Dossiers

Rb. Midden-Nederland 19 augustus 2026, IT 5530; ECLI:NL:RBMNE:2026:6338 ([eiser] tegen Infomedics). [eiser] ontvangt zorg van [onderneming 1], die voor de facturatie gebruikmaakt van Infomedics. Infomedics verwerkt daarbij persoonsgegevens van patiënten en heeft AddComm ingeschakeld als subverwerker voor onder meer het verzenden van rekeningen. Na een cyberaanval op AddComm stelde [eiser] Infomedics aansprakelijk wegens onrechtmatige verwerking van zijn persoonsgegevens, het delen daarvan met AddComm en andere derden, onvoldoende beveiliging, een volgens hem te late melding van het datalek en de daardoor geleden schade. De kantonrechter kwalificeert [onderneming 1] als verwerkingsverantwoordelijke, Infomedics als verwerker, AddComm als subverwerker en [eiser] als betrokkene in de zin van de AVG. De verwerking van de gezondheidsgegevens van [eiser] door Infomedics is volgens de kantonrechter niet onrechtmatig omdat toestemming niet de enige uitzondering vormt op het verbod van art. 9 lid 1 AVG. Art. 9 lid 2 onder h AVG, in samenhang met art. 30 lid 3 onder a en lid 4 UAVG, staat verwerking van gezondheidsgegevens toe wanneer die noodzakelijk is voor onder meer het beheer van een zorginstelling of beroepspraktijk, waaronder de betaling van medische rekeningen, mits de gegevens worden verwerkt door personen die tot geheimhouding zijn verplicht. Infomedics had zich contractueel tot geheimhouding verplicht. Op Infomedics rustte bovendien geen verplichting om zich ervan te vergewissen dat toestemming van [eiser] ontbrak. De verantwoordelijkheid voor de naleving van de beginselen van doelbinding, minimale gegevensverwerking, transparantie en opslagbeperking uit art. 5 lid 1 AVG rust op grond van art. 5 lid 2 AVG bij de verwerkingsverantwoordelijke, niet bij Infomedics als verwerker.

Rb. Gelderland 3 september 2026, 5529; ECLI:NL:RBGEL:2026:6791 (eiseres tegen de AP). Eiseres heeft bij de Autoriteit Persoonsgegevens (AP) een klacht ingediend over onderzoeksbureau Riscon. Zij stelde dat Riscon haar persoonsgegevens tegen haar wil en in strijd met de AVG had gedeeld met haar ex-partner en diens advocaat en na onderzoek van haar laptop en telefoon toegang had gehouden tot haar apparatuur en e-mailaccount. De AP heeft de klacht opgevat als een verzoek om handhavend op te treden, maar kon na beoordeling geen AVG-overtreding vaststellen en besloot geen nader onderzoek te doen. De rechtbank stelt voorop dat de AP op grond van art. 57 lid 1 onder f AVG de inhoud van een klacht moet onderzoeken in de mate waarin dat gepast is. De AP heeft beleidsruimte bij de beslissing om al dan niet handhavend op te treden en bepaalt aan de hand van haar prioriteringsbeleid in welke mate een klacht verder wordt onderzocht. Van eiseres mocht niet worden verlangd dat zij een overtreding door Riscon al bewees, maar de AP mocht wel objectieve aanknopingspunten verlangen voor een mogelijke AVG-overtreding. Die ontbreken volgens de rechtbank. Uit de stukken blijkt niet dat Riscon het adres of de inkomensgegevens van eiseres aan haar ex-partner of diens advocaat heeft verstrekt en het is niet uitgesloten dat zij deze gegevens op een andere manier hebben verkregen. Evenmin blijkt dat Riscon na het onderzoek toegang heeft gehouden tot de laptop, telefoon of mailbox van eiseres. De aangetroffen trackingcookie en de door eiseres genoemde onverklaarbare gebeurtenissen op haar computer en in haar mailbox vormen geen objectieve aanwijzingen dat Riscon daarvoor verantwoordelijk is.

Gerecht EU 2 september 2026, IT 5527; ECLI:EU:T:2026:520 (Opera Norway tegen Commissie en Microsoft). Opera Norway verzoekt om gedeeltelijke nietigverklaring van het besluit van de Europese Commissie waarbij Microsoft niet als poortwachter is aangewezen voor webbrowser Edge. Microsoft voldeed voor Edge wel aan de kwantitatieve drempels van art. 3 lid 2 DMA, maar had op grond van art. 3 lid 5 DMA aangevoerd dat Edge desondanks geen belangrijke toegangspoort voor zakelijke gebruikers tot eindgebruikers vormde in de zin van art. 3 lid 1 onder b DMA. Na een marktonderzoek volgde de Commissie dat standpunt. Daarbij woog zij onder meer mee dat Edge relatief weinig wordt gebruikt, dat Microsoft geen zeggenschap heeft over de browser-engine Blink, dat de inbedding van Edge in het Microsoft-ecosysteem onvoldoende heeft geleid tot een sterke toegangspoortpositie en dat zakelijke gebruikers en andere marktdeelnemers Edge in beperkte mate als belangrijk of cruciaal beschouwen. Het Gerecht verklaart het beroep van Opera ontvankelijk. Opera had voldoende aannemelijk gemaakt dat haar marktpositie als concurrerende browseraanbieder wezenlijk kon worden geraakt door het besluit en zij had deelgenomen aan het marktonderzoek.

HvJ EU 2 juli 2026, IT 5528; ECLI:EU:C:2026:534 (Traugott Ickeroth). Het Hof van Justitie beantwoordt een prejudiciële vraag van het Landgericht Saarbrücken over de uitleg van art. 2 septies lid 1 Verordening (EU) nr. 833/2014. In de Duitse strafprocedure worden drie natuurlijke personen ervan verdacht via een publiek toegankelijke website video’s van RT Germany te hebben verspreid, terwijl voor deze zender op grond van de verordening een uitzendverbod geldt. De website was gratis toegankelijk en werd gefinancierd met vrijwillige bijdragen van gebruikers. De verwijzende rechter wilde weten of een natuurlijke persoon die een dergelijke website exploiteert en daaruit uitsluitend inkomsten ontvangt in de vorm van donaties of schenkingen, onder het begrip ‘exploitanten’ in art. 2 septies lid 1 valt. Het Hof beantwoordt die vraag bevestigend. Het begrip omvat iedere natuurlijke of rechtspersoon die direct of indirect verantwoordelijk is voor de uitzending of beschikbaarstelling van de bedoelde inhoud aan het publiek. Uit de tekst van de verordening volgt niet dat de activiteit een commercieel of beroepsmatig karakter moet hebben. Ook een onbetaalde activiteit of de exploitatie van een uitsluitend met vrijwillige bijdragen gefinancierde website kan daarom onder het begrip ‘exploitant’ vallen.

Hof Amsterdam 9 maart 2026, IT 5523; ECLI:NL:GHAMS:2026:634 ([aandeelhouder A] tegen MVDE en [aandeelhouder B]). In de enquêteprocedure rond MVD Europe B.V. (MVDE) verzoekt [aandeelhouder B] de raadsheer-commissaris onder meer de onderzoeker te instrueren het onderzoek te beperken tot gebeurtenissen tot en met 7 maart 2024 en bepaalde correspondentie buiten het onderzoek te laten of niet integraal in het onderzoeksverslag op te nemen. De onderzoeker vraagt op haar beurt om verduidelijking van de onderzoeksperiode en toestemming om onder meer informatie uit WhatsApp-gesprekken en privé-e-mailaccounts van [aandeelhouder B] en voormalige werknemers te gebruiken. De raadsheer-commissaris overweegt dat de reikwijdte van een enquêteonderzoek wordt bepaald door het dictum van de beschikking waarbij het onderzoek is gelast, gelezen in samenhang met de daaraan ten grondslag liggende overwegingen. Het onderzoek naar het beleid en de gang van zaken van MVDE ziet in beginsel op de periode vanaf 1 januari 2019 tot de mondelinge behandeling van het enquêteverzoek op 7 maart 2024. Dat betekent echter niet dat informatie over gebeurtenissen van na die datum steeds buiten beschouwing moet blijven. Latere feiten en omstandigheden mogen worden betrokken wanneer zij licht kunnen werpen op het voorwerp van het onderzoek, daarmee voldoende samenhangen of van belang zijn voor de wijze waarop het onderzoek is uitgevoerd, bijvoorbeeld wanneer aanwijzingen bestaan dat mogelijk relevante gegevensdragers aan het zicht van de onderzoeker zijn onttrokken. Aan de onderzoeker komt bij de beoordeling van die relevantie een ruime beoordelingsmarge toe.

Hof Amsterdam 18 augustus 2026, IT 5522; ECLI:NL:GHAMS:2026:2280 ([verdachte] tegen het Openbaar Ministerie). De verdachte is in hoger beroep veroordeeld voor een groot aantal strafbare feiten die hij in de periode van 2017 tot en met 2024 alleen of samen met anderen heeft gepleegd. Het gaat onder meer om het verwerven en voorhanden hebben van door misdrijf verkregen niet-openbare gegevens, het verspreiden van gegevens die bestemd waren voor oplichting en diefstal met een valse sleutel, het voorhanden hebben van phishingpanels, medeplegen van oplichting, diefstal met een valse sleutel en computervredebreuk, ticketfraude, het aanwezig hebben van lachgas, gewoontewitwassen van in totaal € 277.758,16 en het besturen van een auto terwijl de geldigheid van zijn rijbewijs was geschorst. Bij de phishinggerelateerde feiten werden onder meer persoonsgegevens en inloggegevens van slachtoffers verkregen. Verdachte en zijn mededaders deden zich vervolgens onder meer voor als postbezorger om legitimatiebewijzen te scannen en toegang tot internetbankieren te verkrijgen. Het hof verklaart de verdachte niet-ontvankelijk in zijn hoger beroep voor zover dit is gericht tegen enkele partiële vrijspraken van de rechtbank bij de feiten 4, 7 en 9. Deze zijn volgens het hof beschermde vrijspraken in de zin van art. 404 lid 5 Sv. Het hof komt daarnaast voor de feiten 1, 2, 4 en 7 tot kortere bewezenverklaarde pleegperiodes dan de rechtbank. Zo acht het hof de heling van niet-openbare gegevens bewezen vanaf 20 december 2020, het verspreiden daarvan vanaf 31 oktober 2023, het medeplegen van oplichting vanaf 7 augustus 2024 en de ticketfraude vanaf 19 juli 2024.

Rb. Gelderland 6 juli 2026, IT 5525; ECLI:NL:RBGEL:2026:5365 (de vader tegen de moeder en haar partner). De vader vordert in kort geding onder meer dat het contact tussen de moeder en hun minderjarige kind [het kind] weer volledig begeleid plaatsvindt. De ouders hebben gezamenlijk gezag, [het kind] staat onder toezicht en verblijft op grond van een machtiging tot uithuisplaatsing bij haar grootmoeder van vaderszijde. Het Gerechtshof Arnhem-Leeuwarden had eerder een contactregeling tussen de moeder en [het kind] vastgesteld, waarvan de uitvoering onder regie van de GI staat. Aanleiding voor het kort geding is dat online een film is aangetroffen met beeld- en geluidsfragmenten van [het kind], waarin de moeder en haar partner haar vragen stellen over vermeend seksueel misbruik door de vader en grootvader van vaderszijde. De voorzieningenrechter stelt voorop dat een vastgestelde zorgregeling in beginsel moet worden nagekomen, tenzij uitvoering daarvan niet langer in het belang van het kind is, bijvoorbeeld omdat de geestelijke of lichamelijke ontwikkeling van het kind daardoor ernstig nadeel ondervindt, het contact anderszins strijdig is met zwaarwegende belangen van het kind of ernstige aanwijzingen bestaan dat een ouder niet geschikt of in staat is tot omgang. De voorzieningenrechter ziet onvoldoende aanleiding om het contact weer volledig te laten begeleiden. Het gaat goed met [het kind], het contact met de moeder verloopt goed en er zijn geen veranderingen in haar gedrag of gemoedstoestand waargenomen. Bovendien heeft de GI inmiddels een schriftelijke aanwijzing gegeven dat geen beeld- of geluidsopnames van [het kind] over het vermeende misbruik mogen worden gemaakt en dat dergelijk materiaal en andere documenten daarover niet met derden mogen worden gedeeld. Daarnaast worden wekelijkse gesprekken met [het kind] ingezet om zicht te houden op het verloop van de contacten. De voorzieningenrechter acht haar veiligheid daarmee vooralsnog voldoende gewaarborgd en wijst de vordering tot volledig begeleid contact af.

Rb. Zeeland-West-Brabant 5 augustus 2026, IT 5526; ECLI:NL:RBZWB:2026:8155 ([v.o.f.] tegen RentBuddy). [bedrijf] en [v.o.f.], beide actief in de verhuur van evenementenartikelen, sloten op 9 februari 2023 ieder een overeenkomst voor drie jaar met RentBuddy voor het gebruik van haar ERP/CRM-systeem. Zij stellen dat vooraf met RentBuddy was besproken dat hun klanten via hun websites realtime de beschikbaarheid van producten moesten kunnen zien via een API-koppeling. Deze functionaliteit ontbrak aanvankelijk. Bij de uitleg van de overeenkomst past de kantonrechter de Haviltex-maatstaf toe: niet alleen de tekst van de overeenkomst is bepalend, maar ook wat partijen in de gegeven omstandigheden redelijkerwijs van elkaar mochten verwachten. Uit een opname van een gesprek van 28 maart 2024 blijkt volgens de kantonrechter voldoende dat [bedrijf] en [v.o.f.] vóór het sluiten van de overeenkomsten hadden aangegeven dat realtimebeschikbaarheid voor hun webshops van belang was. Dat deze functionaliteit niet uitdrukkelijk in de offertes was opgenomen, is daarom niet doorslaggevend. [bedrijf] en [v.o.f.] mochten redelijkerwijs verwachten dat het systeem realtimebeschikbaarheid via de API kon weergeven. Deze functionaliteit maakte dus onderdeel uit van de overeenkomsten en het ontbreken daarvan leverde aanvankelijk een tekortkoming van RentBuddy op.

Rb. Overijssel 24 juli 2026, IT 5524; ECLI:NL:RBOVE:2026:4534 ([eiseres] tegen de korpschef). [eiseres] heeft de korpschef verzocht om inzage in haar persoonsgegevens over de periode van 1 januari 2016 tot en met 31 december 2017, specifiek in bevragingen die in die periode op basis van haar BSN in de Basisregistratie Personen zijn gedaan. De korpschef heeft het verzoek beoordeeld op grond van art. 15 AVG en afgewezen omdat haar persoonsgegevens volgens hem in die periode niet door de korpschef waren verwerkt. [eiseres] stelt dat duidelijk had moeten zijn dat zij inzage verzocht in politiegegevens en dat haar verzoek daarom op grond van art. 25 Wpg moest worden beoordeeld. De rechtbank volgt haar daarin. Voor de juridische kwalificatie van een inzageverzoek zijn volgens de rechtbank, onder verwijzing naar rechtspraak van de Afdeling bestuursrechtspraak, de inhoud en context van het verzoek bepalend en niet de door de verzoeker gekozen juridische benaming. [eiseres] had in haar verzoek verwezen naar een eerder inzageverzoek waarop de korpschef met toepassing van de Wpg had beslist en waarbij een overzicht van gegevens was verstrekt. Daarom had voor de korpschef duidelijk moeten zijn dat zij opnieuw een dergelijk overzicht wilde, maar nu over een andere periode. Daarbij komt dat voor de verwerking van persoonsgegevens ten behoeve van de politietaak waarop het verzoek ziet de Wpg de bijzondere en specifiekere wettelijke regeling vormt ten opzichte van de AVG. De korpschef had het verzoek daarom op grond van art. 25 Wpg moeten beoordelen.

Rb. Amsterdam 9 september 2026, IT 5521; ECLI:NL:RBAMS:2026:9185 ([eisers] tegen ING). [eisers], die een assurantie- en advieskantoor exploiteren en cliënten begeleiden bij hypotheekaanvragen, vorderen in kort geding dat ING hun gegevens verwijdert uit het Intern Verwijzingsregister (IVR), het Incidentenregister (IR), het Externe Verwijzingsregister (EVR) en het register van Stichting Fraudebestrijding Hypotheken (SFH), dan wel de registratieduur van acht jaar verkort. ING had de bancaire relaties met [eisers] beëindigd en de registraties aangebracht nadat uit onderzoek naar verschillende hypotheekaanvragen was gebleken dat bij ING aanzienlijk hogere inkomensgegevens en andere jaarstukken waren ingediend dan de stukken die de hypotheekaanvragers zelf aan [eisers] hadden verstrekt. Voor registratie in het IR, EVR en SFH-register moet volgens de voorzieningenrechter zijn voldaan aan de AVG en het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen 2026. De betrokkenheid van de geregistreerde persoon bij de gedragingen moet in voldoende mate vaststaan en voor verwerking van strafrechtelijke persoonsgegevens moeten concrete feiten en omstandigheden bestaan die meer opleveren dan alleen een redelijk vermoeden van schuld. Daarnaast moeten de registraties voldoen aan de eisen van proportionaliteit en subsidiariteit.