Inloggen Inschrijven
Door Anna Berlee —

#5 De Privacy Nieuwsbrief

ACM wil van publiekrechtelijke handhaving spamverbod af; Gegevensdeling blijft een knelpunt bij proactief overheidshandelen; en de Hoge Raad verwerkt HvJ EU jurisprudentie in twee belangrijke arresten en trekt eigen prejudiciële vragen in.

Beste lezer,

Onlangs had ik een boeiende discussie met masterstudenten over de verschuiving in het wettelijk kader voor gegevensdeling bij overheidsinstanties. De overgang van Richtlijn 1995/46/EG naar de AVG heeft subtiele maar niet onbelangrijke beperkingen voor overheidsinstanties met zich meegebracht. Met name in het kader van de grondslagen. Zo was artikel 7(1)(e) 95/46/EG ruimer geformuleerd en werd in Nederland in de Wbp geïmplementeerd in artikel 8 aanhef en onder e) Wbp als : "Persoonsgegevens mogen slechts worden verwerkt indien de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt". Met de AVG is het dikgedrukte gedeelte komen te vervallen.

Daarnaast kunnen overheidsinstanties met de komst van de AVG niet langer steunen op de grondslag 'gerechtvaardigd belang' uit artikel 6(1)(f) AVG, die expliciet is uitgesloten voor "overheidsinstanties in het kader van de uitoefening van hun taken." (Art. 6, laatste zin AVG). Gecombineerd met de strenge vereisten van artikel 6 lid 3 AVG voor voorspelbaarheid en voorzienbaarheid (uitgewerkt in overweging 45 en in Nederland met de BKR-beslissing van de Hoge Raad), heeft dit een duidelijk effect: overheidsinstanties zijn nu, zoals een student het treffend omschreef, "aan het inhalen" om adequate wettelijke grondslagen voor gegevensdeling te creëren.

Dit inhaalproces zien we duidelijk terug in de recent gepubliceerde "Update Knelpunten gegevensdeling". Hierin wordt gewezen op verschillende obstakels bij (proactieve) dienstverlening van de overheid. Vooral het probleem van de ontbrekende grondslag blijft terugkeren – een fundamentele uitdaging die in deze update meermaals wordt genoemd.

De zoektocht naar passende wettelijke grondslagen komt ook prominent naar voren in de huidige internetconsultaties. Zo beoogt de Evaluatiewet Wvggz en Wzd bestaande grondslagen voor gegevensuitwisseling tussen partijen te verduidelijken. Het wetsvoorstel voorziet in expliciete grondslagen voor het delen van politie- en justitiegegevens, gegevensdeling bij verkennend onderzoek en aan gemeenten bij het einde van gedwongen zorg. Ook voorziet het in automatische verstrekking van persoonsgegevens aan patiëntenvertrouwenspersonen zonder voorafgaande toestemming.

Een ander voorbeeld is de wijziging van de Wet structuur uitvoeringsorganisatie werk en inkomen (SUWI), waarbij een wijziging voorstelt om nieuwe verwerkingsgrondslagen te creëren voor gegevensuitwisseling tussen UWV en scholingspartijen.

Al deze, en vele andere, punten komen aan bod in deze nieuwsbrief. Mijn eigen vorm van gegevensdeling, zou je kunnen zeggen

Veel leesplezier!

Anna Berlee

🇪🇺 EU rechtspraak

  • HvJ EU 13 maart 2025, C-247/23, (Deldits).
    Artikel: 5(1)(d) AVG, 16 AVG, 23 AVG, 8 EVRM, 8(2) Hv
    Onderwerpen: genderidentiteit
    Kort: De eerste zaak bij het HvJ EU specifiek over artikel 16 AVG. De zaak gaat over een conflict tussen VP, een Iraanse transgender persoon met vluchtelingenstatus in Hongarije, en de Hongaarse immigratiedienst. Hoewel VP medische verklaringen had die zijn mannelijke genderidentiteit bevestigden, werd hij als vrouw geregistreerd in het asielregister. Toen VP in 2022 rectificatie verzocht onder de AVG (art. 16 AVG), weigerde de autoriteit dit omdat hij geen bewijs van geslachtsveranderende operatie kon overleggen. VP betwistte deze beslissing, argumenterend dat de medische verklaringen voldoende zijn en dat het vereisen van chirurgisch bewijs in strijd is met mensenrechten.
26 In dit verband moet worden opgemerkt dat volgens de rechtspraak van het Hof de nauwkeurigheid en de volledigheid van persoonsgegevens moeten worden beoordeeld uitgaande van de doeleinden waarvoor zij worden verzameld (zie naar analogie arrest van 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 53).
32 In het licht van de in punt 26 van het onderhavige arrest in herinnering gebrachte rechtspraak staat het aan de verwijzende rechter om na te gaan of het in het hoofdgeding aan de orde zijnde gegeven juist is in het licht van het doel waarvoor het is verzameld, en om in het bijzonder in het licht van artikel 81, onder c), van de asielwet te beoordelen of het verzamelen van dat gegeven tot doel heeft de betrokkene te identificeren. Mocht dat het geval zijn, dan lijkt dat gegeven dus betrekking te hebben op de door die persoon beleefde genderidentiteit, en niet op het bij de geboorte toegewezen geslacht. In een dergelijke context staat het, anders dan de Hongaarse regering stelt, aan de verwerkingsverantwoordelijke, in casu de asielautoriteit, om rekening te houden met de genderidentiteit van die persoon op het moment van de inschrijving in het asielregister, en niet met het bij de geboorte toegewezen geslacht.

Een lidstaat kan de werking van de rechten van betrokkenen beperken, maar dan moet dat via een (wettelijke) maatregel genomen op basis van artikel 23 AVG. De lidstaat kan niet het recht op rectificatie weigeren, omdat zoals in deze zaak "VP het door deze persoon geclaimde geslacht niet heeft aangetoond." (r.o. 36). "Hoe dan ook kan een lidstaat zich niet beroepen op het ontbreken van een procedure voor de wettelijke erkenning van de transgenderidentiteit in zijn nationale recht om te verhinderen dat het recht op rectificatie wordt uitgeoefend. " (r.o. 37)

De tweede vraag gaat dan over het bewijs dat een betrokkene moet leveren voor een succesvol beroep op het rectificatierecht. Met verwijsing naar HvJ EU 8 december 2022, C-460/20, EU:C:2022:962, par. 68 & 72 (Google (De-referencing of allegedly inaccurate content), stelt het hof dat het gaat om "het aanleveren van relevante en afdoende bewijzen die, gelet op de omstandigheden van het concrete geval, redelijkerwijs van deze persoon kunnen worden verlangd om de onjuistheid van die gegevens aan te tonen". Echter zoals aangegeven via een maatregel die voldoet aan de vereisten van art. 23 AVG mag ook hier nader invulling aan worden gegeven. (r.o 42) Het Hongaarse vereiste van bewijs van ondergaan van een geslachtsverandering moet dus voldoen aan art. 23 AVG. ( r.o. 43) Dat blijkt niet zo te zijn (r.o. 44-49).

Dictum

Het Hof (Eerste kamer) verklaart voor recht:

1) Artikel 16 [AVG] moet aldus worden uitgelegd dat het een nationale autoriteit die belast is met het bijhouden van een openbaar register verplicht om de persoonsgegevens betreffende het geslacht van een natuurlijke persoon te rectificeren wanneer deze gegevens onjuist zijn in de zin van artikel 5, lid 1, onder d), van deze verordening.

2) Artikel 16 AVG moet aldus worden uitgelegd dat een natuurlijke persoon die het recht op rectificatie van de in een openbaar register opgenomen persoonsgegevens betreffende het geslacht wil uitoefenen, kan worden verplicht tot het aanleveren van relevante en afdoende bewijsstukken die redelijkerwijs kunnen worden verlangd om de onjuistheid van die gegevens aan te tonen. Een lidstaat mag de uitoefening van dit recht echter in geen geval door middel van een bestuurspraktijk afhankelijk stellen van de overlegging van bewijs van het hebben ondergaan van een geslachtsveranderende operatie.

👩‍⚖️ EHRM rechtspraak

  • EHRM 11 maart 2025, Appl. nr. 30551/18 (CASE OF AYTAJ AHMADOVA v. AZERBAIJAN).
    Artikel: 8 EVRM
    Kort: Deze zaak betreft het vermeende falen van de nationale autoriteiten om de klachten van verzoekster te onderzoeken over de publicatie van haar privéfoto's en -video's op Facebook die stonden op een door de overheid in beslag genomen computer, vergezeld van beledigingen en bedreigingen aan haar adres. Dit lijkt op de in Nederland strafbare doxing. Het EHRM herhaalt het belang van foto's in relatie tot art. 8 EVRM (r.o 28). Het volledig negeren van de klacht van de betrokkene maakt dat er sprake is van een schending van 8 EVRM.
  • EHRM 18 maart 2025, Appl. nr. 38798/13 (CASE OF BRD - GROUPE SOCIÉTÉ GÉNÉRALE S.A. v. ROMANIA).
    Artikel: 8 EVRM
    Kort: Doorzoeking van de mededingingsautoriteit van Roemenië. Niemand heeft echter geklaagd over een mogelijke inmenging op de eerbiediging van het privéleven (r.o 96), daarom wordt dit niet nader onderzocht. De verzoeker is het bedrijf waar de doorzoeking plaatsvindt en deze heeft ook een belang bij de bescherming van de eerbiediging van het privéleven van haar werknemers. (r.o. 96). Hoewel er waarborgen aanwezig waren die voldoende waren (r.o 106-110), was er geen voorafgaande toestemming van een rechter geweest, maar wel voldoende (als counterbalance) ex post facto rechterlijke controle (r.o 111-115). Géén schending van artikel 8 EVRM. Echter, inzake de inbeslagname van twee computers en de doorzoeking daarvan, ging het wel mis. Hier ontbrak wel de ex ante of ex post rechterlijke controle van de doorzoeking. De tijdens deze zaak nieuwe regelgeving op dit gebied die hierin zou voorzien is te laat voor de rechtmatigheid van de elekronische doorzoeking van de computers (r.o 145-146). Hier was dus wel een schending van art. 8 EVRM (r.o. 148-149)

🇳🇱 Nederlandse rechtspraak

  • Raad van State 19 maart 2025, ECLI:NL:RVS:2025:1166 (Handhavingsverzoek AP. AP had mogen besluiten niet handhavend op te treden op basis van prioriteringsbeleid. Wijzen op mogelijkheden bezwaar- en beroep bij verwerkingsverantwoordelijke is niet in strijd met HvJ EU 12 januari 2023, C‑132/21, ECLI:EU:C:2023:2 (Budapesti Elektromos Művek).).
    Artikel: 15 AVG, 1:3 Awb, 2(3) Beleidsregels prioritering klachtenonderzoek, 51(1)(f) AVG, 57(1) AVG, 58(1)(a) AVG, 77(1) AVG
    Onderwerpen: handhaving
    Kort: Beroep inzake ECLI:NL:RBROT:2022:5657.
r.o. 6.5 : "In dit geval heeft de AP eerst een globaal bureauonderzoek verricht waarin zij heeft geconstateerd dat zij niet direct kon vaststellen of er al dan niet een overtreding door het college is begaan. Vervolgens heeft de AP het handhavingsverzoek van [appellante] getoetst aan haar prioriteringscriteria. Op basis van haar prioriteringsbeleid heeft de AP besloten om niet handhavend op te treden, omdat geen bredere maatschappelijke betekenis van een eventueel optreden uitgaat (tweede prioriteringscriterium) en het geen doeltreffende en doelmatige inzet is van haar toezichtscapaciteit (derde prioriteringscriterium). De mogelijkheden van bezwaar- en beroep hebben immers opengestaan en deze niet zijn benut. Dat is, anders dan [appellante] stelt, niet in strijd met het arrest van het Hof van 12 januari 2023, ECLI:EU:C:2023:2. Het Hof heeft in dit arrest overwogen dat de verschillende beroepsmogelijkheden die de AVG biedt naast elkaar mogen bestaan en onafhankelijk van elkaar mogen worden benut. Het is aan de lidstaten om te regelen hoe die beroepsmogelijkheden zich tot elkaar verhouden, om te zorgen voor een doeltreffende bescherming en coherente toepassing van de door de AVG gewaarborgde rechten. Tussen de beroepsmogelijkheden bestaat geen prioriteit of voorrangsregel. In dit geval had [appellante] bezwaar kunnen maken tegen het besluit van 7 januari 2019 en een klacht kunnen indienen bij de AP. De AP mocht ter invulling van het tweede en derde criterium van haar prioriteringsbeleid van handhaving afzien. De rechtbank heeft daarom terecht geoordeeld dat de AP, gelet op haar prioriteringsbeleid, van handhaving mocht afzien."
  • Rechten van betrokkene
    • Raad van State 12 maart 2025, ECLI:NL:RVS:2025:985 (Zijn stukken voldoende leesbaar? Ja, op 1 pagina na.).
      Artikel: 15 AVG
      Onderwerpen: CAK
      Kort: Hoger beroep ECLI:NL:RBMNE:2022:3242. Betrokkene had om grotere versies van de documenten kunnen vragen. Deze zijn op zitting meegenomen maar betrokkene was er niet. Ze worden nagezonden. (r.o. 4).
    • Rechtbank Amsterdam 24 september 2024, ECLI:NL:RBAMS:2024:6515 (Zoekslag wordt na onderzoek ter zitting gespecificeerd. Overzichtstabel is voldoende, alsmede de kolommen met ontvanger en bron.).
      Artikel: 15 AVG, 15(3) AVG
      Kort: De details van de gebruikte zoekslag worden niet bewaard, wat ook de reden is dat de specificering van de zoekslag deels een reconstructie betreft. De nadere specificering na schorsing ter zitting is voldoende voor de rechtbank om de uitleg van de verweerder als 'niet ongeloofwaardig' te voorkomen. De op basis van een Wob-verzoek naar boven gekomen documenten maken dit echter niet aannemelijk dat de zoekslag onvoldoende of onjuist zou zijn. (r.o. 10) Ook aan de orde was of de verweerder mocht volstaan met een overzichtstabel, in dit geval was dit voldoende volgens de rechtbank. "Ook valt niet in te zien dat de persoonsgegevens, zoals die zijn opgenomen in het overzicht, zonder verdere context niet op volledigheid en juistheid te controleren zouden zijn. Verweerder heeft in zoverre dan ook kunnen volstaan met het verstrekken van een overzicht van de over eiser verwerkte persoonsgegevens." (r.o. 12)
    • Raad van State 12 maart 2025, ECLI:NL:RVS:2025:990 (Niet-tijdig beslissen. Nieuw aangevoerde beroepsgrond blijft vanwege strijd goede procesorde buiten beschouwing).
      Artikel: 17 AVG
      Kort: Hoger beroep ECLI:NL:RBNHO:2023:14032 ongegrond.
  • Gegevensverwerking in strafrechtelijke context
    • Hoge Raad 18 maart 2025, ECLI:NL:HR:2025:408 (Vordering van verkeers- en locatiegegevens. HR trekt haar verzoek om een prejudiciële beslissing van HvJ EU in na La Quadrature du Net II en Tribunale di Bolzano).
      Artikel: 126n Sv, 15(1) 2002/58/EG
      Kort: De uitspraken van het HvJ EU in de zaken HvJ EU 30 april 2024, C‑470/21 (La Quadrature du Net and Others () and lutte contre la contrefaçon)) en HvJ EU 30 april 2024, C‑178/22 (Procura della Repubblica presso il Tribunale di Bolzano)  geven aanleiding tot het intrekken van het verzoek om een prejudiciële beslissing (r.o. 2.1.1), deze uitspraken geven echter géén aanleiding tot wijziging van het beslissingskader dat eerder na het Prokuratuur-arrest door de Hoge Raad is ontwikkeld in HR 5 april 2022, ECLI:NL:HR:2022:475, Computerrecht 2022/186 m.nt. J.J. Oerlemans & A. Berlee. (r.o. 2.16). Cassatiemiddel faalt, zie beoordeling specifieke geval r.o. 3.1.
    • Hoge Raad 18 maart 2025, ECLI:NL:HR:2025:409 (Onderzoek o.a. smartphones bekeken in licht van CG/Bezirkshauptmannschaft Landeck. Normering van HR eerder moet worden aangepast. Voorafgaande rechterlijke toetsing vereist.).
      Artikel: 10 2016/680, 104(1) Sv
      Kort: Hoge Raad geeft zelf een uitgebreide samenvatting in paragraaf 9 die ik niet hier zal herhalen, maar die het lezen meer dan waard is.
      Van belang in dit kader is ook : HvJ EU 4 oktober 2024, C‑548/21 (Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable)). 
    • Rechtbank Noord-Nederland 4 maart 2025, ECLI:NL:RBNNE:2025:922 (Vrijspraak misbruik van identificerende persoonsgegevens van een ander).
      Artikel: 231b Sr
      Kort: De rechtbank spreekt verdachte vrij van het, kort gezegd, opzettelijk gebruik maken van identificerende persoonsgegevens van een ander, terwijl van dat gebruik enig nadeel kan ontstaan
    • Hoge Raad 18 maart 2025, ECLI:NL:HR:2025:398 (Misbruik van identificerende persoonsgegevens. Bewezenverklaring onvoldoende.).
      Artikel: 231b Sr
      Kort: De Hoge Raad verwijst voor de uitleg naar de conclusie van de plaatsvervangend A-G onder 4 t/m 6 (zie r.o. 2.2.); Conclusie: ECLI:NL:PHR:2025:182
    • Rechtbank Overijssel 12 maart 2025, ECLI:NL:RBOVE:2025:1380, (Beperking inzagerecht art. 25 Wpg onvoldoende toegelicht. Beroep gegrond, echter inzage wordt na inzage door rechtbank alsnog niet toegekend.).
      Artikel: 25 Wpg, 27(1)(b) Wpg, 6:22 Awb, 8:29 Awb, 8:72(3)(1) Awb
      Onderwerpen: Inzage
      Kort: r.o. 5 : "De rechtbank is van oordeel dat de enkele herhaling en parafrasering van de uitzonderingsgrond in het bestreden besluit onvoldoende blijk geeft van een afweging van belangen. Daarbij blijft onduidelijk hoe de belangen van eiseres zijn meegewogen, enkel al omdat deze belangen in het bestreden besluit niet zijn genoemd. In het bestreden besluit is dan ook naar het oordeel van de rechtbank onvoldoende gemotiveerd waarom de uitzonderingsgrond van artikel 27, eerste lid, onder b, van de Wpg in het geval van eiseres aan inzage in de weg staat." Echter na inzage door de Rechtbank in de geheime stukken is de inzage alsnog afgewezen. Beroep gegrond, maar de rechtsgevolgen blijven in stand.
    • Rechtbank Zeeland-West-Brabant 6 februari 2025, ECLI:NL:RBZWB:2025:1521 (Inzage Wpg gegegevens inzake EOD-rapport terecht bij herzieningsverzoek geweigerd. Verzoek om inzage is niet ook het verkrijgen van verstrekking van het rapport.).
      Artikel: 25 Wpg, 27(1)(b) Wpg, 8:81(1) Awb, 8:86 Awb
      Kort: De korpschef weigerde inzage in het EOD-rapport omdat het onderzoek nog gaande was. De voorzieningenrechter acht de weigering niet evident onredelijk, bovendien zou de verzoeker met herziening niet hebben gekregen wat hij wenst: "verstrekking van (onder meer) het EOD-rapport zodat hij dat kan voorleggen aan een deskundige ter beoordeling van het gevaar. Met herziening had alleen inzage bereikt kunnen worden. Gelet op de Wpg en de rechtspraak is verstrekking van het EOD-rapport niet mogelijk omdat met inzage de context van de verwerkte gegevens al duidelijk is. Ten slotte blijkt uit het verweerschrift dat de korpschef verzoeker inmiddels inzage in het EOD-rapport heeft toegestaan omdat het opsporingsbelang daarvoor geen belermmering meer vormt, maar dat verzoeker daar zelf van heeft afgezien." (r.o. 5.2.4)
  • Overig
    • Gerechtshof Arnhem-Leeuwarden 11 maart 2025, ECLI:NL:GHARL:2025:1410 (Geschil over onderzoeksproject uitgevoerd door Universiteit Utrecht met de opdrachtnemer als bemiddelaar tussen ouders en kinderopvanglocaties. Vraag naar wie toestemmingsbrieven ouders mocht/moest bewaren. UU is verwerkingsverantwoordelijke.).
      Kort: De zaak betreft een samenwerking tussen de Universiteit Utrecht en een opdrachtnemer bij de uitvoering van projecten gericht op de ontwikkeling van jonge kinderen, onder andere gebruikmakend van een aangepaste vragenlijst. De opdrachtnemer claimt auteursrechten en databankenrechten op de onderzoeksresultaten en stelt dat de Universiteit de AVG niet zou hebben nageleefd Dit laatste punt spitst zich toe op de vraag wie de toestemmingsbrieven van ouders die deelnamen aan de onderzoeksprojecten moest/mocht bewaren. De opdrachtnemer stelt dat de Universiteit de gegevens niet mocht verwerken zonder een verwerkersovereenkomst . Het hof oordeelt echter dat de Universiteit de verwerkingsverantwoordelijke is en daarom gerechtigd is om de toestemmingsbrieven te bewaren (r.o. 3.42), waarbij de privacy van betrokkenen gewaarborgd o.m. door pseudonimisering van gegevens.
    • Rechtbank Rotterdam 8 januari 2025, ECLI:NL:RBROT:2025:991 (Weigering namen van ABD managers openbaar te maken die ingeschaald zijn in schalen 15 t/m 17 blijft in stand.).
      Artikel: 5.1(2)(e) Woo
      Onderwerpen: Woo
      Kort: Belang eerbiediging van de persoonlijke levenssfeer verzet zich tegen openbaarmaking van namen van medewerkers die niet wegens hun functie in de openbaarheid treden, tenzij de indiener van het desbetreffende verzoek aannemelijk heeft gemaakt dat het belang van de openbaarheid in een concreet geval zwaarder weegt. (Verwijzing ABRvS 17 juli 2024, ECLI:NL:RVS:2024:2915). In deze zaak heeft eiser verzocht op namen van Algemene Bestuursdienst (ABD) managers openbaar te maken in de schalen 15 t/m 17. Het belang van deze personen weegt zwaarder. Zij treden niet uit hoofde van de functie in de openbaarheid (r.o. 5.1)
    • Rechtbank Noord-Holland 15 januari 2025, ECLI:NL:RBNHO:2025:2293 (FSV. Afsluitende brief is niet een besluit in de zin van de Awb, maar feitelijke handeling. Voor vragen over de rechtmatigheid en met name de schadevergoeding van de FSV verwerking moet men zich wenden tot de burgerlijke rechter.).
      Artikel: 82 AVG, 1:3 Awb, 8:73 Awb (oud), 8:88 Awb
      Onderwerpen: FSV
      Kort: R.o. 6 : "Daarbij is van belang dat de AVG, meer in het bijzonder artikel 82 van de AVG, geen zelfstandige grondslag bevat voor schadevergoeding. De wetgever heeft bij de invoering van de Uitvoeringswet AVG verwezen naar titel 8.4 van de Awb of de civiele rechter als de wegen waarlangs schadevergoeding voor een (beweerdelijke) inbreuk op de AVG kan worden verkregen." Artikel 8:88 Awb niet van toepassing maar wel 8:73 Awb (oud), maar biedt niet de mogelijkheid tot schadevergoeding. Uitsluitend de burgerlijke rechter is bevoegd (r.o. 7-8)
    • Rechtbank Rotterdam 5 maart 2025, ECLI:NL:RBROT:2025:2981 (WAMCA-zaak tegen Amazon. TPC wil zich louter in het incident tot het stellen van prejudiciële vragen inzake verhouding WAMCA en AVG. Alleen is (het voornemen tot) stellen van prejudiciële vragen geen indicident waarin voeging mogelijk zou kunnen zijn.).
      Artikel: 1018d Rv, 217 Rv, 23 Statuut van het HvJEU, 3:305a BW, 96(1) Reglement voor de procesvoering van het HvJEU
      Onderwerpen: WAMCA, Prejudiciële vragen
      Kort: r.o. 4.9 "Het doel dat TPC nastreeft met haar verzoek om voeging, is immers alleen maar om zich te kunnen uitlaten over de voorgenomen vragen en om schriftelijke opmerkingen in te dienen bij het HvJEU. TPC wil expliciet geen actieve rol spelen in de hoofdprocedure". Feest gaat niet door, vordering afgewezen.
    • Gerechtshof Den Haag 23 oktober 2024, ECLI:NL:GHDHA:2024:2633 (Toetsing kentekenparkeersysteem gemeente Den Haag aan 8 EVRM; geen schending).
      Artikel: 8 EVRM
      Onderwerpen: kentekenparkeren
      Kort: Toetsing kentekenparkeersysteem gemeente Den Haag aan 8 EVRM; geen schending onder verwijzing van HR 10-04-2020, ECLI:NL:HR:2020:639, JBP 2020/52 m.nt. M. Hemmer.
    • Rechtbank Gelderland 4 maart 2025, ECLI:NL:RBGEL:2025:1662, (De inbreuk die het UWV met de waarnemingen op het recht op privacy van eiseres heeft gemaakt, was niet onevenredig zwaar in verhouding tot het belang van het economisch welzijn van Nederland (art. 55a Wet Suwi)).
      Artikel: 55a Wet Suwi
      Onderwerpen: Inlichtingenplicht
    • Centrale Raad van Beroep 6 maart 2025, ECLI:NL:CRVB:2025:353, (Appellant voert aan dat BSN en andere pgg zouden zijn misbruikt waardoor zijn naam op de manurenstaten terecht is gekomen terwijl het iemand anders zou zijn. Onvoldoende onderbouwd.).
    • Rechtbank Midden-Nederland 12 februari 2025, ECLI:NL:RBMNE:2025:987 (VvE heeft cameras geplaatst in doorgang van en naar de bergingen. Deze mogen blijven.).
      Kort: Cameras zijn nog niet ingeschakeld 'en bovendien gericht zijn op de doorgang en de drie parkeerplaatsen die zich in de doorgang bevinden. Daarmee is op de camerabeelden alleen te zien wie er gebruik maken van de doorgang en wat er gebeurd bij de parkeerplaatsen van VvE [straat 1]' Gelet op de daarmee gemoeide belangen (eerdere schade die is geconstateerd aan geparkeerde auto's) weegt het belang van de VvE zwaarder dan het belang van de eiseres. Camera's mogen blijven. (r.o. 4.14)
    • Rechtbank Limburg 20 februari 2025, ECLI:NL:RBLIM:2025:1565 (Sif had geen speekseltest mogen uitvoeren bij werknemer.).
      Onderwerpen: Alcohol- en drugstest
      Kort: r.o. 4.6:
"Sif voert speekseltesten uit op haar werknemers. De gegevens die uit deze testen komen moeten beschouwt worden als “gegevens over de gezondheid van een persoon”. In het kader van de AVG worden dergelijke gegevens beschouwt als “bijzondere persoonsgegevens”. Ingevolge de AVG is het verboden om bijzondere persoonsgegeven te verwerken, tenzij er een wettelijke grondslag voor geldt. Voor sommige beroepen, bijvoorbeeld loodsen, is een dergelijke wettelijke grondslag ook gecreëerd. Maar voor de werkzaamheden van [verweerder] is die wettelijke grondslag er niet. Dat maakt dat het Sif niet is toegestaan om door middel van een speekseltest te controleren of haar medewerkers (in dit geval) drugs hebben gebruikt7. Er is aldus een inbreuk gemaakt door Sif op het recht op eerbiediging van de persoonlijke levenssfeer van [verweerder] . De passende “remedie” acht de kantonrechter het buiten toepassing laten van de uitslag van test. De kantonrechter zal hierna (r.o. 4.14) nog ingaan op de vraag of het belang van de waarheidsvinding wellicht met zich meebrengt dat, hoewel hier sprake is van onrechtmatig verkregen bewijs, het bewijsmiddel toch toegelaten moet worden."

Voorts overweegt de kantonrechter als volgt : (r.o. 4.15)

"Voor beantwoording van de vraag of de uitslag van de test toch als bewijs kan worden toegelaten acht de kantonrechter het navolgende van belang. 1. Door het testen op (in dit geval) drugs maakt Sif zoals eerder gezegd een inbreuk op het recht op eerbieding van de persoonlijke levenssfeer van [verweerder] . De geldende regelgeving op grond van de AVG is betrekkelijk nieuw, en mag dus geacht worden aan te sluiten bij de actuele inzichten van de wetgever. Na invoering van de AVG is namens werkgevers herhaaldelijk gewezen op het belang bij het kunnen uitvoeren van dergelijke testen en is aangedrongen op wetgeving die deze testen mogelijk maken. De wetgever heeft echter in ieder geval tot heden geen aanleiding gezien aan dat verzoek tegemoet te komen. De kantonrechter meent daaruit te moeten afleiden dat de inzichten van de wetgever op dit punt (nog) niet zijn gewijzigd en dat deze dus niet snel terzijde geschoven mogen worden."
  • Rechtbank Zeeland-West-Brabant 11 maart 2025, ECLI:NL:RBZWB:2025:1548 (Inschakeling recherchebureau na twijfel door bedrijfsarts vastgestelde beperkingen gerechtvaardigd. Grondslag is gerechtvaardgde belang van de werkgever.).
    Artikel: 6(1)(f) AVG
    Onderwerpen: recherchebureau
    Kort: Zie r.o. 5.10
  • Rechtbank Amsterdam 26 februari 2025, ECLI:NL:RBAMS:2025:1582 (IVR en EVR registratie rechtmatig, ivm opgeven hoger inkomen dan in werkelijkheid bij hypotheekaanvraag.).
    Onderwerpen: IVR, EVR, PIFI
    Kort: Geen debat tussen partijen geweest over duur registratie dus kan niet tot verkorting van duur worden overgegaan. (r.o. 4.17)

Kifid uitspraken

  • Uitspraak Geschillencommissie Kifid nr. 2025-0201
    Kort: Verzoek om verwijdering BKR-registratie wordt toegewezen. Hoist voerde geen verweer. "De commissie is van oordeel dat de vordering van de consument haar niet onrechtmatig of ongegrond voorkomt." (punt 3.3)

🇪🇺 EDPS

🇪🇺 EDPB

🇳🇱 Autoriteit Persoonsgegevens

💳 Autoriteit Consument en Markt

Autoriteit Consument & Markt, Wetgevingsbrief 2025, 2025.
Artikel: 11.7 Tw
Kort: De ACM adviseert over wetgeving op verschillende momenten en op verschillende wijzen. Dit jaar voegt de ACM voor het eerst een wetgevingsbrief toe aan haar jaarverslag. Het voornemen is om dit voortaan jaarlijks te doen. In deze wetgevingsbrief pleit de ACM er voor het publiekrechtelijk toezicht op spam te beëindigen. (p. 3-4)
De ACM geeft daar de volgende reden voor :

"De afgelopen jaren heeft de ACM ervoor gekozen geen prioriteit aan spam te geven. De reden hiervoor is de beperkte schade. Spam kan weliswaar leiden tot overlast en irritatie, maar leidt, in tegenstelling tot phishing, zelden direct tot economische schade. Consumenten hebben bovendien effectieve mogelijkheden om overlast te beperken, bijvoorbeeld door het instellen van een spamfilter. Toezicht draagt daarnaast nauwelijks bij aan het indammen van spamverzending. Het verbod op spam is daarmee in wezen een dode letter geworden. De ACM pleit er daarom voor het publiekrechtelijk toezicht op spam te beëindigen. De Autoriteit Persoonsgegevens blijft onverkort bevoegd om op te treden, indien spam voortkomt uit een overtreding van de AVG."

🏢 Overheidsnieuws :

  • Update Knelpunten gegevensdeling.
    Kort: Al geruime tijd worden er verschillende knelpunten opgemerkt bij (proactieve) dienstverlening van de overheid. In dit kader zijn enkele geadresseerd, maar nog veel blijft open staan. Voornamelijk het probleem van de ontbrekende grondslag blijft terugkeren, en wordt ook meermaals genoemd in deze update.
  • Evaluatie Evaluatie College voorToetsen en Examens 2019-2023
    Kort: "Qua informatiehuishouding (o.a. digitoegankelijkheid, openbaarheid documenten, AVG-wetgeving) is de bemensing de bottleneck, die is niet meegegroeid met de rest van de organisatie. Het CvTE moet aan alle wet- en regelgeving die geldt voor de overheid voldoen, er is een risico dat dat niet gaat lukken door personeelstekort." (p. 28)
  • Kabinetsreactie over de houdbaarheid van de EU-VS afspraken over privacy en mogelijke gevolgen voor migraties van gevoelige persoonsgegevens naar Amerikaanse diensten
  • Reactie op verzoek commissie over de implicaties van een verplichte verklaring om te kunnen deelnemen aan een oefening in een datacenter
    Kort: "De casus zoals die uit de brief van de functionaris aan Uw Kamer is af te leiden, is dat deze zou deelnemen aan een oefening die zou plaatsvinden in het datacentrum van het particuliere bedrijf. Door dat bedrijf werd de functionaris verplicht tot het ondertekenen van een verklaring die ertoe zou kunnen leiden dat alle informatie die het bedrijf over de functionaris binnen het bedrijf verzamelt kan delen met elke veiligheidsinstantie in de Verenigde Staten." In reactie daarop: "Het is dus van belang te onderkennen dat een particulier bedrijf niet zonder meer aan Nederlandse burgers kan verplichten akkoord te gaan kan met het delen van persoonsgegevens met buitenlandse autoriteiten." en "Hoewel bezoekers, waaronder deelnemers aan oefeningen, in principe de keuze hebben wel of niet akkoord te gaan met het afleggen van verklaringen als voorwaarde voor binnentreden, kan die vrijheid aanzienlijk kleiner zijn als deelname essentieel is en onderdeel van de functie en/of de opdracht." "Hoe de situatie in de casus arbeidsrechtelijk precies valt te duiden, is niet aan mij. In het uiterste geval heeft een rechter het laatste woord. Uit de brief van de functionaris leid ik af dat diens weigering in dit geval de verklaring te tekenen is getoetst met als uitkomst dat hij het ondertekenen mocht weigeren."
  • Vooronderzoek bedrag ineens
    Kort: Mensen kunnen binnenkort bij pensionering maximaal 10% van hun pensioen/lijfrentekapitaal ineens laten uitkeren, wat resulteert in levenslang lagere uitkeringen. Het Nibud onderzocht een tool die inzicht geeft in de gevolgen hiervan, maar stuitte op AVG-technische beperkingen (Nibud als verwerkingsverantwoordelijke betekent veel veranderingen): pensioendata is niet toegankelijk zonder wetsaanpassing en belastinggegevens zijn verouderd voor toekomstvoorspellingen. (zie uitgebreider p. 27)
  • Voortgangsrapportage Strategie Digitale Economie 2024; rapportage
    Kort: inzake de Dataverordening wordt opgemerkt : "De AP wordt aangewezen als toezichthouder voor het onderdeel dat gaat over het opvragen van gegevens
    door overheidsinstanties in situaties van uitzonderlijke noodzaak en specifieke bepalingen die zien op verwerking van persoonsgegevens en uitleg van AVG-begrippen. De toezichthouders ontvangen in 2024 en 2025 financiële
    middelen om zich voor te bereiden op het toezicht op de Dataverordening." (p. 50) en over de DSA een soortgelijke bepaling (p. 48) en over de DMA: "De Nederlandse uitvoeringswet is op 18 november 2024 in werking getreden. In de uitvoeringswet wordt ACM als toezichthouder aangewezen met een verplichting om advies te vragen bij de AP voor zover het de bescherming van persoonsgegevens betreft." (p. 49)
  • Rapport Dialogic 'Zicht op digitalisering in het mbo hbo en wo'
    Kort: hierin wordt ook kort ingegeven op gegevensverwerking binnen onderwijsinstellingen (p. 9-10)

🇳🇱 Wetsvoorstellen :

  • Kamerstukken II, 2024–2025, 36 639, nr. 6. Wijziging van diverse wetten in verband met het invoeren van het burgerservicenummer en de voorzieningen van de digitale overheid in de openbare lichamen Bonaire, Sint Eustatius en Saba (Wet invoering BSN en voorzieningen digitale overheid BES).
  • Kamerstukken I, 2024-2025, 36 588, nr. C. Wijziging van de Kaderwet EZK- en LNV-subsidies in verband met actualisering van enkele bepalingen ten behoeve van een betere aansluiting op de gewenste en gangbare praktijk, alsook enkele wijzigingen van ondergeschikte aard en herstel van wetstechnische gebreken in andere wetten op het terrein van het Ministerie van Economische Zaken en Klimaat (Wijziging van de Kaderwet EZK- en LNV-subsidies en enkele andere wetten op het terrein van EZK 20..),
    Kort: Vragen en beantwoording leden BBB-fractie over uitbreiding communicatiegeheim in de Telecommunicatiewet naar niet-openbare netwerken en de mogelijkheid van werkgevers om werknemers te kunnen monitoren.

📣 Internetconsultaties

  • Evaluatiewet Wvggz en Wzd
    Deadline: 26-05-2025
    Kort: Het wetsvoorstel beoogt wijzigingen in de Wvggz (Wet verplichte geestelijke gezondheidszorg) en de Wzd (Wet zorg en dwang) om bestaande grondslagen voor gegevensuitwisseling tussen partijen te verduidelijken. Er worden expliciete grondslagen toegevoegd voor het delen van politie- en justitiegegevens, gegevensdeling bij verkennend onderzoek en aan gemeenten bij het einde van gedwongen zorg. Ook wordt voorzien in automatische verstrekking van persoonsgegevens aan patiëntenvertrouwenspersonen zonder voorafgaande toestemming. In de Wzd worden bovendien expliciete grondslagen opgenomen voor gegevensverstrekking bij overleg, adviesaanvragen, verkennend onderzoek, gezamenlijke crisismaatregel en machtiging tot voortzetting daarvan. Paragraaf 3.2. van de MvT gaat uitgebreid in op de verwerking van persoonsgegevens.
  • Wijziging van de wet structuur uitvoeringsorganisatie werk en inkomen in verband met de versterking arbeidsmarktinfrastructuur
    Deadline: 29-04-2025
    Kort: Paragraaf 3.4 van de MvT gaat uitgebreid in op de gegevensverwerking.
    Het wetsvoorstel introduceert verschillende nieuwe aspecten met betrekking tot gegevensbescherming bij de regionalisering van arbeidsmarktbeleid. Allereerst worden nieuwe verwerkingsgrondslagen gecreëerd, waaronder een specifieke bepaling voor gegevensuitwisseling tussen UWV en scholingspartijen in artikel 54, tiende lid en artikel 73, eerste en derde lid Wet SUWI. Daarnaast wordt artikel 62 Wet SUWI uitgebreid met een delegatiegrondslag voor gegevensverwerking bij de regionale loketten, bekend als het Werkcentrum.
    Voor deze Werkcentra worden UWV en gemeenten gezamenlijk verwerkingsverantwoordelijk voor de gegevensverwerking, zoals vastgelegd in artikel 62, derde lid, onderdeel b Wet SUWI. Om deze gedeelde verantwoordelijkheid goed te regelen, komen er nadere regels via een AMvB voor de onderlinge regeling van verantwoordelijkheden (ex art. 26 AVG).
    Het wetsvoorstel beoogd ook bredere gegevensuitwisseling tussen instanties te faciliteren. Zo wordt de uitwisseling van gegevens tussen UWV en gemeenten voor dienstverlening aan werkzoekenden mogelijk gemaakt door uitbreiding van artikel 10, eerste lid Wet SUWI. Ook krijgt UWV de mogelijkheid om gegevens te verwerken voor dienstverlening aan de doelgroep van gemeenten via artikel 9, tweede lid Wet SUWI.
    Bij AMvB worden maximale bewaartermijnen vastgesteld voor de te verwerken gegevens. Verder komt er nadere specificatie via lagere regelgeving, waarin wordt vastgesteld welke specifieke gegevens worden uitgewisseld, met wie en met welk doel. Dit zal niet alleen NAW-gegevens betreffen maar onder bepaalde omstandigheden ook gezondheidsgegevens.
  • Wijziging van de Wet overige OCW-subsidies in verband met uitbreiding van de mogelijkheid tot het toekennen van een onderwijsvoorziening
    Deadline: 25-04-202
    Kort: "Door de wijziging van deze wet kunnen mensen die ouder zijn dan 30 jaar een onderwijsvoorziening aanvragen. Ook kunnen na deze wijziging mensen die deeltijdonderwijs volgen een onderwijsvoorziening aanvragen"
    In paragraaf 5.2 worden de gegevensbeschermingsrechtelijk gevolgen besproken.
    Voor de uitvoering van het nieuwe artikel 19a van de WOOS verwerkt UWV persoonsgegevens van aanvragers van onderwijsvoorzieningen. Deze verwerking blijft grotendeels gelijk aan de situatie onder het oorspronkelijke artikel. UWV controleert het ingezetenschap via de BRP, verwerkt bijzondere persoonsgegevens over gezondheid om structurele functionele beperkingen vast te stellen, en verifieert inschrijvingen bij onderwijsinstellingen via Suwinet. Bij nieuwe vereisten is de aanvullende gegevensverwerking beperkt aldus het voorstel: voor buitenlandse opleidingen is nu een vrijstelling op grond van de Leerplichtwet nodig in plaats van een inschrijfbewijs, en voor 30-plussers moet UWV controleren of buitenlandse opleidingen voldoen aan de eisen uit de Wet studiefinanciering 2000. Op sommige vlakken vermindert de gegevensverwerking zelfs, omdat het artikel is vereenvoudigd en UWV bijvoorbeeld geen studieuren meer hoeft te tellen. De juridische grondslag blijft de wettelijke verplichting conform artikel 6 AVG, met Suwinet-inzage gebaseerd op artikel 62 van de Wet SUWI.
  • Wetsvoorstel aanvullende tegemoetkoming voor studenten die onder het studievoorschotstelsel hebben gestudeerd
    Deadline : 02-05-2025
    Kort: "Dit wetsvoorstel gaat over het invoeren van een aanvullende tegemoetkoming voor (oud-)studenten die tijdens het leenstelsel hebben gestudeerd."
    "Bovenbedoelde gegevens zullen gebruikt worden voor een ander doel dan oorspronkelijk was voorzien, namelijk het toekennen van de tegemoetkoming respectievelijk de aanvullende tegemoetkoming. Doordat de tegemoetkomingen in beginsel worden afgetrokken van de studieschuld ligt dit wel in het verlengde van het innen van de studieschuld. Die wordt immers lager door de tegemoetkomingen. Bovendien zijn de tegemoetkomingen in het voordeel van de (oud-)student. Verder zou het inrichten van een aanvraagprocedure voor alle (oud-)studenten leiden tot een onnodige verhoging van de regeldruk bij de (oud-)studenten en van de werklast bij DUO. (Oud-)studenten zouden dan gegevens bij DUO moeten aanleveren waarover DUO al beschikt." (p. 19)
  • Implementatiebesluit richtlijn kredietservicers en kredietkopers 
    Deadline: 08-04-2025
    Kort: "Het nieuwe artikel 29.0a BGfo, dat is gebaseerd op artikel 4:11, derde lid, Wft, implementeert artikel 5, eerste lid, onderdeel e, van de richtlijn kredietservicers en kredietkopers. Artikel 29.0a bepaalt dat een kredietservicer als bedoeld in artikel 4:11, eerste lid, Wft over robuuste governanceregelingen en adequate interne controlemechanismen moet beschikken. Deze regelingen en controlemechanismen, waaronder risicobeheer en accountingprocedures, dienen de naleving van (i) het recht dat van toepassing is op de rechten van de kredietnemer, (ii) het recht dat van toepassing is op de rechten van de kredietgever krachtens een kredietovereenkomst, of dat van toepassing is op de kredietovereenkomst zelf, en (iii) van de (Europese) Algemene verordening gegevensbescherming (AVG) te waarborgen. (p. 12)
  • Wijziging Regeling betrouwbaarheidsniveaus Wet digitale overheid
    Deadline: 08-04-2025
    Kort: Paragraaf 3 gaat in het geheel over de verhouding van de regeling tot de AVG. Met name artikel 5(1)(f) AVG is hier relevant. "Onder dergelijke maatregelen valt ook het hanteren van het juiste betrouwbaarheidsniveau van
    authenticatie bij het verlenen van toegang tot elektronische diensten."

📚 Vakliteratuur

  • H.S. Al-Nassar, ‘Openbaarmaking van sanctiebesluiten en overtredingen op grond van de Wft: waar zijn de waarborgen?’, Tijdschrift voor Bijzonder Strafrecht & Handhaving 2024, afl. 4, p. 272-278. 
    Kort: De auteur haalt uit de Harderwijk-uitspraak inspiratie om de discussie over publicatie van sanctiebesluiten zonder deze als criminal charge te bestempelen. Auteur toetst deze aanpak ook kort aan zowel 8 EVRM als 7&8 Hv.
  • F. Çapkurt, 'Procesrechtelijk ‘treiteren’: hoe een lappendeken aan Awb-besluiten de toegang tot rechtsbescherming in het gegevensbeschermingsrecht nodeloos compliceert' Jurisprudentie Bestuursrecht plus 2025/2, 2025.
    Artikel: 1:3 Awb, 34 UAVG
    Kort: "Dit artikel zet uiteen hoe burgers toegang tot bestuursrechtelijke rechtsbescherming kunnen verkrijgen om op te komen tegen de verwerking van hun gegevens door bestuursorganen. Het artikel belicht de frictie tussen de AVG, die gericht is op de normering van feitelijk handelen (de verwerking van persoonsgegevens), en de Awb, die zich richt op publiekrechtelijke rechtshandelingen (besluiten in de zin van artikel 1:3 Awb). Het artikel sluit af met een pleidooi voor een herwaardering van het informatieverzoek-besluitmodel van artikel 34 Uitvoeringswet AVG, waarmee de wetgever dit verschil tussen de Awb en de AVG heeft proberen te overbruggen." Het gaat hier om een artikel gedeeltelijk gebaseerd op het proefschrift van Çapkurt.
    F. Çapkurt, Rechtsbescherming tegen bestuurlijke gegevensverwerkingen: toegang, toetsing en schadevergoeding (Staats- en bestuursrecht Wetenschap), Deventer: Wolters Kluwer 2024.
  • M.M. Hoving, "Curator als verwerkingsverantwoordelijke voor de in de boedel aangetroffen persoonsgegevens", Tijdschrift voor Curatoren 2025/1.
    Kort: De auteur blaast nieuw leven in de discussie of een curator in faillissement moet worden beschouwd als verwerkingsverantwoordelijke. Zij stelt dat "De curator wordt bij zijn aanstelling niet qualitate qua verwerkingsverantwoordelijk voor de door gefailleerde verwerkte persoonsgegevens. Verwerkingsverantwoordelijkheid van de curator ontstaat daar waar deze zelf (actief) persoonsgegevens verwerkt c.q. laat verwerken."
  • NJCM redactie, "VERSLAG LUSTRUM NJCM ‘Mensenrechten in de 21e eeuw: uitdagingen en de rol van belangenorganisaties’ NTM/NJCM-Bull, jrg. 50 [2025], nr. 1 p. 118-120.
    Kort: Het NJCM viert haar 50e verjaardag en bij de lustrumbijeenkomst was er ook een sessie met als titel : "Digitale kinderrechten: privacy versus bescherming – conflicterende rechten", (p. 118-120). UNICEF pleitte daar voor inzet op EU niveau. " De techbedrijven zijn te sterk en te goed georganiseerd om alleen vanuit Nederland tegenwicht te kunnen bieden. Er is EU wet- en regelgeving nodig om online platforms zelf verantwoordelijkheid te laten dragen voor het beschermen van kinderen en jongeren tegen schadelijke content en voor toezicht en handhaving op platform-niveau." (p. 120)
  • L. Metikoš & J. Ausloos, ‘The right to an explanation in practice: insights from case law for the GDPR and the AI Act’, Law, Innovation and Technology, p. 1-36 
    Kort: Het gaat hier om een artikel gepubliceerd ná Dun & Bradstreet (zie editie #4), maar dat natuurlijk al daarvoor is afgerond. Het artikel bespreekt hoe het recht op uitleg uit de AVG in de praktijk wordt toegepast via rechtszaken in de EU, en hoe deze ervaringen kunnen helpen bij de interpretatie van het vergelijkbare recht in de nieuwe AI-verordening (art. 86 AIV).
Editie #6 komt op 7 april 2025
Tot dan!

Abonneer je op De Privacy Nieuwsbrief

Blijf op de hoogte van de laatste ontwikkelingen in het gegevensbeschermingsrecht en schrijf je in voor de nieuwsbrief.
naam@voorbeeld.nl
Inschrijven