Dit is het eerste deel van een tweeluik dat ik met kantoorgenoten Marte van Graafeiland en Maxime Hanhart schreef over de rechtspraak over het inzagerecht, zoals eind 2022 gepubliceerd in Mediaforum.
Het tweede deel verschijnt binnenkort in hetzelfde tijdschrift en komt dan ook hier als pdf met clickable links.
Voor het liber amicorum van Jaap van den Herik schreef ik een overzicht van uitspraken en beschikkingen over het inzagerecht: vragen over inzage.
De AVG is uiteraard ook van toepassing in faillissementen. Maar wat dat betekent voor de curator is niet altijd duidelijk. In het ontwerpwetsvoorstel voor de Verzamelwet gegevensbescherming wil de wetgever daaraan wat doen, nadat eerder al de toezichthouder zijn opvattingen daarover had gegeven. Aan de hand van een en ander gaat deze bijdrage in op de verwerkingsverantwoordelijkheid van de curator en de verwerkingsgrondslag waarvan hij gebruik kan maken, alsmede op de vraag in hoeverre het doelverenigbaarheidsvereiste toelaat dat de curator een klantenbestand verkoopt.
Gerrit-Jan Zwenne en Joachim van Vlijmen
1. Inleiding
Op de eerste werkdag na de kerstvakantie vorig jaar stuurde de Autoriteit persoonsgegevens (AP)1 een brief aan INSOLAD, de Vereniging voor Insolventierecht Advocaten, met daarin het verzoek de inhoud daarvan onder de aandacht te brengen van haar leden. In de brief zette de privacytoezichthouder uiteen hoe, volgens haar, in een faillissement de regels voor de verwerking van persoonsgegevens door curatoren moeten worden uitgelegd en toegepast. Vanaf de datum van het faillissement moet de curator, zo zegt de AP in haar brief, meestal worden aangemerkt als verwerkingsverantwoordelijke, met alle daaraan verbonden consequenties. In het kader van de zgn. tegeldemaking van de boedel kan de curator, volgens de brief, een klantenbestand met persoonsgegevens, behoudens de gevallen waarin sprake is van contractsoverneming, alleen verkopen met toestemming van de betrokkenen. Dit vanwege het doelverenigbaarheidsvereiste.
De brief, die met een begeleidend nieuwsbericht ook op de website van de toezichthouder werd bekendgemaakt, riep gemengde reacties op bij de beroepsgroep. Er werd op gewezen dat… [lees verder]
De annotaties bij resp. het Google/CNIL- en het GC/CNIL-arrest, de eerste annotatie is een co-productie met kantoorgenoot Lars Groeneveld en staat ook al op OpenRecht.nl.
De Autoriteit persoonsgegevens (AP) houdt toezicht op de naleving van de privacywetgeving, zoals de Algemene Verordening Gegevensbescherming of AVG. Deze verordening is niet altijd even duidelijk. Daarom maakt de autoriteit met enige regelmaat bekend wat haar opvattingen zijn over de begrippen en regels daaruit.
Vorige maand publiceerde de autoriteit zo’n norm-uitleg over de verwerkingsgrondslag van het gerechtvaardigd belang. Daarover was, en is, veel te doen. De normuitleg is eigenzinnig, om niet te zeggen controversieel. Waarover gaat het?
De privacywet AVG staat toe dat er persoonsgegevens worden verwerkt als er sprake is van een gerechtvaardigd belang, tenzij [lees verder]
Zo een vijf jaar geleden wees het Hof van Justitie van de Europese Unie arrest in de zaak van Google Spain tegen Mario Costeja González. Daarin erkende het rechtscollege het recht om te worden vergeten. Als er met behulp van een internetzoekmachine wordt gezocht op de naam van iemand, moet in voorkomend geval worden overgegaan tot verwijdering van de zoekresultaten die verwijzen naar webpagina’s waarop bepaalde informatie over deze persoon is te vinden. Dit op grond van de verwijder- en verzetsrechten waarin wordt voorzien door de privacywetgeving, indertijd […]
De meldplicht datalekken werd bijna anderhalf jaar geleden ingevoerd en heeft velen van ons duchtig beziggehouden. Het afgelopen jaar zijn er bij de Autoriteit persoonsgegevens (Ap) weliswaar veel minder datalekken gemeld dan verwacht – voorspeld waren 66 duizend meldingen en het werden er uiteindelijk niet meer dan 5.5001 – maar de opwinding erover was er niet minder om. Terecht natuurlijk. Want een serieus, en dus meldplichtig datalek, kan duiden op substantiële problemen in de organisatie van de verantwoordelijke en leiden tot grote risico’s of op zijn minst overlast bij de betrokkenen. Over de meldplicht van artikel 34a van de Wet bescherming persoonsgegevens (“Wbp” of ook wel “de wet”) is, voorzover wij uit openbare bronnen kunnen achterhalen, nog geen rechtspraak. Wel heeft de Ap enkele weken voor de inwerkingtreding ervan beleidsregels bekend gemaakt. Daarin zet de toezichthouder uiteen wat volgens haar een datalek of inbreuk op de beveiliging van persoonsgegevens is en wanneer zo een [lees verder]
Er is veel aandacht voor zorgfraude. In de landelijke media, zowel online als offline, zien we vrijwel dagelijks soms wat tendentieus of schreeuwerig getoonzette berichten, zoals dat ‘artsen voor miljard euro frauderen’,[2] ‘miljoenenfraude in de thuiszorg’,[3] ‘zorgfraude ziekenhuizen voor tientallen miljoenen’[4], ‘2,5 miljoen boete voor St. Antonius Ziekenhuis wegens foute declaraties’[5], of meer anekdotisch ‘tandartsrekening voor niet bestaande cliënt[6], ‘rekening voor afgezegd consult’,[7] ‘Nijverdaller Wesseling krijgt dubbele rekening ziekenhuis’[8], ‘frauderen blijkt een fluitje van een cent’,[9] ‘VVD wil frauderende pgb-bemiddelaars op zwarte lijst’[10], ‘Opnieuw geknoei met declaraties in de ggz’[11], ‘Zorgverzekeraars hebben geen idee welke psychische zorg zij vergoeden’[12] en ‘Miljoenenverlies zorgverzekeraars door EuroPsyche’[13]
Het is een willekeurige greep uit de vele nieuwsberichten die ons in de laatste jaren hebben bereikt. We moeten daarbij natuurlijk onderkennen dat de keuze voor het taalgebruik in deze berichten, en de redactie van de koppen erboven, ook verband houdt met de commerciële wens om meer lezers te bereiken en meer clicks te genereren. En ook dat het helemaal niet is gezegd dat in al deze gevallen ook daadwerkelijk sprake is van opzettelijk frauduleus handelen. Toch maakt het wel duidelijk dat er het nodige mis gaat bij het declareren door zorgaanbieders en dat daarmee grote bedragen zijn gemoeid. Hoe groot precies is niet bekend. Schattingen lopen uiteen van tientallen miljoenen euro’s tot enkele miljarden euro’s per jaar.[14]
Dit soort bedragen zet de betaalbaarheid van ons zorgstelsel onder druk en leidt tot erosie van solidariteit, zeker in tijden waarin de zorgkosten toch al sterk oplopen door de vergrijzing. Het verbaast dan ook niet dat wordt aangedrongen op een stevige aanpak van zorgfraude. Vanaf 2011 wordt er hard geroepen om handhaving en naming-and-shaming van ‘sjoemelende zorginstellingen, frauderende ziekenhuizen en malafide pgb-bemiddelingsbureaus’. Daarbij wordt veel verwacht van de inzet van big data. In de zorgsector worden enorme hoeveelheden gegevens verzameld en bij elkaar gebracht, bij zorgverzekeraars en bij toezichthouders. Deze gegevens zouden met behulp van slimme data-analyses (big data predictive analytics) mogelijk onregelmatigheden en fraude sneller en beter kunnen herkennen, zodat deze kan worden voorkomen of in elk geval dat daartegen tijdig kan worden opgetreden
Voor de meeste juristen en vele anderen is het thema big data onlosmakelijk verbonden met vragen over privacy- en gegevensbescherming. …lees verder
[1] Prof mr. Gerrit-Jan Zwenne is hoogleraar Recht en de informatiemaatschappij in Leiden en advocaat in Amsterdam, mr. dr. drs. Wilfred Steenbruggen is advocaat in Rotterdam.
[2] Nu.nl 4 november 2011 <www.nu.nl/economie/2659067/artsen-frauderen-miljard-euro.html>
[3] Een vandaag 12 juni 2009 <www.eenvandaag.nl/binnenland/34816/miljoenenfraude_in_de_thuiszorg>
[4] Nu.nl 16 mei 2013 <www.nu.nl/binnenland/3476441/zorgfraude-ziekenhuizen-tientallen-miljoenen.html>
[5] Nu.nl 11 februari 2014 <www.nu.nl/economie/3698935/25-miljoen-boete-st-antonius-ziekenhuis.html>
[6] NRC 4 september 2013.
[7] Tubantia 12 augustus 2014.
[8] Tubantia 1 augustus 2014.
[9] AD 14 februari 2013.
[10] Nu.nl juli 2015 <www.nu.nl/politiek/4079090/vvd-wil-frauderende-pgb-bemiddelaars-zwarte-lijst.html>
[11] Nos.nl 27 december 2015 <http://nos.nl/artikel/2077357-opnieuw-geknoei-met-declaraties-in-de-ggz.html>
[12] Volkskrant 4 mei 2012.
[13] Volkskrant 14 februari 2013.
[14] PWC (2013), Naar een fraudebeeld Nederland.
Het siert Airbnb dat het tot nu toe niet gezwicht is voor druk van sommige stemmen in gemeente om klantgegevens te delen
De Amsterdamse deeleconomie doet het goed. Via het online platform voor vakantieverhuur Airbnb verhuren veel Amsterdammers af en toe hun woning aan toeristen. De gemeente ziet daarvan de voordelen. Zo incasseerde de hoofdstad vorig jaar ongeveer € 5,5 mln aan toeristenbelasting van het platform. Amsterdam nam al in 2014 de beslissing om deze vorm van vakantieverhuur onder voorwaarden toe te staan.
Maar, zoals dat gaat, niet iedereen houdt zich altijd aan die voorwaarden. En daarom verlangt de gemeente thans de stelselmatig verstrekking van de persoonsgegevens van de gebruikers van het platform. De Amsterdamse overheid denkt dat dit kan op basis van vrijwilligheid en hoopt er in overleg met het platform uit te komen.
Op het eerste gezicht lijkt voor die maatregel wel wat te zeggen en onder andere in deze krant was daarvoor ook wel enige bijval. Omdat sommige van de overtreders gebruik maken van Airbnb ligt het voor de hand om van het platform te verlangen dat het de gegevens van huurders en verhuurders doorgeeft, zodat de gemeente effectief kan optreden tegen illegale verhuur en overlast. Waarom zou, zo redeneert de gemeente, Airbnb geen bijdrage leveren aan het oplossen van de problemen die door het gebruik van haar platform worden veroorzaakt?
Toch zou zo een ‘publiek-private samenwerking’ een slechte ontwikkeling zijn die op gespannen voet staat met de Wet Bescherming Persoonsgegevens, in het dagelijks leven ook wel de privacywet genoemd. Het zou betekenen dat de gegevens die zijn verzameld voor het aanbieden van een commerciële marktplaats worden gebruikt voor publiekrechtelijke repressieve handhavingsdoeleinden en de oplossing van grootstedelijke problemen.
Wie gebruik maakt van Airbnb verwacht, en mag in redelijkheid verwachten, dat zijn gegevens in beginsel alleen worden gebruikt door het verlenen van e de door deze gebruiker afgenomen diensten. En dat laat zich niet verenigen met de stelselmatige verstrekking van al die gegevens aan de overheid om overlast te bestrijden van een aantal van deze huurders en verhuurders. Daarbij is er het niet denkbeeldige risico dat de gegevens ook voor andere doeleinden gaan worden gebruikt. Bijvoorbeeld om iets te doen aan scheefwonen of inkomensbeleid. We spreken dan al snel van ‘fishing expeditions’ en ‘function creep’. En dat risico wordt alleen maar groter als gegevens ‘vrijwillig’ worden verstrekt aan de overheid zonder duidelijke wettelijke spelregels.
Er zijn natuurlijk situaties voorstelbaar waarbij de gemeente in individuele gevallen wél gegevens bij Airbnb moet kunnen opvragen. Maar daarvoor is in de wet voorzien in procedures die van de autoriteiten eisen dat zij zorgvuldige belangenafwegingen maken. Als er een onderzoek loopt tegen een verhuurder die zich niet houdt aan de regels, bijvoorbeeld als hij zijn woning — die onder de categorie vakantieverhuur valt — meer dan zestig dagen per jaar verhuurt, kan de gemeente bij Airbnb zijn gegevens opvragen. En als aan alle voorwaarden van de wet is voldaan, is er geen enkele reden waarom het platform de gegevens niet zou verstrekken.
Deze wettelijke regeling is er niet voor niets. Er is zo gewaarborgd dat er voldoende gewicht wordt toegekend aan de belangen van de huurders en verhuurders, waarvan de meesten zich keurig aan de regels houden. En ook dat de gemeente niet te gemakkelijk kan beschikken over hun gegevens. Het platform heeft in deze context ook al eerder aangegeven dat het gegevens zou verstrekken als dat op de juiste wijze wordt verzocht.
Het siert Airbnb dan ook dat het tot nu toe niet gezwicht is voor de druk van sommige stemmen in de gemeente om de gegevens van zijn klanten stelselmatig te delen. De hoogste Europese rechter heeft al een paar keer uitgesproken dat de verplichte bulkverstrekking van klantgegevens aan overheden al snel in strijd komt met het fundamentele recht van privacy en gegevensbescherming.
De gemeente Amsterdam doet er goed aan daarvan nota te nemen en Airbnb niet te dwingen om net zo illegaal te handelen als de verhuurders die de gemeente wil aanpakken.
Prof. mr. Gerrit-Jan Zwenne is hoogleraar recht en de informatiemaatschappij aan de Universiteit Leiden en advocaat bij Brinkhof te Amsterdam.
Op 25 mei 2018 treedt de Algemene Verordening Gegevensbescherming in werking. Als het gaat om de verwerking van persoonsgegevens hebben we vanaf dat moment niet meer te maken met de Wet bescherming persoonsgegevens, maar met nieuwe regels die in de hele Europese Unie gelijk zijn. Wat betekent dat? In deze bijdrage gaan we in op de tien belangrijkste veranderingen die de verordening met zich brengt.