Coauteur: Annika Winkel
Privacy haalt dagelijks het nieuws. Daarbij komen vanzelfsprekend vooral de grotere zaken aan bod. Er is echter veel meer gaande op het gebied van privacy, dat niet altijd het nieuws haalt. Door deze jurisprudentie leren we veel over hoe de Algemene verordening gegevensbescherming (hierna: AVG) uiteindelijk toegepast wordt. In deze blog zetten we diverse uitspraken op een rij.
Rechtbank vernietigt boete voor wifi-tracking in Enschede
De gemeente Enschede hoeft de bestuurlijke boete van 600.000 euro van de Autoriteit Persoonsgegevens (AP) voor het volgen van inwoners en bezoekers met wifi-tracking niet te betalen. In deze uitspraak vernietigt de rechtbank Overijssel de boete die de AP in 2021 heeft opgelegd. Volgens de AP heeft de gemeente Enschede zonder grondslag persoonsgegevens verwerkt van eigenaren en gebruikers van mobiele apparaten, waarop de wifi stond ingeschakeld in de binnenstad van Enschede. Hiermee heeft de gemeente volgens de AP artikel 5 lid 1 onder a in samenhang met artikel 6 lid 1 van de AVG overtreden.
Van mei 2018 tot en met april 2020 liet de gemeente Enschede passantentellingen uitvoeren in de binnenstad van Enschede. Met 10 sensoren is het MAC-adres opgevangen van gebruikers van mobiele apparaten waarop de wifi stond ingeschakeld. Volgens de AP is zowel de combinatie van een MAC-adres en locatiegegevens als de combinatie van een gepseudonimiseerd MAC-adres met locatiegegevens op de sensor te kwalificeren als persoonsgegevens in de zin van artikel 4 onder 1 AVG.
De rechtbank merkt op dat de AP haar besluiten hoofdzakelijk heeft gebaseerd op de mogelijkheid voor de gemeente om natuurlijke personen te identificeren aan de hand van bovengenoemde identificatoren. De AP zou uitgaan van de mogelijkheid dat een medewerker, als er weinig mensen op straat zijn, ter plekke een specifieke gebruiker binnen bereik zou kunnen identificeren.
Volgens de rechtbank heeft de AP onvoldoende onderzocht of de identiteit van de eigenaren en gebruikers van een mobiel apparaat daadwerkelijk te achterhalen was. De rechtbank is niet overtuigd door de stelling van de AP dat medewerkers dit redelijkerwijs zouden kunnen doen, aangezien de AP niet verder bewijs heeft aangeleverd. De AP had ook rekening moeten houden met de beschikbare technische middelen en de investering van tijd en geld die nodig zouden zijn om personen te identificeren.
De rechtbank is dan ook van oordeel dat de AP, gezien de zware bewijslast, niet heeft bewezen dat de gemeente Enschede persoonsgegevens heeft verwerkt van eigenaren en gebruikers van mobiele apparaten waarop de wifi stond ingeschakeld in de binnenstad van Enschede. De AP heeft volgens de rechtbank de gemeente Enschede op onjuiste gronden een bestuurlijke boete opgelegd die niet in stand kan blijven. De rechtbank spreekt zich dus niet expliciet uit over de rechtmatigheid voor het volgen van inwoners en bezoekers met wifi-tracking.
Cameratoezicht op de buren
Het leest bijna als een zaak van de rijdende rechter: de rechtbank Limburg heeft eind januari uitspraak gedaan in een kort geding waarin twee buren tegenover elkaar stonden.
De eerste vordering ziet op de wortels van een plataanboom, en wie de wortels mag doorhakken op het moment dat deze op het perceel van de buren groeien. De tweede vordering is interessant voor het privacyrecht: deze vraag ziet op de verschillende camera’s die gedaagde heeft geplaatst op het perceel van zijn woning. Met een deurbelcamera en een camera in de tuin hebben eisers (de buren) weinig moeite, maar een tweetal camera’s aan de voor- en zijgevels van het pand willen zij na dit kort geding verwijderd zien.
Eisers stellen namelijk dat de geplaatste camera’s inbreuk maken op hun privacy, omdat deze ook hún bewegingen vastleggen. De rechter weegt in deze zaak af of de inbreuk op de privacy van eisers gerechtvaardigd kan worden door het belang dat gedaagde heeft bij het plaatsen van de camera’s. Hierbij worden de proportionaliteit (heiligt het doel de middelen?) en subsidiariteit (zijn er minder zware middelen mogelijk?) van de camera’s getoetst.
In deze zaak is de rechter van mening dat de twee camera’s die ook de openbare ruimte vastleggen (die op de voor- en zijgevel) verwijderd moeten worden: van pesterijen en vernielingen die aanleiding zouden hebben gegeven tot het plaatsen van de camera’s kan gedaagde geen bewijs overleggen. Gedaagde kan dan ook niet aantonen waarom de camera’s nodig zijn. Daarnaast geeft gedaagde weinig informatie over wat de camera’s op kunnen nemen, hoe goed de camera’s in kunnen zoomen, en hoe het zit met de opslag van beelden. Gedaagde is als eigenaar van de camera’s verantwoordelijk voor deze zaken.
Bovendien is niet aangetoond door de gedaagde waarom de deurbelcamera en de camera in de achtertuin onvoldoende beveiliging bieden. Als gevolg hiervan komen de andere twee camera’s de proportionaliteit- en subsidiariteittoets niet door. Gedaagde moet dan ook de twee aangevochten camera’s verwijderen op last van een dagelijkse dwangsom van 100 euro tot een maximum van 10.000 euro.
Inzage in persoonsgegevens?
Als laatste kijken we naar een zaak die weliswaar in december is uitgesproken, maar pas in februari is gepubliceerd. In deze zaak buigt de rechtbank Noord-Nederland zich over het inzageverzoek dat eiser heeft ingediend, om inzage te krijgen over de gegevens die van hem worden verwerkt in de Fraude Signalering Voorziening (FSV) van het Ministerie van Financiën. De Minister heeft het inzageverzoek van eiser gedeeltelijk toegewezen. Het gedeelte van het verzoek dat inbreuk maakt op de privacy van derden is niet toegewezen door de Minister. Eiser is het hier niet mee eens en stelt beroep in bij de bestuursrechter.
De rechter zet eerst kort uiteen waar een inzageverzoek in de zin van artikel 15 van de AVG voor bedoeld is: het gaat om betrokkenen inzage geven in persoonsgegevens die van hen worden verwerkt om de rechtmatigheid van de verwerking te kunnen controleren. Er hoeft geen inzage in gehele documenten te worden gegeven, op voorwaarde dat aan het doel van artikel 15 lid 1 van de AVG is voldaan.
Er staan in deze uitspraak twee vragen centraal: als eerste de vraag of de Minister heeft geweigerd om eiser inzage in diens persoonsgegevens te geven. De rechter beoordeelt of eiser inzage heeft gekregen in alle stukken die hij in mocht zien. De rechter oordeelt dat de Minister ten onrechte geen inzage heeft gegeven in een bijlage in de FSV, waarin een aantal persoonsgegevens waren opgenomen. De minister onderkend dit ook tijdens de zitting. Desalniettemin behandelt de rechter of de rechtsgevolgen van het besluit van de Minister in stand kunnen blijven. De rechter benoemt daarna dat de naam van de ambtenaar en de instanties die de gegevens hebben opgevraagd niet kunnen worden aangemerkt als een persoonsgegeven van de eiser.
De tweede vraag is of de Minister inzage moet geven in de naam van de ambtenaar en de opvragende instantie op grond van artikel 15 lid 1 onder c van de AVG. Eiser verwijst daarbij naar het recht om te weten wie er inzage heeft (gehad) in jouw persoonsgegevens. De rechter is van mening dat de desbetreffende ambtenaar en de instantie die de gegevens op hebben gevraagd niet als ontvangers kunnen worden aangemerkt. De ambtenaar die inzage heeft gehad in de gegevens was namelijk de ambtenaar die de gegevens ingevoerd heeft en dus geen derde aan wie de persoonsgegevens zijn verstrekt door de Minister. De ontvangende instantie heeft de gegevens opgevraagd in het kader van bijzonder onderzoek, waardoor deze is uitgesloten van het begrip ontvanger in de zin van artikel 4 onder 9 AVG.
Eiser heeft tijdens de procedure inzage gekregen in de gegevens die hij in mocht zien op grond van artikel 15 van de AVG. De rechtbank vernietigt het besluit van de minister, maar laat de rechtgevolgen in stand. Het beroep van eiser is gegrond verklaard, waardoor de Minister de proceskosten moet vergoeden.
