Uitspraak
Lindenapotheke: concurrenten mogen AVG-inbreuken aanvechten en bestelgegevens van apotheekproducten zijn gezondheidsgegevens
- Datum
- Status
- definitief
- Instantie
- Hof van Justitie van de EU (Grote kamer), ND tegen DR (twee Duitse apothekers)
- Kenmerk
- C-21/23, ECLI:EU:C:2024:846
Waar het over gaat
Kernvraag: mag een concurrent volgens het nationale recht een AVG-overtreding bij de civiele rechter aanvechten als oneerlijke handelspraktijk? En zijn de gegevens die klanten invoeren als ze online apotheekproducten zonder recept bestellen gezondheidsgegevens? Oordeel: de regels over rechtsmiddelen in hoofdstuk VIII van de AVG verbieden zo'n vordering door concurrenten niet. Die vordering bestaat naast de bevoegdheden van de toezichthouder en de rechten van betrokkenen. Naam, bezorgadres en productgegevens bij het online bestellen van apotheekplichtige geneesmiddelen zijn gezondheidsgegevens in de zin van artikel 9, lid 1. Dat geldt ook zonder recept en ook als niet vaststaat dat de besteller het middel zelf gebruikt. De verwerking mag dan alleen op grond van een uitzondering uit artikel 9, lid 2, zoals uitdrukkelijke toestemming na nauwkeurige, volledige en begrijpelijke informatie. Het persbericht van het Hof vat dit samen als een eis van uitdrukkelijke toestemming.
Wat dit betekent voor de praktijk
AVG-naleving wordt ook een risico in de concurrentiestrijd: een concurrent kan u voor de rechter dagen en een verbod vragen, los van de toezichthouder. Webwinkels en platforms die producten verkopen waaruit iemands gezondheid valt af te leiden, moeten dat bestelproces behandelen als verwerking van bijzondere persoonsgegevens. Dat betekent een geldige uitzondering uit artikel 9, lid 2, in de praktijk meestal uitdrukkelijke toestemming vooraf met duidelijke informatie. Controleer uw productcategorieën op vergelijkbare gevoelige informatie die uit bestellingen valt af te leiden.
De AVG-artikelen waar het om gaat
- Artikel 4: Definities
- Artikel 9: Verwerking van bijzondere categorieën van persoonsgegevens
- Artikel 77: Recht om klacht in te dienen bij een toezichthoudende autoriteit
- Artikel 78: Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit
- Artikel 79: Recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker
- Artikel 80: Vertegenwoordiging van betrokkenen
- Artikel 84: Sancties
Bron: EUR-Lex, arrest C-21/23gecontroleerd op 15 september 2026
Samenvatting en praktijkduiding door Praxikon. Geen juridisch advies; de bron gaat voor.
Samenhang
Wat samenhangt met deze ontwikkeling
Thema’s waarin dit terugkomt
De tegenhanger in de andere wet
- Artikel 2 AI Act: Toepassingsgebied
via Bijzondere persoonsgegevens gebruiken om bias op te sporen
- Artikel 3 AI Act: Definities
- Artikel 5 AI Act: Verboden AI-praktijken
- Artikel 6 AI Act: Classificatieregels voor AI-systemen met een hoog risico
- Artikel 10 AI Act: Data en datagovernance
- Artikel 16 AI Act: Verplichtingen van aanbieders van AI-systemen met een hoog risico
- Artikel 25 AI Act: Verantwoordelijkheden in de AI-waardeketen
- Artikel 26 AI Act: Verplichtingen van gebruiksverantwoordelijken van AI-systemen met een hoog risico
- Artikel 50 AI Act: Transparantieverplichtingen voor aanbieders en gebruiksverantwoordelijken van bepaalde AI-systemen
Rechtspraak8 van 13
- Schrems tegen Meta: geen onbeperkt bewaren en combineren van gegevens voor gerichte advertenties
2024-10-04 · definitief, Hof van Justitie van de EU (Vierde kamer), Maximilian Schrems tegen Meta Platforms Ireland Limited
- IAB Europe: de TC String is een persoonsgegeven en de brancheorganisatie is gezamenlijk verantwoordelijke
2024-03-07 · definitief, Hof van Justitie van de EU (Vierde kamer), IAB Europe tegen Gegevensbeschermingsautoriteit (België)
- Raad van State: boete van 600.000 euro voor wifi-tracking Enschede blijft van tafel
2026-07-29 · definitief, Raad van State, Afdeling bestuursrechtspraak
- EDPS tegen SRB: gepseudonimiseerde gegevens zijn niet voor iedereen altijd persoonsgegevens, maar de informatieplicht geldt vanaf het verzamelen
2025-09-04 · definitief, Hof van Justitie van de EU (Eerste kamer), Europese Toezichthouder voor gegevensbescherming (EDPS) tegen Gemeenschappelijke Afwikkelingsraad (SRB)
- Rechtbank Gelderland: curator is verwerkingsverantwoordelijke, AP-boete voor onbeveiligde harde schijf verlaagd naar 58.125 euro
2025-08-07 · status niet vastgesteld, Rechtbank Gelderland
- Rechtbank Overijssel herroept AP-boete voor wifi-tracking Enschede
2024-02-02 · definitief, Rechtbank Overijssel
- Deutsche Wohnen: boete aan een rechtspersoon vereist geen aanwijsbare natuurlijke persoon, maar wel schuld
2023-12-05 · definitief, Hof van Justitie van de EU (Grote kamer), Deutsche Wohnen SE tegen Staatsanwaltschaft Berlin
- WhatsApp tegen EDPB: bindend geschillenbesluit van de EDPB is rechtstreeks aanvechtbaar bij de EU-rechter
2026-02-10 · definitief, Hof van Justitie van de EU (Grote kamer), WhatsApp Ireland Ltd tegen Europees Comité voor gegevensbescherming (EDPB)
Richtsnoeren8 van 10
- Richtsnoeren 05/2020 over toestemming onder Verordening 2016/679
2020-05-04 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren 02/2026 over anonimisering
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
- Opinie 28/2024 over bepaalde gegevensbeschermingsaspecten van de verwerking van persoonsgegevens in het kader van AI-modellen
2024-12-17 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in de AVG
2021-07-07 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren 03/2026 over webscraping in het kader van generatieve AI
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
- Autoriteit Persoonsgegevens publiceert position paper over Omnibus Digitaal en Omnibus AI
2026-01-13 · definitief, Autoriteit Persoonsgegevens
- Richtsnoeren 01/2025 over pseudonimisering
2025-01-16 · aangenomen, European Data Protection Board (EDPB)
- Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
Handhaving en boetes
- Tien gemeenten beboet (totaal 250.000 euro) voor illegale dossiers over islamitische inwoners
2026-02-03 · definitief, Autoriteit Persoonsgegevens
- Coolblue krijgt in bezwaar boete van 40.000 euro voor cookies zonder toestemming
2024-12-23 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Formele waarschuwing aan minister van OCW om oorlogsarchief CABR niet online doorzoekbaar te maken
2024-11-26 · definitief, Autoriteit Persoonsgegevens
- Clearview AI: boete van 30,5 miljoen euro en dwangsommen voor illegale gezichtendatabase
2024-05-16 · definitief, Autoriteit Persoonsgegevens
Wetgeving in beweging6 van 10
- Raad: Iers voorzitterschap zet onderhandelingen voort met herzien compromis, Antici-groep 11 september 2026
2026-09-11 · in onderhandeling, Raad van de Europese Unie, Iers voorzitterschap
- Voorstel: relatieve definitie van persoonsgegevens (artikel 4, punt 1 AVG)
2025-11-19 · voorstel, Europese Commissie
- Voorstel: uitzondering voor incidentele bijzondere persoonsgegevens bij AI (artikel 9, lid 2, onder k, en lid 5 AVG)
2025-11-19 · voorstel, Europese Commissie
- Europees Parlement: gezamenlijk ontwerpverslag ITRE-LIBE, amendementen ingediend, nog geen commissiestemming
2026-06-22 · in onderhandeling, Europees Parlement, commissies ITRE en LIBE (gezamenlijke commissie)
- Voorstel: uitzondering voor biometrische verificatie onder eigen controle (artikel 9, lid 2, onder l AVG)
2025-11-19 · voorstel, Europese Commissie
- Voorstel: uitvoeringshandelingen over wanneer gepseudonimiseerde data geen persoonsgegevens meer zijn (nieuw artikel 41a AVG)
2025-11-19 · voorstel, Europese Commissie
Analyses
- De concept-richtsnoeren voor high-risk classificatie: de twee routes onder artikel 6 uitgelegd
2026-06-13
- Digital Omnibus en het uitstel van de high-risk verplichtingen naar december 2027: wat verandert en wat blijft gelden
2026-06-13
- Commission guidelines voor high-risk AI: hoe het filter van Artikel 6(3) werkt
2026-05-20