Privacy haalt dagelijks het nieuws. Daarbij komen vanzelfsprekend vooral de grotere zaken aan bod. Denk aan gevoelige datalekken, grootschalige hacks of de inzet van (geheime) camera’s. Er is echter veel meer gaande op het gebied van privacy, wat niet altijd het nieuws haalt. Door deze jurisprudentie leren we veel over hoe de AVG uiteindelijk toegepast wordt. Vanaf nu schrijven we dan ook elke maand een blog met daarin een overzicht van jurisprudentie op het gebied van privacy. Zo blijf je toch op de hoogte!
1. Verwijdering BKR-registratie niet geaccepteerd
Eisers hadden een hypothecaire lening afgesloten bij de Rabobank. Aangezien zij een betalingsachterstand hadden en de bank hen hier meerdere malen op had gewezen, is een melding gedaan bij Bureau Krediet Registratie (BKR). De betalingsachterstand werd voldaan de bank deed een herstelmelding bij het BKR. Hierna bouwden zich toch weer betalingsachterstanden op. Uiteindelijk verkochten eisers hun huis en verzochten zij om verwijdering uit de BKR-registratie.
Op grond van artikel 21 lid 1 AVG mogen personen (eisers) bezwaar maken tegen verwerking van hun persoonsgegevens op basis van een taak van algemeen belang of gerechtvaardigd belang. De verwerkingsverantwoordelijke (Rabobank) moet dit bezwaar honoreren tenzij er dwingende gerechtvaardigde gronden zijn die zwaarder wegen dan de belangen van de betrokken personen. De rechter toetste vervolgens of de Rabobank aannemelijk heeft gemaakt dat zijn dwingende gerechtvaardigde belangen (in dit geval het tweeledige doel van de kredietregistratie: het beschermen van de consument tegen overkreditering en het waarschuwen van andere kredietinstellingen) in dit specifieke geval zwaarder wogen dan de belangen of de grondrechten en de fundamentele vrijheden van de betrokkenen (overweging 69 AVG).Het belang van de Rabobank om de BKR-melding te doen woog in deze zaak zwaarder.
2. Wettelijke grondslag voor “hennepconvenant”?
Woningcorporaties, de politie, het Openbaar Ministerie en een energieleverancier hebben een “hennepconvenant" met elkaar gesloten. Daarin staan beleidsregels over hoe gehandeld dient te worden bij het aantreffen van een hennepkwekerij in een huurwoning. De bij het convenant aangesloten partijen verstrekken persoonsgegevens van huurders aan elkaar, om op die manier elkaar te informeren over bepaalde probleemgevallen. Daarnaast is er een Protocol Tweedekansbeleid opgesteld waarin regels staan over, de naam zegt het al, huurders een tweede kans geven in een bepaalde situatie.
In dit arrest is gekeken naar deze samenwerking en of er een wettelijke grondslag (artikel 6 AVG) bestaat om deze persoonsgegevens met elkaar te delen. Het gaat hierbij immers om persoonsgegevens gerelateerd aan hennepkwekerijen, dus hebben we niet te maken met strafrechtelijke gegevens? De partijen die met elkaar overleggen en persoonsgegevens aan elkaar verstrekken, gebruiken daarvoor een codetaal. Zo betekent “code 2” dat we te maken hebben met een hennepzaak. Nu “code 2” an sich geen strafrechtelijk gegeven is, gelden niet de strenge regels van artikel 10 AVG, maar vallen partijen gewoon terug op een grondslag genoemd in artikel 6 AVG. De grondslag gerechtvaardigd belang is toereikend, nu het belang van de partijen die betrokken zijn bij de verhuur van woning een publiekrechtelijke bevoegdheid van doelmatige woonruimteverdeling hebben. Dit belang weegt zwaarder dan het belang van huurders. Hun persoonsgegevens mogen gedeeld worden tussen verschillende partijen om hennep aan te pakken.
3. Verstrekking persoonsgegevens in verband met auteursrechtinbreuk
Een aanbieder van betaalde televisie in de Verenigde Staten en een Internet Service Provider die de programma’s van deze televisiezender uitzond via een eigen streamingsdienst, lagen met elkaar in de clinch. De televisiezender wilde de gegevens hebben van alle mensen die gebruik hadden gemaakt van de streamingsdienst. Dit omdat de televisiezender de exclusieve rechten van deze uitzendingen bezit en auteursrechthebbende is.
In het kader van de AVG diende een belangenafweging gemaakt te worden of de grondrechtelijk beschermde belangen van te televisiezender (onder andere het volledig kunnen uitoefenen van het grondrecht op intellectuele eigendom), boven de privacybelangen van de betrokken (het recht op bescherming van persoonsgegevens gezet konden worden). Daarbij is geoordeeld dat de belangen van de televisiezender zwaarder wegen: de grondrechten van klanten van de streamingsdienst reiken niet zover dat zij met een beroep op die rechten anoniem inbreuk zouden mogen maken op de exclusieve rechten van de televisiezender. Geoordeeld is dat de NAW-gegevens, e-mailadressen en KVK-nummers (m.b.t. ondernemingen) moeten worden verstrekt voor de tijdspanne waarin (vooralsnog) vaststaat dat via de IP-adressen van de streamingsdienst inbreuk is gemaakt op de (naar voorlopig oordeel aangenomen) auteursrechten van de televisiezender. Aan de vereisten onder de AVG is eveneens voldaan. De verplichting tot verstrekking van de gegevens aan de Amerikaanse eiseres kan worden gebaseerd op de uitzondering van artikel 49 onder e AVG.
4. Wijziging persoonsgegevens Basisregistratie Personen
Tot slot een zaak die is voorgelegd aan de Raad van State. Het ging om een verzoeker die zijn geboortedatum en geboorteplaats in de Basisregistratie Personen (BRP) wilde laten wijzigen. In AVG-termen spreken we dan van een recht op rectificatie. Om gegevens te kunnen wijzigen, moeten brondocumenten als bewijs worden voorgelegd. Het vreemde in deze zaak is dat de verzoeker eerder onder ede had verklaard dat de gegevens zoals die nu in het systeem staan kloppen. In hoger beroep wordt benadrukt dat er wel degelijk relevante documentatie is aangeleverd, en dat er nader onderzoek nodig is om te kijken of de aangeleverde documentatie inderdaad juist is en de gegevens gewijzigd kunnen worden.
Benieuwd wat er in juni gaat gebeuren? Wij ook. Over een maand zijn we bij je terug met de volgende jurisprudentieblog!
Deze blog is geschreven in samenwerking met Anouk van Rijn.
