Dossiers

Hof van Justitie EU 22 juni 2023, IT 4301, ECLI:EU:C:2023:501 (J.M./Pankki) In deze zaak worden ten behoeve van J.M., die een tijdje bij de bank Pankki S werkte en daar ook zelf klant was, enkele vragen aan het Hof van Justitie gesteld. Zijn klacht is dat enkele van zijn medewerkers zijn persoonlijke data in het bankenregister hebben bekeken. Hij vraagt Pankki S wie zijn data heeft bekeken en de reden van het onderzoek. De bank weigert deze informatie af te staan, maar vertelt J.M. wel dat zijn data werd bekeken omdat er iemand met dezelfde achternaam als J.M. bij de bank kwam en het verstandig werd geacht om te kijken of er geen  gevaar voor belangenverstrengeling bestond. De bank voegt hieraan toe dat gegevensverwerking van J.M. hiervoor noodzakelijk was. Aan het verzoek van J.M. wordt verder geen gehoor gegeven. Hierop stapt hij naar de rechter, die zijn vragen tot het Hof richt.

Het zal niemand ontgaan zijn dat de toepassing van AI met grote stappen vooruit is gegaan. De vooruitgang van de technologie brengt onder meer mee dat tegenwoordig gebruik kan worden gemaakt van zogenaamde 'deepfakes'. Dit zijn imitaties van mensen die, door geavanceerde technologie, nauwelijks van echt te onderscheiden zijn. De toepassing van deze technologie kan op legio doelen worden losgelaten. Zowel voor entertainment als medisch onderzoek, maar eveneens voor meer kwade doeleinden. De filmpjes van ex-president Donald Trump waarin hij rare uitspraken doet zijn misschien nog humoristisch, maar de sfeer kan al snel grimmig worden. Deepfakes maken eindeloze soorten fraude en misleiding mogelijk, om nog maar te zwijgen over meer lugubere doeleinden. De WODC doet onderzoek en draagt reguleringsopties aan.

Conclusie A-G Hof van Justitie EU; IT 4299; ECLI:EU:C:2023:481 (Kočner/Europol) In deze conclusie buigt A-G Rathos zich over de vraag of een vonnis gewezen door het Gerecht van de Europese Unie moet worden vernietigd. Kočner (hierna: rekwirant) stelt dat hij door Europol schade heeft geleden, omdat zijn naam in verband met de 'Panama Papers' in het nieuws is gekomen en hij op een lijst met maffialeden is gekomen. Dit zou zijn gebeurd doordat Europol zijn persoonsgegevens heeft gedeeld met de Slowaakse strafrechtelijke autoriteiten. In eerste aanleg zijn zijn twee vorderingen voor schadevergoeding afgewezen, omdat hij niet voldoende zou hebben uitgelegd dat er een causuaal verband was tussen de publicatie van zijn persoonsgegevens en de geleden schade (de eerste vordering) en omdat hij geen bewijs had aangebracht dat de lijst met maffialeden door Europol werd bijgehouden en dat hij daardoor schade zou hebben geleden (de tweede vordering). De A-G gaat in op de grieven van rekwirant.

Conclusie A-G Hof van Justitie 15 juni 2023, IT 4297; ECLI:EU:C:2023:488 (BA/Controleorgaan op de politionele informatie) In deze zaak heeft Advocaat-Generaal L. Medina haar opinie gegeven inzake gegevensregistratie bij strafzaken. Er zijn twee vragen die centraal staan in de conclusie, namelijk of het Handvest van de grondrechten van de Europese Unie vereisen dat wordt voorzien in een voorziening in rechte tegen een onafhankelijke toezichthoudende autoriteit én of richtlijn 2016/680 in overeenstemming is met het Handvest voor zover deze de onafhankelijke toezichthoudende autoriteit slechts verplicht de betrokkene te informeren dat hij recht heeft op een beroep bij de rechter en dat alle noodzakelijke controles zijn uitgevoerd, ook als er daardoor geen posterieure controle kan plaatsvinden. 

Conclusie A-G Hof van Justitie EU 8 juni 2023, IT 4298; ECLI:EU:C:2023:468 (Belgische Staat/LM) LM is aandeelhouder van Bureau LM. In het kader van een wijziging van de statuten wordt een akte opgenomen die in het Belgische Staatsblad wordt gepubliceerd. Daarin staan, naast de wettelijk vereiste gegevens, ook de namen van twee vennoten en hun bankrekeningnummers. De notaris vraagt het Belgisch Ministerie van Justitie (hierna: FOD Justitie) om deze passage uit het register te schrappen en te vervangen door een tekst waarin deze gegevens niet voortkomen. Dat verzoek wordt afgewezen. LM heeft hierop een klacht ingediend tegen het Belgisch Staatsblad bij de GBA (Gegevensbeschermingsautoriteit). De GBA heeft de klacht toegewezen en het Staatsblad gevorderd de wijziging door te voeren. De Belgische Staat heeft hoger beroep ingesteld tegen dat besluit, waarin LM intervenieert. De vragen waar de A-G over opinieert zijn: of een staatsblad als verwerkingsverantwoordelijke kan worden gezien en, als de eerste vraag bevestigend wordt beantwoord, of het dan zo is dat de AVG eist dat elke overheidsinstantie die in contact komt met officiële akten en documenten een meldingsplicht van de verwerking heeft of dat deze informatieplichten cumulatief bij de eindverantwoordelijke belanden.

Conclusie A-G HvJ EU 15 juni 2023, IT 4296; ECLI:EU:C:2023:483 (NG/MVR) In reactie op een prejudiciële verwijzing behandelt Advocaat-Generaal P. Pikamäe de vraag of richtlijn 2016/680 toestaat dat nationale wettelijke maatregelen worden ontworpen die een nagenoeg onbeperkt recht op verwerking van persoonsgegevens ten aanzien van strafbare feiten aan nationale autoriteiten geven. De aanleiding hiertoe is dat de Bulgaarse 'NG' wegens meineed wordt veroordeeld. Als hij verzoekt om zijn gegevens uit het Bulgaarse politiebestand te schrappen, hoort hij dat zijn gegevens voor onbepaalde duur in het bestand zullen worden gehouden. Dat lijkt in strijd met de eerder genoemde richtlijn, die aangeeft dat verwerking van persoonsgegevens door oplsag niet van onbepaalde duur mag zijn. De verwijzende rechter stelt de genoemde prejudiciële vraag aan het Hof van Justitie, waar Pikamäe deze conclusie aan verbindt. 

Rechtbank Amsterdam 25 mei 2023, IT 4295; ECLI:NL:RBAMS:2023:3210 (Verzoeker/ING) In deze zaak betreft het een grootschalige incassofraude waar verzoeker bij betrokken was. Op een online platform van Universe.com kon men evenementen aanmelden en toegangsbewijzen kopen voor deze evenementen. De betalingstransacties werden door Stripe en PPRO geregeld. Bij een van deze evenementen, 'Krava Ontmoet Startende Ondernemers' - dat niet bleek te bestaan - werden grote hoeveelheden betalingsbewijzen gekocht, die snel daarna geannuleerd werden.Dit gaf hen recht op restitutie van het aankoopbedrag en/of stornering van de incasso. De rekeninghouders ontvingen dus onverschuldigde restitutiebetalingen die door Universe niet geïncasseerd konden worden. De verzoeker in kwestie heeft meermaals contant geld opgenomen, nadat er een grote overboeking werd gedaan. Als ING bekend wordt met de feiten en (een deel van) het bedrag dat verzoeker heeft buitgemaakt heeft teruggekregen, geeft zij aan dat de persoonsgegevens van verzoeker acht jaar in het Incidentenregister (hierna: IR) en het Externe Verwijzingsregister (hierna: EVR) zullen worden opgenomen. De verzoeker betwist bij de fraude te zijn betrokken en verzoekt schrapping uit de registers. De ING heeft dit verzoek afgewezen, waarop verzoeker zich tot de rechter went. Hij vordert dat zijn registratie in het IR en het EVR ongedaan worden gemaakt, dan wel dat de termijn van registratie wordt verkort. 

De Autoriteit Persoonsgegevens (hierna: de AP) heeft contact opgenomen met OpenAI, de ontwikkelaar van ChatGPT, omdat de AP zich zorgen maakt over de manier waarop de chatbot getrained wordt. De grote kwantiteiten data die aan het zelflerende algoritme worden gevoerd kunnen immers persoonsgegevens bevatten. De AP heeft als taak om de Algemene Verordening Gegevensverwerking (hierna: de AVG) te handhaven en heeft daarom een ChatGPT-taskforce opgericht. 

Rechtbank Gelderland 14 maart 2023; IEF 21475; ECLI:NL:RBGEL:2023:3174 (eiseres tegen gedaagde) Eiseres heeft een onderneming die gespecialiseerd is in bedden en had, enkele maanden voor de gerechtelijke procedure, een relatie met gedaagde. Gedaagde heeft een eigen onderneming die zich richt op ICT-dienstverlening. Nadat deze relatie is opgehouden en de verstandhouding tussen beide partijen verslechterd, haalt gedaagde de website van zijn ex uit de lucht en verandert hij alle inlogcodes die eiseres nodig heeft om haar bedrijfsvoering te kunnen faciliteren. Sommaties van eiseres om de website en bijbehorende administratie terug te geven worden door eiser terzijde geschoven. Hij stelt dat hij, als auteursrechthebbende van het ontwerp van de website, bevoegd is om haar de toegang tot de website te ontzeggen omdat eiseres zijn factuur voor het ontwerpen van de website niet heeft voldaan. Daaruit ontstaat, volgens gedaagde, een opschortingsbevoegdheid. Na het versturen van een dagvaarding ontvangt eiseres een aantal van de benodigde inlogcodes en een back-up van haar website van de advocaat van gedaagde. Eiseres stelt dat de website nu wel weer (deels) toegankelijk is, maar dat het 'thema' van de website ontbreekt. Gedaagde stelt op zijn beurt dat dit de enige back-up van de website is waar hij over beschikt. Na een eiswijziging komen de vorderingen van eiseres in dit kort geding neer op herstel van de volledige website en een veroordeling van gedaagde om zich van verdere handelingen die de bedrijfsvoering verstoren te onthouden, onder last van dwangsom. 

De European Data Protection Board (EDPB) heeft met het uitbrengen van nieuwe boeterichtlijnen voor privacytoezichthouders een grote harmonisatieslag teweeg gebracht. Voorheen was het nog aan individuele lidstaten om zelf te bepalen hoe hoog een boete voor overtreding van de Algemene Verordening Gegevensbescherming (AVG) moest zijn en hoe deze precies berekend moet worden. Hiervoor heeft het de EDPB een vijfstappenplan bedacht, dat beoogt om de berekening van boetes in de hele Europese Unie zoveel mogelijk gelijk te trekken.