Uitspraken

T-Mobile heeft aangevoerd dat T-Mobile niet-ontvankelijk moet worden verklaard in zijn verzoeken onder A en D omdat dit vorderingen betreft die volgens T-Mobile met een dagvaarding moeten worden ingeleid.

Voor zover dat in dit geval had moeten gebeuren – de rechtbank oordeelt daar hieronder over – leidt dat niet tot het oordeel dat [verzoeker] in die vorderingen niet-ontvankelijk is, maar zal de rechtbank zo nodig toepassing moeten geven aan het bepaalde in art. 69 Wetboek van Burgerlijke Rechtsvordering (Rv) en [verzoeker] de mogelijkheid moeten bieden het verkeerd inleiden van de procedure te herstellen voor zover het die vorderingen betreft.

De rechtbank stelt bij de verdere beoordeling het volgende voorop. Het gaat in deze procedure om de vraag of op T-Mobile een plicht rust om in het kader van de AVG bepaalde informatie te verstrekken c.q. antwoord te geven op bepaalde vragen.

De rechtbank oordeelt in deze procedure niet over de juistheid van eventueel door T-Mobile nog te verstrekken informatie.

De vraag of T-Mobile al dan niet (ook) uit eigen commerciële overwegingen heeft deelgenomen aan de pilot van het CBS (zie het hierboven geciteerde krantenartikel en randnummer 1.3 van de spreeknotities van [verzoeker] ) ligt niet in deze procedure ter beantwoording voor en in zoverre ook niet de juistheid van eventueel door T-Mobile te geven antwoorden op vragen naar bijvoorbeeld de verwerkingsdoeleinden en/of de rechtsgronden van de verwerking.

De verzoeken onder B en C

Tussen partijen is niet in geschil dat T-Mobile (in het verleden) persoonsgegevens zoals bedoeld in art. 4 lid 1 AVG van [verzoeker] heeft verwerkt, en dat T-Mobile verwerkingsverantwoordelijke is zoals bedoeld in lid 7 van dat artikel en [verzoeker] is aan te merken als betrokkene in de zin van art. 15 lid 1 AVG.

Ook is tussen partijen niet in geschil dat het [verzoeker] in deze procedure niet gaat om de verwerking van zijn persoonsgegevens voor zover dat nodig is om uitvoering te geven aan de overeenkomst tussen partijen (met inbegrip van de maandelijkse facturatie).

Het gaat [verzoeker] om de verwerking van zijn persoonsgegevens door T-Mobile ten behoeve van de pilot met het CBS.

1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

a) de verwerkingsdoeleinden;

b) de betrokken categorieën van persoonsgegevens;

c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;

e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het

recht tegen die verwerking bezwaar te maken;

f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;

g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;

h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de

doorgifte.

3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.

“Aldus ontvang ik graag van u – vanwege artikel 26 lid 2 AVG maar ook, voor zover nodig, artikelen 12 t/m 15 AVG in ieder geval informatie over:

 de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn (of worden verwerkt),

 de categorieën van persoonsgegevens die zijn (of worden) verwerkt;

 de rechtsgrond voor de verwerkingen, inclusief informatie over de gerechtvaardigde belangen van de verwerkingsverantwoordelijken indien de ‘sub f’ rechtsgrond van toepassing is.

 de (beoogde) ontvangers aan wie de persoonsgegevens zijn (of worden) verstrekt;

 de periode waarin de gegevens zijn (of worden) verwerkt c.q. opgeslagen;

 het bestaan van geautomatiseerde besluitvorming, waaronder begrepen de in artikel 22 lid 1 en 4 AVG bedoelde profilering alsook nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerkingen voor mij als betrokkene;

 alle beschikbare informatie over de (beoogde) bron en/of bronnen waar de persoonsgegevens vandaan zijn (of zouden zijn) gekomen;

 of de persoonsgegevens zijn (of worden) verwerkt in een derde land, en zo ja – welke passende waarborgen er zijn getroffen ex artikel 46 AVG inzake internationale doorgifte.

Daarnaast verzoek ik u mij alle overige relevante informatie te verschaffen, waaronder duidelijke en volledige informatie over de verwerkingen gerelateerd aan de verschillende fasen van de (beoogde) gegevensverwerking en de rollen van de hiermee gemoeide actoren, zoals TMNL en het CBS.”

en

“Daarnaast doe ik een beroep op mijn recht op inzage in de over mij verwerkte gegevens. Meer specifiek verzoek ik inzage te verkrijgen in de persoonsgegevens die op mij betrekking hebben en die zijn verwerkt in het kader van de samenwerking tussen TMNL en het CBS.”

““verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;”

““pseudonimisering”: het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld;”

De rechtbank is van oordeel dat T-Mobile in het kader van de pilot met het CBS persoonsgegevens heeft verwerkt, al was het maar door T-Mobile ter beschikking staande locatiegegevens van klanten te anonimiseren en onder te brengen in “geanonimiseerde en geaggregeerde bewegingspatronen” die aan zij het CBS ter beschikking heeft gesteld.

Ook het al dan niet selecteren van persoonsgegevens om al dan niet opgenomen te worden in de aan het CBS ter beschikking te stellen datasets betreft het verwerken van de persoonsgegevens zoals bedoeld onder de AVG.

Tot nu toe is onduidelijk gebleven of T-Mobile gegevens van al haar klanten met een mobiele telefoonabonnement en van wie zij (door het gebruiken van de mobiele telefoon) locatiegegevens in haar bezit heeft gekregen heeft gebruikt voor de dataset of dat hierin een beperking is aangebracht.

De rechtbank is voorts van oordeel dat T-Mobile onvoldoende aannemelijk heeft gemaakt dat zij in het kader van de pilot geen persoonsgegevens van [verzoeker] zou hebben verwerkt.

T-Mobile heeft ter zitting nog betoogd dat uit de tekst van artikel 15 lid 1 AVG volgt dat T-Mobile niet verplicht is tot het verstrekken van informatie over in het verleden verwerkte (gepseudonimiseerde) persoonsgegevens.

Deze lezing van art. 15 AVG getuigt van een onjuiste rechtsopvatting.

Dit betekent dat T-Mobile op grond van de AVG aan [verzoeker] de informatie moet geven zoals bedoeld in artikel 15 lid 1 onder a, b, c, d, g, h AVG en in art. 26 lid 2 AVG.

In dat verband zal T-Mobile in ieder geval aan [verzoeker] de precieze aard (en herkomst) moeten duiden van de persoonsgegevens die in het kader van de pilot met het CBS door haar zijn verwerkt (bijvoorbeeld locatiegegevens aan de hand van GPS- of andere gebruikelijke coördinaten, IMSI-nummers enzovoorts).

Simpel gesteld zal T-Mobile op transparante wijze inzichtelijk moeten maken welke persoonsgegevens zij heeft verwerkt ten behoeve van de aan het CBS ter beschikking gestelde datasets en waar deze gegevens precies vandaan kwamen. T-Mobile zal als vormgever van de datasets (nog) moeten weten welke soort (persoons)gegevens in de datasets zijn c.q. waren opgenomen.

In zoverre zal de rechtbank het verzoek van [verzoeker] voor zover dat gebaseerd is op het bepaalde in artikel 15 AVG toewijzen.

T-Mobile stelt dat zij de data die zij in het kader van de pilot met het CBS heeft geanonimiseerd en daarna ter beschikking heeft gesteld van het CBS onder meer vanwege wettelijke verplichtingen heeft gewist en niet meer in haar bezit heeft en dat zij dus ook die persoonsgegevens zelf geen inzage meer kan geven

[verzoeker] heeft aangevoerd dat T-Mobile daarvan geen bewijs heeft overgelegd, bijvoorbeeld in de vorm van log-gegevens of verklaringen van IT-auditors en houdt het voor mogelijk dat de datasets nog steeds ergens in de it-infrastructuur of daarbuiten zijn opgeslagen.

De rechtbank zal in dit verband T-Mobile in de gelegenheid stellen ter zake een verklaring van haar directie over te leggen, bijvoorbeeld – door haar directeur IT & Technology en/of haar directeur Juridische Zaken, Regelgeving en Public Affairs (zie: https://www.t-mobile.nl/over-ons/organisatie) en beslissing op dit punt aanhouden.

De verzoeken onder A en D

De rechtbank zal eerst bezien of de verzoeken onder A en D in het kader van deze procedure kunnen worden beoordeld. T-Mobile heeft ten eerste aangevoerd dat deze verzoeken thuishoren in een dagvaardingsprocedure, omdat zij niet onder de reikwijdte van art. 35 UAVG vallen en dat de wetgever nergens heeft bepaald dat een vordering tot nakoming van de informatieverplichtingen bedoeld in art. 12 tot en met 14 en art. 26 lid 2 AVG ook door middel van een verzoekschrift kan worden ingeleid. Het wel meenemen van die verzoeken in de onderhavige procedure is volgens T-Mobile in strijd met het legaliteitsbeginsel omdat de verzoekschriftprocedurerechter daartoe de bevoegdheid mist. Een dagvaardingsprocedure leidt volgens T-Mobile niet tot strijd met de Rewe-beginselen (ECLI:EU:C:1976:188). Verder heeft T-Mobile aangevoerd dat het relatief eenvoudig is om vast te stellen of een verwerkingsverantwoordelijke gehoor heeft gegeven aan een verzoek om inzage, maar geldt dat niet voor verdergaande vorderingen op grond van de AVG. Die zouden volgens T-Mobile al snel uitvoerig en complex zijn. Vorderingen op grond van artikel 13 en 14 AVG zijn dergelijke vorderingen, aldus T-Mobile.

[verzoeker] heeft in zijn verzoekschrift gesteld en ter zitting herhaald dat het bepaalde in art. 35 UAVG eveneens dient te gelden voor verzoeken die (deels) gebaseerd zijn op andere artikelen van de AVG, voor zover die verzoeken betrekking hebben op de uitoefening van de rechten van betrokkenen zoals [verzoeker] . Zou dit niet het geval zijn, dan is het gevolg aldus [verzoeker] , dat hij een separate procedure aanhangig dient te maken. Dit is volgens [verzoeker] ongewenst gelet op het hoge beschermingsniveau dat de AVG en daarmee ook de UAVG aan betrokkenen toekent, alsook om proceseconomische redenen. Ter zitting heeft [verzoeker] toegelicht dat de door hem gevraagde informatie betrekkelijk eenvoudig door T-Mobile kan worden gegeven.

“Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet.”

“De rechtbank is met [verzoekers] van oordeel, dat ook naar huidig recht, ondanks het feit dat artikel 82 AVG niet is genoemd in artikel 35 UAVG, niet uitgesloten is dat (materiële en immateriële) schadevergoeding ex artikel 82 AVG – die blijkens punt 146 van de considerans bij de AVG volledig en daadwerkelijk moet zijn –, indien deze wordt gevraagd bij hetzelfde verzoekschrift dat het verzoek ex artikel 35 UAVG bevat, in die procedure ook behandeld en toegekend kan worden. Dat neemt niet weg dat, zoals ook uit de onder 2.8 genoemde beschikking blijkt, deze mogelijkheid is gegeven, omdat de oorspronkelijke reden om dat niet mogelijk te maken (te weten dat de bewijsregeling naar toenmalig recht van de verzoekschriftprocedure hierop niet was afgestemd) intussen was vervallen door invoering van (het huidige) artikel 284 lid 1 Rv, waarin is bepaald dat het bewijsrecht van de dagvaardingsprocedure ook in de verzoekschriftprocedure van toepassing is. Daarbij past de kanttekening dat het slot van die bepaling luidt: “tenzij de aard van de zaak zich hiertegen verzet”. Dit is met name van belang gezien hetgeen hiervoor is overwogen over de procedure ex artikel 35 UAVG dat deze snel en eenvoudig moet verlopen, terwijl begroting van schade doorgaans niet snel en eenvoudig geschiedt. Dit brengt de rechtbank tot het oordeel dat het verzoek tot vergoeding van schade in een verzoekschriftprocedure ex artikel 35 UAVG alleen kan worden behandeld voor zover schade is geleden als gevolg van een (vaststaande of eenvoudig vast te stellen) rechtstreekse inbreuk op een of meer bepalingen van de AVG, deze schade niet in een verder verwijderd verband hiermee staat en eenvoudig valt vast te stellen. Het zal dan dikwijls gaan om vergoeding van kosten die verzoeker heeft gemaakt als gevolg van met de bepalingen van de AVG strijdige handelingen van de verwerker of verwerkingsverantwoordelijke, zoals de rechtspraak tot nu toe ook uitwijst. Vergoeding van inkomensschade zal hier in de regel buiten vallen, evenals, zoals hier eveneens verzocht, vergoeding van overige schade als gevolg van deactivering van het Uber-account van verzoekers, nog daargelaten dat dit in deze zaak mogelijk naar ander recht dan het Nederlandse beoordeeld dient te worden. Hiervoor blijft de gewone (dagvaardings)procedure open staan.”

De rechtbank sluit zich aan bij de hiervoor weergegeven overwegingen en vindt dat gezien deze overwegingen moet worden geoordeeld dat ook de verzoeken zoals [verzoeker] deze onder A en D heeft gedaan in beginsel kunnen worden meegenomen in een procedure op de voet van art. 35 UAVG.

Het gaat anders dan T-Mobile aanvoert om het nakomen van relatief eenvoudige, maar in het licht van de AVG essentiële informatieverplichtingen die op grond van de AVG op T-Mobile (kunnen) rusten.

De verzoeken onder A en D

T-Mobile heeft erop gewezen dat [verzoeker] kennis heeft genomen van het privacy-statement van T-Mobile, het persstatement en de overeenkomst tussen T-Mobile en het CBS.

[verzoeker] heeft in zijn verzoekschrift gesteld dat de overeenkomst waar het gaat om het bepaalde in artikel 26 lid 2 AVG niet althans, niet geheel de informatie bevat die T-Mobile aan hem moet verschaffen. Volgens [verzoeker] bevat de overeenkomst geen informatie over de gegevens die de verwerkingsverantwoordelijke(n) moet(en) verstrekken op grond van artikelen 13 en 14 AVG, waaronder begrepen de doelen van de gegevensverwerkingen, bewaartermijnen, verstrekkingen aan derde-partijen. Ook blijkt uit de overeenkomst niet hoe de onderlinge verantwoordelijkheid is verdeeld, hetgeen volgens [verzoeker] neerkomt op het uitleg over de fases van de gegevensverwerking en de hierbij betrokken partijen.

“Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken.”

[verzoeker] heeft gemotiveerd gesteld dat T-Mobile en het CBS gezamenlijke verwerkingsverantwoordelijken zijn en T-Mobile heeft dat niet betwist.

[verzoeker] noch T-Mobile heeft de overeenkomst tussen T-Mobile en het CBS in het geding gebracht. De rechtbank heeft vastgesteld dat deze overeenkomst nog vindbaar is op de website van T-Mobile (zie: https://www.t-mobile.nl/company/media/pdf/Overeenkomst %20pilot%20CBS%20T-Mobile.pdf ), maar het is niet aan de rechtbank deze overeenkomst eigenstandig te beoordelen in het licht van het bepaalde in art. 13, 14 en 26 AVG.

De rechtbank zal T-Mobile in de gelegenheid stellen de overeenkomst alsnog in het geding te brengen en toe te lichten waar in die overeenkomst de wezenlijke inhoud van de onderlinge regeling bedoeld in art. 26 AVG is terug te vinden. De rechtbank wijst T-Mobile erop dat op grond van art. 12 AVG de aan een betrokkene te verstrekken informatie

in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in

duidelijke en eenvoudige taal ter beschikking moeten stellen. Een zakelijke overeenkomst tussen twee rechtspersonen zal mogelijk niet aan die norm voldoen. Daaraan doet niet af dat [verzoeker] advocaat is. [verzoeker] zal daarna in de gelegenheid worden gesteld daarop te reageren.