Deze kroniek biedt een overzicht van de gepubliceerde rechtspraak over de Algemene verordening gegevensbescherming (AVG). Rechters geven invulling aan de in de AVG veelvuldig gebruikte open normen. Dit kan houvast bieden voor de rechts- en adviespraktijk. Ook is interessant om na te gaan of de rechtspraak begrippen nu anders invult dan onder de Wet bescherming persoonsgegevens (Wbp) het geval was. Daarnaast introduceert de AVG enkele nieuwe begrippen en verplichtingen waarover vanzelfsprekend nog niet eerder jurisprudentie is verschenen.

De kroniek behandelt alleen uitspraken van de Nederlandse rechter en het Hof van Justitie van de EU (HvJ EU).

Buitenlandse rechtspraak en de jurisprudentie van het Europese Hof voor de Rechten van de Mens kan evenzeer interessant zijn voor de inkleuring van de AVG in de Nederlandse rechtspraktijk, maar is enkel al omwille van de omvang en toegankelijkheid niet meegenomen. Uitspraken over art. 8 van het Europese Verdrag voor de Rechten voor de Mens (EVRM), art. 10 Grondwet en bijvoorbeeld over de Wet politiegegevens worden ook niet besproken.[1] Wel wordt zijdelings verwezen naar enkele besluiten van de Autoriteit Persoonsgegevens (AP).

De kroniekperiode loopt van 26 mei 2018 tot 26 mei 2020. Voor deze periode is op www.rechtspraak.nl gezocht naar uitspraken waarin ‘persoonsgegevens’ en ‘AVG’ als trefwoorden voorkomen, aangevuld met de relevante jurisprudentie van het HvJ EU uit deze periode. De auteurs zijn zich ervan bewust dat maar een beperkt gedeelte van alle rechtspraak wordt gepubliceerd.

De indeling van deze kroniek is zoveel mogelijk gebaseerd op de volgorde waarin de verschillende onderwerpen in de AVG aan de orde komen. Dit heeft geleid tot de volgende indeling: definities, rechtmatigheid, rechten van betrokkenen, uitzonderingen, aansprakelijkheid en schadevergoeding en ten slotte procesrecht en handhaving.

Definities

Persoonsgegevens

De AVG is enkel van toepassing op persoonsgegevens. Er is in de rechtspraak regelmatig discussie over de vraag of sprake is van persoonsgegevens. De AVG definieert het begrip als ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’. Gegevens over honden zijn daarmee volgens de Raad van State geen persoonsgegevens in de zin van de AVG.[2] Videobeelden van een villa zonder vermelding van straat en gemeente evenmin.[3]

De rechtbank Amsterdam maakt onderscheid tussen een (juridische) beoordeling enerzijds en de daarin opgenomen persoonsgegevens anderzijds.[4] Het inzagerecht beperkt zich tot de in de beoordeling opgenomen persoonsgegevens. Als gevolg hiervan bestaat er geen recht op integrale inzage in een door een ambtenaar ten behoeve van een asielprocedure opgestelde geloofwaardigheidsbeoordeling. De door het HvJ EU onder de Privacyrichtlijn[5] ingezette lijn wordt hiermee voortgezet.[6]

Volgens het gerechtshof Den Haag moet onder persoonsgegevens worden verstaan iedere informatie die vanwege haar inhoud, doel of gevolg is gelieerd aan betrokkene, ongeacht of het om objectieve of subjectieve (meningen, oordelen) informatie gaat, en waarmee betrokkene redelijkerwijs identificeerbaar is voor de verwerkingsverantwoordelijke of enig andere persoon.[7] De rechtbank Den Haag oordeelt in het verlengde hiervan dat examens inclusief de opmerkingen van de examinator persoonsgegevens zijn.[8]

De rechtbank Noord-Nederland stelt in twee uitspraken vast dat in het kader van de AVG hooguit aanspraak bestaat op inzage van feitelijke persoonsgegevens en trekt de lijn daarmee te scherp. De AVG definieert persoonsgegevens immers als alle informatie over een identificeerbaar individu en maakt daarbij geen onderscheid tussen feitelijke en subjectieve informatie.[9]

De rechtbank Midden-Nederland is van mening dat het feit dat op een werknemer een no-riskpolis van toepassing is, geen persoonsgegeven betreffende de gezondheid is, hoewel de werkgever hiermee wel indirect op de hoogte wordt gebracht van de aanwezigheid van een arbeidsbeperking.[10]

Vlak voor de inwerkingtreding van de AVG oordeelde de rechtbank Amsterdam op grond van de Wbp nog dat tuchtrechtelijke gegevens onder het regime van strafrechtelijke gegevens vallen.[11] Onder de AVG is dit volgens dezelfde rechtbank niet langer het geval.[12] De rechtbank motiveert deze koerswijziging door erop te wijzen dat de wetshistorie van de AVG geen aanwijzing bevat dat tuchtrechtelijke gegevens kwalificeren als bijzondere of strafrechtelijke persoonsgegevens.[13]

Het gerechtshof Arnhem-Leeuwarden herhaalt het onder de Wbp geldende uitgangspunt van de Hoge Raad dat voor de kwalificatie als strafrechtelijk persoonsgegeven een zwaardere verdenking dan een redelijk vermoeden van schuld nodig is.[14] Volgens het hof is relevant of sprake is van gegronde verdenkingen, concrete aanwijzingen dat iemand een strafbaar feit heeft gepleegd, dan wel persoonsgegevens die te maken hebben met een rechterlijk verbod vanwege onrechtmatig of hinderlijk gedrag.[15]

Verwerkingsverantwoordelijke of verwerker

Over de vraag of een partij kwalificeert als (gezamenlijke) verwerkingsverantwoordelijke of verwerker wordt in Nederland nauwelijks geprocedeerd, terwijl deze vraag in de praktijk regelmatig voer is voor discussie en bovendien niet altijd gemakkelijk te beantwoorden blijkt te zijn. Kennelijk heeft ook de rechterlijke macht soms moeite met de juiste toepassing van deze begrippen. Zo oordeelt rechtbank Oost-Brabant dat een partij verwerkingsverantwoordelijke is op basis van enkel het feit dat een overzicht waarop persoonsgegevens voorkomen in haar bezit is en door deze partij gebruikt wordt.[16] Een van de meest opmerkelijke uitspraken over de rolverdeling op grond van de AVG is wellicht het oordeel van de voorzieningenrechter van de rechtbank Noord-Nederland dat hij zelf als verwerker kwalificeert.[17]

Het HvJ EU heeft in enkele arresten uitleg gegeven over het begrip gezamenlijke verwerkingsverantwoordelijke.[18] Een begrip waar onder de AVG meer betekenis aan wordt toegekend dan onder de Privacyrichtlijn, onder meer door de expliciet opgenomen verplichting voor gezamenlijke verwerkingsverantwoordelijken om tegenover de betrokkenen transparant te zijn over hun rolverdeling. De arresten van het HvJ EU geven onder andere een belangrijke nadere invulling van de hoofdelijke aansprakelijkheid die geldt voor gezamenlijke verwerkingsverantwoordelijken op grond van art. 82 lid 4 AVG. Als er sprake is van verschillende samenhangende verwerkingen beperkt de verantwoordelijkheid van de betrokken verwerkingsverantwoordelijken zich tot de verwerking van persoonsgegevens waarvoor hij daadwerkelijk het doel en de middelen (mede) vaststelt.[19]

De rechtbank Midden-Nederland oordeelt dat na verstrekking van persoonsgegevens door de Sociale Verzekeringsbank (SVB) als verwerkingsverantwoordelijke aan de Belastingdienst, eveneens als verwerkingsverantwoordelijke, geen sprake is van gezamenlijke verwerkingsverantwoordelijkheid.[20] Als gevolg hiervan kan betrokkene de SVB niet opdragen om de Belastingdienst persoonsgegevens te laten verwijderen. De verantwoordelijkheid voor de verwerking is na de verstrekking namelijk bij de Belastingdienst komen te liggen.

Rechtmatigheid

Veel uitspraken gaan over de beoordeling of een concrete gegevensverwerking rechtmatig is, in de zin dat sprake is van een geldige rechtsgrond zoals bedoeld in art. 6 AVG of van een mogelijkheid het verwerkingsverbod van bijzondere persoonsgegevens te doorbreken zoals bedoeld in art. 9 AVG. Dit is belangrijk voor de praktijk gezien het gesloten stelsel dat de AVG met deze wetsartikelen hanteert voor de verwerking van persoonsgegevens en de keuze die een bepaalde grondslag kan hebben voor de voorwaarden waaronder persoonsgegevens mogen worden verwerkt.

Rechtsgeldige toestemming

Het HvJ EU laat er geen onduidelijkheid over bestaan dat het toestemmingsbegrip onder de AVG strikter moet worden uitgelegd dan onder de Privacyrichtlijn het geval was. In een zaak over toestemming in het kader van het plaatsen van cookies, oordeelt het Hof dat voor een geldige toestemming onder de AVG een ‘ondubbelzinnige actieve handeling’ vereist is. Het gebruik van een vooraf aangevinkt hokje levert dus geen geldige toestemming op.[21]

De rechtbank Noord-Nederland oordeelt dat het verstrekken van gezondheidsgegevens van schuldenaren aan de schuldhulpverlener en schuldeisers in het kader van een schuldregeling, is toegestaan op basis van toestemming. De rechtbank geeft daarbij aan dat de betrokkene zich op zijn privacyrechten kan beroepen, maar dat dan (negatieve) gevolgen kan hebben voor de schuldregeling.[22] Dit roept de vraag op hoe vrijwillig toestemming is gegeven wanneer iemand zich in een uitzichtloze financiële situatie bevindt.

Voor aanmelding van patiënten bij het zogenaamde Landelijk Schakelpunt voor de uitwisseling van patiëntgegevens (LSP) is uitdrukkelijke toestemming van de patiënt vereist. Dit gaat in de praktijk niet altijd goed.

De rechtbank Midden-Nederland is echter van oordeel dat hieruit niet de conclusie getrokken kan worden dat verwerking van persoonsgegevens voor het LSP in opzet onrechtmatig is. Uitdrukkelijke toestemming kan worden verkregen en aangetoond door een set van beheersmaatregelen, waaronder de plicht voor zorgverleners om te registreren hoe de toestemming tot stand is gekomen en welke informatie is verschaft.[23] Een apotheker die gebruikmaakt van een opt-out regeling moet zijn werkwijze voor aanmelding bij het LSP aanpassen naar een opt-in regeling.[24]

De rechtbank Noord-Nederland wijst een vordering toe die strekt tot een verbod om persoonsgegevens van eiseres in de door de rechtbank met betrekking tot haar persoon te wijzen vonnissen te verspreiden naar derden. Het zonder toestemming van eiseres of zonder andere geldige reden verspreiden van haar persoonsgegevens in een vonnis wordt daarmee in strijd geacht met de AVG.[25]

Noodzakelijk voor uitvoering overeenkomst

Zorgverzekeraars mogen persoonsgegevens, inclusief persoonsgegevens betreffende de gezondheid, opvragen bij een niet-gecontracteerde zorgverlener, voor zover dat noodzakelijk is voor de uitvoering van verzekeringsovereenkomst met de betrokkene.[26]

Noodzakelijk voor wettelijke plicht

Een voor de faillissementspraktijk relevante uitspraak komt van de rechtbank Midden-Nederland. Na faillissement van een ziekenhuis besluiten de curatoren in de rol van verwerkingsverantwoordelijke een ander ziekenhuis aan te wijzen als verwerker voor de medische dossiers van de in het failliete ziekenhuis behandelde patiënten. De rechtbank ziet geen aanknopingspunten om te oordelen dat deze constructie in strijd is met de AVG, hoewel de curatoren erkennen geen hulpverlener te zijn in de zin van de Wet geneeskundige behandelingsovereenkomst.[27]

De rechtbank Oost-Brabant oordeelt dat een curator recht heeft op inzage in de e-mailcorrespondentie van bestuurders van de failliet, met uitzondering van de privécorrespondentie, omdat dit noodzakelijk is voor de nakoming van wettelijke plichten die op de curator rusten in het kader van de afhandeling van een faillissement.[28] Er ligt een voorstel ter consultatie om de rechten tot verwerking van persoonsgegevens door de curator beter te verankeren in de Faillisementswet.[29]

De AVG verzet zich volgens de rechtbank Rotterdam niet tegen het insturen van persoonsgegevens in processtukken, omdat art. 8:42 Awb een bestuursorgaan verplicht in een beroepszaak alle op de zaak betrekking hebbende stukken in te sturen aan de rechtbank. Alleen als sprake is van zwaarwichtige redenen in de zin van art. 8:29 Awb kan dit anders zijn.[30]

Het College voor beroep en bedrijfsleven (Cbb) oordeelt dat de Autoriteit Consument en Markt (ACM) aan netbeheerders via een zogenaamde Informatiecode geen dwingende verstrekking van persoonsgegevens kan opleggen als de betrokken netbeheerders geen rechtsgrond in de zin van art. 6 AVG hebben voor een dergelijke verstrekking. De Informatiecode biedt op zichzelf geen grondslag, deze zou bijvoorbeeld in de Elektriciteitswet of Gaswet opgenomen dienen te worden.[31]

De rechtbank Amsterdam oordeelt dat het opvragen van persoonsgegevens over een museumbezoek bij de Stichting Museumkaart door de Belastingdienst noodzakelijk is om te kunnen voldoen aan een wettelijke plicht in het kader van de belastingheffing.[32]

De rechtbank Den Haag oordeelt dat het gebruik van de zogenaamde ‘e-screener’ van het Ministerie van Justitie en Veiligheid – een gedigitaliseerde vragenlijst voor het bepalen van risico’s verbonden aan de verlening van een jachtakte of wapenverlof – een rechtmatige gegevensverwerking is om te voldoen aan een wettelijke plicht.[33]

Noodzakelijk voor een publieke taak

Het gerechtshof Den Haag oordeelt dat gegevensverwerkingen naar aanleiding van bedrijfsbezoeken door de ACM de publieke taak van toezicht op naleving van de Mededingingswet dient, waardoor sprake is van een geldige rechtsgrond, ook als tijdelijk niet noodzakelijke persoonsgegevens worden verwerkt.[34]

De inspecteur van de Belastingen mag onder meer een testament onder zich hebben als dit noodzakelijk is voor het heffen van erfbelasting. Deze gegevens kunnen ook gebruikt worden in de rechtszaak die vervolgens wordt gevoerd over de opgelegde aanslag erfbelasting.[35]

De uitvraag van opleidingsniveaus van inhuurpersoneel bij een aanbesteding en de daarop volgende verwerking van deze persoonsgegevens door de gemeente is onder andere noodzakelijk in het kader van de publieke taak van de gemeente als zorginkoper om de veiligheid, gezondheid en welzijn van de zorgbehoevenden te waarborgen.[36] Dat de gemeente Amsterdam partijen die meedoen aan een aanbesteding en die aandacht hebben voor de mantelzorgrol of lidmaatschap van de LHBTI+-gemeenschap positief waardeert, is toegestaan. Deze informatie wordt weliswaar proactief opgevraagd door inschrijvende partijen bij mantelzorgers om rekening te kunnen houden met hun situatie, maar er vindt geen uitvraag of vastlegging plaats van LHBTI+-gegevens en deze informatie wordt ook nooit met de gemeente gedeeld.[37]

Noodzakelijk in het kader van een gerechtvaardigd belang

De rechter is verschillende keren verzocht te oordelen of een gerechtvaardigd belang van een partij zwaarder weegt dan de privacybelangen van betrokkenen. Hoe rechters hierover oordelen is extra interessant nu de AP op 1 november 2019 in een door haar uitgevaardigde normuitleg over het ‘gerechtvaardigd belang’ stelt dat het enkel dienen van zuiver commerciële belangen en winstmaximalisatie niet als gerechtvaardigd belang kan kwalificeren.[38]

Het gerechtvaardigd belang om eigendommen te beschermen door gebruik van camera’s, die voor een deel op de openbare weg zijn gericht, weegt volgens de Afdeling bestuursrechtspraak Raad van State (RvS) zwaarder dan het privacybelang van betrokkenen. Hierbij is mede van belang dat er eerder daadwerkelijk een incident heeft plaatsgevonden, dat slechts een klein gedeelte van de openbare weg in beeld is en minder vergaande beveiligingsmaatregelen onvoldoende bleken.[39]

Onderzoek naar een medewerker waartegen een interne klacht was geuit, is rechtmatig volgens de rechtbank Amsterdam. De gegevensverwerking in het kader van dat onderzoek kon dan ook plaatsvinden op grond van art. 6 lid 1 onder f AVG en de vordering tot een verbod op het gebruik van het onderzoeksrapport faalt in kort geding en in de bodemzaak.[40] Het feit dat het bureau dat het rapport opstelde geen vergunning heeft als particulier recherchebureau is hierbij niet van belang.

De privacybelangen van adverteerders staan niet in de weg aan het beschikbaar stellen door Facebook van uitgebreide accountgegevens aan het kledingbedrijf Tommy Hilfiger. Het gaat om accounts van adverteerders die bedrijfsmatig inbreukmakende artikelen aanbieden met behulp van advertenties op Facebook en Instagram.[41] De belangen van Tommy Hilfiger en de consumenten wegen in dit geval zwaarder. Hoewel de maatregel tot het verstrekken van de gevraagde gegevens strookt met het advertentiebeleid van Facebook, wil Facebook uiteindelijk geen nadere gegevens verstrekken zonder rechterlijk bevel daartoe. Een veroordeling is daarom noodzakelijk.

Het opvragen van NAW-gegevens door Dutch Filmworks om illegale downloaders aan te pakken, is volgens het gerechtshof Arnhem-Leeuwarden onder voorwaarden rechtmatig. Echter in dit concrete geval hoeven geen NAW-gegevens verstrekt te worden, omdat door Dutch Filmworks te weinig rekening wordt gehouden met de belangen van de downloaders.[42]

In een andere IE-zaak waar NAW-gegevens worden gevorderd, concludeert de rechtbank Den Haag onterecht dat op grond van art. 6 lid 1 aanhef en onder f AVG een rechtsplicht bestaat tot afgifte van persoonsgegevens aan eiser.[43] Het voldoen aan een van de rechtsgronden in art. 6 AVG (en andere voorwaarden uit de AVG) geeft de mogelijkheid om persoonsgegevens te verwerken, maar nimmer een plicht tot verstrekking aan derden. Onjuist is ook de wijze waarop de rechtbank vervolgens beoordeelt of eiser zorgvuldig omgaat met de rechten van de klanten van gedaagde, een belangrijk onderdeel in de hiervoor besproken uitspraken. De rechtbank is van mening dat, omdat eiser een buitenlands bedrijf is en een doorgifte van persoonsgegevens naar een land buiten de EU kan stoelen op een uitzondering in art. 49 AVG, een nadere belangenafweging niet is vereist. De rechtbank gaat hiermee voorbij aan de eis dat eerst sprake moet zijn van een rechtmatige verwerking alvorens, als apart onderwerp, beoordeeld kan worden of doorgifte naar een land buiten de EU is toegestaan.

De rechtbank Limburg vraagt partijen opnieuw een belangenafweging te maken, maar dan onder de AVG.[44] Reden hiervoor is dat art. 6 lid 1 onder f AVG, anders dan art. 8 onder f Wbp, expliciet het belang van het kind noemt en er in de onderhavige zaak privacybelangen van een kind spelen.

Op de website van ZorgkaartNederland kunnen patiënten hun waardering over een zorgverlener achterlaten. Wanneer over een arts onder andere wordt gezegd dat zij een ‘vreselijke dokter’ is, vordert de arts verwijdering van al haar persoonsgegevens van de website. De rechtbank Overijssel komt na een belangenafweging tot de conclusie dat de belangen van ZorgkaartNederland in dit geval dienen te prevaleren en zij een gerechtvaardigd belang heeft om de gegevens van de arts te verwerken.[45] Wel is de rechtbank van mening dat de specifieke waardering onrechtmatig is.[46]

Een woningbouwcorporatie registreert of huurovereenkomsten met huurders in het verleden zijn opgezegd vanwege onder meer hennepteelt en deelt deze informatie met andere corporaties. De corporatie meent dat dit is toegestaan op basis van de rechtsgrond ‘uitvoering overeenkomst’ of ‘voldoen aan een wettelijke plicht’. Het gerechtshof Arnhem-Leeuwarden is het daar niet mee eens maar oordeelt dat ‘gerechtvaardigd belang’ wel een toereikende grondslag biedt.[47]

Wanneer een ziekenhuis zonder toestemming van de patiënt gezondheidsgegevens wil delen met een externe deskundige, is dit volgens de rechtbank Amsterdam toegestaan op grond van het gerechtvaardigd belang van het ziekenhuis om zich te verdedigen tegen de claim dat patiënt niet de juiste behandeling heeft ontvangen. Doordat de rechtbank enkel verwijst naar art. 9 lid 2 onder f AVG, is niet duidelijk of de rechtbank zich realiseert dat art. 9 AVG alleen ziet op de doorbreking van het verwerkingsverbod van gezondheidsgegevens en dat de beoordeling van de rechtmatigheid van de verwerking een eigen afweging onder art. 6  lid 1 onder f AVG vergt.[48]

Verbod op verwerking van bijzondere persoonsgegevens

De rechtbank Rotterdam oordeelde dat gezondheidsgegevens door het ziekenhuis niet mogen worden verstrekt aan de beroepsaansprakelijkheidsverzekeraar indien deze een medische claim van een betrokkene beoordeelt. De uitzondering op het verwerkingsverbod voor bijzondere persoonsgegevens in verband met de onderbouwing van een rechtsvordering gaat niet op, want het betreft hier partijen die nog met elkaar in onderhandeling zijn.[49]

Inhoudelijk ongewijzigd onder de (U)AVG ten opzichte van de Wbp is de strikte eis dat het Burgerservicenummer (BSN), een als in de AVG bedoeld nationaal identificatienummer, uitsluitend mag worden verwerkt op basis van een expliciete wettelijke grondslag. Ook de Staatssecretaris van Financiën heeft dit volgens de rechtbank Amsterdam te respecteren bij het gebruik van BSN in het btw-identificatienummer van zelfstandige ondernemers.[50]

De rechtbank Amsterdam verbiedt een winkelketen om een vingerscanautorisatiesysteem in te voeren.[51] De door de Nederlandse wetgever in de UAVG geïntroduceerde uitzondering op het verbod uit de AVG op verwerking van biometrische gegevens (met het oog op unieke identificatie) wordt niet van toepassing geacht. De rechter hecht daarbij onder meer belang aan het ontbreken van documentatie waaruit blijkt dat de proportionaliteit en subsidiariteit zorgvuldig zijn afgewogen. Dat is wel nodig op grond van de in de AVG geïntroduceerde uitgebreide verantwoordingsplicht.

Ook genetische persoonsgegevens (met het oog op unieke identificatie) vormen een nieuwe categorie onder de AVG waarvoor geldt dat verwerking daarvan in beginsel verboden is. Een ziekenhuis doet volgens de rechtbank Rotterdam met succes een beroep op dit verwerkingsverbod wanneer een vrouw verzoekt om genetische gegevens van een overleden man die mogelijk haar vader is.[52]

Een schuldsaneringsbewindvoerder mag ten behoeve van zijn cliënt bijzondere persoonsgegevens verwerken als dit nodig is om een vrijstelling van de arbeids- of sollicitatieplicht voor deze cliënt te onderbouwen.[53]

Rechten van betrokkenen

Hoofdstuk 3 AVG versterkt de rechten van betrokkenen om een hoger niveau van gegevensbescherming te realiseren. Bestaande rechten zijn aangescherpt en nieuwe rechten toegevoegd.

Het recht op beperking van een gegevensverwerking en het recht op dataportabiliteit komen in de jurisprudentie nauwelijks aan de orde. De rechtbank Oost-Brabant wijdt haast ten overvloede een overweging aan het recht op beperking van de verwerking door een verzoek om vernietiging van persoonsgegevens ook te beoordelen op basis van art. 18 AVG.[54]

Ook over rectificatie van gegevens wordt weinig geprocedeerd. In een principieel geschil over de aanvraag van een gewijzigd BSN, vanwege het verwerken van het BSN in het btw-identificatienummer van zelfstandigen, lijkt dit recht te worden ingeroepen hoewel er geen expliciet beroep op wordt gedaan. De rechtbank Den Haag oordeelt dat er geen wettelijke bepaling bestaat die het mogelijk maakt om te verzoeken om wijziging van het BSN in andere gevallen dan foutieve toekenning.[55] [LH1] Dit ondanks het beroep van eiser op het eerdere oordeel van de AP dat het verwerken van het BSN in het btw-identificatienummer van zelfstandigen in strijd is met de (U)AVG.

Inzagerecht

De Advocaat-Generaal bij de Hoge Raad merkt in zijn uitgebreide analyse over het inzagerecht onder de Wbp op dat de doelstelling van het inzagerecht onder de AVG ten opzichte van de Privacyrichtlijn niet is veranderd.[56] Continuïteit kenmerkt dan ook de jurisprudentie over het inzagerecht onder de AVG. Meerdere rechters geven expliciet aan dat de rechtspraak over het inzagerecht onder de Privacyrichtlijn ook geldt onder de AVG.[57]

‘Oude’ rechtspraak waarnaar verwezen wordt, betreft onder meer de notie dat het begrip persoonsgegevens ruim moet worden uitgelegd,[58] maar dat dit nog niet betekent dat inzage hoeft te worden gegeven in interne notities die de persoonlijke gedachten van medewerkers bevatten en die uitsluitend bedoeld zijn voor intern beraad[59] en dat een juridische analyse geen persoonsgegeven is.[60] Ten aanzien van inzage in interne notities merkt het gerechtshof Den Haag op dat de AVG hiervoor geen uitzondering kent en betrokkene in beginsel ook recht heeft op inzage in deze stukken.[61] Interne notities zijn dus niet categorisch uitgezonderd van het inzagerecht, maar inzage moet wel beperkt worden, bijvoorbeeld door anonimisering, voor zover dit noodzakelijk is ter bescherming van rechten en vrijheden van anderen.

De vraag of het AVG-inzagerecht recht geeft op afschriften, wordt met verwijzing naar eerdere rechtspraak en de bedoeling van de wetgever, ontkennend beantwoord.[62] Het recht op een ‘kopie’ uit art. 15 lid 3 AVG, ziet op een kopie van de persoonsgegevens en niet op een kopie van het document waar deze persoonsgegevens zich in bevinden.

Interessant zijn de uitspraken die gaan over de vraag of een verzoeker desgevraagd zijn inzageverzoek moet preciseren. Overweging 64 bij de AVG stelt dat een verwerkingsverantwoordelijke, die een grote hoeveelheid persoonsgegevens verwerkt, de betrokkene moet ‘kunnen verzoeken om te preciseren op welke informatie of welke verwerkingsactiviteiten het verzoek betrekking heeft’. Is de betrokkene gehouden hier gevolg aan te geven? De rechtbanken Noord-Holland en Amsterdam vonden van wel.[63] Wanneer het voldoen aan een inzageverzoek erg veel inspanning vergt, mag de verwerkingsverantwoordelijke soms volstaan met selecties uit beschikbare gegevens en een ‘steekproefsgewijze’ benadering, omdat er anders sprake zou zijn van een te kostbare zoektocht.[64]

Een ander praktisch vraagstuk is of de verwerkingsverantwoordelijke persoonsgegevens moet verstrekken waarvan kan worden aangenomen dat de betrokkenen die al eerder heeft ontvangen. De rechtbank Rotterdam vindt van wel (personeelsdossier), want bekendheid met gegevens is geen uitzonderingsgrond op het inzagerecht zoals genoemd in art. 41 UAVG.[65] De rechtbank Noord-Nederland stelt kortweg dat de verzoeker recht heeft op een afschrift (cursivering auteurs) van het personeelsdossier, ook al voert de verweerder aan dat de verzoeker sommige stukken al tot zijn beschikking heeft.[66] De rechtbanken Den Haag en Noord-Holland vinden dat precisering wel gevraagd mag worden (procesdossiers).[67]

Wanneer twee aparte inzageverzoeken van Volkert van der G. bij de Minister voor Rechtsbescherming en bij de Minister van Justitie en Veiligheid worden beantwoord met een brief die enkel ondertekend is door eerstgenoemde, is de RvS van mening dat deze brief niet (mede) beschouwd kan worden als een brief van laatstgenoemde. Voor het uitblijven van een tijdig besluit is de Minister van Justitie en Veiligheid, die naast de Minister voor Rechtsbescherming als zelfstandig verwerkingsverantwoordelijke moet worden beschouwd, een dwangsom verschuldigd van 1260 euro.[68]

Als een verzoeker pas tijdens zijn bezwaar tegen het besluit op inzage voor het eerst een verwijder- of correctieverzoek doet, hoeft het bestuursorgaan dergelijke nieuwe verzoeken niet in haar heroverweging te betrekken. Betrokkene dient hiertoe een afzonderlijk verzoek in te dienen.[69]

Wanneer onder de Wbp behandelde inzageverzoeken onvoldoende zijn afgehandeld, dient bij een nieuw besluit na 25 mei 2018 de AVG te worden toegepast.[70]

Verstrekking van persoonsgegevens naar aanleiding van een inzageverzoek dient onder normale omstandigheden kosteloos te geschieden.[71]

Recht op gegevenswissing en bezwaar

Over het recht op gegevenswissing wordt veel geprocedeerd. De procedures zien veelal op de verwijdering van BKR-registraties of zoekresultaten bij Google. Op één verzoek na, zijn alle geanalyseerde verzoeken gebaseerd op art. 17 lid 1 onder c AVG (gegevenswissing vanwege bezwaar op grond van art. 21 AVG). De rechter maakt daarbij een belangenafweging waarbij alleen dwingende gerechtvaardigde gronden van de verwerkingsverantwoordelijke reden kunnen zijn om af te zien van verwijdering.[72]

Registers kredietverstrekkers

Bij de beoordeling van verzoeken tot verwijdering van een BKR[73]-, EVR[74]– of IVR[75]-registratie voeren bijna alle rechters een proportionaliteits- en subsidiariteitstoets uit onder verwijzing naar het Santander-arrest van de Hoge Raad.[76] Dit arrest uit 2011 bepaalt dat bij iedere verwerking van persoonsgegevens een belangenafweging plaats moet vinden ongeacht de grond van de verwerking. Deze afweging moet worden gemaakt aan de hand van de op het moment van de afweging bekende feiten en omstandigheden (ex-nunc). De inbreuk op de belangen van de betrokkene moet in verhouding staan tot het doel van de verwerking (proportionaliteit) en dit doel mag in redelijkheid niet op een andere, voor betrokkene minder nadelige, wijze verwezenlijkt kunnen worden (subsidiariteit). Relevante omstandigheden om te bepalen of een registratie dient te worden verwijderd zijn: de omvang van de schuld, nakoming van de betalingsregeling, de reden van de schuld en de mate van verwijtbaarheid, de huidige financiële situatie van de betrokkene en als deze weer stabiel is, hoelang dat al zo is, eventuele andere schulden, of sprake is van ernstige of structurele wanbetaling, een bijzonder belang bij de aankoop van een huis en het verstrijken van de tijd na het inlossen van de schuld.[77] Veel rechtbanken overwegen bovendien dat de laatste omstandigheid – tijdsverloop – naarmate de tijd verstrijkt, zwaarder gaat wegen ten opzichte van de andere omstandigheden.[78]

Wanneer aangenomen wordt dat kredietregistratie plaatsvindt op grond van een wettelijke plicht, zijn art. 17 AVG (gegevenswissing) en art. 21 AVG (bezwaar) in het geheel niet van toepassing. In die gevallen toetst de rechter verwijderverzoeken en bezwaren tegen gegevensverwerkingen enkel aan de hand van de proportionaliteits- en subsidiariteitstoets uit het zojuist aangehaalde Santander-arrest.[79]

In gevallen waarbij de kredietverstrekker (opzettelijk) onjuist werd geïnformeerd door de betrokkene werd de vordering tot verwijdering afgewezen.[80] Sommige rechters wijzen het verzoek tot verwijdering weliswaar af, maar beperken de tijd van de registratie wel.[81] De rechtbank Rotterdam toetste een verzoek tot verwijdering uit een incidentenregister enkel aan het toepasselijke protocol Incidentenwaarschuwingssysteem financiële instellingen.[82]

Google-uitspraken

Bij de verzoeken tot verwijdering van zoekresultaten uit een online zoekmachine vindt een belangenafweging plaats waarbij het privacybelang van de betrokkene wordt afgewogen tegen het belang van de zoekexploitant en het recht van het publiek op vrijheid van meningsuiting. Eerder bepaalden het HvJ EU[83] en de Hoge Raad[84] dat het privacybelang van de betrokkene in beginsel zwaarder weegt dan de economische belangen van de zoekmachine-exploitant en het belang van het publiek bij kennisname. Dit kan in bijzondere gevallen anders zijn. Die bijzondere omstandigheden dienen door de zoekmachine-exploitant te worden gesteld. Veel lagere rechters refereren aan deze uitspraken. Toetsing geschiedt ex-nunc.

Omstandigheden die tot gevolg kunnen hebben dat het belang van de zoekmachine-exploitant zwaarder weegt, zijn de rol van betrokkene in het openbare leven, diens professionele hoedanigheid, het belang van het publiek bij kennisname en de juistheid van de bronpublicatie.[85] Het regime voor onrechtmatige publicaties wordt hiermee bijna geheel geïncorporeerd in de beoordeling. In procedures over publicaties inzake geschillen met de gemeente[86] en geschillen met betrekking tot de professionele integriteit,[87] wegen het belang van de zoekmachine-exploitant en het publiek in elk geval zwaarder. Ook wordt in de jurisprudentie bij een beroep op het recht op gegevenswissing gewicht toegekend aan de vraag of de verwerking van de persoonsgegevens feitelijk onjuist, onvolledig of niet ter zake dienend is.[88]

Hoewel in de rechtspraak is geoordeeld dat tuchtrechtelijke gegevens als zodanig niet onder het regime van bijzondere of strafrechtelijke persoonsgegevens vallen, wordt in een uitspraak van de rechtbank Amsterdam een parallel getrokken met een eerder oordeel van de Hoge Raad[89] over het verwerken van strafrechtelijke gegevens door Google. Het enkele feit dat iemand strafrechtelijk is veroordeeld en dat dit in de publiciteit is geweest, rechtvaardigt volgens de Hoge Raad nog niet de vindbaarheid van die gegevens via Google. Volgens de rechtbank Amsterdam dienen tuchtrechtelijke gegevens in dat opzicht gelijkgesteld te worden met strafrechtelijke gegevens. Ook deze omstandigheden rechtvaardigen als zodanig geen vindbaarheid via Google.[90]

Daarmee is overigens niet gezegd dat tuchtrechtelijke gegevens in het geheel niet op internet gepubliceerd mogen worden, zoals blijkt uit twee andere uitspraken van dezelfde rechtbank. In die uitspraken oordeelt de rechtbank juist dat de aard van de tuchtrechtelijke informatie bijdraagt aan het belang van publiek bij kennisname.[91] Andere relevante omstandigheden voor de vraag of zoekresultaten omtrent tuchtrechtelijke gegevens dienen te worden verwijderd, zijn het tijdsverloop sinds het opleggen van de tuchtmaatregelen en of de publicatietermijn van de tuchtrechtuitspraak al verlopen is.[92]

De rechtbank Noord-Nederland[93] en het gerechtshof Den Haag[94] oordelen – onder verwijzing naar HvJ EU GC/CNIL[95] – expliciet dat het verbod op verwerking van bijzondere of strafrechtelijke persoonsgegevens alleen ziet op de ‘eigen verwerking van bijzondere persoonsgegevens door de zoekmachine-exploitant, met name het weergeven van een verwijzing naar een bronpagina met persoonsgegevens in de lijst met zoekresultaten (..)’. De exploitant is dus niet verantwoordelijk voor het feit dat bijzondere of strafrechtelijke gegevens in bronpagina’s staan. De exploitant moet zelf afwegen of de opname van strafrechtelijke gegevens in de link noodzakelijk is ter bescherming van de vrijheid van informatie van de internetgebruikers. Indien dat het geval is, mag de exploitant de bijzondere of strafrechtelijke gegevens verwerken en hoeven deze niet te worden verwijderd door de exploitant als verwerkingsverantwoordelijke.

Overige verwijderverzoeken

Andere verwijderverzoeken richten zich onder meer tegen gemeenten,[96] een woningbouwvereniging,[97] jeugdhulp,[98] de Raad voor Rechtsbijstand,[99] banken[100] en verzekeraars.[101]

Ondanks het feit dat de gemeente Bladel eisers naam onjuist had verwerkt, heeft eiser geen recht op verwijdering, omdat deze gegevens door de gemeente worden gebruikt ter onderbouwing van een rechtsvordering.[102]

Het doorsturen naar andere bestuursorganen van persoonsgegevens in verband met mogelijk misbruik van WOB-verzoeken in combinatie met het innen van dwangsommen is niet onrechtmatig, want dit kan worden gebaseerd op de grondslag van een taak van algemeen belang.[103] De rechtbank Midden-Nederland oordeelt (onder de Wbp) dat ook het publiceren van persoonsgegevens op het VNG-forum op deze rechtsgrond kan worden gestoeld.[104] De betrokken gemeenten zijn niet gehouden de persoonsgegevens te verwijderen. Met de gemeente Gemert-Bakel is de rechtbank Oost-Brabant van mening dat het door de gemeente op het VNG-forum geplaatste bericht geen persoonsgegevens van eiser bevatte.[105]

Wanneer verzekeraars een gerechtvaardigd belang voor het verwerken van persoonsgegevens vanwege de verdenking van fraude onvoldoende substantiëren, is sprake van een verwerking zonder geldige grondslag. De gegevens dienden te worden verwijderd zonder dat overigens specifiek is aangegeven op basis van welk subonderdeel uit art. 17 lid 1 AVG.[106]

Als een moeder vordert dat háár moeder foto’s van de (klein)kinderen van social media moet verwijderen, oordeelt de rechtbank Gelderland dat niet is komen vast te staan dat de profielen van deze oma dermate afgeschermd waren dat haar een beroep op de huishoudexceptie toekomt. De AVG is dus van toepassing. Nu toestemming van de wettelijk vertegenwoordigers voor het verwerken van persoonsgegevens van hun minderjarige kinderen ontbreekt, moeten de foto’s van het betreffende profiel worden verwijderd.[107]

Misbruik van rechten van betrokkenen

Het recht op inzage kan vrijelijk en met redelijke tussenpozen worden uitgeoefend. Dit betekent dat de verzoeker geen reden hoeft te geven voor een inzageverzoek. Daarentegen beschermt de AVG de verwerkingsverantwoordelijke wel tegen verzoeken ‘die kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter’. Dergelijke verzoeken mag de verwerkingsverantwoordelijke weigeren op te volgen op grond van art. 12 lid 5 onder b AVG. In de praktijk wordt misbruik van de AVG vaak gebaseerd op art.l 3:13 Burgerlijk Wetboek.

Als de rechtbank Noord-Nederland het aannemelijk vindt dat het inzagerecht niet uitgeoefend wordt met het doel te controleren of persoonsgegevens juist zijn en rechtmatig worden verwerkt, maar voor het voeren van verweer in een rechtszaak, levert dat misbruik van recht op.[108] De rechtbank Rotterdam oordeelt dat sprake is van misbruik van recht als verzoeker veelvuldig verzoeken indient uitsluitend om zijn onschuld te bewijzen en om eventueel een rechtszaak te starten.[109] Geen misbruik van recht is volgens diezelfde rechtbank het doen van ‘nadere inzage’ als de verzoeker weet dat zijn persoonsgegevens zijn gedeeld door de verwerkingsverantwoordelijke en de verzoeker inzage wenst in de inhoud van de gedeelde informatie en de ‘niet denkbeeldige mogelijkheid’ bestaat dat verwerkingsverantwoordelijke nog meer berichten over verzoeker heeft gedeeld.[110]

Wanneer een ontslagen ambtenaar richting zijn voormalige werkgever veelvuldig zijn AVG-rechten inroept, levert dit misbruik van recht op, omdat de verzoeken uitsluitend dienen om duidelijkheid over het ontslag te verkrijgen en procedures te voeren om rehabilitatie te verkrijgen. De mogelijkheden voor de verzoeker om zijn AVG-rechten uit te oefenen worden voor twee jaar beperkt.[111]

Hoewel niet expliciet bestempeld als misbruik van recht, is de rechtbank Den Haag van mening dat het opvragen van een e-mail teneinde te achterhalen in wiens opdracht een faillissementsaanvraag is gedaan, niet onder de reikwijdte van de AVG valt.[112]

Bewijs

Omdat een verwerkingsverantwoordelijke nooit kan bewijzen dat hij geen (of niet meer) persoonsgegevens verwerkt, rust op de betrokkene de bewijslast om aan te tonen dat dit wel het geval is. Als een betrokkene twijfelt of volledig aan zijn inzageverzoek is voldaan, is het onvoldoende om dit zonder bewijsstukken te stellen.[113] Voor de stelling dat een verwerkingsverantwoordelijke bepaalde documenten niet heeft vernietigd, geldt een vergelijkbare argumentatie.[114] Wanneer een bestuursorgaan stelt dat zij een bepaald document niet (meer) onder zich heeft, beoordeelt de bestuursrechter of deze stelling hem wel of niet ‘ongeloofwaardig’ voorkomt.[115] Soms blijkt achteraf, bij nadere uitvraag door de AP, dat verwerkingsverantwoordelijken toch over documenten beschikken waarvan in een eerder inzageverzoek is ontkend dat zij daar nog over beschikten.[116]

Uitzonderingen

Privacy is een belangrijk grondrecht, maar geen absoluut recht. De AVG biedt ruimte, met name via nationaal recht, om in specifieke situaties de bescherming van persoonsgegevens te beperken. Veel van deze uitzonderingen zijn opgenomen in hoofdstuk 4 van de UAVG.

Art. 43 UAVG (uitzonderingen inzake journalistieke of academische, artistieke of literaire uitdrukkingsvormen) wordt tot dusverre in de rechtspraak het meest gebruikt.[117] Deze uitzondering wordt met succes ingeroepen om tv-uitzendingen door te laten gaan,[118] de publicatie van foto’s in een tijdschrift succesvol te verdedigen[119] en het gebruik van iemands stemfragment in een theatershow van Ali B. te rechtvaardigen.[120] Telkens komt de rechter in deze zaken na een belangenafweging, art. 5 en 6 AVG zijn immers gewoon van toepassing, tot de conclusie dat sprake is van een rechtmatige verwerking, waarbij de journalistieke of artistieke belangen prevaleren.

Omdat art. 43 lid 2 UAVG bepaalt dat hoofdstuk 3 van de AVG (rechten betrokkenen waaronder het recht op wissing) niet van toepassing is op verwerkingen voor uitsluitend journalistieke doeleinden, oordeelt de rechtbank Amsterdam dat de verzoekschriftprocedure ex art. 35 UAVG niet openstaat voor een eiser die zich beklaagt over de verwerking van zijn persoonsgegevens voor uitsluitend journalistieke doeleinden.[121] Deze verzoekschriftprocedure is immers gericht op het veiligstellen van rechten van betrokkenen.

Voor de toepassing van art. 24 UAVG (uitzondering op het verbod om bijzondere persoonsgegevens te verwerken voor o.a. historisch onderzoek) is het aan de verzoeker, die toegang wil tot archiefstukken in het Nationaal Archief, om aan te tonen dat het vragen van uitdrukkelijke toestemming van betrokkenen onmogelijk is of een onevenredige inspanning kost of dat het niet mogelijk is om aan bewijzen van overlijden te komen.[122]

Aansprakelijkheid en schadevergoeding

De AVG biedt de mogelijkheid om vermogensschade en immateriële schade te verhalen. Overweging 146 bij de AVG geeft aan dat het schadebegrip ‘ruim (moet) worden uitgelegd in het licht van de rechtspraak van het HvJ EU op een wijze die ten volle recht doet aan de doelstellingen van de (AVG)’. Wat dit concreet betekent, is nog niet duidelijk nu er geen jurisprudentie van het HvJ EU is op dit punt. In Nederland is al verschillende malen op grond van de AVG een vergoeding toegekend voor (immateriële) schade.

De rechtbank Overijssel kent als eerste een schadevergoeding onder de AVG toe. Een betrokkene die niet tijdig en volledig is geïnformeerd naar aanleiding van zijn inzageverzoek krijgt 500 euro schadevergoeding toegewezen.[123] In hoger beroep oordeelt de RvS echter dat geen sprake is van ernstig verwijtbaar gedrag met zo ernstige gevolgen dat dit als een inbreuk op een fundamenteel recht moet worden gekwalificeerd. Omdat de eiser geen concrete gegevens ter onderbouwing van de door hem gestelde schade heeft overlegd, wordt zijn verzoek tot schadevergoeding alsnog afgewezen.[124] De RvS geeft vervolgens in een persbericht duidelijkheid over de mogelijkheid om schadevergoeding op grond van de AVG te vragen bij de bestuursrechter en doet tegelijk uitspraak in drie andere zaken.[125] Naast de zojuist besproken zaak wordt 500 euro schadevergoeding toegekend aan een eiser wiens gezondheidsgegevens onterecht aan een tuchtcollege zijn verstrekt.[126] Twee personen die niet tijdig zijn geïnformeerd naar aanleiding van hun inzageverzoek krijgen geen schadevergoeding.[127] Op basis van deze uitspraken en de toelichting van de RvS kan worden geconcludeerd dat de rechtbank Midden-Nederland zich onterecht onbevoegd heeft verklaard in een zaak over de afwijzing van een verzoek om schadevergoeding voor onrechtmatige gegevensverwerkingen door een gemeente.[128] De rechtbank Oost-Brabant oordeelt met verwijzing naar de uitspraken van de RvS in drie gevallen dat geen recht op schadevergoeding bestaat en ziet tevens geen reden om prejudiciële vragen te stellen, zoals verzoeker vraagt.[129]

De rechtbank Amsterdam kent een schadevergoeding van 250 euro toe als blijkt dat het UWV onterecht informatie heeft verstuurd over het ziekteverleden van betrokkene aan haar nieuwe werkgever in een periode dat haar arbeidsovereenkomst verlengd moest worden.[130] De rechtbank concludeert dat sprake is van schade als gevolg van angst en stress, gedurende zes weken, over het risico dat haar arbeidsovereenkomst niet verlengd zou worden. Vermeldenswaardig in deze uitspraak is dat de betrokkene de rechtbank vraagt om, indien noodzakelijk voor het wijzen van het vonnis, prejudiciële vragen aan het HvJ EU te stellen over de betekenis en reikwijdte van het schadebegrip. De rechtbank acht dit echter niet nodig.

Ook de rechtbank Noord-Nederland kent een schadevergoeding toe als een verhuurder van onroerend goed de naam- en adresgegevens van een journalist deelt via Facebook.[131] De rechtbank is van mening dat betrokkene niet inzichtelijk heeft gemaakt waar de negatieve gevolgen uit bestaan. Echter, omdat het schadebegrip onder de AVG ruim moet worden uitgelegd en de rechtbank het aannemelijk vindt dat sprake is van angst en stress, acht zij een schadevergoeding van 250 euro redelijk en billijk.

Een notaris die het geheime woonadres van de verkopers van een huis opneemt in de conceptakte van levering en deze o.a. verstuurt naar de kopers van het huis, handelt niet onrechtmatig en hoeft geen schadevergoeding op grond van de AVG te betalen.[132]

Procesrecht en handhaving

Voorlopige voorziening

Een spoedeisend belang bij het verzoek tot verwijdering van een BKR-registratie wordt bijna altijd aangenomen indien de eiser/verzoeker bij de koop van een huis wordt belemmerd door die registratie of indien eiser/verzoeker een bijzonder belang heeft bij de koop van een woning, bijvoorbeeld een benarde woonsituatie.[133]

De rechtbank Rotterdam hanteerde een lagere drempel en nam een spoedeisend belang aan, omdat de registratie mogelijk nadelige gevolgen kan hebben voor bijvoorbeeld het openen van een bankrekening of afsluiten van een verzekering.[134] Volgens het gerechtshof Arnhem-Leeuwarden is de algemene stelling dat eiser geen huis kan kopen zonder verdere toelichting echter onvoldoende voor het aannemen van een spoedeisend belang.[135]

Verzoekschriftprocedure

De verzoekschriftprocedure van art. 35 lid 1 UAVG biedt naar de letter van de wet slechts ruimte om een beperkt aantal verzoeken in te dienen. Een verklaring voor recht of schadevergoeding kan bijvoorbeeld niet worden gevorderd. Desalniettemin blijkt er in de praktijk onduidelijkheid te bestaan over de mogelijkheden die deze procedure belanghebbenden biedt. Het gevolg is dat sommige rechters een vordering op formele punten afwijzen, terwijl andere rechters wel ruimte zien om tot een materieel oordeel te komen.[136] De rechter lijkt onder de AVG wel kritischer te zijn geworden over hetgeen via deze bijzondere rechtsgang gevorderd kan worden, hoewel de wettekst op dit punt inhoudelijk niet afwijkt van art. 46 Wbp.

Verder blijkt in de rechtszaal regelmatig discussie te ontstaan over de termijn van zes weken die volgt uit het tweede lid van art. 35 UAVG. Hoewel deze termijn op het eerste gezicht een duidelijk criterium lijkt, wordt deze termijn door rechters niet altijd strikt gehanteerd.[137] Dat is zowel het geval in verzoekschriftprocedures als in dagvaardingsprocedures. Sommige rechters zijn in het laatste geval van oordeel dat deze termijn sowieso niet van toepassing is.[138] Andere rechters hanteren deze beroepstermijn wel strikt.[139] Het gerechtshof Amsterdam oordeelt dat de zes weken termijn ook in kort geding geldt.[140] De rechtbank Oost-Brabant is van oordeel dat het niet tijdig indienen van een verzoekschrift of dagvaarding niet kan betekenen dat daarna via een kort geding alsnog tegen de afwijzing van een verzoek kan worden opgekomen.[141]

Zowel het gerechtshof Amsterdam als het gerechtshof Arnhem-Leeuwarden zijn van mening dat de verzoekschriftprocedure in beginsel niet aan een kortgedingprocedure in de weg staat.[142][LH2] [G.C.J.3]  Dit is anders indien de betrokkene de termijn voor het instellen van de verzoekschriftprocedure heeft laten verstrijken en daarom een dagvaardingsprocedure start. In dat geval moet de eiser in beginsel niet-ontvankelijk worden verklaard. Het stelsel strekt er namelijk mede toe dat partijen eerst zelf proberen om tot overeenstemming te komen. Daarna heeft de betrokkene slechts beperkt de tijd om een afwijzing aan de rechter voor te leggen om te voorkomen dat een verwerkingsverantwoordelijke pas na lange tijd wordt gedagvaard. Daarbij moet ook worden bedacht dat de verzoeker in principe opnieuw een verzoek kan doen waarna de termijn voor het instellen van een verzoekschriftprocedure opnieuw begint te lopen. Indien de betrokkene toch kiest voor een kort geding zal hij zijn spoedeisend belang tegen de achtergrond van art. 21 AVG en art. 35 UAVG moeten onderbouwen.

Bevoegdheid Cbb

In twee procedures stellen partijen beroep in bij het Cbb tegen een beslissing van de Kamer van Koophandel over een inzageverzoek. Het Cbb komt ambtshalve tot de conclusie dat zij onbevoegd is kennis te nemen van het beroep. De wetgever is volgens het Cbb vergeten om besluiten op grond van de AVG op te nemen in de zogenaamde Bevoegdheidsregeling bestuursrechtspraak en verwijst beide zaken naar de rechtbank Rotterdam. Tegen de uitspraak van die rechtbank kan vervolgens hoger beroep worden ingesteld bij de RvS.[143]

Handhaving door AP

In de kroniekperiode heeft de AP aan het Haga Ziekenhuis, de Nederlandse Tennisbond en het BKR een boete op grond van de AVG opgelegd. Ten aanzien van een vierde door de AP opgelegde boete, voor het onrechtmatig verwerken van biometrische persoonsgegevens van medewerkers, heeft de voorzieningenrechter geoordeeld dat vooralsnog de naam van verzoekster, haar adres en haar inschrijvingsnummer bij de Kamer van Koophandel in het boetebesluit niet openbaar mogen worden gemaakt.[144] Het BKR is in beroep gegaan en de andere partijen hebben (ten minste) bezwaar gemaakt tegen de opgelegde boete. Ten aanzien van de boete aan het BKR heeft de voorzieningenrechter (voorlopig) geoordeeld dat sprake is van schending van de AVG en dat er geen aanleiding is om het boetebesluit niet te publiceren.[145]

De AP is een aantal keren als verweerder betrokken in procedures naar aanleiding van besluiten van de AP om niet tot handhaving over te gaan. Drie zaken dienden bij de rechtbank Gelderland. Deze rechtbank concludeert dat de AP de eerder opgelegde last onder dwangsom aan de gemeente Arnhem kon opheffen omdat met haar nieuwe afvalregistratiesysteem de inbreuk (verder) beperkt is en daarom voldoet aan de beginselen van proportionaliteit en subsidiariteit.[146] Ook naar de werkwijze van de NS bij uitbetaling van het saldo van een anonieme chipkaart heeft de AP voldoende onderzoek verricht en hoeft niet handhavend te worden opgetreden.[147] Wanneer een busmaatschappij het betalen met contant geld in de bus afschaft omwille van de vergroting van de veiligheid concludeert de rechtbank dat de maatregel noodzakelijk en proportioneel is en dat de AP hiertegen niet handhavend hoeft op te treden.[148]

De AP is volgens de rechtbank Midden-Nederland ook niet gehouden handhavend op te treden tegen de beheerder van het Landelijk Schakelpunt omdat er voldoende technische en organisatorische waarborgen zijn getroffen, ook al heeft de AP geconstateerd dat er in enkele gevallen geen geldige toestemming is verkregen alvorens een patiënt werd aangemeld bij het LSP.[149] In het kader van het handhavingsverzoek tegen apothekers kon de AP, naar de mening van de rechtbank, volstaan met handhaving bij een apotheker die patiënten aanmeldde bij het LSP zonder geldige toestemming. Dit omdat niet op grote schaal sprake is van onjuiste en niet verifieerbare registratieprocedure.[150]

Conclusie

De rijke oogst aan uitspraken maakt duidelijk dat de AVG in de rechtszaal een vliegende start heeft gemaakt met veel lagere rechtspraak en enkele belangrijke uitspraken uit Luxemburg. Zoals valt te verwachten, zijn veel uitspraken erg casuïstisch. Voor nog meer principiële oordelen is het wachten op uitspraken van de Hoge Raad en het HvJ EU.[151] In de kroniekperiode is geen gebruik gemaakt van de mogelijkheid om prejudiciële vragen aan het HvJ EU te stellen, hoewel de uitleg van bijvoorbeeld het schadebegrip uit de AVG daar wel aanleiding voor lijkt te geven.[152] Opvallend is dat vooral lagere rechters soms lijken te worstelen met de juiste toepassing van de AVG.

Wat valt er verder op? Het recht op verwijdering domineert de rechtspraak in absolute aantallen en ook over het recht van inzage wordt veel geprocedeerd. Andere rechten van betrokkenen spelen in de rechtspraak niet of nauwelijks een rol. Ook over de brede verantwoordingsplicht onder de AVG, waaronder de aangescherpte informatieplicht voor de verwerkingsverantwoordelijke, wordt tot nu toe nauwelijks geprocedeerd. Een mogelijk interessante uitspraak op dit punt zou kunnen volgen op het verzoekschrift dat vier chauffeurs van Uber hebben ingediend bij de rechtbank Amsterdam.[153] Ook zou dat zomaar kunnen veranderen wanneer de AP op dit punt een boete oplegt. Tot op heden zijn er slechts enkele boetes opgelegd en die boetes hebben nog maar zeer beperkt tot jurisprudentie geleid. Dat gaat ongetwijfeld veranderen in de komende periode, want de boetes zijn dusdanig hoog dat bezwaar en beroep verleidelijk zijn voor de partijen die zijn beboet.

Tot slot valt op dat de eerste uitspraken over schadevergoeding op grond van de AVG weliswaar zijn verschenen, maar dat dit nog niet tot toekenning van forse schadevergoedingen heeft geleid. Wellicht dat de stellingname van de AP – dat een zuiver commercieel belang geen gerechtvaardigd belang in de zin van de AVG oplevert – nog tot een flinke uitbreiding van het aantal verzoeken om schadevergoeding gaat leiden. Zeker in combinatie met de verdere verruiming van de mogelijkheid tot het instellen van massaclaims is dit niet ondenkbaar.

Wat zeker lijkt, is dat er volgende keer weer voldoende nieuws valt te melden.

[1] Om deze reden wordt bijvoorbeeld de uitspraak over het Systeem Risico Indicatie (SyRI) van de rechtbank Den Haag in deze kroniek niet besproken, zie ECLI:NL:RBDHA:2020:865.

[2] ABRvS 22 januari 2020, ECLI:NL:RVS:2020:174, r.o. 3.4.

[3] Rb. Zeeland-West-Brabant 5 juli 2018, ECLI:NL:RBZWB:2018:4139, r.o. 4.7.

[4] Rb. Amsterdam 13 juni 2019, ECLI:NL:RBAMS:2019:4140, r.o. 12.

[5] Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEU 1995, L 281).

[6] HvJ EU 17 juli 2014, C‑141/12 en C‑372/12, ECLI:EU:C:2014:2081 (IND), naar aanleiding van prejudiciële vragen in ABRvS 24 december 2014, ECLI:NL:RVS:2014:4626 en ABRvS 24 december 2014, ECLI:NL:RVS:2014:4631.

[7] Hof Den Haag 17 september 2019, ECLI:NL:GHDHA:2019:2398, r.o. 4.13 met verwijzing naar HvJ EU 20 december 2017, C-434/16, ECLI:EU:C:2017:994 (Peter Nowak/Data Protection Commissioner).

[8] Rb. Den Haag 2 mei 2019, ECLI:NL:RBDHA:2019:5110, r.o. 4.2.

[9] Rb. Noord-Nederland 23 april 2019, ECLI:NL:RBNNE:2019:3761, r.o. 6 en Rb. Noord-Nederland 23 april 2019, ECLI:NL:RBNNE:2019:3762, r.o. 6.

[10] Rb. Midden-Nederland 5 november 2019, ECLI:NL:RBMNE:2019:5275, r.o. 8.

[11] Rb. Amsterdam 22 maart 2018, ECLI:NL:RBAMS:2018:3355, r.o. 4.4 en Rb. Amsterdam 19 juli 2018, ECLI:NL:RBAMS:2018:8606, r.o. 4.5.

[12] Rb. Amsterdam 19 juli 2018, ECLI:NL:RBAMS:2018:8606, r.o. 4.5; Rb. Amsterdam 25 september 2019, ECLI:NL:RBAMS:2019:8329, r.o. 6.3; Rb. Amsterdam 23 december 2019, ECLI:NL:RBAMS:2019:9887, r.o. 4.14-4.18.

[13] Rb. Amsterdam 23 december 2019, ECLI:NL:RBAMS:2019:9887, r.o. 4.8.

[14] HR 29 mei 2009, ECLI:NL:HR:2009:BH4720.

[15]Hof Arnhem-Leeuwarden 28 april 2020, ECLI:NL:GHARL:2020:3374, r.o. 5.26.

[16] Rb. Oost-Brabant 25 maart 2019, ECLI:NL:RBOBR:2019:1647, r.o. 7.

[17] Rb. Noord-Nederland 20 december 2018, ECLI:NL:RBNNE:2018:5385, r.o. 5.1.

[18] HvJ EU 5 juni 2018, C-210/16, ECLI:EU:C:2018:388 (Wirtschaftsakademie Schleswig-Holstein); HvJ EU 10 juli 2018, C-25/17, ECLI:EU:C:2018:551 (Jehovan todistajat); HvJ EU 29 juli 2019, C-40/17, ECLI:EU:C:2019:629 (Fashion ID).

[19] HvJ EU 29 juli 2019, C-40/17, ECLI:EU:C:2019:629 (Fashion ID), r.o. 70-74.

[20] Rb. Midden-Nederland 3 april 2019, ECLI:NL:RBMNE:2019:2134, r.o. 5.

[21] HvJ EU 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801 (Planet49), r.o. 61-62.

[22] Rb. Midden-Nederland 6 juni 2018, ECLI:NL:RBMNE:2018:3788, r.o. 4.3.

[23] Rb. Midden-Nederland 10 juni 2020, ECLI:NL:RBMNE:2020:73, r.o. 8-9.

[24] Rb. Midden-Nederland 10 januari 2020, ECLI:NL:RBMNE:2020:74, r.o. 6.

[25] Rb. Noord-Nederland 28 april 2020, ECLI:NL:RBNNE:2020:1828, r.o. 2.4.5-2.4.6.

[26] Rb. Gelderland 19 december 2019, ECLI:NL:RBGEL:2019:5934, r.o. 4.14-4.15; Hof Arnhem-Leeuwarden 17 december 2019, ECLI:NL:GHARL:2019:10906, r.o. 5.9.

[27] Rb. Midden-Nederland 26 maart 2020, ECLI:NL:RBMNE:2020:1107.

[28] Rb. Oost-Brabant 10 juli 2019, ECLI:NL:RBOBR:2019:4091, r.o. 4.13.

[29] Verzamelwet gegevensbescherming, art. 68a Faillisementswet, internetconsultatie.nl 20 mei 2020, internetconsultatie.nl/verzamelwetgegevensbescherming (geraadpleegd op 10 juli 2020).

[30] Rb. Rotterdam 27 augustus 2018, ECLI:NL:RBROT:2018:7943, r.o. 3.2.

[31] College voor beroep en bedrijfsleven 14 januari 2020, ECLI:NL:CBB:2020:3, r.o. 4.3.

[32] Rb. Amsterdam 15 november 2018, ECLI:NL:RBAMS:2018:8138, r.o. 4.11.

[33] Rb. Den Haag 11 februari 2020, ECLI:NL:RBDHA:2020:1013, r.o. 4.25.

[34] Hof Den Haag 12 februari 2019, ECLI:NL:GHDHA:2019:470, r.o. 4.59-4.60.

[35] Rb. Den Haag 8 maart 2019, ECLI:NL:RBDHA:2019:2844, r.o. 15.

[36] Rb. Noord-Nederland 13 december 2019, ECLI:NL:RBNNE:2019:5168, r.o. 4.21; Rb. Noord-Nederland 16 december 2019, ECLI:NL:RBNNE:2019:5195, r.o. 4.6.

[37] Rb. Amsterdam 30 juli 2019,ECLI:NL:RBAMS:2019:5589, r.o. 4.13-4.23.

[38] Autoriteit Persoonsgegevens, Normuitleg grondslag ‘Gerechtvaardigd belang’, 1 november 2019.

[39] Ook de AP was eerder tot deze conclusie gekomen en besloot daarom hiertegen niet handhavend op te treden. Dit vormde de aanleiding voor deze rechtszaak in eerste instantie (Rb. Midden-Nederland 12 maart 2019, ECLI:NL:RBMNE:2019:2725, r.o. 3.). De beoordeling van de rechtmatigheid van dit cameratoezicht en het niet-handhaven door de AP bleef vervolgens ook in hoger beroep in stand: ABRvS 26 februari 2020, ECLI:NL:RVS:2020:594, r.o. 5.1.

[40] Rb. Amsterdam 10 oktober 2018, ECLI:NL:RBAMS:2018:7398, r.o. 4.9; Rb. Amsterdam 21 maart 2019, ECLI:NL:RBAMS:2019:2166, r.o. 4.8.

[41] Rb. Amsterdam 21 december 2018, ECLI:NL:RBAMS:2018:9362, r.o. 4.16.

[42] Rb. Midden-Nederland 8 februari 2019, ECLI:NL:RBMNE:2019:423, r.o. 4.23, in hoger beroep bevestigd door Hof Arnhem-Leeuwarden 5 november 2019, ECLI:NL:GHARL:2019:9352, r.o. 5.18-5.22.

[43] Rb. Den Haag 30 april 2020, ECLI:NL:RBDHA:2020:3980, r.o. 4.17.

[44] Rb. Limburg 15 augustus 2018, ECLI:NL:RBLIM:2018:8016, r.o. 4.14-4.15.

[45]Rb. Overijssel 9 oktober 2019, ECLI:NL:RBOVE:2019:3755, r.o. 4.17.

[46] Rb. Overijssel 9 oktober 2019, ECLI:NL:RBOVE:2019:3754, r.o. 4.8.

[47] Hof Arnhem-Leeuwarden 28 april 2020, ECLI:NL:GHARL:2020:3374, r.o. 5.28.

[48] Rb. Amsterdam 18 maart 2020, ECLI:NL:RBAMS:2020:2200, r.o. 4.5.

[49] Rb. Rotterdam, 10 april 2020, ECLI:NL:RBROT:2020:3430, r.o. 4.6-4.9.

[50] Rb. Amsterdam 28 maart 2019, ECLI:NL:RBAMS:2019:2295, r.o. 10.3.

[51] Rb. Amsterdam 12 augustus 2019, ECLI:NL:RBAMS:2019:6005, r.o. 26.

[52] Rb. Rotterdam 12 december 2019, ECLI:NL:RBROT:2019:9757, r.o. 4.9.

[53] Rb. Overijssel 17 december 2019, ECLI:NL:RBOVE:2019:5057.

[54] Rb. Oost-Brabant 27 juli 2018, ECLI:NL:RBOBR:2018:3609, r.o. 9.

[55] Rb. Den Haag 21 maart 2020, ECLI:NL:RBDHA:2020:2918, r.o. 6.

[56] Concl. A-G B.J. Drijber ECLI:NL:PHR:2018:1273, punt 3.10 bij en bevestigd in HR 21 december 2018, ECLI:NL:HR:2018:2378.

[57] Rb. Den Haag 10 oktober 2019, ECLI:NL:RBDHA:2019:13029, r.o. 4.3; Rb. Amsterdam 20 juni 2019, ECLI:NL:RBAMS:2019:4418, r.o. 4.6; Rb. Rotterdam 21 januari 2020, ECLI:NL:RBROT:2020:483, r.o. 3.4.

[58] Rb. Noord-Holland 23 mei 2019, ECLI:NL:RBNHO:2019:4283, r.o. 4.5; Rb. Amsterdam 20 juni 2019, ECLI:NL:RBAMS:2019:4418, r.o. 4.7 in lijn met HvJ EU 20 december 2017, C-434/16, ECLI:EU:C:2017:994 (Peter Nowak/ Data Protection Commissioner).

[59] Rb. Den Haag 10 oktober 2019, ECLI:NL:RBDHA:2019:13029, r.o. 4.8; Rb. Noord-Holland 23 mei 2019, ECLI:NL:RBNHO:2019:4283, r.o. 4.10 in lijn met HR 29 juni 2007, ECLI:NL:HR:2007:AZ4663.

[60] Rb. Noord-Holland 23 mei 2019, ECLI:NL:RBNHO:2019:4283, r.o. 4.10 in lijn met HvJ EU 17 mei 2014, C-141/12 en C-372/12, ECLI:EU:C:2014:2081 (IND).

[61] Hof Den Haag 17 september 2019, ECLI:NL:GHDHA:2019:2398, r.o. 4.21.

[62]Rb. Den Haag 10 oktober 2019, ECLI:NL:RBDHA:2019:13029, r.o. 4.5; Hof Den Haag 17 september 2019, ECLI:NL:GHDHA:2019:2398, r.o. 4.19; Rb. Rotterdam 21 januari 2020, ECLI:NL:RBROT:2020:515, r.o. 4.5; Rb. Noord-Holland 23 mei 2019, ECLI:NL:RBNHO:2019:4283, r.o. 4.6; Rb. Amsterdam 20 juni 2019, ECLI:NL:RBAMS:2019:4418, r.o. 4.8; Rb. Rotterdam 21 januari 2020, ECLI:NL:RBROT: 2020:483, r.o. 3.5; Rb. Amsterdam 20 juni 2019, ECLI:NL:RBAMS:2019:4404, r.o. 4.8.

[63] Rb. Noord-Holland 23 mei 2019, ECLI:NL:RBNHO:2019:4283, r.o. 4.17; Rb. Amsterdam 20 juni 2019, ECLI:NL:RBAMS:2019:4404, r.o. 4.11; Rb. Amsterdam 20 juni 2019, ECLI:NL:RBAMS:2019:4418, r.o. 4.11.

[64] Rb. Amsterdam 20 juni 2019, ECLI:NL:RBAMS:2019:4418, r.o. 4.15-4.16.

[65] Rb. Rotterdam 21 januari 2020, ECLI:NL:RBROT:2020:515, r.o. 4.7.

[66] Rb. Noord-Nederland 7 mei 2020, ECLI:NL:RBNNE:2020:2048, r.o. 4.2 en 4.11.1.

[67] Rb. Den Haag 31 augustus 2018, ECLI:NL:RBDHA:2018:10910, r.o .4.6.

[68] RvS 29 april 2020, ECLI:NL:RVS:2020:1149, r.o. 4-6.

[69] Rb. Rotterdam 13 maart 2020, ECLI:NL:RBROT:2020:2460, r.o. 5.

[70]Rb. Rotterdam 24 januari 2019, ECLI:NL:RBROT:2019:4928, r.o. 7.3 en ABRvS 22 januari 2020, ECLI:NL:RVS:2020:180, r.o. 4.3.

[71] Rb. Den Haag 2 mei 2019, ECLI:NL:RBDHA:2019:5110, r.o. 4.1, 4.3.

[72] Hof Arnhem-Leeuwarden 14 januari 2020, ECLI:NL:GHARL:2020:263, r.o. 4.7.

[73] Het register van Stichting BKR (Bureau Krediet Registratie) waarin elke lening boven een drempelbedrag wordt vastgelegd die kredietverstrekkers in Nederland verstrekken.

[74] Het door financiële instellingen bijgehouden externe verwijzingsregister (EVR) waarin genoteerd wordt welke (rechts)personen betrokken zijn bij een incident dat van dien aard is dat ook andere financiële instellingen hiervan kennis dienen te kunnen nemen.

[75] Het door financiële instellingen bijgehouden interne verwijzingsregister (IVR) waarin genoteerd wordt welke (rechts)personen betrokken zijn bij een incident zodat bankmedewerkers van de betreffende financiële instelling hiervan kennis kunnen nemen.

[76] HR 9 september 2011, ECLI:NL:HR:2011:BQ8097, r.o. 4.7-4.9 (Santander).

[77] Rb. Den Haag 7 maart 2019, ECLI:NL:RBDHA:2019:4323, r.o. 4.9; Rb. Zeeland-West-Brabant 2 april 2019, ECLI:NL:RBZWB:2019:1336, r.o. 4.8 e.v.; Rb. Amsterdam 30 mei 2019, ECLI:NL:RBAMS:2019:3858, r.o. 4.8 e.v.; Rb. Midden-Nederland, 15 juli 2019, ECLI:NL:RBMNE:2019:3644, r.o. 2.8; Rb. Amsterdam 7 juni 2019, ECLI:NL:RBAMS:2019:4363, r.o. 4.7-4.10; Rb. Amsterdam 18 juli 2019, ECLI:NL:RBAMS:2019:5182, r.o. 4.6; Rb. Amsterdam 20 november 2018, ECLI:NL:RBAMS:2018:8257, r.o. 4.7-4.9; Rb. Midden-Nederland 30 november 2018, ECLI:NL:RBMNE:2018:6641, r.o. 4.5-4.14; Hof Den Haag 24 september 2019, ECLI:NL:GHDHA:2019:2458, r.o. 3.2-3.15; Rb. Amsterdam 26 september 2019, ECLI:NL:RBAMS:2019:7103, r.o. 4.1-4.5; Rb. Zeeland-West-Brabant 21 oktober 2019, ECLI:NL:RBZWB:2019:4846, r.o. 3.16-3.22; Rb. Amsterdam 31 oktober 2019, ECLI:NL:RBAMS:2019:8135, r.o. 4.10-4.14; Rb. Midden-Nederland 6 november 2019, ECLI:NL:RBMNE:2019:5203, r.o. 3.8-3.16; Rb. Den Haag 13 december 2019, ECLI:NL:RBDHA:2019:13444, r.o. 4.11-4.14; Rb. Amsterdam 17 oktober 2019, ECLI:NL:RBAMS:2019:7705, r.o. 4.11-4.12; Rb. Noord-Nederland 11 maart 2019, ECLI:NL:RBNNE:2019:5798, r.o. 4.7-4.11; Hof Arnhem-Leeuwarden 28 april 2020, ECLI:NL:GHARL:2020:3464, r.o. 4.6.

[78] Zie bijvoorbeeld Rb. Amsterdam 17 oktober 2019, ECLI:NL:RBAMS:2019:7705, r.o. 4.12.

[79] Zie bijvoorbeeld Hof Arnhem-Leeuwarden 3 december 2019, ECLI:NL:GHARL:2019:10345, r.o. 4.9-4.15.

[80] Hof Arnhem-Leeuwarden 14 januari 2020, ECLI:NL:GHARL:2020:263, r.o. 4.1-4.8; Rb. Amsterdam 8 januari 2020, ECLI:NL:RBAMS:2020:62, r.o.4.7-4.8.

[81] Zie bijvoorbeeld Rb. Noord-Nederland 11 maart 2019, ECLI:NL:RBNNE:2019:5798, r.o. 4.11; Hof Arnhem-Leeuwarden 14 januari 2020, ECLI:NL:GHARL:2020:263, r.o. 4.11.

[82] Rb. Rotterdam 6 januari 2020, ECLI:NL:RBROT:2020:211, r.o. 4.5-4.15.

[83] HvJ EU, 13 mei 2014, C-131/12, ECLI:EU:C:2014:317 (Google Spain/AEPD en Mario Costeja González).

[84] HR 24 februari 2017, ECLI:NL:HR:2017:316 (X/Google-arrest).

[85] Rb. Rotterdam 7 februari 2019, ECLI:NL:RBROT:2019:948 r.o. 4.11-4.12; Hof Den Haag 16 april 2019, ECLI:NL:GHDHA:2019:1472 r.o. 4.14-4.27; Rb. Den Haag 28 juni 2019, ECLI:NL:RBDHA:2019:6302 r.o. 2.20 t/m 2.31; Rb. Amsterdam 23 december 2019, ECLI:NL:RBAMS:2019:9887, r.o. 4.16-4.20.

[86] Rb. Rotterdam 7 februari 2019, ECLI:NL:RBROT:2019:948 r.o. 4.10-4.12; Rb. Den Haag 28 juni 2019, ECLI:NL:RBDHA:2019:6302 r.o. 2.20-2.31.

[87] Hof Den Haag 16 april 2019, ECLI:NL:GHDHA:2019:1472 r.o. 4.14-4.27; Rb. Amsterdam 22 maart 2018, ECLI:NL:RBAMS:2018:3355, r.o. 4.19; Rb. Gelderland 22 oktober 2018, ECLI:NL:RBGEL:2018:5600, 4.12; Rb. Midden-Nederland, ECLI:NL:RBMNE:2018:5594 r.o. 4.17.

[88] Rb. Amsterdam 22 maart 2018, ECLI:NL:RBAMS:2018:3355 r.o. 3.3; Rb. Den Haag 28 juni 2019, ECLI:NL:RBDHA:2019:6302, r.o. 2.21; Rb. Amsterdam 19 juli 2018, ECLI:NL:RBAMS:2018:8606, r.o. 4.7-4.10; Rb. Midden-Nederland 14 november 2018, r.o. 4.16, ECLI:NL:RBMNE:2018:5594; Rb. Noord-Nederland 12 december 2019, ECLI:NL:RBNNE:2019:5169 r.o. 6.12.

[89] HR 24 februari 2017, ECLI:NL:HR:2017:316 (X/Google-arrest).

[90] Rb. Amsterdam 19 juli 2018, ECLI:NL:RBAMS:2018:8606, r.o. 4.12.

[91] Rb. Amsterdam 25 september 2019, ECLI:NL:RBAMS:2019:8329, r.o. 6.3; Rb. Amsterdam 23 december 2019, ECLI:NL:RBAMS:2019:9887, r.o. 4.14 t/m 4.18.

[92] Rb. Amsterdam 23 december 2019, ECLI:NL:RBAMS:2019:9887, r.o. 4.20.

[93] Rb. Noord-Nederland 12 december 2019, ECLI:NL:RBNNE:2019:5169, r.o. 6.8 en 6.13.

[94] Hof Den Haag 24 december 2019, ECLI:NL:GHDHA:2019:3539, r.o. 4.4.

[95] HvJ EU 24 september 2019,C‑507/17, ECLI:EU:C:2019:772 (Google/CNIL).

[96] Rb. Oost-Brabant 25 maart 2019, ECLI:NL:RBOBR:2019:1647; Rb. Oost-Brabant 27 juli 2018, ECLI:NL:RBOBR:2018:3609; Rb. Midden-Nederland 15 november 2019, ECLI:NL:RBMNE:2019:5430.

[97] Rb. Noord-Holland 22 augustus 2019, ECLI:NL:RBNHO:2019:7724.

[98] Hof Arnhem-Leeuwarden 10 september 2019, ECLI:NL:GHARL:2019:7410.

[99] Rb. Rotterdam 18 maart 2020, ECLI:NL:RBROT:2020:2256; Rb. Rotterdam 18 maart 2020, ECLI:NL:RBROT:2020:2257.

[100] Hof Amsterdam 3 september 2019, ECLI:NL:GHAMS:2019:3232; Rb. Den Haag 2 april 2020, ECLI:NL:RBDHA:2020:3139.

[101] Rb. Midden-Nederland 3 april 2019, ECLI:NL:RBMNE:2019:2134; Rb. Rotterdam 7 augustus 2019, ECLI:NL:RBROT:2019:6448.

[102] Rb. Oost-Brabant 25 maart 2019, ECLI:NL:RBOBR:2019:1647, r.o. 8; Rb. Oost-Brabant 27 juli 2018, ECLI:NL:RBOBR:2018:3609, r.o. 8.

[103] Rb. Midden-Nederland 9 april 2020, ECLI:NL:RBMNE:2020:1487, r.o. 10-12; Rb. Oost-Brabant 28 april 2020, ECLI:NL:RBOBR:2020:2729, r.o. 2-4; Rb. Oost-Brabant 28 april 2020, ECLI:NL:RBOBR:2020:2437, r.o. 6.3.

[104] Rb. Midden-Nederland 15 november 2019, ECLI:NL:RBMNE:2019:5430, r.o. 6.4

[105] Rb. Oost-Brabant 28 april 2020, ECLI:NL:RBOBR:2020:2730, r.o. 5-6.

[106] Hof Den Haag 7 april 2020, ECLI:NL:GHDHA:2020:559, r.o. 2.14-2.28; Rb. Rotterdam 7 augustus 2019, ECLI:NL:RBROT:2019:6448, r.o. 4.20; Rb. Amsterdam 13 februari 2020, ECLI:NL:RBAMS:2020:838, r.o. 3.2 en 4.3.

[107] Rb. Gelderland 13 mei 2020, ECLI:NL:RBGEL:2020:2521, r.o. 4.5 en 4.6.

[108] Rb. Noord-Nederland 23 april 2019, ECLI:NL:RBNNE:2019:3761, r.o. 6; Rb. Noord-Nederland 23 april 2019, ECLI:NL:RBNNE:2019:3762, r.o. 6 hierbij verwijzend naar een uitspraak van de ABRvS 6 februari 2019, ECLI:NL:RVS:2019:347 (een vergelijkbaar vraagstuk onder de Wbp).

[109] Rb. Rotterdam 21 januari 2020, ECLI:NL:RBROT:2020:483, r.o. 3.7; Rb. Rotterdam 21 januari 2020, ECLI:NL:RBROT:2020:515, r.o. 4.8.

[110] Rb. Rotterdam 27 mei 2019, ECLI:NL:RBROT:2019:4265, r.o. 8.3.

[111] Rb. Limburg 5 september 2019, ECLI:NL:RBLIM:2019:10535, r.o. 4.4 en 5.2. Voor de bestuursrechtelijke afhandeling van deze zaak, zie ABRvS 6 november 2019, ECLI:NL:RVS:3750 en ABRvS 6 november 2019, ECLI:NL:RVS:3754.

[112] Rb. Den Haag 31 augustus 2018, ECLI:NL:RBDHA:2018:10910, r.o. 4.9.

[113] Rb. Amsterdam 20 juni 2019, ECLI:NL:RBAMS:2019:4418, r.o. 4.18; Rb. Amsterdam 21 maart 2019, ECLI:NL:RBAMS:2019:2166, r.o. 4.35.

[114] ABRvS 13 november 2019, ECLI:NL:RVS:2019:3848, r.o. 5.

[115] Rb. Rotterdam 19 maart 2020, ECLI:NL:RBROT:2020:2460, r.o. 7; ABRvS 26 februari 2020, ECLI:NL:RVS:2020:591, r.o. 5.1.

[116] Rb. Zeeland-West-Brabant 20 maart 2020, ECLI:NL:RBZWB:2020:1326, r.o. 3.1.

[117] Art. 43 UAVG geeft uitvoering aan art. 85 AVG. Art. 17.3.a AVG kent overigens een uitzondering op het recht op gegevenswissing voor zover die verwerking nodig is voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie.

[118] Rb. Zeeland-West-Brabant 5 juli 2018, ECLI:NL:RBZWB:4139; Hof Amsterdam 27 september 2018, ECLI:NL:GHAMS:2018:3546; Rb. Amsterdam 26 juni 2019, ECLI:NL:RBAMS:2019:4533; Rb. Amsterdam 13 maart 2020, ECLI:NL:RBAMS:2020:1728.

[119] Rb. Amsterdam 12 oktober 2018, ECLI:NL:RBAMS:2018:7397.

[120] Rb. Midden-Nederland 9 januari 2020, ECLI:NL:RBMNE:2020:24.

[121] Rb. Amsterdam 31 januari 2019, ECLI:NL:RBAMS:2019:645, r.o. 4.3.

[122] ABRvS 29 januari 2020, ECLI:NL:RVS:2020:251, r.o. 4.2.

[123] Rb. Overijssel 28 mei 2019, ECLI:NL:RBOVE:2019:1827, r.o. 5-9.

[124] ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 26-33.

[125] ABRvS ‘Bestuursrechter kan vaker schadevergoeding geven bij schenden privacywetgeving door bestuursorganen’, raadvanstate.nl 1 april 2020, raadvanstate.nl/actueel/nieuws/@120666/bestuursrechter-kan-vaker/ (geraadpleegd op 26 mei 2020).

[126] ABRvS 1 april 2020, ECLI:NL:RVS:2020:898. Het betreft hier een hoger beroepzaak waarbij de uitspraak in eerste aanleg niet is gepubliceerd. Kennelijk is in eerste aanleg, op grond van de Wbp, 300 euro schadevergoeding toegekend.

[127] ABRvS 1 april 2020, ECLI:NL:RVS:2020:900 en ABRvS 1 april 2020, ECLI:NL:RVS:2020:901.

[128] Rb. Midden-Nederland 15 november 2019, ECLI:NL:RBMNE:2019:5430, r.o. 7.2.

[129] Rb. Oost-Brabant 28 april 2020, ECLI:NL:RBOBR:2020:2437, r.o. 7.3-7.4; Rb. Oost-Brabant 28 april 2020, ECLI:NL:RBOBR:2729, r.o. 6.3-6.4; Rb. Oost-Brabant 28 april 2020, ECLI:NL:RBOBR:2730, r.o. 8.3-8.4.

[130] Rb. Amsterdam 2 september 2019, ECLI:NL:RBAMS:2019:6490, r.o. 18.

[131] Rb. Noord-Nederland 15 januari 2020, ECLI:NL:RBNNE:2020:247, r.o. 4.104-4.107.

[132] Rb. Limburg 26 februari 2020, ECLI:NL:RBLIM:2020:1761, r.o. 4.5.12.

[133] Rb. Amsterdam 29 mei 2019, ECLI:NL:RBAMS:2019:3857, r.o. 4.12.4; Rb. Amsterdam 7 juni 2019, ECLI:NL:RBAMS:2019:4363, r.o. 4.10-4.13; Rb. Amsterdam 18 juli 2019, ECLI:NL:RBAMS:2019:5182, r.o. 2.8, 4.1-4.6; Rb. Midden-Nederland 30 november 2018, ECLI:NL:RBMNE:2018:6641, r.o. 4.14.

[134] Rb. Rotterdam, 6 januari 2020, ECLI:NL:RBROT:2020:211, r.o. 4.2.

[135] Hof Arnhem-Leeuwarden 7 januari 2020,ECLI:NL:GHARL:2020:126, r.o. 5.9.

[136] Rb. Overijssel 9 oktober 2019, ECLI:NL:RBOVE:2019:3755; Hof Amsterdam 5 november 2019, ECLI:NL:GHAMS:2019:3966; Rb. Den Haag 28 februari 2018, ECLI:NL:RBDHA:2019:1988.

[137] Rb. Noord-Nederland 13 maart 2017, ECLI:NL:RBNNE:2017:877, r.o. 4.1-4.4; Rb. Midden-Nederland 29 mei 2019, ECLI:NL:RBMNE:2019:2434, r.o. 3.3.; Rb. Overijssel 9 oktober 2019, ECLI:NL:RBOVE:3755, r.o. 4.5.

[138] Rb. Rotterdam 27 augustus 2018, ECLI:NL:RBROT:2018:7070, r.o. 4.5, in navolging van Hof Den Haag 15 december 2015, ECLI:NL:GHDHA:2015:3815.

[139] Rb. Den Haag 28 februari 2019, ECLI:NL:RBDHA:1988, r.o. 4.9.

[140] Hof Amsterdam 19 december 2017, ECLI:NL:GHAMS:2017:5289, r.o. 3.5-3.6; Hof Amsterdam 5 november 2019, ECLI:NL:GHAMS:2019:3966, r.o. 3.4.5.

[141] Rb. Oost-Brabant 7 mei 2020, ECLI:NL:RBOBR:2020:2534, r.o. 4.4.

[142] Hof Arnhem-Leeuwarden, 7 januari 2020, ECLI:NL:GHARL:2020:126 r.o. 5.8 en 5.9 en Hof Amsterdam, 5 november 2019, ECLI:NL:GHAMS:2019:3966, r.o. 3.4.4-3.4.6.

[143] College van Beroep voor het Bedrijfsleven 21 april 2020, ECLI:NL:CBB:2020:297 en College van Beroep voor het Bedrijfsleven 21 april 2020, ECLI:NL:CBB:2020:298.

[144] Rb. Limburg 4 maart 2020, ECLI:NL:RBLIM:2020:1795, r.o. 7.

[145] Rb. Gelderland 29 juni 2020, ECLI:NL:RBGEL:2020:3159, r.o. 9.5-9.7, 10.

[146] Rb. Gelderland 5 september 2019, ECLI:NL:RBGEL:2019:4012, r.o. 9.1-9.5.

[147] Rb. Gelderland 5 februari 2020, ECLI:NL:RBGEL:2020:622, r.o. 4.2.

[148] Rb. Gelderland 5 februari 2020, ECLI:NL:RBGEL:2020:619, r.o. 7.1.

[149] Rb. Midden-Nederland 10 januari 2020, ECLI:NL:RBMNE:2020:73, r.o. 7-9.

[150] Rb. Midden-Nederland 10 januari 2020, ECLI:NL:RBMNE:2020:74, r.o. 15.

[151] Zo is buiten de kroniekperiode door het HvJ geoordeeld over doorgifte op basis van een adequaatheidsbesluit (specifiek het EU-VS Privacy Shield) en doorgifte op basis van modelcontracten in HvJ EU 16 juli 2020, C‑311/18, ECLI:EU:C:2020:559 (Schrems II).

[152] Net buiten de kroniekperiode valt Rb. Midden-Nederland 29 mei 2020, ECLI:NL:RBMNE:2020:2028 waarin de rechtbank besluit om prejudiciële vragen voor te leggen aan het HvJ EU over de uitleg van het begrip ‘rechterlijke taak’ uit art. 55 lid 3 AVG.

[153] ekker.legal/wp-content/uploads/2020/07/Verzoekschrift-Uber-art.-35-UAVG-200720.pdf (geraadpleegd op 31 juli 2020).