Inloggen Inschrijven
Door Anna Berlee in Nieuwsbrief —

#4 De Privacy Nieuwsbrief

Van een brief uit 1974 naar een mijlpaalarrest in Luxemburg: Dun & Bradstreet toen en nu; de 🐏 (RAM) onder de loep bij de Belastingdienst; en de ongelukkige timing van de lancering van het nieuwe AP-logo.

Beste lezer,

Op 24 juni 1974 stuurde de directeur van Dun & Bradstreet een brief naar de Staatscommissie bescherming persoonlijke levenssfeer i.v.m. persoonsregistratie. In deze brief reageerde hij op het interimrapport van de Staatscommissie en specifiek op de daarin geformuleerde ideeën over inzage- en correctierecht. Dun & Bradstreet kon zich vinden in de voorgestelde uitgangspunten en merkte op: "Deze worden door ons reeds in belangrijke mate in praktijk gebracht. Daar de gegevens, vastgelegd door informatiebureaus, niet alleen bestaan uit feitelijkheden, doch tevens een weergave vormen van ervaringen en opvattingen van derden, bestaat de kans op meningsverschillen over de inhoud van het materiaal." (p. 197)

Niemand had destijds kunnen vermoeden dat ruim vijftig jaar later ditzelfde bedrijf centraal zou staan in een belangrijke zaak bij het Hof van Justitie over datzelfde inzagerecht - inmiddels stevig verankerd in de AVG. In deze zaak, die in de huidige editie van de nieuwsbrief wordt beproken, draaide het om de vraag hoe ver dit inzagerecht precies reikt bij informatie inzake geautomatiseerde besluitvorming (ex art. 22 AVG). Wat betekent precies "nuttige informatie over de onderliggende logica" wanneer er sprake is van dergelijke besluitvorming? Het Hof geeft nu eindelijk wat meer duidelijkheid over wat deze 'nuttige informatie' moet omvatten.

Van algoritmes gesproken: profilering bij de Belastingdienst en de Douane via het Risico-Analyse Model (RAM) stond en staat de afgelopen weken prominent op de agenda. Het externe rapport naar de inzet daarvan is gedeeld met de Kamers, en de AP heeft in haar jaarrapportage 2025 inzake de Belastingdienst aangegeven daar expliciet naar te gaan kijken.

Over de Autoriteit Persoonsgegevens gesproken, in lijn met haar toezichthoudende rol op dit gebied heeft zij weer een consultatie uit de deur gedaan. Het onderwerp? Betekenisvolle menselijke tussenkomst. Prachtige timing zou ik zo zeggen. Minder gelukkig lijkt mij de timing van de lancering van het nieuwe logo van de toezichthouder, precies in dezelfde week waarin de evaluatie van de AP verscheen - maar daarover later in deze nieuwsbrief meer.

Veel leesplezier!

Anna Berlee

Bron : Staatscommissie inzake Bescherming Persoonlijke levenssfeer in verband met persoonsregistraties, Privacy en persoonsregistratie. Eindrapport, ’s-Gravenhage: 1976, p. 191-199. Deze Staatscommissie stond aan de wieg van de eerste algemene privacywet in Nederland, de Wet persoonsregistraties.

🇪🇺 EU rechtspraak

  • HvJ EU 27 februari 2025, C‑203/22, ECLI:EU:C:2025:117 (Dun & Bradstreet Austria). 
    Artikel: 15(1)(h), 22(3) AVG
    🔗 A-G De La Tour, 12 September 2024
    Kort: Artikel 15(1)(h) AVG geeft de betrokkene het recht om van de verwerkingsverantwoordelijke inzage te krijgen in “het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.“ Deze zaak draait om de betekenis van de woorden ‘nuttige informatie over de onderliggende logica’. Wat is dat precies?

    Het Hof overweegt dit betekent dat dit recht "een daadwerkelijk recht biedt op uitleg over de werking van het mechanisme dat ten grondslag ligt aan de geautomatiseerde besluitvorming over hem, en over het resultaat van dat besluit" (r.o. 57) en dat dit dus inhoud "een recht op uitleg over welke procedure en beginselen er concreet zijn toegepast om geautomatiseerd gebruik te maken van de persoonsgegevens van de betrokkene teneinde daaruit een bepaald resultaat, zoals een kredietprofiel, te verkrijgen. Om ervoor te zorgen dat de betrokkene zijn rechten uit hoofde van de AVG, en met name uit hoofde van artikel 22, lid 3, doeltreffend kan uitoefenen, moet die uitleg worden verschaft aan de hand van relevante informatie en in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm" (r.o. 58) en dus niet kan worden volstaan met het versturen van een complexe wiskundige formule, ofwel het algoritme zelf, of een gedetailleerde beschrijving van alle stappen in het geautomatiseerde proces. (r.o. 59) "Wat specifiek een profilering als die in het hoofdgeding betreft, zou de verwijzende rechter met name kunnen oordelen dat aan het vereiste van transparantie en begrijpelijkheid is voldaan wanneer aan de betrokkene wordt meegedeeld in welke mate een ander resultaat zou zijn verkregen mocht er rekening zijn gehouden met andere persoonsgegevens." (r.o. 62)

    Het HvJ EU gaat voorts in op vragen met betrekking tot de uitzonderingen op het recht, met name gericht op de bedrijfsgeheimen en of dit vereist dat de informatie wordt gedeeld met de toezichthouder en/of rechter teneinde een balans tussen de verschillende rechten te kunnen maken (zie r.o. 67 e.v.)

Dictum

Het Hof (Eerste kamer) verklaart voor recht:

1) Artikel 15, lid 1, onder h) [AVG] moet aldus worden uitgelegd dat
de betrokkene wanneer er sprake is van geautomatiseerde besluitvorming, waaronder profilering, in de zin van artikel 22, lid 1, van die verordening, in het kader van het recht op „nuttige informatie over de onderliggende logica” van de verwerkingsverantwoordelijke kan verlangen dat deze aan de hand van relevante informatie en in beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm uiteenzet welke procedure en beginselen er concreet zijn toegepast om geautomatiseerd gebruik te maken van de persoonsgegevens van die persoon teneinde daaruit een bepaald resultaat te verkrijgen, zoals een kredietprofiel.

2) Artikel 15, lid 1, onder h) [AVG] moet aldus worden uitgelegd dat

wanneer de overeenkomstig die bepaling aan de betrokkene te verstrekken informatie volgens de verwerkingsverantwoordelijke (mede) ziet op door die verordening beschermde gegevens van derden of bedrijfsgeheimen in de zin van artikel 2, punt 1, van richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan, deze verwerkingsverantwoordelijke die beweerdelijk beschermde informatie dient mee te delen aan de bevoegde toezichthoudende autoriteit of rechterlijke instantie, die de betrokken rechten en belangen tegen elkaar moet afwegen om de omvang van het in artikel 15 AVG neergelegde recht van inzage van de betrokkene vast te stellen.

💡
Volgens mij is dit de eerste keer dat het Hof verwijst naar Richtsnoeren van de WP29/EDPB (r.o. 45 en 60). Voorheen heeft het Hof wel soms vrij letterlijk onderdelen daaruit overgenomen in de onderbouwing (vgl. HvJ EU 20 december 2017, C‑434/16 (Nowak) r.o 35 en WP29 Advies 4/2007 over het begrip persoonsgegeven, p. 10) echter bij mijn weten heeft het Hof dus nog nooit direct verwezen naar de richtsnoeren van de EDPB tot nu.

Update: Ik werd erop gewezen dat dit niet de eerste keer is, maar de tweede keer! Zie HvJ EU 10 juli 2018, C‑25/17 (Jehovan todistajat), r.o. 21. Weer wat geleerd!
  • HvJ EU 27 februari 2025, C‑638/23 (Amt der Tiroler Landesregierung). 
    Artikel: 4(7) AVG Definitie verwerkingsverantwoordelijke, 5(2), 6(1)(c) en (e) AVG
    Kort: De kernvraag was of het Amt der Tiroler Landesregierung als 'verwerkingsverantwoordelijke' kan worden beschouwd, in het kader van de vermeende onrechtmatige verwerking van persoonsgegevens door het versturen van een vaccinatieherinneringsbrief tijdens de COVID-19-pandemie. "Met zijn vraag wenst de verwijzende rechter in wezen te vernemen of artikel 4, punt 7, AVG aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling die als verwerkingsverantwoordelijke een ondersteunend bestuursorgaan aanwijst dat geen rechtspersoonlijkheid en geen eigen rechtsbevoegdheid bezit, zonder dat concreet wordt gepreciseerd voor welke specifieke verwerkingen van persoonsgegevens dit orgaan verantwoordelijk is, noch wat het doel van de verwerking is. De verwijzende rechter wenst tevens te vernemen of artikel 4, punt 7, AVG aldus moet worden uitgelegd dat een orgaan dat door het nationale recht overeenkomstig deze bepaling als verwerkingsverantwoordelijke is aangewezen, daadwerkelijk moet beslissen over het doel van en de middelen voor de verwerking van persoonsgegevens om als verwerkingsverantwoordelijke te kunnen ingaan op verzoeken die de betrokkenen tot dat orgaan richten op grond van de rechten die zij aan de AVG ontlenen." (r.o. 23)
    Het Hof overweegt, met verwijzing naar onder meer HvJ EU 11 januari 2024, C‑231/22 (Belgian State (Données traitées par un journal officiel)), dat een gebrek aan rechtspersoonlijkheid niet verwerkingsverantwoordelijke hoeft uit te sluiten wanneer de wet een verwerkingsverantwoordelijke aanwijst (r.o. 31) Vereist is wel dat het kan voldaan aan de vereisten uit art. 5(1) en (2), de verantwoordingsplicht (r.o. 33-34).

Dictum

Het Hof (Achtste kamer) verklaart voor recht:

Artikel 4, punt 7, van [de AVG] moet aldus worden uitgelegd dat het zich niet verzet tegen een nationale regeling die als verwerkingsverantwoordelijke een ondersteunend bestuursorgaan aanwijst dat geen rechtspersoonlijkheid en geen eigen rechtsbevoegdheid bezit, zonder dat concreet wordt gepreciseerd voor welke specifieke verwerkingen van persoonsgegevens deze entiteit verantwoordelijk is, noch wat het doel van die bewerkingen is, mits ten eerste deze instantie in staat is om in overeenstemming met deze nationale regeling te voldoen aan de verplichtingen van een verwerkingsverantwoordelijke tegenover betrokkenen in verband met de bescherming van persoonsgegevens, en ten tweede, deze nationale regeling expliciet of op zijn minst impliciet de omvang bepaalt van de verwerking van de persoonsgegevens waarvoor deze entiteit verantwoordelijk is.

  • Conclusie A-G Richard de la Tour, 27 februari 2025, C-57/23 (Policejní prezidium () and génétiques)
    Artikelen: 4, lid 1, onder c) en e), artikel 6, artikel 8, lid 2, en artikel 10 van richtlijn (EU) 2016/680
    Kort: JH, een Tsjechische burger, werd in 2015 beschuldigd van het niet nakomen van zijn verplichtingen bij het beheren van andermans vermogen. In het kader van deze strafprocedure heeft de Tsjechische politie JH’s biometrische en genetische gegevens verzameld, waaronder vingerafdrukken en een wanguitstrijkje voor DNA-analyse. JH werd uiteindelijk veroordeeld, maar hij betwistte de rechtmatigheid van de verzameling en opslag van zijn gegevens.

👩‍⚖️ EHRM rechtspraak

  • EHRM 4 maart 2025, Appl. nr. 75000/17 (CASE OF MILASHINA AND OTHERS v. RUSSIA). 
    Artikel: 10, maar ook 8 & 2 EVRM
    Kort: Het Hof oordeelt dat openbare verklaringen van hooggeplaatste Tsjetsjeense functionarissen en religieuze leiders, gericht tegen de journalisten vanwege hun gepubliceerde artikelen, een directe inbreuk vormden op het recht op eerbiediging van hun privéleven onder artikel 8 EVRM. Deze verklaringen, die leidden tot online intimidatie en bedreigingen, dwongen met name de hoofdauteur Milashina tot het nemen van beschermende maatregelen en uiteindelijk tot het verlaten van het land. Ook de andere journalisten werden getroffen doordat zij beschermende maatregelen moesten nemen voor hun personeel, wat de normale werkzaamheden van de krant verstoorde.
  • EHRM 6 maart 2025, Appl. nr. 47836/21 (AFFAIRE F.B. c. BELGIQUE).
    Artikel: 8 EVRM
    Kort: Bij aankomst in België, werd er getwijfeld aan de leeftijd van de persoon die stelde 16 te zijn, waarna zij direct werd onderworpen aan een bottest.
    Het Hof oordeelt dat er sprake was van inmenging in het privéleven van de verzoekster aangezien de beslissing haar heeft beroofd van alle rechten die voortvloeien uit haar status als minderjarige (r.o. 76). Deze inmenging had weliswaar een wettelijke basis (r.o. 77) en diende een legitiem doel, namelijk het onderscheiden van minderjarige en meerderjarige migranten voor de bescherming van minderjarigen (r.o. 78-80).
    Bij de beoordeling van de noodzakelijkheid van de inmenging merkt het Hof op dat de verzoekster correct in een centrum voor minderjarigen werd geplaatst gedurende de procedure (r.o. 81). Na twijfel over haar minderjarigheid werd zij echter onmiddellijk doorverwezen voor bottesten (r.o. 82) en pas daarna gehoord door de voogdijdienst (r.o. 83). Het Hof benadrukt het belang van geïnformeerde toestemming voor medische handelingen (r.o. 90) en stelt vast dat, zelfs als de informatiebrochure was verstrekt, deze niet duidelijk vermeldde dat toestemming noodzakelijk was (r.o. 89).
    Het Hof oordeelt dat medische onderzoeken vanwege hun invasieve karakter alleen als laatste redmiddel moeten worden gebruikt (r.o. 92). In deze zaak had het gesprek met een speciaal opgeleide medewerker van de voogdijdienst vóór de bottesten moeten plaatsvinden, wat mogelijk had kunnen leiden tot het gebruik van minder ingrijpende methoden om de twijfel over de leeftijd weg te nemen (r.o. 93).
    Zonder zich uit te spreken over de betrouwbaarheid van bottesten of over de werkelijke leeftijd van de verzoekster, concludeert het Hof dat het besluitvormingsproces met onvoldoende waarborgen was omgeven (r.o. 94). Het Hof oordeelt derhalve dat er sprake is van schending van artikel 8 EVRM (r.o. 95).
💡
Dit is nu al de tweede zaak in korte tijd, waarin leeftijdsbepaling ter discussie stond bij het EHRM. Vergelijk deze zaak met de in Editie #1 besproken zaak van EHRM 16 januari 2025, Appl. nr. 15457/20 (AFFAIRE A.C. c. FRANCE). 

🇳🇱 Nederlandse rechtspraak

  • Gerechtshof Arnhem-Leeuwarden 14 januari 2025, ECLI:NL:GHARL:2025:977 (Privacyverklaring waarin twee grondslagen voor dezelfde verwerking worden opgeworpen is in strijd met ‘het systeem van de AVG’). 
    Artikel: 5(2) AVG, 7(3) AVG.
    Kort:
7.14 De verplichting om een gebruikersverklaring in te vullen In het huishoudelijk regelement is opgenomen dat de huurder minstens één dag voor de ingang van het verblijf een verklaring moet invullen, met daarin opgenomen het chaletnummer, de naam van de hoofdhuurder, het aantal personen, het telefoonnummer, de aanwezigheid van hond of kat en de duur van het verblijf.
7.15 Het hof overweegt dat, anders dan de rechtbank heeft geoordeeld, de bewijslast dat de verwerking van deze persoonsgegevens overeenkomstig de eisen van de algemene verordening persoonsgegevens (AVG) gebeurt, bij de vereniging berust. Dit volgt uit artikel 5 lid 2 van de AVG, die op dit punt een van artikel 150 Rv afwijkende regeling over de bewijslastverdeling kent. De vereniging heeft in het huishoudelijk reglement de hele verklaring opgenomen. In die verklaring stelt de vereniging dat de huurder toestemming kan verlenen aan de vereniging om deze gegevens op te nemen, maar tegelijkertijd dat de huurder verplicht is om deze gegevens door te geven omdat de vereniging daarbij een rechtmatig belang heeft. Deze dubbele grondslag is in strijd met het systeem van de AVG waar in artikel 7 lid 3 is bepaald dat toestemming vrijelijk moet kunnen worden gegeven en ingetrokken en in lid 2 van dat artikel is bepaald dat duidelijk moet zijn welke gegevens vrijwillig worden gegeven en welke gegevens niet. De verklaring hinkt wat dat betreft ten onrechte op twee gedachten. De bepaling in het huishoudelijk regelement is in zoverre dan ook in strijd met de wet en daarmee ook in strijd met de statuten.
  • Rechtbank Rotterdam 8 mei 2024, ECLI:NL:RBROT:2024:13685 (De AP heeft ondanks de beginselplicht tot handhaving op dat punt terecht afgezien van een  herstelsanctie. Ook kon de AP besluiten in dit geval geen boete of berisping op te  leggen. Globale bureauonderzoek was voldoende inzake internationale doorgifte). 
    Artikelen: 57(1)(f) AVG, 58(2)(i) AVG, Beleidsregels prioritering klachtenonderzoek AP (Stcrt. 2018, 54287)
  • Rechten van betrokkene
    • Rechtbank Gelderland 24 februari 2025, ECLI:NL:RBGEL:2025:1815 (Verzoek om inzage bij Stripe teneinde een rechtsvordering in te kunnen stellen tegen een webshop die betaalde goed niet leverde, moet niet op grond van 15 AVG maar via 843a Rv). 
      Artikel: 15(1)(c) AVG, 843a Rv.
      Relatie : Vergelijk met soortgelijke uitspraak in Editie #3 van deze nieuwsbrief.
    • Rechtbank Midden-Nederland 14 januari 2025, ECLI:NL:RBMNE:2025:552 (In het geval van een algemeen geformuleerd verzoek kan in beginsel van het bestuursorgaan slechts een  algemene zoekslag worden verlangd naar de meest gangbare persoonsgegevens. Bij een concreter  geformuleerd verzoek ligt dit anders.). 
      Artikel: 15(1), 15(3) AVG.
      Kort:
10. Een verwerkingsverantwoordelijke zoals het college mag op grond van overweging 63 van de AVG en vaste rechtspraak, wanneer deze een grote hoeveelheid gegevens over een betrokkene verwerkt, een verzoeker vragen om te preciseren op welke informatie of welke verwerkingsactiviteiten het inzageverzoek betrekking heeft. Gelet op de omvang van eisers verzoek is het college terecht overgegaan tot het preciseringsverzoek. 
11. De rechtbank is het verder eens met het college-standpunt dat de e-mail van 19 oktober 2022 geen nadere precisering inhoudt. Eiser heeft immers slechts herhaald dat hij inzage wilde in alle persoonsgegevens zonder het college een zoekrichting te geven. 
In het geval van een algemeen geformuleerd verzoek kan in beginsel van het bestuursorgaan slechts een algemene zoekslag worden verlangd naar de meest gangbare persoonsgegevens. Bij een concreter geformuleerd verzoek ligt dit anders. In zo’n situatie kan van een bestuursorgaan een meer diepgravend onderzoek worden gevergd. In eisers geval is sprake van een zeer algemeen geformuleerd verzoek. Het college kon daarom volstaan met de door haar uitgevoerde algemene zoekslag.
  • Rechtbank Midden-Nederland 6 december 2024, ECLI:NL:RBMNE:2024:7507 (FSV inzage moet worden verleend, beroep op 23(1)(i) AVG onvoldoende onderbouwd. AVG ook van toepassing op maatschap). 
    Artikelen: 15, 23(1)(i) AVG.
  • Gerechtshof ’s-Hertogenbosch 27 november 2024, ECLI:NL:GHSHE:2024:3758 (Verwijzingszaak. FSV). 
  • Rechtbank Noord-Nederland 10 september 2024, ECLI:NL:RBNNE:2024:3522 (FSV). 
  • Arbeidsconflicten
    • Rechtbank Amsterdam 18 februari 2025, ECLI:NL:RBAMS:2025:1192 (Doorzoeken internetgeschiedenis beperkt tot één dag maakt dat niet kan worden geconcludeerd dat privacy zodanig is geschonden dat het een ernstig verwijt oplevert van werkgever).
    • Rechtbank Amsterdam 14 januari 2025, ECLI:NL:RBAMS:2025:1151 (Niet vlekkeloos verlopen ziekmelding en de correctie van de registratie daarvan leiden niet tot ernstig verwijtbaar handelen of nalaten van de werkgever).  
  • Cameras
    • Rechtbank Den Haag 26 februari 2025, ECLI:NL:RBDHA:2025:2621 (Burenruzie door geluidsoverlast pianospel. Camera’s moeten weg.). 
    • Rechtbank Overijssel 5 maart 2025, ECLI:NL:RBOVE:2025:1231 (Burenruzie. Cameras die ook geluid opnemen moeten weg).
    • Rechtbank Overijssel 5 maart 2025, ECLI:NL:RBOVE:2025:1232 (Burenruzie. Niet bewezen dat deurbelcamera ook op perceel van buren is gericht. Die mag blijven. Camera aan schutting ide draaibaar is moet wel weg.).  
    • Rechtbank Overijssel 5 maart 2025, ECLI:NL:RBOVE:2025:1233 (Burenruzie. Cameras ook klein gedeelte op perceel buren gericht. Geen subsidiariteit. Cameras moeten weg.). 
    • Rechtbank Overijssel 26 februari 2025, ECLI:NL:RBOVE:2025:1148 (Burenruzie. Camera’s moeten worden verdraaid of de instellingen daarvan gewijzigd, bijv door te voorzien van een privacymask. Ze hoeven niet weg.). 
  • Gegevensverwerking in de strafrechtelijke context
    • Rechtbank Midden-Nederland 5 maart 2025, ECLI:NL:RBMNE:2025:865 (Het DNA-profiel van het Heulmeisje is een persoonsgegeven dat wordt verwerkt in het kader van de uitvoering van de politietaak en daarmee een Wpg gegeven, met als gevolg dat het buiten de Woo valt.). 
      Artikelen: 1(a), 3(3), 7 Wpg, 8.8 Woo, 8:29 Awb
      Kort: In geschil is of het DNA-profiel van het Heulmeisje is aan te merken als een persoonsgegeven dat wordt verwerkt in het kader van de uitvoering van de politietaak. Dan gaat het nl. om een politiegegeven waarop de Wpg en niet de Woo van toepassing is (r.o. 8.2). De rechtbank is van oordeel dat dit het geval is (r.o 8.3). “Voor de vraag of het gaat om een persoonsgegeven  is van belang dat met DNA-gegevens mensen kunnen worden geïdentificeerd. Dat is ook precies wat  eiser beoogt te doen met het DNA-profiel van het Heulmeisje. Met dat DNA-profiel kan niet alleen het  Heulmeisje zelf worden geïdentificeerd, maar daarmee zijn ook haar (directe) familieleden herleidbaar.  De rechtbank volgt daarom niet het betoog van eiser dat het niet gaat om tot een persoon herleidbare  gegevens.“ (r.o 8.3) Onder de politietaak valt opsporing en hulp bieden aan hen die dit behoeven, daaronder vallen ook nabestaanden. Het gaat hier om een zogheten cold case en de verbeterde DNA-technieken die er nu zijn en in de toekomst worden ook ingezet voor opsporing en identificatie van het Heulmeisje, ofwel, ter uitvoering van de politietaak. (r.o. 8.4).
    • Rechtbank Amsterdam 2 oktober 2024, ECLI:NL:RBAMS:2024:6031 (Rechtmatigheid van de gegevensverzameling via buitenlandse opsporing). 
      Artikel: 126uba Sv
    • Rechtbank Midden-Nederland 20 januari 2025, ECLI:NL:RBMNE:2025:557 (Inzage bij Korpschef verzocht en gegeven, daarom geen procesbelang meer.)
    • Rechtbank Limburg 28 februari 2025, ECLI:NL:RBLIM:2025:1928 (Doxing voordat dit strafbaar was). 
      Artikel: 285d Sr.
    • Rechtbank Amsterdam 16 oktober 2024, ECLI:NL:RBAMS:2024:6260 (Vereiste uitleg over gemaakte zoekslag ontbreekt in nieuw genomen besluit door Korpschef. Daarom kan de buitensporigheid van het verzoek ook niet worden beoordeeld). 
      Artikel: 24a(4) en 27(1)(f) Wpg
    • Rechtbank Amsterdam 27 februari 2025, ECLI:NL:RBAMS:2025:1243, ECLI:NL:RBAMS:2025:1244, ECLI:NL:RBAMS:2025:1245 (Verdachte is niet in het algemeen in zijn verdedigingsrechten geschaad doordat hij de naam en geboortedatum van de benadeelde partij niet kent). 
  • Financiële sector
    • Parket bij de Hoge Raad 21 februari 2025, ECLI:NL:PHR:2025:260 (Cliëntonderzoek. Vastleggen en bewaren gegevens. Verwerking biometrische gegevens met het oog op unieke identificatie? Identificatie aan de hand van technische middelen?). 
      Artikelen: 3, 33 en 38 Wwft, 4(14) en 9(1) AVG.
      Kort: In deze zaak heeft een persoon, aangeduid als [eiser], een creditcardovereenkomst met International Card Services B.V. (ICS). Toen ICS [eiser] verzocht om zich te identificeren en zijn identiteit te verifiëren in het kader van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft), weigerde [eiser] hierop in te gaan. ICS vroeg om een kopie van een identiteitsbewijs met pasfoto en een video-selfie. Na diverse verzoeken heeft ICS de creditcard van [eiser] geblokkeerd en de overeenkomst opgezegd wegens het uitblijven van de benodigde identificatie-informatie. De rechtszaak draait voornamelijk om de vraag of het bewaren van een pasfoto en video-selfie door ICS een verboden verwerking van biometrische gegevens is. P-G Drijver's conclusie strekt tot verwerping van het cassatieberoep.
    • Gerechtshof Arnhem-Leeuwarden 18 februari 2025, ECLI:NL:GHARL:2025:850 (Registratie GA en IVR. Omdat verzekeringsfraude niet is vast komen te staan, acht het hof de duur van vijf jaar disproportioneel). 
      Artikelen: Incidentenregister, GA, IVR, 6(1)(f) AVG.
    • Rechtbank Midden-Nederland 6 juli 2022, ECLI:NL:RBMNE:2022:6631 (IVR, EVR, en BKR registratie mogen gehandhaafd worden gelet op gemanipuleerde stukken). 
      Artikelen: 21 AVG.
    • Gerechtshof Arnhem-Leeuwarden 25 februari 2025, ECLI:NL:GHARL:2025:1076 (Verwijdering EVR toegewezen. Registratie had niet plaats mogen vinden, nu onvoldoende is vast komen te staan dat betrokkene VGZ opzettelijk heeft misleid om onrechtmatig voordeel te verkrijgen).
      Artikel: 17(1)(f) AVG, PIFI, EVR.
  • Geheimhoudingskamer
  • Overig
    • Rechtbank Gelderland 24 februari 2025, ECLI:NL:RBGEL:2025:1459 (Telefoongesprek tussen man en belastingtelefoon waarin met gebruikmaking van persoonsgegevens van de vrouw zonder dat deze daarvan op de hoogte was informatie verkregen over haar inkomen. Laakbaar.). 
      Kort: Zie r.o. 3.7, "Het hof vindt deze handelswijze van de man laakbaar maar laat het bij deze opmerking."
    • Rechtbank Den Haag 25 februari 2025, ECLI:NL:RBDHA:2025:2546 ((massa)spermadonor schendt persoonlijke levenssfeer van ouders en hun kinderen door onder meer in zijn videos op zijn YouTube-kanaal fotos van de ouders te delen en beschuldigingen te uiten en te praten over de kinderen). 
      Zie met name. r.o. 4.12 en 4.15.

Kifid uitspraken

💡
Kifid, het Klachteninstituut Financiële Dienstverlening, is het financiële klachteninstituut voor consumenten en kleinzakelijke ondernemers en zzp’ers. Het behandelt in toenemende mate klachten over de verwerking van persoonsgegevens door financiële instellingen.
5.8 Voor zover het gaat om strafrechtelijke persoonsgegevens heeft de Hoge Raad in 2009 geoordeeld dat – in ieder geval ten aanzien van registers met externe werking (zoals het Incidentenregister) – moet zijn voldaan aan het vereiste dat sprake is van een zwaardere verdenking dan een redelijk vermoeden van schuld (HR 29 mei 2009, ECLI:NL:HR:2009:BH4720). De consument heeft, zoals eerder overwogen, zijn bankrekening ter beschikking gesteld voor het overmaken van geld dat is verkregen door bankhelpdeskfraude. Op grond hiervan acht de Commissie van Beroep ook het door de Hoge Raad geformuleerde vereiste vervuld. Het kan in deze zaak dan ook in het midden blijven hoe het arrest van de Hoge Raad uit 2009 zich precies verhoudt tot de AVG en andere inmiddels in werking getreden regelgeving.

🇪🇺 EDPB

🇳🇱 Autoriteit Persoonsgegevens

De AP introduceert een nieuw logo met de descriptor 'bescherming in een digitale wereld'. Belangrijk om op te merken is dat de Autoriteit Persoonsgegevens niet alleen toezicht houdt op gegevensverwerking in 'de digitale omgeving', maar ook in de analoge wereld. Dit geldt voor alle persoonsgegevens die in een bestand zijn opgenomen of daarvoor bestemd zijn (conform artikel 2 AVG).

Opvallend is dat dit nieuwe logo wordt gelanceerd in dezelfde week waarin de evaluatie van de Autoriteit Persoonsgegevens is gepubliceerd. In het rapport van Berenschot/Tilburg University staat onder meer:

Tot slot is de missie verschoven van het beschermen van persoonsgegevens naar het beschermen van mensen in de digitale wereld. Dit is een belangrijke accentverschuiving: de nadruk ligt niet langer op het middel (bescherming van persoonsgegevens of toezien op naleving van de AVG), maar op het achterliggende doel (bescherming van mensen in de digitale wereld). (p. 18)
"De AP heeft meer grip op de werkstromen, die zijn verbonden met strategische prioriteiten. Er is, onder andere door de sectorbeelden, een beter beeld van het toezichtveld. De AP benut haar goede EU-inbedding voor gezamenlijk toezichtonderzoek en voor het meer eenduidig interpreteren van de AVG. Ook heeft de AP een zichtbare positie in zowel het toezichtveld als in het publieke en politieke debat over privacybescherming.

Dit onderzoek laat tegelijkertijd zien dat een te ruime opvatting van de mogelijke publieke waarde van de AP risico’s kent. Er wordt dan iets beloofd wat naar verwachting niet kan worden waargemaakt, omdat de AP niet de enige toezichthouder is die burgers in de digitale wereld beschermt. Daarnaast bestaat het risico dat de kerntaak van het toezicht op naleving van de AVG naar de achtergrond wordt gedrukt." (p. 5)

Evaluatie van de Autoriteit Persoonsgegevens

Deze uitgebreide evaluatie is in twee stukken, een rapport van een begeleidingscommissie dat (gedeeltelijk) is gebaseerd op het rapport van onderzoekers van Berenschot/Tilburg University. Het laatste rapport is het meest uitgebreid en verdient aanbeveling om als eerste te lezen.

Consultatie 'Betekenisvolle menselijke tussenkomst'

📣
Vanuit de praktijk zie onder meer G.-J. Zwenne & I. Tempelman, ‘Nederlands Juristenblad, AP moet haar uitleg van begrippen en regels uit de AVG consulteren’, NJB 2025, afl. 2025/01 en zoals ook bleek uit de evaluatie van de AP kwam naar voren dat er een behoefte is dat de AP vaker haar normuitleg zou consulteren. De Directie Coördinatie Algoritmes was al begonnen met het uitzetten van verschillende consultaties, nu is de 'AVG-tak' van de AP daar dus ook mee verder gegaan.

Autoriteit Persoonsgegevens, Consultatie betekenisvolle menselijke tussenkomst, 2025

De Autoriteit Persoonsgegevens (AP) nodigt u uit om te reageren op dit document via een e-mail naar ppa@autoriteitpersoonsgegevens.nl. Dat kan tot en met 6 april 2025. De reacties die we ontvangen, vatten we samen in één document. We noemen daarbij geen namen, organisaties of contactgegevens. De samenvatting publiceren we op de website van de AP en gebruiken we om dit document te verbeteren. Het verbeterde document publiceren we later in 2025. Alle feedback is welkom. We zijn met name benieuwd naar inzichten uit de praktijk, bijvoorbeeld: Wat maakt het werk makkelijker voor degenen die de menselijke tussenkomst uitvoeren? Wat staat hen juist in de weg? Hoe werken die personen samen met het algoritme?

🏢 Overheidsnieuws :

  • Hoe verhoudt volgens de staatssecretaris Rechtsbescherming het advies van de Autoriteit Persoonsgegevens zich tot het arrest van het HvJ EU inzake Schufa (Scoring)? Zie deze kamerbrief:
Ik zie in het advies dan ook geen aanwijzingen dat de interpretatie van de AP van artikel 22 AVG minder strikt is dan die van het HvJEU.

🇳🇱 Wetsvoorstellen :

📣 Internetconsultaties

  • Uitvoeringswet Verordening cyberweerbaarheid
    Deadline: 06-04-2025
    Kort: "De RDI werkt als markttoezichtautoriteit op grond van artikel 52 samen met de cyberbeveiligingscertificeringsautoriteiten (in Nederland is dat de RDI zelf) en, in het kader van het toezicht op de meldplicht, met ENISA en het Nationaal Cyber Security Centrum (NCSC). De RDI wisselt regelmatig informatie uit met deze partijen. Hetzelfde geldt voor de samenwerking en informatie-uitwisseling met de Autoriteit Persoonsgegevens en met andere markttoezichtautoriteiten die op basis van andere harmonisatiewetgeving zijn aangewezen." (p. 8)
    Opmerking: Het ministerie van Economische Zaken organiseert op dinsdag 25 maart 2025 van 15:00-16:30u een online informatiesessie via Teams over de concept-uitvoeringswet en de CRA. U kunt zich aanmelden en eventuele vragen vooraf doorgeven via het mailadres dat staat op de pagina van de internetconsultatie.
  • Wetsvoorstel bestrijden energieleveringscrisis
    Deadline : 26-03-2025
    Kort: "De gegevens die op grond van de Energiewet verwerkt worden omvatten zowel persoonsgegevens als niet-persoonsgegevens. (...) Omdat een grote variatie bestaat tussen de op grond van de Energiewet verzamelde en
    uitgewisselde gegevens en de omstandigheden waarin deze worden verwerkt, kan ook de classificatie van een bepaald type gegeven als persoonsgegevens verschillen. (...) In de Energiewet is er dan ook voor gekozen om ook voor niet-persoonsgegevens aan te sluiten bij de uitgangspunten van de AVG." (p. 82) "De Energiewet regelt de uitgangspunten voor gegevensverwerking door regels te stellen over de verplichtingen van partijen en de eisen waaraan de gegevensverwerking moet voldoen. Gezien de complexiteit van de verschillende soorten gegevens, processen en rollen, vindt de meer gedetailleerde uitwerking van deze eisen plaats in lagere regelgeving. In de lagere regelgeving wordt gedefinieerd voor welke doelen en processen welke gegevens worden verwerkt. Hiermee worden ook de betrokken actoren en hun AVG-rol per doelproces gedefinieerd, en bestaat er een aanwijsbare grondslag voor de gegevensverwerking." (p. 83) Het onderdeel 'Gevolgen voor de verwerking van persoonsgegevens' moet nog worden uitgewerkt (p. 128)

❇️ AI-AVG ontwikkelingen

📚 Vakliteratuur

Dit keer ook wat bijdragen waarin het snijvlak van het gegevensbeschermingsrecht en andere rechtsgebieden aan de orde komt :

Editie #5 komt op 24 maart 2025
Tot dan!

Abonneer je op De Privacy Nieuwsbrief

Blijf op de hoogte van de laatste ontwikkelingen in het gegevensbeschermingsrecht en schrijf je in voor de nieuwsbrief.
naam@voorbeeld.nl
Inschrijven