ECLI:NL:GHAMS:2023:793 text/xml public 2025-03-22T06:42:40 2023-04-03 Raad voor de Rechtspraak nl Gerechtshof Amsterdam 2023-04-04 200.295.742/01 Uitspraak Hoger beroep NL Amsterdam Civiel recht
Rechtspraak.nl JAR 2023/136 met annotatie van mr. C.M. Jakimowicz Prg. 2023/151 JBP 2023/76
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:GHAMS:2023:793 text/html public 2023-04-03T13:47:15 2023-04-04 Raad voor de Rechtspraak nl ECLI:NL:GHAMS:2023:793 Gerechtshof Amsterdam , 04-04-2023 / 200.295.742/01
Verzoek van Uber chauffeurs aan Uber om informatie als bedoeld in artikel 15 lid 1, sub h) AVG (informatie over het bestaan van geautomatiseerde besluitvorming in de zin van artikel 22 AVG) nadat hun accounts door Uber waren gedeactiveerd; reikwijdte van het informatierecht als bedoeld in artikel 15 lid 1, sub h), AVG. Zijn de deactiveringsbesluiten uitsluitend gebaseerd op geautomatiseerde verwerking? Kan Uber zich op een uitzondering op het door de chauffeurs ingeroepen informatierecht beroepen? Op welke wijze moet aan het informatieverzoek gevolg worden gegeven?
Zie ook de beschikkingen van gelijke datum in de zaken 200.295.747/01 en 200.295.806/01.
GERECHTSHOF AMSTERDAM
afdeling civiel recht en belastingrecht, team I
zaaknummer : 200.295.742/01
zaak-/rekestnummer rechtbank Amsterdam : C/13/692003 / HA RK 20-302
beschikking van de meervoudige burgerlijke kamer van 4 april 2023
inzake
1 [appellant sub 1] ,
wonend te [plaats A] , Verenigd Koninkrijk,
2. [appellant sub 2] ,
wonend te [plaats B] , Verenigd Koninkrijk,
3. [appellant sub 3] ,
wonend te [plaats C] , Verenigd Koninkrijk,
4. [appellant sub 4] ,
wonend te [plaats E] , Portugal,
appellanten in principaal appel,
geïntimeerden in incidenteel appel,
advocaat: mr. A.H. Ekker te Amsterdam,
tegen
UBER B.V.,
gevestigd te Amsterdam,
geïntimeerde in principaal appel,
appellante in incidenteel appel,
advocaat: mr G.H. Potjewijd te Amsterdam.
1 Het geding in hoger beroep
Partijen worden hierna aangeduid als [appellant sub 1] c.s. en Uber. [appellant sub 1] c.s. worden ieder apart aangeduid als [appellant sub 1] , [appellant sub 2] , [appellant sub 3] en [appellant sub 4] .
[appellant sub 1] c.s. zijn bij beroepschrift, tevens houdende een (voorwaardelijke) incidentele vordering tot verstrekking van afschrift van stukken op de voet van artikel 843a Wetboek van Rechtsvordering (hierna: Rv), ontvangen ter griffie van het hof op 10 juni 2021, onder aanvoering van twee grieven, in hoger beroep gekomen van een (eind)beschikking die de rechtbank Amsterdam (hierna: de rechtbank) op 11 maart 2021 heeft gegeven onder bovenvermeld zaak- /rekestnummer (hierna: de bestreden eindbeschikking) in een geschil tussen [appellant sub 1] c.s. als verzoekers en Uber als verweerster.
Het beroepschrift, zoals naderhand gerectificeerd, strekt ertoe, onder wijziging van het verzoek, dat het hof:
- de bestreden eindbeschikking zal vernietigen en, uitvoerbaar bij voorraad,
- Uber zal bevelen om, op straffe van een dwangsom van € 4.000,00 per dag of deel daarvan dat Uber in gebreke blijft, binnen een maand na betekening van de beschikking de verzoeken van [appellant sub 1] c.s. op grond van artikel 15 lid 1, sub h), van de Algemene Verordening Gegevensbescherming (hierna: AVG) alsnog toe te wijzen, alsmede
- Uber zal bevelen om aan hen in een gangbare elektronische vorm inzage te geven in het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22 leden 1 en 4 AVG bedoelde profilering, en ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [appellant sub 1] c.s.,
- zal beslissen over de proceskosten.
[appellant sub 1] c.s. hebben in het (voorwaardelijk) incident het hof verzocht Uber op grond van artikel 843a Rv te bevelen inzage, afschrift of uittreksel over te leggen van de bij Uber berustende bescheiden en op een gegevensdrager aangebrachte gegevens waarin Uber de mate van menselijke tussenkomst in het besluitvormingsproces en de fase waarin deze plaatsvond heeft vastgesteld en geregistreerd.
Op 13 oktober 2021 is ter griffie van het hof ontvangen, van de zijde van Uber, een verweerschrift in voorwaardelijk incident, tevens verweerschrift in de hoofzaak en tevens beroepschrift in incidenteel hoger beroep. Het verweerschrift in de hoofdzaak strekt tot bekrachtiging van de bestreden eindbeschikking en tot afwijzing van de verzoeken van [appellant sub 1] c.s.
Het beroepschrift in het incidenteel hoger beroep, waarin Uber drie grieven heeft aangevoerd, strekt tot (gedeeltelijke) vernietiging van de bestreden eindbeschikking, alsmede tot (gedeeltelijke) vernietiging van de tussenbeschikking die de rechtbank op 3 december 2020 in deze zaak heeft gegeven (hierna: de bestreden tussenbeschikking) en tot niet-ontvankelijkverklaring van [appellant sub 2] en [appellant sub 4] in hun verzoeken, althans tot afwijzing van hun verzoeken en tot bekrachtiging voor het overige.
In het voorwaardelijk incident heeft Uber verzocht om afwijzing van het verzoek van [appellant sub 1] c.s.
In principaal en incidenteel hoger beroep, alsmede in het voorwaardelijk incident heeft Uber tot slot verzocht dat [appellant sub 1] c.s. zal worden veroordeeld in de kosten van het geding in beide instanties respectievelijk het incident, met nakosten en rente.
Op 23 december 2021 is ter griffie een verweerschrift in incidenteel hoger beroep van [appellant sub 1] c.s. ingekomen dat strekt tot verwerping van de grieven van Uber, met veroordeling van Uber in de kosten van het geding in incidenteel hoger beroep.
De mondelinge behandeling van het hoger beroep heeft plaatsgevonden op 18 mei 2022. Bij die gelegenheid zijn verschenen, namens [appellant sub 1] c.s., [A] , bijgestaan door mr. Ekker voornoemd en voorts, namens Uber, [B] , bijgestaan door mr. A.M. Arnbak en mr. T. Nijenhuis, advocaten te Amsterdam. Voornoemde advocaten hebben namens partijen het woord gevoerd, ieder aan de hand van pleitnotities die zijn overgelegd. Partijen hebben enige vragen van het hof beantwoord.
Partijen hebben nog nadere stukken ingebracht en Uber een akte inhoudende een correctie van een kennelijke schrijffout in haar beroepschrift. Tegen de indiening van de producties 22 en 23 van de zijde van Uber is bezwaar gemaakt door [appellant sub 1] c.s. Het hof heeft deze producties geweigerd.
Uber heeft in hoger beroep bewijs aangeboden.
Vervolgens is de behandeling van de zaak gesloten en is uitspraak bepaald.
2 Feiten
De rechtbank heeft in de bestreden eindbeschikking onder 2 (2.1 t/m 2.6) de feiten vermeld die zij tot uitgangspunt heeft genomen. Het hof neemt die feiten tot uitgangspunt, aangevuld met andere feiten die als enerzijds gesteld en anderzijds niet dan wel onvoldoende betwist zijn komen vast te staan. Het gaat in deze zaak om het volgende.
2.1 Uber is onderdeel van een internationaal opererend concern dat door middel van een digitaal platform online diensten in de vervoersector aanbiedt. Uber koppelt passagiers via applicaties aan chauffeurs. Passagiers maken gebruik van de Uber Rider app, chauffeurs van de Uber Driver app.
2.2
[appellant sub 1] c.s. zijn werkzaam geweest als Uber-chauffeurs waarbij zij gebruik maakten van de diensten van Uber via de Driver app.
2.3 Uber heeft een ‘Privacy Notice’ (hierna: de privacyverklaring) opgesteld waarin zij algemene informatie over verwerking van persoonsgegevens heeft opgenomen. In deze privacyverklaring (in de versie van 29 juli 2020) is onder meer het volgende vermeld:
2. Safety and security. We use personal data to help maintain the safety, security and integrity of our services and users. This includes:
(…) Using device, location, profile, usage, an other data to prevent, detect, and combat fraud or unsafe activities
Using user ratings and feedback to encourage compliance with our Community Guidelines and as grounds for deactivating drivers and delivery partners with low ratings or who otherwise violated such guidelines in certain countries.
(…)
9. Automated decision-making
We use personal data to make automated decisions relating to use of our services. This includes: (…)
Deactivating users who are identified as having engaged in fraud or activities that may otherwise harm Uber, its users, and others. In some cases, such as when a user is determined to be abusing Uber’s referral program, such behavior may result in automatic deactivation.
2.4
Verder hanteert Uber zogenaamde ‘Community Guidelines’. Deze luiden, voor zover hier van belang, als volgt:
Fraud
Deception can weaken trust and also be dangerous. Intentionally falsifying information or assuming someone else’s identity (or allowing someone else to assume your identity), for example when signing in or undergoing a security check, is not allowed. It is important to provide accurate information when reporting incidents, creating and accessing your Uber accounts, disputing charges or fees, and requesting credits. Only request fees, charges or refunds that you’re entitled to, and use offers and promotions only as intended. Don’t knowingly complete invalid transactions. (…)
How Uber enforces our guidelines
Losing access to the Uber apps may be disruptive to your life or to your business. That’s why we believe it is important to have clear standards that explain the circumstances in which you may lose access to the Uber apps. If you violate any applicable terms of use, terms of the contractual agreement you agreed to when signing up for an account with Uber or any of these Community Guidelines, you can lose access to the Uber apps. (…)
2.5
[appellant sub 1] c.s. hebben ieder afzonderlijk een bericht van Uber ontvangen met de mededeling dat hun Uber Driver account is gedeactiveerd, omdat Uber heeft vastgesteld dat zij de toepasselijke contractuele voorwaarden van Uber hebben geschonden doordat zij zich schuldig hebben gemaakt aan fraude. [appellant sub 3] , [appellant sub 2] , [appellant sub 4] en [appellant sub 1] hebben dit bericht ontvangen op respectievelijk 20 juni 2018, 16 juli 2019, 2 juli 2020 en op 4 augustus 2020.
Het bericht van 20 juni 2018 aan [appellant sub 3] luidt als volgt:
After careful review of your account, we have previously confirmed behavior in breach of Uber’s partner agreement, specifically the installation and use of software which has the intention or effect of manipulating the Driver App and your account has therefore been deactivated. (…) this decision is final. We will not be able to reactivate your Partner account.
Het bericht van 16 juli 2019 aan [appellant sub 2] luidt als volgt:
Hi [appellant sub 2] , [hof: [appellant sub 2] ]
We would like to inform you that your account has been flagged for violation of Uber’s terms and policies. Upon review of our recent trips, we noticed a number of irregular trips associated with fraudulent activities. (…)
Your account has been flagged for inappropriate use and has therefore been deactivated. Unfortunately, this deactivation is permanent and irreversible. (..)
Het bericht van 2 juli 2020 aan [appellant sub 4] luidt als volgt:
We’d like to inform you that your account has been flagged for violation of Uber’s terms and policies. Following a review of your recent trips, we noticed numerous irregularities associated with fraudulent activities. (…)
Your account has been flagged for inappropriate use and has therefore been deactivated. Unfortunately, this deactivation is permanent and irreversible. (..)
Het bericht van 4 augustus 2020 aan [appellant sub 1] luidt onder meer als volgt:
Your account has been deactivated
Dear [appellant sub 1] ,
We are writing to confirm that pursuant to (…) the Driver Terms, we exercised our right to terminate the Driver Terms. You have not met your obligations as described at clause 6 of the Driver Terms (…)
(…) the partnership with Uber was ended , and as such you are no longer able to use any Driver App or Driver ID with immediate effect. (…)
Unfortunately this is a final decision, and you will not be granted the opportunity to appeal. (…)
In certain circumstances we may also notify the police if your activity could constitute a criminal offence.
2.6 Vervolgens hebben [appellant sub 2] , [appellant sub 4] en [appellant sub 1] ieder afzonderlijk op verschillende data een bericht van Uber ontvangen waarin de volgende tekst is opgenomen:
Upon review of your account, we noticed a continued pattern of improper use of the Uber application.
(…)
We are not able to go into great details but the examples of improper use include using your rider and driver account at the same time, creating duplicate accounts, accepting trips without the intention of completing them, claiming false fees or charges, the installation, and use of software which has the intention or effect of manipulating the Driver App and trip details.
Due to the above, we made the decision to terminate our partnership. As a result, you will no longer be able to provide independent services via the Uber app.
2.7 De advocaat van [appellant sub 1] c.s. heeft bij brief van 9 september 2020 Uber onder meer gesommeerd de deactivering van de accounts van [appellant sub 1] c.s. ongedaan te maken en [appellant sub 1] c.s. in staat te stellen hun werkzaamheden te hervatten. Daarnaast bevat deze brief onder meer het verzoek aan Uber om [appellant sub 1] c.s. ‘conform art. 15 AVG inzage te geven in de verwerking van hen betreffende persoonsgegevens en de overige in die bepaling genoemde informatie’.
2.8 Uber heeft bij e-mails van 18 september 2020 en 25 september 2020 aan (de advocaat van) [appellant sub 1] c.s. meegedeeld geen gegronde redenen te zien om de besluiten tot deactivering van de accounts te herroepen. Daarnaast wordt in deze e-mails geantwoord dat de besluiten tot deactivering van de accounts van [appellant sub 1] , [appellant sub 4] , [appellant sub 2] en [appellant sub 3] niet uitsluitend op basis van geautomatiseerde verwerking van persoonsgegevens zijn genomen.
3 Beoordeling
Wettelijk kader
3.1 De voor dit geschil relevante artikelen uit de AVG luiden als volgt:
Artikel 4 Definities
(…)
4) „profilering”: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen; (…)
Artikel 15 Recht van inzage van de betrokkene
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
(…)
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
2. (…)
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. (…)
4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.
Artikel 22 Geautomatiseerde individuele besluitvorming, waaronder profilering
1. De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.
2. Lid 1 geldt niet indien het besluit:
a. noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke;
is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of
berust op de uitdrukkelijke toestemming van de betrokkene.
3. In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.
4. De in lid 2 bedoelde besluiten worden niet gebaseerd op de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 9, lid 2, punt a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen.
Artikel 23 Beperkingen
1. De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 (…) kan, voor zover de bepalingen van die artikelen overeenstemmen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 20, worden beperkt door middel van Unierechtelijke of lidstaatrechtelijke bepalingen die op de verwerkingsverantwoordelijke of de verwerker van toepassing zijn, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:
(…)
i) de bescherming van de betrokkene of van de rechten en vrijheden van anderen; (…)
Overweging 63 uit de preambule van de AVG luidt, voor zover hier van belang, als volgt:
Elke betrokkene dient dan ook het recht te hebben, te weten en te worden meegedeeld voor welke doeleinden de persoonsgegevens worden verwerkt, indien mogelijk hoe lang zij worden bewaard, wie de persoonsgegevens ontvangt, welke logica er ten grondslag ligt aan een eventuele automatische verwerking van de persoonsgegevens en, ten minste wanneer de verwerking op profilering is gebaseerd, wat de gevolgen van een dergelijke verwerking zijn. (…) Dat recht mag geen afbreuk doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden. (…)
3.2 De voor dit geschil relevante bepalingen uit de Uitvoeringswet Algemene verordening gegevensbescherming (hierna: UAVG), luiden als volgt:
Artikel 34 Toepasselijkheid Algemene wet bestuursrecht bij beslissing van bestuursorganen
Een schriftelijke beslissing op een verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening wordt genomen binnen de in artikel 12, derde lid, van de verordening genoemde termijnen (…)
Artikel 35 Toepasselijkheid burgerlijk recht bij beslissing van niet-bestuursorganen
1. Indien de beslissing op een verzoek als bedoeld in artikel 34 is genomen door een ander dan een bestuursorgaan, kan de belanghebbende zich tot de rechtbank wenden met het schriftelijk verzoek de verwerkingsverantwoordelijke te bevelen het verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening alsnog toe of af te wijzen.
2. Het verzoekschrift wordt ingediend binnen zes weken na ontvangst van het antwoord van de verwerkingsverantwoordelijke. Indien de verwerkingsverantwoordelijke niet binnen de in artikel 12, derde lid, van de verordening genoemde termijnen heeft geantwoord, is de indiening van het verzoekschrift niet aan een termijn gebonden.
3. De rechtbank wijst het verzoek toe, voor zover zij dit gegrond oordeelt. Alvorens de rechtbank beslist, stelt zij zo nodig de belanghebbenden in de gelegenheid hun zienswijze naar voren te brengen.
(…)
5. De derde afdeling van de vijfde titel van het Tweede Boek van het Wetboek van Burgerlijke Rechtsvordering is van overeenkomstige toepassing. [hof: derde afdeling: Van dwangsom. Art. 611a t/m 611 i Rv.]
6. De rechtbank kan partijen en anderen verzoeken binnen een door haar te bepalen termijn schriftelijke inlichtingen te geven en onder hen berustende stukken in te zenden. De verwerkingsverantwoordelijke en belanghebbende zijn verplicht aan dit verzoek te voldoen. De artikelen 8:45, tweede en derde lid, en 8:29 van de Algemene wet bestuursrecht zijn van overeenkomstige toepassing.
Artikel 41 Uitzonderingen op rechten betrokkene en plichten verwerkingsverantwoordelijke
1. De verwerkingsverantwoordelijke kan de verplichtingen en rechten, bedoeld in de artikelen 12 tot en met 21 en artikel 34 van de verordening, buiten toepassing laten voor zover zulks noodzakelijk en evenredig is ter waarborging van:
a. (…)
i. de bescherming van de betrokkene of van de rechten en vrijheden van anderen; (…)
3.3 De Groep Gegevensbescherming Artikel 29 (thans: het Europees comité voor gegevensbescherming, in het Engels afgekort als: EDPB) heeft in 2017 richtsnoeren vastgesteld inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van Verordening (EU) 2016/679. Hoofdstuk IV, paragraaf A, van deze richtsnoeren, zoals vastgesteld op 3 oktober 2017 en laatstelijk gewijzigd en vastgesteld op 6 februari 2018, WP251rev.01 (hierna: de EDPB richtsnoeren) luidt, voor zover hier van belang, als volgt:
A. “Uitsluitend op geautomatiseerde verwerking gebaseerd besluit”
Artikel 22, lid 1 betreft besluiten die “uitsluitend” gebaseerd zijn op geautomatiseerde verwerking. Dit betekent dat er geen sprake is van menselijke tussenkomst in het besluitvormingsproces.
Voorbeeld
Een geautomatiseerd proces produceert iets wat in feite een aanbeveling betreffende een betrokkene is. Als een mens het proces beoordeelt en bij het nemen van het definitieve besluit rekening houdt met andere factoren, zou dat besluit niet “uitsluitend op geautomatiseerde verwerking” zijn.
De verwerkingsverantwoordelijke kan de bepalingen van artikel 22 niet omzeilen door menselijke tussenkomst voor te wenden. Als iemand bijvoorbeeld routinematig automatisch gegeneerde profielen toepast op personen zonder het resultaat daadwerkelijk te beïnvloeden, is dit nog steeds een uitsluitend op geautomatiseerde verwerking gebaseerd besluit.
Om daadwerkelijke menselijke tussenkomst te realiseren moet de verwerkingsverantwoordelijke ervoor zorgen dat al het toezicht op de besluitvorming zinvol is, en niet slechts een symbolische handeling vormt. Deze tussenkomst moet worden uitgevoerd door iemand die bevoegd en bekwaam is om het besluit te veranderen. Hij moet alle relevante gegevens in zijn analyse betrekken.
In het kader van zijn gegevensbeschermingseffectbeoordeling moet de verwerkingsverantwoordelijke de mate van menselijke tussenkomst in het besluitvormingsproces en de fase waarin deze plaatsvond vaststellen en registreren.
Hoofdstuk IV, paragraaf B, van de EDPB richtsnoeren luidt, voor zover hier van belang, als volgt:
B. Besluit met "rechtsgevolgen" of dat de betrokkene "anderszins in aanmerkelijke mate treft"
In de AVG wordt erkend dat geautomatiseerde besluitvorming, waaronder profilering, ernstige gevolgen kan hebben voor personen. De AVG bevat geen definitie van een besluit met "rechtsgevolgen" of van een besluit dat de betrokkene "anderszins in aanmerkelijke mate treft", maar uit de formulering blijkt duidelijk dat in artikel 22 alleen ernstige, aanzienlijke effecten worden bedoeld.
"Besluit waaraan rechtsgevolgen zijn verbonden"
Een rechtsgevolg houdt in dat het besluit, dat uitsluitend op automatische verwerking is gebaseerd, van invloed is op iemands wettelijke rechten, zoals de vrijheid van vereniging, het stemrecht en het recht om rechtsmiddelen in te stellen. Een rechtsgevolg kan ook iets zijn wat iemands juridische status of zijn rechten uit hoofde van een overeenkomst beïnvloedt. Voorbeelden van een dergelijk gevolg zijn geautomatiseerde besluiten over een persoon die leiden tot:
• beëindiging van een overeenkomst;
(…)
"Hem anderszins in aanmerkelijke mate treft"
Zelfs wanneer een besluitvormingsproces geen gevolgen heeft voor iemands wettelijke rechten, kan het toch onder het toepassingsgebied van artikel 22 vallen als er een gevolg aan verbonden is dat hem anderszins in aanmerkelijke mate treft.
Met andere woorden, zelfs wanneer er niets verandert aan zijn wettelijke rechten of plichten, kan de betrokkene toch in zodanige mate worden getroffen dat de bescherming ingevolge deze bepaling vereist is. In de AVG is het woord "anderszins" toegevoegd (niet aanwezig in artikel 15 van Richtlijn 95/46/EG) aan de formulering "hem in aanmerkelijke mate treft". De drempel voor aanmerkelijke mate moet dus vergelijkbaar zijn met de mate waarin de betrokkene wordt getroffen bij een besluit waaraan een rechtsgevolg verbonden is.
(…)
Het is moeilijk om nauwkeurig te bepalen wat als ernstig genoeg wordt beschouwd om de drempel van aanmerkelijke mate te halen. De volgende besluiten zouden echter in deze categorie kunnen vallen:
• besluiten die iemands financiële situatie treffen, zoals zijn mogelijkheid om in aanmerking te komen voor een lening;
• (…)
• besluiten waarmee iemand de toegang tot een werkgelegenheidskans wordt geweigerd of waarmee hij daarbij ernstig wordt benadeeld; (…)
Hoofdstuk IV, paragraaf E, van de EDPB richtsnoeren luidt, voor zover hier van belang, als volgt:
E. Rechten van de betrokkene
1. Artikel 13, lid 2, onder f) en artikel 14, lid 2 onder g) – recht om geinformeerde te worden
(…)
Nuttige informatie over de “onderliggende logica”
Door de groei en complexiteit van machinaal leren kan het moeilijk zijn om te begrijpen hoe een geautomatiseerd besluitvormingsproces of profilering werkt.
De verwerkingsverantwoordelijke moet eenvoudige manieren vinden om de betrokkene uit te leggen wat de achterliggende gedachte is of op grond van welke criteria het besluit is genomen. De AVG verplicht de verwerkingsverantwoordelijke nuttige informatie over de onderliggende logica te verstrekken, niet noodzakelijkerwijs een ingewikkelde toelichting over de gebruikte algoritmen of een uiteenzetting van het volledige algoritme. De verstrekte informatie moet echter volledig genoeg zijn voor de betrokkene om de redenen van het besluit te kunnen begrijpen.
Voorbeeld
Een verwerkingsverantwoordelijke maakt gebruik van kredietscores om een leningaanvraag van een persoon te beoordelen en af te wijzen. (…)
Hij verstrekt gedetailleerde informatie over de belangrijkste kenmerken die bij de besluitvorming in beschouwing worden genomen, de bron van deze informatie en het belang ervan. (…)
"Belang" en "verwachte gevolgen"
Deze begrippen duiden erop dat informatie moet worden verstrekt over de beoogde of toekomstige verwerking en over de wijze waarop de geautomatiseerde besluitvorming de betrokkene zou kunnen treffen. (…)
2 Artikel 15, lid 1, onder h) – Recht van inzage
Ingevolge artikel 15, lid 1, onder h), hebben betrokkenen het recht dezelfde informatie over uitsluitend geautomatiseerde besluitvorming, waaronder profilering, te ontvangen als vereist is krachtens artikel 13, lid 2, onder f) en artikel 14, lid 2, onder g). (…)
De verwerkingsverantwoordelijke moet de betrokkene algemene informatie verstrekken (met name over factoren die in het besluitvormingsproces in aanmerking zijn genomen, en hun respectieve "weging" op een geaggregeerd niveau) die hem ook van nut is om het besluit aan te vechten.
De procedure in eerste aanleg
3.4 In eerste aanleg hebben [appellant sub 1] c.s. verzocht, voor zover in dit hoger beroep nog van belang, om Uber, op straffe van verbeurte van een dwangsom van € 10.000,00 per dag, te bevelen om binnen een maand na betekening van de beschikking aan [appellant sub 1] c.s. in gangbare elektronische vorm inzage te geven in het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22 leden 1 en 4 AVG bedoelde profilering, en ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [appellant sub 1] c.s.
3.5 In de door Uber bestreden tussenbeschikking heeft de rechtbank overwogen (rov. 2.6) dat het verzoek van [appellant sub 1] c.s. onder IV van het petitum van het inleidend verzoekschrift zowel een verzoek tot inzage van persoonsgegevens betreft als een verzoek tot inzage in - kort gezegd - het bestaan van geautomatiseerde besluitvorming, als bedoeld in artikel 15 lid 1, sub h), gelezen in samenhang met artikel 22 AVG. Bij de bestreden eindbeschikking heeft de rechtbank Uber bevolen om aan [appellant sub 2] en [appellant sub 4] op de voet van artikel 15 AVG afschrift of inzage te verstrekken in hun persoonsgegevens voor zover die ten grondslag hebben gelegen aan het besluit tot deactivering van hun accounts, op zodanige wijze dat zij in staat zijn de juistheid en rechtmatigheid van de verwerking van hun persoonsgegevens te controleren. De rechtbank heeft het verzoek van [appellant sub 1] c.s. inzake artikel 15 lid 1, sub h), AVG afgewezen en de proceskosten tussen partijen gecompenseerd in die zin dat iedere partij de eigen kosten draagt.
Het aangepaste verzoek in hoger beroep
3.6 In hoger beroep hebben [appellant sub 1] c.s. hun verzoek gewijzigd zoals weergegeven onder 1 van dit arrest. Het hof wijst erop dat het verzoek om schadevergoeding dat [appellant sub 1] c.s. in eerste aanleg hebben gedaan en dat door de rechtbank is afgewezen geen voorwerp is van dit hoger beroep. In zoverre ligt de bestreden eindbeschikking dus niet aan het hof voor.
Verzoek om inzage in persoonsgegevens?
3.7 Het hof ziet aanleiding om eerst in te gaan op de vraag of onderdeel IV van het inleidend verzoekschrift van [appellant sub 1] c.s. moet worden opgevat als een verzoek om Uber te bevelen inzage in persoonsgegevens te verstrekken. Met grief 1 in incidenteel hoger beroep richt Uber zich tegen onder meer rov. 2.6 van de bestreden tussenbeschikking waarin de rechtbank deze vraag positief heeft beantwoord. Uber voert aan dat de rechtbank buiten de grenzen van de rechtsstrijd is getreden, omdat [appellant sub 1] c.s. in eerste aanleg enkel heeft verzocht om inzage in de in artikel 15 lid 1, sub h), AVG bedoelde informatie en niet heeft verzocht om inzage in hen betreffende persoonsgegevens . De rechtbank heeft dan ook, in strijd met artikel 24 Rv, een bevel gegeven waar [appellant sub 1] c.s. niet om hadden verzocht, aldus Uber.
3.8 Deze grief slaagt. Artikel 24 Rv bepaalt dat de rechter de zaak onderzoekt en beslist op de grondslag van hetgeen partijen aan hun vordering, verzoek of verweer ten gronde hebben gelegd, tenzij uit de wet anders voortvloeit. Het is weliswaar zo dat in het initiële verzoek van de advocaat van [appellant sub 1] c.s. van 9 september 2020 aan Uber (zie hiervoor, onder 2.7) ook verzocht is om inzage van [appellant sub 1] c.s. betreffende persoonsgegevens, maar [appellant sub 1] c.s. hebben erkend dat zij in deze verzoekschriftprocedure niet meer hebben verzocht om beoordeling van dat deel van hun initiële verzoek, maar uitsluitend om beoordeling van het informatieverzoek aangaande – kort gezegd – het bestaan van geautomatiseerde besluitvorming als bedoeld in artikel 15 lid 1, sub h), AVG. Het door de rechtbank in rov. 5.1 van de bestreden eindbeschikking gegeven bevel aan Uber om aan [appellant sub 2] en [appellant sub 4] afschrift of inzage van bepaalde persoonsgegevens te verstrekken is dan ook in strijd met artikel 24 Rv en komt voor vernietiging in aanmerking. De stelling van [appellant sub 1] c.s. dat Uber geen belang meer heeft bij beoordeling van deze grief - omdat Uber inmiddels al inzage zou hebben verstrekt in de betreffende persoonsgegevens - gaat niet op. Uber heeft immers aangevoerd dat zij belang heeft bij een correctie van de beslissing over de proceskosten in eerste aanleg.
3.9 Grief 2 in incidenteel hoger beroep is slechts voorwaardelijk ingebracht, voor het geval grief 1 niet zou slagen. Aangezien grief 1 slaagt, hoeft grief 2 geen bespreking meer.
3.10
[appellant sub 1] c.s. komen, op hun beurt, met grief 2 in principaal hoger beroep op tegen onder meer rov. 4.28 van de bestreden eindbeschikking, waarin de rechtbank hun verzoek heeft afgewezen voor zover dat ziet op inzage van persoonsgegevens aangaande [appellant sub 1] en [appellant sub 3] .
3.11 Deze grief heeft geen succes. Zoals hiervoor in 3.8 is overwogen hebben [appellant sub 1] c.s. erkend dat zij in deze verzoekschriftprocedure niet hebben verzocht om beoordeling van hun initiële verzoek om inzage in hun persoonsgegevens. Er bestaat dan ook geen grond voor een bevel aan Uber om die inzage te verstrekken, ook niet ten aanzien van [appellant sub 1] en [appellant sub 3] .
Het verzoek om informatie over het bestaan van geautomatiseerde besluitvorming
3.12
De rechtbank heeft het verzoek van [appellant sub 1] c.s. ook afgewezen voor zover hun verzoek is gebaseerd op artikel 15 lid 1, sub h), AVG (hierna aan te duiden als: het informatieverzoek), welke bepaling een recht op informatie over het bestaan van geautomatiseerde besluitvorming bevat. De rechtbank heeft daartoe het volgende overwogen (in rov. 4.24-4.26). Op grond van de door [appellant sub 1] c.s. niet betwiste toelichting die Uber heeft gegeven op haar besluitvormingsproces kan niet worden geconcludeerd dat de besluiten tot deactivering van de accounts van [appellant sub 1] c.s. uitsluitend gebaseerd zijn op geautomatiseerde verwerking. In alle gevallen is namelijk sprake geweest van betekenisvolle menselijke tussenkomst zoals bedoeld in de EDPB richtsnoeren, aldus de rechtbank. Ten aanzien van de besluiten tot tijdelijke blokkering is de rechtbank er wel van uitgegaan dat deze automatisch, zonder menselijke tussenkomst, worden genomen. De rechtbank heeft echter overwogen dat deze tijdelijke blokkade geen langdurig of blijvend effect heeft, zodat het geautomatiseerde besluit geen rechtsgevolgen heeft of de chauffeur in aanmerkelijke mate treft zoals bedoeld in de EDPB richtsnoeren. Aldus is de rechtbank tot de conclusie gekomen dat niet is gebleken dat Uber ten aanzien van [appellant sub 1] c.s. geautomatiseerde besluiten in de zin van artikel 22 lid 1 AVG heeft genomen en heeft de rechtbank het verzoek met betrekking tot het informatieverzoek (als bedoeld in artikel 15 lid 1, sub h), AVG) afgewezen.
Tegen deze afwijzing en de daaraan ten grondslag gelegde motivering komen [appellant sub 1] c.s. op met grief 1 in principaal hoger beroep.
3.13 Met deze grief voeren [appellant sub 1] c.s. onder meer aan dat zowel de zogenaamde tijdelijke blokkade als de deactivering van het account worden genomen middels geautomatiseerde besluiten en dat beide besluiten hen in aanmerkelijke mate treffen in de zin van artikel 22 lid 1 AVG. Als gevolg van de deactivering kunnen zij geen werkzaamheden meer verrichten via Uber, hetgeen leidt tot een aanzienlijke inkomstenderving en soms zelfs tot schade, omdat eerder gedane investeringen ten behoeve van de verkrijging van licenties en de aanschaf van een auto voor niets blijken te zijn geweest. Daarnaast kunnen deze besluiten leiden tot een intrekking van de taxilicentie door Transport for [plaats C] (hierna: TfL), de bevoegde toezichthouder in de transportsector in [plaats C] . Bovendien is de deactivering niet tijdelijk geweest, aangezien Uber die tot op heden niet ongedaan heeft gemaakt. [appellant sub 1] c.s. stellen verder dat er geen betekenisvolle menselijke tussenkomst heeft plaatsgevonden bij het nemen van deze geautomatiseerde besluiten.
3.14 Uber stelt zich onder meer op het standpunt dat er geen besluiten zijn genomen in de zin van artikel 22 lid 1 AVG. In dit verband voert zij aan dat besluiten tot deactivering van accounts wegens fraude worden genomen door minimaal twee medewerkers van het EMEA Operational Risk-team (hierna: het Risk-team) op basis van unanieme besluitvorming. Deze werknemers dienen zich daarbij te houden aan diverse interne protocollen, waarin onder meer de regel is opgenomen dat de medewerker van het Risk team de overige feiten en omstandigheden moet analyseren om het bestaan van fraude te bevestigen of uit te sluiten.
a) De reikwijdte van artikel 15 lid 1, sub h), AVG
3.15 Het hof zal eerst ingaan op de reikwijdte en toepassingsvoorwaarden van artikel 15 lid 1, sub h), AVG, aangezien deze bepaling de grondslag vormt van het verzoek van [appellant sub 1] c.s. Tussen partijen staat vast dat [appellant sub 1] c.s. ieder zijn aan te merken als betrokkene in de zin van artikel 4 sub 1 AVG en dat Uber in dit kader optreedt als verwerkingsverantwoordelijke in de zin van artikel 4 sub 7 AVG. Het hof merkt op dat de Nederlandse versie van artikel 15 lid 1, sub h), AVG niet helemaal duidelijk is wat betreft de daarin opgenomen verwijzing naar artikel 22 AVG. Dit is van belang, omdat het debat tussen partijen zich toespitst op de vraag of artikel 22 AVG wel van toepassing is op de besluiten die Uber t.a.v. [appellant sub 1] c.s. heeft genomen. [appellant sub 1] c.s. menen van wel en Uber meent van niet.
3.16 Naar de (Nederlandse) letter gelezen, ziet het in artikel 15 lid 1, sub h), AVG opgenomen informatierecht op elke vorm van geautomatiseerde besluitvorming, ‘met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering’, en dus bijvoorbeeld ook op besluitvorming die niet uitsluitend maar slechts gedeeltelijk gebaseerd is op geautomatiseerde besluitvorming. Echter, in de Engelse respectievelijk Franse versie van deze bepaling is het informatierecht beperkt tot ‘ the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4 )’ respectievelijk ‘l’existence d’une prise de décision auomatisée, y compris un profilage, visée a l’article 22, paragraphes 1 et 4’. Afgaande op deze teksten gaat het hof ervan uit dat het in artikel 15 lid 1, sub h), AVG vervatte informatierecht louter ziet op díe vorm van geautomatiseerde besluitvorming die is bedoeld in artikel 22 leden 1 en 4 van de AVG. Voor een dergelijke uitleg (die dus afwijkt van de letter van de Nederlandse tekst) pleit eveneens dat de verwijzing, in de Nederlandse versie van artikel 15 lid 1, sub h), AVG, naar de in artikel 22 lid 4 bedoelde profilering niet juist kan zijn, aangezien in dat vierde lid het begrip ‘profilering’ niet voorkomt. Tot slot valt voor deze uitleg steun te vinden in de EDPB richtsnoeren. In hoofdstuk IV, paragraaf E, subparagraaf 2, van die richtsnoeren is ook met zoveel woorden bepaald dat het in artikel 15 lid 1, sub h), AVG opgenomen informatierecht ziet op informatie over ‘uitsluitend geautomatiseerde besluitvorming’.
3.17 Het vorenstaande betekent dat er op de voet van artikel 15 lid 1, sub h), AVG een informatierecht bestaat voor zover de verwerkingsverantwoordelijke de betrokkene ‘onderwerpt’ aan ‘een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft’.
b) Betreft het informatieverzoek besluiten waaraan rechtsgevolgen voor [appellant sub 1] c.s. zijn verbonden of die hen anderszins in aanmerkelijke mate treffen?
3.18 Zoals blijkt uit de ‘besluiten’ die [appellant sub 1] c.s. ontvingen (hierboven weergegeven onder 2.5) heeft Uber daarin vastgesteld dat [appellant sub 1] c.s. hun contractuele verplichtingen hebben geschonden en meegedeeld dat de samenwerking met [appellant sub 1] c.s. wordt beëindigd, de accounts van [appellant sub 1] c.s. met onmiddellijke ingang zijn gedeactiveerd en dat dit definitieve en onherroepelijke besluiten zijn. Hierdoor gaat het niet slechts om een ‘tijdelijke’ blokkade, maar om een permanente.
3.19 Het is naar het oordeel van het hof evident dat deze besluiten [appellant sub 1] c.s. op zijn minst in aanmerkelijke mate treffen, aangezien zij tot gevolg hebben dat de chauffeurs niet meer door middel van het gebruik van de Uber Driver app kunnen voorzien in hun inkomsten en de door hen gedane investeringen op die manier niet meer kunnen terugverdienen. Daar komt bij dat het in dit geval om ernstige aantijgingen gaat, die ook (al dan niet strafrechtelijke) repercussies kunnen hebben voor [appellant sub 1] c.s., met name voor hun verdere of toekomstige werkzaamheden, zoals bijvoorbeeld ten aanzien van hun taxilicentie. Zo voegde Uber in de e-mail aan [appellant sub 1] van 4 augustus 2020 ook nog toe: In certain circumstances we may also notify the police if your activity could constitute a criminal offence. Bovendien brengen de onderhavige besluiten ook een rechtsgevolg voor [appellant sub 1] c.s. met zich, aangezien Uber hiermee de overeenkomst met hen heeft beëindigd.
c) Zijn de jegens [appellant sub 1] c.s. genomen besluiten tot deactivering uitsluitend gebaseerd op geautomatiseerde verwerking?
3.20 Het is aan [appellant sub 1] c.s. om te stellen en zo nodig te bewijzen dat de onderhavige deactiveringsbesluiten uitsluitend zijn gebaseerd op geautomatiseerde verwerking, met dien verstande dat bij de betwisting daarvan er een verzwaarde motiveringsplicht rust op Uber, omdat de voor deze stelling respectievelijk betwisting benodigde gegevens zich grotendeels in het domein van Uber bevinden. Naar het oordeel van het hof hebben [appellant sub 1] c.s. wat betreft de jegens [appellant sub 1] , [appellant sub 2] en [appellant sub 4] genomen besluiten voldoende gemotiveerd gesteld dat dit het geval is geweest en heeft Uber dit onvoldoende gemotiveerd betwist. Het volgende is daartoe redengevend.
3.21
Allereerst vermeldt de privacyverklaring die geldig was ten tijde van de feiten van het geding met zoveel woorden dat Uber - met gebruik van persoonsgegevens - ‘ automated decisions’ neemt bij het deactiveren van gebruikers ‘ who are identified as having engaged in fraud or activities that may otherwise harm Uber, its users, and others’ (zie hierover onder 2.3). Uber heeft haar stelling dat die privacyverklaring geen betrekking had op de werkwijze van Uber jegens chauffeurs in het Verenigd Koninkrijk niet dan wel onvoldoende onderbouwd. Dat er inmiddels een geactualiseerde versie van de privacyverklaring is, volstaat in dit verband niet.
In de tweede plaats vormt een belangrijke aanwijzing het door Uber niet dan wel onvoldoende betwiste feit dat bij het nemen van onderhavige besluiten onder meer gebruik is gemaakt van profilering. Uber heeft namelijk (in de punten 41-42 van het verweerschrift in hoger beroep) toegelicht dat het Risk-team gebruik maakt van zogenaamde ERAF-software die op basis van tientallen regels meerdere frauduleuze activiteiten kan signaleren. Vanuit die software wordt automatisch een signaal gegeven. Uber noemt als voorbeeld het signaal dat de software afgeeft wanneer in een korte periode een chauffeur herhaaldelijk betrokken is geweest bij geannuleerde ritten. Dit kan dan volgens Uber duiden op annuleringsfraude. Dit voorbeeld illustreert, naar het oordeel van het hof, dat het gaat om een geautomatiseerde verwerking van persoonsgegevens van de chauffeurs waarbij aan de hand van die gegevens bepaalde persoonlijke aspecten van hen worden geëvalueerd, met de bedoeling hun beroepsprestaties, betrouwbaarheid en gedrag te analyseren of te voorspellen. Daarmee voldoet deze verwerking aan de definitie van profilering, zoals opgenomen in artikel 4 sub 4) van de AVG.
In de derde plaats is een aanwijzing te vinden in het feit dat de tot [appellant sub 1] , [appellant sub 2] en [appellant sub 4] gerichte besluiten op zeer algemene wijze zijn geformuleerd, zonder dat concrete gedragingen worden genoemd die de grondslag vormen voor de besluiten (zie hiervoor onder 2.5). Ook de daarop volgende berichten van Uber aan [appellant sub 1] , [appellant sub 2] en [appellant sub 4] zijn even abstract, zonder dat concrete gedragingen worden genoemd, met de toelichting: We are not able to go into great details. Ook staat vast dat er voorafgaand aan deze besluiten geen enkel persoonlijk contact is geweest met [appellant sub 1] , [appellant sub 2] en [appellant sub 4] , en dat de chauffeurs op geen enkele wijze zijn gehoord. De blote stelling van Uber (in punt 135 van haar verweerschrift in hoger beroep) dat de door de software afgegeven fraudesignalen door de medewerkers van het Risk-team werden besproken met de chauffeurs, wordt door het hof verworpen aangezien Uber dit niet heeft onderbouwd en [appellant sub 1] c.s. dit betwisten.
3.22 Uber heeft hiertegen ingebracht dat er bij het nemen van deze besluiten betekenisvolle menselijke tussenkomst is geweest en wijst in dit verband op de EDPB richtsnoeren. Zij heeft, zoals hierboven onder 3.14 weergegeven, toegelicht dat het besluit tot deactivering wordt genomen na grondig handmatig onderzoek door het Risk-team.
3.23 Volgens (hoofdstuk II, paragraaf B van) de EDPB richtsnoeren moet onder ‘uitsluitend geautomatiseerde besluitvorming’ worden verstaan het nemen van besluiten met technologische middelen en zonder menselijke tussenkomt. In hoofdstuk IV, paragraaf A van die richtsnoeren wordt dit nader uitgewerkt, zoals hierboven onder 3.3 beschreven. Daarin wordt benadrukt dat de verwerkingsverantwoordelijke, om daadwerkelijke menselijke tussenkomst te realiseren, ervoor moet zorgen (i) dat al het toezicht op de besluitvorming zinvol is, en niet slechts een symbolische handeling vormt, (ii) dat deze tussenkomst moet worden uitgevoerd door iemand die bevoegd en bekwaam is om het besluit te veranderen en (iii) dat hij alle relevante gegevens in zijn analyse moet betrekken.
3.24 Mede in het licht van deze richtsnoeren heeft Uber, naar het oordeel van het hof, onvoldoende hard weten te maken dat ten aanzien van [appellant sub 1] , [appellant sub 2] en [appellant sub 4] sprake is geweest van daadwerkelijke menselijke tussenkomst. Het hof overweegt in dit verband dat op Uber een verzwaarde motiveringsplicht rust bij haar betwisting van de stelling van [appellant sub 1] c.s. dat sprake is van uitsluitend geautomatiseerde besluitvorming, aangezien de informatie over die eventuele menselijke tussenkomst zich grotendeels in het domein van Uber bevindt. Uber heeft daar niet aan voldaan. Zij heeft weliswaar gesteld, onder verwijzing naar de producties 14, 15 en 16 bij haar verweerschrift in hoger beroep, dat in de gevallen van [appellant sub 1] , [appellant sub 2] en [appellant sub 4] telkens één of meerdere personen van het Risk-team, vanuit Krakau, handmatig onderzoek hebben verricht nadat een signaal van mogelijke fraude was ontvangen, maar zij heeft dat onvoldoende aannemelijk weten te maken. De producties 14, 15 en 16 laten weliswaar zien dat één, twee dan wel drie medewerkers een notitie hebben gemaakt als gevolg van het fraudesignaal ten aanzien van [appellant sub 1] , [appellant sub 2] en [appellant sub 4] , maar ze tonen geenszins aan dat die handeling veel meer is geweest dan een louter symbolische handeling en dat die medewerkers daarbij alle relevante gegevens in hun analyse hebben betrokken, zoals de EDPB richtsnoeren voorschrijven. Het is moeilijk voor te stellen hoe dat, vanuit Krakau, kan worden gedaan, zonder dat de chauffeurs daarbij worden gehoord. Zoals [appellant sub 1] c.s. onderstrepen, veronderstellen de beweerdelijke overtredingen en frauduleuze handelingen van [appellant sub 1] c.s. een bepaalde opzet of intentie. Het blijft gissen hoe Uber dit relevante criterium - handmatig dan wel middels een algoritme - in zijn analyse heeft betrokken. In elk geval is dit niet geschied middels het horen van [appellant sub 1] , [appellant sub 2] en [appellant sub 4] . Uber heeft evenmin duidelijk gemaakt wat de kwalificaties en het kennisniveau van de betreffende medewerkers zijn. Van daadwerkelijke menselijke tussenkomst is dus onvoldoende gebleken. Al hetgeen Uber heeft gesteld over hoe zij normaal gesproken te werk gaat bij het deactiveren van accounts, namelijk dat zij de chauffeurs eerst een waarschuwing stuurt, vervolgens slechts een tijdelijke blokkade van de account inlast die met één druk op de knop door de chauffeur ongedaan kan worden gemaakt, en pas in laatste instantie overgaat tot een permanente deactivering van het account, kan hier niet aan afdoen, aangezien dit bij [appellant sub 1] , [appellant sub 2] en [appellant sub 4] niet op die wijze is geschied. Daar komt bij dat [appellant sub 1] c.s. deze stellingen over de algemene werkwijze van Uber gemotiveerd hebben betwist. Uber heeft in antwoord op vragen van het hof ook geen voorbeelden of concrete aantallen van gevallen kunnen noemen waarin een chauffeur, na een aanvankelijke waarschuwing en tijdelijke blokkade van zijn of haar account, vervolgens contact heeft gehad met het Risk-team en waarin vervolgens op basis van een gesprek uiteindelijk is beslist om het account al dan niet definitief te deactiveren. Dat die trapsgewijze besluitvorming met menselijke interventie in geval van vermeende fraude plaatsvindt, is dus niet aannemelijk geworden. Het door Uber gedane (algemene) bewijsaanbod wordt in het licht van het voorgaande gepasseerd.
3.25 De hiervoor getrokken conclusie over de besluiten die zijn genomen jegens [appellant sub 1] , [appellant sub 2] en [appellant sub 4] geldt evenwel niet voor [appellant sub 3] . Ten aanzien van hem heeft Uber onbetwist gesteld dat met hem, voorafgaand aan de deactivering, een persoonlijk gesprek heeft plaatsgevonden, waarmee voldoende aannemelijk is gemaakt dat er een daadwerkelijke menselijke tussenkomst is geweest.
d) Kan Uber zich beroepen op een uitzondering op het in artikel 15 lid 1, sub h) AVG vervatte informatierecht?
3.26 Uber heeft als verweer gevoerd dat de door [appellant sub 1] c.s. gevraagde informatie bedrijfsgeheimen bevat inzake haar fraudebestrijdingsprocessen. Als zij [appellant sub 1] c.s. daarover informatie zou verschaffen, zou dat kunnen leiden tot omzeiling van die processen en zouden concurrenten hun voordeel daarmee kunnen doen. Effectieve fraudebestrijding is voor Uber van groot belang, mede omdat TfL sancties kan treffen als Uber daarin tekort schiet. Uber meent dat zij op grond van artikel 15 lid 4 AVG en artikel 41 lid 1, sub i), UAVG gerechtigd is de door [appellant sub 1] c.s. gevraagde informatie te weigeren.
3.27 Het hof merkt allereerst op dat artikel 15 lid 4 AVG slechts een uitzondering bevat op het in artikel 15 lid 3 AVG opgenomen recht van de betrokkene om een kopie van de persoonsgegevens te ontvangen. De uitzondering ziet niet op het in artikel 15 lid 1, aanhef en sub h) AVG vervatte recht op informatie over het bestaan van geautomatiseerde besluitvorming. Daarentegen bepaalt artikel 23 lid 1, sub i), AVG dat de reikwijdte van de verplichtingen en rechten als bedoeld in, onder meer, artikel 15 van de AVG, onder bepaalde voorwaarden kan worden beperkt door de lidstaten indien die beperking noodzakelijk en evenredig is ter waarborging van de bescherming van de rechten en vrijheden van anderen. In de Nederlandse wetgeving is een dergelijke beperking neergelegd in artikel 41 lid 1, sub i), UAVG. Naar het oordeel van het hof biedt deze bepaling evenwel onvoldoende grond voor het oordeel dat Uber gerechtigd is om de informatieverzoeken van [appellant sub 1] c.s. in hun geheel af te wijzen. Een volledige afwijzing van die verzoeken is namelijk niet in overeenstemming met de door artikel 41 lid 1, sub i), UAVG vereiste evenredigheid en noodzakelijkheid, althans Uber heeft onvoldoende gesteld voor het oordeel dat een volledige afwijzing wel evenredig en noodzakelijk zou zijn met het oog op de bescherming van haar bedrijfsgeheimen. Ten overvloede wijst het hof nog op punt 63 uit de preambule van de AVG, waarin wordt overwogen dat overwegingen aangaande de rechten of vrijheden van anderen niet ertoe mogen leiden dat de betrokkene alle informatie wordt onthouden. Dit verweer van Uber ter verdediging van haar afwijzing van de informatieverzoeken wordt dan ook door het hof verworpen.
e) Op welke wijze moet gevolg worden gegeven aan een informatieverzoek als bedoeld in artikel 15 1id 1, sub h), AVG?
3.28 Uber heeft, subsidiair, aangevoerd dat zij [appellant sub 1] c.s. al voldoende informatie heeft verstrekt door middel van het meedelen van de Community Guidelines, de toepasselijke UK Driver Terms en Services Agreements. Dit verweer treft geen doel. Artikel 15 lid 1, sub h), AVG schrijft immers voor dat betrokkene recht heeft op informatie over het bestaan van geautomatiseerde besluitvorming (als bedoeld in artikel 22 AVG), met inbegrip van profilering, en, zo dat het geval is, ‘ nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. Van belang hierbij is dat het gaat om ‘nuttige informatie’, dat wil zeggen zodanige informatie dat de betrokkene met voldoende kennis van zaken kan beslissen of hij al dan niet zijn door de AVG gewaarborgde rechten, zoals het recht op rectificatie of inzage of het recht om rechtsmiddelen aan te wenden, wenst uit te oefenen. Zoals de EDPB richtsnoeren voorschrijven, moet de verwerkingsverantwoordelijke op de voet van artikel 15 lid 1, sub h), AVG de betrokkene algemene informatie verstrekken die van nut is om het besluit aan te vechten, met name informatie over factoren die in het besluitvormingsproces in aanmerking zijn genomen, en hun respectieve weging op een geaggregeerd niveau. De verstrekte informatie moet volledig genoeg zijn voor de betrokkene om de redenen van het besluit te kunnen begrijpen. Uit de EDPB richtsnoeren vloeit evenwel ook voort dat het niet noodzakelijkerwijs een ingewikkelde toelichting over de gebruikte algoritmen of een uiteenzetting van het volledige algoritme hoeft te zijn. Met deze laatste begrenzing wordt naar het oordeel van het hof voldoende rekening gehouden met de belangen van, in dit geval Uber, wat betreft de door haar genoemde bedrijfsgeheimen. Uber heeft nagelaten aan te tonen dat de door haar genoemde documenten en de door haar geciteerde website voldoen aan de voorschriften zoals die voortvloeien uit artikel 15 lid 1, sub h), AVG, gelezen in het licht van de EDPB richtsnoeren. Zo heeft Uber onvoldoende concreet toegelicht op welke wijze hierin informatie wordt verstrekt over de factoren die in het besluitvormingsproces in aanmerking zijn genomen en hun respectieve weging op een geaggregeerd niveau. Ook anderszins is niet gebleken dat de informatie volledig genoeg is voor [appellant sub 1] , [appellant sub 2] en [appellant sub 4] om de redenen van het jegens hen genomen besluit tot deactivering te kunnen begrijpen. Het volstaat niet dat Uber hierin uitlegt welke handelingen kunnen leiden tot deactivering, zoals Uber ter zitting heeft bepleit. Waar het om gaat is dat Uber ten minste toelicht op basis van welke factoren en welke weging van die factoren Uber tot dat besluit is gekomen en [appellant sub 1] c.s. ook voorziet van andere informatie die nodig is om de redenen van het besluit te kunnen begrijpen.
f) Conclusie met betrekking tot het informatieverzoek
3.29 De conclusie is dat Uber de informatieverzoeken van [appellant sub 1] , [appellant sub 2] en [appellant sub 4] ten onrechte heeft afgewezen en dat grief 1 in principaal hoger beroep in zoverre slaagt. Ten aanzien van [appellant sub 3] is onvoldoende gebleken dat zijn informatieverzoek ten onrechte is afgewezen door Uber. In zoverre faalt de grief.
De verzochte dwangsom
3.30
[appellant sub 1] c.s. verzoeken om oplegging van een dwangsom ter hoogte van € 4.000,00 voor iedere dag of deel daarvan dat Uber niet voldoet aan de te geven beschikking. Dit is een gewijzigd (want verminderd) verzoek dat als zodanig voor het eerst in hoger beroep wordt gedaan. Het hof zal daarom hierop moeten beslissen. Dat [appellant sub 1] c.s. geen grief hebben gericht tegen rov. 4.33, waarin de rechtbank de in eerste aanleg verzochte dwangsom had afgewezen, staat hier niet aan in de weg. De rechtbank heeft namelijk, anders dan het hof thans doet, het verzoek omtrent het informatieverzoek als bedoeld in artikel 15 lid 1, sub h), AVG afgewezen en is om die reden niet toegekomen aan de in dat verband verzochte dwangsom. De in rov. 4.33 genoemde dwangsom ziet dus op een ander (vermeend) onderdeel van het verzoek van [appellant sub 1] c.s.
3.31 Het hof zal dit verzoek toewijzen, aangezien Uber in hoger beroep heeft volhard in haar standpunt dat zij niet hoeft te voldoen aan het verzoek als bedoeld in artikel 15 lid 1, sub h), AVG en de dwangsom qua hoogte alleszins redelijk voorkomt.
Het incidentele verzoek
3.32 Uit de punten 50-51 van het beroepschrift kan worden afgeleid dat het incidentele verzoek tot verstrekking van afschrift van stukken op de voet van artikel 843a Rv slechts is ingediend voor het geval het hof zou oordelen dat [appellant sub 1] c.s. dienen te stellen of bewijzen dat geen sprake is geweest van betekenisvolle menselijke tussenkomst bij het nemen van de besluiten tot tijdelijke blokkering respectievelijk deactivering van hun accounts door Uber. Aangezien deze voorwaarde ten aanzien van [appellant sub 1] , [appellant sub 2] en [appellant sub 4] niet is vervuld, komt het hof in zoverre niet meer toe aan de behandeling van dit incident. Ten aanzien van [appellant sub 3] wordt dit verzoek afgewezen, aangezien [appellant sub 1] c.s. niet hebben betwist dat met [appellant sub 3] , voorafgaand aan het besluit tot deactivering, een gesprek is gevoerd door Uber. Hierdoor is voldoende aannemelijk gemaakt (zoals hiervoor in 3.25 overwogen) dat ten aanzien van hem sprake is geweest van betekenisvolle menselijke tussenkomst. Om die reden hebben [appellant sub 1] c.s. geen belang meer bij de gevraagde inzage ten aanzien van [appellant sub 3] en zal het incidentele verzoek in zoverre worden afgewezen.
Uitvoerbaar bij voorraad?
3.33 Uber heeft verzocht om, in geval van toewijzing van het verzoek van [appellant sub 1] c.s. de beschikking niet uitvoerbaar bij voorraad te verklaren. Het hof wijst in dit verband op het in acht te nemen uitgangspunt dat een uit te spreken veroordeling uitvoerbaar dient te zijn en ten uitvoer kan worden gelegd. Afwijking van dit uitgangspunt kan worden gerechtvaardigd door omstandigheden die meebrengen dat het belang van de veroordeelde bij behoud van de bestaande toestand zolang niet op een door hem ingestelde rechtsmiddel is beslist, zwaarder weegt dan het belang van degene die de veroordeling in de ten uitvoer te leggen uitspraak heeft verkregen bij de uitvoerbaar bij voorraad heeft. Hetgeen Uber ter onderbouwing van haar verzoek tot het achterwege laten van de uitvoerbaarverklaring bij voorraad heeft aangevoerd, namelijk dat door de inzage in wezen inzage in haar fraudebestrijdingsprocessen wordt gegeven, is hiervoor reeds verworpen. Het verzoek om de beschikking uitvoerbaar bij voorraad te verklaren zal daarom worden toegewezen.
Proceskosten in eerste aanleg
3.34 Met haar derde grief in incidenteel hoger beroep komt Uber op tegen de beslissing van de rechtbank om de kosten van de procedure in eerste aanleg te compenseren. Deze grief slaagt niet. Het hof stelt weliswaar Uber in het gelijk wat betreft het bevel zoals de rechtbank dat heeft gegeven onder 5.1 van de bestreden eindbeschikking, maar stelt daarnaast ook [appellant sub 1] in het gelijk, omdat, zoals hiervoor is geoordeeld, de rechtbank het op artikel 15 lid 1, sub h), AVG gebaseerde verzoek van [appellant sub 1] c.s. ten onrechte heeft afgewezen. Deze uitkomst rechtvaardigt dat de proceskosten in eerste aanleg worden gecompenseerd, zoals ook de rechtbank onder 5.3 van de bestreden eindbeschikking heeft beslist. In zoverre zal het hof de bestreden eindbeschikking dan ook bekrachtigen.
Slotsom
3.35 Grief 1 in principaal hoger beroep en grief 1 in incidenteel hoger beroep slagen grotendeels, respectievelijk volledig. Het hof zal de bestreden eindbeschikking vernietigen op de hierna te melden wijze en het verzoek van [appellant sub 1] c.s. deels toewijzen op na te melden wijze. Uber zal als de grotendeels in het ongelijk gestelde partij worden veroordeeld in de kosten van het principaal hoger beroep. [appellant sub 1] c.s. zal als de grotendeels in het ongelijk gestelde partij worden veroordeeld in de kosten van het incidenteel hoger beroep alsmede in de kosten van het incident.
4 Beslissing
Het hof:
vernietigt punt 5.1 van de bestreden eindbeschikking, alsmede punt 5.4 van de bestreden eindbeschikking voor zover daarbij de op artikel 15 lid 1, sub h), AVG gebaseerde informatieverzoeken van [appellant sub 1] , [appellant sub 2] en [appellant sub 4] zijn afgewezen
en opnieuw rechtdoende:
beveelt Uber om binnen een maand na betekening van deze beschikking de op artikel 15 lid 1, sub h), AVG gebaseerde informatieverzoeken van [appellant sub 1] , [appellant sub 2] en [appellant sub 4] toe te wijzen op de hiervoor onder 3.28 omschreven wijze, op straffe van verbeurte van een dwangsom ter hoogte van € 4.000,00 voor iedere dag of deel daarvan dat Uber niet voldoet aan dit bevel;
bekrachtigt de bestreden eindbeschikking voor zover deze in hoger beroep voorligt voor het overige;
veroordeelt Uber in de kosten van het principaal hoger beroep en begroot deze kosten, voor zover tot heden aan de zijde van [appellant sub 1] c.s. gevallen, op € 338,00 aan verschotten en € 2.228,00 aan salaris;
veroordeelt [appellant sub 1] c.s. in de kosten van het incidenteel hoger beroep en van het incident en begroot deze kosten, voor zover tot heden aan de zijde van Uber gevallen, op € 0 aan verschotten en € 2.228,00 aan salaris en op € 163,- voor nasalaris, te vermeerderen met € 85,- voor nasalaris en met de kosten van het betekeningsexploot, ingeval niet binnen veertien dagen is voldaan aan de bij deze beschikking uitgesproken veroordeling(en) en betekening van deze beschikking heeft plaatsgevonden, en te vermeerderen met de wettelijke rente;
verklaart deze beschikking uitvoerbaar bij voorraad;
wijst af het meer of anders verzochte.
Deze beschikking is gegeven door mrs. C.A.H.M. ten Dam, G.C. Boot en E. Verhulp en door de rolraadsheer in het openbaar uitgesproken op 4 april 2023.
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG.
Vergelijk: HvJEU van 21 juni 2022 in C-817/19 Ligue des droits humains , ECLI:EU:C:2022:491, punt 210.
Zie ook de conclusie van A-G PIKAMÄE van 16 maart 2023 in C-634/21, SCHUFA Holding e.a ., ECLI:EU:C:2023:220, punt 58.