewerkers van bedrijven die worden ingeschakeld?

Antwoord De zaak waarop gewezen wordt in de berichtgeving is in onderzoek bij de FIOD en het Openbaar Ministerie. Zoals gemeld in het antwoord op vraag 2 is tot op heden niet gebleken dat hierbij sprake is geweest van het ontvreemden van DigiD’s van de getroffen huishoudens. Vanwege het lopende onderzoek kan ik op dit moment geen nadere mededelingen doen.

Vanaf komende dinsdag verschijnt een ‘cookie-icoon’ bij veel webadvertenties in Nederland. Wie doorklikt komt terecht bij een volg-me-niet register, waar de gebruiker kan aangeven van welke partijen hij wel of geen third party cookies wenst te ontvangen.

Lees meer hier

Vz RCC 10 augustus 2011, Dossiernr. 2011/00614 (Neckermann reclamekaart klantnummer)

Als randvermelding. De RCC oordeelt over gebruik van 'privacy-gegevens'. De twee reclamefolders, die per post aan klager zijn toegestuurd, zijn niet alleen voorzien van klagers naam en adres, maar ook van klagers klantnummer, en wel zo, dat dit voor een ieder zichtbaar is. Na ontvangst van de eerste folder heeft klager zijn bezwaar daartegen aan adverteerder kenbaar gemaakt, doch heden ontving hij een tweede folder, wederom voorzien van zijn klantnummer. Hierdoor kan een ieder, die deze uitingen onder ogen krijgt zich voor klager uitgeven.

Klantnummer is slechts serviceoverweging. Door zich van een dergelijke wijze van reclame maken te bedienen, is geen inbreuk op klagers privacy, aldus de voorzitter..

Het verweer
Van strijd met de Nederlandse Reclame Code (hierna: NRC) is geen sprake.
Ook zonder dat het klantnummer zou zijn vermeld, bestaat het risico dat iemand anders zich voor klager uitgeeft. Het klantnummer is vermeld uit serviceoverwegingen. Hierdoor hoeft de klant zijn klantnummer niet op te zoeken of na te vragen.  
 
Het oordeel van de voorzitter
De voorzitter is van oordeel dat de Commissie de klacht zal afwijzen. Hij overweegt daartoe het volgende.
Het feit dat naast klagers naam en adres zijn klantnummer is vermeld waardoor beide voor derden zichtbaar zijn, kan niet worden aangemerkt als een schending van klagers persoonlijke levenssfeer. Evenmin kan dit handelen in strijd met de NRC worden geacht.

Hof Leeuwarden 12 juli 2007 LJN BR5585 (verzoekster tegen Stichting Inschrijving Op Naam)

Geen recht op verwijdering persoonsgegevens uit huisartsenregister (ION). Het enkele feit dat met de registratie duidelijk kan worden bij welke huisarts zij als patiënt staat ingeschreven, zegt over haar geestelijke of lichamelijke gezondheid niets, ook niet als de persoon van die arts bij deze beoordeling wordt betrokken. Dat betekent dat artikel 16 juncto 21 Wbp toepassing mist.

6.  Het hof stelt voorop dat de door ION geregistreerde gegevens noch expliciet, noch impliciet betrekking hebben op de gezondheid van [verzoekster]. Het enkele feit dat met de registratie duidelijk kan worden bij welke huisarts zij als patiënt staat ingeschreven, zegt over haar geestelijke of lichamelijke gezondheid niets, ook niet als de persoon van die arts bij deze beoordeling wordt betrokken. Dat betekent dat artikel 16 juncto 21 Wbp toepassing mist.

10.  Aan [verzoekster] moet worden toegegeven dat de registratie - zoals elke registratie van persoonsgegevens - haar persoonlijke levenssfeer raakt. Bij de beantwoording van de vraag in hoeverre haar recht op bescherming daarvan wordt aangetast, dient echter wel te worden bedacht dat de geregistreerde gegevens slechts toegankelijk zijn voor huisartsen en zorgverzekeraars, en in wezen slechts inzichtelijk maken bij welke huisarts [verzoekster] staat ingeschreven. Niet is aangevoerd dat daar wat betreft de zorgverzekeraars enig bezwaar tegen bestaat; [verzoekster] richt haar pijlen
uitsluitend op het feit dat andere huisartsen dan degene bij wie zij staat ingeschreven, die informatie tot zich kunnen nemen. De gevoeligheid van de gegevens is dus tot dat feit beperkt.

11.  De in het licht van al het voorgaande te maken belangenafweging kan naar het oordeel van het hof niet de conclusie dragen dat de fundamentele rechten en vrijheden van [verzoekster] in de weg staan aan de registratie van haar persoonsgegevens in de database. Dat betekent dat die gegevens niet geacht kunnen worden in strijd met een wettelijk voorschrift te zijn verwerkt. Het in artikel 36 Wbp geregelde recht om verwijdering van die gegevens te verzoeken, komt [verzoekster] dan ook niet toe. De bestreden beschikking zal reeds om die reden worden bekrachtigd. In aanvulling daarop overweegt het hof het volgende.

12.  Teneinde aan de bezwaren van [verzoekster] tegemoet te komen, zijn zowel de historische gegevens (definitief) als de persoonsgegevens door ION uit het bestand verwijderd, en voert ION nadien periodiek een handmatige controle uit. Daardoor kan alleen nog sprake zijn van door haar nietgewenste registratie van de persoonlijke gegevens van [verzoekster] gedurende maximaal drie maanden. Indien ION maatregelen zou moeten nemen om uit te sluiten dat gedurende een dergelijke, korte periode een andere dan [verzoekster]s eigen huisarts zou kunnen zien wie haar huisarts is, dan zou (naar ten pleidooie onbestreden is gebleven) een investering noodzakelijk zijn van tussen de € 50.000,= en € 100.000,=. Sinds de invoering van de registratie is [verzoekster] de enige die om een dergelijke verstrekkende aanpassing van het systeem heeft verzocht. Een belangenafweging zou ook om die reden in de weg staan aan honorering van het verzoek.

Het onderzoek wat het Openbaar Ministerie (OM) heeft gedaan bij KPN over het gebruik van Deep Packet Inspection (DPI) heeft geen aanwijzingen opgeleverd dat de wet wordt overtreden. KPN heeft geen inzicht in de inhoudelijke communicatie van haar klanten omdat de pakketten niet integraal worden opgeslagen. De OPTA concludeerde eerder dat KPN mogelijk de wet overtrad en het College Bescherming Persoonsgegevens (CBP) is nog bezig met haar onderzoek. Naast KPN maken ook Vodafone en T-mobile gebruik van DPI. Hiermee kunnen zij monitoren welke klanten veel data gebruiken en die eventueel extra belasten.

Lees ook het bericht op Webwereld.

Webwereld bericht dat het CBP onderzoek gaat doen naar de naleving van de privacywetgeving door aanbieders vaan regionale elektronische patiëntendossiers. De reden hiervoor is dat er op dit moment een wettelijke basis ontbreekt voor de opslag van persoonsgegevens in medische databases. Het is nog onduidelijk hoe het onderzoek eruit komt te zien, maar het gaat zeker dit jaar nog van start. De uitkomsten worden dan waarschijnlijk in 2012 verwacht.

Voorts wordt op 22 augustus meer bekend over de toekomst van het landelijke EPD. Dan komt Nictiz (Nederland ict-instituut) met haar definitieve advies aan de minister. Waarschijnlijk zal het LSP (landelijke schakelpunt) worden overgedragen aan de zorgsector. Het CBP is bij deze gesprekken betrokken.

Lees het oorspronkelijke bericht hier

Rechtbank Utrecht 20 juli 2011, LJN BR2611 (eiser tegen Nieuw Apostolische Kerk in Nederland)

De voorzieningenrechter veroordeelt een kerkgenootschap tot rectificatie van eerder op de website van het kerkgenootschap gedane uitingen jegens eiser. De voorzieningenrechter is van oordeel dat NAK door zonder toestemming van eiser informatie over zijn persoon op haar website te plaatsen in strijd heeft gehandeld met artikel 8 Wbp en daarmee onrechtmatig jegens eiser heeft gehandeld. Dit betekent dat NAK zal worden veroordeeld om de verklaring van haar website te verwijderen. De door eiser gevorderde rectificatie tekst kan echter niet worden toegewezen. Deze suggereert immers dat de verklaring van NAK inhoudelijk onjuist is, hetgeen in het kader van dit kort geding niet is en kan worden vastgesteld

Op de website van gedaagde stond, o.m.:
 ... De werkwijze van de heer [eiser] was niet open en transparant, waardoor het vertrouwen van de kerk in de samenwerking met hem afnam. Hij probeerde zich in zijn werk aan controle door de kerkleiding te ontrekken.
De relatie tussen de heer [eiser] en de kerkleiding verslechterde in de eerste helft van 2009 steeds meer, hetgeen in juni 2009 tot een breuk in de samenwerking leidde. In september 2009 werd de heer [eiser] door de kerk ontslagen.

4.11.  De voorzieningenrechter is op grond van het voorgaande van oordeel dat NAK door zonder toestemming van [eiser] informatie over zijn persoon op haar website te plaatsen in strijd heeft gehandeld met artikel 8 Wbp en daarmee onrechtmatig jegens [eiser] heeft gehandeld. Dit betekent dat NAK zal worden veroordeeld om de verklaring van haar website te verwijderen. De door [eiser] gevorderde rectificatie kan echter niet worden toegewezen. Deze suggereert immers dat de verklaring van NAK inhoudelijk onjuist is, hetgeen in het kader van dit kort geding niet is en kan worden vastgesteld. NAK zal daarom worden veroordeeld om na te melden verklaring op de homepage van haar website te plaatsen gedurende een periode van 4 na betekening van dit vonnis. De gevorderde dwangsom zal eveneens worden toegewezen met dien verstande dat deze wordt gematigd tot € 1.000,- per dag met een maximum van € 50.000,-.
De te plaatsen rectificatie luidt als volgt:
“Bij vonnis in kort geding van 20 juli 2011 is de Nieuw Apostolische Kerk in Nederland veroordeeld om de eerdere verklaring met betrekking tot de voormalig medewerker bouwafdeling van haar site te verwijderen omdat zij hiermee in strijd met artikel 8 Wet bescherming persoonsgegevens en daarmee onrechtmatig heeft gehandeld.
De kerkleiding”

Hoge Raad 5 juli 2011, LJN BQ2009 (ruchtbaarheid op Hyves)

Verdachte heeft cassatie ingesteld. Hof heeft overwogen dat er sprake is van opzettelijk eer en goede naam aanranden door ruchtbaarheid te geven aan bepaald feit door het plaatsen van tekst op Hyves. Tekst is hierdoor ter kennis gebracht aan breder publiek en heeft daardoor geen vertrouwelijk karakter. HR verwerpt beroep, meent dat oordeel Hof niet getuigt van onjuiste opvatting omtrent 261 Sr.

2.5. Het Hof heeft vastgesteld dat de verdachte op haar Hyves-pagina zichtbaar voor 20 à 25 andere personen de tekst heeft geplaatst "ik moet mijn kind meegeven aan een pedo", waarmee zij haar ex-partner bedoelde. Uitgaande van de maatstaf als hiervoor onder 2.4.2 weergegeven, heeft het Hof geoordeeld dat de verdachte aldus haar ex-partner opzettelijk in zijn eer en goede naam heeft aangerand door telastlegging van een bepaald feit met het kennelijke doel om daaraan ruchtbaarheid te geven. Daarbij heeft het Hof in aanmerking genomen dat de in de bewezenverklaring genoemde uitlating niet te vergelijken is met informatie die in de beslotenheid van de huiskamer aan een beperkte kring geadresseerden wordt toevertrouwd en dat het in het onderhavige geval, waarin de tekst op de Hyves-pagina van de verdachte zichtbaar was voor personen die kennelijk naar eigen inzicht en zonder enige restrictie over de uitlating konden beschikken, voor de verdachte voorzienbaar en op voorhand feitelijk te verwachten was dat de geplaatste tekst verder zou worden verspreid. Het oordeel van het Hof getuigt niet van een onjuiste opvatting omtrent art. 261 Sr, terwijl het evenmin onbegrijpelijk is. Het middel faalt.

Lees het gehele arrest hier (link / pdf)

Toestemming van degene wiens gegevens worden verwerkt, is een kernbegrip bij de bescherming van persoonsgegevens. Maar wanneer is toestemming vereist? En aan welke voorwaarden moet toestemming voldoen om geldig te zijn? Dat is niet altijd duidelijk. Tegelijkertijd is het belang van toestemming evident. De verwerking van persoonsgegevens speelt immers een prominente rol in de huidige samenleving – zowel in de digitale als in de ‘normale’ wereld. Daarom hebben de Europese privacytoezichthouders, verenigd in de Artikel 29-werkgroep, in een gezamenlijke opinie de criteria voor toestemming in het huidige juridische kader uitgelegd en doen zij verschillende aanbevelingen voor de toekomst.

Een paar van de conclusies (blz. 34 e.v.):

"Individuals who have consented should be able to withdraw their consent, preventing further processing of their data."

"Consent must be specific. Blanket consent without determination of the exact purposes does not meet the threshold. Rather than inserting the information in the general conditions of the contract, this calls for the use of specific consent clauses, separated from the general terms and conditions."

"Consent must be informed. [...] The use of overly complicated legal or technical jargon would not meet the requirements of the law. Second, the information provided to users should be clear and sufficiently conspicuous so that users cannot overlook it. The information must be provided directly to individuals. It is not enough for it to be merely available somewhere."

"express consent cannot be obtained by the presence of a pre-ticked box."

U vindt de opinie hier (pdf) of hier (link).

Zie het oorspronkelijke bericht op de site van het College bescherming persoonsgegevens hier.