Data & Privacy

Vanaf 12 september 2025 is de Europese Dataverordening van toepassing. Deze verordening creëert nieuwe rechten en verplichtingen die niet alleen zien op persoonsgegevens, maar op data in het algemeen. De praktische implicaties zijn groot. De Dataverordening raakt in het bijzonder partijen die verbonden (‘connected’ of Internet of Things (‘IoT’)) producten en clouddiensten aanbieden. Onderbelicht is gebleven dat de verordening ook regels bevat over contracteren over de uitwisseling van data. Deze regels zijn van toepassing op alle bedrijven. Aanbieders van connected devices en gerelateerde diensten Het eerste hoofdonderwerp in de Dataverordening betreft de regels over het delen en gebruiken van gebruiksgegevens van verbonden producten en daaraan gerelateerde diensten. Dit zijn producten en diensten zoals smartwatches en slimme speakers met een virtuele assistent als Alexa, maar ook met het internet verbonden landbouwmachines. Bedrijven moeten naar aanleiding van de Dataverordening aan nieuwe verplichtingen voldoen met betrekking tot verbonden producten en gerelateerde diensten. Ten eerste moeten bedrijven die verbonden producten produceren en gerelateerde diensten verlenen, de producten en diensten zodanig ontwerpen dat gebruikers hun gegevens gemakkelijk kunnen inzien (“data access by design”). Bovendien geeft de Dataverordening gebruikers een expliciet toegangsrecht tot gebruiksgegevens. Dit toegangsrecht houdt in dat gebruikers van verbonden producten en gerelateerde diensten eenvoudig inzage krijgen in hun gebruiksgegevens wanneer de data access by design niet geregeld is. Daarnaast moeten ondernemingen het ook mogelijk maken dat gebruikers hun gebruiksgegevens eenvoudig met een andere partij kunnen delen. Tot slot moeten kopers van verbonden producten en ontvangers van een gerelateerde dienst van de verkoper en respectievelijk de leverancier ook bepaalde informatie krijgen over hoe het verbonden product data verzamelt. De gegevenshouder (veelal de aanbieder van het verbonden product of een gerelateerde dienst) mag niet-persoonsgegevens voortaan alleen gebruiken als de overeenkomst met de gebruiker van het verbonden product of de gerelateerde dienst dit toestaat. De gegevenshouder mag de gegevens niet gebruiken om inzicht te krijgen in de economische situatie, de activa of de productiemethoden van de gebruiker of het gebruik van het product of de dienst door de gebruiker, op een manier die de commerciële positie van de gebruiker op de markten waarop deze actief is, kan ondermijnen. Gegevens mogen alleen met derden worden gedeeld als dat nodig is om de overeenkomst met de gebruiker uit te voeren. Vanaf 12 september 2026 moeten de verbonden producten die worden verkocht en gerelateerde diensten die worden verleend voldoen aan de ontwerpplicht (data access by design). De andere regels over verbonden producten en gerelateerde diensten, inclusief het expliciete toegangsrecht, zijn al vanaf 12 september 2025 van toepassing. Cloudaanbieders Het tweede hoofdonderwerp betreft de regels die worden opgelegd aan “dataverwerkingsdiensten”. Met “dataverwerkingsdiensten” wordt gedoeld op een breed scala aan clouddiensten. De considerans verwijst naar “infrastructure-as-a-service” (IaaS), “platform-as-a-service” (PaaS), “software-as-a-service” (SaaS), “storage-as-a-service” en “database-as-a-service”. Daarnaast vallen ook zogenaamde edgediensten onder het begrip. De verplichtingen die aan aanbieders van dataverwerkingsdiensten worden opgelegd zien op 1) het faciliteren van de overstap naar een andere aanbieder, 2) het faciliteren van interoperabiliteit tussen verschillende dataverwerkingsdiensten en 3) het voorkomen van internationale overheidstoegang. Vanaf 12 september 2025 moeten aanbieders van dataverwerkingsdiensten aan deze regels voldoen. Delen van gegevens met overheden Het derde hoofdonderwerp betreft regels over het verplicht delen van gegevens met overheidsinstanties, de Europese Centrale Bank, de Europese Commissie of een ander orgaan van de Europese Unie. Deze instanties kunnen op grond van een uitzonderlijke noodzaak gegevens opvragen. Dit kan alleen als de instanties in een noodsituatie niet goed en tijdig op een andere manier aan de gegevens kunnen komen. Ook kunnen de instanties niet-persoonsgegevens opvragen wanneer deze gegevens nodig zijn voor het uitoefenen van een specifieke taak in het algemeen belang, zoals voor het opstellen van officiële statistieken. Ook deze regels zijn vanaf 12 september 2025 van toepassing. Oneerlijke contractvoorwaarden voor ondernemingen onderling Het meest verrassende onderdeel van de Dataverordening is wellicht de bepaling over oneerlijke contractvoorwaarden. Deze is van toepassing op afspraken die ondernemingen onderling (‘B2B’) maken over het delen van data. Kortgezegd regelt het artikel dat contractvoorwaarden over data niet bindend zijn voor de andere partij wanneer de bedingen eenzijdig door de aanbieder zijn opgelegd én als “oneerlijk” worden bestempeld. Het artikel bevat een lijst met bepalingen die altijd oneerlijk zijn (een ‘zwarte lijst’) en een lijst met bepalingen die worden vermoed oneerlijk te zijn (een ‘grijze lijst’). Als een onderneming een beding uit de grijze lijst gebruikt, moet deze onderneming bewijzen dat het beding niet oneerlijk is. Opvallend aan het artikel is dat het is opgesteld als een zwarte en grijze lijst tussen ondernemingen onderling. Er bestaan al veel langer zwarte en grijze lijsten voor algemene voorwaarden die ondernemingen aan consumenten opleggen (zie bijvoorbeeld artikel 6:236 en 6:237 Burgerlijk Wetboek), waarbij de consument wordt beschermd tegen oneerlijke algemene voorwaarden. Nu is er dus een vergelijkbare lijst voor overeenkomsten tussen ondernemingen onderling. Deze bepaling geldt ongeacht de grootte van de betreffende ondernemingen. De verplichtingen uit dit artikel zien op alle contracten en bedingen over de toegang tot en het gebruik van data die worden gesloten tussen ondernemingen. Bij elke overeenkomst of bepaling over het delen van gegevens en het gebruik van gegevens zal rekening moeten worden gehouden met dit artikel. Het artikel zal veelal ook van toepassing zijn wanneer ondernemingen onderling contracten over persoonsgegevens sluiten, zoals een overeenkomst voor gezamenlijke verwerkingsverantwoordelijken onder artikel 26 van de Algemene Verordening Gegevensbescherming (‘AVG’). De toepassing van het artikel is van dwingend recht. Dit betekent dat ondernemingen niet kunnen afspreken dat het artikel niet op hun relatie van toepassing is en er niet van kunnen afwijken. Het is van belang dat ondernemingen zich van dit artikel bewust zijn wanneer zij overeenkomsten sluiten over (persoons)gegevens. Voor afnemers is het overigens belangrijk om altijd te proberen te onderhandelen over de aan hen opgelegde oneerlijke contractvoorwaarden. Als er niet is geprobeerd om over de oneerlijke voorwaarden te onderhandelen, kan een onderneming geen beroep doen op de bescherming van het artikel. De bepaling is van toepassing op alle overeenkomsten die worden gesloten na 12 september 2025. Op een aantal overeenkomsten die voor 13 september 2025 zijn gesloten is de bepaling van toepassing vanaf 12 september 2027. Dit geldt voor overeenkomsten die voor onbepaalde tijd zijn gesloten en voor overeenkomsten die aflopen na 11 januari 2034. Toezicht en handhaving van de Dataverordening De Dataverordening heeft directe werking in de Nederlandse rechtsorde, waardoor er geen of beperkte ruimte is voor afwijkende of aanvullende nationale regels. Voor de onderwerpen die nationaal moeten worden geregeld is een nationale Uitvoeringswet in behandeling. De verordening geeft lidstaten de vrijheid om zelf te bepalen welke toezichthouder bevoegd is om de bepalingen uit de verordening te handhaven. In Nederland moet de Tweede Kamer nog stemmen over het ontwerp van een Nederlandse Uitvoeringswet. In het huidige wetsontwerp van de Uitvoeringswet dataverordening worden de Autoriteit Persoonsgegevens (‘AP’) en de Autoriteit Consument en Markt (‘ACM’) als toezichthouders aangewezen. Conclusie De Dataverordening is vanaf 12 september 2025 van toepassing in Nederland. De Dataverordening schept nieuwe rechten en verplichtingen voor met name ondernemingen. In het bijzonder zullen alle ondernemingen bij het sluiten van overeenkomsten over (persoons)gegevens waakzaam moeten zijn voor de regels over oneerlijke contractuele bedingen. De AP en de ACM zullen waarschijnlijk worden aangewezen als toezichthouder voor de naleving van de verordening. De Dataverordening is nu nog niet van toepassing. Toch is het aan ondernemingen aan te raden om alvast maatregelen te nemen. Zo kan de bedrijfsvoering tijdig worden aangepast aan de verplichtingen die de verordening met zich meebrengt. Tot slot La Gro organiseert dit najaar op 14 november een kennisevenement over de Dataverordening. Er zullen daarnaast meer blogs over dit onderwerp volgen. Houd onze website in de gaten voor meer informatie. Dit blog is oorspronkelijk verschenen op Privacy Web. Heeft u vragen over de Dataverordening of wilt u zich (voor)aanmelden voor ons event op 14 november? Neem dan contact op met Jan Baas, Jolijn Gijsen of Jiahui Plomp of een van onze andere specialisten Data & Privacy.

Gemeenten ontvangen met grote regelmaat van burgers verzoeken om inzage zoals bedoeld in artikel 15 van de Algemene verordening gegevensbescherming (‘AVG’). Om gemeenten hierbij handvatten te bieden, beschrijft dit blog de laatste ontwikkelingen in de jurisprudentie over inzageverzoeken. In het blog worden de volgende onderwerpen achtereenvolgens besproken: Recht op een kopie van de verwerkte persoonsgegevens; Inzage in mails en notities voor intern overleg en beraad; Inzage in (categorieën) van ontvangers en namen van werknemers en ambtenaren. Recht op kopie van verwerkte persoonsgegevens Ingevolge artikel 15 lid 3 van de AVG heeft een betrokkene het recht om een kopie te verkrijgen van de persoonsgegevens die worden verwerkt. Het Hof van Justitie heeft in een recente zaak (ECLI:EU:C:2023:369 C-487/21, F.F. / Österreichische Datenschutszbehörde CRIF-arrest) verduidelijkt wat een “kopie” inhoudt. Het Hof lichtte toe dat een kopie de verwerkte persoonsgegevens “volledig en getrouw moet reproduceren” zodat de betrokkene “daadwerkelijk” zijn rechten onder de AVG kan uitoefenen. Om de begrijpelijkheid te waarborgen, kan bij het voldoen aan een inzageverzoek “onontbeerlijk” zijn om uittreksels of zelfs volledige documenten te reproduceren. Op basis van de context kan het dus verplicht zijn om uittreksels of volledige documenten te verstrekken aan een betrokkene. Deze uitspraak komt overeen met de eerdere uitspraken van de Afdeling bestuursrechtspraak van de Raad van State (hierna: ‘Afdeling’) hierover (ECLI:NL:RVS:2020:2559). In deze zaak werd geoordeeld dat gelet op de algehele systematiek van artikel 15, het verstreken van een kopie van het document waarin de persoonsgegevens zijn vervat niet altijd noodzakelijk is, en dat het doel van artikel 15 AVG is dat de betrokkene zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. Ook in een recente uitspraak van de Afdeling (ECLI:NL:RVS:2023:3067), onder verwijzing naar het CRIF-arrest, blijft het uitgangspunt dat er in beginsel geen verplichting is om uittreksels of afschriften van stukken te overleggen. De verwerkingsverantwoordelijke zal zelf de afweging moeten maken of het verstrekken van afschriften of uittreksels “onontbeerlijk is” in de gegeven context, of dat kan worden volstaan met andere manieren om de begrijpelijkheid van de kopieën te waarborgen. Verder heeft het Hof van Justitie in een andere zaak (ECLI:EU:C:2023:811 C-307/22, FT / DW) geoordeeld dat een eerste kopie onder artikel 15 AVG gratis moet zijn. Daarnaast oordeelde het Hof in deze zaak dat een verwerkingsverantwoordelijke niet kan eisen dat een betrokkene een reden aanvoert voor zijn inzageverzoek. Een inzageverzoek kan niet worden afgewezen wanneer de betrokkene er een ander doel mee wil bereiken dan zich op de hoogte stellen van de verwerkingen van de gegevens en/of het controleren van de rechtmatigheid van de verwerkingen. Inzage in mails en notities voor intern overleg en beraad In een zaak die voorlag bij de rechtbank Gelderland (ECLI:NL:RBGEL:2023:4184) stelde de minister voor Rechtsbescherming zich op het standpunt dat er geen inzage hoefde te worden gegeven in “mails en notities die de persoonlijke gedachten van medewerkers bevatten en die uitsluitend bedoeld zijn voor intern overleg en beraad”. Documenten die zijn opgesteld ten behoeve van intern beraad met daarin persoonlijke beleidsopvattingen vormen wel een uitzonderingsgrond onder de Wet open overheid (zie artikel 5.2 van de Wet open overheid), maar hetzelfde kan niet worden gezegd voor artikel 15 AVG. De rechtbank volgt hierin een eerdere uitspraak van de Afdeling (ECLI:NL:RVS:2020:352 onder rechtsoverweging 7.1.) en oordeelde dat de minister niet inzage kon weigeren met het argument dat interne notities niet onder het inzageverzoek van artikel 15 AVG kon vallen. Inzage in (categorieën van) ontvangers Op grond van artikel 15 lid 1 sub c AVG heeft een betrokkene ook het recht om inzage te krijgen in de “ontvangers of categorieën van ontvangers” aan wie de persoonsgegevens zijn verstrekt. Uit de AVG blijkt niet duidelijk of de betrokkene het recht heeft om inzage te krijgen in concrete ontvangers van de persoonsgegevens, of dat de verwerkingsverantwoordelijke de vrijheid heeft bij een inzageverzoek zelf te kiezen of het informatie over concrete ontvangers dan wel categorieën van ontvangers deelt. Het Europese Hof van Justitie in een recente uitspraak (ECLI:EU:C:2023:3:, C-154/21, RW / Österreichische Post AG) verduidelijkt dat het uitgangspunt is dat de verwerkingsverantwoordelijke de daadwerkelijke ontvangers met de betrokkene moet delen. Dit is alleen anders indien het onmogelijk is om de ontvangers van de persoonsgegevens te identificeren, bijvoorbeeld omdat de concrete ontvangers nog niet bekend zijn. Dan kan worden volstaan met categorieën van ontvangers. Dit laat onverlet dat een verwerkingsverantwoordelijke onder omstandigheden een beroep kan doen op uitzonderingen zoals in artikel 12 lid 5 van de AVG of artikel 41 van de Uitvoeringswet Algemene verordening gegevensbescherming (“UAVG”) om inzage in concrete ontvangers te weigeren. Voor een gemeente zou dit bijvoorbeeld kunnen spelen als tegemoetkoming aan het inzageverzoek de openbare veiligheid in gevaar brengt. Inzage in namen van werknemers En hoe zit het als een verzoeker onder verwijzing naar dit arrest inzage wil in de naam van de ambtenaar die zijn persoonsgegevens heeft verwerkt? Hierover oordeelde Rechtbank Noord-Nederland (ECLI:NL:RBNNE:2023:5486) dat de ambtenaar die de gegevens in een systeem heeft ingevoerd geen ontvanger is in de zin van de AVG, en daarom niet verstrekt hoeft te worden. Dit wordt ook bevestigd door een uitspraak van het Hof van Justitie (ECLI:EU:C:2023:501 C-579/21, J.M. / Apulaistietosuojavaltuutettu) waarin een verzoeker inzage wilde hebben in de namen van de werknemers van de verwerkingsverantwoordelijke die zijn gegevens hadden geraadpleegd en de data waarop en de doeleinden waarvoor de raadplegingen waren gedaan. Het Hof oordeelde dat de betrokkene via artikel 15 AVG inzage kon krijgen in de data en de doeleinden van de raadplegingen. Daarentegen gold dat in beginsel niet voor de namen van de werknemers. De werknemers van de verwerkingsverantwoordelijke kunnen namelijk niet worden beschouwd als ontvangers in de zin van artikel 15, lid 1, onder c), AVG wanneer de werknemers persoonsgegevens verwerken onder het gezag van die verwerkingsverantwoordelijke en overeenkomstig zijn instructies. Het Hof oordeelde wel dat de namen van de werknemers van de verwerkingsverantwoordelijke die de persoonsgegevens van de betrokkene hebben geraadpleegd ook persoonsgegevens van de betrokkene kunnen zijn. Desondanks hoeft hier volgens het Hof in dit geval geen inzage in te worden verleend, omdat dit de privacy van de werknemers kan schaden. Artikel 15 AVG mag geen afbreuk doen aan rechten of vrijheden van anderen. In andere gevallen is het niet uitgesloten dat er toch inzage in de namen van de werknemers moet worden gegeven wanneer deze informatie “onontbeerlijk is” voor de betrokkene om hem in staat te stellen zijn rechten onder de AVG uit te oefenen en er rekening wordt gehouden met de rechten en vrijheden van die werknemers. Contact Heeft u vragen over dit onderwerp? Neem dan contact op met Anke van de Laar, Jolijn Gijsen of een van onze andere Data & Privacy Specialisten.

Op 2 mei 2023 is de Digital Markets Act (DMA)[1] in werking getreden. Deze Europese verordening heeft tot doel de mededinging op de digitale markt eerlijk en goed functionerend te houden door regels te stellen voor zogenaamde ‘’Poortwachters’’. Poortwachters zijn grote digitale platforms die zogenaamde kernplatformdiensten aanbieden, zoals online zoekmachines of app stores, welke aanzienlijke macht op de markt bezitten. Om te voorkomen dat de poortwachters concurrenten dwarszitten met hun marktmacht, worden zij in de DMA aan verplichtingen en verboden gebonden. De DMA is onderdeel van het wetgevingspakket van de EU inzake digitale diensten en raakt aan verschillende mededingings- en privacyaspecten. Samen met de Digital Services Act (DSA) is het eerste ontwerp aangekondigd in 2021. De DMA moet samen met de DSA, AVG en de AI Act bijdragen aan eerlijke(re) mededinging op de digitale markten. In deze blog zetten wij voor u uiteen welke regels gelden voor de poortwachters, en hoe (kleinere) marktpartijen de DMA kunnen inzetten om oneerlijke concurrentie door poortwachters op digitale markten tegen te gaan. Wie zijn poortwachters? Poortwachters in de zin van de DMA zijn ondernemingen die kernplatformdiensten aanbieden en aan drie criteria voldoen: De onderneming heeft een omvang die van invloed is op de interne markt. De onderneming heeft controle over een belangrijke toegangspoort voor zakelijke gebruikers naar eindgebruikers. De onderneming heeft een bestendige en duurzame positie. De DMA schrijft tevens een lijst met kernplatformdiensten voor, waaronder onlinetussenhandelsdiensten, onlinezoekmachines, onlinesocialenetwerkdiensten en webbrowsers. Wordt aan bovenstaande criteria voldaan, dan kan de Europese Commissie de onderneming formeel aanwijzen als poortwachter, en dient de onderneming de verplichtingen uit de DMA na te leven. Momenteel zijn er door de Europese Commissie zeven ondernemingen met in totaal 24 diensten aangewezen als poortwachters in de zin van de DMA. Het betreft Alphabet (onder andere Google Search, YouTube), Amazon, Apple (onder andere Appstore), Booking (Booking.com), ByteDance (TikTok), Meta (onder andere Facebook, Whatsapp) en Microsoft (onder andere Windows, LinkedIn)[2]. Verplichtingen en verboden voor poortwachters De DMA bevat een uitgebreide lijst met praktijken van poortwachters die als oneerlijk worden gezien, en schrijft diverse verplichtingen aan de poortwachters voor. Poortwachters zijn verplicht om binnen zes maanden na het aanwijzingsbesluit aan deze verplichtingen te voldoen. Voor de initiële zes poortwachters is de zes maanden termijn op 6 maart 2024 verstreken. Booking is later als poortwachter aangewezen, en heeft nog tot 13 november 2024 om DMA-compliant te worden. Een aantal voorbeelden van verplichtingen voor poortwachters zijn: Het in staat stellen van derde partijen om in bepaalde specifieke situaties met de eigen diensten van de poortwachter samen te werken; Zakelijke gebruikers toegang verschaffen tot gegevens op het kennisplatform die deze gebruikers zelf genereren; Adverteerders en uitgevers die hun platform gebruiken, de nodige tools en informatie geven om advertenties zelf op het platform van de poortwachter te analyseren; Zakelijke gebruikers in staat stellen hun aanbod op het platform te promoten en buiten het platform contracten met klanten te sluiten. Voorbeelden van gedragingen waar poortwachters zich van dienen te onthouden zijn: Eigen diensten en producten op het platform hoger plaatsen of gunstiger behandelen dan vergelijkbare producten of diensten van derde partijen; Consumenten verbieden om buiten het platform om contact te leggen met bedrijven; Gebruikers verhinderen om automatische geïnstalleerde software of apps te verwijderen; Eindgebruikers buiten de kernplatformdienst van de poortwachters volgen met het oog op gerichte reclame, zonder dat effectieve toestemming is verleend. Verwerking van persoonsgegevens De DMA heeft tevens invloed op de wijze van verwerking van persoonsgegevens door poortwachters. De DMA omvat een aantal verplichtingen voor poortwachters die gericht zijn op het beschermen van de privacy van gebruikers. Deze verplichtingen zien erop toe dat poortwachters hun (dominante) positie niet misbruiken door gegevens van gebruikers verzameld in verschillende diensten te combineren voor commerciële doeleinden. Het betreft de volgende verplichtingen De poortwachter mag geen persoonsgegevens van eindgebruikers verwerken die gebruikmaken van diensten van derden via kernplatformdiensten met als doel online advertentiediensten aan te bieden; Persoonsgegevens van de kernplatformdienst mogen niet worden gecombineerd met persoonsgegevens van andere kernplatformdiensten, andere diensten van de poortwachter, of diensten van derden; Persoonsgegevens van de kernplatformdienst mogen niet worden gebruikt in andere afzonderlijke diensten van de poortwachter, inclusief andere kernplatformdiensten, en vice versa; Eindgebruikers mogen niet automatisch worden aangemeld bij andere diensten van de poortwachter met het doel persoonsgegevens te combineren. Onderzoeken van de Europese Commissie De Europese Commissie is bevoegd een onderzoek in te stellen naar de naleving van de DMA door poortwachters. Zij heeft inmiddels meerdere van dergelijke onderzoeken ingesteld. Bijvoorbeeld Apple is onderwerp van drie verschillende niet-nalevingsonderzoeken. In het kader van één van deze onderzoeken heeft de Europese Commissie op 24 juni 2024 voorlopige bevindingen gepubliceerd, waarin zij stelt dat de stuurregels van Apple gebruikt in de Apple App Store strijdig zijn met de DMA. Apple hanteert in de App Store momenteel drie typen zakelijke voorwaarden op grond waarvan het app-ontwikkelaars niet vrij staat om hun klanten vrij door te sturen naar alternatieve en/of goedkopere distributiekanalen. Ontwikkelaars kunnen bijvoorbeeld geen prijsinformatie verstrekken binnen de app of op een andere manier communiceren met hun klanten om aanbiedingen te promoten die beschikbaar zijn op alternatieve distributiekanalen. Dit vormt naar het voorlopige standpunt van de Europese Commissie een overtreding van de DMA. Apple heeft nu de mogelijkheid om zich te verweren, alvorens de Commissie definitief zal besluiten met betrekking tot eventuele niet-naleving en potentiële sancties.[3] Niet-naleving van de DMA Indien uit het onderzoek van de Europese Commissie volgt dat een poortwachter zich niet aan de regels uit de DMA houdt, kan de Europese Commissie daar straffen aan verbinden. De Europese Commissie kan geldboetes opleggen aan het platform, welke maximaal 10% van de totale wereldwijde jaaromzet van de onderneming bedragen of tot 20% in geval van herhaalde inbreuken. Ook kan de Europese Commissie besluiten een dwangsom op te leggen in de vorm van een periodieke financiële sanctie tot 5% van de gemiddelde dagelijkse omzet. Tot slot, kunnen bij systematische overtredingen van de DMA ook extra maatregelen worden opgelegd, welke zo ver kunnen gaan als een bevel tot verandering van gedraging of structuur van het betreffende platform. Handhaving In principe wordt naleving van de DMA gehandhaafd door de Europese Commissie. Wel bestaan er voor marktpartijen die last ondervinden van gedragingen van poortwachters verschillende tools aan de hand waarvan zij handhaving en/of naleving kunnen initiëren of stimuleren. Dit kan allereerst door te klagen bij nationale mededingingsautoriteiten, zoals de Autoriteit Consument en Markt (ACM) in Nederland. Deze mededingingsautoriteiten zijn aangewezen als nationale toezichthouders en beschikken over bevoegdheden om onderzoek te starten naar aanwijzing van ondernemingen als poortwachter, of naar gedragingen van reeds aangewezen poortwachters. Daarnaast kunnen concurrenten of andere benadeelden ook rechtstreeks naar de rechter stappen om naleving van de DMA af te dwingen, dan wel schadevergoeding te vorderen nadat schending van de DMA is vastgesteld. Dit kan onder andere in massaschadeclaims. Problemen ten aanzien van poortwachters? Ondervindt u belemmeringen door de dominante positie van poortwachters? Worden uw belangen als concurrent en/of consument geschaad door hun acties?  Wij denken graag met u mee over mogelijkheden om oneerlijke praktijken van poortwachters tegen te gaan, en eventuele schade vergoed te krijgen. Meer weten over dit onderwerp? Neem contact op met Monika Beck, Jiahui Plomp of één van onze andere specialisten. [1] Verordening (EU) 2022/1925 van het Europees Parlement en de Raad van 14 september 2022 over betwistbare en eerlijke markten in de digitale sector, en tot wijziging van de Richtlijnen (EU) 2019/1937 en (EU) 2020/1828 (digitalemarktenverordening) (PbEU 2022, L 265/1). [2] Voor een actueel overzicht van aangewezen gatekeepers wordt verwezen naar de website van de Europese Commissie ‘’Gatekeepers’’ [https://digital-markets-act.ec.europa.eu/gatekeepers_en]. [3] Lees meer op Europese Commissie, Persbericht: Commissie stuurt Apple haar voorlopige bevindingen en opent aanvullend onderzoek wegens niet-naleving van de digitalemarktenverordening door Apple, 24 juni 2024 [https://ec.europa.eu/commission/presscorner/detail/nl/ip_24_3433].

Sinds begin dit jaar is de NIS2-richtlijn van kracht. De richtlijn laat aan lidstaten de ruimte om zelf een afweging te maken of lokale overheden, zoals gemeenten, waterschappen en gemeenschappelijke regelingen onder de richtlijn vallen. Recentelijk is het wetsvoorstel voor de Cyberbeveiligingswet ter internetconsulatie gelegd. Zoals al werd verwacht is in het ontwerp opgenomen dat decentrale overheden, waaronder gemeenten, waterschappen en provincies, onder de NIS2 zullen vallen. NIS2 in het kort De NIS2-richtlijn is een update van de NIS-richtlijn. NIS2 stelt strengere eisen aan de beveiliging van netwerken en informatiesystemen van essentiële en belangrijke entiteiten in bepaalde sectoren. Kort samengevat bevat de NIS2-richtlijn een zorgplicht, op grond waarvan entiteiten zelf een risicobeoordeling dienen uit te voeren en passende maatregelen dienen te nemen om de continuïteit van diensten zoveel mogelijk te waarborgen en netwerk- en informatiesystemen te beschermen. Daarnaast geldt er een meldplicht van incidenten en zal er een onafhankelijke toezichthouder worden aangewezen. NIS2 is van toepassing naast bijvoorbeeld de beveiligingsverplichting in de Algemene Verordening Gegevensbescherming (‘AVG’). Waar de AVG ziet op bescherming van persoonsgegevens, legt NIS2 de nadruk op de continuïteit van essentiële diensten. Voor de sector overheidsdiensten zal de Rijksinspectie voor Digitale Infrastructuur (RDI) toezicht houden op het stelsel van informatieveiligheid. Reikwijdte Uit het wetsvoorstel voor de Cyberbeveiligingswet blijkt dat de wetgever voornemens is om decentrale overheden, waaronder gemeenten, waterschappen en provincies onder de reikwijdte van de NIS2-richtlijn te laten vallen en als essentiële entiteiten aan te merken. Gemeenschappelijke regelingen en zelfstandige bestuursorganen zullen veelal eveneens onder de onder de reikwijdte vallen. Overheidsinstanties die in de hoofdzaak activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, vallen niet onder de richtlijn. Baseline Informatiebeveiliging Overheid Veel verplichtingen die de NIS2-richtlijn en de Cyberbeveiligingswet opleggen, zijn al van toepassing op lokale overheden via andere wettelijke kaders. De wijze waarop overheden aan deze beveiligingsverplichtingen voldoen is uitgewerkt in de Baseline Informatiebeveiliging Overheid (BIO). Er wordt nu gewerkt aan een vernieuwde versie van de BIO, BIO 2.0, onder andere om de nieuwe verplichtingen die voortvloeien uit de richtlijn en de Cyberbeveiligingswet daarin te verankeren. Inmiddels is ook een mapping gemaakt door de werkgroep BIO om aan te geven in hoeverre de NIS2-maatregelen zich verhouden tot de huidige BIO. Deze is hier te raadplegen. Tot slot Het wetsvoorstel voor de Cyberbeveiligingswet zoals die nu ter internetconsulatie is gelegd, is via deze link te raadplegen. Tot 1 juli bestaat de mogelijkheid om op het wetsvoorstel te reageren. Hoewel het nog wel even kan duren voordat de Cyberbeveiligingswet van toepassing is, is het verstandig op tijd te beginnen met het treffen van maatregelen ter bescherming van de beveiliging en continuïteit van eigen werkprocessen. Hierbij kan door overheidsinstanties gebruik worden gemaakt van de Handreiking BIO 2.0-opmaat van de BIO.    Contact Heeft u vragen over de NIS2-richtlijn? Neem dan contact op met Jan Baas, Jolijn Gijsen of Frederiek Beuning of  een van onze andere specialisten Data & Privacy.  

De Autoriteit Persoonsgegevens (AP) heeft guidance uitgebracht over de wijze waarop websites toestemming dienen te vragen als zij cookiebanners hanteren. Onder andere schrijft de AP voor dat websites de keuze om cookies te weigeren of te accepteren, op één laag moeten aanbieden. Sommige cookiebanners bevatten een knop om de opslag van cookies te accepteren en een knop waarmee de betrokkene toegang krijgt tot verdere opties, maar zonder de mogelijkheid om direct alle cookies te weigeren. Deze optie is pas te vinden in de tweede laag. Volgens de AP wordt hiermee niet voldaan aan de door haar geformuleerde eis dat het accepteren en weigeren van cookies even makkelijk moet zijn. Cookies en toestemming voor cookies Een cookie is een klein bestand dat bij het bezoeken van websites op apparaten van bezoekers kan worden geplaatst. Er bestaan verschillende soorten cookies met verschillende doeleinden. Functionele cookies zijn noodzakelijk voor het effectief functioneren van een dienst of webshop. Denk bijvoorbeeld aan het bijhouden van producten die je toegevoegd hebt aan het winkelmandje. Analytische cookies gebruikt een website bijvoorbeeld om het aantal bezoekers bij te houden. Bij tracking cookies wordt het internetgedrag van mensen gevolgd. Cookiewetgeving in Nederland is te vinden in artikel 11.7a van de Telecommunicatiewet. Dit artikel is gebaseerd op de e-Privacy Richtlijn (Richtlijn 2002/58/EG). Functionele en analytische cookies hebben over het algemeen beperkte invloed op de privacy. Deze cookies kunnen dan automatisch geplaatst worden bij bezoek aan een website, een bezoeker hoeft hiervoor geen toestemming te geven. In andere gevallen, zoals bij tracking cookies, is plaatsing slechts toegestaan indien voorafgaande toestemming is verkregen. Artikelen 4 lid 11, artikel 7 en overweging 32, 42 en 43 AVG (Verordening 2016/679 EU) bevatten vereisten waar toestemming van de betrokkene aan moet voldoen: Toestemming moet vrijelijk worden gegeven (artikel 4 lid 11 en overweging 42 AVG); Toestemming moet specifiek zijn (artikel 4 lid 11 AVG); Toestemming moet geïnformeerd zijn (artikel 4 lid 11 AVG); Toestemming moet een ondubbelzinnige wilsuiting zijn waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige handeling hem betreffende verwerking van persoonsgegevens aanvaardt. Dit houdt in dat de toestemming expliciet via een positieve handeling gegeven moet zijn. Het gebruikmaken van aangekruiste selectievakjes mag dus niet (artikel 4 lid 11 AVG); De verwerkingsverantwoordelijke moet toestemming kunnen aantonen (artikel 7 lid 1 AVG); Toestemming moet in duidelijke en eenvoudige taal gepresenteerd zijn zodat een duidelijk onderscheid gemaakt kan worden met een andere aangelegenheid (artikel 7 lid 2 AVG); Afzonderlijke toestemming moet kunnen worden gegeven voor verschillende persoonsgegevensverwerkingen (overweging 43 AVG, het vereiste van “granulariteit”); Toestemming moet te allen tijde kunnen worden ingetrokken; het intrekken van de toestemming moet even eenvoudig zijn als het geven ervan (artikel 7 lid 3 AVG). Gevolgen nieuwe guidance AP De nieuwe guidance zou betekenen dat een constructie zoals de Franse toezichthouder CNIL die in het verleden toepaste, en die ook nu nog door veel organisaties wordt gehanteerd, niet meer zou zijn toegestaan. In deze constructie wordt in de eerste laag gevraagd om toestemming (“OK, tout accepter”) met de mogelijkheid om door te klikken naar een tweede laag voor persoonlijke instellingen (“personaliser”). In de tweede laag is vervolgens de mogelijkheid te vinden om per soort cookies de instellingen te bepalen. Als het goed is, staan in deze tweede laag de cookies waarvoor toestemming moet worden gegeven “uit” en is een actieve handeling nodig om deze te activeren. CNIL had deze tweede laag vormgegeven als volgt:   In deze vormgeving kunnen op de tweede laag alle cookies worden geweigerd, of kan per cookie worden gekozen om het te accepteren of te weigeren. De pagina met cookie-instellingen kan ook later steeds worden bezocht om de keuze te kunnen aanpassen. Met deze constructie wordt in onze ogen voldaan aan alle eisen die de AVG stelt aan een rechtsgeldige toestemming, in het bijzonder het vereiste van granulariteit en de eis dat de instemming ook weer eenvoudig kan worden ingetrokken. Guidance van de AP De AP laat in de guidance echter weten dat het niet is toegestaan om in de cookiebanner toestemming te vragen, en pas in een tweede laag een optie met cookies weigeren/afwijzen/niet instemmen aan te bieden. Voortaan moet deze optie beschikbaar zijn op dezelfde laag als de laag waar toestemming voor wordt gevraagd. Cookie Banner Taskforce De European Data Protection Board (EDPB) heeft een Cookie Banner Taskforce opgezet. Uit hun rapport van 17 januari komt naar voren dat het overgrote deel van de Europese privacytoezichthouders van mening is dat er sprake is van een inbreuk op de e-Privacy Richtlijn wanneer een banner niet voorziet in opties om cookies te accepteren of te weigeren op dezelfde laag. Enkele toezichthouders vinden evenwel dat er geen sprake is van een inbreuk, wegens het ontbreken van een expliciete ‘weiger optie’ voor het plaatsen van cookies op grond van artikel 5 lid 3 van de e-Privacy Richtlijn. Wij komen de door de AP gestelde eis niet tegen in de AVG dan wel de Telecommunicatiewet. Wij vragen ons – met de minderheid van de privacytoezichthouders uit de EDPB – af waar deze eis op gebaseerd kan zijn. Intrekken vs. weigeren Volgens de AP volgt de verplichting uit de door haar geformuleerde regel dat het weigeren van toestemming even eenvoudig moet zijn als het accepteren ervan. In de AVG komt die regel echter niet voor in artikel 7 lid 3 AVG staat wel dat het intrekken van toestemming even eenvoudig moet zijn als het geven ervan, maar intrekken is iets anders dan weigeren. Vrije toestemming De volgende vraag die kan worden gesteld, is of het aanbieden van een weigerknop van cookies in de tweede laag afbreuk doet aan vrije toestemming. Doet het geven van een extra klik iets af aan het karakter van de vrije toestemming? De EDPB heeft op 17 april een opinie uitgebracht over geldige toestemming in de context van toestemmings- of betaalmodellen (ook wel bekend als ‘consent or pay’ modellen) die geïmplementeerd zijn door grote online platforms. Aanleiding hiervoor was een verzoek van de Nederlandse, Duitse en Noorse gegevensbeschermingsautoriteiten. In par. 67 van deze opinie stelt de EDPB dat verwerkingsverantwoordelijken de autonomie van betrokkenen niet mogen beperken door het moelijker te maken om toestemming te weigeren dan om toestemming te geven. Zoals hiervoor opgemerkt is dit echter geen vereiste dat volgt uit de AVG. Dat de gebruiker moet doorklikken om cookie-keuzes in te stellen maakt onzes inziens niet in algemene zin dat het geven van toestemming hiermede geen vrije keuze meer is.    Data protection by default We hebben ons vervolgens afgevraagd of de door de AP geformuleerde eis kan volgen uit artikel 25 lid 2 AVG (data protection by default). Wij menen dat dit niet zo is. Uit artikel 25 lid 2 AVG volgt dat de cookies die van toestemming afhankelijk zijn pas mogen worden geplaatst nadat toestemming is gegeven, niet dat een weigeringsknop op dezelfde laag moet worden geplaatst als de toestemmingsvraag zelf. Misleidende ontwerppatronen Op Europees niveau zijn er verschillende regelingen die misleidende ontwerppatronen (ook wel bekend als dark patterns) bespreken, waaronder de AVG, de Richtlijn oneerlijke handelspraktijken (Richtlijn 2005/29), de Digital Services Act (Verordening 2001/31), de Digital Markets Act (Richtlijn 2022/1925), de Data Act (Verordening 2023/2854)  en de Artificial Intelligence Act (COM (2021) 2016 final). De EDPB heeft Richtsnoeren uitgebracht over misleidende ontwerppatronen. EDPB Richtsnoeren Volgens de EDPB Richtsnoeren zijn misleidende ontwerppatronen interfaces op sociale mediaplatformen, websites of in cookiebanners die gebruikers ertoe brengen onbedoelde, vaak onwillige en/of mogelijk schadelijke beslissingen te nemen met betrekking tot persoonlijke data en die in het belang zijn van het sociale media platform. Misleidende ontwerppatronen zijn onder te verdelen in verschillende categorieën. Eén van de vormen waarin dit kan plaatsvinden is het zogenaamde ‘hinderen (obstructing)’. Hiervan is sprake wanneer gebruikers worden belemmerd of geblokkeerd in hun proces om informatie te krijgen of hun gegevens te beheren door de actie moeilijk of onmogelijk te maken. Gebruikers willen dan een bepaalde handeling uitvoeren die betrekking heeft op hun gegevensbescherming, en dat gebruikerstraject wordt op een zodanige manier gepresenteerd dat het meer stappen vergt dan nodig is voor de activering van opties die inbreuk hebben op data van de betreffende persoon. Dit heeft dan als gevolg dat gebruikers waarschijnlijk ontmoedigd worden om een dergelijke controle te activeren. In de Richtsnoeren van de EDPB wordt een voorbeeld aangehaald van gebruikers die tijdens het aanmeldingsproces op de knop “overslaan” klikken (om te voorkomen dat ze bepaalde data te zien krijgen) krijgen een pop-upvenster te zien met de vraag “Weet u het zeker?” Door hun beslissing in twijfel te trekken, zet de aanbieder van sociale media gebruikers aan om hun beslissing te herzien en bepaalde gegevens openbaar te maken, zoals geslacht, lijst met contactpersoon of foto. Gebruikers die ervoor kiezen om de gegevens direct in te voeren, zien daarentegen geen bericht met het verzoek om hun keuze te heroverwegen. In het begin van dit jaar had de AP Uber Technologies Inc. en Uber B.V. (Uber) een boete opgelegd van 10 miljoen euro.  Uber handelde in strijd met artikel 12 tweede lid AVG door het voor chauffeurs onnodig moeilijk te maken om een verzoek in te dienen voor het bekijken of ontvangen van hun gegevens. In de app was er een digitaal formulier voor chauffeurs beschikbaar om inzage aan te vragen, maar dit formulier was moeilijk te vinden omdat het in verschillende menu’s was verborgen en op een logischere locatie had kunnen worden geplaatst en er een groot aantal stappen (in totaal 7) doorlopen moest worden om bij het formulier te komen. Ofschoon de AP niet naar dit leerstuk verwijst zou dit gezien kunnen worden als een  voorbeeld van een misleidend ontwerppatroon. Wij menen dat het aanbieden van een weigerknop van cookies in de tweede laag in een heldere structuur, waarbij de weigerknop reeds met één extra stap wordt gevonden, niet gelijk kan worden gesteld met wat als een misleidend ontwerppatroon wordt gezien. Conclusie In onze analyse wordt bij het plaatsen van de weigerknop in een tweede laag, geen inbreuk geconstateerd op de rechtstreeks van toepassing zijnde AVG bepalingen. Het is onwaarschijnlijk dat deze praktijk via de omweg van de Richtsnoeren over misleidende ontwerppatronen opeens wél verboden zou zijn. Een en ander uiteraard afhankelijk van de verdere vormgeving van de toestemmingsteksten. We nemen daarbij in aanmerking dat de eisen waaraan cookie-toestemming, en toestemming onder de AVG in het algemeen, in de regelgeving zeer gedetailleerd is uitgewerkt en aangenomen mag worden dat een verwerking die aan deze gedetailleerde eisen voldoet, rechtmatig is. De nieuwe eis die de AP stelt en die afwijkt van de interpretatie van de betreffende wetgeving zoals die al jaren wordt gehanteerd, vereist een wetswijziging en kan niet door de toezichthouders worden ingevoerd op basis van verwijzing naar eigen Richtsnoeren en algemene rechtsbeginselen.[1] De nieuw geformuleerde eis uit de guidance van de AP, inhoudende dat accepteren even makkelijk moet zijn als afwijzen, kan volgens ons niet gezien worden als een algemene regel die volgt uit wetgeving zoals de e-Privacy Richtlijn, de Telecommunicatiewet, de DSA of de AVG. Onder omstandigheden kan wellicht worden betoogd dat het aanbieden van cookiebanners die een knop bevat om de opslag van cookies te accepteren en een knop bevat waarmee de betrokkene toegang krijgt tot verdere opties, maar zonder de mogelijkheid om direct alle cookies te weigeren, kan worden gekwalificeerd als misleidend ontwerppatroon. Dit hangt af van de vormgeving van het geheel van de website en kan niet gezien worden als een algemene regel die uit de wetgeving volgt. Wij denken gezien het voorgaande dat een boetebesluit, gebaseerd op de algemene regel dat de mogelijkheid om cookies te weigeren moet worden aangeboden op dezelfde laag als de mogelijkheid om de cookies te accepteren, in rechte geen stand behoort te houden. Ondertussen zal een voorzichtige verwerkingsverantwoordelijke rekening moeten houden met dit nieuwe standpunt van de AP en moeten overwegen om haar website hierop aan te passen. Dit blog is oorspronkelijk verschenen op Privacy Web. [1]  Vgl. Conseil d’Etat 27 maart 2020, 399922, ECLI:FR:CECHR:2020:399922.20200327, JBP 2020/97, met noot  J.A.N. Baas.  

Heeft u ooit opgemerkt dat u na het bekijken van een vakantievlucht of de laatste gadgets op een website, op een andere site plotseling een advertentie voor datzelfde product ziet? Dit is geen magie, maar het resultaat van de activiteiten van bedrijven zoals Criteo, die uw online gedrag volgen om gerichte advertenties aan te bieden. Vorige week oordeelde de voorzieningenrechter van de Rechtbank Amsterdam dat de manier waarop Criteo toestemming van betrokkene zoekt niet aan de eisen van de Algemene Verordening Gegevensbescherming (AVG) en de Telecommunicatiewet (Tw) voldoet. De Activiteiten van Criteo  Als een prominente speler in de advertentiewereld verzamelt Criteo gegevens via tracking cookies, die via websites van derden worden geplaatst. Deze informatie bepaalt welke advertenties voor gebruikers relevant kunnen zijn. Door middel van real-time biedingen koopt Criteo advertentieruimte op andere websites om specifieke advertenties aan te bieden. Deze werkwijze roept vragen op over de naleving van de e-privacy en gegevensbeschermingswetgeving. Is er wel rechtmatige toestemming gegeven door de gebruikers? Boetebeschikking van CNIL  CNIL, de Franse toezichthouder, dacht van niet. Op basis van klachten van stichting ‘None of Your Business’ (‘NOYB’) heeft CNIL op 15 juni 2023 een boete van 40 miljoen Euro opgelegd aan Criteo. Volgens CNIL kon Criteo niet aantonen dat ze de juiste toestemming van internetgebruikers had verkregen voor het plaatsen van cookies. Bovendien heeft Criteo naar het oordeel van CNIL niet voldaan aan verschillende verplichtingen van de AVG, waaronder de informatieplicht en de rechten op inzage en gegevenswissing. Het kort geding  In vervolg op deze Franse boetebeschikking heeft een Nederlandse particulier, hierna te noemen “X”, een vordering tegen Criteo aanhangig gemaakt in kort geding. De vordering zag op staking van de volgens X onrechtmatige gedragingen van Criteo, inzage (waaronder de verstrekking van een lijst van de derden die gegevens van X hadden ontvangen), gegevenswissing, en het informeren van de derde-ontvangers zodat die ook tot wissing zouden kunnen overgaan. Voor de plaatsing van de cookies is, in ieder geval op grond de e-Privacywetgeving, toestemming nodig. Criteo maakt daarom afspraken met de exploitanten van de websites via welke de cookies worden geplaatst, op basis waarvan deze exploitanten gehouden zijn om de toestemming te vragen. In de praktijk worden deze afspraken niet altijd nageleefd. In het kort geding betoogde Criteo dat niet van haar kan worden gevergd dat zij bij al haar klanten individueel controleert of die de verplichting nakomen, maar dat zij wel direct optreedt als zij bekend wordt met een inbreuk. Daarnaast wees Criteo erop dat eiser zelf ongewenste cookies ook kan verwijderen en/of een opt-out kan instellen voor de cookies van Criteo in zijn browser. X had op dit verweer van Criteo geanticipeerd. Hij betoogde dat Criteo actief moet controleren of haar klanten zich aan de contractuele verplichtingen houden. X had een deskundigenrapport overgelegd, waarin uiteen wordt gezet dat dit geautomatiseerd kan plaatsvinden, en dus niet onmogelijk of onevenredig bezwarend is. De Voorzieningenrechter maakt korte metten met de verweren van Criteo. Het door Criteo gehanteerde: ‘piepjessysteem’ voldoet volgens hem niet. Criteo heeft daarnaast onvoldoende gemotiveerd weersproken dat zij naleving geautomatiseerd zou kunnen controleren. Het betoog dat X zelf cookies kan verwijderen is ”de wereld op zijn kop”. Niet X moet actie ondernemen, maar Criteo moet zorgen dat vooraf toestemming wordt verkregen voor de plaatsing van de cookies en het verwerken van persoonsgegevens. Alle vorderingen worden daarom toegewezen. Over de uitspraak valt veel te zeggen. In dit blog licht ik er graag twee puntjes uit.  Verwerkt Criteo persoonsgegevens?  Het eerste wat opvalt is dat Criteo in het kort geding géén verweer heeft gevoerd tegen de stelling, dat zij in het kader van haar activiteiten persoonsgegevens verwerkt. Uit de boetebeschikking blijkt dat zij hierover met CNIL wel discussie heeft gevoerd. Het is niet volledig vanzelfsprekend dat de activiteiten van Criteo zien op persoonsgegevens. Criteo plaatst immers cookies op devices en koppelt hieraan profielen. Zij weet echter niet van wie deze devices zijn en op welke natuurlijke personen de profielen daadwerkelijk zien. Er is dus een ruime uitleg van het begrip ‘persoonsgegevens’ nodig om te oordelen dat Criteo persoonsgegevens verwerkt. CNIL oordeelde in de boetebeschikking dat Criteo wél persoonsgegevens verwerkt, omdat zij in bepaalde hypothetische gevallen mogelijk aanvullende gegevens verzamelt, aan de hand waarvan zij natuurlijke personen kan identificeren. Wellicht hebben de advocaten van Criteo in het Nederlandse kort geding gedacht dat een discussie hierover iets van een achterhoedegevecht zou hebben. Bij een discussie hierover zouden zij ook zijn geconfronteerd met het bewijsvermoeden van artikel 11.7a lid 4 Tw. Desondanks zou interessant zijn als dit aspect in een eventueel beroep tegen de boetebeschikking nog nadere aandacht zou krijgen. Criteo zou overigens ook los van toepasselijkheid van de AVG, het verbod van artikel 11.7a Tw overtreden door het plaatsen en uitlezen van de cookies. X zou echter geen gebruik hebben kunnen maken van de rechten die hem onder de AVG toekomen, zoals het recht op inzage en het recht op gegevenswissing. Contracteren is zilver, controleren is goud  De kern van de uitspraak ziet natuurlijk op de vraag in hoeverre een verwerkingsverantwoordelijke gehouden is om te controleren of een samenwerkingspartner die heeft toegezegd voor haar bepaalde verplichtingen uit de AVG na te leven, zoals in dit geval de verplichting om toestemming te vragen, daadwerkelijk haar verplichtingen nakomt. De uitspraak maakt duidelijk dat een verwerkingsverantwoordelijke zich niet kan beperken tot het contractueel vastleggen van verplichtingen, maar actief toezicht moet houden op de naleving daarvan door haar partners. Dit betekent dat het simpelweg afschuiven van verantwoordelijkheden op partners niet voldoende is. Er moet daadwerkelijk actie worden ondernomen om te zorgen dat deze verantwoordelijkheden ook worden nageleefd. De vraag is wat op dit vlak van de verwerkingsverantwoordelijke kan worden gevergd. In casu had de eiser middels een deskundigenrapport onderbouwd dat Criteo de naleving relatief eenvoudig kan controleren, en volgens de uitspraak was dit door Criteo ook niet gemotiveerd weerlegd. De uitspraak benadrukt het belang van actief toezicht door verwerkingsverantwoordelijken op de naleving van de AVG door haar partners. Het is niet voldoende om verantwoordelijkheden enkel contractueel vast te leggen. Er moet daadwerkelijk actie worden ondernomen om te zorgen dat deze verantwoordelijkheden ook worden nageleefd. Contracteren is dus zilver, maar controleren is goud!   Dit artikel is oorspronkelijk verschenen op PONT | Data & Privacy