Dossiers

The recently introduced obligation to report personal data breaches under the Dutch Data Protection Act (Wet bescherming persoonsgegevens  or "WBP") and the adoption of the EU General Data Protection Regulation ("GDPR") earlier this year, have been attracting attention. By introducing the obligation to report data breaches, the Dutch government clearly anticipated the GDPR – which was expected to include some sort of notification obligation. The GDPR has now entered into force and will apply from 25 May 2018. As it turns out, the WBP's provisions regarding data breach notification are not in full agreement with the GDPR's.

Prejudicieel gestelde vragen aan HvJ EU 29 juli 2016; IT 2140; IEFbe 1942; C-434/16 (X tegen Data Protection Commissioner) Verzoeker volgt een opleiding voor accountant bij het Institute of Chartered Accountants of Ireland (CAI). Dit verloopt voorspoedig, behalve een (‘open boek’-)examen Strategic Finance and Management Accounting (SFMA) waarvoor hij vier maal zakt. Na die vierde keer (najaar 2009) probeert hij de uitslag aan te vechten maar besluit dan (mei 2010) om een verzoek tot inzage in (al) zijn gegevens in te dienen op grond van de IER (persoons)gegevensbeschermingswetten.

Het CAI geeft stukken vrij maar niet zijn schriftelijk examenwerk omdat dit niet onder het begrip ‘persoonsgegevens’ in de zin van de IER wet valt. Verzoeker neemt dan contact op met de IERaut persoonsgegevens (DPC, verweerster) met verzoek om bijstand, maar ook die geeft verzoeker in juni 2010 te kennen dat wat gegevensbescherming betreft in het algemeen geen rekening wordt gehouden met schriftelijk examenwerk omdat het daarbij doorgaans niet om persoonsgegevens gaat. Op 01-07-2010 dient verzoeker bij DPC een formele klacht in. DPC geeft aan dat, omdat geen sprake is van een wezenlijke schending van de wet er geen reden is om de klacht te onderzoeken. De antwoorden in het ‘open boek’-examen SFMA bevatten naar verwachting geen persoonlijke informatie over verzoeker of enige andere examenkandidaat.

Conclusie AG HvJ EU 8 september 2016, IEF 16268; IEFbe 1937; IT 2139; C-390/15; ECLI:EU:C:2016:664 (Rzecznika Praw Obywatelskich RPO) BTW. Verschillende behandeling van publicaties op papier en andere fysieke dragers die tegen verlaagd btw-tarief kunnen worden verkocht ten opzichte van elektronische publicaties, zoals e-Books. Conclusie AG: Bij het onderzoek van de prejudiciële vragen is niet gebleken van feiten of omstandigheden die afbreuk zouden kunnen doen aan de geldigheid van punt 6 van bijlage III bij [BTW-richtlijn].

SGOA Academy

SGOA Academy - IT-geschillen: lessen uit recente jurisprudentie

Thema: IT-geschillen: lessen uit recente jurisprudentie

Datum: 6 oktober 2016

Tijdstip: 15:00 - 17:00

Locatie: Spaces Zuidas Amsterdam

Prijs: € 250,00 (prijs is excl. BTW)

Op donderdag 6 oktober 2016 organiseert de Stichting Geschillenoplossing Automatisering (SGOA), in nauwe samenwerking met uitgeverij deLex, de vierde SGOA Academy.

De vierde bijeenkomst van de SGOA Academy zal plaatsvinden op 6 oktober 2016 van 15.00  uur tot 17.00 uur te Amsterdam, Spaces Zuidas, Barbara Strozzilaan 101-201.

Rechtbank Zeeland-West-Brabant 21 september 2016, IT 2137; ECLI:NL:RBZWB:2016:5832 (Chantal - ROC West-Brabant) In 2015 is een filmpje van Chantal op Facebook verschenen waarin zij seksuele handelingen verricht met haar toenmalige vriend. Omdat onbekend is wie het filmpje heeft geplaatst heeft zij procedures tegen Facebook gevoerd om erachter te komen welk IP-adres achter het uploaden van het filmpje zit. Uiteindelijk bleek dit te herleiden naar het ROC in West-Brabant. Chantal heeft aangestuurd op medewerking van het ROC bij een onderzoek. Het ROC gaf aan mee te willen werken met een technisch onderzoek, maar partijen bereiken geen overeenstemming over de ‘geheimhoudings- en bewerkingsovereenkomst.’ Chantal vordert in kort geding dat ROC medewerking moet verlenen aan dit technische onderzoek, omdat haar belang prevaleert boven de privacy van degene die het filmpje online heeft gezet. Naar oordeel van de voorzieningenrechter stelt het ROC terecht dat zij voldoende hebben gedaan om te achterhalen wie er achter het uploaden van het filmpje zit en alleen mee wil werken aan het onderzoek, indien er geen persoonsgegevens worden verwerkt en er binnen de grenzen van het Wbp wordt gehandeld.

HvJ EU 15 september 2016 IEF 16249; IEFBE 1928; IT 2135; ECLI:EU:C:2016:689 (Tobias Mc Fadden tegen Sony Music Entertainment) Netwerk beveiliging. Vrij verkeer van diensten. Tobias Mc Fadden is de bedrijfsleider van een bedrijf in licht- en geluidstechniek, waar hij het publiek gratis toegang verschaft tot een wifinetwerk om de aandacht van potentiële klanten op zijn waren en diensten te vestigen. In 2010 is een muziekwerk waar Sony de auteursrechten van bezit via dit netwerk illegaal voor het downloaden aan het publiek aangeboden. Het Landgericht München I, waarbij het geding tussen Sony en Mc Fadden aanhangig is, is van oordeel dat de laatstgenoemde niet zelf inbreuk op de betrokken auteursrechten heeft gepleegd. Het verklaart echter te overwegen Mc Fadden voor die inbreuk indirect aansprakelijk te houden omdat zijn wifinetwerk niet beveiligd was. Het Landgericht twijfelt echter over de vraag of de richtlijn inzake elektronische handel zich tegen een dergelijke indirecte aansprakelijkheid verzet en heeft het Hof een aantal vragen voorgelegd.

Rechtbank Noord-Holland 31 augustus 2016, IEF 16251; IT 2136; (Facebook tegen X) Privacy. Media. X heeft als wettelijk vertegenwoordiger van haar dochter op 16 december 2015 gevorderd dat Facebook alle bekende gegevens van het Instagram account ‘Jaatogg’ zal verstrekken, ten aanzien van het aanmaken, gebruik en het verwijderen van het account. Dochter van X is namelijk slachtoffer geworden van digitaal pesten: onder het account ‘Jaatogg’ werden door een onbekende pornografisch/seksueel getinte foto’s geplaatst die suggereerde dat dit om de dochter van X ging.
De rechtbank stelt voorop dat een een rechtsplicht tot het verstrekken van gegevens over de naam en het adres van de websitehouder, zoals in deze zaak bij dagvaarding van 16 december 2015 gevorderd, voor een provider kan bestaan als aannemelijk is dat anoniem, althans door een door benadeelde niet te traceren persoon, onrechtmatige uitingen via deze provider openbaar zijn gemaakt en de benadeelde alleen door tussenkomst van de provider, door middel van het verstrekken van deze gegevens, dergelijk onrechtmatige handelen zou kunnen bestrijden. Echter, Facebook stelt geen toegang te hebben en niet te beschikken over de gevorderde gegevens, waarna de rechtbank oordeelt dat Facebook onterecht is aangesproken op de afgifte hiervan.

Rechtbank Amsterdam 14 september 2016, IEF 16246; IT 2134; ECLI:NL:RBAMS:2016:5786 (X tegen Volkskrant) De Volkskrant heeft op haar voorpagina een foto met een herkenbaar portret van eiser afgebeeld, die op dat moment werd aangehouden door de marechaussee bij Schiphol. Door de foto heen staat “Is Schiphol nog veilig?”. Met deze combinatie van foto en tekst heeft De Volkskrant de privacy van eiser geschonden. Het belang van de vrijheid van meningsuiting weegt daar niet tegen op. De Volkskrant wordt veroordeeld tot het betalen van een schadevergoeding van € 1.500,-. 

In deze editie van onze nieuwsbrief aandacht voor het volgende:

• 6 oktober SGOA Academy
• Uitreiking SGOA Hans Frankenprijs op 3 november 2016
• Over nut en noodzaak van een goed contract
• Privacy en de IT-leverancier
• SGOA Academy, een echte aanrader
• Schadevergoeding van 1,5 miljoen
• Gemeentelijke Inkoopvoorwaarden bij IT 
• Bewijsopdracht: Metaalunievoorwaarden konden worden gedownload 
• Ingehuurde IT-specialist Drechtsteden heeft mededingingsregels niet nageleefd 
• Tussenvonnis: meewerken aan contractueel overeengekomen goedkeuringsprocedure voor software 
• Stelselmatige en verwijtbare nalatigheid in onderzoek foutmeldingen zet exoneratiebeding opzij 
• Begroting van schadevergoeding na ontbinding bitcoin-koopovereenkomst 
• Conclusie AG over tweedehands licentie computerprogramma op niet-originele cd-rom
• Complexiteit onderschat, geen tekortkoming IT-leverancier 
• Schadevergoeding voor verlies van kans om derde contractant te worden 
• IE-rechten vloggerssoftware aan werkgever overgedragen?
• Niet aansprakelijk voor schade bij De Politie na hack
• Agion niet toerekenbaar tekortgeschoten
• Geen staffelkorting op licentie bij auteursrechtinbreuk op premium software
• Twee arbitragezaken gevoegd behandeld, hoewel het reglement noch de wet hierin voorziet

Conclusie AG HvJ EU 8 september 2016, IT 2130; IEFBE 1924; ECLI:EU:C:2016:656 (EU Canada PNR-overeenkomst) Persoonsgegevens. Terrorisme bestrijding. Privé- en gezinsleven. De EU en Canada zijn in 2010 onderhandelingen gestart over een overeenkomst over de doorgifte en de verwerking van persoonsgegevens van passagiers (PNR-overeenkomst). De overeenkomst moet het mogelijk maken dat PNR-gegevens aan de Canadese autoriteiten worden doorgegeven met het oog op latere doorgifte van gegevens, teneinde terrorisme en andere grensoverschrijdende criminaliteit te bestrijden. Aan het Hof wordt gevraagd of de voorgenomen overeenkomst verenigbaar is met het recht van de Unie, dat de eerbiediging van het privé- en gezinsleven en de bescherming van persoonsgegevens waarborgt. Volgens de AG kan de tussen de Europese Unie en Canada voorgenomen overeenkomst inzake de doorgifte van persoonsgegevens van passagiers in haar huidige vorm niet worden gesloten. Conclusie AG:

1)      Het besluit van de Raad betreffende de sluiting van de voorgenomen overeenkomst tussen Canada en de Europese Unie inzake de doorgifte en verwerking van gegevens uit het passagiersnamenregister (PNR), ondertekend op 25 juni 2014, moet worden gebaseerd op artikel 16, lid 2, eerste alinea, en artikel 87, lid 2, onder a), VWEU, gelezen in samenhang met artikel 218, lid 6, onder a), v), VWEU.

2)      De voorgenomen overeenkomst is verenigbaar met artikel 16 VWEU en de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie, op voorwaarde dat: