#13 De Privacy Nieuwsbrief

Beste lezer,

Je kent het vast: je verdiept je ergens in, en opeens zie je het overal terug. Nou, dat heb ik dus met de WAMCA. Tijdens de Nordic Privacy Arena twee weken terug sprak Max Schrems van noyb.eu over de strategie van zijn organisatie om vol in te zetten op collectieve acties. Het Handboek Massaschade (met nadruk op de WAMCA) is recent gepresenteerd, en binnen enkele weken verwachten we de rapportage van de evaluatie van de WAMCA. Afgelopen week mocht ik deelnemen aan een panel over de WAMCA, georganiseerd door JPAN, en in december organiseert de UvA de conferentie Collective Redress and Digital Fairness.

En dat terwijl het er nog niet zo rooskleurig uitzag de laatste tijd… Enkele maanden geleden rapporteerde ik nog dat verschillende rechtbanken WAMCA-zaken binnen het gegevensbeschermingsrecht hadden “geparkeerd”, in afwachting van de beantwoording van de prejudiciële vragen die de rechtbank Rotterdam in de Amazon-zaak had gesteld over de verhouding tussen de WAMCA en artikel 80, leden 1 en 2, AVG.

Maar deze week waait de wind gunstiger voor de eisers. In de TikTok-zaak koos het Gerechtshof Amsterdam er weliswaar voor om de op de AVG gebaseerde vorderingen aan te houden, maar liet het de zaak doorgaan voor wat betreft de vorderingen gebaseerd op andere regelgeving die TikTok volgens de stichtingen zou hebben overtreden. Die uitspraak is bovendien ook van belang voor de vraag naar de bundelbaarheid van schadevergoedingen (zie hieronder). Daar bleef het niet bij: ook in de DPS-zaak tegen Meta — een collectieve actie die nog onder het WCAM-regime is gestart gaat de procedure door ondanks de prejudiciële vragen die in de Amazon-zaak aan het HvJ EU zijn gesteld.

Een ander interessant voorbeeld, dat mogelijk ooit tot een collectieve actie zal leiden, is de Unibet/Risepoint-zaak. Daar draait het in essentie om een inzageverzoek bij een gokwebsite, waarbij ook transactiegegevens werden opgevraagd. De verweerder weigerde, omdat het verzoek volgens hen bedoeld was om een (voorgenomen) collectieve actie voor te bereiden of uit te breiden. Zelfs al zou dat zo zijn, doet dat niets af aan de rechtmatigheid van het inzageverzoek aldus de rechtbank. Ook het verzoek om aanhouding in afwachting van de prejudiciële vragen aan de Hoge Raad over de eventuele nietigheid van kansspelovereenkomsten werd afgewezen, omdat dit losstaat van het rechtmatig gebruik van het inzagerecht.

Kortom, niet alle collectieve acties liggen (meer) stil.

Dat brengt me bij het laatste punt: iets wat niet onbenoemd mag blijven én eindelijk weer eens is opgepakt. Op 30 september jl. stemde de Tweede Kamer voor het wijzigingsprotocol van Verdrag 108 naar 108+. Hopelijk komt er nu ook eens wat vaart in, het werd tenslotte hoog tijd.

Veel leesplezier!

Anna Berlee

🇪🇺 EU rechtspraak

• Gerecht 1 oktober 2025, T-384/20 RENV (OC v Commission). 
  Artikelen: 4(1)(a) 2018/1725, 4(1)(b) 2018/1725, 5(1)(a) 2018/1725, 5(1)(b) 2018/1725, 6(c) 2018/1725, 6(d) 2018/1725, 6(e) 2018/1725, 9(1) 883/2013, 10(5) 883/2013, 41(1) Hv, 48(1) Hv
  Kort: Vervolg op de uitspraak van het HvJ EU (C‑479/22 P).
  Na die uitspraak is duidelijk dat OLAF door publicatie van het persbericht over een maatregel genomen jegens een Griekse onderzoeker die gemeenschapsgeld onjuist zou hebben gebruikt, persoonsgegevens heeft verwerkt. Nu is de vraag aan de orde of deze publicatie van persoonsgegevens onrechtmatig was jegens de betrokkene en of zij schadevergoeding hiervoor dient te krijgen. Het Gerecht komt tot de conclusie dat er wel een grondslag is voor de publicatie van enige persoonsgegevens, maar niet alle persoonsgegevens van de betrokkene.
  Zo was de publicatie van de leeftijd, nationaliteit en geslacht niet noodzakelijk. Ook het feit dat haar vader werkte aan de Griekse universiteit in kwestie was niet noodzakelijk en kan niet worden 'gedekt' door de publieke taak van OLAF (punt 59). Het bedrag van de subsidie was echter wel relevant en mocht wel worden gepubliceerd.
  Interessant is ook nog overweging 60: "Bovendien erkent de Commissie impliciet – door te stellen dat zonder de informatie in het litigieuze persbericht de kans kleiner zou zijn geweest dat de inhoud van dat bericht door de media werd opgepikt – dat de vermelding van de in punt 59 hierboven genoemde gegevens, die betrekking hebben op verzoeksters privéleven en alleen van anekdotisch belang zijn, als zodanig niet bedoeld is om het publiek te informeren over de rol die OLAF speelt bij fraudebestrijding. Overigens blijkt uit de verschillende in de media verschenen artikelen dat de vermelding van deze informatie alleen de aandacht van de media heeft getrokken wat betreft de context waarin de vermeende fraude zich heeft voorgedaan en de persoon van verzoekster betreft. De vermelding van die informatie heeft niet geleid tot media-aandacht voor de onderzoeken van OLAF en meer bepaald voor het belang van toegang tot bankgegevens in de strijd tegen fraude, een aspect dat de directeur van OLAF juist wilde benadrukken." Kortom, de publicatie van die details was onrechtmatig (punt 61).
  Bijzonder is dat het Gerecht vervolgens (dus niet voorafgaand daaraan) toetst aan het doelbindingsbeginsel. Volgens het Gerecht is door OLAF onvoldoende rekening gehouden met de mogelijke gevolgen van publicatie voor de betrokkene, waarbij met name de aard van de gegevens (inzake mogelijke strafbare feiten) relevant was (punten 72-76). Deze overtreding was voorts dusdanig ernstig (punt 79) dat deze ook tot aansprakelijkheid leidt (punt 81). Door het gebruik van de term 'fraude' in het persbericht is ook de onschuldpresumptie geschonden, die is opgenomen in art. 9(1) en 10(5) Verordening 883/2013. (punten 95-117) op een dusdanig ernstige manier dat ook hieruit aansprakelijkheid volgt (punt 122). "Ten derde heeft OLAF zijn zorgvuldigheidsplicht en zijn verplichting tot neutraliteit en onpartijdigheid als bedoeld in artikel 10, lid 5, van verordening nr. 883/2013, die beide worden gewaarborgd door artikel 41, lid 1, van het Handvest, op voldoende gekwalificeerde wijze geschonden." (punt 173).
  Met betrekking tot het bepalen van (de hoogte van) de schadevergoeding gaat het Gerecht in op het causale verband tussen de immateriële schade als gevolg van de aantasting van de eer en goede naam van verzoekster. Waarbij ook de rol van derden (in casu die van journalisten) meegewogen wordt (punt 197). Deze hebben echter niet het causaal verband doorbroken (punt 201) volgens het Gerecht. "in casu zijn de onrechtmatige verwerking van persoonsgegevens, die het mogelijk maakt om verzoekster te identificeren, de schending van het beginsel van het vermoeden van onschuld, met name door het gebruik van het woord „fraude”, en het gebrek aan onpartijdigheid, neutraliteit en zorgvuldigheid van OLAF niet alleen de conditio sine qua non van de aantasting van verzoeksters goede naam, maar ook een rechtstreekse oorzaak daarvan. De in de media verschenen artikelen hebben alleen maar geleid tot een grotere verspreiding van de informatie die reeds in het litigieuze persbericht stond. De artikelen over deze kwestie dateren overigens van na dat persbericht." (punt 200). Ook "heeft verzoekster aangetoond dat er sprake is van immateriële schade als gevolg van de intrekking van een formeel aanbod voor een voltijds hoogleraarschap, welke schade voortvloeit uit de door OLAF bij de publicatie van het litigieuze persbericht begane voldoende gekwalificeerde schendingen van het Unierecht." (punt 216) Tot slot wordt ook de schade ten aanzien van haar mentale gezondheid meegewogen : "Ten derde heeft zij aangetoond dat er sprake is van schade met betrekking tot haar lichamelijke en geestelijke gezondheidstoestand en dat zij als gevolg daarvan geneesmiddelen nodig heeft en zich regelmatig moet laten onderzoeken door een arts." (punt 228). Alles bij elkaar optellend komt het Gerecht tot een schadebegroting van EUR 50.000,- (punt 229)
• Gerecht 1 oktober 2025, T-154/24 (AF v Council of the European Union).
  Artikel: 3(1)(b) Staff Regulations Annex IX, 4 2018/1725, 41 Hv
  Kort: AF, ambtenaar bij het Secretariaat-Generaal van de Raad, raadpleegde in april 2022 op eigen initiatief de rang (loonschaal) van een collega via het personeelsbeheersysteem Sysper, zonder functionele noodzaak. Dit leidde tot een administratief onderzoek, disciplinaire maatregelen en een waarschuwing wegens ongeoorloofde toegang tot persoonsgegevens. Bij haar jaarlijkse beoordeling werd haar competentie "oordeelsvermogen" verlaagd naar “aanvaardbaar”, omdat zij de regels inzake vertrouwelijkheid en gegevensbescherming onvoldoende had nageleefd. AF betoogde dat geen sprake was van een datalek en dat de raadpleging legitiem was voor haar taken. Het Gerecht oordeelde echter dat ook zonder openbaarmaking de loutere ongeoorloofde raadpleging een schending vormt van de regels inzake vertrouwelijkheid en gegevensbescherming, in het bijzonder gezien haar functie en ervaring (punten 81-86). Het beroep tot nietigverklaring van het beoordelingsrapport en de vordering tot schadevergoeding werden afgewezen. (punt 89)
• AG Spielmann 25 september 2025, C-474/24, (AR, YT, DI and RN v Österreichische Datenschutzbehörde, NADA Austria and ÖADR).
  Artikel: 2 AVG, 4(15) AVG, 5 AVG, 6 AVG, 6(1)(c) AVG, 6(1)(e) AVG, 6(3) AVG, 9 AVG, 9(2)(g) AVG, 10 AVG, 17 AVG, 77 AVG, 78(1) AVG, 79(1) AVG
  Kort: AG Spielmann begint met een niet-onbelangrijke voorvraag: is de AVG eigenlijk wel van toepassing of worden NADA en ÖADR gezien als "bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen" ex art. 2(2)(d) AVG en vallen de verwerkingen daarvan buiten het toepassingsgebied van de AVG en onder Verordening 2016/680 (punt 34). Aangezien partijen hier geen punt van maakten, gaat de AG daarom daar niet verder op in. (punt 35). Wel wordt bekeken of de uitzondering van artikel 2(2)(a) AVG van toepassing is, namelijk dat de verwerking in het kader van activiteiten plaatsvindt die buiten de werkingssfeer van het Unierecht vallen. AG Spielmann komt tot de conclusie dat de AVG wel van toepassing is (punt 60). Vervolgens is de vraag aan de beurt of de publicatie van de gegevens een verwerking van gezondheidsgegevens ex artikel 9 lid 1 AVG betreft. Een mooi overzicht van wanneer een gegeven een gezondheidsgegeven is kunnen we vinden in overwegingen 62-70 van de AG. Over de toepassing op de casus, zie overwegingen 75-80. Door het noemen van het specifieke waargenomen verboden middel bij de sporter, kan worden vastgesteld dat er sprake is van een verwerking van gezondheidsgegevens in de zin van artikel 4(15) en 9(1) AVG. (punt 81). Vervolgens wordt de vraag besproken of de gegevens ook kwalificeren als gegevens van strafrechtelijke aard in de zin van artikel 10 AVG aan de hand van de Engel criteria (punt 89). Hoewel op grond van het eerste criterium (juridische kwalificatie) de procedure niet kwalificeert als strafrechtelijk gegeven, is de AG op grond van de tweede en derde Engel-criteria niet zo zeker daarover en stelt dat het niet uitgesloten kan worden 'dat bepaalde inbreuken op het gebied van antidoping, gezien hun repressieve of preventieve karakter, als strafrechtelijk kunnen worden beschouwd' (punt 115). En gelet op de zwaarte van de sanctie (punten 120-121) dat deze het effect kan hebben dat gelijkwaardig is aan een strafrechtelijke veroordeling in de zin van artikel 10 AVG. Met dien verstande dat e.e.a. door de verwijzende rechter steeds per afzonderlijk geval dient te worden beoordeeld (punt 122-125). Vervolgens is de AG ook van mening dat artikel 10 AVG met zich meebrengt dat "de activiteiten of besluiten van een autoriteit waaraan op grond van die bepaling het toezicht op de verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen is toevertrouwd, aan rechterlijke toetsing moeten kunnen worden onderworpen" (punt 131). Vervolgens wordt ingegaan op het punt van de publicatie zelf en de wettelijke verplichting dan wel de publieke taak om daartoe over te gaan, ofwel de grondslag en de noodzakelijkheid, in het bijzonder de proportionaliteit, van de publicatie (vanaf punt 136). De vereisten van artikel 6(3) AVG staan centraal. Ook hierbij komt de AG tot de conclusie dat er onvoldoende reden is om aan te nemen dat het publiceren van informatie over het specifieke verboden middel dat is aangetroffen een geschikt middel is om bij te dragen aan de doeleinden van publicatie (punt 148). De naam van de sporter is wel relevant voor het afschrikwekkend effect daarvan (punt 146) en ook relevant voor potentiële werkgevers in de gereguleerde sporten. Aangezien het "samenwerken met een geschorste sporter ook een overtreding van de antidopingregelgeving" vormt. (punt 147). In relatie tot de evenredigheid maakt de AG ook onderscheid tussen de publicatie van informatie van (bekende) professioneel atleten aan de ene kant welke anders zou moeten worden behandeld dan de automatische en algemene publicatie (online en onbeperkt) van minder bekende sporters (punten 151-152). Ten aanzien van het eerder aangehaalde punt van het samenwerken met een sporter die de antidopingwetgeving heeft overtreden is het echter niet noodzakelijk om deze informatie online te plaatsen Het is ook mogelijk om deze informatie in beperktere kring te verspreiden (punten 153-160).
• Gerecht 3 september 2025, (Philippe Latombe v European Commission).
  Artikel: 7 Hv, 8 Hv, 22 AVG, 32 AVG, 45(2) AVG
  Onderwerpen: doorgifte
  Kort: Het EU-U.S. Data Privacy Framework (DPF) op het moment van uitbrengen is geldig, zo heeft het Gerecht bepaald. Het Gerecht heeft gekeken naar alleen dat moment (punt 22), niet de huidige stand van zaken. Alle punten die Latombe naar voren heeft gebracht gaat het Gerecht niet in mee. Zo is de Data Protection Review Court (DPRC) voldoende onafhankelijk en onpartijdig (paras 33-82). Hoewel bulkverzameling is toegestaan is 'massa verzameling' in de VS dat niet. Aangezien o.a. de DPRC ex-post rechterlijke toetsing met zich mee brengt kan er worden gesproken van voldoende juridische en procedurele waarborgen (paras 84-160). Dan het feit dat het adequaatheidsbesluit niet rept over artikel 22 AVG. Het Gerecht stelt vast dat de situaties waarin artikel 22 AVG niet van toepassing zouden zijn een restcategorie is en beperkt in zeer beperkte gevallen (punt 174) en in die gevallen is er een adequate andere manier om hieraan tegemoet te komen, via VS Sectorale wetgeving (paras 175-177. Dan t.a.v. artikel 32 AVG → Het Gerecht kan zich niet vinden in het argument dat in het adequaatheidsbesluit opgenomen terminologie 'creating, maintaining, using or disseminating' te beperkt is gelet op de definitie van 'verwerking in artikel 4(2) AVG. Het zijn functionele equivalenten, aldus het Gerecht (paras 202-204). Kortom, alle vorderingen worden afgewezen.

👩‍⚖️ EHRM rechtspraak

• Deze haal ik de volgende keer in.

🇳🇱 Nederlandse rechtspraak

• Raad van State 24 september 2025, ECLI:NL:RVS:2025:4527 (AP mocht afzien van handhaving door beroep op prioriteringsbeleid).
  Artikel: 58(2)(c) AVG, Beleidsregels prioritering klachtenonderzoek AP (Stcrt. 2018, 54287)
  Onderwerpen: handhaving
  Kort: Betrokkene had drie klachten ingediend bij AP over de verwerking van persoonsgegevens door voormalig werkgever Prime Vision B.V. N.a.v. de eerste twee klachten heeft de AP normoverdragende brieven gestuurd aan Prime Vision, de derde klacht met een verzoek om corrigerende maatregelen zijn afgewezen met een beroep op de Beleidsregels prioritering klachtenonderzoek AP. (r.o. 1). De Rb. had het beroep niet-ontvankelijk verklaard vanwege het te laat aanbrengen van de zaak. Dit is echter niet verwijtbaar te laat volgens de ABRvS (r.o. 4.6) Vervolgens gaat de ABRvS zelf in op de inhoud van de zaak. De Afdeling overweegt echter dat met verwijzing naar de Beleidsregels de AP mocht afzien van handhaving. (r.o. 7-7.5)
• Parket bij de Hoge Raad 26 september 2025, ECLI:NL:PHR:2025:1044 (Uitleg HvJ EU over 'gerechtvaardigd belang' toegepast bij exceptieve toetsing aan evenredigheidsbeginsel in belastingzaak).
  Artikel: 6(1)(f) AVG
  Onderwerpen: gerechtvaardigd belang
  Kort: PG Koopman in zijn conclusie over het percentage van belastingrente voor de vennootschapsbelasting komt ook het onderwerp van het 'gerechtvaardigd belang' aan de orde in het kader van een beroep op het evenredigheidsbeginsel door een partij die een besluit aanvecht door te stellen dat het onderliggende algemeen verbindende voorschrift de door de belanghebbende aangevoerde gerechtvaardigde belangen niet (voldoende) heeft meegewogen. (r.o. 10.16) In dat kader legt de PG een link met de uitleg van het 'gerechtvaardigd belang' in artikel 6(1)(f) AVG en past de uitleg van het HvJ EU inzake de eerste stap van die grondslag ook toe bij de exceptieve toetsing aan het evenredigheidsbeginsel (r.o. 10.20)
• Rechten van betrokkene

• Rechtbank Midden-Nederland 24 september 2025, ECLI:NL:RBMNE:2025:5019 (Weigering inzage rapport opgesteld n.a.v. een incident tijdens het onbegeleid verlof van betrokkene uit een TBS-kliniek was gerechtvaardigd gelet op de openbare veiligheid en de rechten van anderen, in casu het slachtoffer en medewerkers.).
  Artikel: 41(1)(c) AVG, 41 AVG, 8 AVG, 15 AVG, 23 AVG, 41(1)(c) UAVG, 41(1)(i) UAVG, 41(1)(c) AVG, 41 AVG, 8 AVG
  Onderwerpen: AP bemiddeling
  Kort: Tijdens een onbegeleid verlof uit een TBS-kliniek in 2016 heeft een incident zich voorgedaan waarbij betrokkene een ernstig strafbaar feit is gepleegd. Het incident heeft intern bij de TBS-kliniek geleid tot een SIRE-onderzoek (systematische incident reconstructie en evaluatie) en bijbehorend rapport. In 2024 vraagt betrokkene het rapport op om in te zien. Dit is afgewezen. Bij de bemiddeling door de AP heeft de toezichthouder aangegeven zich te kunnen vinden in de nadere motivering van de organisatie, in het bijzonder het beroep op de uitzonderingen zoals genoemd in de UAVG (r.o. 2.8-2.10). Hoewel de rechtbank het rapport zelf niet heeft ingezien wordt wel aangenomen dat er persoonsgegevens in zit, de omvang daarvan is alleen niet duidelijk. (r.o. 4.4.).
  De rechtbank overweegt als volgt: "4.7 (...) SIRE voorziet in de behoefte om van incidenten te leren en om concrete en haalbare acties te ondernemen waardoor de kans afneemt dat soortgelijke incidenten opnieuw kunnen plaatsvinden. Bedoeling is dat medewerkers de mogelijkheid moeten hebben en zich vrij moeten voelen om incidenten, onveilige situaties en fouten te melden. De methode is verder bedoeld om de kwaliteit te verbeteren door het vaststellen van knelpunten in de interne processen van de organisatie naar aanleiding van een opgetreden incident. Dat is begrijpelijk nu het incident van 9 december 2016 tijdens het onbegeleid verlof van [verzoeker] heeft plaatsgevonden en heeft geleid tot een ernstig strafbaar feit. Het rapport ziet dan ook met name op de eigen organisatie van [verweerster] en is dus niet bedoeld om het incident zelf en de betrokkenheid van [verzoeker] te onderzoeken, maar gericht op onder meer de eigen procedures rondom verlofaanvragen. Daarnaast wordt het rapport niet met derden of instanties gedeeld noch maakt het onderdeel uit van het patiëntendossier. In het licht van het voorstaande heeft [verweerster] terecht, zoals hier verder nog wordt overwogen, inzage in het rapport geweigerd." In dit geval kan dit worden gestoeld op artikel 41(1)(c) UAVG de weigeringsgrond ter waarborging van de openbare veiligheid. "Bekendheid met de resultaten van het onderzoek stelt [verzoeker] , die momenteel nog steeds in een TBS-kliniek verblijft, mogelijk in staat de informatie uit het rapport te gebruiken ten aanzien van hoe en op welke wijze een verzoek tot onbegeleid verlof zal worden goedgekeurd. Daarnaast bestaat het risico dat de informatie over verlofaanvragen ook bij derden, waaronder andere TBS-patiënten, bekend raakt. Publieke bekendheid met mogelijke tekortkomingen in het proces kan leiden tot verlies aan vertrouwen in [verweerster] in het bijzonder en in TBS-klinieken in het algemeen. Tot slot kan het delen van dit intern rapport toekomstige incidentenonderzoeken belemmeren, omdat medewerkers zich dan minder vrij zullen voelen om openlijk te spreken als zij weten dat de informatie niet binnen de organisatie blijft." (r.o. 4.8) Weigering is ook in het belang van het slachtoffer en de medewerkers (r.o. 4.9) Artikel 41 UAVG vormt een maatregel in de zin van artikel 8 lid 2 EVRM. (r.o. 4.11)
• Gerechtshof Arnhem-Leeuwarden 16 september 2025, ECLI:NL:GHARL:2025:5678 (Voldoen aan kennisgevingsplicht is bemoeilijkt door eerste gegevenswissing door te voeren. Uitleg registerplicht en kennisgevingsplicht.).
  Artikel: 4(8) AVG, 4(9) AVG, 17 AVG, 19 AVG, 30 AVG
  Kort: Uitleg van kennisgevingsplicht. Na een toegekend verzoek tot wissing, door verwerkingsverantwoordelijke RBV, is echter volgens betrokkene niet of althans onvoldoende aan overige partijen doorgegeven dat deze wissing heeft plaatsgevonden. Ofwel er is niet voldaan aan de kennisgevingsverplichting. Het hof stelt allereerst vast dat de kennisgevingsverplichting niet is beperkt tot verwerkers van persoonsgegevens (ex art. 4(8) AVG) maar iedere ontvanger van persoonsgegevens zie art. 4(9) AVG. (r.o. 3.10). Vervolgens gaat het hof in op de registerplicht. Deze gaat "niet zo ver dat in dat register op individueel of dossierniveau moet worden bijgehouden welke persoonsgegevens aan welke ontvanger zijn verstrekt." Maar "Een en ander laat onverlet dat het RBV aan de hand van het dossier, alvorens tot vernietiging daarvan over te gaan, had moeten nagaan of sprake is geweest van verstrekking van persoonsgegevens in de zin van artikel 19 AVG, in welk geval zij de kennisgevingsplicht had na te komen. Het RBV heeft ter zitting erkend dat zij in het kader van de beoordeling van het wissingsverzoek niet ook heeft onderzocht aan wie persoonsgegevens uit het dossier waren verstrekt en overigens evenmin of sprake is geweest van openbaar maken in de zin van artikel 17 lid 2 AVG. Het RBV verklaart dat met de stelling dat het door haar gebruikte privacyreglement van Jeugdzorg Nederland daarvoor geen aanknopingspunten bood. Dat kan haar, gezien overweging 3.6., niet baten. In zoverre heeft het RBV haar verplichtingen uit de AVG als verwerkingsverantwoordelijke niet nageleefd." De kennisgevingsverplichting vereist echter niet het onmogelijke van de verwerkingsverantwoordelijke, door wissing door te voeren is onduidelijk met wie de gegevens zijn gedeeld. Aannemelijk is hier dat JustID deze heeft ontvangen en dus moet die in kennis worden gesteld van het succesvol beroep op het wissingsverzoek (r.o. 3.13). Verwerkingsverantwoordelijke moet wel proceskosten vergoeden (r.o. 3.17)
• Gerechtshof Amsterdam 7 oktober 2025, ECLI:NL:GHAMS:2025:2667 (Gevorderde mededelingsverbod in de zaak tegen X voor betrokkene die een beroep op het inzagerecht deed is van tafel. Beperkte kennisneming volstaat.).
  Artikel: 15 AVG, 15(1)(h) AVG, 22(2) Rv, 22(5) Rv, 28(1) Rv
  Kort: Het gevorderde mededelingsverbod van X aan de persoon die inzage wenste in de 'Guano Notes' van X (voorheen Twitter) wordt niet toegekend. Dit zware middel dat werd gevorderd omdat X vreesde voor openbaarmaking van met betrokkene gedeelde vertrouwelijke informatie (indien er meer verstrekt zou moeten worden dan de geredigeerde versie). Betrokkene heeft echter aangevoerd dat artikel 22(2) Rv in combinatie met art. 22(5) Rv (de daarin vermelde toestemming geeft betrokkene uitdrukkelijk). Het Hof gaat daarin mee en ziet daarom ook voldoende aanleiding om X te bevelen een ongeredigeerde versie van de Guano Notes in het geding te brengen, inclusief toelichting (r.o. 3.19-3.20), met dien verstande dat alleen het hof daarvan kennis zal nemen. Op basis daarvan wordt dan vervolgens beoordeeld of de ongeredigeerde versie aan betrokkene moet worden verstrekt (r.o. 3.17). Het zeer zware mededelingsverbod is daarmee van tafel. (r.o. 3.21). Volgende stap is op 21 oktober 2025.
• Rechtbank Rotterdam 22 september 2025, ECLI:NL:RBROT:2025:11474 (Unibet/Risepoint/Kindred zaak. Inzage transactiegegevens bij gokwebsites. Geen misbruik van inzagerecht nu motief wellicht meer is dan alleen inzage teneinde rechtmatigheid te controleren. Beroep op uitzondering Maltese uitvoeringsregeling(en) zou de kern van het inzagerecht aantasten en gaat ook niet op. Kindred is geen verwerkingsverantwoordelijke.).
  Artikel: 3:13 BW, 23 AVG, 23(1)(i) AVG, 79(2) AVG, Malta Data Protection Act 2018
  Kort: Kort geding. Inzageverzoek dat mede de transactiegegevens bij de gokwebsite Unibet. Geen misbruik van recht via inzageverzoek. "De AVG biedt de verwerkingsverantwoordelijke niet de mogelijkheid om te verlangen dat de betrokkene zijn verzoek om inzage motiveert, wat Risepoint, gelet op haar stellingname, feitelijk wel vraagt. Weliswaar beoogt het inzagerecht de betrokkene in staat te stellen zich van de verwerking van zijn gegevens op de hoogte te stellen en de rechtmatigheid daarvan te controleren (overweging 63 bij de AVG), maar dat doel brengt niet, althans niet zonder meer, mee dat een inzageverzoek moet worden afgewezen indien daarmee een ander doel wordt nagestreefd.2 Bovendien heeft [eiser] gesteld dat hij ook inzage wil om inzicht te krijgen in de financiële en persoonlijke gevolgen van zijn gokverslaving. Daartoe wil hij mede de juistheid van de verwerkte gegevens kunnen controleren, om aan de hand daarvan te kunnen achterhalen hoeveel geld hij door het online gokken bij Unibet heeft verloren. Risepoint gelooft niet dat dit daadwerkelijk een van de redenen voor het inzageverzoek is, maar de voorzieningenrechter heeft geen grond om de juistheid van de stelling van [eiser] te betwijfelen. In het licht van het uitgangspunt dat een betrokkene zijn verzoek om inzage niet hoeft te motiveren, kan in deze omstandigheden niet worden gezegd dat sprake is van misbruik in de zin van artikel 3:13 BW. De door Risepoint in dit verband aangehaalde Duitse uitspraken dan wel de andere context van de FT/DW- zaak, doen aan het voorgaande oordeel niet af." (r.o. 4.14) Geen noodzaak tot afwachten uitkomst prejudiciële vragen aan HR inzake eventuele nietigheid van kansspelovereenkomsten (deze is relevant voor de vorderingen in collectieve acties uit onverschuldigde betaling), nu deze los staat van het rechtmatig kunnen uitoefenen van het recht op inzage. (r.o. 4.15). Risepoint beroept zich ook op het equivalent van de UAVG in Malta, de Malta Data Protection Act 2018 en daarop gebaseerde uitvoeringsregelingen waaruit een weigeringsgrond voor het inzageverzoek uit zou voortvloeien. De Rb. maakt daar korte metten mee : "De weigering van Risepoint om de gegevens te verstrekken op grond van de beperking die is voorzien in de Malta Data Protection Act 2018 en daarop gebaseerde uitvoeringsregelingen voldoet naar het oordeel van de voorzieningenrechter niet aan die voorwaarden. Nog daargelaten dat er in dit geval nog geen concreet bestaande rechtsvordering/procedure is en evenmin de conclusie gerechtvaardigd is dat een rechtsvordering of procedure (op korte termijn) op handen is, valt niet in te zien wat er van het inzagerecht overblijft als Risepoint gelijk zou hebben. Haar weigering tast dus in de gegeven omstandigheden het inzagerecht in de kern aan. Het standpunt van Risepoint komt er in feite op neer dat zij altijd inzage in de transactiegegevens mag weigeren als sprake is van een lopende of op handen zijnde procedure, omdat dan een inbreuk wordt gemaakt op haar verdedigingsbelang (in het bijzonder een verslechtering van haar bewijsrechtelijke positie). De voorzieningenrechter kan dit niet anders begrijpen dan in de zin dat Risepoint met haar weigering inzage te verstrekken [eiser] wil belemmeren om op basis van de juiste feiten een vordering aan de rechter voor te leggen. Dit alles maakt de weigering disproportioneel. De voorzieningenrechter ziet (mede daarom) geen aanleiding om de rechterlijke toetsing van de Maltese beperking in Malta of bij het Europese Hof af te wachten dan wel over deze kwestie prejudiciële vragen te stellen aan het Europese Hof, zoals Risepoint heeft bepleit." (r.o. 4.18). De verwijzing naar art. 23(1)(i) AVG slaagt ook niet voor de verwerkingsverantwoordelijke (r.o. 4.19). De inzage moet worden verstrekt en de Rb. gaat zelfs verder : "Verder moet de inzage in de persoonsgegevens plaatsvinden op een manier die strookt met artikel 20 AVG, dus in een gestructureerde, gangbare en machineleesbare vorm, zoals door [eiser] gevorderd. Het verweer dat Risepoint op dit punt heeft gevoerd staat daaraan niet in de weg." (r.o. 4.20). De vorderingen jegens Kindred moeten worden afgewezen, omdat dit geen verwerkingsverantwoordelijke is (r.o. 4.25)
• Rechtbank Midden-Nederland 9 september 2025, ECLI:NL:RBMNE:2025:4964 (Ook in de herstelmogelijkheid gaat het weer niet goed bij interpretatie inzageverzoek Korpschef. Het motiveringsgebrek is opgelost maar de reikwijdte van de opdracht tot herstelgbesluit is te beperkt opgevat.).
  Onderwerpen: Inzage
  Kort: Einduitspraak na bestuurlijke lus. Verzoek om inzage pgg bij korpchef van thans commissaris van politie. Eerder is hier al een tussenuitspraak over geweest (ECLI:NL:RBMNE:2024:5067) en kreeg de korpschef de mogelijkheid een herstelbesluit te nemen. Eiser wijst er echter terecht op dat de korpschef deze te beperkt heeft geïnterpreteerd. (r.o. 16) De punten inzake het motiveringsgebrek zijn echter wel hersteld, (r.o. 17-19). De korpschef moet nu een nieuwe beslissing nemen op bezwaar van eiser, geen aanleiding voor nog een tussenuitspraak, "omdat het geschil bij de rechtbank al lang loopt en zij het van belang vindt om ten aanzien van de andere documenten nu een definitieve uitspraak te doen". Voor de goede orde, de oorspronkelijke besluiten komen uit 2022...
• Rechtbank Amsterdam 24 december 2024, ECLI:NL:RBAMS:2024:8830 (Inzageverzoek in toezichtsdossier van Deken van de Orde van Advocaten. Uitzonderingen 41 UAVG onvoldoende gemotiveerd).
  Artikel: 41(i) AVG, 15(1) AVG, 15(3) AVG, 41(1)(g) UAVG, 41(1)(h) UAVG, 41(1)(i) UAVG
  Onderwerpen: Toezicht Orde van Advocaten
  Kort: Betreft inzageverzoek in persoonsgegevens van hem en zijn stiefdochter 'die zijn verwerkt in klachtdossiers van eiser en in toezichtdossiers die bij verweerder in behandeling waren in het kader van de toezichthoudende taak van verweerder' (Deken van de Orde van Advocaten Amsterdam) (r.o. 13) Beroepsgronden zien op de toezichtdossiers. "De rechtbank ziet niet in waarom het weigeren van inzage in de persoonsgegevens van eiser en zijn stiefdochter uit de toezichtdossiers in dit specifieke geval evenredig en noodzakelijk is. Daarbij is van belang dat het in dit geval gaat om toezichtdossiers die betrekking hebben op slechts één advocaat, namelijk de voormalig advocaat van eiser (en zijn stiefdochter). Bovendien gaat het om persoonsgegevens van eiser en zijn stiefdochter die verwerkt zijn in de eigen communicatie tussen eiser en zijn voormalig advocaat. Zoals verweerder heeft aangegeven weet eiser welke gegevens zijn advocaat over hem heeft verwerkt." (r.o. 19) De uitzonderingen die zijn ingeroepen (41(1)(g) en (h) UAVG) zijn onvoldoende gemotiveerd. "Per persoonsgegeven moet beoordeeld worden of het weigeren van inzage noodzakelijk en proportioneel is in dit specifieke geval." (r.o. 19). Ten aanzien van het beroep op art. 41(i) UAVG overweegt de Rb. ook dat dit onvoldoende gemotiveerd is : "Beide advocaten [voormalig advocaat en advocaat die door verweerder is aangewezen als toezichthouder, AB] zijn immers bij eiser bekend. Bovendien zijn volgens verweerder de persoonsgegevens alleen gedeeld met de toezichthouder en de onder toezicht gestelde advocaat en gaat het om persoonsgegevens die eiser met zijn advocaat heeft gedeeld." (r.o. 20) Ook argument dat e.e.a. al bekend is via andere wegen ontslaat verwerkingsverantwoordelijke er niet van om inzage te verlenen (r.o. 23) Recht op kopie betekent in deze zaak echter niet volledige documenten, nu o.m. de context duidelijk is. Er kan worden volstaan met een overzicht van de weergave van de pgg. (r.o. 26)
• Gerecht in Eerste Aanleg van Aruba 17 september 2025, ECLI:NL:OGEAA:2025:269 (Inzageverzoek persoonsregistratie bij Directie Sociale Zaken Aruba is aan voldaan.).
  Artikel: 4 Lvp, 12 Lvp, Landsverordening persoonsregistraties
  Kort: Verzoek om inzage in verwerkte persoonsgegevens van betrokkene bij de Directie Sociale Zaken (DSZ) onderdeel van het ministerie van justitie en sociale zaken van Aruba. Een inzageverzoek op grond van art. 4 Landsverordening persoonsregistratie. Betrokkene werd uitgenodigd dit in te zien op locatie. Dat werd als weigering van het verzoek tot opsturen kopie verwerkte persoonsgegevens (r.o. 3.4) Het verstrekte overzicht bevatte volgens betrokkene te weinig informatie. Het Gerecht gaat hierin niet mee (r.o. 9.4)
• Gerechtshof Den Haag 16 september 2025, ECLI:NL:GHDHA:2025:2036 (Inzage medisch dossier na overlijden kind t.b.v. eventueel vaststellen medische fout. Voldoende aannemelijk gemaakt dat hier mogelijk sprake van is, 'zwaarwegende reden' voor uitzondering beroepsgeheim daarom hier van toepassing.).
  Artikel: 2 EVRM, 7:457(1) BW, 7:458(1)(b) BW, 7:458(1)(c) BW
  Onderwerpen: menselijke waardigheid
  Kort: Inzage medisch dossier na dood kind voor ouders. Voor vermoeden medische fout zonder mededeling incident is niet artikel 7:458(1)(b) BW mogelijk van toepassing maar mogelijk wel onder (c). "Een vermoeden van een medische fout kan wel een zwaarwegend belang opleveren. De enkele mogelijkheid van een medische fout is niet voldoende, maar het is anderzijds ook niet nodig dat een medische fout al wordt aangetoond. Zoals hierboven al vermeld moet de verzoeker het vermoeden met voldoende concrete aanwijzingen aannemelijk maken. Of dat is gelukt moet worden beoordeeld aan de hand van alle omstandigheden van het geval." (r.o. 6.10) In dit geval zijn er voldoende concrete aanwijzingen om het aannemelijk te achten dat het suïciderisico verkeerd is ingeschat (r.o. 6.17-6.18). Let wel, het hof stelt niet vast dàt er een medische fout is gemaakt, het is mogelijk dat uit het medisch dossier zal blijken dat dit niet het geval is (r.o. 6.19).
• Rechtbank Rotterdam 19 september 2025, ECLI:NL:RBROT:2025:11248 (Weg naar rechter staat nog niet open aangezien betrokkene zich niet eerst tot verwerkingsverantwoordelijke heeft gewend.).
  Artikel: 35 UAVG, 79 AVG
  Onderwerpen: BKR
  Kort: r.o. 2.7
• Rechtbank Rotterdam 17 september 2025, ECLI:NL:RBROT:2025:11084 (Vordering inzage medisch dossier bij bedrijfsarts. Overeenkomstige toepassing 7:456 BW op medische begeleiding ook al is WGBO niet van toepassing.).
  Artikel: 7:456 BW, 15e Wabvpz, KNMG-richtlijn Omgaan met medische gegevens, Nederlandse Vereniging voor Arbeids- en Bedrijfsgeneeskunde (NVAB)-Leidraad bedrijfsgeneeskundig dossier- Inrichting & Overdracht
  Kort: Vordering inzage medisch dossier bij bedrijfsarts. Overeenkomstige toepassing 7:456 BW op medische begeleiding ook al is WGBO niet van toepassing. (r.o. 4.4) De KNMG-richtlijnen en NVAB-leidraad bedrijvenartsdossiers relevante context bieden voor wat als medisch dossier moet worden beschouwd, maar uiteindelijk de gevraagde inzage en gegevens niet kan toewijzen in dit kort geding (r.o. 4.8-4.12). Daarnaast wordt opgemerkt dat logginggegevens (artikel 15e Wabvpz) niet beschikbaar zijn en geen spoedeisend belang aannemelijk is (r.o. 4.15). Deze en alle overige vorderingen worden afgewezen.
• Gegevensverwerking in de strafrechtelijke context
  • Rechtbank Den Haag 2 oktober 2025, ECLI:NL:RBDHA:2025:18145 (Marengo-proces. Vordering tot verwijdering van "Gedetineerden met een Vlucht- en/of Maatschappelijk risico" (GVM-lijst) en subsidiair het risicoprofiel te wijzigen van hoog naar verhoogd worden afgewezen.).
    Onderwerpen: GVM-lijst, Gedetineerden met een Vlucht- en/of Maatschappelijk risico
    Kort: Marengo-proces. Betrokkene staat al enkele jaren op de GVM-lijst waardoor zijn mogelijkheden in detentie beperkt zijn. "De voorzieningenrechter is - ondanks het op zich zonder meer invoelbare, grote belang van [eiser] en zijn gezinsleden - van oordeel dat de vergaande maatregelen in dit geval gerechtvaardigd zijn met het oog op de ernst van de risico's en de gevolgen bij verwezenlijking daarvan." (r.o. 4.5-4.15)
  • Gerechtshof Den Haag 23 september 2025, ECLI:NL:GHDHA:2025:1993 (Deelvrijspraak art 231b Sr omdat 'gelaatsfotos en gelaatsvideos' biometrische gegevens zouden zijn zodat verdachte in zoverre vrijgesproken moet worden.).
    Artikel: 231a Sr, 231b Sr
    Onderwerpen: biometrische gegevens
    Kort: "Onder 1 is aan de verdachte tenlastegelegd dat hij opzettelijk en wederrechtelijk identificerende persoonsgegevens, niet zijnde biometrische persoonsgegevens, van een ander heeft gebruikt/misbruikt als bedoeld in artikel 231b van het Wetboek van Strafrecht (hierna: Sr). De in de tenlastelegging opgenomen gelaatsfotos en gelaatsvideos zijn (bij uitstek) wél biometrische persoonsgegevens, zodat de verdachte in zoverre dient te worden vrijgesproken. Het misbruik van biometrische kenmerken en biometrische persoonsgegevens is overigens strafbaar gesteld in artikel 231a Sr." Dit is niet een gangbaar uitgangspunt in het gegevensbeschermingsrecht dat een 'enkele' (maar dat is niet duidelijk) foto of video met een gelaat erop al kwalificeert als biometrische gegevens.
  • Gerechtshof Den Haag 23 september 2025, ECLI:NL:GHDHA:2025:1992 (Deelvrijspraak nu gelaatsfotos en gelaatsvideos '(bij uitstek) wél biometrische persoonsgegevens' zouden zijn volgens Hof en dus 231a Sr niet 231b van toepassing zou zijn.).
    Artikel: 231a Sr, 231b Sr
    Onderwerpen: biometrische gegevens
    Kort: Zie hierboven ECLI:NL:GHDHA:2025:1993.
  • Gerechtshof Den Haag 23 september 2025, ECLI:NL:GHDHA:2025:1996 (Oogmerk van identiteitsfraude bij verkrijgen persoonsgegevens van vele anderen.).
    Artikel: 231b Sr
    Kort: "Daarnaast heeft de verdachte persoonsgegevens van vele anderen verkregen. Hoewel niet kan worden vastgesteld dat het ook in andere gevallen tot identiteitsfraude is gekomen, kan het niet anders dan dat de verdachte de persoonsgegevens heeft gekocht met het oogmerk om identiteitsfraude te plegen."
  • Gerechtshof Arnhem-Leeuwarden 19 augustus 2025, ECLI:NL:GHARL:2025:5302 (Uitgebreide bespreking afluisteren telefoongesprekken in relatie tot HvJ EU en HR uitspraken (Landeck en Prokuratuur)).
    Artikel: 5 2002/58/EC, 126m Sv
    Onderwerpen: afluisteren
    Kort: Vanaf pagina 9. "Naar het oordeel van het hof is niet gebleken dat de toetsing die de rechtercommissaris in deze zaak op grond van artikel 126m, vijfde lid, van het Wetboek van Strafvordering bij de beoordeling van het opnemen van communicatie via bij de verdachte in gebruik zijnde telefoon- en IPnummers heeft uitgevoerd, niet aan deze eisen (van proportionaliteit en subsidiariteit) voldoet. Van belang hierbij is dat bij de beoordeling van de machtigingen om te tappen de inhoud van de daartoe strekkende vorderingen van de officier van justitie over de verdenking tegen de verdachte en de medeverdachte in aanmerking mag worden genomen. De feiten en omstandigheden uit die vorderingen hielden in dat de verdachte en de medeverdachte in georganiseerd verband op grote schaal illegaal toto aanbieden en zo een gewoonte maken van overtreding van de Wet op de kansspelen en dat gedurende het opsporingsonderzoek de schaal waarop zij illegale toto aanbieden groter en de verdenking tegen hen gaandeweg sterker zijn geworden. Zo heeft de officier van justitie uiteindelijk het gezamenlijk wederrechtelijk verkregen voordeel berekend op netto 2.377.962,- Aan het betoog van de verdediging over de betekenis van HvJ EU 4 oktober 2024, zaak C-548/21, ECLI:EU:C:2024:830 (Landeck) en HR 18 maart 2025, ECLI:NL:HR:2025:409 voor de aan een tapmachtiging te stellen eisen, kan dan ook niet de conclusie worden verbonden die zij er aan gehecht wil zien. Het hof laat daarbij verder buiten beschouwing dat deze rechtspraak gaat over een onderzoek van gegevens die beschikbaar zijn in een elektronische gegevensdrager, zoals een smartphone, en niet over het opnemen met een technisch hulpmiddel van communicatie die plaatsvindt met gebruikmaking van de diensten van een aanbieder van een communicatiedienst."
  • Gerechtshof Arnhem-Leeuwarden 19 augustus 2025, ECLI:NL:GHARL:2025:5303 (Uitgebreide bespreking afluisteren telefoongesprekken in relatie tot HvJ EU en HR uitspraken (Landeck en Prokuratuur)).
    Artikel: 5 2002/58/EC, 126m Sv
    Onderwerpen: afluisteren
    Kort: Zie ECLI:NL:GHARL:2025:5302 hierboven.
  • Rechtbank Rotterdam 5 september 2025, ECLI:NL:RBROT:2025:11270 (Bewezenverklaring identificerende persoonsgegevens van een ander gebruiken met identiteitsmisbruik als oogmerk).
    Artikel: 231b Sr
  • Rechtbank Zeeland-West-Brabant 8 oktober 2024, ECLI:NL:RBZWB:2024:9664 (DNA afname hier geoorloofd. Wet DNA in relatie tot art. 8 EVRM).
    Artikel: 2(2)(b) Wet DNA, 8 EVRM
    Kort: Bezwaar tegen afname van celmateriaal (DNA) gaat niet op met verwijzing naar 8 EVRM. Wet DNA voldoet aan vereisten art. 8(2) EVRM.
• Collectieve acties

• Gerechtshof Amsterdam 30 september 2025, ECLI:NL:GHAMS:2025:2657 (Geen aanhouding collectieve actie DPS jegens Meta c.s.).
  Artikel: 80 AVG
  Onderwerpen: Collectieve actie
  Kort: Meta c.s. vordert met verwijzing naar de Rb. Rotterdam WAMCA-zaak waarin prejudiciële vragen zijn gesteld inzake art. 80 AVG aanhouding van deze zaak. De Rb. gaat daarin niet mee : "De beantwoording van deze vragen is niet van belang voor de beoordeling van de collectieve vorderingen van DPS, reeds omdat de WAMCA niet van toepassing is op deze collectieve vorderingen. Voor zover de door de rechtbank Rotterdam gestelde vraag 3 van belang zou kunnen zijn voor deze zaak, weegt het belang dat is gediend met aanhouding in afwachting van het antwoord daarop niet op tegen het belang dat wordt gediend met het tegengaan van onredelijke vertraging van de procedure. Hierbij is van belang dat de AVG op 25 mei 2018 in werking is getreden, terwijl de vorderingen een veel langere periode bestrijken en de vorderingen voorts ook voor de periode vanaf 25 mei 2018 ook zijn gestoeld op andere grondslagen." (r.o. 2.5)
• Financiële context
  • Gerechtshof Den Haag 16 september 2025, ECLI:NL:GHDHA:2025:1778 (EVR-registratie voor de duur van drie jaar gerechtvaardigd.).
    Onderwerpen: EVR, IVR
    Kort: Hoger beroep van ECLI:NL:RBROT:2025:437. Overweging proportionaliteit in r.o. 6.20.
• Geheimhouding
  • Gerechtshof 's-Hertogenbosch 27 augustus 2025, ECLI:NL:GHSHE:2025:2326 (Geheimhouding. Namen Duitse belastingambtenaar weggelakt.).
    Artikel: 8:29 Awb
    Kort: Terecht gelet op de eerbiediging van de persoonlijke levenssfeer van de ambtenaren (r.o. 3.8)
• Woo
  • Raad van State 24 september 2025, ECLI:NL:RVS:2025:4557 (Woo zaak. Art. 5.1(7) Woo vereist geen belangenafweging eerbiediging privéleven maar dat levert geen schending op art. 8 EVRM.).
    Artikel: 5.1(7) Woo, 8 EVRM, 86 AVG
    Onderwerpen: Woo
    Kort: Artikel 5.1(7) Woo zou volgens partijen strijdig zijn met het Verdrag van Aarhus en artikel 8 EVRM omdat daarin geen belangenafweging tussen openbaarmaking en de eerbiediging van de persoonlijke levenssfeer wordt gemaakt. (r.o. 10) Ook zou het in strijd zijn met art. 10 AVG omdat PAS-melders geen vergunning hebben en daarmee eigenlijk strafbare feiten plegen. Verstrekking van informatie over hen kon daarom niet. De Afdeling ziet dit echter niet zo. (r.o. 10.1). Over art. 10 AVG stelt de Afdeling met een beroep op artikel 86 AVG jo 5.1(7) Woo dat : "Openbaarmaking van informatie die betrekking heeft op emissies in het milieu is dus niet in strijd met de AVG. Daargelaten of sprake is van strafrechtelijke gegevens, zoals de NMV heeft betoogd, kunnen ook deze gegevens openbaar worden gemaakt als het ook emissiegegevens zijn." (r.o. 10.1.3). Ook maakt het enkele feit dat art. 5.1(7) Woo geen belangenafweging toestaat niet dat het artikellid een inbreuk is op artikel 8 EVRM, aldus de Afdeling (r.o. 10.1.4)
  • Rechtbank Zeeland-West-Brabant 26 september 2025, ECLI:NL:RBZWB:2025:6435 (Woo. Geen concrete dreiging die uitzondering art. 5.1(5) Woo rechtvaardigt.).
    Artikel: 5.1(5) Woo
    Onderwerpen: Woo
    Kort: r.o. 5.4
  • Rechtbank Oost-Brabant 19 september 2025, ECLI:NL:RBOBR:2025:5815 (Woo-verzoek. Naam en andere pgg die herleidbaar zijn tot de medewerker van de gemeente hoeft niet openbaar).
    Onderwerpen: Woo
    Kort: r.o. 13.1 "De omstandigheid dat de betreffende medewerker openbare (hoor-) zittingen bijwoont en namens de gemeente optreedt en stukken ondertekent, maakt niet dat zij wegens haar functie in de openbaarheid treedt. Het college hoeft de naam en andere persoonsgegevens die herleidbaar zijn tot deze persoon dan ook niet te openbaren."
• Overig
  • Rechtbank Oost-Brabant 25 september 2025, ECLI:NL:RBOBR:2025:5936 (Onrechtmatige uitingen. Weging vrijheid van meningsuiting en eerbiediging privé-leven).
    Artikel: 8 EVRM, 10 EVRM
    Kort: Uitingen zijn 'veel meer dan louter "kritisch, provocerend of verontrustend" en het kader van stevige kritiek vér te buiten gaan'. (...) "Omdat [eiseres] bij het uiten van haar ongefundeerde beschuldigingen de persoonsgegevens van [gedaagde 2] , [gedaagde 3] en [gedaagde 4] vermeldt, vormen die berichten een ernstige inbreuk op de persoonlijke levenssfeer/privacy van [gedaagde 2] , [gedaagde 3] en [gedaagde 4] alsook op de eer en goede naam van LID c.s.." (r.o. 4.7) In dit geval weegt het recht zoals beschermd in art. 8 EVRM zwaarder dan het recht in art. 10 EVRM. (r.o. 4.9)
  • Rechtbank Den Haag 6 oktober 2025, ECLI:NL:RBDHA:2025:18346 (Wrakingsverzoek kantonrechter zaak met de Autoriteit Persoonsgegevens als wederpartij wordt afgewezen.).
    Onderwerpen: Wraking
  • Rechtbank Noord-Nederland 4 juli 2025, ECLI:NL:RBNNE:2025:3958 (Wrakingsverzoek rechter afgewezen.).
    Onderwerpen: Wraking
    Kort: Wrakingsverzoek. Rechter zou niet op de hoogte zijn van privacywetgeving. Maar "Uit de schriftelijke reactie van de rechter blijkt dat de rechter ter zitting geen standpunt heeft ingenomen noch een beslissing heeft genomen over het openbaar maken van medische gegevens, hetgeen het onderwerp is van het wrakingsverzoek."
  • Gerechtshof Arnhem-Leeuwarden 25 augustus 2025, ECLI:NL:GHARL:2025:5816 (Ontslag op staande voet na onderzoek recherchebureau. Observatie was gerechtvaardigd maar duurde te lang. De resultaten hoeven daardoor echter niet buiten beschouwing te worden gelaten.).
    Artikel: 8 EVRM, 10 EVRM
    Kort: "Verder is het hof van oordeel dat hoewel sprake is van een ongeoorloofde inbreuk op de persoonlijke levenssfeer van [appellant] door hem langdurig te laten observeren door een recherchebureau , dit niet meebrengt dat (een deel van) de onderzoeksresultaten van dit bureau buiten beschouwing moet(en) worden gelaten. Er is dan ook sprake van een dringende reden voor ontslag op staande voet dat onverwijld is gegeven, waarbij is voldaan aan de proportionaliteitseisen." (r.o. 2.4) De duur van vijf weken was te lang (r.o. 3.25). De kosten van twee en halve week observatie moeten wel door [appellant], de voormalig werknemer, worden vergoed, maar dus niet voor het niet-proportionele gedeelte. (r.o. 3.52)
  • Rechtbank Rotterdam 2 september 2025, ECLI:NL:RBROT:2025:11206 (FSV. Onbevoegde rechter, geding moet behandeld worden door de burgerlijk rechter.).
    Onderwerpen: FSV
  • Gerechtshof Amsterdam 12 augustus 2025, ECLI:NL:GHAMS:2025:2149 (Wat valt onder de geheimhoudingsverplichting van advocaten (en/of notaris) en hoe ver strekt de exhibitievordering?).
    Kort: "In de kern houden twee kwesties partijen verdeeld, namelijk op welke wijze gewaarborgd wordt dat geen inzage wordt verstrekt in gegevens die vallen onder de geheimhouding van advocaten, of voor zover van toepassing, een betrokken notaris. En voorts twisten partijen over de vraag wat precies onder de exhibitieveroordeling valt." (r.o. 4.2) Zie uitleg over reikwijdte r.o. 4.6-4.9. Dan t.a.v. derden, zie verhouding met AVG r.o. 4.12-4.13.
  • Gerechtshof Amsterdam 3 oktober 2025, ECLI:NL:GHAMS:2025:2553 (Arbeidsgeschil. Verzoek art. 22a Rv wordt gedaan door procespartij en daarom niet toegewezen).
    Artikel: 22a Rv
    Kort: "(...) Bij toepassing van artikel 22a Rv moet het gaan om stukken waarvan de kennisneming door de partij zelf haar eigen lichamelijke of geestelijke gezondheid onevenredig zou schaden (lid 1) of waarvan de kennisneming door een partij de persoonlijke levenssfeer van een ander onevenredig zou schaden (lid 2). Het verzoek van [verzoekers] ziet op het bepaalde in artikel 22a lid 2 Rv. Het hof begrijpt haar betoog aldus dat kennisneming van de stukken door partij [verweerder] een schending zal opleveren van de persoonlijke levenssfeer van een ander, namelijk van haar. Echter bij een verzoek op grond van dit artikellid dient het te gaan om de persoonlijke levenssfeer van een ander dan de procespartijen (MvT, Kamerstukken 2017/18, 34821, 3, p. 32). Aangezien [verzoekers] zelf procespartij is, kan haar verzoek ex artikel 22a lid 2 Rv niet worden toegewezen." (r.o. 2.5)

Kifid uitspraken

• Kifid, 23 september 2025, Uitspraak 2025-0752 (Bindend advies)
  Artikel(en): IVR
  Kort: Cliëntonderzoek. Verwijdering IVR. Aanvankelijk registratie voor zes jaar, na hoorzitting is dit verlaagd naar vijf jaar. (punt 3.2) Hoeft niet te worden verwijderd (zie punten 3.12-3.17). Registratie hoeft niet korter dan vijf jaar.
• Kifid, 21 september 2025, Uitspraak 2025-0741
  Artikel(en): BKR
  Kort: BKR-registratie mag gehandhaafd blijven. Verwijderverzoek komt te vroeg. (punten 3.8-3.10)
• Kifid, 18 september 2025, Uitspraak 2025-0737
  Artikel(en): BKR
  Kort: BKR-registratie. Bijzonderheidscode 2 is technisch onjuist en moet daarom worden verwijderd. (punt 3.27) "Nu de consument de ontvangst van de opeisingsbrief betwist, dient de bank aan te tonen dat de opeisingsbrief de consument heeft bereikt. De bank heeft niet weersproken dat de opeisingsbrief de consument niet via zijn berichteninbox heeft bereikt." (punt 3.27) Toegang tot de berichteninbox was geblokkeerd. (punt 3.28) Overige registraties mogen blijven bestaan.
• Kifid, 17 september 2025, Uitspraak 2025-0735 (Bindend advies)
  Artikel(en): IR, PIFI, SFH
  Kort: Redelijk vermoeden van schuld inzake gestelde valsheid in geschrifte en daarmee oplichting bestaat (punt 3.6) maar niet verdenking van witwassen (punt 3.7) "Vaststaat dat de herkomst van de gelden onvoldoende is toegelicht. Dit leidt niet zonder meer tot de conclusie dat sprake is van een zwaardere verdenking dan een redelijk vermoeden van witwassen. Naar het oordeel van de commissie blijkt dit onvoldoende uit het dossier en hetgeen naar voren is gebracht. Deze registratiegrond is daarmee onjuist en dient te worden verwijderd door Obvion.". Dan over de registratie. "De commissie oordeelt dat het niet (succesvol) kunnen voltooien van het Wwftklantonderzoek op zichzelf niet kwalificeert als incident op basis van het Protocol. Een incident is een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een financiële instelling, de financiële instelling zelf of de financiële sector als geheel in het geding zijn of kunnen zijn. Het moet gaan om een omstandigheid welke van belang is voor de veiligheid en integriteit van Obvion en de financiële sector. Als het klantonderzoek niet kan worden afgerond kan dit duiden op een verhoogd risico op witwassen of terrorismefinanciering maar dit kwalificeert niet automatisch als incident op basis van het Protocol. Dit leidt de commissie tot de conclusie dat, voor zover Obvion het niet succesvol kunnen voltooien van het Wwft-klantonderzoek als incident heeft opgenomen in het Incidentenregister, deze registratie niet terecht is en moet worden verwijderd." (punt 3.9) Registratieduur dient te worden verkort met 1/3e ofwel 2 jaar van 6 naar 4 jaar (punt. 3.14)
• Kifid, 16 september 2025, Uitspraak 2025-0732 (Bindend)
  Artikel(en): EVR, GBA, IR, IVR, PIFI, SFH
  Kort: EVR registratie, en daarmee ook de overige registraties, kunnen blijven bestaan.

🇪🇺 EDPB

• EDPB, Joint Guidelines on the Interplay between the Digital Markets Act and the General Data Protection Regulation
• EDPB, Recommendations on calculating the audit cycle in EU Large-Scale IT Systems

🇳🇱 Autoriteit Persoonsgegevens

• Consultatie leidraad gerichte online politieke reclame
  Deadline: 21 november 2025
  Kort: "Per 10 oktober 2025 geldt een nieuwe Europese verordening voor politieke reclame. Hierin staan onder andere de voorwaarden om mensen te mogen benaderen met gerichte (getargete) online politieke reclame. De Autoriteit Persoonsgegevens (AP) heeft een leidraad opgesteld om organisaties te helpen voldoen aan deze nieuwe regels voor gerichte politieke reclame."
• Oproep ACM & AP over AI-chatbots
  Kort: "De Autoriteit Consument & Markt (ACM) en de Autoriteit Persoonsgegevens (AP) pleiten voor toegang tot menselijk contact en transparantie bij inzet van AI-chatbots."
• Brieven en Rapporten
  • AP, AP roept op tot verkenning van privacystandaarden in de publieke sector
  • AP,  Reactie AP op Kamerbrief en advies regeldruk AVG
  • AP,  Position paper online fraude
  • AP,  Brief over regels voor politieke reclame
  • AP,  Rapportage klachten 2024
    Kort: "In 2024 ontving de AP de meeste klachten over:
    ■ De onrechtmatige verwerking van persoonsgegevens
    ■ Het kunnen uitoefenen van privacyrechten (met name verzoeken tot verwijdering en inzage van persoonsgegevens)
    ■ Cameratoezicht door burgers en organisaties."
  • AP, Rapport verkennend onderzoek smart tv’s
• Woo-verzoeken
  • Wob-besluit: verzoek over Scientology, 2025 (afgewezen)
  • Wob-besluit: Adviesaanvragen van ministerie J&V, 2025 (over wet en besluit kansspelen op afstand)
  • Wob-besluit: Verstrekking persoonsgegevens om informatie over de verstrekking van persoonsgegevens door de Nationale Politie aan een stichting, in het kader van de afhandeling van winkeldiefstallen via schadevergoedingsacties, 2025 (afgewezen)
• Wetgevingsadviezen
  • AP, Toets sanctieregeling Belarus 2006
  • AP, Toets aanvulling Wet versterking rechtsbescherming jeugdbescherming
  • AP, Toets Wet stroomlijning fiscaal inzagerecht
  • AP, Toets Wet implementatie EU-richtlijn gegevensuitwisseling minimumbelasting
  • AP,  Toets Wet differentiatie vliegbelasting
  • AP,  Toets Wet behoud verlaagd btw-tarief op cultuur, media en sport
  • AP,  Toets Tweede wet aanpassing Wet minimumbelasting 2024
  • AP,  Toets Gelijkstelling voor de schenk- en erfbelasting
  • AP,  Toets Overige fiscale maatregelen 2026
  • AP,  Toets Belastingplan 2026
  • AP,  Toets Wet screening kennisveiligheid
  • AP, Toets Informatieprotocol Beleidsinformatie Jeugd
  • AP, Toets concept Regeling verbetering beschikbaarheid jeugdzorg
• Vergunningen
  • Besluit vergunning collectief winkelverbod Leeuwarden
  • Besluit vergunning collectief winkelverbod Veenendaal
  • Besluit vergunning collectieve horecaontzegging Den Bosch

🏢 Overheidsnieuws :

• Rapportage Grote ICT-activiteiten 2024
  Kort : Hierin wordt kort genoemd het project 'Toekomst BRP' (Basisregistratie personen), waarbij ook wordt ingezet op : "Toekomst BRP levert functionaliteiten ten behoeve van dataminimalisatie en betere bescherming van de persoonsgegevens van burgers." (p. 84)
• Fichebundel IBO Mentale gezondheid en ggz
  Kort: Onder paragraaf 6 'Sociale media' wordt voorgesteld een bindende leeftijdsgrens voor het gebruik van sociale media, en als variant 6a-ii "Maatregel identiek aan maatregel 6a, met als verschil dat kinderen onder de 16 sociale media wel kunnen gebruiken als ouders of verzorgers expliciet toestemming geven. (...)In feite zou dit al noodzakelijk zijn vanwege de AVG, maar in de praktijk wordt niet expliciet gehandhaafd. Door dit te koppelen aan een verplichting tot leeftijdsverificatie kan handhaving hierop beter worden vormgegeven." (pagina 56) en zie ook p. 61.

🇳🇱 Wetsvoorstellen :

• Advies Afdeling Advisering RvS & Nader rapport. 36 825 Wijziging van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88), zie ook de Memorie van Toelichting, en het wetgevingsadvies van de Autoriteit Persoonsgegevens.

📚 Vakliteratuur

• Jasper Krommendijk, Ellen Mastenbroek & Pieter Zwaan, 'Kleurenblind of
  blindgestaard? De (gebrekkige) opvolging van signalen over onjuiste
  implementatie van Europees recht verklaard', NJB 2025, afl. 29, pp. 2434-2442.
  Kort: Waarin de saga rondom de interpretatie van het gerechtvaardigd belang door de Autoriteit Persoonsgegevens als een van de drie "Rode vlaggen in de praktijk: de opvolging van signalen over EU-implementatie" wordt besproken (zie para 3.3.)
• H.R. Kranenborg & W.W. Geursen, Europees en Nederlands toezicht op digitalisering. Preadvies voor de Nederlandse Vereniging voor Wetgeving t.b.v. de jaarvergadering op 8 oktober jl. Het preadvies in open access te lezen.
• N. Lavrijssen & L.A.B.M. Wijntjens, 'Excuses als passende remedie voor AVG-schendingen', NTBR 2025/27

Editie #14 komt rond 27 oktober
Tot dan!