Ontwerp zonder titel (22)

Data & Privacy

In een tijd waarin organisaties een overvloed aan digitale gegevens beheren, waaronder persoonsgegevens van cliënten, prospects en medewerkers, is naleving van de Algemene Verordening Gegevensbescherming (AVG) van essentieel belang. Het data & privacy team is bedreven in het interpreteren en toepassen van deze complexe wetgeving.  

Aanpak 

De aanpak van het team is gericht op het praktisch en verantwoord omgaan met de eisen die de wetgeving stelt, en is gewend snel te schakelen. In het bijzonder bij handhavingsacties van de Autoriteit Persoonsgegevens en de beoordeling van beveiligingsinbreuken en datalekken die binnen uiterlijk 72 uur moeten worden gemeld, maar ook in alle andere situaties waarin cliënten een vlotte respons verwachten. 

Het data & privacy team vindt het belangrijk om te investeren in duurzame samenwerkingsrelaties met zijn cliënten en fungeert als vaste sparringpartner.   

Kunstmatige intelligentie; AI Act 

Een ontwikkeling waar het team zich intensief mee bezighoudt is de opkomst van kunstmatige intelligentie. Voor het publiek is deze opkomst sterk zichtbaar geworden met de lancering van chatbots met kunstmatige intelligentie, zoals ChatGPT. Op Europees niveau is inmiddels de AI Act uitgevaardigd, die regels stelt aan het op de markt brengen en het gebruik van AI-systemen. Het team adviseert organisaties zowel over het gebruik van AI als over op deze technologie gebaseerde diensten en producten. 

Europese wetgeving 

Europese wetgeving in het digitale domein blijft in beweging. De reeds in werking getreden Digital Services Act en de Digital Markets Act stellen nieuwe eisen aan internetplatforms. De Dataverordening en de Data Governance Verordening beogen de beschikbaarheid en uitwisseling van data te stimuleren. Er is nog steeds een e-Privacyverordening in voorbereiding. Daarnaast zijn er nieuwe regels over beveiliging van ICT-systemen in DORA (Digital Operational Resilience Act) en NIS-2 vastgelegd. Het data & privacy team volgt deze ontwikkelingen op de voet. 

Sectoren 

Het Data & privacy team heeft specifieke ervaring in de sectoren Overheid, Leisure & Retail, Data & ICT, Financiële sector en Life Sciences & Healthcare. 

Waarvoor kunt u bij ons terecht?

Om de overheid te adviseren over privacy is niet alleen kennis van de AVG benodigd, maar ook van de overheid en van het bestuursrecht. La Gro staat meer dan 20 decentrale overheden bij en is bij uitstek op de hoogte van de specifieke achtergronden die bij advisering van de overheid relevant zijn. Wij assisteren overheden bij het toepassen van de AVG in de meest brede zin en ondersteunen onder andere bij het opstellen van beleid, data protection impact assessments (DPIA’s), protocollen, convenanten, overeenkomsten en andere documentatie, ook op projectmatige basis. Daarnaast staan we overheden in procedures, zoals rond inzage– en verwijderverzoeken en rond aansprakelijkheid. 

Een beveiligingsinbreuk of datalek kan grote gevolgen hebben. Het komt de laatste tijd regelmatig voor dat hele IT-systemen gegijzeld worden. Mogelijk kan uw hele organisatie stil komen te liggen. Het Data & privacy team schakelt snel wanneer u met dergelijke zaken te maken krijgt en adviseren bij de te maken keuzes en te nemen maatregelen. Niet alleen rond de vraag of melding gedaan moet worden bij de Autoriteit Persoonsgegevens en of de betrokkene moet worden geïnformeerd, maar ook rond alle praktische zaken die spelen rond een datalek, en ten aanzien van mogelijke aansprakelijkheid. 

Uiteraard geldt: voorkomen is beter dan genezen. Daarom adviseren wij u graag over preventieve maatregelen om zoveel mogelijk te voorkomen dat uw organisatie in een dergelijke situatie terecht komt.   

La Gro adviseert vaak bij de ontwikkeling en toepassing van nieuwe technologieën en business modellen, zoals toepassing van big data, AI, biometrie, internet of things-toepassingen, apps en platform- en online diensten. Bij dergelijke nieuwe technologieën komen uiteenlopende juridische vraagstukken naar voren op het gebied van gegevensbescherming en privacy. Onze advocaten hebben ruime ervaring met deze juridische vraagstukken en helpen u weloverwogen keuzes te maken omtrent ICTprojecten en technische innovaties. Indien nodig werken zij in multidisciplinaire teams samen met specialisten uit andere rechtsgebieden.

Op dit moment is veel te doen over de verwerking van persoonsgegevens voor marketingdoeleinden. Mag dat bijvoorbeeld nog op de grondslag ‘gerechtvaardigd belang’? Wanneer is toestemming nodig? Indien toestemming nodig is, stelt de AVG hieraan strenge eisen. Daarnaast is veel te doen over de opslag van de gegevens. Mogen gegevens nog worden gedeeld buiten Europa en worden opgeslagen bij een Amerikaanse Cloud Service Provider? Aan welke eisen moet daarbij worden voldaan?  

 

Onze advocaten hebben veel ervaring met de verwerking van persoonsgegevens voor marketingdoeleinden. Zij adviseren u graag over de juiste aanpak, ook bij innovatieve toepassingen en in een online context.

De data & privacy-advocaten van La Gro begeleiden ondernemingen en andere organisaties bij de implementatie van de AVG, door trainingen, workshops, quickscans en inventarisaties. Daarnaast stellen zij benodigde documenten op, zoals protocollen rondom de meldplicht datalekken, (privacy)beleidsdocumenten, verwerkingsregisters en data protection impact assessments (DPIA’s).  

 
Tevens adviseren wij over de toepassing van de AVG, bijvoorbeeld bij de introductie van nieuwe diensten en producten en het opstellen van privacyverklaringen. Ook voeren wij compliance checks en due diligence onderzoeken uit op het gebied van persoonsgegevens.   

 

Tot slot begeleiden wij organisaties bij controlebezoeken en handhavingstrajecten van de Autoriteit Persoonsgegevens. Wij voeren civielrechtelijke en bestuursrechtelijke procedures, waarin privacy en persoonsgegevens een rol spelen, waaronder met de Autoriteit Persoonsgegevens. 

Gegevens over de gezondheid zijn extra gevoelige persoonsgegevens en bij de verwerking gelden verzwaarde eisen. De toezichthouder heeft de sector sterk in het vizier en heeft al een behoorlijk aantal boetes opgelegd aan ziekenhuizen en andere partijen in de medische sector. Het is essentieel om als zorgaanbieder uw compliance op orde te hebben.   

De zorg is een innovatieve sector waar voortdurend nieuwe technologieën worden ontwikkeld, zoals medische apps en elektronische patiëntendossiers. Dit leidt tot uiteenlopende juridische vraagstukken op het gebied van gegevensbescherming en privacy. Onze advocaten hebben ruime ervaring met juridische vraagstukken in de zorg en helpen u weloverwogen keuzes te maken omtrent ICT-projecten en technische innovaties. Indien nodig werken zij in multidisciplinaire teams samen met specialisten uit andere rechtsgebieden. 

Bel: 0172-503 250

Publicaties

Jan Baas 2
Jan Baas
Advocaat
De NIS2-richtlijn: strengere cyberbeveiligingsregels ook van belang voor gemeenten
Sinds begin dit jaar is de NIS2-richtlijn van kracht. De richtlijn laat aan lidstaten de ruimte om zelf een afweging te maken of lokale overheden, zoals gemeenten, waterschappen en gemeenschappelijke regelingen onder de richtlijn vallen. Recentelijk is het wetsvoorstel voor de Cyberbeveiligingswet ter internetconsulatie gelegd. Zoals al werd verwacht is in het ontwerp opgenomen dat decentrale overheden, waaronder gemeenten, waterschappen en provincies, onder de NIS2 zullen vallen. NIS2 in het kort De NIS2-richtlijn is een update van de NIS-richtlijn. NIS2 stelt strengere eisen aan de beveiliging van netwerken en informatiesystemen van essentiële en belangrijke entiteiten in bepaalde sectoren. Kort samengevat bevat de NIS2-richtlijn een zorgplicht, op grond waarvan entiteiten zelf een risicobeoordeling dienen uit te voeren en passende maatregelen dienen te nemen om de continuïteit van diensten zoveel mogelijk te waarborgen en netwerk- en informatiesystemen te beschermen. Daarnaast geldt er een meldplicht van incidenten en zal er een onafhankelijke toezichthouder worden aangewezen. NIS2 is van toepassing naast bijvoorbeeld de beveiligingsverplichting in de Algemene Verordening Gegevensbescherming (‘AVG’). Waar de AVG ziet op bescherming van persoonsgegevens, legt NIS2 de nadruk op de continuïteit van essentiële diensten. Voor de sector overheidsdiensten zal de Rijksinspectie voor Digitale Infrastructuur (RDI) toezicht houden op het stelsel van informatieveiligheid. Reikwijdte Uit het wetsvoorstel voor de Cyberbeveiligingswet blijkt dat de wetgever voornemens is om decentrale overheden, waaronder gemeenten, waterschappen en provincies onder de reikwijdte van de NIS2-richtlijn te laten vallen en als essentiële entiteiten aan te merken. Gemeenschappelijke regelingen en zelfstandige bestuursorganen zullen veelal eveneens onder de onder de reikwijdte vallen. Overheidsinstanties die in de hoofdzaak activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, vallen niet onder de richtlijn. Baseline Informatiebeveiliging Overheid Veel verplichtingen die de NIS2-richtlijn en de Cyberbeveiligingswet opleggen, zijn al van toepassing op lokale overheden via andere wettelijke kaders. De wijze waarop overheden aan deze beveiligingsverplichtingen voldoen is uitgewerkt in de Baseline Informatiebeveiliging Overheid (BIO). Er wordt nu gewerkt aan een vernieuwde versie van de BIO, BIO 2.0, onder andere om de nieuwe verplichtingen die voortvloeien uit de richtlijn en de Cyberbeveiligingswet daarin te verankeren. Inmiddels is ook een mapping gemaakt door de werkgroep BIO om aan te geven in hoeverre de NIS2-maatregelen zich verhouden tot de huidige BIO. Deze is hier te raadplegen. Tot slot Het wetsvoorstel voor de Cyberbeveiligingswet zoals die nu ter internetconsulatie is gelegd, is via deze link te raadplegen. Tot 1 juli bestaat de mogelijkheid om op het wetsvoorstel te reageren. Hoewel het nog wel even kan duren voordat de Cyberbeveiligingswet van toepassing is, is het verstandig op tijd te beginnen met het treffen van maatregelen ter bescherming van de beveiliging en continuïteit van eigen werkprocessen. Hierbij kan door overheidsinstanties gebruik worden gemaakt van de Handreiking BIO 2.0-opmaat van de BIO.    Contact Heeft u vragen over de NIS2-richtlijn? Neem dan contact op met Jan Baas, Jolijn Gijsen of Frederiek Beuning of  een van onze andere specialisten Data & Privacy.  
Jan Baas 2
Jan Baas
Advocaat
AP wil misleidende cookiebanners aanpakken
De Autoriteit Persoonsgegevens (AP) heeft guidance uitgebracht over de wijze waarop websites toestemming dienen te vragen als zij cookiebanners hanteren. Onder andere schrijft de AP voor dat websites de keuze om cookies te weigeren of te accepteren, op één laag moeten aanbieden. Sommige cookiebanners bevatten een knop om de opslag van cookies te accepteren en een knop waarmee de betrokkene toegang krijgt tot verdere opties, maar zonder de mogelijkheid om direct alle cookies te weigeren. Deze optie is pas te vinden in de tweede laag. Volgens de AP wordt hiermee niet voldaan aan de door haar geformuleerde eis dat het accepteren en weigeren van cookies even makkelijk moet zijn. Cookies en toestemming voor cookies Een cookie is een klein bestand dat bij het bezoeken van websites op apparaten van bezoekers kan worden geplaatst. Er bestaan verschillende soorten cookies met verschillende doeleinden. Functionele cookies zijn noodzakelijk voor het effectief functioneren van een dienst of webshop. Denk bijvoorbeeld aan het bijhouden van producten die je toegevoegd hebt aan het winkelmandje. Analytische cookies gebruikt een website bijvoorbeeld om het aantal bezoekers bij te houden. Bij tracking cookies wordt het internetgedrag van mensen gevolgd. Cookiewetgeving in Nederland is te vinden in artikel 11.7a van de Telecommunicatiewet. Dit artikel is gebaseerd op de e-Privacy Richtlijn (Richtlijn 2002/58/EG). Functionele en analytische cookies hebben over het algemeen beperkte invloed op de privacy. Deze cookies kunnen dan automatisch geplaatst worden bij bezoek aan een website, een bezoeker hoeft hiervoor geen toestemming te geven. In andere gevallen, zoals bij tracking cookies, is plaatsing slechts toegestaan indien voorafgaande toestemming is verkregen. Artikelen 4 lid 11, artikel 7 en overweging 32, 42 en 43 AVG (Verordening 2016/679 EU) bevatten vereisten waar toestemming van de betrokkene aan moet voldoen: Toestemming moet vrijelijk worden gegeven (artikel 4 lid 11 en overweging 42 AVG); Toestemming moet specifiek zijn (artikel 4 lid 11 AVG); Toestemming moet geïnformeerd zijn (artikel 4 lid 11 AVG); Toestemming moet een ondubbelzinnige wilsuiting zijn waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige handeling hem betreffende verwerking van persoonsgegevens aanvaardt. Dit houdt in dat de toestemming expliciet via een positieve handeling gegeven moet zijn. Het gebruikmaken van aangekruiste selectievakjes mag dus niet (artikel 4 lid 11 AVG); De verwerkingsverantwoordelijke moet toestemming kunnen aantonen (artikel 7 lid 1 AVG); Toestemming moet in duidelijke en eenvoudige taal gepresenteerd zijn zodat een duidelijk onderscheid gemaakt kan worden met een andere aangelegenheid (artikel 7 lid 2 AVG); Afzonderlijke toestemming moet kunnen worden gegeven voor verschillende persoonsgegevensverwerkingen (overweging 43 AVG, het vereiste van “granularitet”); Toestemming moet te allen tijde kunnen worden ingetrokken; het intrekken van de toestemming moet even eenvoudig zijn als het geven ervan (artikel 7 lid 3 AVG). Gevolgen nieuwe guidance AP De nieuwe guidance zou betekenen dat een constructie zoals de Franse toezichthouder CNIL die in het verleden toepaste, en die ook nu nog door veel organisaties wordt gehanteerd, niet meer zou zijn toegestaan. In deze constructie wordt in de eerste laag gevraagd om toestemming (“OK, tout accepter”) met de mogelijkheid om door te klikken naar een tweede laag voor persoonlijke instellingen (“personaliser”). In de tweede laag is vervolgens de mogelijkheid te vinden om per soort cookies de instellingen te bepalen. Als het goed is, staan in deze tweede laag de cookies waarvoor toestemming moet worden gegeven “uit” en is een actieve handeling nodig om deze te activeren. CNIL had deze tweede laag vormgegeven als volgt: In deze vormgeving kunnen op de tweede laag alle cookies worden geweigerd, of kan per cookie worden gekozen om het te accepteren of te weigeren. De pagina met cookie-instellingen kan ook later steeds worden bezocht om de keuze te kunnen aanpassen. Met deze constructie wordt in onze ogen voldaan aan alle eisen die de AVG stelt aan een rechtsgeldige toestemming, in het bijzonder het vereiste van granulariteit en de eis dat de instemming ook weer eenvoudig kan worden ingetrokken. Guidance van de AP De AP laat in de guidance echter weten dat het niet is toegestaan om in de cookiebanner toestemming te vragen, en pas in een tweede laag een optie met cookies weigeren/afwijzen/niet instemmen aan te bieden. Voortaan moet deze optie beschikbaar zijn op dezelfde laag als de laag waar toestemming voor wordt gevraagd. Cookie Banner Taskforce De European Data Protection Board (EDPB) heeft een Cookie Banner Taskforce opgezet. Uit hun rapport van 17 januari komt naar voren dat het overgrote deel van de Europese privacytoezichthouders van mening is dat er sprake is van een inbreuk op de e-Privacy Richtlijn wanneer een banner niet voorziet in opties om cookies te accepteren of te weigeren op dezelfde laag. Enkele toezichthouders vinden evenwel dat er geen sprake is van een inbreuk, wegens het ontbreken van een expliciete ‘weiger optie’ voor het plaatsen van cookies op grond van artikel 5 lid 3 van de e-Privacy Richtlijn. Wij komen de door de AP gestelde eis niet tegen in de AVG dan wel de Telecommunicatiewet. Wij vragen ons – met de minderheid van de privacytoezichthouders uit de EDPB – af waar deze eis op gebaseerd kan zijn. Intrekken vs. weigeren Volgens de AP volgt de verplichting uit de door haar geformuleerde regel dat het weigeren van toestemming even eenvoudig moet zijn als het accepteren ervan. In de AVG komt die regel echter niet voor in artikel 7 lid 3 AVG staat wel dat het intrekken van toestemming even eenvoudig moet zijn als het geven ervan. In artikel 7 lid 3 AVG staat dat het intrekken van toestemming even eenvoudig moet zijn als het geven ervan, maar intrekken is iets anders dan weigeren. Vrije toestemming De volgende vraag die kan worden gesteld, is of het aanbieden van een weigerknop van cookies in de tweede laag afbreuk doet aan vrije toestemming. Doet het geven van een extra klik iets af aan het karakter van de vrije toestemming? De EDPB heeft op 17 april een opinie uitgebracht over geldige toestemming in de context van toestemmings- of betaalmodellen (ook wel bekend als ‘consent or pay’ modellen) die geïmplementeerd zijn door grote online platforms. Aanleiding hiervoor was een verzoek van de Nederlandse, Duitse en Noorse gegevensbeschermingsautoriteiten. In par. 67 van deze opinie stelt de EDPB dat verwerkingsverantwoordelijken de autonomie van betrokkenen niet mogen beperken door het moelijker te maken om toestemming te weigeren dan om toestemming te geven. Zoals hiervoor opgemerkt is dit echter geen vereiste dat volgt uit de AVG. Dat de gebruiker moet doorklikken om cookie-keuzes in te stellen maakt onzes inziens niet in algemene zin dat het geven van toestemming hiermede geen vrije keuze meer is.    Data protection by default We hebben ons vervolgens afgevraagd of de door de AP geformuleerde eis kan volgen uit artikel 25 lid 2 AVG (data protection by default). Wij menen dat dit niet zo is. Uit artikel 25 lid 2 AVG volgt dat de cookies die van toestemming afhankelijk zijn pas mogen worden geplaatst nadat toestemming is gegeven, niet dat een weigeringsknop op dezelfde laag moet worden geplaatst als de toestemmingsvraag zelf. Misleidende ontwerppatronen Op Europees niveau zijn er verschillende regelingen die misleidende ontwerppatronen (ook wel bekend als dark patterns) bespreken, waaronder de AVG, de Richtlijn oneerlijke handelspraktijken (Richtlijn 2005/29), de Digital Services Act (Verordening 2001/31), de Digital Markets Act (Richtlijn 2022/1925), de Data Act (Verordening 2023/2854)  en de Artificial Intelligence Act (COM (2021) 2016 final). De EDPB heeft Richtsnoeren uitgebracht over misleidende ontwerppatronen. EDPB Richtsnoeren Volgens de EDPB Richtsnoeren zijn misleidende ontwerppatronen interfaces op sociale mediaplatformen, websites of in cookiebanners die gebruikers ertoe brengen onbedoelde, vaak onwillige en/of mogelijk schadelijke beslissingen te nemen met betrekking tot persoonlijke data en die in het belang zijn van het sociale media platform. Misleidende ontwerppatronen zijn onder te verdelen in verschillende categorieën. Eén van de vormen waarin dit kan plaatsvinden is het zogenaamde ‘hinderen (obstructing)’. Hiervan is sprake wanneer gebruikers worden belemmerd of geblokkeerd in hun proces om informatie te krijgen of hun gegevens te beheren door de actie moeilijk of onmogelijk te maken. Gebruikers willen dan een bepaalde handeling uitvoeren die betrekking heeft op hun gegevensbescherming, en dat gebruikerstraject wordt op een zodanige manier gepresenteerd dat het meer stappen vergt dan nodig is voor de activering van opties die inbreuk hebben op data van de betreffende persoon. Dit heeft dan als gevolg dat gebruikers waarschijnlijk ontmoedigd worden om een dergelijke controle te activeren. In de Richtsnoeren van de EDPB wordt een voorbeeld aangehaald van gebruikers die tijdens het aanmeldingsproces op de knop “overslaan” klikken (om te voorkomen dat ze bepaalde data te zien krijgen) krijgen een pop-upvenster te zien met de vraag “Weet u het zeker?” Door hun beslissing in twijfel te trekken, zet de aanbieder van sociale media gebruikers aan om hun beslissing te herzien en bepaalde gegevens openbaar te maken, zoals geslacht, lijst met contactpersoon of foto. Gebruikers die ervoor kiezen om de gegevens direct in te voeren, zien daarentegen geen bericht met het verzoek om hun keuze te heroverwegen. In het begin van dit jaar had de AP Uber Technologies Inc. en Uber B.V. (Uber) een boete opgelegd van 10 miljoen euro.  Uber handelde in strijd met artikel 12 tweede lid AVG door het voor chauffeurs onnodig moeilijk te maken om een verzoek in te dienen voor het bekijken of ontvangen van hun gegevens. In de app was er een digitaal formulier voor chauffeurs beschikbaar om inzage aan te vragen, maar dit formulier was moeilijk te vinden omdat het in verschillende menu’s was verborgen en op een logischere locatie had kunnen worden geplaatst en er een groot aantal stappen (in totaal 7) doorlopen moest worden om bij het formulier te komen. Ofschoon de AP niet naar dit leerstuk verwijst zou dit gezien kunnen worden als een  voorbeeld van een misleidend ontwerppatroon. Wij menen dat het aanbieden van een weigerknop van cookies in de tweede laag in een heldere structuur, waarbij de weigerknop reeds met één extra stap wordt gevonden, niet gelijk kan worden gesteld met wat als een misleidend ontwerppatroon wordt gezien. Conclusie In onze analyse wordt bij het plaatsen van de weigerknop in een tweede laag, geen inbreuk geconstateerd op de rechtstreeks van toepassing zijnde AVG bepalingen. Het is onwaarschijnlijk dat deze praktijk via de omweg van de Richtsnoeren over misleidende ontwerppatronen opeens wél verboden zou zijn. Een en ander uiteraard afhankelijk van de verdere vormgeving van de toestemmingsteksten. We nemen daarbij in aanmerking dat de eisen waaraan cookie-toestemming, en toestemming onder de AVG in het algemeen, in de regelgeving zeer gedetailleerd is uitgewerkt en aangenomen mag worden dat een verwerking die aan deze gedetailleerde eisen voldoet, rechtmatig is. De nieuwe eis die de AP stelt en die afwijkt van de interpretatie van de betreffende wetgeving zoals die al jaren wordt gehanteerd, vereist een wetswijziging en kan niet door de toezichthouders worden ingevoerd op basis van verwijzing naar eigen Richtsnoeren en algemene rechtsbeginselen.[1] De nieuw geformuleerde eis uit de guidance van de AP, inhoudende dat accepteren even makkelijk moet zijn als afwijzen, kan volgens ons niet gezien worden als een algemene regel die volgt uit wetgeving zoals de e-Privacy Richtlijn, de Telecommunicatiewet, de DSA of de AVG. Onder omstandigheden kan wellicht worden betoogd dat het aanbieden van cookiebanners die een knop bevat om de opslag van cookies te accepteren en een knop bevat waarmee de betrokkene toegang krijgt tot verdere opties, maar zonder de mogelijkheid om direct alle cookies te weigeren, kan worden gekwalificeerd als misleidend ontwerppatroon. Dit hangt af van de vormgeving van het geheel van de website en kan niet gezien worden als een algemene regel die uit de wetgeving volgt. Wij denken gezien het voorgaande dat een boetebesluit, gebaseerd op de algemene regel dat de mogelijkheid om cookies te weigeren moet worden aangeboden op dezelfde laag als de mogelijkheid om de cookies te accepteren, in rechte geen stand behoort te houden. Ondertussen zal een voorzichtige verwerkingsverantwoordelijke rekening moeten houden met dit nieuwe standpunt van de AP en moeten overwegen om haar website hierop aan te passen. Dit blog is oorspronkelijk verschenen op Privacy Web. [1]  Vgl. Conseil d’Etat 27 maart 2020, 399922, ECLI:FR:CECHR:2020:399922.20200327, JBP 2020/97, met noot  J.A.N. Baas.  
Jan Baas 2
Jan Baas
Advocaat
X vs. Criteo: Contracteren is zilver, controleren is goud!
Heeft u ooit opgemerkt dat u na het bekijken van een vakantievlucht of de laatste gadgets op een website, op een andere site plotseling een advertentie voor datzelfde product ziet? Dit is geen magie, maar het resultaat van de activiteiten van bedrijven zoals Criteo, die uw online gedrag volgen om gerichte advertenties aan te bieden. Vorige week oordeelde de voorzieningenrechter van de Rechtbank Amsterdam dat de manier waarop Criteo toestemming van betrokkene zoekt niet aan de eisen van de Algemene Verordening Gegevensbescherming (AVG) en de Telecommunicatiewet (Tw) voldoet. De Activiteiten van Criteo  Als een prominente speler in de advertentiewereld verzamelt Criteo gegevens via tracking cookies, die via websites van derden worden geplaatst. Deze informatie bepaalt welke advertenties voor gebruikers relevant kunnen zijn. Door middel van real-time biedingen koopt Criteo advertentieruimte op andere websites om specifieke advertenties aan te bieden. Deze werkwijze roept vragen op over de naleving van de e-privacy en gegevensbeschermingswetgeving. Is er wel rechtmatige toestemming gegeven door de gebruikers? Boetebeschikking van CNIL  CNIL, de Franse toezichthouder, dacht van niet. Op basis van klachten van stichting ‘None of Your Business’ (‘NOYB’) heeft CNIL op 15 juni 2023 een boete van 40 miljoen Euro opgelegd aan Criteo. Volgens CNIL kon Criteo niet aantonen dat ze de juiste toestemming van internetgebruikers had verkregen voor het plaatsen van cookies. Bovendien heeft Criteo naar het oordeel van CNIL niet voldaan aan verschillende verplichtingen van de AVG, waaronder de informatieplicht en de rechten op inzage en gegevenswissing. Het kort geding  In vervolg op deze Franse boetebeschikking heeft een Nederlandse particulier, hierna te noemen “X”, een vordering tegen Criteo aanhangig gemaakt in kort geding. De vordering zag op staking van de volgens X onrechtmatige gedragingen van Criteo, inzage (waaronder de verstrekking van een lijst van de derden die gegevens van X hadden ontvangen), gegevenswissing, en het informeren van de derde-ontvangers zodat die ook tot wissing zouden kunnen overgaan. Voor de plaatsing van de cookies is, in ieder geval op grond de e-Privacywetgeving, toestemming nodig. Criteo maakt daarom afspraken met de exploitanten van de websites via welke de cookies worden geplaatst, op basis waarvan deze exploitanten gehouden zijn om de toestemming te vragen. In de praktijk worden deze afspraken niet altijd nageleefd. In het kort geding betoogde Criteo dat niet van haar kan worden gevergd dat zij bij al haar klanten individueel controleert of die de verplichting nakomen, maar dat zij wel direct optreedt als zij bekend wordt met een inbreuk. Daarnaast wees Criteo erop dat eiser zelf ongewenste cookies ook kan verwijderen en/of een opt-out kan instellen voor de cookies van Criteo in zijn browser. X had op dit verweer van Criteo geanticipeerd. Hij betoogde dat Criteo actief moet controleren of haar klanten zich aan de contractuele verplichtingen houden. X had een deskundigenrapport overgelegd, waarin uiteen wordt gezet dat dit geautomatiseerd kan plaatsvinden, en dus niet onmogelijk of onevenredig bezwarend is. De Voorzieningenrechter maakt korte metten met de verweren van Criteo. Het door Criteo gehanteerde: ‘piepjessysteem’ voldoet volgens hem niet. Criteo heeft daarnaast onvoldoende gemotiveerd weersproken dat zij naleving geautomatiseerd zou kunnen controleren. Het betoog dat X zelf cookies kan verwijderen is ”de wereld op zijn kop”. Niet X moet actie ondernemen, maar Criteo moet zorgen dat vooraf toestemming wordt verkregen voor de plaatsing van de cookies en het verwerken van persoonsgegevens. Alle vorderingen worden daarom toegewezen. Over de uitspraak valt veel te zeggen. In dit blog licht ik er graag twee puntjes uit.  Verwerkt Criteo persoonsgegevens?  Het eerste wat opvalt is dat Criteo in het kort geding géén verweer heeft gevoerd tegen de stelling, dat zij in het kader van haar activiteiten persoonsgegevens verwerkt. Uit de boetebeschikking blijkt dat zij hierover met CNIL wel discussie heeft gevoerd. Het is niet volledig vanzelfsprekend dat de activiteiten van Criteo zien op persoonsgegevens. Criteo plaatst immers cookies op devices en koppelt hieraan profielen. Zij weet echter niet van wie deze devices zijn en op welke natuurlijke personen de profielen daadwerkelijk zien. Er is dus een ruime uitleg van het begrip ‘persoonsgegevens’ nodig om te oordelen dat Criteo persoonsgegevens verwerkt. CNIL oordeelde in de boetebeschikking dat Criteo wél persoonsgegevens verwerkt, omdat zij in bepaalde hypothetische gevallen mogelijk aanvullende gegevens verzamelt, aan de hand waarvan zij natuurlijke personen kan identificeren. Wellicht hebben de advocaten van Criteo in het Nederlandse kort geding gedacht dat een discussie hierover iets van een achterhoedegevecht zou hebben. Bij een discussie hierover zouden zij ook zijn geconfronteerd met het bewijsvermoeden van artikel 11.7a lid 4 Tw. Desondanks zou interessant zijn als dit aspect in een eventueel beroep tegen de boetebeschikking nog nadere aandacht zou krijgen. Criteo zou overigens ook los van toepasselijkheid van de AVG, het verbod van artikel 11.7a Tw overtreden door het plaatsen en uitlezen van de cookies. X zou echter geen gebruik hebben kunnen maken van de rechten die hem onder de AVG toekomen, zoals het recht op inzage en het recht op gegevenswissing. Contracteren is zilver, controleren is goud  De kern van de uitspraak ziet natuurlijk op de vraag in hoeverre een verwerkingsverantwoordelijke gehouden is om te controleren of een samenwerkingspartner die heeft toegezegd voor haar bepaalde verplichtingen uit de AVG na te leven, zoals in dit geval de verplichting om toestemming te vragen, daadwerkelijk haar verplichtingen nakomt. De uitspraak maakt duidelijk dat een verwerkingsverantwoordelijke zich niet kan beperken tot het contractueel vastleggen van verplichtingen, maar actief toezicht moet houden op de naleving daarvan door haar partners. Dit betekent dat het simpelweg afschuiven van verantwoordelijkheden op partners niet voldoende is. Er moet daadwerkelijk actie worden ondernomen om te zorgen dat deze verantwoordelijkheden ook worden nageleefd. De vraag is wat op dit vlak van de verwerkingsverantwoordelijke kan worden gevergd. In casu had de eiser middels een deskundigenrapport onderbouwd dat Criteo de naleving relatief eenvoudig kan controleren, en volgens de uitspraak was dit door Criteo ook niet gemotiveerd weerlegd. De uitspraak benadrukt het belang van actief toezicht door verwerkingsverantwoordelijken op de naleving van de AVG door haar partners. Het is niet voldoende om verantwoordelijkheden enkel contractueel vast te leggen. Er moet daadwerkelijk actie worden ondernomen om te zorgen dat deze verantwoordelijkheden ook worden nageleefd. Contracteren is dus zilver, maar controleren is goud!   Dit artikel is oorspronkelijk verschenen op PONT | Data & Privacy  
Jan Baas 2
Jan Baas
Advocaat
Zaak OT: Een streep door de contextuele benadering van bijzondere persoonsgegevens?
De AVG stelt verzwaarde eisen aan de verwerking van bijzondere persoonsgegevens, zoals gegevens over gezondheid, ras of seksuele gerichtheid, zie in het bijzonder artikel 9 AVG. Soms kan een dergelijk gegeven indirect uit andere gegevens worden afgeleid. Als bijvoorbeeld iemand met een bril wordt afgebeeld op een foto, zou hieruit indirect iets kunnen worden afgeleid over zijn gezondheid. Moet een foto van iemand met een bril, nu immer als een bijzonder persoonsgegeven worden gezien? Bij de beantwoording van deze vraag wordt over het algemeen de context meegewogen waarin de gegevens worden verwerkt. Zie bijvoorbeeld op de website van de AP:[1] Geen bijzondere persoonsgegevens U verwerkt gewone – en dus géén bijzondere – persoonsgegevens met uw foto’s of filmpjes als alle 3 de volgende punten gelden: De foto’s of filmpjes zijn niet gericht op bijzondere persoonsgegevens of het maken van onderscheid op basis van deze gegevens.  Het is voor u redelijkerwijs ook niet te voorzien dat iemand onderscheid zal maken op basis van uw foto’s of filmpjes.  Het is onvermijdelijk dat u bijzondere persoonsgegevens verwerkt als u de foto’s of filmpjes maakt.  Van gewone persoonsgegevens  zal doorgaans sprake zijn bij bijvoorbeeld een smoelenboek op intranet van de werkgever, een klassenfoto of het promoten van een (algemeen) evenement. Op basis van deze contextuele benadering hoeft een foto van een brildrager niet altijd als een bijzonder persoonsgegeven te worden behandeld. Deze praktische benadering is zeer welkom, nu anders wel erg veel verwerkingen onder de verzwaarde eisen voor verwerking van bijzondere persoonsgegevens zouden komen te vallen en daardoor niet mogelijk zouden zijn, ook verwerkingen zonder groot risico voor het privéleven van de betrokkenen. In de zaak OT[2] ging het om de publicatie op internet van de naam van de partner van de directeur van een Litouwse gesubsidieerde instelling. Ingevolge anti-corruptiewetgeving diende deze een groot aantal gegevens van zichzelf en van zijn levenspartner aan te leveren. Deze werden deels ook openbaar gemaakt via internet. Uit de naam van de partner kan diens geslacht worden afgeleid, en uit de combinatie van de namen van de partners de seksuele gerichtheid van beide partners. De naam zegt zodoende niet direct, maar wel indirect iets over die seksuele gerichtheid. Is de naam daarmee een bijzonder persoonsgegeven? Het Hof beantwoordt die vraag bevestigend. In het arrest komt een eigenaardigheid in de tekst van artikel 9 AVG naar voren. Soms gaat het daarin om gegevens waaruit iets “blijkt”, soms om gegevens “over” of “met betrekking tot”. Zouden daarom bij de ene categorie bijzondere persoonsgegevens eerder indirecte gegevens in aanmerking genomen moeten worden dan bij andere categorieën? Ten aanzien van seksuele gerichtheid gaat het om gegevens “over” iemands seksuele gerichtheid. Zou dit indirecte gegevens uitsluiten? Het Hof oordeelt dat aan deze tekstuele verschillen geen betekenis moet worden toegekend en dat, mede in het licht van het beschermingskarakter van de bepaling, aan alle bijzondere persoonsgegevens een zelfde, ruime, uitleg moet worden gegeven. Alle categorieën van bijzondere persoonsgegevens kunnen op dezelfde wijze mede gegevens omvatten waaruit de gevoelige informatie indirect kan worden afgeleid. Gegevens “over” kunnen dus ook gegevens zijn waaruit indirect iets blijkt. Sluit deze ruime uitleg nu ook de contextuele benadering uit? Ik meen van niet. Ten eerste is de benadering van het Hof niet primair taalkundig. De benadering van het Hof leidt ertoe dat aan de verschillende categorieën van bijzondere persoonsgegevens een zelfde, ruime, uitleg moet worden gegeven. Ik meen dat deze uniforme benadering vervolgens ook geldt voor de toepassing van nuanceringen op die ruime uitleg, waarbij in gevallen waarin er geen oogmerk is op verwerking van bijzondere persoonsgegevens én er ook geen belangrijke risico’s zijn, aanleiding kan zijn om indirecte gegevens niet als bijzondere persoonsgegevens aan te merken.[3] Ten tweede koppelt het Hof zijn conclusies in rechtsoverweging 128 en in het dictum van het arrest zeer strikt aan een aantal feiten en omstandigheden van de zaak, dit terwijl de prejudiciële vraag een veel algemenere strekking had. De omstandigheden die het Hof noemt zijn: publicatie op internet; van persoonsgegevens die indirect de seksuele gerichtheid van een natuurlijke persoon kunnen onthullen; Door een overheidsinstantie die belast is met het verzamelen van de opgaven van particuliere belangen en het uitoefenen van controle op de inhoud daarvan. Het Hof kiest er dus duidelijk niet voor om een algemeen uitgangspunt te formuleren maar beperkt zijn oordeel nadrukkelijk tot de omstandigheden van het geval. Tezamen indiceren deze omstandigheden een groot risico op inbreuk op het privéleven. Anders dan het feit dat iemand een bril draagt, die bij ieder contact direct zichtbaar is, is iemands seksuele gerichtheid niet altijd openbaar en het is aan de persoon zelf om daar al dan niet bekendheid aan te geven. Het is niet aan de overheid om dat ongevraagd te openbaren. Ook is de expliciete koppeling aan de omstandigheden van het geval als zodanig al een aanwijzing dat het Hof een analyse van de context van de verwerking relevant acht voor de vraag of (indirecte) gegevens in een specifiek geval als bijzondere persoonsgegevens moeten worden aangemerkt. Mijn conclusie is daarom dat het in de omstandigheden van het geval zeer voor de hand lag om de naam van de partner als bijzonder persoonsgegeven aan te merken, maar dat dit niet automatisch impliceert dat alle gegevens waaruit indirect een bijzonder persoonsgegeven kan worden afgeleid, onder alle omstandigheden als bijzonder persoonsgegeven aangemerkt dienen te worden. Geen streep dus door de contextuele benadering van bijzondere persoonsgegevens.   Dit blog is oorspronkelijk verschenen op Privacy Web.    [1] https://www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/foto-en-film/beeldmateriaal, laatst bekeken op 22 mei 2023. Aanknopingspunten voor een contextuele benadering zijn ook te vinden in overweging 51 bij de AVG en in richtsnoeren van het Europees Comité voor Gegevensbescherming (EDPB, Guidelines 3/2019 on processing of personal data through video devices, 29 januari 2020; par. 60 en verder). [2] HvJ EU 1 augustus 2022, C‑184/20, OT/ Vyriausioji tarnybinės etikos komisija, ECLI:EU:C:2022:601. Dit blog is deels een bewerking van mijn noot bij het arrest in JBP 2023/41. [3] Zoals in overweging 51 bij de AVG ten aanzien van biometrische gegevens.
Anke van de Laar 2
Anke van de Laar
Advocaat
Gegevensverwerking in RIEC-verband: RIEC verwerkingsverantwoordelijke?
In de praktijk speelt regelmatig de vraag of een Regionaal Expertise Centrum (RIEC) (gezamenlijk) verwerkingsverantwoordelijk is in de zin van de Algemene verordening gegevensbescherming (AVG), bijvoorbeeld als sprake is van een inzageverzoek in de zin van artikel 15 van de AVG. In zijn arrest van 22 februari 2022 oordeelt het Gerechtshof Arnhem-Leeuwarden dat het RIEC Noord-Nederland (RIEC NN) geen (gezamenlijk) verwerkingsverantwoordelijke is in de zin van de AVG. Op 1 maart 2022 oordeelde de rechtbank Noord-Nederland dat het RIEC NN noch een natuurlijke persoon, noch een rechtspersoon is en om die reden geen partij kan zijn in een civiele procedure. De rechtbank voegde daar ten overvloede aan toe dat RIEC NN geen verwerkingsverantwoordelijke kan zijn. In dit blog wordt nader ingegaan op het arrest van het Hof, het wetsvoorstel Wet Gegevensverwerking Samenwerkingsverbanden en welke rol het RIEC dan wel bekleedt. Samenwerking in RIEC-verband Het RIEC NN is in 2009 ontstaan als een samenwerkingsverband tussen verschillende overheidsorganisaties in het kader van de bestuurlijke en geïntegreerde aanpak van georganiseerde criminaliteit. Er zijn in Nederland elf regionale RIEC’s en één Landelijk Informatie- en Expertisecentrum (LIEC). Een RIEC kent geen rechtspersoonlijkheid en is een samenwerkingsverband tussen onder meer gemeenten, het openbaar ministerie, de politie, de belastingdienst en het FIOD (de convenantpartners). De organisatie kent geen wettelijke basis en is geregeld in een Convenant. Juridisch kader Volgens artikel 4, zevende lid, van de AVG is de verwerkingsverantwoordelijke “een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel en de middelen voor verwerking van persoonsgegevens vaststelt.” Artikel 26 van de AVG handelt over gezamenlijke verwerkingsverantwoordelijkheid.   Op grond van artikel 5.1 van het Convenant vindt de informatie-uitwisseling in RIEC-verband plaats onder de gezamenlijke verantwoordelijkheid van de convenantpartners. Mede ter invulling van artikel 26 van de AVG is een Privacyprotocol RIEC’s/LIEC vastgesteld met enkele bijbehorende Procesbeschrijvingen. Op grond van artikel 11.1 van het Privacyprotocol zijn de convenantpartners afzonderlijk verwerkingsverantwoordelijk voor de persoonsgegevens die zij verstrekken aan het RIEC ten behoeve van in het Convenant nader genoemde werkprocessen (als bedoeld in artikel 9.1). Op grond van artikel 11.2 van het Privacyprotocol zijn de convenantpartners conform artikel 26 AVG gezamenlijk verwerkingsverantwoordelijk voor de verwerking van persoonsgegevens die zij, anders dan de verstrekking zoals bedoeld in artikel 11.1, verwerken op locatie of in de informatiesystemen van het RIEC in het kader van de samenwerking voor de doeleinden zoals omschreven in het Convenant (artikel 5). Oordeel Gerechtshof Arnhem Leeuwarden (Hof) Onder verwijzing naar de arresten ‘Wirtschaftakademie’, ‘Jehoven Todistajat’ en ‘Fashion ID’ oordeelt het Hof dat geen hoge eisen worden gesteld aan de kwalificatie van (gezamenlijke) verwerkingsverantwoordelijke, maar dat het nu ook weer niet zo is dat elke betrokkenheid bij de verwerking van persoonsgegevens of het hebben van enig belang daarbij, al voldoende is. In alle arresten was volgens het Hof sprake van actieve handelingen en/of beslissende invloed op de (criteria voor) verwerking. Het Hof oordeelt vervolgens aan de hand van twee verklaringen van medewerkers van het RIEC NN (in dienst bij de gemeente) dat de werkwijze binnen het RIEC NN overeenkomst met de werkwijze die in het Privacyprotocol is vastgelegd. Daarmee oefent het RIEC NN volgens het Hof niet in relevante mate invloed uit op het doel en de middelen van de verwerking van persoonsgegevens en neemt het RIEC NN daaraan ook niet actief deel. Het RIEC NN is daarom niet aan te merken als (gezamenlijk) verwerkingsverantwoordelijke, dat zijn de convenantpartners, aldus het Hof. Het Hof gaat niet in op een aantal opvallende oordelen in het vonnis in eerste aanleg. De rechtbank had geoordeeld dat het RIEC niet als verwerkingsverantwoordelijke en als procespartij kan optreden omdat het rechtspersoonlijkheid ontbeert en ook geen bestuursorgaan is. Dit kan volgens het Hof in het midden blijven omdat het RIEC door hem om andere, hiervoor weergegeven redenen, niet als verwerkingsverantwoordelijke wordt aangemerkt. Daarnaast oordeelde de rechtbank dat de convenantpartners alléén gezamenlijk in rechte konden worden opgeroepen. Dit punt bespreekt het Hof in het geheel niet, mogelijk omdat hiertegen geen grief was gericht. Wet Gegevensverwerking Samenwerkingsverbanden (WGS) De RIEC’s kennen evenals het LIEC, geen wettelijke grondslag. Het wetsvoorstel Wet Gegevensverwerking Samenwerkingsverbanden (WGS), dat momenteel aanhangig is bij de Eerste Kamer (EK 35447), beoogt dat te veranderen en deze samenwerkingsverbanden een adequate juridische basis te geven. Zo worden in artikel 2.16, eerste lid, van de WGS de RIEC’s aangewezen als samenwerkingsverbanden in de zin van deze wet. In artikel 1.4 van de WGS wordt voorts bepaald dat de deelnemers van een samenwerkingsverband gezamenlijke verwerkingsverantwoordelijken zijn als bedoeld in artikel 26, eerste lid, van de AVG voor de verwerking van persoonsgegevens door het samenwerkingsverband. Rol RIEC De vraag welke rol een convenantpartner of het RIEC heeft in het kader van gegevensverwerking dient vooralsnog te worden bepaald aan de hand van de concrete (feitelijke) situatie. Hetgeen partijen onderling hebben afgesproken (in convenanten en/of protocollen) is daarbij niet doorslaggevend. Het Hof oordeelt aan de hand van de werkwijze van het RIEC dat het RIEC niet in relevante mate invloed uitoefent op het doel en de middelen van de verwerking van persoonsgegevens en daaraan niet actief deelneemt. Volgens het Hof is het duidelijk dat in het kader van de door RIEC NN verrichte activiteiten ook persoonsgegevens worden verwerkt. Het Hof oordeelt echter dat het RIEC een instrumentele rol heeft. Volgens het Hof voert het RIEC de door de convenantpartners aangedragen projecten uit en faciliteert het delen van door die partners beschikbaar gestelde persoonsgegevens met andere partners. Deze partners bepalen welke gegevens gedeeld kunnen worden. Nu het RIEC volgens het Hof niet als (gezamenlijk) verwerkingsverantwoordelijke kan worden gezien, rijst de vraag hoe het RIEC dan wel moet worden ‘geduid’. Daarover laat het Hof zich verder niet uit. Als het RIEC in de praktijk al gezien zou kunnen worden als enkel de benaming van een in een convenant vastgelegde samenwerking, is het RIEC evenmin aan te merken als verwerker. Datzelfde lijkt dan te moeten gelden voor het LIEC, maar het LIEC is op grond van het Privacyprotocol wel als verwerker aan te merken. Volgens artikel 11.5 jo. 11.4 van het Privacyprotocol vervult het LIEC voor de verwerking in de door de RIEC’s gebruikte geautomatiseerde informatiesystemen immers de rol van verwerker. Overigens is ook in de Memorie van Toelichting bij het oorspronkelijke wetsvoorstel WGS opgenomen dat het LIEC de rol van verwerker vervult (p. 29). Met het arrest van het Hof blijven dan ook nog de nodige vragen onbeantwoord. Tot slot Nu het RIEC niet als verwerkingsverantwoordelijke wordt aangemerkt, dient door de gezamenlijk verwerkingsverantwoordelijke convenantpartners op het inzageverzoek te worden besloten. In de praktijk is dat niet eenvoudig omdat de nodige afstemming is vereist tussen de gezamenlijk verwerkingsverantwoordelijken en de AVG een korte beslistermijn kent. Op het onderhavige inzageverzoek is alsnog inhoudelijk besloten door de gezamenlijk verwerkingsverantwoordelijke convenantpartners. Daarover is een procedure aanhangig bij de bestuursrechter. Contact Voor vragen kunt u contact opnemen met Anke van de Laar of een van onze andere specialisten van de Sectie Privacy en Gegevensbescherming. Zij staan u graag te woord.
Anke van de Laar 2
Anke van de Laar
Advocaat
Overzicht recente jurisprudentie inzageverzoeken artikel 15 AVG
Gemeenten ontvangen meer en meer verzoeken om inzage als bedoeld in artikel 15 van de Algemene verordening gegevensbescherming (AVG). Wij ontvangen daarover veel vragen van gemeenten. Om de praktijk handvatten te bieden, signaleert dit blog recente jurisprudentie over inzageverzoeken. Achtereenvolgens komt aan bod: de identificatie van de verzoeker; misbruik van recht; de vraag of sprake is van een buitensporig verzoek om inzage dat niet in behandeling hoeft te worden genomen; recht op een kopie van persoonsgegevens; en de afwezigheid van meer persoonsgegevens. Identificatie Volgens de Afdeling bestuursrechtspraak van de Raad van State (de Afdeling) kan het overleggen van een kopie van een identiteitsbewijs voldoende zijn om de identiteit van degene die om inzage verzoekt (de betrokkene) deugdelijk vast te stellen (ECLI:NL:RVS:2020:2833 en ECLI:NL:RVS:2020:2927). Dit waarborgt volgens de Afdeling een deugdelijke identiteitsvaststelling zonder dat afbreuk wordt gedaan aan het recht van betrokkenen om zich vrijelijk tot het college te wenden. In de laatstgenoemde uitspraak hoefde echter geen genoegen genomen te worden met de kopie van het paspoort omdat onduidelijkheid was ontstaan over de handtekening van de indiener van het verzoek. En wat als de verzoeker volstaat met het vermelden van zijn of haar voorletters, achternaam en een postbusnummer en weigert om meer gegevens te verstrekken? De rechtbank Overijssel (ECLI:NL:RBOVE:2021:1296) oordeelde in het kader van een beroep tegen het niet tijdig beslissen dat geen sprake is van een inzageverzoek als bedoeld in artikel 15 van de AVG omdat alleen de betrokkene zelf, dus de natuurlijke persoon om wiens persoonsgegevens het gaat, om inzage kan verzoeken. Op basis van verzoekers voorletters, achternaam en postbusnummer kan verzoeker niet geïdentificeerd worden en is hij evenmin identificeerbaar. Volgens de rechtbank kan verzoeker daarom niet worden aangemerkt als betrokkene en is sprake van een ‘gewoon’ verzoek om informatie. Misbruik van recht Ook in de zaak die leidde tot de uitspraak van de rechtbank Limburg van 2 april 2021 (ECLI:NL:RBLIM:2021:2946) had de betrokkene zich niet gelegitimeerd. De rechtbank Limburg oordeelde ten aanzien van zijn verzoeken om inzage bij vier gemeenten dat sprake is van misbruik van recht. Door de manier van procederen van de betrokkene Is de rechtbank er niet van overtuigd dat verzoeker zijn inzageverzoeken heeft ingediend met het doel om te weten te komen of persoonsgegevens van hem worden verwerkt en zo ja, om inzage te krijgen in die persoonsgegevens. Misbruik van recht bij AVG-verzoeken wordt niet snel aangenomen (zie bijvoorbeeld ECLI:NL:RVS:2019:2797) daarom is deze uitspraak het signaleren waard. Buitensporig verzoek Op grond van artikel 12, vijfde lid, van de AVG mag een verwerkingsverantwoordelijke weigeren om aan een inzageverzoek te voldoen als het verzoek buitensporig is. Het is aan de verwerkingsverantwoordelijke om de buitensporige aard van een verzoek aan te tonen. Uit de uitspraak van de Afdeling van 23 juni 2021 (ECLI:NL:RVS: 2021:1331) blijkt dat de toelichting ter zitting dat met de afhandeling enkele weken gemoeid zullen zijn, daartoe onvoldoende is. Recht op een kopie van persoonsgegevens Op grond van artikel 15, derde lid, van de AVG verstrekt de verwerkingsverantwoordelijke de betrokkene een kopie van de persoonsgegevens. Uit de toelichting en totstandkomingsgeschiedenis van de AVG blijkt niet wat onder ‘kopie van persoonsgegevens’ moet worden verstaan. De Afdeling oordeelde eerder al dat gelet op de algehele systematiek van artikel 15 het verstrekken van een kopie van het document waarin de persoonsgegevens zijn vervat niet altijd noodzakelijk is (ECLI:NL:RVS:2020:2559) en dat het doel van artikel 15 van de AVG is dat de betrokkene zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. In een recente uitspraak (ECLI:NL:RVS:2021:1278) voegt de Afdeling daaraan toe dat een bestuursorgaan mag kiezen voor de vorm waarin de kopie van de persoonsgegevens wordt verstrekt, als met de gekozen wijze van verstrekking maar aan het doel van artikel 15, derde lid, van de AVG wordt voldaan. Afwezigheid meer persoonsgegevens Net als bij de Wet openbaarheid van bestuur (Wob) is vaste jurisprudentie dat degene die stelt dat er meer persoonsgegevens moeten zijn, nadat het bestuursorgaan onderzoek naar die persoonsgegevens heeft gedaan en niet ongeloofwaardig heeft meegedeeld dat er niet meer persoonsgegevens zijn, aannemelijk dient te maken dat er wel meer persoonsgegevens dienen te zijn (zie bijvoorbeeld ECLI:NL:RVS:2021:452). Daartoe moet het bestuursorgaan inzichtelijk maken op welke wijze hij heeft gezocht naar persoonsgegevens (zie bijvoorbeeld ECLI:NL:RVS:2021:1331). Daarmee dient aannemelijk te worden gemaakt dat het bestuursorgaan al het redelijkerwijs mogelijke heeft gedaan om de persoonsgegevens te achterhalen. Contact Voor vragen kunt u contact opnemen met Anke van de Laar of een van onze andere specialisten van het Team Privacy. Zij staan u graag te woord.