Privacy haalt dagelijks het nieuws. Daarbij komen vanzelfsprekend vooral de grotere zaken aan bod. Denk aan gevoelige datalekken, grootschalige hacks of de inzet van (geheime) camera’s. Er gebeurt echter veel meer op het gebied van privacy, wat niet altijd het nieuws haalt. Aan de hand van jurisprudentie leren we veel over hoe de Algemene verordening gegevensbescherming (‘AVG’) uiteindelijk toegepast wordt. In deze blog zetten we diverse uitspraken van de maand augustus op een rij.
DPG hoeft boete van € 525.000 niet te betalen
Op 14 januari 2022 heeft de Autoriteit Persoonsgegevens (‘AP’) DPG Media B.V. een boete opgelegd van € 525.000. Reden hiervoor was dat DPG bij verzoeken om inzage of verwijdering van persoonsgegevens buiten de online inlogomgeving standaard en op voorhand vroeg om een kopie van het identiteitsbewijs ter verificatie. Daarmee overtreedt DPG de AVG. Die bepaalt namelijk dat DPG als verwerkingsverantwoordelijke de uitoefening van de rechten van betrokkenen moet faciliteren. De AP heeft op 4 oktober 2022 het bezwaar van DPG tegen deze boete verworpen. Daarop stapte DPG naar de rechter.
Daar heeft DPG meer succes. Op 10 augustus 2023 overweegt de rechtbank Amsterdam allereerst dat het gebruik van een kopie van een identiteitsbewijs op zichzelf geen onredelijk middel is om iemand te identificeren. Daar staat tegenover dat er gevallen denkbaar zijn waarin het niet nodig is om zo’n kopie te vragen, bijvoorbeeld wanneer minder gevoelige persoonsgegevens worden verwerkt en minder ingrijpende identificatiemethoden mogelijk zijn.
Daarnaast bevatte de gevraagde kopie meer persoonsgegevens dan noodzakelijk, zoals het BSN, de pasfoto en het documentnummer. Dit ging in tegen het beginsel van dataminimalisatie. Volgens dit beginsel mogen niet meer persoonsgegevens worden verwerkt dan strikt noodzakelijk voor het te behalen doel: de identificatie van betrokkenen. In de privacyverklaring van DPG werd wel gewezen op de mogelijkheid om deze gegevens af te schermen, maar dit vindt de rechter onvoldoende. DPG bood deze mogelijkheid namelijk niet op het moment dat om een kopie van het identiteitsbewijs werd gevraagd.
Daarmee biedt DPG geen ruimte om te kunnen voldoen aan de vereisten van proportionaliteit en subsidiariteit. De procedure van DPG was volgens de rechtbank te rigide, waarmee verzoekers op voorhand al onnodig werden belemmerd. Daarnaast werd geen rekening gehouden met de relevante omstandigheden van het geval. De rechtbank noemt als voorbeeld dat bij een verzoek om geen reclame meer te ontvangen, het vragen naar een kopie van het identiteitsbewijs in ieder geval niet proportioneel en subsidiair zal zijn.
De rechter stelt DPG wel in het gelijk ten aanzien van de hoogte van de boete en vernietigt het boetebesluit. Daarvoor is met name van belang dat de AVG in de periode waarom het gaat (januari 2019) nog maar recent in werking was getreden, terwijl de AP in deze periode ook een voorlichtende rol op zich had genomen als toezichthoudende autoriteit. Bovendien voldeed DPG steeds snel aan de verzoeken van de AP en paste zij haar werkwijze – het op voorhand vragen om een kopie van het identiteitsbewijs – spoedig aan.
De bal ligt dus weer bij de AP. Mijn verwachting is dat een nieuw boetebesluit zal worden genomen, waarbij meer aandacht wordt besteed aan de eisen van proportionaliteit en subsidiariteit. Dat zou zich vertalen in een lagere boete. Ook is het mogelijk dat de AP in beroep gaat. Daarvoor heeft zij in ieder geval nog tot 21 september 2023 de tijd.
Wordt dus vervolgd…
Afgifte persoonsgegevens inbreukmakers: het raakvlak van intellectuele eigendom en privacy
De rechtbank Amsterdam heeft op 27 juli 2023 drie internet service providers (ISP’s) uit respectievelijk Nederland, Panama en het Verenigd Koninkrijk veroordeeld tot afgifte van NAW-gegevens en andere data aan het Cypriotische bedrijf MetaQuotes. Reden hiervoor is de grootschalige inbreuk op de intellectuele eigendomsrechten (‘IE-rechten’) op het programma MetaTrader.
MetaTrader is een populaire softwaretoepassing die gebruikers een platform biedt om real-time marktgegevens te bekijken, technische analyses uit te voeren en transacties te verrichten in verschillende financiële markten. Zo kan via MetaTrader worden gehandeld en geïnvesteerd in onder meer aandelen, grondstoffen, forex en cryptovaluta.
Het platform staat bekend om zijn gebruiksvriendelijke interface, geautomatiseerde handelsmogelijkheden en aangepaste indicatoren die traders en investeerders helpen bij het nemen van beslissingen op basis van prijsbewegingen en trends. Het platform wordt gebruikt door meer dan 7 miljoen handelaren in meer dan 100 landen, waaronder Nederland.
De IE-rechten van MetaQuotes zijn gebruikt door cybercriminelen bij een scam waarbij op betrouwbaar ogende websites valse kopieën van de MetaTrader software worden aangeboden. Slachtoffers die via deze illegale versie van MetaTrader handelen zijn hun geld kwijt.
MetaQuotes heeft weten te achterhalen dat een groot aantal domeinen en IP-adressen die bij de scam worden gebruikt, worden gehost door de drie aangeklaagde ISP’s. Hun servers bevinden zich in de datacentra van Serverius B.V., die zijn gevestigd in Dronten, Meppel en Apeldoorn.
Om het MetaQuotes mogelijk te maken haar schade te kunnen verhalen, veroordeelde de Amsterdamse rechter de ISP’s tot afgifte van de NAW-gegevens en andere data van de inbreukmakers. Om verdere schade te beperken oordeelde de rechter daarnaast dat de ISP’s de betrokken IP-adressen en domeinen moesten verwijderen.
Gluren bij de buren: hoe zit het?
Veel mensen vragen zich regelmatig af hoe het zit: mag ik een camera in of aan mijn woning plaatsen die (gedeeltelijk) de tuin of woning van mijn buren in beeld brengt? Op 10 augustus 2023 mocht de kortgedingrechter van de rechtbank Midden-Nederland zich daarover uitlaten.
De zaak gaat over een conflict tussen twee buren, die we voor het gemak Pat en Mat zullen noemen. De verhouding tussen de buren is slecht. Pat klaagt over de camera’s die Mat op zijn perceel heeft geplaatst, omdat de camera’s gericht zijn op het terrein van Pat. Hij stelt dat hiermee zijn privacy is geschonden en vordert dat de camera's worden verwijderd of verplaatst zodat zijn perceel niet in beeld komt.
De rechter overweegt dat het recht op privacy normaal gesproken iedereen ertegen beschermt ongevraagd te worden bespied in de eigen woning en tuin. Een inbreuk op dit recht kan onrechtmatig zijn, maar niet als er een rechtvaardigingsgrond aanwezig is. Deze afweging hangt af van de ernst van de inbreuk en de belangen die met de camera's worden gediend. Daarnaast moet het gebruik van de camera’s voldoen aan de eisen van proportionaliteit en subsidiariteit. Voor deze vraag behandelt de rechter de camera’s van Mat afzonderlijk.
De camera in het keukenraam aan de voorzijde is namelijk wel een echte camera, maar Mat verklaart dat deze defect is en dat de stekker er niet in zit. Pat zegt dat de camera wel werkt en hij deze zelfs heeft zien draaien, maar dat kan hij niet bewijzen. Daardoor kan de rechter niet vaststellen dat Mat met deze camera inbreuk maakt op het recht op privacy van buurman Pat.
Voor de camera aan de achterzijde in de tuin van Mat is dit anders. Deze camera is zeker actief en filmt een deel van de tuin en woning van Pat, waaronder zijn slaapkamerramen. De rechter beschouwt dit als een onrechtmatige inbreuk op zijn privacy. Door een beweegbare camera te plaatsen die deels is gericht op het perceel en de woning van Pat is ook niet voldaan aan het subsidiariteitsbeginsel. Beveiliging kan namelijk ook op een minder inbreukmakende manier worden bereikt.
Het argument van Mat dat de camera is geplaatst om zijn eigendommen en veiligheid te beschermen vindt de rechter geen voldoende rechtvaardiging. Om dat doel te bereiken, zou hij immers ook gewoon een camera kunnen plaatsen met een vast beeld die alleen is gericht op de achtertuin van Pat en waarvan de positie niet - op afstand - kan worden gewijzigd. Ook het belang van Mat om te voorkomen dat Pat spullen over de schutting gooit, is onvoldoende om ook boven de schutting en een deel van de woning en slaapkamerramen van Pat te filmen. Zijn recht op privacy weegt zwaarder.
De rechter oordeelt dat Mat de camera aan de achterzijde van zijn perceel binnen 48 uur moet verwijderen. Wel mag hij van de rechter een andere camera plaatsen, op voorwaarde dat deze niet op afstand beweegbaar is of is gericht op het perceel, de woning of slaapkamerramen van buurman Pat.
