Uber Sürücülerinin Kişisel Verilere ve Otomatik Kararlara Erişimi

ECLI:NL:GHAMS:2023:796 text/xml public 2023-06-29T10:49:55 2023-04-03 Raad voor de Rechtspraak nl Gerechtshof Amsterdam 2023-04-04 200.295.747/01 Uitspraak Hoger beroep NL Amsterdam Civiel recht

Rechtspraak.nl JAR 2023/137 met annotatie van mr. C.M. Jakimowicz JBP 2023/77

http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:GHAMS:2023:796 text/html public 2023-04-03T15:46:58 2023-04-04 Raad voor de Rechtspraak nl ECLI:NL:GHAMS:2023:796 Gerechtshof Amsterdam , 04-04-2023 / 200.295.747/01

Verzoek van Uber chauffeurs aan Uber om inzage als bedoeld in artikel 15 lid 1 AVG in bepaalde hen betreffende persoonsgegevens (waaronder door passagiers gegeven ‘ratings’) en om informatie als bedoeld in artikel 15 lid 1, sub h) AVG (informatie over het bestaan van geautomatiseerde besluitvorming in de zin van artikel 22 AVG). Bescherming van de persoonsgegevens van de passagiers. Is aanpassing van het initiële inzageverzoek in de gerechtelijke procedure mogelijk?

Verzoek om informatie over onder meer het door Uber gebruikte ‘batched matching’ systeem en ‘upfront pricing systeem’ alsmede de vaststelling van gemiddelde beoordelingen. Reikwijdte van het informatierecht als bedoeld in artikel 15 lid 1, sub h), AVG. Betreft het informatieverzoek besluiten waaraan rechtsgevolgen voor de chauffeurs zijn verbonden of die hen anderszins in aanmerkelijke mate treffen? Kan Uber zich op een uitzondering op het door de chauffeurs ingeroepen informatierecht beroepen? Op welke wijze moet aan het informatieverzoek gevolg worden gegeven?

Chauffeurs verzoeken tevens om overdraagbaarheid van bepaalde persoonsgegevens als bedoeld in artikel 20 AVG.

Zie ook de beschikkingen van gelijke datum in de zaken 200.295.742/01 en 200.295.806/01.

GERECHTSHOF AMSTERDAM

afdeling civiel recht en belastingrecht, team I

zaaknummer : 200.295.747/01

zaak-/rekestnummer rechtbank Amsterdam : C/13/687315 / HA RK 20-207

beschikking van de meervoudige burgerlijke kamer van 4 april 2023

inzake

1 [appellant sub 1] ,

wonend te [plaats A] , Verenigd Koninkrijk,

2. [appellant sub 2] ,

wonend te [plaats B] , Verenigd Koninkrijk,

3. [appellant sub 3] ,

wonend te [plaats B] , Verenigd Koninkrijk,

4. [appellant sub 4] ,

wonend te [plaats C] , Verenigd Koninkrijk,

5. [appellant sub 5] ,

wonend te [plaats D] , Verenigd Koninkrijk,

6. [appellant sub 6] ,

wonend te [plaats B] , Verenigd Koninkrijk,

appellanten in principaal appel,

geïntimeerden in incidenteel appel,

advocaat: mr. A.H. Ekker te Amsterdam,

tegen

UBER B.V.,

gevestigd te Amsterdam,

geïntimeerde in principaal appel,

appellante in incidenteel appel,

advocaat: mr G.H. Potjewijd te Amsterdam.

1 Het geding in hoger beroep

Partijen worden hierna aangeduid als [appellant sub 1] c.s. en Uber. [appellant sub 1] c.s. worden ieder apart aangeduid als [appellant sub 1] , [appellant sub 2] , [appellant sub 3] , [appellant sub 4] , [appellant sub 5] en [appellant sub 6] .

[appellant sub 1] c.s. zijn bij beroepschrift, tevens houdende een (voorwaardelijk) incidenteel verzoek tot verstrekking van afschrift van stukken op de voet van artikel 843a Wetboek van Rechtsvordering (hierna: Rv), ontvangen ter griffie van het hof op 10 juni 2021, onder aanvoering van tien grieven, in hoger beroep gekomen van een beschikking die de rechtbank Amsterdam (hierna: de rechtbank) op 11 maart 2021 heeft gegeven onder bovenvermeld zaak- /rekestnummer (hierna: de bestreden beschikking) in een geschil tussen onder anderen [appellant sub 1] c.s. als verzoekers en Uber als verweerster.

Het beroepschrift sterkt ertoe, onder wijziging van het verzoek, dat het hof de bestreden beschikking zal vernietigen en, kort samengevat, alsnog, uitvoerbaar bij voorraad:

- Uber zal bevelen om, op straffe van een dwangsom, de verzoeken van [appellant sub 1] c.s. op grond van artikel 15 en 20 van de Algemene Verordening Gegevensbescherming (hierna: AVG) alsnog toe te wijzen;

- Uber zal bevelen om, op straffe van een dwangsom, aan [appellant sub 1] c.s. in een gangbare elektronische vorm inzage te geven in (i) de in het petitum onder d) genoemde categorieën van persoonsgegevens, (ii) informatie over de ontvangers of categorieën van ontvangers aan wie persoonsgegevens van [appellant sub 1] c.s. zijn verstrekt ten behoeve van ‘legal reasons or in the event of a dispute’ alsmede de verwerkingsdoeleinden en betrokken categorieën van persoonsgegevens als bedoeld in artikel 15 lid 1 sub a), b) en c) AVG alsmede (iii) in het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22 leden 1 en 4 bedoelde profilering, en ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [appellant sub 1] c.s.;

- Uber zal bevelen om, op straffe van een dwangsom, de door [appellant sub 1] c.s. aan Uber verstrekte persoonsgegevens in een gestructureerde, gangbare en machineleesbare vorm aan [appellant sub 1] c.s. te verstrekken en deze persoonsgegevens overeenkomstig artikel 20 lid 2 AVG rechtstreeks door te zenden aan Platform Info Exchanges;

- zal verklaren voor recht dat verstrekking van gegevens in pdf-formaat niet kan worden aangemerkt als verstrekking in een ‘gestructureerde, gangbare en machineleesbare vorm’ als bedoeld in artikel 20 lid 1 AVG, althans Uber zal bevelen om de betreffende gegevens te verstrekken in een bestandsformaat niet zijnde pdf-formaat;

een en ander met beslissing over de proceskosten.

In het (voorwaardelijk) incident hebben [appellant sub 1] c.s. het hof verzocht Uber op grond van artikel 843a Rv te bevelen inzage, afschrift of uittreksel over te leggen van de bij Uber berustende bescheiden en op een gegevensdrager aangebrachte gegevens

- waarin Uber heeft vastgelegd ten aanzien van welke categorieën van persoonsgegevens als genoemd in de Guidance Notes Uber het inzageverzoek van [appellant sub 1] c.s. als bedoeld in artikel 15 lid 1 AVG heeft toegewezen respectievelijk heeft afgewezen en

- waarin is vastgelegd of Uber ten aanzien van [appellant sub 1] c.s. geautomatiseerde besluitvorming met inbegrip van de in artikel 22, leden 1 en 4 AVG bedoelde profilering, heeft toegepast,

een en ander met beslissing over de proceskosten.

Op 13 oktober 2021 is ter griffie van het hof ontvangen, van de zijde van Uber, een verweerschrift in voorwaardelijk incident, tevens verweerschrift in de hoofzaak en tevens beroepschrift in incidenteel hoger beroep. Het verweerschrift in de hoofdzaak strekt tot bekrachtiging van de bestreden beschikking en tot afwijzing van de verzoeken van [appellant sub 1] c.s. In het incidenteel hoger beroep heeft Uber, onder aanvoering van één grief, verzocht dat het hof de bestreden beschikking gedeeltelijk zal vernietigen en alsnog de verzoeken van [appellant sub 1] , [appellant sub 2] , [appellant sub 4] , [appellant sub 5] en [appellant sub 6] zal afwijzen, met bekrachtiging voor het overige. In het voorwaardelijk incident heeft Uber verzocht om afwijzing daarvan. In principaal en incidenteel hoger beroep, alsmede in het voorwaardelijk incident heeft Uber tot slot verzocht om [appellant sub 1] c.s. te veroordelen in de kosten van het geding in hoger beroep, respectievelijk het incident, met nakosten en rente.

Op 23 december 2021 is ter griffie een verweerschrift in incidenteel hoger beroep van [appellant sub 1] c.s. ingekomen dat strekt tot verwerping van de grief van Uber, met beslissing over de proceskosten.

De mondelinge behandeling van het hoger beroep heeft plaatsgevonden op 18 mei 2022, alwaar [appellant sub 3] , [appellant sub 4] en [appellant sub 5] (deze laatste vertegenwoordigd door [A] ) en Uber (vertegenwoordigd door [B] ) zijn verschenen en bijgestaan door hun hiervoor genoemde advocaten. Bij die gelegenheid hebben de advocaten het woord gevoerd aan de hand van aan het hof overgelegde aantekeningen. Beide partijen hebben nog nadere stukken ingebracht. Tegen de indiening van de producties 20 tot en met 25 van de zijde van Uber is door [appellant sub 1] c.s. bezwaar gemaakt. Het hof heeft deze producties geweigerd. Partijen hebben vragen van het hof beantwoord.

Beide partijen hebben in hoger beroep bewijs aangeboden.

Vervolgens is de behandeling van de zaak gesloten en is uitspraak bepaald.

2 Feiten

De rechtbank heeft in de bestreden eindbeschikking onder 2 (2.1 t/m 2.9) de feiten vermeld die zij tot uitgangspunt heeft genomen. Het hof neemt die feiten tot uitgangspunt, aangevuld met andere feiten die als enerzijds gesteld en anderzijds niet dan wel onvoldoende betwist zijn komen vast te staan. Het gaat in deze zaak om het volgende.

2.1 Uber is onderdeel van een internationaal opererend concern dat door middel van een digitaal platform online diensten in de vervoersector aanbiedt. Uber koppelt passagiers via applicaties aan chauffeurs. Passagiers maken gebruik van de Uber Rider app, chauffeurs van de Uber Driver app.

2.2

[appellant sub 1] c.s. zijn werkzaam (geweest) als ‘private hire drivers’ (hierna: chauffeurs) in het Verenigd Koninkrijk waarbij zij gebruik maken c.q. maakten van de diensten van Uber. Ten tijde van de indiening van het beroepschrift grieven was in ieder geval [appellant sub 3] nog werkzaam als chauffeur voor Uber.

2.3

[appellant sub 1] c.s. zijn aangesloten bij de App Drivers & Couriers Union (hierna: ADCU). ADCU is een vakbond die opkomt voor de belangen van ‘private hire drivers’ en ‘couriers’ in het Verenigd Koninkrijk. ADCU is aangesloten bij de International Alliance of App Transport Workers (hierna: IAATW). Beide organisaties zetten zich in voor de digitale rechten van platformwerkers.

2.4 ADCU wordt ondersteund door Workers Info Exchange (hierna: WIE). WIE is een non-profit organisatie die zich mede ten doel stelt om werknemers en zelfstandigen in de informatie-economie toegang te geven tot persoonsgegevens die tijdens het werk over hen worden verzameld. Grondlegger en directeur van WIE is [appellant sub 5] [A] .

2.5 ADCU en IAATW zijn voornemens om een databank op te richten, die in stand zal worden gehouden door WIE. In deze databank zullen persoonsgegevens van chauffeurs worden opgenomen.

2.6 Uber heeft een ‘Privacy Notice’ (hierna: de privacyverklaring) opgesteld waarin zij algemene informatie over verwerking van persoonsgegevens heeft opgenomen. In deze privacyverklaring (in de versie van 29 juli 2020) is over geautomatiseerde besluitvorming vermeld:

2. Safety and security. We use personal data to help maintain the safety, security and integrity of our services and users. This includes:

(…) Using device, location, profile, usage, an other data to prevent, detect, and combat fraud or unsafe activities

Using user ratings and feedback to encourage compliance with our Community Guidelines and as grounds for deactivating drivers and delivery partners with low ratings or who otherwise violated such guidelines in certain countries.

(…)

9. Automated decision-making

We use personal data to make automated decisions relating to use of our services. This includes: (…)

Deactivating users who are identified as having engaged in fraud or activities that may otherwise harm Uber, its users, and others. In some cases, such as when a user is determined to be abusing Uber’s referral program, such behavior may result in automatic deactivation.

2.7

Verder hanteert Uber zogenaamde ‘Community Guidelines’. Deze luiden, voor zover hier van belang, als volgt:

Fraud

Deception can weaken trust and also be dangerous. Intentionally falsifying information or assuming someone else’s identity (or allowing someone else to assume your identity), for example when signing in or undergoing a security check, is not allowed. It is important to provide accurate information when reporting incidents, creating and accessing your Uber accounts, disputing charges or fees, and requesting credits. Only request fees, charges or refunds that you’re entitled to, and use offers and promotions only as intended. Don’t knowingly complete invalid transactions. (…)

How Uber enforces our guidelines

Losing access to the Uber apps may be disruptive to your life or to your business. That’s why we believe it is important to have clear standards that explain the circumstances in which you may lose access to the Uber apps. If you violate any applicable terms of use, terms of the contractual agreement you agreed to when signing up for an account with Uber or any of these Community Guidelines, you can lose access to the Uber apps. (…)

2.8

[appellant sub 1] c.s. hebben ieder afzonderlijk op verschillende tijdstippen in juni/juli 2020 per e-mail of via de Rider app en/of Driver app (i) verzoeken om inzage als bedoeld in artikel 15, lid 1 aanhef, AVG in hun door Uber verwerkte persoonsgegevens gedaan alsmede (ii) verzoeken om informatie als bedoeld in artikel 15, lid 1, sub a), b) en c) AVG, (iii) verzoeken om informatie als bedoeld in artikel 15 lid 1, sub h), AVG gelezen in samenhang met artikel 22 AVG en (iv) een verzoek om overdraagbaarheid van gegevens in de zin van artikel 20 AVG. Ten aanzien van dit laatste verzoek hebben zij hun verzoeken in min of meer gelijkluidende bewoordingen als volgt gespecificeerd:

Copies of my personal data Article 20

For data falling within the right to data portability (GDPR, art 20), which includes all data I have provided and which have been indirectly observed about me and where lawful bases for processing include consent or contract, I wish to have that data sent to me in commonly used, structured, machine-readable format, such as a CSV file. A PDF file is not a machine- readable format. accompanied with an intelligible description of all variables.

2.9 Uber heeft in reactie op deze verzoeken aan [appellant sub 1] c.s. diverse digitale bestanden verstrekt. Uber heeft bij de antwoorden aan [appellant sub 1] c.s. een toelichting verstrekt, getiteld ‘Guidance Notes’, waarin een overzicht wordt verstrekt van 26 categorieën van verwerkingen van persoonsgegevens met een algemene beschrijving van de daarbij voorkomende persoonsgegevens.

3 Beoordeling

Wettelijk kader

3.1 De voor dit geschil relevante artikelen uit de AVG luiden als volgt:

Artikel 4 Definities

(…)

1. „persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

(…)

4) „profilering”: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen; (…)

Artikel 15 Recht van inzage van de betrokkene

1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

a. a) de verwerkingsdoeleinden;

b) de betrokken categorieën van persoonsgegevens;

c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

(…)

h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.

3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.

Artikel 20 Recht op overdraagbaarheid van gegevens

1. De betrokkene heeft het recht de hem betreffende persoonsgegevens, die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen, en hij heeft het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen, zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrekt, indien:

a. de verwerking berust op toestemming uit hoofde van artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), of op een overeenkomst uit hoofde van artikel 6, lid 1, punt b); en

de verwerking via geautomatiseerde procedés wordt verricht.

2. Bij de uitoefening van zijn recht op gegevensoverdraagbaarheid uit hoofde van lid 1 heeft de betrokkene het recht dat de persoonsgegevens, indien dit technisch mogelijk is, rechtstreeks van de ene verwerkingsverantwoordelijke naar de andere worden doorgezonden.

3. De uitoefening van het in lid 1 van dit artikel bedoelde recht laat artikel 17 onverlet. Dat recht geldt niet voor de verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend.

4. Het in lid 1 bedoelde recht doet geen afbreuk aan de rechten en vrijheden van anderen.

Artikel 22 Geautomatiseerde individuele besluitvorming, waaronder profilering

1. De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

2. Lid 1 geldt niet indien het besluit:

a. noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke;

is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of

berust op de uitdrukkelijke toestemming van de betrokkene.

3. In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.

4. De in lid 2 bedoelde besluiten worden niet gebaseerd op de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 9, lid 2, punt a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen.

3.2 Overweging 63 uit de preambule van de AVG luidt, voor zover hier van belang, als volgt:

(63) Een betrokkene moet het recht hebben om de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. (…) Elke betrokkene dient dan ook het recht te hebben, te weten en te worden meegedeeld voor welke doeleinden de persoonsgegevens worden verwerkt, indien mogelijk hoe lang zij worden bewaard, wie de persoonsgegevens ontvangt, welke logica er ten grondslag ligt aan een eventuele automatische verwerking van de persoonsgegevens en, ten minste wanneer de verwerking op profilering is gebaseerd, wat de gevolgen van een dergelijke verwerking zijn. Indien mogelijk moet de verwerkingsverantwoordelijke op afstand toegang kunnen geven tot een beveiligd systeem waarop de betrokkene direct zijn persoonsgegevens kan inzien. Dat recht mag geen afbreuk doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden. Wanneer de verwerkingsverantwoordelijke een grote hoeveelheid gegevens betreffende de betrokkene verwerkt, moet hij de betrokkene voorafgaand aan de informatieverstrekking kunnen verzoeken om te preciseren op welke informatie of welke verwerkingsactiviteiten het verzoek betrekking heeft.

3.3 De voor dit geschil relevante bepalingen uit de Uitvoeringswet Algemene verordening gegevensbescherming (hierna: UAVG), luiden als volgt:

Artikel 34

Een schriftelijke beslissing op een verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening wordt genomen binnen de in artikel 12, derde lid, van de verordening genoemde termijnen (…)

Artikel 35

1. Indien de beslissing op een verzoek als bedoeld in artikel 34 is genomen door een ander dan een bestuursorgaan, kan de belanghebbende zich tot de rechtbank wenden met het schriftelijk verzoek de verwerkingsverantwoordelijke te bevelen het verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening alsnog toe of af te wijzen.

2. Het verzoekschrift wordt ingediend binnen zes weken na ontvangst van het antwoord van de verwerkingsverantwoordelijke. Indien de verwerkingsverantwoordelijke niet binnen de in artikel 12, derde lid, van de verordening genoemde termijnen heeft geantwoord, is de indiening van het verzoekschrift niet aan een termijn gebonden.

3. De rechtbank wijst het verzoek toe, voor zover zij dit gegrond oordeelt. Alvorens de rechtbank beslist, stelt zij zo nodig de belanghebbenden in de gelegenheid hun zienswijze naar voren te brengen.

(…)

5. De derde afdeling van de vijfde titel van het Tweede Boek van het Wetboek van Burgerlijke Rechtsvordering is van overeenkomstige toepassing. [hof: derde afdeling: Van dwangsom. Art. 611a t/m 611 i Rv.].

(…)

Artikel 41 Uitzonderingen op rechten betrokkene en plichten verwerkingsverantwoordelijke

1. De verwerkingsverantwoordelijke kan de verplichtingen en rechten, bedoeld in de artikelen 12 tot en met 21 en artikel 34 van de verordening, buiten toepassing laten voor zover zulks noodzakelijk en evenredig is ter waarborging van:

a. (…)

i. de bescherming van de betrokkene of van de rechten en vrijheden van anderen; (…)

3.4 De Groep Gegevensbescherming Artikel 29 (thans: het Europees comité voor gegevensbescherming, in het Engels afgekort als: EDPB) heeft in 2017 richtsnoeren vastgesteld inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van Verordening (EU) 2016/679. Hoofdstuk IV, paragraaf A, van deze richtsnoeren, zoals vastgesteld op 3 oktober 2017 en laatstelijk gewijzigd en vastgesteld op 6 februari 2018, WP251rev.01 (hierna: de EDPB richtsnoeren) luidt, voor zover hier van belang, als volgt:

A. “Uitsluitend op geautomatiseerde verwerking gebaseerd besluit”

Artikel 22, lid 1 betreft besluiten die “uitsluitend” gebaseerd zijn op geautomatiseerde verwerking. Dit betekent dat er geen sprake is van menselijke tussenkomst in het besluitvormingsproces.

Voorbeeld

Een geautomatiseerd proces produceert iets wat in feite een aanbeveling betreffende een betrokkene is. Als een mens het proces beoordeelt en bij het nemen van het definitieve besluit rekening houdt met andere factoren, zou dat besluit niet “uitsluitend op geautomatiseerde verwerking” zijn.

De verwerkingsverantwoordelijke kan de bepalingen van artikel 22 niet omzeilen door menselijke tussenkomst voor te wenden. Als iemand bijvoorbeeld routinematig automatisch gegeneerde profielen toepast op personen zonder het resultaat daadwerkelijk te beïnvloeden, is dit nog steeds een uitsluitend op geautomatiseerde verwerking gebaseerd besluit.

Om daadwerkelijke menselijke tussenkomst te realiseren moet de verwerkingsverantwoordelijke ervoor zorgen dat al het toezicht op de besluitvorming zinvol is, en niet slechts een symbolische handeling vormt. Deze tussenkomst moet worden uitgevoerd door iemand die bevoegd en bekwaam is om het besluit te veranderen. Hij moet alle relevante gegevens in zijn analyse betrekken.

In het kader van zijn gegevensbeschermingseffectbeoordeling moet de verwerkingsverantwoordelijke de mate van menselijke tussenkomst in het besluitvormingsproces en de fase waarin deze plaatsvond vaststellen en registreren.

Hoofdstuk IV, paragraaf B, van de EDPB richtsnoeren luidt, voor zover hier van belang, als volgt:

B. Besluit met "rechtsgevolgen" of dat de betrokkene "anderszins in aanmerkelijke mate treft"

In de AVG wordt erkend dat geautomatiseerde besluitvorming, waaronder profilering, ernstige gevolgen kan hebben voor personen. De AVG bevat geen definitie van een besluit met "rechtsgevolgen" of van een besluit dat de betrokkene "anderszins in aanmerkelijke mate treft", maar uit de formulering blijkt duidelijk dat in artikel 22 alleen ernstige, aanzienlijke effecten worden bedoeld.

"Besluit waaraan rechtsgevolgen zijn verbonden"

Een rechtsgevolg houdt in dat het besluit, dat uitsluitend op automatische verwerking is gebaseerd, van invloed is op iemands wettelijke rechten, zoals de vrijheid van vereniging, het stemrecht en het recht om rechtsmiddelen in te stellen. Een rechtsgevolg kan ook iets zijn wat iemands juridische status of zijn rechten uit hoofde van een overeenkomst beïnvloedt. Voorbeelden van een dergelijk gevolg zijn geautomatiseerde besluiten over een persoon die leiden tot:

• beëindiging van een overeenkomst;

• het recht op of de weigering van een bepaalde wettelijk toegekende sociale uitkering, zoals kinderbijslag of huurtoeslag;

• weigering van toelating tot een land of van toekenning van een nationaliteit.

"Hem anderszins in aanmerkelijke mate treft"

Zelfs wanneer een besluitvormingsproces geen gevolgen heeft voor iemands wettelijke rechten, kan het toch onder het toepassingsgebied van artikel 22 vallen als er een gevolg aan verbonden is dat hem anderszins in aanmerkelijke mate treft.

Met andere woorden, zelfs wanneer er niets verandert aan zijn wettelijke rechten of plichten, kan de betrokkene toch in zodanige mate worden getroffen dat de bescherming ingevolge deze bepaling vereist is. In de AVG is het woord "anderszins" toegevoegd (niet aanwezig in artikel 15 van Richtlijn 95/46/EG) aan de formulering "hem in aanmerkelijke mate treft". De drempel voor aanmerkelijke mate moet dus vergelijkbaar zijn met de mate waarin de betrokkene wordt getroffen bij een besluit waaraan een rechtsgevolg verbonden is.

In overweging 71 worden de volgende typische voorbeelden genoemd: "automatische weigering van een online ingediende kredietaanvraag" of "verwerking van sollicitaties via internet zonder menselijke tussenkomst".

Gegevensverwerking treft iemand in aanmerkelijke mate wanneer de effecten van de verwerking groot of belangrijk genoeg zijn om aandacht te verdienen. Met andere woorden, het besluit moet het potentieel hebben om:

• de omstandigheden, het gedrag of de keuzen van de betrokken personen in aanmerkelijke mate te treffen;

• een langdurig of blijvend effect op de betrokkene te hebben; of

• in het uiterste geval, tot uitsluiting of discriminatie van personen te leiden.

Het is moeilijk om nauwkeurig te bepalen wat als ernstig genoeg wordt beschouwd om de drempel van aanmerkelijke mate te halen. De volgende besluiten zouden echter in deze categorie kunnen vallen:

• besluiten die iemands financiële situatie treffen, zoals zijn mogelijkheid om in aanmerking te komen voor een lening;

• besluiten die iemands toegang tot gezondheidszorgdiensten treffen;

• besluiten waarmee iemand de toegang tot een werkgelegenheidskans wordt geweigerd of waarmee hij daarbij ernstig wordt benadeeld;

• besluiten die iemands toegang tot onderwijs, bijvoorbeeld toelating tot een universiteit, treffen.

(…)

Geautomatiseerde besluitvorming die leidt tot verschillende prijzen op basis van persoonsgegevens of persoonlijke kenmerken kan personen ook in aanmerkelijke mate treffen als, bijvoorbeeld, extreem hoge prijzen iemand feitelijk de toegang tot bepaalde goederen of diensten blokkeren.

Hoofdstuk IV, paragraaf E, van de EDPB richtsnoeren luidt, voor zover hier van belang, als volgt:

E. Rechten van de betrokkene

1. Artikel 13, lid 2, onder f) en artikel 14, lid 2, onder g) – recht om geïnformeerd te worden

(…)

Nuttige informatie over de “onderliggende logica”

Door de groei en complexiteit van machinaal leren kan het moeilijk zijn om te begrijpen hoe een geautomatiseerd besluitvormingsproces of profilering werkt.

De verwerkingsverantwoordelijke moet eenvoudige manieren vinden om de betrokkene uit te leggen wat de achterliggende gedachte is of op grond van welke criteria het besluit is genomen. De AVG verplicht de verwerkingsverantwoordelijke nuttige informatie over de onderliggende logica te verstrekken, niet noodzakelijkerwijs een ingewikkelde toelichting over de gebruikte algoritmen of een uiteenzetting van het volledige algoritme. De verstrekte informatie moet echter volledig genoeg zijn voor de betrokkene om de redenen van het besluit te kunnen begrijpen.

Voorbeeld

Een verwerkingsverantwoordelijke maakt gebruik van kredietscores om een leningaanvraag van een persoon te beoordelen en af te wijzen. (…)

Hij verstrekt gedetailleerde informatie over de belangrijkste kenmerken die bij de besluitvorming in beschouwing worden genomen, de bron van deze informatie en het belang ervan. (…)

"Belang" en "verwachte gevolgen"

Deze begrippen duiden erop dat informatie moet worden verstrekt over de beoogde of toekomstige verwerking en over de wijze waarop de geautomatiseerde besluitvorming de betrokkene zou kunnen treffen. (…)

2 Artikel 15, lid 1, onder h) – Recht van inzage

Ingevolge artikel 15, lid 1, onder h), hebben betrokkenen het recht dezelfde informatie over uitsluitend geautomatiseerde besluitvorming, waaronder profilering, te ontvangen als vereist is krachtens artikel 13, lid 2, onder f) en artikel 14, lid 2, onder g). (…)

De verwerkingsverantwoordelijke moet de betrokkene algemene informatie verstrekken (met name over factoren die in het besluitvormingsproces in aanmerking zijn genomen, en hun respectieve "weging" op een geaggregeerd niveau) die hem ook van nut is om het besluit aan te vechten.

De procedure in eerste aanleg

3.5

In eerste aanleg hebben [appellant sub 1] c.s., na wijziging van hun verzoek, verzocht om bij uitvoer bij voorraad te verklaren beschikking Uber, op straffe van verbeurte van een dwangsom, te bevelen om binnen een maand na betekening van de beschikking aan [appellant sub 1] c.s. in een gangbare elektronische vorm,

I. inzage te geven in:

(i) alle op hen betrekking hebbende persoonsgegevens die zij verwerkt, waaronder de persoonsgegevens zoals genoemd in de Guidance Notes, het ‘Driver’s Profile’, waaronder de aantekeningen van Uber medewerkers, ‘Tags’ en ‘Reports’,

(ii) de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, en de bewaartermijn voor deze gegevens,

(iii) de passende waarborgen die Uber overeenkomstig artikel 46 AVG heeft getroffen inzake doorgifte aan een derde land of een internationale organisatie,

(iv) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22 leden 1 en 4 AVG bedoelde profilering, en ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [appellant sub 1] c.s.,

II. de persoonsgegevens te verstrekken in een gestructureerde, gangbare en machineleesbare vorm, te weten als CSV-bestand, dan wel door middel van een Application Programming Interface (hierna: API), zodanig dat deze gegevens direct aan een andere verwerkingsverantwoordelijke kunnen worden doorgezonden.

3.6 Bij de bestreden beschikking, uitvoerbaar bij voorraad, heeft de rechtbank, voor zover van belang in dit hoger beroep, Uber bevolen om aan [appellant sub 1] c.s. afschrift of inzage te verstrekken in de in rov. 4.52 van de bestreden beschikking genoemde persoonsgegevens (de door individuele passagiers gegeven ‘ratings’) op de daarin vermelde (geanonimiseerde) wijze en het meer of anders verzochte afgewezen. De rechtbank heeft de proceskosten tussen partijen gecompenseerd in die zin dat iedere partij de eigen kosten draagt. De rechtbank heeft het verzoek van [appellant sub 1] c.s. voor het overige afgewezen.

Het aangepaste verzoek in hoger beroep

3.7

In hoger beroep hebben [appellant sub 1] c.s. hun verzoek gewijzigd zoals weergegeven onder randnummer 1 van dit arrest. Ter zitting hebben zij bovendien hun verzoek in de hoofdzaak verminderd. Thans verzoeken zij in de hoofdzaak om bij uitvoerbaar bij voorraad te verklaren beschikking:

I. Uber te bevelen om, op straffe van een dwangsom, binnen een maand na betekening van de beschikking de verzoeken van [appellant sub 1] c.s. tot inzage van de hierna te noemen persoonsgegevens en informatie alsnog toe te wijzen dan wel inzage te geven in een gangbare elektronische vorm:

a) aan [appellant sub 1] c.s. in de hierna te noemen persoonsgegevens:

- uit de ‘Guidance Notes: de nog ontbrekende persoonsgegevens zoals gespecificeerd in productie 2 in categorie ’12 Driver detailed device data’,

- uit de categorie ‘Driver’s Profile’,

- uit de categorie ‘Tags’,

- uit de categorie ‘Reports per rit’

- uit de categorie ‘Individuele ratings per passagier’

b) aan [appellant sub 3] in de persoonsgegevens die zijn verwerkt in het kader van ‘upfront pricing’,

c) aan [appellant sub 1] c.s. over de ontvangers of categorieën van ontvangers aan wie persoonsgegevens van [appellant sub 1] c.s. zijn verstrekt ten behoeve van ‘legal reasons or in the event of a dispute’, alsmede de verwerkingsdoeleinden en betrokken categorieën van persoonsgegevens, als bedoeld in artikel 15 lid 1, sub a), b) en c), AVG,

d) aan [appellant sub 1] c.s. wat betreft het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22 leden 1 en 4 AVG bedoelde profilering, en ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [appellant sub 1] c.s.,

e) aan [appellant sub 1] c.s. in alle overige op [appellant sub 1] c.s. betrekking hebbende persoonsgegevens die zij verwerkt;

II. Uber te bevelen om, op straffe van een dwangsom, de door [appellant sub 1] c.s. aan Uber verstrekte persoonsgegevens, waaronder de gegevens zoals genoemd in het petitum, in een gestructureerde, gangbare en machineleesbare vorm aan [appellant sub 1] c.s. te verstrekken en deze persoonsgegevens overeenkomstig artikel 20 lid 2 AVG rechtstreeks door te zenden aan Platform Info Exchanges;

III. te verklaren voor recht dat verstrekking van gegevens in pdf-formaat niet kan worden aangemerkt als verstrekking in een ‘gestructureerde, gangbare en machineleesbare vorm’ als bedoeld in artikel 20 lid 1 AVG, althans Uber te bevelen om de betreffende gegevens te verstrekken in een bestandsformaat niet zijnde pdf-formaat.

Het incidenteel hoger beroep

Ontvankelijkheid van [appellant sub 1] , [appellant sub 2] , [appellant sub 4] , [appellant sub 5] en [appellant sub 6]

3.8 Uber richt zich met haar grief in incidenteel hoger beroep tegen rov. 4.4-4.23 van de bestreden beschikking, waarin de rechtbank, kort gezegd, heeft geoordeeld dat [appellant sub 1] , [appellant sub 2] , [appellant sub 4] , [appellant sub 5] en [appellant sub 6] ontvankelijk zijn in hun verzoeken. Uber voert aan dat deze chauffeurs hun (herziene) verzoekschrift te vroeg hebben ingediend, namelijk vóórdat Uber antwoord had gegeven op hun verzoeken. Volgens Uber kon, op grond van artikel 35 lid 2, eerste volzin, UAVG, [appellant sub 1] niet eerder dan op 5 september 2020 een verzoekschrift indienen, [appellant sub 2] en [appellant sub 4] op 1 november 2020, [appellant sub 5] op 21 juli 2020 en [appellant sub 6] op 10 oktober 2020. Uber heeft hen namelijk eerst nog om een precisering van hun verzoek verzocht (op respectievelijk 1 juli 2020, 22 juli 2020, 7 augustus 2020, 16 augustus 2020 en 21 juli 2020). Dat was nodig gezien de algemeen geformuleerde inzageverzoeken van [appellant sub 1] c.s. en de grote hoeveelheid gegevens. Dit is ook in lijn met hetgeen is overwogen in punt 63 van de preambule van de AVG. De rechtbank heeft in rov. 4.9 en 4.10 ten onrechte geoordeeld dat de termijn om het verzoekschrift in te dienen al is gaan lopen direct na dit verzoek om precisering. Dat verzoek kan namelijk niet worden gezien als een afwijzend antwoord in de zin van artikel 35 lid 2 UAVG gelezen in samenhang met artikel 12 lid 3 AVG, aldus Uber. Uber heeft hieraan nog toegevoegd dat het wat betreft [appellant sub 5] helemaal duidelijk is dat hij te vroeg is met zijn verzoekschrift: Uber heeft op zijn verzoek pas op 19 en 20 juli 2020 gereageerd, terwijl hij zijn verzoekschrift op 20 juli 2020 heeft ingediend.

3.9

[appellant sub 1] c.s. voeren als verweer dat Uber uitgaat van onjuiste data, namelijk data waarop Uber geheel op eigen initiatief aan [appellant sub 1] c.s. berichten heeft verzonden, in reactie op het door hen ingediende verzoekschrift. Een reactie naar aanleiding van het verzoekschrift kan niet gelden als een reactie op het daaraan voorafgaande inzageverzoek. Bovendien waren de oorspronkelijke inzageverzoeken al duidelijk en volledig en was een nadere toelichting overbodig. Met de reacties die Uber daarop heeft verzonden aan [appellant sub 1] c.s. was het inzageverzoek volledig beantwoord.

3.10

Dit verweer van [appellant sub 1] c.s. slaagt. Het volgende is daartoe redengevend. Uit de producties valt op te maken dat [appellant sub 1] c.s. op de volgende data hun initiële verzoeken bij Uber hebben ingediend:

[appellant sub 1] : 15 juli 2020 (productie 2A bij verzoekschrift)

[appellant sub 2] : 23 juni 2020 (productie 3A bij verzoekschrift)

[appellant sub 4] : 10 juli 2020 (productie 6A bij verzoekschrift)

[appellant sub 5] : 20 juni 2020 (productie 8A bij verzoekschrift)

[appellant sub 6] : 23 juni 2020 (productie 9A bij verzoekschrift)

3.11

[appellant sub 1] c.s. hebben gemotiveerd gesteld (namelijk onder verwijzing naar de producties 2A, 3A en 6A bij het verzoekschrift, respectievelijk productie 6 bij het verweerschrift eerste aanleg, respectievelijk productie 9A bij het verzoekschrift) dat [appellant sub 1] , [appellant sub 2] , [appellant sub 4] , [appellant sub 5] en [appellant sub 6] op 7 augustus 2020, respectievelijk 22 juli 2020, 7 augustus 2020, 19 juli 2020 en 21 juli 2020 beslissingen hebben ontvangen op de inzageverzoeken. Uber heeft de data waarvan zijzelf uitgaat onvoldoende onderbouwd en de door [appellant sub 1] c.s. genoemde data onvoldoende gemotiveerd betwist. De door Uber in hoger beroep ingediende producties 12A, 13A, 15A, 16A en 17A ondersteunen niet haar stellingen. Zo bijvoorbeeld blijkt uit het door Uber in hoger beroep ingebrachte antwoord van Uber van 30 oktober 2020 aan [appellant sub 4] (productie 15a) dat dit een spontaan door Uber verstrekt (en aanvullend) antwoord is op het initiële verzoek van [appellant sub 4] , waarop Uber reeds had geantwoord op 7 augustus 2020. [appellant sub 4] heeft er daarom vanuit mogen gaan dat er op zijn verzoek was beslist toen hij op 21 augustus het (aanvullend) verzoekschrift indiende. Gelet hierop gaat het hof uit van de door [appellant sub 1] c.s. genoemde data. Ten aanzien van [appellant sub 5] in het bijzonder staat, gelet op productie 6 bij het verweerschrift eerste aanleg, voldoende vast dat hij op 19 juli 2020 een beslissing van Uber op zijn initiële verzoek heeft ontvangen. Het incidenteel hoger beroep heeft dus geen succes.

Het principaal hoger beroep

3.12

De grieven 2 tot en met 7 in principaal hoger beroep zien op de inzageverzoeken van [appellant sub 1] c.s. aangaande specifieke categorieën persoonsgegevens. Het hof zal eerst deze grieven bespreken, waarna het hof vervolgens zal ingaan op grief 9 in principaal hoger beroep, die ziet op het informatieverzoek van [appellant sub 1] c.s. in de zin van artikel 15, lid 1 sub a), b) en c), AVG. Grief 1, die betrekking heeft op inzage in alle overige persoonsgegevens, zal daarna worden behandeld.

Als laatste zullen worden behandeld grief 8 (inzake het informatieverzoek in de zin van artikel 15 lid 1, sub h), AVG) en grief 10 (inzake het overdraagbaarheidsverzoek in de zin van artikel 20 AVG).

Vooraf merkt het hof op dat tussen partijen vaststaat dat [appellant sub 1] c.s. zijn aan te merken als betrokkenen in de zin van artikel 4 sub 1 AVG en dat Uber in dit kader optreedt als verwerkingsverantwoordelijke in de zin van artikel 4 sub 7 AVG.

Het verzoek om inzage in een bepaalde categorie uit de Guidance Notes

3.13 Grief 2 is gericht tegen rov. 4.38 van de bestreden beschikking, waarin de rechtbank heeft geoordeeld dat het verzoek van [appellant sub 1] c.s. inzake inzage in de persoonsgegevens die zijn genoemd in de Guidance Notes wordt afgewezen. Ter zitting hebben [appellant sub 1] c.s. hun verzoek verminderd en beperkt tot de nog ontbrekende persoonsgegevens in categorie 12, Driver detailed device data, zoals omschreven in productie 2 bij het beroepschrift.

3.14 Uber betwist de stelling van [appellant sub 1] c.s. dat er nog geen volledige inzage is gegevens in de door [appellant sub 1] c.s. nader aangeduide categorieën gegevens uit de Guidance Notes. Uber laat evenwel na om deze betwisting voldoende concreet toe te lichten ten aanzien van de door [appellant sub 1] c.s. genoemde categorie van persoonsgegevens. De enkele verwijzing door Uber naar de onderdelen 2.4.1 tot en met 2.4.6 van het verweerschrift in hoger beroep biedt geen uitsluitsel hierover. Om die reden gaat het hof uit van de stelling van [appellant sub 1] c.s. dat Uber op dit punt nog niet aan de verzoeken van [appellant sub 1] c.s. heeft voldaan en acht het hof het verzoek van [appellant sub 1] c.s. in zoverre toewijsbaar. De grief slaagt dan ook.

Het verzoek om inzage in het Driver’s profile

3.15 Met grief 3 keren [appellant sub 1] c.s. zich tegen rov. 4.41 van de bestreden beschikking waarin de rechtbank het verzoek aangaande inzage in het ‘Drivers Profile’ heeft afgewezen. Deze grief slaagt. Het hof overweegt daartoe als volgt. Uber heeft toegelicht dat het driver’s profile een notitie dan wel een soort samenvatting of overdrachtsmelding is waarmee de Ubermedewerker verzoeken van chauffeurs aan de klantenservice overdragen aan andere medewerkers van Uber. In het licht van het arrest van het Hof van Justitie van de EU (hierna: HvJEU) in de zaak Nowak is het hof van oordeel dat een dergelijke notitie of overdrachtsmelding moet worden aangemerkt als een persoonsgegeven in de zin van artikel 4, sub 1, AVG. Deze notitie of overdrachtsmelding bevat namelijk informatie over de chauffeur die de klantenservice heeft benaderd, namelijk een weergave van het specifieke verzoek van de chauffeur en mogelijk reeds een (voorlopige) beoordeling daarvan, althans, in de woorden van Uber, een zekere stroomlijning daarvan, welke voor de chauffeur effecten kan sorteren. Het niet kwalificeren als ‘persoonsgegeven’ zou deze informatie volledig onttrekken aan de bescherming van de beginselen en waarborgen inzake persoonsgegevens, waaronder de in de AVG voorziene rechten van toegang, rectificatie en verzet van de betrokkene en aan het toezicht waarin de AVG voorziet. Anders dan Uber betoogt, laat de AVG de kwalificatie van het begrip ‘persoonsgegeven’ niet afhangen van de vraag of de betreffende informatie bedoeld is voor intern overleg en beraad. De door [appellant sub 1] c.s. verzochte inzage inzake het Driver’s Profile valt dan ook binnen de reikwijdte van artikel 15, lid 1 aanhef AVG. Uber heeft niet gemotiveerd op welke grond uit de AVG de chauffeurs kunnen worden beperkt in hun recht op inzage hierin, zoals vervat in artikel 15 lid 1 AVG. Het verzoek van [appellant sub 1] c.s. komt in zoverre dan ook voor toewijzing in aanmerking.

Het verzoek om inzage in de ‘tags’ (labels in het klantenservicesysteem)

3.16 Met grief 4 vechten [appellant sub 1] c.s. rov. 4.44 van de bestreden beschikking aan waarin de rechtbank het verzoek betreffende inzage in de ‘tags’ heeft afgewezen. Deze grief slaagt. Zoals de rechtbank heeft overwogen en niet door partijen is betwist is een tag een aanduiding door een medewerker van Uber van een melding. Uber heeft niet betwist dat deze tags informatie bevatten over de betreffende chauffeur die een verzoek of een melding heeft gedaan. Ten aanzien van deze categorie gegevens gaat daarom dezelfde redenering op zoals die hiervoor (in 3.15), onder verwijzing naar het Nowak arrest, is uiteengezet ten aanzien van het Driver’s Profile. Het verzoek van [appellant sub 1] c.s. komt in zoverre dan ook voor toewijzing in aanmerking.

Het verzoek om inzage in de ‘reports’ per rit en in de ‘individuele ratings’ per passagier.

3.17

Grief 5 is gericht tegen rov. 4.46 van de bestreden beschikking, waarin de rechtbank heeft geconcludeerd dat Uber geen verdere inzage hoeft te verstrekken in de ‘reports’ dan zij reeds heeft gedaan. ‘Reports’, zo staat vast tussen partijen, zijn gebaseerd op feedbackmeldingen die passagiers over de betreffende chauffeur hebben gegeven over onder meer ‘navigation’ en ‘professionalism’. Uber heeft in reactie op de inzageverzoeken Excel-overzichten verstrekt waarin de feedback van passagiers over chauffeurs is geanonimiseerd.

Met grief 6 keren [appellant sub 1] zich tegen rov. 4.52 van de bestreden beschikking, waarin de rechtbank heeft beslist dat Uber jegens [appellant sub 1] c.s. gehouden is om op beperkte wijze inzage te verlenen in de hen betreffende individuele ratings.

[appellant sub 1] c.s. voeren met betrekking tot zowel de reports als de ratings aan dat Uber het verzoek om inzage in deze persoonsgegevens niet gedeeltelijk kan weigeren met een algemeen beroep op de rechten en vrijheden van anderen. Volgens [appellant sub 1] c.s. had Uber ten aanzien van iedere betrokkene afzonderlijk moeten toetsen of de verplichtingen en rechten in de AVG buiten toepassing dienen te worden gelaten en of zulks noodzakelijk en evenredig is ter waarborging van de in artikel 41 lid 1 UAVG genoemde belangen. Bovendien is het voor de chauffeurs wel degelijk relevant, vanwege de mogelijke grote consequenties van de reports en ratings, om te weten wie de uitlating heeft gedaan. [appellant sub 1] c.s. hebben verder ook belang bij inzage om gebruik te kunnen maken van hun recht op rectificatie van hen betreffende onjuiste persoonsgegevens.

3.18 De grieven 5 en 6 hebben geen succes. Naar het oordeel van het hof heeft de rechtbank terecht overwogen dat Uber bij het verstrekken van informatie waarin de persoonsgegevens van [appellant sub 1] c.s. zijn opgenomen gehouden is, op grond van artikel 15 lid 4 AVG, de rechten en vrijheden van anderen in acht te nemen en daarom gerechtigd is de reports en de ratings te anonimiseren in die zin dat zij ter bescherming van die rechten van derden ervoor zorgt dat de uitlatingen over de chauffeurs niet herleidbaar zijn tot de persoon die de uitlatingen heeft gedaan. Het moge zo zijn dat in een specifiek, concreet geval de conflicterende rechtmatige belangen van de verschillende betrokkenen tegen elkaar moeten worden afgewogen, om vast te stellen of er een hoger belang bestaat dat een weigering om aan de betrokkene toegang tot de persoonsgegevens van een derde rechtvaardigt, maar in dit geval hebben [appellant sub 1] c.s. zonder enige beperking verzocht om inzage in alle hen betreffende reports en ratings. Het gaat hierbij om zeer grote aantallen reports en ratings. Naar het oordeel van het hof kan bij een dergelijk ruim verzoek om inzage in persoonsgegevens die mede derden betreffen niet van de verwerkingsverantwoordelijke worden verlangd dat hij per report en per rating nagaat welk belang de doorslag geeft. [appellant sub 1] c.s. hebben geen concreet report of concrete individuele rating genoemd en daarbij dus ook niet concreet gemotiveerd waarom hun belang om volledige inzage daarin te krijgen (dat wil zeggen: inclusief de persoonsgegevens van een derde) zwaarder weegt dan het recht van die derde op bescherming van zijn persoonsgegevens. De rechtbank heeft dan ook terecht overwogen dat Uber de rechten van passagiers in acht moet nemen bij het verstrekken van de verzochte gegevens en dat Uber dat heeft kunnen doen door deze gegevens zodanig te verstrekken dat ze niet herleidbaar zijn tot de passagier die de rating heeft gegeven en/of de opmerkingen heeft gemaakt.

3.19

[appellant sub 1] c.s. hebben ook nog gesteld dat zij op grond van hun eigen contractuele relatie met de klant recht hebben op inzage als zelfstandige verwerkingsverantwoordelijke maar dat argument treft geen doel. Het voorwerp van deze procedure is immers gelegen in het op artikel 15 van de AVG gebaseerde verzoek van [appellant sub 1] van c.s. als betrokkenen aan Uber als de verwerkingsverantwoordelijke die hun persoonsgegevens verwerkt. De AVG voorziet niet in een recht op inzage in persoonsgegevens van anderen. Het hof wijst dit argument dan ook af.

Het verzoek om inzage in het ‘upfront pricing-systeem’

3.20 Met grief 7 vechten [appellant sub 1] c.s. rov. 4.59 van de bestreden beschikking aan voor zover de rechtbank daarin het verzoek van [appellant sub 3] aangaande inzage in hem betreffende persoonsgegevens in het ‘upfront pricing systeem’ heeft afgewezen. Dit is het geautomatiseerde systeem waarmee Uber vooraf de prijs voor een rit berekent aan de hand van objectieve factoren zoals de lengte en verwachte duur van de aangevraagde rit, de verhouding van vraag en aanbod op dat moment, verwachte verkeerspatronen en de datum.

3.21 Deze grief slaagt. Anders dan de rechtbank overweegt, is het niet van belang of [appellant sub 3] inzage in deze persoonsgegevens wenst ter controle van de juistheid en rechtmatigheid van de verwerking daarvan, aangezien het in artikel 15 lid 1, aanhef, AVG vervatte inzagerecht een dergelijke voorwaarde niet stelt. Uber heeft geen geldige grond aangevoerd die een weigering van dit inzageverzoek zou kunnen rechtvaardigen. Het verzoek van [appellant sub 1] c.s. is in zoverre dan ook toewijsbaar voor zover dit het initiële door [appellant sub 3] ingediende verzoek om inzage betreft.

Het verzoek om informatie over de ontvangers of categorieën van ontvangers

3.22 Met grief 9 keren [appellant sub 1] c.s. zich tegen rov. 4.70 van de bestreden beschikking, waarin de rechtbank ervan is uitgegaan, gelet op de nadere informatie die Uber in haar verweerschrift heeft verstrekt en de informatie die is opgenomen in de betreffende hoofdstukken van de privacyverklaring, dat dit deel van het inzageverzoek afdoende is beantwoord. [appellant sub 1] c.s. voeren aan dat Uber geen informatie heeft verstrekt over de wijze waarop zij ‘ for legal reasons or in the event of a dispute’ persoonsgegevens betreffende [appellant sub 1] c.s. heeft verstrekt aan ‘ontvangers of categorieën van ontvangers’ als bedoeld in artikel 15 lid 1, sub c), AVG. Dat Uber gegevens voor dit doel verwerkt blijkt uit de Privacy Policy onder punt 7, zo stellen zij.

3.23 De grief slaagt. Uber heeft, zonder enige nadere toelichting, gesteld dat zij op grond van artikel 23, lid 1 sub c), d) en h) AVG niet gehouden is om informatie te verstrekken over de betreffende ontvangers. Zonder nadere toelichting is niet duidelijk waarom de in deze bepalingen genoemde belangen (kort samengevat: openbare veiligheid, voorkoming en opsporing van strafbare feiten, en de uitoefening van het openbaar gezag) in dit verband relevant zouden kunnen zijn, daargelaten dat artikel 23 AVG lid 1 voor de inroepbaarheid van deze belangen verlangt dat de waarborging daarvan is neergelegd in Unierechtelijke of nationale bepalingen. Niet duidelijk is op welke Unierechtelijke of Nederlandse bepaling Uber doelt. Voor zover Uber heeft bedoeld in dit verband artikel 41, aanhef, sub i), UAVG in te roepen, heeft zij dat niet toegelicht. Het verzoek van [appellant sub 1] c.s. aangaande inzage in informatie over de ontvangers of categorieën van ontvangers aan wie persoonsgegevens van [appellant sub 1] c.s. zijn verstrekt ten behoeve van ‘legal reasons or in the event of a dispute’, alsmede de verwerkingsdoeleinden en betrokken categorieën van persoonsgegevens, als bedoeld in artikel 15 lid 1, sub a), b) en c), AVG is dan ook toewijsbaar. Het hof wijst in dit verband nog op het arrest Österreichische Post , waarin het HvJEU heeft geoordeeld dat de informatie die aan de betrokkene wordt verstrekt op grond van het in artikel 15, lid 1, onder c), AVG neergelegde recht van inzage zo nauwkeurig mogelijk moet zijn.

Het verzoek om inzage in alle overige persoonsgegevens

3.24 Grief 1 is gericht tegen rov. 4.35 van de bestreden beschikking. Hierin heeft de rechtbank geoordeeld dat het verzoek om inzage in alle persoonsgegevens die Uber van verzoekers verwerkt te algemeen en zo weinig concreet is dat het als onvoldoende bepaald wordt afgewezen. [appellant sub 1] c.s. betogen allereerst dat het inzagerecht op grond van de AVG ongeclausuleerd is en dat hieraan slechts onder bijzondere omstandigheden nadere eisen mogen worden gesteld. In de tweede plaats berust het oordeel van de rechtbank op een onjuiste interpretatie van overweging 63 van de AVG. Uber heeft namelijk niet voorafgaand aan de verstrekking om nadere precisering gevraagd. Ten derde, zo stellen zij, heeft Uber nagelaten om bij de beantwoording van de verzoeken op een overzichtelijke wijze mee te delen welke delen van hun verzoek werden toegewezen respectievelijk afgewezen. Daardoor konden [appellant sub 1] c.s. hun verzoek ook niet nader specificeren. In de vierde plaats brengen [appellant sub 1] c.s. naar voren dat zij niet weten over welke gegevens Uber beschikt. Ten vijfde heeft de rechtbank ten onrechte meegewogen dat [appellant sub 1] c.s. al een groot aantal persoonsgegevens had ontvangen en ten zesde hebben [appellant sub 1] c.s. slechts eenmaal een inzageverzoek ingediend, en niet meerdere keren, zo benadrukken [appellant sub 1] c.s. Om al deze redenen dient hun algemene verzoek alsnog te worden toegewezen, zo stellen zij.

3.25 Het staat tussen partijen vast dat Uber een bijzonder groot aantal persoonsgegevens verwerkt van [appellant sub 1] c.s. Ook staat vast dat [appellant sub 1] c.s. in hun initiële inzageverzoek reeds een behoorlijk aantal categorieën persoonsgegevens had gespecificeerd, met de opmerking dat dit geen limitatieve opsomming was. Het hof is met de rechtbank van oordeel dat het op de weg van [appellant sub 1] c.s. had gelegen om (middels een nieuw of aanvullend initieel inzageverzoek) hun eerste inzageverzoek nader te specificeren dan wel uit te breiden. Het argument van [appellant sub 1] c.s. dat het voor hen feitelijk onmogelijk was om hun inzageverzoek te specificeren treft geen doel. Het hof wijst erop dat [appellant sub 1] c.s. op de voet van artikel 15 lid 1, sub b), AVG aan Uber hadden kunnen vragen om informatie over de betrokken categorieën van persoonsgegevens die door Uber worden verwerkt. Aan de hand van dat antwoord hadden zij een nieuw of aanvullend inzageverzoek bij Uber kunnen indienen. Op deze manier zou Uber als verwerkingsverantwoordelijke de gelegenheid hebben gehad om daarop te beslissen, alvorens deze nadere specificatie c.q. uitbreiding van het inzageverzoek voorwerp zou worden van een gerechtelijke procedure. [appellant sub 1] c.s. hebben niet gesteld dat zij een informatieverzoek (over de betrokken categorieën persoonsgegevens) in de zin van artikel 15 lid 1, sub b), AVG hebben ingediend bij Uber. [appellant sub 1] c.s. hebben in dit opzicht ten onrechte het initiatief neergelegd bij Uber. Dat de verwerkingsverantwoordelijke, zoals Uber, eerst de gelegenheid moet hebben gehad om te beslissen op een inzage- c.q. informatie- c.q. overdraagbaarheidsverzoek alvorens dit verzoek voorwerp wordt van een gerechtelijke procedure, vloeit naar het oordeel van het hof mede voort uit de door artikel 35 UAVG voorgeschreven rechtsgang. Dat artikel bepaalt dat de belanghebbende (in dit geval: [appellant sub 1] c.s.) zich tot de rechtbank kan wenden met het schriftelijk verzoek de verwerkingsverantwoordelijke (in dit geval: Uber) te bevelen het verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening alsnog toe of af te wijzen. In deze verzoekschriftprocedure dient het hof dus te oordelen over het initiële (inzage- c.q. informatie- c.q. overdraagbaarheids)verzoek van [appellant sub 1] c.s. zoals zij dat in 2020 hebben ingediend bij Uber. Zou de belanghebbende worden toegestaan dit initiële (inzage- c.q. informatie- c.q. overdraagbaarheids)verzoek in de (gerechtelijke) procedure te wijzigen of uit te breiden, dan wordt hiermee de verwerkingsverantwoordelijke de gelegenheid ontnomen om zich buitengerechtelijk uit te laten over de toewijsbaarheid van dat gewijzigde verzoek. Naar het oordeel van het hof verzet zowel artikel 35 UAVG als de goede procesorde zich hiertegen. Grief 1 heeft dan ook geen succes.

Het verzoek om informatie over geautomatiseerde besluitvorming

3.26 De rechtbank heeft het verzoek van [appellant sub 1] c.s. ook afgewezen voor zover hun verzoek is gebaseerd op artikel 15 lid 1, sub h), AVG (recht op informatie over het bestaan van geautomatiseerde besluitvorming). De rechtbank heeft daartoe onder meer overwogen, in rov. 4.67 van de bestreden beschikking, dat [appellant sub 1] c.s. onvoldoende hebben toegelicht in hoeverre Uber over hen besluiten heeft genomen op basis van geautomatiseerde besluitvorming zoals bedoeld in artikel 22 AVG. Daarvoor is vereist dat ook sprake is van rechtsgevolgen of dat de betrokkene anderszins in aanmerkelijke mate wordt getroffen. De rechtbank heeft daaraan toegevoegd dat, waar het verzoek ziet op fraudebestrijdingsprocessen, [appellant sub 1] c.s. niet hebben toegelicht dat Uber ten aanzien van hen heeft geconcludeerd dat zij zich schuldig hebben gemaakt aan fraude.

3.27

Tegen dit onderdeel van de afwijzing en de daaraan ten grondslag gelegde motivering komen [appellant sub 1] c.s. op met grief 8. In de eerste plaats betogen zij dat Uber zelf had moeten nagaan of zij geautomatiseerde besluitvorming had toegepast jegens [appellant sub 1] c.s. Voor [appellant sub 1] c.s. is het feitelijk onmogelijk om dit aan te tonen. Van [appellant sub 1] c.s. kan daarom niet worden verlangd hun verzoek op dit punt nader te concretiseren. Ten tweede wijzen zij op paragraaf 9 van de privacyverklaring waarin verschillende vormen van geautomatiseerde besluitvorming als bedoeld in artikel 22 AVG worden genoemd. Al deze vormen van geautomatiseerde besluitvorming hebben volgens [appellant sub 1] c.s. invloed op hun rechten en treffen hen in aanmerkelijke mate, bijvoorbeeld ten aanzien van de hoeveelheid werk die zij kunnen verrichten via Uber en daarmee voor hun inkomen.

Uber voert verweer, dat hierna aan de orde zal komen.

a) De reikwijdte van artikel 15 lid 1, sub h), AVG

3.28 Het hof zal eerst ingaan op de reikwijdte en toepassingsvoorwaarden van artikel 15 lid 1, sub h), AVG, aangezien deze bepaling de grondslag vormt van het verzoek van [appellant sub 1] c.s. Het hof merkt in dit verband op dat de Nederlandse versie van artikel 15 lid 1, sub h), AVG niet helemaal duidelijk is wat betreft de daarin opgenomen verwijzing naar artikel 22 AVG. Dit is van belang, omdat het debat tussen partijen zich toespitst op de vraag of artikel 22 AVG wel van toepassing is op de door [appellant sub 1] c.s. genoemde besluiten die Uber t.a.v. hen heeft genomen. [appellant sub 1] c.s. menen van wel en Uber meent van niet.

3.29 Naar de (Nederlandse) letter gelezen, ziet het in artikel 15 lid 1, sub h), AVG opgenomen informatierecht op elke vorm van geautomatiseerde besluitvorming, ‘met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering’, en dus bijvoorbeeld ook op besluitvorming die niet uitsluitend maar slechts gedeeltelijk gebaseerd is op geautomatiseerde besluitvorming. Echter, in de Engelse respectievelijk Franse versie van deze bepaling is het informatierecht beperkt tot ‘ the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4 )’ respectievelijk ‘l’existence d’une prise de décision auomatisée, y compris un profilage, visée a l’article 22, paragraphes 1 et 4’. Afgaande op deze teksten gaat het hof ervan uit dat het in artikel 15 lid 1, sub h), vervatte informatierecht louter ziet op díe vorm van geautomatiseerde besluitvorming die is bedoeld in artikel 22 leden 1 en 4 van de AVG. Voor een dergelijke uitleg (die dus afwijkt van de letter van de Nederlandse tekst) pleit eveneens dat de verwijzing, in de Nederlandse versie van artikel 15 lid 1, sub h), AVG, naar de in artikel 22 lid 4 bedoelde profilering niet juist kan zijn, aangezien in dat vierde lid het begrip ‘profilering’ niet voorkomt. Tot slot valt voor deze uitleg steun te vinden in de EDPB richtsnoeren. In hoofdstuk IV, paragraaf E, subparagraaf 2, van die richtsnoeren is ook met zoveel woorden bepaald dat het in artikel 15 lid 1, sub h), AVG opgenomen informatierecht ziet op informatie over ‘uitsluitend geautomatiseerde besluitvorming’.

3.30 Het vorenstaande betekent dat er op de voet van artikel 15 lid 1, sub h), AVG een informatierecht bestaat voor zover de verwerkingsverantwoordelijke de betrokkene ‘onderwerpt’ aan ‘een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft’.

3.31 In de EDPB richtsnoeren (zie hiervoor onder 3.4) wordt in hoofdstuk IV, onder paragraaf B, ingegaan op onder meer de vraag wat moet worden verstaan onder een besluit dat de betrokkene ‘anderszins in aanmerkelijke mate treft’. Hierin wordt opgemerkt dat uit de formulering blijkt dat in artikel 22 AVG ‘alleen ernstige, aanzienlijke effecten worden bedoeld’ en voorts dat de drempel voor ‘aanmerkelijke mate’ ‘vergelijkbaar moet zijn met de mate waarin de betrokken wordt getroffen bij een besluit waaraan een rechtsgevolg verbonden is’.

b) Betreft het informatieverzoek besluiten waaraan rechtsgevolgen voor [appellant sub 1] c.s. zijn verbonden of die hen anderszins in aanmerkelijke mate treffen?

3.32

[appellant sub 1] c.s. hebben hun grief tegen de afwijzing van hun informatieverzoek toegespitst op een vijftal categorieën van besluitvorming, die hierna achtereenvolgens zullen worden besproken.

3.33

In de eerste plaats wensen [appellant sub 1] c.s. informatie over het zogenaamde ‘batched matching systeem’: dit is het geautomatiseerde systeem waarmee Uber chauffeurs koppelt aan passagiers. Dit systeem groepeert eerst de dichtstbijzijnde Uber chauffeurs en passagiers in een batch (groep) en bepaalt vervolgens binnen deze groep de optimale match (koppeling). Het doel hiervan is om de wachttijden voor de gehele groep van chauffeurs en passagiers zo kort mogelijk te houden. Uber heeft onbetwist gesteld dat een chauffeur in de Driver app persoonlijke voorkeuren kan invoeren die door Uber worden meegewogen in het koppelingsproces. Tegelijk heeft Uber erkend dat dit systeem ook rekening houdt met een lage waardering door een passagier, waardoor die specifieke passagier niet meer wordt gekoppeld aan de betreffende chauffeur.

Naar het oordeel van het hof treft de geautomatiseerde ritverdeling door middel van het ‘batched matching systeem’ de chauffeurs, over het geheel bezien, in aanmerkelijke mate. Die verdeling leidt immers tot het matchen van vraag en aanbod en kan er ook toe leiden, zoals [appellant sub 1] c.s. hebben gesteld en Uber niet heeft betwist, dat een chauffeur geen of minder vaak een aanbod krijgt. Deze geautomatiseerde besluitvorming is daarmee bepalend voor de hoeveelheid werk die de chauffeurs kunnen verrichten via Uber en daarmee voor hun inkomsten.

3.34 In de tweede plaats verzoeken [appellant sub 1] c.s. om informatie over het zogenaamde ‘upfront pricing systeem’: dit is het geautomatiseerde systeem waarmee Uber vooraf de prijs voor een rit berekent aan de hand van objectieve factoren zoals de lengte en verwachte duur van de aangevraagde rit, de verhouding van vraag en aanbod op dat moment, verwachte verkeerspatronen en de datum. Daarnaast c.q. daarbij maakt Uber ook gebruik van dynamische tarieven bij het bepalen van de ritprijs. Naar het oordeel van het hof hebben [appellant sub 1] c.s. voldoende gemotiveerd gesteld en heeft Uber onvoldoende gemotiveerd betwist dat de uitkomst van deze besluiten in hun geheel bezien de chauffeurs in aanmerkelijke mate treffen. Bij elke passagier die zij vervoeren wordt dit systeem toegepast. Het gaat dus om elkaar opvolgende besluiten met telkens financiële gevolgen die bepalend zijn voor de inkomsten die zij kunnen verwerven.

3.35 In de derde plaats wensen [appellant sub 1] c.s. informatie over het vaststellen van (gemiddelde) beoordelingen van chauffeurs : Uber heeft toegelicht dat beoordelingen worden gegeven door de passagiers, en niet door Uber, en dat Uber die beoordelingen slechts combineert om tot een gemiddelde rating van de chauffeur te komen. Uit de privacy verklaring (zie hiervoor, 2.6) blijkt dat de gecombineerde beoordelingen gronden kunnen vormen voor deactivering van de chauffeurs. Daarmee kunnen deze gecombineerde beoordelingen, weliswaar op indirecte wijze, naar het oordeel van het hof aanzienlijke effecten voor de chauffeurs teweeg brengen. De vaststelling van die gemiddelde ratings treft de chauffeurs dan ook in aanmerkelijke mate.

3.36

In de vierde plaats verzoeken [appellant sub 1] c.s. om informatie over het in rekening brengen van annuleringskosten bij de chauffeur en, in de vijfde plaats, het deactiveren van de accounts van de chauffeurs. Uber heeft toegelicht dat zij kan besluiten om de annuleringskosten die een passagier normaal zou moeten betalen als deze een rit heeft aangevraagd en vervolgens annuleert, toch niet bij de passagier in rekening te brengen en dus ook niet aan de chauffeur uit te betalen. Dit besluit wordt volgens Uber genomen als zich een bepaalde vorm van annuleringsfraude voordoet.

Het hof stelt evenwel vast dat [appellant sub 1] c.s. in hun beroepschrift hebben nagelaten om hun grief op dit punt nader toe te lichten, terwijl dat wel op hun weg had gelegen. Zo hebben zij niet concreet gemaakt dat ten aanzien van hen annuleringskosten in rekening zijn gebracht en hebben zij ook niet toegelicht wanneer en op welke wijze de accounts van [appellant sub 1] , [appellant sub 2] , [appellant sub 4] en [appellant sub 6] zijn gedeactiveerd. Aldus hebben zij nagelaten in hoger beroep hun stellingen omtrent deze twee categorieën voldoende toe te lichten. Van belang hierbij is dat ook de rechtbank heeft overwogen dat [appellant sub 1] c.s. hebben nagelaten om toe te lichten dat Uber ten aanzien van hen heeft geconcludeerd dat zij zich schuldig hebben gemaakt aan fraude en dat tegen die overweging geen grief is gericht. Het hof komt in deze zaak, anders dan in de zaak 200.295.742/01 waarin het hof eveneens vandaag uitspraak doet, daarom niet toe aan de overige vragen die dienen te worden beantwoord om te kunnen concluderen of wat betreft deze twee categorieën (het in rekening brengen van annuleringskosten en het deactiveren van accounts) sprake is van besluitvorming in de zin van artikel 22 lid 1 AVG.

c) Zijn de door [appellant sub 1] c.s. genoemde besluiten uitsluitend gebaseerd op geautomatiseerde verwerking?

3.37 Aangezien hiervoor (in punt 3.33-3.35) is geconcludeerd dat de besluitvorming middels het ‘batched matching systeem’, respectievelijk het ‘upfront pricing systeem’ al dan niet in combinatie met het hanteren van dynamische tarieven alsmede de vaststelling van de gemiddelde beoordelingen de chauffeurs in aanmerkelijke mate treffen, dient de vraag te worden beantwoord of deze besluitvorming is gebaseerd op uitsluitend geautomatiseerde verwerking. Uber heeft ten aanzien van alle drie deze categorieën niet dan wel onvoldoende gemotiveerd betwist dat dit het geval is. Dit zijn dan ook besluiten die vallen onder de reikwijdte van artikel 22 lid 1 AVG, en daarmee onder de reikwijdte van artikel 15 lid 1, sub h), AVG.

d) Kan Uber zich beroepen op een uitzondering op het in artikel 15 lid 1, sub h) AVG vervatte informatierecht?

3.38 Uber heeft in haar verweerschrift in eerste aanleg (punt 90-91) als verweer gevoerd dat de door [appellant sub 1] c.s. gevraagde informatie bedrijfsgeheimen bevat inzake haar fraudebestrijdingsprocessen. Als zij [appellant sub 1] c.s. daarover informatie zou verschaffen, zou dat kunnen leiden tot omzeiling van die processen en zouden concurrenten hun voordeel daarmee kunnen doen. Effectieve fraudebestrijding is voor Uber van groot belang, mede omdat TfL sancties kan treffen als Uber daarin tekort schiet. Uber meent dat zij op grond van artikel 15 lid 4 AVG en artikel 41 lid 1, sub i), UAVG gerechtigd is de door [appellant sub 1] c.s. gevraagde informatie te weigeren.

3.39 Het hof merkt allereerst op dat artikel 15 lid 4 AVG slechts een uitzondering bevat op het in artikel 15 lid 3 AVG opgenomen recht van de betrokkene om een kopie van de persoonsgegevens te ontvangen. De uitzondering ziet niet op het in artikel 15 lid 1, aanhef en sub h) AVG vervatte recht op informatie over het bestaan van geautomatiseerde besluitvorming. Daarentegen bepaalt artikel 23 lid 1, sub i), AVG dat de reikwijdte van de verplichtingen en rechten als bedoeld in, onder meer, artikel 15 van de AVG, onder bepaalde voorwaarden kan worden beperkt door de lidstaten indien die beperking noodzakelijk en evenredig is ter waarborging van de bescherming van de rechten en vrijheden van anderen. In de Nederlandse wetgeving is een dergelijke beperking neergelegd in artikel 41 lid 1, sub i), UAVG. Naar het oordeel van het hof biedt deze bepaling evenwel onvoldoende grond voor het oordeel dat Uber gerechtigd is om de informatieverzoeken van [appellant sub 1] c.s. in hun geheel af te wijzen. Een volledige afwijzing van die verzoeken is namelijk niet in overeenstemming met de door artikel 41 lid 1, sub i), UAVG vereiste evenredigheid en noodzakelijkheid, althans Uber heeft onvoldoende gesteld voor het oordeel dat een volledige afwijzing wel evenredig en noodzakelijk zou zijn met het oog op de bescherming van haar bedrijfsgeheimen. Ten overvloede wijst het hof nog op punt 63 uit de preambule van de AVG, waarin wordt overwogen dat overwegingen aangaande de rechten of vrijheden van anderen er niet toe mogen leiden dat de betrokkene alle informatie wordt onthouden. Dit verweer van Uber ter verdediging van haar afwijzing van de informatieverzoeken wordt dan ook door het hof verworpen.

e) Op welke wijze moet gevolg worden gegeven aan een informatieverzoek als bedoeld in artikel 15 1id 1, sub h), AVG?

3.40 De conclusie is dat Uber de informatieverzoeken van [appellant sub 1] c.s. ten onrechte heeft afgewezen wat betreft het ‘batched matching systeem’ , respectievelijk het ‘upfront pricing systeem’ al dan niet in combinatie met het hanteren van dynamische tarieven alsmede de vaststelling van de (gemiddelde) beoordelingen. De grief slaagt in zoverre.

3.41 Voor zover Uber meent te kunnen volstaan met een verwijzing naar de website, ter toelichting van deze categorie van besluitvorming merkt het hof op dat een dergelijke verwijzing niet kan volstaan. Artikel 15 lid 1, sub h), AVG schrijft immers voor dat betrokkene recht heeft op informatie over het bestaan van geautomatiseerde besluitvorming (als bedoeld in artikel 22 AVG), met inbegrip van profilering, en, zo dat het geval is, ‘ nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. Van belang hierbij is dat het gaat om ‘nuttige informatie’, dat wil zeggen zodanige informatie dat de betrokkene met voldoende kennis van zaken kan beslissen of hij al dan niet zijn door de AVG gewaarborgde rechten, zoals het recht op rectificatie of inzage of het recht om rechtsmiddelen aan te wenden, wenst uit te oefenen. Zoals de EDPB richtsnoeren voorschrijven, moet de verwerkingsverantwoordelijke op de voet van artikel 15 lid 1, sub h), AVG de betrokkene algemene informatie verstrekken die van nut is om het besluit aan te vechten, met name informatie over factoren die in het besluitvormingsproces in aanmerking zijn genomen, en hun respectieve ‘weging’ op een geaggregeerd niveau. De verstrekte informatie moet volledig genoeg zijn voor de betrokkene om de redenen van het besluit te kunnen begrijpen. Uit die richtsnoeren vloeit evenwel ook voort dat het niet noodzakelijkerwijs een ingewikkelde toelichting over de gebruikte algoritmen of een uiteenzetting van het volledige algoritme hoeft te zijn. Met deze laatste begrenzing wordt naar het oordeel van het hof voldoende rekening gehouden met de belangen van, in dit geval Uber, wat betreft de door haar genoemde bedrijfsgeheimen. Uber heeft nagelaten aan te tonen dat de door haar genoemde website voldoet aan de voorschriften zoals die voortvloeien uit artikel 15 lid 1, sub h), AVG, gelezen in het licht van de EDPB richtsnoeren. Waar het om gaat is dat Uber ten minste toelicht op basis van welke factoren en welke weging van die factoren Uber tot de ritverdelingsbesluiten, de tariefbesluiten respectievelijk de gemiddelde ratings komt en [appellant sub 1] c.s. ook voorziet van andere informatie die nodig is om de redenen van die besluiten te kunnen begrijpen.

Het recht op overdraagbaarheid van bepaalde gegevens als bedoeld in artikel 20 AVG

3.42 Artikel 20 lid 1 AVG bevat het recht van de betrokkene om, onder bepaalde voorwaarden, de hem betreffende persoonsgegevens die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen. Bij de uitoefening van dit recht, zo bepaalt artikel 20 lid 2 AVG, heeft de betrokkene het recht dat de persoonsgegevens, indien dit technisch mogelijk is, rechtstreeks van de ene verwerkingsverantwoordelijke naar de andere worden doorgezonden, indien dit technisch mogelijk is. De achterliggende gedachte is dat de betrokkene zijn gegevens kan meenemen naar bijvoorbeeld een andere dienstverlener en in beginsel daarvoor medewerking van de oorspronkelijke verwerkingsverantwoordelijke kan afdwingen.

3.43

[appellant sub 1] c.s. hebben in hun verzoeken aan Uber, met een beroep op artikel 20 AVG, verzocht om verstrekking van de onder deze bepaling vallende persoonsgegevens. Uber heeft bij de beantwoording van de verzoeken van [appellant sub 1] c.s. het grootste deel van de gevraagde informatie in CSV- of vergelijkbare vorm verstrekt, althans [appellant sub 1] c.s. heeft deze stelling van Uber (punt 141 van het verweerschrift in hoger beroep) niet betwist. Voor een deel van de gevraagde informatie heeft Uber dat in ander formaat, zoals pdf gedaan. Dat betreft de categorieën ‘zendesk tickets’, ‘invoices’, ‘driver safety complaints’ en ‘driver documents’.

3.44 Met grief 10 komen [appellant sub 1] c.s. op tegen rov. 4.81 van de bestreden beschikking. Hierin heeft de rechtbank geoordeeld dat er geen aanleiding bestaat om Uber te bevelen om de in pdf-formaat verstrekte categorieën alsnog in een CSV formaat (of vergelijkbaar formaat) te verstrekken aan [appellant sub 1] c.s. Bij gebreke van een betwisting door [appellant sub 1] c.s. sluit het hof zich aan bij het oordeel van de rechtbank dat de categorieën ‘zendesk tickets’, ‘driver complaints’ en ‘invoices’ niet vallen onder de reikwijdte van artikel 20 AVG, omdat deze gegevens niet door verzoekers zelf aan Uber zijn verstrekt, noch op actieve en bewuste wijze, noch door het gebruik van de Uber Driver app. Ten aanzien van de ‘driver documents’ heeft Uber gemotiveerd gesteld dat zij deze documenten, die door de chauffeurs zelf zijn aangeleverd, zoals een kopie van een rijbewijs, enkel kan aanleveren in het formaat waarin de chauffeur zelf het document heeft aangeleverd. [appellant sub 1] c.s. hebben dat niet betwist. Mede in het licht van de bewoordingen ‘indien dit technisch mogelijk is’, zoals opgenomen in artikel 20 lid 2 AVG, die weliswaar slaan op verstrekking van de ene verwerkingsverantwoordelijke aan de ander, gaat het hof ervan uit dat het in artikel 20 lid 1 AVG vervatte recht niet het technisch onmogelijke vraagt van de verwerkingsverantwoordelijke. Hiervoor is ook een aanknopingspunt te vinden in overweging 68 van de preambule van de AVG, waarin met betrekking tot het in artikel 20 AVG vervatte recht wordt overwogen: ‘Het recht van de betrokkene om hem betreffende persoonsgegevens door te zenden of te ontvangen, mag voor de verwerkingsverantwoordelijke geen verplichting doen ontstaan om technisch compatibele systemen voor gegevensverwerking op te zetten of te houden.’ Een en ander brengt het hof tot de conclusie dat het op artikel 20 AVG gebaseerde verzoek van [appellant sub 1] c.s., dat in hoger beroep nog slechts ziet op de ‘zenddesk tickets’, ‘driver complaints’, ‘invoices’, en ‘driver documents’, niet voor toewijzing in aanmerking komt. De grief heeft geen succes.

3.45

In hoger beroep hebben [appellant sub 1] c.s. in verband met hun op artikel 20 AVG gebaseerde verzoek nog om een verklaring voor recht verzocht, inhoudende dat verstrekking van gegevens in pdf-formaat niet kan worden aangemerkt als een verstrekking als bedoeld in artikel 20 lid 1 AVG. Het hof wijst in dit verband naar het

het arrest van de Hoge Raad van 31 maart 2000, ECLI:NL:HR: 2000:AA5319, rov. 3.2.2. Hieruit valt af te leiden dat de rechter op een daartoe gedaan verzoek om een verklaring voor recht aangaande een wetsbepaling deze verklaring kan uitspreken mits deze blijft binnen de grenzen van genoemde wetsbepaling en zich beperkt tot de vaststelling van de rechtsverhouding in geschil tussen de verzoeker en de verweerder. Aangezien in de onderhavige rechtsverhouding tussen [appellant sub 1] c.s. en Uber het op artikel 20 AVG gebaseerde verzoek niet voor toewijzing in aanmerking komt, wordt er niet voldaan aan de door de Hoge Raad gestelde voorwaarden en dient het verzoek om een verklaring voor recht te worden afgewezen.

De verzochte dwangsom

3.46

[appellant sub 1] c.s. verzoeken, onder verwijzing naar artikel 35 lid 5 UAVG, om oplegging van een dwangsom ter hoogte van € 6.000,00 voor iedere dag of deel daarvan dat Uber niet voldoet aan de te geven beschikking.

Het hof zal deze toewijzen tot € 4.000,00 per dag of dagdeel, in lijn met de dwangsom zoals die wordt toegewezen in de hiervoor reeds genoemde (door andere chauffeurs tegen Uber aangespannen) zaak 200.295.742/01, waarin eveneens heden uitspraak wordt gedaan.

Uitvoerbaar bij voorraad?

3.47 Uber heeft verzocht om, in geval van toewijzing van het verzoek van [appellant sub 1] c.s. de beschikking niet uitvoerbaar bij voorraad te verklaren. Het hof wijst in dit verband op het in acht te nemen uitgangspunt dat een uit te spreken veroordeling uitvoerbaar dient te zijn en ten uitvoer kan worden gelegd. Afwijking van dit uitgangspunt kan worden gerechtvaardigd door omstandigheden die meebrengen dat het belang van de veroordeelde bij behoud van de bestaande toestand zolang niet op een door hem ingestelde rechtsmiddel is beslist, zwaarder weegt dan het belang van degene die de veroordeling in de ten uitvoer te leggen uitspraak heeft verkregen bij de uitvoerbaar bij voorraad heeft. Hetgeen Uber ter onderbouwing van haar verzoek tot het achterwege laten van de uitvoerbaarverklaring bij voorraad heeft aangevoerd, namelijk dat door de inzage in wezen inzage in haar fraudebestrijdingsprocessen wordt gegeven, is niet relevant, aangezien de onderdelen van het verzoek die zijn toegewezen hier geen betrekking op hebben. Het verzoek van [appellant sub 1] c.s. om de beschikking uitvoerbaar bij voorraad te verklaren zal daarom worden toegewezen.

De incidentele verzoeken

3.48 In het (voorwaardelijk) incident hebben [appellant sub 1] c.s. het hof verzocht Uber op grond van artikel 843a Rv te bevelen inzage, afschrift of uittreksel over te leggen van de bij Uber berustende bescheiden en op een gegevensdrager aangebrachte gegevens

- waarin Uber heeft vastgelegd ten aanzien van welke categorieën van persoonsgegevens als genoemd in de Guidance Notes Uber het inzageverzoek van [appellant sub 1] c.s. als bedoeld in artikel 15 lid 1 AVG heeft toegewezen respectievelijk heeft afgewezen en

- waarin is vastgelegd of Uber ten aanzien van [appellant sub 1] c.s. geautomatiseerde besluitvorming met inbegrip van de in artikel 22, leden 1 en 4 AVG bedoelde profilering, heeft toegepast.

Deze incidentele verzoeken zijn voorwaardelijk zijn ingediend. Aangezien grief 2, inzake de Guidance notes, en grief 8, inzake geautomatiseerde besluitvorming, slagen, is de voorwaarde waaronder de incidentele verzoeken zijn ingediend niet vervuld en komt het hof niet toe aan de beoordeling daarvan.

Slotsom

3.49 De grief van Uber in incidenteel hoger beroep en de grieven 1, 5, 6 en 10 van [appellant sub 1] c.s. in principaal hoger beroep falen. De grieven 2, 3, 4, 7, 8 en 9 in principaal hoger beroep hebben geheel dan wel grotendeels succes. Het hof zal de hiermee samenhangende verzoeken alsnog toewijzen op na te melden wijze. Het verzoek in incident zal worden afgewezen evenals het verzoek van Uber om de beschikking niet uitvoerbaar bij voorraad te verklaren. Uber zal als grotendeels in het ongelijk gestelde partij worden veroordeeld in de kosten van het geding in incidenteel en principaal hoger beroep en het geding in eerste aanleg. [appellant sub 1] c.s. zullen worden veroordeeld in de kosten van het incident.

4 Beslissing

Het hof:

vernietigt de bestreden beschikking voor zover daarbij is afgewezen het verzoek van [appellant sub 1] c.s. inzake:

a. a) het op artikel 15 lid 1, aanhef, AVG gebaseerde initiële verzoek van [appellant sub 1] c.s. om inzage in de hen betreffende persoonsgegevens (i) zoals omschreven in productie 2 bij het beroepschrift en behorend tot categorie 12 van de Guidance Notes, getiteld ‘Driver detailed device data’, (ii) zoals opgenomen in het Driver’s profile en (iii) zoals opgenomen in de ‘tags’;

b) het op artikel 15 lid 1, aanhef, AVG gebaseerde initiële verzoek van [appellant sub 3] om inzage in hem betreffende persoonsgegevens in de categorie ‘upfront pricing’;

c) het op artikel 15 lid 1, sub a), b) en c) AVG gebaseerde initiële verzoek van [appellant sub 1] c.s. aangaande inzage in informatie over de ontvangers of categorieën van ontvangers aan wie persoonsgegevens van [appellant sub 1] c.s. zijn verstrekt ten behoeve van ‘legal reasons or in the event of a dispute’, alsmede de verwerkingsdoeleinden en betrokken categorieën van persoonsgegevens;

d) het op artikel 15 lid 1, sub h) AVG gebaseerde initiële verzoek van [appellant sub 1] c.s. om informatie over het bestaan van geautomatiseerde besluitvorming in de zin van die bepaling voor zover dat verzoek ziet op het ‘batched matching systeem’ , het ‘upfront pricing systeem’ al dan niet in combinatie met het door Uber gehanteerde systeem van dynamische tarieven alsmede de vaststelling van (gemiddelde) beoordelingen;

en in zoverre opnieuw rechtdoende:

beveelt Uber om, binnen twee maanden na betekening van deze beschikking, de hiervoor onder a) tot en met c) genoemde verzoeken toe te wijzen alsmede het hiervoor onder d) genoemde verzoek op de wijze zoals omschreven in rov. 3.41, op straffe van verbeurte van een dwangsom ter hoogte van € 4.000,00 voor iedere dag of deel daarvan dat Uber niet voldoet aan dit bevel;

bekrachtigt de bestreden beschikking voor het overige voor zover aan het oordeel van het hof onderworpen;

veroordeelt Uber in de kosten van het principaal en incidenteel hoger beroep en van het geding in eerste aanleg en begroot deze kosten, voor zover tot heden aan de zijde van [appellant sub 1] c.s. gevallen, op € 338,00 aan verschotten en € 3.342,00 aan salaris in hoger beroep en op € 304,00 aan verschotten en € 1.126,00 aan salaris in eerste aanleg;

veroordeelt [appellant sub 1] c.s. in de kosten van het incident en begroot deze kosten, voor zover tot heden aan de zijde van Uber gevallen, op € 0 aan verschotten en € 1.114,00 aan salaris en op € 163,00 voor nasalaris, te vermeerderen met € 85,00 voor nasalaris en met de kosten van het betekeningsexploot, ingeval niet binnen veertien dagen is voldaan aan de bij deze beschikking uitgesproken veroordeling(en) en betekening van deze beschikking heeft plaatsgevonden, en te vermeerderen met de wettelijke rente;

verklaart deze beschikking uitvoerbaar bij voorraad;

wijst af het meer of anders verzochte.

Deze beschikking is gegeven door mrs. C.A.H.M. ten Dam, G.C. Boot en E. Verhulp en door de rolraadsheer in het openbaar uitgesproken op 4 april 2023.

Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG.

HvJEU van 20 december 2017 in C-434/16, Nowak , ECLI:EU:C:2017:994, punten 42 e.v.

HvJEU van 12 januari 2023 in C-154/21, ECLI:EU:C:2023:3, punt 43.

Vergelijk: HvJEU van 21 juni 2022 in C-817/19 Ligue des droits humains , ECLI:EU:C:2022:491, punt 210.

Zie ook de conclusie van A-G PIKAMÄE van 16 maart 2023 in C-634/21, SCHUFA Holding e.a ., ECLI:EU:C:2023:220, punt 58.