AVG-rechtspraak
Uitspraken die de AVG in de praktijk bepalen
Het Hof van Justitie legt de AVG uit; nationale rechters toetsen boetes. Per uitspraak: de kernvraag, het oordeel, wat het in de praktijk verandert en de artikelen waar het over gaat. Alleen uitspraken die op curia.europa.eu of rechtspraak.nl zijn nagelezen.
Peildatum van deze laag: 15 september 2026. Elk item is op zijn bron gecontroleerd; de datum per item staat erbij. Wat na de peildatum is gebeurd, staat hier nog niet.
- definitiefRaad van State, Afdeling bestuursrechtspraakECLI:NL:RVS:2026:4403, zaaknummer 202401622/1/A3€ 600.000
Raad van State: boete van 600.000 euro voor wifi-tracking Enschede blijft van tafel
De gemeente Enschede telde van 25 mei 2018 tot en met 30 april 2020 bezoekers in de binnenstad met in ieder geval tien sensoren die (gepseudonimiseerde) MAC-adressen van telefoons opvingen. De AP legde op 11 maart 2021 een boete van 600.000 euro op wegens verwerking van persoonsgegevens zonder grondslag. De rechtbank Overijssel vernietigde de boete op 2 februari 2024 omdat de AP niet had bewezen dat het om persoonsgegevens ging. In hoger beroep erkende de AP dat de drie identificatieroutes uit het boetebesluit niet aan de bewijsstandaard voldeden. Haar nieuwe standpunt, dat personen direct werden geïdentificeerd door het tellen van unieke bezoekers, had zij niet in het besluit ingenomen. De Afdeling laat dat buiten beschouwing: het dragend bewijs moet bij het besluit zelf worden geleverd. Het hoger beroep is ongegrond.
Wat dit betekent: De AP moet bij het boetebesluit zelf volledig bewijzen dat sprake is van persoonsgegevens en van een overtreding; bewijs of een nieuwe redenering die pas bij de rechter komt, telt niet. Dat is geen vrijbrief voor wifi-tracking: de rechter heeft niet gezegd dat MAC-adressen geen persoonsgegevens zijn en heeft het standpunt over directe identificatie via unieke tellingen inhoudelijk niet beoordeeld. Wie sensoren inzet, moet nog steeds noodzaak, grondslag en anonimisering onderbouwen.
- definitiefHof van Justitie van de EU (Vijfde kamer), ND tegen Legal Newsdesk Sweden AB (voorheen Garrapatica AB)C-199/24, ECLI:EU:C:2026:564
Legal Newsdesk Sweden: betaald online zetten van strafvonnissen is in beginsel geen journalistiek, nationale uitzonderingen mogen de AVG niet uitschakelen
Kernvraag: mag een lidstaat op grond van de uitzondering voor vrijheid van meningsuiting (artikel 85) een betaalde doorzoekbare database van strafvonnissen (Lexbase, met Zweeds grondwettelijk utgivningsbevis) buiten de AVG plaatsen, zodat de veroordeelde alleen een strafrechtelijke smaadprocedure of een schadevergoedingsvordering overhoudt? Oordeel: nee. Lidstaten mogen op basis van artikel 85 lid 1 geen afwijkingen invoeren die verder gaan dan artikel 85 lid 2 voor verwerkingen die geen journalistiek, academisch, artistiek of literair doel hebben, en zij mogen de rechtsmiddelen van de betrokkene niet tot die twee mogelijkheden beperken. Verwerking is alleen journalistiek als zij strekt tot openbaarmaking van informatie, meningen of ideeen, met inachtneming van de beroepsethiek van journalisten, na redactionele bewerking of ten minste volgens een redactioneel beleid, en na verificatie van de feiten.
Wat dit betekent: Aanbieders van data over personen, zoals screening, achtergrondchecks, registers of rechtspraakdatabases, kunnen zich niet zomaar op de persuitzondering beroepen; zonder echte redactionele werkwijze gelden alle AVG-regels, inclusief het recht op wissing en schadevergoeding. Controleer of uw bewaartermijnen en verwijderbeleid voor strafrechtelijke gegevens (artikel 10) houdbaar zijn. Ook in Nederland moet de toepassing van de journalistieke uitzondering in de UAVG tegen deze maatstaf worden gehouden.
- definitiefHof van Justitie van de EU (Vierde kamer), Brillen Rottler GmbH & Co. KG tegen TCC-526/24, ECLI:EU:C:2026:216
Brillen Rottler: een eerste inzageverzoek kan misbruik zijn als het alleen dient om schadevergoeding te claimen
Kernvraag: mag een verantwoordelijke een eerste inzageverzoek als buitensporig weigeren als de verzoeker het kennelijk alleen doet om daarna schadevergoeding te eisen, en heeft de verzoeker recht op vergoeding bij een geweigerde inzage? Oordeel: een eerste verzoek kan buitensporig en dus misbruik zijn als de verantwoordelijke aantoont dat het niet was bedoeld om de verwerking te kennen en te controleren, maar om kunstmatig een aanspraak te creëren; een openbaar bekend patroon van veel verzoeken gevolgd door claims mag daarbij meewegen. Schending van het inzagerecht geeft wel recht op vergoeding van werkelijk geleden schade, ook als er geen verwerking plaatsvond en ook bij verlies van controle of onzekerheid, maar niet als het eigen gedrag van de betrokkene de bepalende oorzaak is.
Wat dit betekent: U mag een inzageverzoek niet lichtvaardig weigeren, maar u heeft nu een concreet verweer tegen claimjagers, mits u het misbruik zelf onderbouwt met feiten. Leg in uw inzageprocedure vast hoe u aanwijzingen van misbruik beoordeelt en documenteert, en behandel gewone verzoeken gewoon binnen een maand. Blijf zorgvuldig: een onterechte weigering blijft een overtreding die tot schadevergoeding kan leiden.
- status niet vastgesteldRechtbank Den Haag, voorzieningenrechterECLI:NL:RBDHA:2026:4248; C/09/697042 / KG ZA 26/2
Kort geding Reddit tegen AP over last onder dwangsom en verschoningsrecht afgewezen
De AP onderzoekt sinds maart 2025 als leidende toezichthouder of Reddit openbare inhoud van gebruikers rechtmatig via haar API beschikbaar stelt aan ontwikkelaars van AI-modellen. Omdat Reddit toegang tot interne systemen (Jira, Google Vault, SWAT Tables) weigerde, legde de AP op 26 januari 2026 een last onder dwangsom op wegens schending van de medewerkingsplicht (artikelen 31 en 58 lid 1 AVG met de artikelen 5:16, 5:17 en 5:20 Awb). Reddit vorderde in kort geding onder meer waarborgen voor het verschoningsrecht van advocaten. De voorzieningenrechter weigert de voorzieningen, omdat de bezwaren tegen de last en tegen de werkwijze van de AP met geheimhoudersgegevens bij de bestuursrechter kunnen worden getoetst. Reddit betaalt de proceskosten.
Wat dit betekent: De AP kan bij onderzoek toegang tot uw interne systemen vorderen en weigering afdwingen met een last onder dwangsom. Wie het oneens is met zo'n last en met de manier waarop de AP omgaat met geprivilegieerde stukken, moet in beginsel bezwaar en beroep bij de bestuursrechter instellen; een civiel kort geding biedt dan geen uitweg. Leg voordat een onderzoek start vast welke documenten onder het verschoningsrecht vallen en hoe u die markeert.
- definitiefHof van Justitie van de EU (Grote kamer), WhatsApp Ireland Ltd tegen Europees Comité voor gegevensbescherming (EDPB)C-97/23 P, ECLI:EU:C:2026:81
WhatsApp tegen EDPB: bindend geschillenbesluit van de EDPB is rechtstreeks aanvechtbaar bij de EU-rechter
Kernvraag: kan een onderneming een bindend besluit van de EDPB (artikel 65) dat een geschil tussen toezichthouders beslecht en de Ierse autoriteit tot een hogere boete verplichtte (uiteindelijk 225 miljoen euro) rechtstreeks aanvechten bij het Gerecht? Oordeel: ja. Zo'n besluit komt van een EU-orgaan, beoogt rechtsgevolgen voor derden en raakt WhatsApp rechtstreeks. De beschikking van het Gerecht die het beroep niet-ontvankelijk verklaarde is vernietigd en de zaak is terugverwezen voor een inhoudelijke beoordeling.
Wat dit betekent: Voor organisaties die onder het één-loketmechanisme vallen komt er een extra route: naast beroep tegen het nationale eindbesluit kunt u het bindende EDPB-besluit zelf bij het Gerecht aanvechten. Houd de termijn van twee maanden na kennisgeving of publicatie van zo'n besluit in de gaten. Dit maakt de rol van de EDPB in grensoverschrijdende handhaving juridisch toetsbaar en kan de uitkomst van lopende boetezaken beïnvloeden.
- definitiefHof van Justitie van de EU (Grote kamer), X tegen Russmedia Digital SRL en Inform Media Press SRLC-492/23, ECLI:EU:C:2025:935
Russmedia: beheerder van een online marktplaats is verantwoordelijke voor persoonsgegevens in advertenties en moet vooraf controleren
Kernvraag: is de beheerder van een advertentiesite verwerkingsverantwoordelijke voor de persoonsgegevens in advertenties die gebruikers plaatsen, en kan hij zich beroepen op de aansprakelijkheidsvrijstelling voor tussenpersonen uit de e-commercerichtlijn? Oordeel: de beheerder is verantwoordelijke en moet vóór publicatie met technische en organisatorische maatregelen advertenties met bijzondere persoonsgegevens herkennen, nagaan of de adverteerder de betrokkene zelf is en anders publicatie weigeren, tenzij uitdrukkelijke toestemming of een andere uitzondering van artikel 9 lid 2 wordt aangetoond. Hij moet ook beveiligingsmaatregelen treffen tegen het kopiëren van zulke advertenties naar andere sites. De vrijstellingen uit de e-commercerichtlijn gelden niet voor deze AVG-verplichtingen.
Wat dit betekent: Platforms, marktplaatsen en fora waar gebruikers content met persoonsgegevens van anderen kunnen plaatsen, moeten een controle vooraf inbouwen voor gevoelige inhoud, met identiteitsverificatie van de plaatser en een weigermechanisme. Ook technische maatregelen tegen scraping en herpublicatie horen bij de beveiligingsplicht. Het verweer dat u slechts een neutrale doorgeefluik bent, werkt voor de AVG niet.
- definitiefRaad van State, Afdeling bestuursrechtspraakECLI:NL:RVS:2025:4562 (zaaknummer 202305954/1/A3; eerste aanleg ECLI:NL:RBAMS:2023:5074)€ 262.500
Raad van State: AP mocht DPG Media beboeten voor standaard vragen van kopie ID, boete gehalveerd naar 262.500 euro
DPG Media vroeg abonnees die buiten de online inlogomgeving om inzage of wissing vroegen standaard en vooraf om een kopie identiteitsbewijs, zonder eerst te beoordelen of een minder ingrijpende identificatie mogelijk was, zoals via klantnummer of e-mailverificatie. De AP legde in januari 2022 een boete op van 525.000 euro. De rechtbank Amsterdam vond in 2023 wel een overtreding van artikel 12 lid 2 AVG, maar schrapte de boete volledig. De Afdeling oordeelt dat de AP wel mocht beboeten, omdat het ging om structureel beleid van een grote mediapartij en niet om een incident. De AP ging echter onvoldoende in op de aangevoerde matigingsgronden en handelde daarmee in strijd met het motiveringsbeginsel. De Afdeling matigt de boete zelf met 50 procent tot 262.500 euro, onder meer omdat het om een relatief klein aantal gevallen ging, kopieen na maximaal een maand werden vernietigd en het beleid al ruim voor het handhavingsvoornemen was aangepast.
Wat dit betekent: Vraag alleen om een kopie identiteitsbewijs als u redelijke twijfel heeft over de identiteit en een lichtere manier (klantnummer, e-mailverificatie, andere bekende gegevens) niet volstaat; een vaste regel om altijd vooraf een kopie te eisen is in strijd met artikel 12 lid 2 en het beginsel van minimale gegevensverwerking. Vermeld in het verzoek zelf dat een afgeschermde kopie volstaat en vernietig kopieen snel. Voert u matigingsgronden aan, dan moet de AP die gemotiveerd bespreken; doet zij dat niet, dan kan de rechter de boete zelf verlagen.
- definitiefHof van Justitie van de EU (Eerste kamer), Europese Toezichthouder voor gegevensbescherming (EDPS) tegen Gemeenschappelijke Afwikkelingsraad (SRB)C-413/23 P, ECLI:EU:C:2025:645
EDPS tegen SRB: gepseudonimiseerde gegevens zijn niet voor iedereen altijd persoonsgegevens, maar de informatieplicht geldt vanaf het verzamelen
Kernvraag: waren de gepseudonimiseerde commentaren van aandeelhouders die de SRB aan Deloitte doorgaf persoonsgegevens, en vanuit wiens perspectief moet identificeerbaarheid worden beoordeeld? Oordeel: het Gerecht had ten onrechte geëist dat de EDPS inhoud, doel of effect van meningen onderzocht; een persoonlijke mening is naar haar aard nauw verbonden met de auteur. Gepseudonimiseerde gegevens kunnen voor een ontvanger zonder de sleutel geen persoonsgegevens zijn, maar alleen als de getroffen technische en organisatorische maatregelen identificatie door die ontvanger werkelijk uitsluiten; heeft de ontvanger redelijke middelen om betrokkenen toch te identificeren, bijvoorbeeld door koppeling met andere gegevens, dan blijven het persoonsgegevens. De informatieplicht van de verantwoordelijke over ontvangers wordt beoordeeld op het moment van verzamelen en vanuit de verantwoordelijke zelf, los van de vraag of de gegevens na pseudonimisering voor de ontvanger nog persoonsgegevens zijn. Het arrest van het Gerecht is vernietigd en zaak T-557/20 is terugverwezen naar het Gerecht.
Wat dit betekent: Pseudonimisering kan de positie van een ontvanger, zoals een onderzoeksbureau of analytics-leverancier, echt veranderen, maar het ontslaat u als verantwoordelijke niet van de informatieplicht: u moet betrokkenen bij het verzamelen al informeren over doorgifte aan zulke ontvangers. Beoordeel per ontvanger of heridentificatie met redelijke middelen mogelijk is en leg dat vast. Dit arrest legt de EU-instellingenverordening 2018/1725 uit, maar de definities en de informatieplicht lopen gelijk met de AVG (artikel 4 en artikel 13, lid 1, onder e).
- status niet vastgesteldRechtbank GelderlandECLI:NL:RBGEL:2025:6547 (zaaknummer ARN 22/4633)€ 58.125
Rechtbank Gelderland: curator is verwerkingsverantwoordelijke, AP-boete voor onbeveiligde harde schijf verlaagd naar 58.125 euro
Bij de boedelveiling van een failliete zorgstichting verkocht de curator een server met een harde schijf vol (bijzondere) persoonsgegevens van clienten en personeel, zoals BSN, salaris- en medische gegevens. De AP legde op 9 december 2021 een boete op van 310.000 euro wegens overtreding van artikel 5 lid 1 onder f met artikel 32 lid 1 en 2 AVG, en verlaagde die in bezwaar op 25 augustus 2022 naar 148.750 euro. De rechtbank oordeelt dat de curator in die hoedanigheid verwerkingsverantwoordelijke is omdat hij redelijkerwijs over de gegevens kon beschikken, en dat de boete terecht is. Zij matigt de boete tot 58.125 euro wegens verminderde verwijtbaarheid en overschrijding van de redelijke termijn.
Wat dit betekent: Wie de feitelijke zeggenschap over gegevensdragers krijgt, zoals een curator, wordt verwerkingsverantwoordelijke en moet beveiliging regelen, ook bij verkoop van hardware. Inventariseer alle gegevensdragers en wis of vernietig ze aantoonbaar voordat apparatuur de deur uitgaat. Een opdracht aan een veilinghuis om schijven te verwijderen is zonder controle niet genoeg. Boetes voor beveiligingsgebreken worden gematigd bij verminderde verwijtbaarheid, maar niet geschrapt.
- definitiefHof van Justitie van de EU (Eerste kamer), CK tegen Magistrat der Stadt Wien, met Dun & Bradstreet Austria GmbH als andere partijC-203/22, ECLI:EU:C:2025:117
Dun & Bradstreet: recht op begrijpelijke uitleg van een geautomatiseerd besluit, bedrijfsgeheim is geen absolute weigeringsgrond
Kernvraag: wat houdt het recht op nuttige informatie over de onderliggende logica van geautomatiseerde besluitvorming in, en mag een verantwoordelijke die informatie weigeren met een beroep op bedrijfsgeheimen? Oordeel: de verantwoordelijke moet in beknopte, transparante en begrijpelijke vorm de procedure en beginselen beschrijven die werkelijk zijn toegepast, zodat de betrokkene begrijpt welke gegevens zijn gebruikt en hoe. Alleen een algoritme meedelen is onvoldoende; uitleggen hoe een andere waarde tot een ander resultaat zou leiden kan passend zijn. Bij bedrijfsgeheimen of gegevens van derden moet de verantwoordelijke de informatie aan de toezichthouder of rechter geven, die afweegt wat de betrokkene krijgt. Een nationale regel die toegang bij bedrijfsgeheimen in beginsel uitsluit is niet toegestaan.
Wat dit betekent: Als u geautomatiseerde besluiten of scores gebruikt, moet u per besluit een uitleg in gewone taal kunnen geven: welke gegevens, welke regels en welk gewicht. Bouw dat in bij de keuze van modellen en bij uw leveranciers, want een model dat u niet kunt uitleggen levert een verzoek op dat u niet kunt beantwoorden. Bedrijfsgeheim is geen vrijbrief; bereid u voor op het delen van de gevoelige details met de toezichthouder of rechter.
- definitiefHof van Justitie van de EU (Eerste kamer), Mousse tegen Commission nationale de l'informatique et des libertés (CNIL) en SNCF ConnectC-394/23, ECLI:EU:C:2025:2
Mousse: aanhef meneer of mevrouw vragen bij een treinkaartje is niet noodzakelijk
Kernvraag: mag een vervoerder klanten verplichten hun aanhef (meneer of mevrouw) op te geven om de commerciële communicatie te personaliseren, en is dat verenigbaar met minimale gegevensverwerking? Oordeel: die verwerking is niet objectief onmisbaar voor de uitvoering van de vervoersovereenkomst. Op gerechtvaardigd belang kan zij alleen steunen als klanten bij het verzamelen over dat belang zijn geïnformeerd, de verwerking strikt noodzakelijk is en de rechten van klanten, waaronder het risico op discriminatie naar genderidentiteit, niet zwaarder wegen. Het bestaan van een recht van bezwaar telt niet mee bij de beoordeling van de noodzaak.
Wat dit betekent: Ga elk verplicht veld in uw formulieren na: alleen wat echt nodig is voor de dienst mag verplicht zijn. Aanhef, geslacht of geboortedatum voor persoonlijke aanspreking zijn dat meestal niet; maak ze optioneel of laat ze weg. Als u zulke gegevens op gerechtvaardigd belang wilt verwerken, moet dat belang al bij het verzamelen in uw privacy-informatie staan en moet u kunnen uitleggen waarom het strikt noodzakelijk is.
- status niet vastgesteldRechtbank Noord-NederlandECLI:NL:RBNNE:2025:83 (zaaknummer LEE 22/3460)€ 375
Rechtbank Noord-Nederland houdt AP-boete voor dorpslivestream in stand, verlaagt naar 375 euro
De rechtbank oordeelt dat de AP terecht vaststelde dat de livestream persoonsgegevens verwerkte zonder grondslag. Alleen belangen die op het moment van verwerken echt werden nagestreefd en voor betrokkenen kenbaar waren, tellen mee bij de toets van gerechtvaardigd belang; later aangevoerde belangen niet. De verwerking was niet noodzakelijk en de belangen van omwonenden wogen zwaarder. Omdat de procedure vier jaar en vijf maanden duurde, is de boete verlaagd van 500 naar 375 euro. De last onder dwangsom blijft in stand.
Wat dit betekent: Leg uw gerechtvaardigd belang vast en communiceer het vóór u begint met verwerken; belangen die u pas bij de rechter aanvoert, tellen niet. Bij cameratoezicht in de openbare ruimte moet u met concrete gegevens aantonen dat het doel niet met minder ingrijpende middelen kan worden bereikt. Een te lange procedure leidt tot korting op de boete, niet tot het vervallen van de overtreding.
- status niet vastgesteldRechtbank Den HaagECLI:NL:RBDHA:2024:16324; zaaknummer SGR 23/8425€ 30.000
Rechtbank Den Haag verlaagt AP-boete voor politie om mobiele camera-auto's zonder afgeronde GEB naar 30.000 euro
Aan het begin van de coronacrisis werden in Rotterdam mobiele camera-auto's ingezet terwijl de politie de gegevensbeschermingseffectbeoordeling (GEB) nog niet had afgerond. De AP legde de politie op grond van de Wet politiegegevens een boete van 50.000 euro op. De rechtbank stelt vast dat er op 20 en 29 mei 2020 politiegegevens zijn verwerkt, maar dat alleen 20 mei een overtreding is, omdat de GEB na 26 mei af was. De rechtbank vindt de overtreding ernstig en verwijtbaar en ziet geen overmacht. Omdat de overtreding maar één dag duurde en herhaling bijzonder onwaarschijnlijk is, stelt de rechtbank de boete vast op 30.000 euro.
Wat dit betekent: Een inzetkader of pre-GEB vervangt geen volledige effectbeoordeling met risicoanalyse en maatregelen; die moet af zijn voordat de camera aangaat. Verwerking begint pas als de camera daadwerkelijk wordt ingeschakeld, wat de duur van de overtreding en dus de boete bepaalt. Snel handelen in een crisis kan de boete verlagen, maar is geen rechtvaardiging. Voor de GEB-plicht onder de Wpg sluit de rechtbank aan bij de uitleg van artikel 35 AVG en de EDPB-richtsnoeren.
- definitiefHof van Justitie van de EU (Vierde kamer), Maximilian Schrems tegen Meta Platforms Ireland LimitedC-446/21, ECLI:EU:C:2024:834
Schrems tegen Meta: geen onbeperkt bewaren en combineren van gegevens voor gerichte advertenties
Kernvraag: mag een sociaal netwerk alle gegevens die het over een gebruiker verzamelt, op en buiten het platform, zonder tijdslimiet en zonder onderscheid naar soort gebruiken voor gepersonaliseerde advertenties, en mag het gegevens over seksuele geaardheid gebruiken nadat de betrokkene daar publiekelijk over sprak? Oordeel: het beginsel van minimale gegevensverwerking verzet zich tegen het onbeperkt in tijd en zonder onderscheid naar soort verzamelen, analyseren en verwerken van gegevens voor gerichte advertenties. Een openbare uitspraak over de eigen geaardheid geeft het platform geen recht om andere gegevens over die geaardheid, verzameld via derden, te gebruiken voor advertenties.
Wat dit betekent: Voor profilering en advertenties moet u bewaartermijnen vaststellen en per gegevenssoort bepalen of gebruik nodig is; een datameer waarin alles voor altijd wordt bewaard en gecombineerd is niet toegestaan. Bijzondere persoonsgegevens die iemand zelf ergens openbaar maakte, mag u niet daarom uit andere bronnen bijeenbrengen. Leg dit vast in uw bewaarbeleid en in de configuratie van marketing- en analysetools. Dit arrest is uit 2024 en wordt daarom ook meegeteld bij de recente uitspraken.
- definitiefHof van Justitie van de EU (Grote kamer), ND tegen DR (twee Duitse apothekers)C-21/23, ECLI:EU:C:2024:846
Lindenapotheke: concurrenten mogen AVG-inbreuken aanvechten en bestelgegevens van apotheekproducten zijn gezondheidsgegevens
Kernvraag: mag een concurrent volgens het nationale recht een AVG-overtreding bij de civiele rechter aanvechten als oneerlijke handelspraktijk? En zijn de gegevens die klanten invoeren als ze online apotheekproducten zonder recept bestellen gezondheidsgegevens? Oordeel: de regels over rechtsmiddelen in hoofdstuk VIII van de AVG verbieden zo'n vordering door concurrenten niet. Die vordering bestaat naast de bevoegdheden van de toezichthouder en de rechten van betrokkenen. Naam, bezorgadres en productgegevens bij het online bestellen van apotheekplichtige geneesmiddelen zijn gezondheidsgegevens in de zin van artikel 9, lid 1. Dat geldt ook zonder recept en ook als niet vaststaat dat de besteller het middel zelf gebruikt. De verwerking mag dan alleen op grond van een uitzondering uit artikel 9, lid 2, zoals uitdrukkelijke toestemming na nauwkeurige, volledige en begrijpelijke informatie. Het persbericht van het Hof vat dit samen als een eis van uitdrukkelijke toestemming.
Wat dit betekent: AVG-naleving wordt ook een risico in de concurrentiestrijd: een concurrent kan u voor de rechter dagen en een verbod vragen, los van de toezichthouder. Webwinkels en platforms die producten verkopen waaruit iemands gezondheid valt af te leiden, moeten dat bestelproces behandelen als verwerking van bijzondere persoonsgegevens. Dat betekent een geldige uitzondering uit artikel 9, lid 2, in de praktijk meestal uitdrukkelijke toestemming vooraf met duidelijke informatie. Controleer uw productcategorieën op vergelijkbare gevoelige informatie die uit bestellingen valt af te leiden.
- definitiefHof van Justitie van de Europese UnieC-621/22, ECLI:EU:C:2024:858
Hof van Justitie EU over KNLTB: zuiver commercieel belang kan gerechtvaardigd belang zijn
Op prejudiciële vragen van de rechtbank Amsterdam in de KNLTB-boetezaak (verstrekking van ledengegevens tegen betaling aan sponsors) oordeelde het Hof dat een commercieel belang van de verwerkingsverantwoordelijke een gerechtvaardigd belang in de zin van artikel 6 lid 1 onder f AVG kan zijn, mits dat belang niet in strijd is met het recht. Het belang hoeft niet in de wet te zijn vastgelegd, maar moet wel rechtmatig zijn. Daarnaast moet de verwerking strikt noodzakelijk zijn en mogen de belangen en grondrechten van betrokkenen, gelet op alle omstandigheden, niet zwaarder wegen. Daarmee verwierp het Hof de opvatting van de AP dat een gerechtvaardigd belang in de wet verankerd moet zijn.
Wat dit betekent: U kunt zich voor marketing of verkoop van gegevens niet zomaar op gerechtvaardigd belang beroepen, maar het is ook niet bij voorbaat uitgesloten. Leg de driestappentoets schriftelijk vast: welk belang, waarom strikt noodzakelijk, en waarom de belangen van betrokkenen niet zwaarder wegen. Zonder die onderbouwing en zonder duidelijke informatie aan betrokkenen houdt uw grondslag geen stand.
- definitiefHof van Justitie van de EU (Eerste kamer), TR tegen Land HessenC-768/21, ECLI:EU:C:2024:785
Land Hessen: toezichthouder hoeft niet altijd een boete op te leggen als de organisatie zelf al herstelde
Kernvraag: moet een toezichthouder na een vastgestelde inbreuk (een bankmedewerker keek zonder reden in klantgegevens) altijd corrigerend optreden en een boete opleggen als een betrokkene daarom vraagt? Oordeel: nee. De toezichthouder hoeft geen corrigerende maatregel en geen boete op te leggen als dat niet passend, noodzakelijk of evenredig is om de tekortkoming te verhelpen en volledige naleving te waarborgen, bijvoorbeeld omdat de verantwoordelijke direct maatregelen nam om herhaling te voorkomen. De beoordelingsruimte is begrensd door de eis van een hoog en consistent beschermingsniveau.
Wat dit betekent: Snel en aantoonbaar zelf ingrijpen na een incident loont: het kan een boete voorkomen. Zorg voor een incidentprocedure waarin u de oorzaak wegneemt, herhaling voorkomt, disciplinaire of technische maatregelen documenteert en de melding aan de toezichthouder onderbouwt. Betrokkenen hebben geen recht op een boete voor de overtreder; zij kunnen wel het besluit van de toezichthouder laten toetsen.
- status niet vastgesteldRechtbank Den Haag, voorzieningenrechter (kort geding, team handel)ECLI:NL:RBDHA:2024:17249; C/09/663620 / KG ZA 24-273
Voorzieningenrechter: AP moet boetebedrag onleesbaar maken bij verstrekking van handhavingsbesluit aan klagers
De AP legde op 6 december 2023 een geanonimiseerde aanbieder van een financiële dienst twee bestuurlijke boetes en twee lasten onder dwangsom op, wegens schending van artikel 5 lid 1 onder a jo. artikel 6 lid 1 AVG en van artikel 12 lid 1 jo. artikel 14 lid 1 en 2 AVG. De AP wilde het volledige besluit, inclusief boetebedrag, aan de twee klagers sturen. De civiele voorzieningenrechter vindt de klagers wel belanghebbenden, maar gebiedt de AP het boetebedrag en de onderdelen over de berekening onleesbaar te maken en verbiedt de AP klagers daarover te informeren. De boete is aanzienlijk, bekendmaking kan vóór rechterlijke toetsing grote reputatieschade geven en klagers hebben geen concreet belang bij de exacte hoogte. Een algeheel verbod op openbaarmaking aan derden wijst de rechter af.
Wat dit betekent: Klagers hebben recht om te horen dat en hoe de AP handhaaft, maar niet automatisch op het exacte boetebedrag en de berekening zolang het besluit nog niet door een rechter is getoetst. Krijgt u een boete na klachten, dan kunt u de AP vragen bedrag en berekening onleesbaar te maken in het afschrift voor klagers, en zo nodig een kort geding starten. Bezwaar tegen de aankondiging van toezending werkt niet, omdat dat een feitelijke handeling is (ECLI:NL:RBDHA:2024:3754). Een algeheel verbod op publicatie van de boete bereikt u zo niet; daarvoor loopt de aparte zienswijze tegen openbaarmaking.
- definitiefRaad van State, Afdeling bestuursrechtspraakECLI:NL:RVS:2024:2221, zaaknr. 202401169/1/A3 (bevestigt ECLI:NL:RBAMS:2024:1214)€ 6.000
Raad van State bevestigt AP-boete van 6.000 euro voor recruitmentbedrijf
De Afdeling toetst de boete aan het Unierechtelijke evenredigheidsbeginsel, mede gelet op artikel 83, eerste lid, AVG, en vindt 6.000 euro niet onevenredig. De AP had de basisboete van 310.000 euro al fors gematigd. Het bedrijf volgde de eigen instructies uit zijn AVG-handleiding feitelijk niet goed op en gaf geen gevolg aan herhaalde verwijderverzoeken van betrokkenen (artikel 17, eerste lid, jo. artikel 12, derde lid, AVG). Dat de AP in de praktijk zeer uiteenlopende boetes oplegt, maakt deze boete niet onevenredig. De uitspraak van de rechtbank Amsterdam van 15 januari 2024 wordt bevestigd.
Wat dit betekent: De hoogste bestuursrechter accepteert dat de AP fors naar beneden afwijkt van de boetebeleidsregels als de omstandigheden dat vragen, zonder dat de boete daardoor willekeurig wordt. Verwijzen naar andere zaken helpt weinig; de rechter kijkt naar uw eigen verwijtbaarheid. Zorg dat uw AVG-handleiding werkelijk wordt gevolgd, want alleen het bestaan ervan is geen verweer.
- definitiefRechtbank Midden-Nederland, voorzieningenrechter (zittingsplaats Utrecht)ECLI:NL:RBMNE:2024:1804; zaaknummer UTR 24/885
Voorzieningenrechter schorst AP-last onder dwangsom aan Northwave: eerst bevoegdheden bij hostingprovider uitputten
Een grote hostingprovider meldde in augustus 2023 een datalek en schakelde Northwave in voor onderzoek. De AP vorderde het onderzoeksrapport bij de provider, die volgens de AP niet volledig meewerkte. De AP vorderde daarna inlichtingen bij Northwave zelf en legde in februari 2024 een last onder dwangsom op. De voorzieningenrechter oordeelt dat de AP zich op grond van artikel 58, eerste lid, onder a, AVG in eerste instantie tot de normadressaat moet wenden, hier de hostingprovider. De AP had haar bevoegdheden tegenover de provider niet uitgeput en had de aangekondigde last onder dwangsom aan de provider nooit opgelegd. Inlichtingen vorderen bij een derde die niet onder toezicht van de AP staat is dan redelijkerwijs niet nodig (artikel 5:13 Awb, subsidiariteit). De last wordt geschorst tot twee weken na de beslissing op bezwaar; de AP betaalt griffierecht en proceskosten.
Wat dit betekent: De AP moet voor informatie eerst bij de verwerkingsverantwoordelijke of verwerker zelf zijn en haar middelen daar uitputten, voordat zij met dwangmiddelen bij een leverancier of adviseur aanklopt. Incident-response- en forensische bedrijven kunnen een inlichtingenvordering aanvechten als de AP de eigen middelen tegenover de organisatie onder toezicht nog niet heeft benut. Het blijft een voorlopig oordeel, en de verwerkingsverantwoordelijke zelf moet gevorderde onderzoeksrapporten wel verstrekken. Leg daarom contractueel vast wie richting de AP rapporteert en hoe met onderzoeksrapporten wordt omgegaan.
- definitiefHof van Justitie van de EU (Vierde kamer), IAB Europe tegen Gegevensbeschermingsautoriteit (België)C-604/22, ECLI:EU:C:2024:214
IAB Europe: de TC String is een persoonsgegeven en de brancheorganisatie is gezamenlijk verantwoordelijke
Kernvraag: is de gecodeerde toestemmingsstring (TC String) uit het Transparency and Consent Framework voor online advertentieveilingen een persoonsgegeven, en is IAB Europe als opsteller van dat kader (gezamenlijk) verwerkingsverantwoordelijke? Oordeel: de TC String is een persoonsgegeven zodra hij met redelijke middelen aan een identificator zoals een IP-adres kan worden gekoppeld, ook als IAB Europe zelf geen toegang tot die koppeling heeft. IAB Europe is gezamenlijk verantwoordelijke voor het vastleggen en verspreiden van de voorkeuren, omdat het kader de doelen en middelen mede bepaalt; die verantwoordelijkheid strekt zich niet automatisch uit tot de latere verwerking door websites en adverteerders.
Wat dit betekent: Wie een standaard, protocol of platform voor gegevensuitwisseling opzet en de regels daarvan bepaalt, kan gezamenlijk verantwoordelijke zijn zonder de gegevens zelf te zien. Dat vraagt om een regeling volgens artikel 26 met de deelnemers en om eigen verantwoording. Voor websites en adverteerders die het TCF gebruiken geldt dat toestemmingssignalen zelf persoonsgegevens zijn en dus onder alle beginselen van de AVG vallen, inclusief beveiliging en transparantie.
- definitiefRechtbank OverijsselECLI:NL:RBOVE:2024:594 (zaaknummer ZWO 22/775)€ 600.000
Rechtbank Overijssel herroept AP-boete voor wifi-tracking Enschede
De rechtbank verklaart het beroep van de gemeente Enschede gegrond, vernietigt het besluit op bezwaar van 6 april 2022 en herroept het boetebesluit van 11 maart 2021 (boete van 600.000 euro wegens verwerking zonder grondslag, artikel 5 lid 1 onder a jo. artikel 6 lid 1 AVG). De AP had onvoldoende onderzocht en niet bewezen dat natuurlijke personen identificeerbaar waren via gehashte en afgeknipte MAC-adressen in combinatie met locatiegegevens, zoals overweging 26 AVG vereist. De Raad van State heeft deze uitspraak op 29 juli 2026 bevestigd (ECLI:NL:RVS:2026:4403).
Wat dit betekent: Of gepseudonimiseerde of gehashte identificatoren persoonsgegevens zijn, hangt af van concreet bewijs over identificeerbaarheid in uw situatie, getoetst aan de redelijkerwijs te verwachten middelen uit overweging 26 AVG; bij een boete moet de toezichthouder dat bewijs al in het besluit leveren. Leg zelf vast welke stappen u neemt om identificatie uit te sluiten. De Raad van State liet de vraag open of het tellen van unieke bezoekers via MAC-adressen op zichzelf al directe identificatie is, dus tellen met MAC-adressen blijft risicovol.
- definitiefHof van Justitie van de EU (Eerste kamer), OQ tegen Land Hessen, met SCHUFA Holding AG als interveniëntC-634/21, ECLI:EU:C:2023:957
SCHUFA: kredietscore die derden zwaar laten meewegen is een geautomatiseerd besluit
Kernvraag: is het automatisch berekenen van een kredietscore door een kredietinformatiebureau al een geautomatiseerd individueel besluit in de zin van artikel 22, ook al neemt een bank of winkel het eigenlijke besluit? Oordeel: ja, wanneer de derde die de score ontvangt daar sterk op steunt om een overeenkomst aan te gaan, uit te voeren of te beëindigen. De score is dan zelf het besluit met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen, en het verbod van artikel 22 lid 1 geldt tenzij een uitzondering van lid 2 van toepassing is.
Wat dit betekent: Als u scores, risico-indicatoren of rankings levert die klanten bijna automatisch overnemen, bent u zelf verantwoordelijk voor de eisen van artikel 22: een geldige uitzondering (wet, overeenkomst of uitdrukkelijke toestemming), passende waarborgen, menselijke tussenkomst en informatie over de gebruikte logica. Afnemers van zulke scores moeten nagaan of hun besluitproces feitelijk op de score leunt en hun informatievoorziening en bezwaarmogelijkheid daarop inrichten. Dit raakt ook AI-modellen die risicoscores voor mensen berekenen.
- definitiefHof van Justitie van de EU (Grote kamer), Deutsche Wohnen SE tegen Staatsanwaltschaft BerlinC-807/21, ECLI:EU:C:2023:950
Deutsche Wohnen: boete aan een rechtspersoon vereist geen aanwijsbare natuurlijke persoon, maar wel schuld
Kernvraag: mag een lidstaat een AVG-boete aan een onderneming alleen toestaan als de overtreding eerst aan een bepaalde bestuurder of medewerker is toegerekend, en is een boete mogelijk zonder opzet of nalatigheid? Oordeel: nationale regels die een boete aan een rechtspersoon afhankelijk maken van toerekening aan een geïdentificeerde natuurlijke persoon zijn in strijd met artikel 58, lid 2, onder i, en artikel 83 AVG. Een boete kan wel alleen worden opgelegd als vaststaat dat de verwerkingsverantwoordelijke de overtreding opzettelijk of uit nalatigheid heeft begaan. Dat is het geval als hij niet onwetend kon zijn van het onrechtmatige karakter van zijn gedrag, ongeacht of hij wist dat hij de AVG schond. Voor het boetemaximum telt de wereldwijde jaaromzet van de onderneming in mededingingsrechtelijke zin (artikelen 101 en 102 VWEU).
Wat dit betekent: Uw organisatie kan als rechtspersoon rechtstreeks een boete krijgen; het verweer dat geen medewerker persoonlijk verantwoordelijk is, gaat niet op. De toezichthouder moet wel opzet of nalatigheid aantonen, maar onwetendheid over de AVG is geen verweer als u het onrechtmatige karakter van uw gedrag had moeten zien. Een goed gedocumenteerd compliance-programma en aantoonbare zorgvuldigheid versterken uw positie. Bij concerns wordt het boetemaximum bepaald op basis van de omzet van de hele economische eenheid, niet alleen die van de dochter die de fout maakte.
- definitiefHof van Justitie van de EU (Grote kamer), Meta Platforms Inc., Meta Platforms Ireland Ltd en Facebook Deutschland GmbH tegen BundeskartellamtC-252/21, ECLI:EU:C:2023:537
Meta tegen Bundeskartellamt: mededingingsautoriteit mag AVG-inbreuk vaststellen, strenge eisen aan grondslagen voor gepersonaliseerde advertenties
Kernvraag: mag de Duitse mededingingsautoriteit bij een onderzoek naar misbruik van een machtspositie toetsen of Facebook de AVG naleeft, en op welke grondslag mag Meta gegevens van andere groepsdiensten en van websites en apps van derden koppelen aan het Facebook-account? Oordeel: een mededingingsautoriteit mag een AVG-inbreuk vaststellen als dat nodig is om misbruik aan te tonen. Zij moet wel loyaal samenwerken met de privacytoezichthouders en mag niet afwijken van hun eerdere besluit over dezelfde of vergelijkbare voorwaarden. Het verzamelen en koppelen van bezoekgegevens van websites en apps die bijzondere categorieen raken, is verwerking van bijzondere persoonsgegevens als daaruit zulke informatie kan blijken. Alleen het bezoeken van zo'n site is geen kennelijk openbaar maken. Een beroep op de overeenkomst (artikel 6, lid 1, onder b) kan alleen als de verwerking objectief onmisbaar is voor de kern van de overeenkomst. Een beroep op gerechtvaardigd belang (onder f) vereist dat de gebruiker over dat belang is geinformeerd, dat de verwerking strikt noodzakelijk is en dat een belangenafweging in het voordeel van de verwerker uitvalt. Voor gepersonaliseerde advertenties zonder toestemming wegen de belangen van de gebruiker volgens het Hof zwaarder. Ook wettelijke plicht, vitaal belang en algemeen belang zijn beperkt bruikbaar. Een machtspositie maakt geldige toestemming niet onmogelijk, maar is een belangrijke factor bij de vraag of toestemming vrij is gegeven.
Wat dit betekent: Als u gegevens uit meerdere diensten of van derden combineert voor profilering of advertenties, kunt u zich alleen op de overeenkomst beroepen als de verwerking echt onmisbaar is voor de dienst die u levert. Voor gepersonaliseerde advertenties op basis van zulke gecombineerde gegevens is gerechtvaardigd belang zonder toestemming in de praktijk niet houdbaar. Kiest u voor gerechtvaardigd belang, noem dat belang dan vooraf aan de gebruiker, beperk de verwerking tot wat strikt noodzakelijk is en leg de belangenafweging vast. Verwerking die gevoelige informatie kan onthullen valt onder artikel 9, ook als die informatie uit surfgedrag wordt afgeleid. Heeft u een sterke marktpositie, dan moet u kunnen aantonen dat toestemming vrij is gegeven. Houd er ook rekening mee dat mededingingsautoriteiten uw AVG-naleving kunnen toetsen.
- definitiefHof van Justitie van de EU (Derde kamer), UI tegen Österreichische Post AGC-300/21, ECLI:EU:C:2023:370
Österreichische Post: geen schadevergoeding zonder schade, maar ook geen drempel voor immateriële schade
Kernvraag: geeft elke AVG-overtreding recht op schadevergoeding, en mag nationaal recht eisen dat immateriële schade een zekere ernst heeft? Oordeel: een enkele overtreding is niet genoeg; er moet schade zijn die door de overtreding is veroorzaakt. Nationaal recht mag echter niet eisen dat immateriële schade een bepaalde drempel van ernst haalt. De hoogte van de vergoeding wordt bepaald naar nationaal recht, mits gelijkwaardigheid en doeltreffendheid zijn gewaarborgd.
Wat dit betekent: Reken bij datalekken en andere overtredingen op claims voor immateriële schade, ook voor relatief kleine gevolgen zoals angst of verlies van controle; het enkele argument dat de schade te gering is om mee te tellen werkt niet. De claimant moet wel daadwerkelijke schade en oorzakelijk verband aantonen. Leg daarom bij incidenten goed vast wat er is gebeurd en welke maatregelen u nam, zodat u schade en causaliteit kunt betwisten waar dat terecht is.
- definitiefHof van Justitie van de EU (Grote kamer), Data Protection Commissioner tegen Facebook Ireland Ltd en Maximillian SchremsC-311/18, ECLI:EU:C:2020:559
Schrems II: Privacy Shield ongeldig, doorgifte op standaardclausules alleen met gelijkwaardige bescherming
Kernvraag: mogen persoonsgegevens naar de Verenigde Staten worden doorgegeven op basis van het Privacy Shield of op basis van standaardcontractbepalingen, terwijl Amerikaanse inlichtingendiensten ruime toegang hebben? Oordeel: het Privacy Shield besluit (2016/1250) is ongeldig. De standaardcontractbepalingen (besluit 2010/87) blijven geldig. Wel moet de verantwoordelijke of verwerker in de EU per geval, zo nodig samen met de ontvanger, controleren of het recht van het derde land een beschermingsniveau biedt dat in wezen gelijkwaardig is aan dat in de EU. Zo niet, dan moet hij aanvullende maatregelen nemen of de doorgifte schorsen of beeindigen. Bestaat er geen geldig adequaatheidsbesluit en stopt de verantwoordelijke of verwerker niet zelf, dan moet de toezichthouder de doorgifte schorsen of verbieden als die bescherming niet op een andere manier kan worden gegarandeerd.
Wat dit betekent: Voor elke doorgifte buiten de EU op standaardcontractbepalingen moet u een beoordeling van het recht van het ontvangende land maken en vastleggen (transfer impact assessment). Waar de wet van dat land te ver gaat, moet u aanvullende maatregelen zoals versleuteling zonder sleutel bij de ontvanger inzetten of de doorgifte staken. Voor de VS geldt sinds juli 2023 het EU-US Data Privacy Framework (uitvoeringsbesluit 2023/1795) als opvolger voor gecertificeerde organisaties, maar de toets uit dit arrest blijft de maatstaf voor alle andere landen en voor leveranciers die niet onder dat kader vallen.