Sürücülerin Kişisel Veri Erişim Hakkı

ECLI:NL:GHAMS:2023:804 text/xml public 2023-06-29T10:51:16 2023-04-03 Raad voor de Rechtspraak nl Gerechtshof Amsterdam 2023-04-04 200.295.806/01 Uitspraak Hoger beroep NL Amsterdam Civiel recht Eerste aanleg: ECLI:NL:RBAMS:2021:1019

Rechtspraak.nl JBP 2023/78

http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:GHAMS:2023:804 text/html public 2023-04-04T07:46:30 2023-04-04 Raad voor de Rechtspraak nl ECLI:NL:GHAMS:2023:804 Gerechtshof Amsterdam , 04-04-2023 / 200.295.806/01

Verzoek van chauffeurs aan Ola Netherlands BV om inzage als bedoeld in artikel 15 lid 1 AVG in bepaalde hen betreffende persoonsgegevens (waaronder door passagiers gegeven ‘ratings’) en om informatie als bedoeld in artikel 15 lid 1, sub h) AVG (informatie over het bestaan van geautomatiseerde besluitvorming in de zin van artikel 22 AVG). Bescherming van de persoonsgegevens van de passagiers. Is aanpassing van het initiële inzageverzoek in de gerechtelijke procedure mogelijk?

Verzoek om informatie over onder meer de door Ola gebruikte ‘fraud probability score’, het ‘earning profile’ alsmede de toedeling van ritten aan chauffeurs. Reikwijdte van het informatierecht als bedoeld in artikel 15 lid 1, sub h), AVG. Betreft het informatieverzoek besluiten waaraan rechtsgevolgen voor de chauffeurs zijn verbonden of die hen anderszins in aanmerkelijke mate treffen? Kan Ola zich op een uitzondering op het door de chauffeurs ingeroepen informatierecht beroepen? Op welke wijze moet aan het informatieverzoek gevolg worden gegeven? Chauffeurs verzoeken tevens om overdraagbaarheid van bepaalde persoonsgegevens als bedoeld in artikel 20 AVG.

Zie ook de beschikkingen van gelijke datum in de zaken 200.295.742/01 en 200.295.747/01.

GERECHTSHOF AMSTERDAM

afdeling civiel recht en belastingrecht, team I

zaaknummer : 200.295.806/01

zaak-/rekestnummer rechtbank Amsterdam : C/13/689705 HA RK 20-258

beschikking van de meervoudige burgerlijke kamer van 4 april 2023

inzake

1 [appellant sub 1] ,

wonend te [plaats A] , Verenigd Koninkrijk,

2. [appellant sub 2] ,

wonend te [plaats B] , Verenigd Koninkrijk,

3. [appellant sub 3] ,

wonend te [plaats A] , Verenigd Koninkrijk,

appellanten in principaal appel,

geïntimeerden in incidenteel appel,

advocaat: mr. A.H. Ekker te Amsterdam,

tegen

OLA NETHERLANDS B.V.,

gevestigd te Amsterdam,

geïntimeerde in principaal appel,

appellante in incidenteel appel,

advocaat: mr J.G. Reus te Amsterdam.

1 Het geding in hoger beroep

Partijen worden hierna aangeduid als [appellant sub 1] c.s. en Ola. [appellant sub 1] c.s. worden ieder apart aangeduid als [appellant sub 1] , [appellant sub 2] en [appellant sub 3] .

[appellant sub 1] c.s. zijn bij beroepschrift met een productie, tevens houdende een (voorwaardelijke) incidentele vordering tot verstrekking van afschrift van stukken op de voet van artikel 843a Wetboek van Rechtsvordering (hierna: Rv), ontvangen ter griffie van het hof op 11 juni 2021, onder aanvoering van tien grieven in hoger beroep gekomen van een beschikking die de rechtbank Amsterdam (hierna: de rechtbank) op 11 maart 2021 heeft gegeven onder bovenvermeld zaak- /rekestnummer (hierna: de bestreden beschikking) in een geschil tussen [appellant sub 1] c.s. als verzoekers en Ola als verweerster.

Het beroepschrift strekt ertoe dat het hof de bestreden beschikking gedeeltelijk zal vernietigen en, kort samengevat, hun verzoeken, zoals aangevuld en gewijzigd in hoger beroep, (alsnog) zal toewijzen, één en ander met beslissing over de proceskosten en uitvoerbaar bij voorraad. In het (voorwaardelijk) incident hebben [appellant sub 1] c.s. het hof verzocht Ola op grond van artikel 843a Rv te bevelen inzage, afschrift of uittreksel over te leggen van de in het petitum omschreven bescheiden.

Op 1 september 2021 is ter griffie van het hof een verweerschrift, tevens inhoudende incidenteel hoger beroep, van Ola ingekomen. Het verweerschrift in de hoofdzaak strekt tot niet-ontvankelijk verklaring van [appellant sub 1] c.s. in hun nieuwe ratings-data verzoek, niet-ontvankelijk verklaring van [appellant sub 3] in zijn artikel 20 AVG verzoek, verwerping van de grieven van [appellant sub 1] c.s., afwijzing van hun nieuwe verzoeken, bekrachtiging van de bestreden beschikking en, subsidiair, voor zover nieuwe verzoeken van [appellant sub 1] c.s. worden toegewezen, tot toewijzing met inachtneming van de bepalingen uit de AVG en UAVG, dit alles met veroordeling van [appellant sub 1] c.s. in de kosten van het geding in hoger beroep, met nakosten en rente, één en ander uitvoerbaar bij voorraad. In het incidenteel hoger beroep heeft Ola verzocht dat het hof de bestreden beschikking zal vernietigen en [appellant sub 1] c.s. niet-ontvankelijk zal verklaren in hun verzoeken, met veroordeling, uitvoerbaar bij voorraad, van [appellant sub 1] c.s. in de kosten van het geding, met nakosten en rente. In het voorwaardelijk incident heeft Ola verzocht om afwijzing daarvan, met veroordeling van [appellant sub 1] c.s. in de kosten van het incident, met nakosten en rente.

Op 18 oktober 2021 is ter griffie een verweerschrift in incidenteel hoger beroep van [appellant sub 1] c.s. ingekomen dat strekt tot verwerping van de grieven van Ola, met veroordeling van Ola in de kosten van het geding in incidenteel hoger beroep.

De mondelinge behandeling van het hoger beroep heeft plaatsgevonden op 18 mei 2022, alwaar partijen zijn verschenen, [appellant sub 2] zowel in persoon als bij gemachtigde [A] , en alwaar partijen zijn bijgestaan door hun hiervoor genoemde advocaten. Bij die gelegenheid hebben de advocaten het woord gevoerd aan de hand van aan het hof overgelegde aantekeningen. [appellant sub 1] c.s. hebben nog nadere stukken (producties 2 tot en met 7) ingebracht. Partijen hebben vragen van het hof beantwoord.

Vervolgens is de behandeling van de zaak gesloten en is uitspraak bepaald.

2 Feiten

De rechtbank heeft in de bestreden beschikking onder 2 (2.1 t/m 2.7) de feiten vermeld die zij tot uitgangspunt heeft genomen. Het hof neemt die feiten tot uitgangspunt, aangevuld met andere feiten die van belang zijn voor de beoordeling van het geschil. Het gaat in deze zaak om het volgende.

2.1 Ola is een onderneming waarvan de moedervennootschap is gevestigd in Bangalore (India). Zij heeft in 2010 de divisie ‘Ola Cabs’ opgericht. Ola Cabs is een digitaal platform waarbij via een app wordt gefaciliteerd dat een passagier en een (taxi)chauffeur aan elkaar worden gekoppeld.

2.2

[appellant sub 1] c.s. zijn werkzaam als ‘ private hire drivers ’ (hierna: chauffeurs ) in het Verenigd Koninkrijk. Zij maken in [plaats A] gebruik van de diensten van Ola via de Ola Driver App. De passagiers die zij vervoeren maken gebruik van de Ola Cabs App.

2.3

[appellant sub 1] c.s. zijn aangesloten bij de App Drivers & Couriers Union (hierna: ADCU). ADCU is een vakbond die opkomt voor de belangen van ‘ private hire drivers ’ en ‘couriers’ in het Verenigd Koninkrijk. ADCU is aangesloten bij International Alliance of App Transport Workers (hierna: IAATW). Beide organisaties zetten zich in voor de digitale rechten van platformwerkers.

2.4 ADCU wordt ondersteund door Worker Info Exchange (hierna: WIE). WIE is een non-profit organisatie die zich mede ten doel stelt om werknemers in de informatie-economie toegang te geven tot persoonsgegevens die tijdens het werk over hen worden verzameld.

2.5

[appellant sub 1] en [appellant sub 2] hebben bij afzonderlijke verzoeken van 23 juni 2020 Ola verzocht om onder meer (i) inzage in al hun persoonsgegevens die Ola verwerkt, (ii) verstrekking van hen betreffende persoonsgegevens in een gestructureerde, gangbare en machineleesbare vorm als bedoeld in artikel 20 van de Algemene Verordening Gegevensbescherming (hierna: AVG), alsmede (iii) informatie over geautomatiseerde besluitvorming als bedoeld in artikel 15 lid 1, sub h), AVG. [appellant sub 3] heeft op 5 augustus 2020 een met (i) en (iii) vergelijkbaar inzage- c.q. informatieverzoek gedaan. Ola heeft in reactie op deze verzoeken aan [appellant sub 1] c.s. een aantal digitale bestanden en kopieën van documenten verstrekt.

2.6

Ola heeft een ‘Privacy Policy’ (hierna: de privacyverklaring) opgesteld waarin zij algemene informatie over gegevensverwerking heeft opgenomen. Verder maakt zij gebruik van een document genaamd ‘How we process your data’ waarin een overzicht is opgenomen van de categorieën van persoonsgegevens die Ola verwerkt. In de versie van 20 juli 2018 staat onder meer vermeld:

Automated decision making and profiling

We use automated decision making (including profiling) without human intervention, as provided in the purpose of processing provided above. We use various combinations of the personal data collected (…) to be able to provide you with our services. We will not process personal data involving automated decision making unless necessary for the provision of our services or for performance of a contract.

The following types of automated decision making and profiling will be conducted as it is necessary to provide you our services.

Allocations of Vehicles, Route Determination, Pricing, Offers and Communications

We use a combination of customer and driver personal data, such as:

(…)

(ii) driver data such as (…) earning profile, (…) fraud probability score (…) to allocate drivers’vehicles to requesting customers and to determine the route and pricing.

2.7 Bij brief van 11 mei 2021 (hierna: de brief van 11 mei 2021) heeft Ola aan (de advocaat van) [appellant sub 1] c.s. een antwoord verstrekt in navolging van de bestreden beschikking. Bij deze brief heeft Ola geanonimiseerde ‘ratings’ verstrekt aan [appellant sub 1] , [appellant sub 2] en [appellant sub 3] voor de periode 1 januari 2020 tot 9 mei 2021. Daarnaast heeft Ola in deze brief informatie verstrekt over de categorieën ‘fraud probability score (GPS location)’, ‘earning profile’, ‘Guardian’ en ‘deductions and fines’.

3 Beoordeling

Wettelijk kader

3.1 De voor dit geschil relevante artikelen uit de AVG luiden als volgt:

Artikel 4 Definities

(…)

1. „persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

(…)

4) „profilering”: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen; (…)

Artikel 12 Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene

(…)

5. Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel:

a. a) een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan; ofwel

b) weigeren gevolg te geven aan het verzoek.

Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen. (…)

Artikel 15 Recht van inzage van de betrokkene

1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

a. a) de verwerkingsdoeleinden;

b) de betrokken categorieën van persoonsgegevens;

c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;

e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;

f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;

g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;

h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.

3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.

Artikel 20 Recht op overdraagbaarheid van gegevens

1. De betrokkene heeft het recht de hem betreffende persoonsgegevens, die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen, en hij heeft het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen, zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrekt, indien:

a. de verwerking berust op toestemming uit hoofde van artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), of op een overeenkomst uit hoofde van artikel 6, lid 1, punt b); en

de verwerking via geautomatiseerde procedés wordt verricht.

2. Bij de uitoefening van zijn recht op gegevensoverdraagbaarheid uit hoofde van lid 1 heeft de betrokkene het recht dat de persoonsgegevens, indien dit technisch mogelijk is, rechtstreeks van de ene verwerkingsverantwoordelijke naar de andere worden doorgezonden.

3. De uitoefening van het in lid 1 van dit artikel bedoelde recht laat artikel 17 onverlet. Dat recht geldt niet voor de verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend.

4. Het in lid 1 bedoelde recht doet geen afbreuk aan de rechten en vrijheden van anderen.

Artikel 22 Geautomatiseerde individuele besluitvorming, waaronder profilering

1. De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

2. Lid 1 geldt niet indien het besluit:

a. noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke;

is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of

berust op de uitdrukkelijke toestemming van de betrokkene.

3. In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.

4. De in lid 2 bedoelde besluiten worden niet gebaseerd op de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 9, lid 2, punt a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen.

3.2 Overweging 63 uit de preambule van de AVG luidt, voor zover hier van belang, als volgt:

(63) Een betrokkene moet het recht hebben om de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. (…) Elke betrokkene dient dan ook het recht te hebben, te weten en te worden meegedeeld voor welke doeleinden de persoonsgegevens worden verwerkt, indien mogelijk hoe lang zij worden bewaard, wie de persoonsgegevens ontvangt, welke logica er ten grondslag ligt aan een eventuele automatische verwerking van de persoonsgegevens en, ten minste wanneer de verwerking op profilering is gebaseerd, wat de gevolgen van een dergelijke verwerking zijn. Indien mogelijk moet de verwerkingsverantwoordelijke op afstand toegang kunnen geven tot een beveiligd systeem waarop de betrokkene direct zijn persoonsgegevens kan inzien. Dat recht mag geen afbreuk doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden. Wanneer de verwerkingsverantwoordelijke een grote hoeveelheid gegevens betreffende de betrokkene verwerkt, moet hij de betrokkene voorafgaand aan de informatieverstrekking kunnen verzoeken om te preciseren op welke informatie of welke verwerkingsactiviteiten het verzoek betrekking heeft.

3.3 De voor dit geschil relevante bepalingen uit de Uitvoeringswet Algemene verordening gegevensbescherming (hierna: UAVG), luiden als volgt:

Artikel 34

Een schriftelijke beslissing op een verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening wordt genomen binnen de in artikel 12, derde lid, van de verordening genoemde termijnen (…)

Artikel 35

1. Indien de beslissing op een verzoek als bedoeld in artikel 34 is genomen door een ander dan een bestuursorgaan, kan de belanghebbende zich tot de rechtbank wenden met het schriftelijk verzoek de verwerkingsverantwoordelijke te bevelen het verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening alsnog toe of af te wijzen.

2. Het verzoekschrift wordt ingediend binnen zes weken na ontvangst van het antwoord van de verwerkingsverantwoordelijke. Indien de verwerkingsverantwoordelijke niet binnen de in artikel 12, derde lid, van de verordening genoemde termijnen heeft geantwoord, is de indiening van het verzoekschrift niet aan een termijn gebonden.

3. De rechtbank wijst het verzoek toe, voor zover zij dit gegrond oordeelt. Alvorens de rechtbank beslist, stelt zij zo nodig de belanghebbenden in de gelegenheid hun zienswijze naar voren te brengen.

(…)

5. De derde afdeling van de vijfde titel van het Tweede Boek van het Wetboek van Burgerlijke Rechtsvordering is van overeenkomstige toepassing. [hof: derde afdeling: Van dwangsom. Art. 611a t/m 611 i Rv.].

(…)

Artikel 41 Uitzonderingen op rechten betrokkene en plichten verwerkingsverantwoordelijke

1. De verwerkingsverantwoordelijke kan de verplichtingen en rechten, bedoeld in de artikelen 12 tot en met 21 en artikel 34 van de verordening, buiten toepassing laten voor zover zulks noodzakelijk en evenredig is ter waarborging van:

a. (…)

i. de bescherming van de betrokkene of van de rechten en vrijheden van anderen; (…)

3.4 De Groep Gegevensbescherming Artikel 29 (thans: het Europees comité voor gegevensbescherming, in het Engels afgekort als: EDPB) heeft in 2017 richtsnoeren vastgesteld inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van Verordening (EU) 2016/679. Hoofdstuk IV, paragraaf A, van deze richtsnoeren, zoals vastgesteld op 3 oktober 2017 en laatstelijk gewijzigd en vastgesteld op 6 februari 2018, WP251rev.01 (hierna: de EDPB 2017 richtsnoeren) luidt, voor zover hier van belang, als volgt:

A. “Uitsluitend op geautomatiseerde verwerking gebaseerd besluit”

Artikel 22, lid 1 betreft besluiten die “uitsluitend” gebaseerd zijn op geautomatiseerde verwerking. Dit betekent dat er geen sprake is van menselijke tussenkomst in het besluitvormingsproces.

Voorbeeld

Een geautomatiseerd proces produceert iets wat in feite een aanbeveling betreffende een betrokkene is. Als een mens het proces beoordeelt en bij het nemen van het definitieve besluit rekening houdt met andere factoren, zou dat besluit niet “uitsluitend op geautomatiseerde verwerking” zijn.

De verwerkingsverantwoordelijke kan de bepalingen van artikel 22 niet omzeilen door menselijke tussenkomst voor te wenden. Als iemand bijvoorbeeld routinematig automatisch gegeneerde profielen toepast op personen zonder het resultaat daadwerkelijk te beïnvloeden, is dit nog steeds een uitsluitend op geautomatiseerde verwerking gebaseerd besluit.

Om daadwerkelijke menselijke tussenkomst te realiseren moet de verwerkingsverantwoordelijke ervoor zorgen dat al het toezicht op de besluitvorming zinvol is, en niet slechts een symbolische handeling vormt. Deze tussenkomst moet worden uitgevoerd door iemand die bevoegd en bekwaam is om het besluit te veranderen. Hij moet alle relevante gegevens in zijn analyse betrekken.

In het kader van zijn gegevensbeschermingseffectbeoordeling moet de verwerkingsverantwoordelijke de mate van menselijke tussenkomst in het besluitvormingsproces en de fase waarin deze plaatsvond vaststellen en registreren.

Hoofdstuk IV, paragraaf B, van de EDPB richtsnoeren luidt, voor zover hier van belang, als volgt:

B. Besluit met "rechtsgevolgen" of dat de betrokkene "anderszins in aanmerkelijke mate treft"

In de AVG wordt erkend dat geautomatiseerde besluitvorming, waaronder profilering, ernstige gevolgen kan hebben voor personen. De AVG bevat geen definitie van een besluit met "rechtsgevolgen" of van een besluit dat de betrokkene "anderszins in aanmerkelijke mate treft", maar uit de formulering blijkt duidelijk dat in artikel 22 alleen ernstige, aanzienlijke effecten worden bedoeld.

"Besluit waaraan rechtsgevolgen zijn verbonden"

Een rechtsgevolg houdt in dat het besluit, dat uitsluitend op automatische verwerking is gebaseerd, van invloed is op iemands wettelijke rechten, zoals de vrijheid van vereniging, het stemrecht en het recht om rechtsmiddelen in te stellen. Een rechtsgevolg kan ook iets zijn wat iemands juridische status of zijn rechten uit hoofde van een overeenkomst beïnvloedt. Voorbeelden van een dergelijk gevolg zijn geautomatiseerde besluiten over een persoon die leiden tot:

• beëindiging van een overeenkomst;

• het recht op of de weigering van een bepaalde wettelijk toegekende sociale uitkering, zoals kinderbijslag of huurtoeslag;

• weigering van toelating tot een land of van toekenning van een nationaliteit.

"Hem anderszins in aanmerkelijke mate treft"

Zelfs wanneer een besluitvormingsproces geen gevolgen heeft voor iemands wettelijke rechten, kan het toch onder het toepassingsgebied van artikel 22 vallen als er een gevolg aan verbonden is dat hem anderszins in aanmerkelijke mate treft.

Met andere woorden, zelfs wanneer er niets verandert aan zijn wettelijke rechten of plichten, kan de betrokkene toch in zodanige mate worden getroffen dat de bescherming ingevolge deze bepaling vereist is. In de AVG is het woord "anderszins" toegevoegd (niet aanwezig in artikel 15 van Richtlijn 95/46/EG) aan de formulering "hem in aanmerkelijke mate treft". De drempel voor aanmerkelijke mate moet dus vergelijkbaar zijn met de mate waarin de betrokkene wordt getroffen bij een besluit waaraan een rechtsgevolg verbonden is.

In overweging 71 worden de volgende typische voorbeelden genoemd: "automatische weigering van een online ingediende kredietaanvraag" of "verwerking van sollicitaties via internet zonder menselijke tussenkomst".

Gegevensverwerking treft iemand in aanmerkelijke mate wanneer de effecten van de verwerking groot of belangrijk genoeg zijn om aandacht te verdienen. Met andere woorden, het besluit moet het potentieel hebben om:

• de omstandigheden, het gedrag of de keuzen van de betrokken personen in aanmerkelijke mate te treffen;

• een langdurig of blijvend effect op de betrokkene te hebben; of

• in het uiterste geval, tot uitsluiting of discriminatie van personen te leiden.

Het is moeilijk om nauwkeurig te bepalen wat als ernstig genoeg wordt beschouwd om de drempel van aanmerkelijke mate te halen. De volgende besluiten zouden echter in deze categorie kunnen vallen:

• besluiten die iemands financiële situatie treffen, zoals zijn mogelijkheid om in aanmerking te komen voor een lening;

• besluiten die iemands toegang tot gezondheidszorgdiensten treffen;

• besluiten waarmee iemand de toegang tot een werkgelegenheidskans wordt geweigerd of waarmee hij daarbij ernstig wordt benadeeld;

• besluiten die iemands toegang tot onderwijs, bijvoorbeeld toelating tot een universiteit, treffen.

(…)

Geautomatiseerde besluitvorming die leidt tot verschillende prijzen op basis van persoonsgegevens of persoonlijke kenmerken kan personen ook in aanmerkelijke mate treffen als, bijvoorbeeld, extreem hoge prijzen iemand feitelijk de toegang tot bepaalde goederen of diensten blokkeren.

Hoofdstuk IV, paragraaf E (‘Rechten van de betrokkene), van de EDPB richtsnoeren luidt, voor zover hier van belang, als volgt:

1. Artikel 13, lid 2, onder f) en artikel 14, lid 2, onder g) – recht om geïnformeerd te worden

(…)

Nuttige informatie over de “onderliggende logica”

Door de groei en complexiteit van machinaal leren kan het moeilijk zijn om te begrijpen hoe een geautomatiseerd besluitvormingsproces of profilering werkt.

De verwerkingsverantwoordelijke moet eenvoudige manieren vinden om de betrokkene uit te leggen wat de achterliggende gedachte is of op grond van welke criteria het besluit is genomen. De AVG verplicht de verwerkingsverantwoordelijke nuttige informatie over de onderliggende logica te verstrekken, niet noodzakelijkerwijs een ingewikkelde toelichting over de gebruikte algoritmen of een uiteenzetting van het volledige algoritme. De verstrekte informatie moet echter volledig genoeg zijn voor de betrokkene om de redenen van het besluit te kunnen begrijpen.

Voorbeeld

Een verwerkingsverantwoordelijke maakt gebruik van kredietscores om een leningaanvraag van een persoon te beoordelen en af te wijzen. (…)

Hij verstrekt gedetailleerde informatie over de belangrijkste kenmerken die bij de besluitvorming in beschouwing worden genomen, de bron van deze informatie en het belang ervan. (…)

"Belang" en "verwachte gevolgen"

Deze begrippen duiden erop dat informatie moet worden verstrekt over de beoogde of toekomstige verwerking en over de wijze waarop de geautomatiseerde besluitvorming de betrokkene zou kunnen treffen. (…)

2 Artikel 15, lid 1, onder h) – Recht van inzage

Ingevolge artikel 15, lid 1, onder h), hebben betrokkenen het recht dezelfde informatie over uitsluitend geautomatiseerde besluitvorming, waaronder profilering, te ontvangen als vereist is krachtens artikel 13, lid 2, onder f) en artikel 14, lid 2, onder g). (…)

De verwerkingsverantwoordelijke moet de betrokkene algemene informatie verstrekken (met name over factoren die in het besluitvormingsproces in aanmerking zijn genomen, en hun respectieve "weging" op een geaggregeerd niveau) die hem ook van nut is om het besluit aan te vechten.

De procedure in eerste aanleg

3.5 In eerste aanleg hebben [appellant sub 1] c.s. verzocht om Ola, op straffe van verbeurte van een dwangsom en uitvoerbaar bij voorraad, te bevelen om:

I. aan [appellant sub 1] c.s. in een gangbare elektronische vorm inzage te geven in:

i. alle op hen betrekking hebbende persoonsgegevens die zij verwerkt, waaronder de persoonsgegevens zoals genoemd in de privacyverklaring en de daarbij behorende documentatie;

ii. de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties, en de bewaartermijn voor deze gegevens;

iii. het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22 lid 1 en 4 AVG bedoelde profilering, en ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [appellant sub 1] c.s.;

iv. indien sprake is van doorgifte aan een derde land of een internationale organisatie, de passende waarborgen overeenkomstig artikel 46 AVG die Ola inzake deze doorgifte heeft getroffen;

II. de persoonsgegevens van [appellant sub 1] c.s. aan hen te verstrekken in een gestructureerde, gangbare en machineleesbare vorm, te weten als CSV-bestand, dan wel door middel van een Application Programming Interface (API), zodanig dat deze gegevens direct aan een andere verwerkingsverantwoordelijke kunnen worden doorgezonden.

3.6

[appellant sub 1] c.s. hebben de in 3.5 onder i), ii) en iv) genoemde verzoeken gebaseerd op artikel 15 lid 1 aanhef AVG en het onder iii) genoemde verzoek op artikel 15 lid 1, sub h), gelezen in samenhang met artikel 22 AVG. Het onder II genoemde verzoek hebben zij gebaseerd op artikel 20 lid 1 AVG.

3.7

Bij de bestreden beschikking, uitvoerbaar bij voorraad verklaard, heeft de rechtbank Ola bevolen om aan [appellant sub 1] c.s. afschrift of inzage te verstrekken van de volgende persoonsgegevens :

- de zogenaamde ‘rating history’ en de door individuele passagiers gegeven ratings (hierna gezamenlijk aangeduid als: de ratinggegevens), voor zover deze gegevens niet kunnen worden ingezien in de Ola Driver App en met inachtneming van de (privacy)rechten van passagiers, waarbij de gegevens niet herleidbaar zijn tot de passagier die de rating heeft gegeven, bijvoorbeeld door deze gegevens in geanonimiseerde vorm te verstrekken (rov. 4.25);

- de persoonsgegevens van [appellant sub 1] c.s. die Ola heeft gebruikt om het risicoprofiel van [appellant sub 1] c.s. op te stellen en de gegevens over de segmenten waarin [appellant sub 1] c.s. zijn ingedeeld (hierna aangeduid als: fraud probability score) (rov. 4.45);

- de persoonsgegevens van [appellant sub 1] c.s. die Ola heeft gebruikt om het zogenaamde ‘earning profile’ op te stellen en de gegevens over de segmenten waarin [appellant sub 1] c.s. zijn ingedeeld (rov. 4.47);

- de persoonsgegevens van [appellant sub 1] c.s. die door het systeem Guardian zijn verwerkt (rov. 4.49).

Daarnaast heeft de rechtbank Ola bevolen om, in het kader van het geautomatiseerde besluitvormingsproces van Ola op grond waarvan ‘penalties en deductions’ worden opgelegd, aan [appellant sub 1] c.s. informatie te verstrekken over:

- ‘de belangrijkste beoordelingscriteria en de rol hiervan op het geautomatiseerde besluit, zodat [appellant sub 1] c.s. kunnen begrijpen op grond van welke criteria de besluiten zijn genomen en zij in staat zijn de juistheid en rechtmatigheid van de gegevensverwerking te controleren’ (rov. 4.52).

De rechtbank heeft de verzoeken van [appellant sub 1] c.s. voor het overige afgewezen en de proceskosten tussen partijen gecompenseerd.

Tegen deze beslissing en de daaraan ten grondslag gelegde motivering komen [appellant sub 1] c.s. op in principaal hoger beroep en Ola in incidenteel hoger beroep.

De wijziging van het verzoek in hoger beroep

3.8

In hoger beroep hebben [appellant sub 1] c.s. in hun beroepschrift hun verzoek in de hoofdzaak gewijzigd, althans nader gespecificeerd, en ter zitting verminderd. Ter zitting zijn enkele onderdelen van de onder letter d) van het petitum genoemde verzoeken ingetrokken. Aldus verzoeken [appellant sub 1] c.s. thans in de hoofdzaak om bij uitvoerbaar bij voorraad te verklaren beschikking:

Ola te bevelen om de verzoeken ten aanzien van de hierna genoemde onderdelen alsnog binnen een maand na betekening van de beschikking toe te wijzen, althans Ola te bevelen om te verstrekken:

I. inzage, binnen een maand na betekening van de beschikking, op de voet van artikel 15 AVG, tegen een eventuele vergoeding van kosten, in een gangbare elektronische vorm:

a - aan [appellant sub 1] en [appellant sub 2] van de persoonsgegevens als genoemd in de categorie ‘Driver lifetime trip data’;

b - aan [appellant sub 3] van zijn persoonsgegevens als genoemd in de categorie ‘Driver lifetime trip data’, ‘timestamps’, ‘end locations’, ‘predicted duration’, en ‘distance travelled’;

c - aan [appellant sub 1] c.s. van hun persoonsgegevens in de categorieën ‘Driver performance badges’, ‘Driver detailed device data’, ‘Driver dispatches offered and accepted’, ‘Safety Complaints’ en ‘Telematics’.

d - aan [appellant sub 1] en [appellant sub 2] van hun persoonsgegevens ‘timestamps’ en ‘date’ in de categorie ‘Driver GPS data’;

e - aan [appellant sub 1] c.s. van hun persoonsgegevens in de categorieën customer transactions, booking cancellation history, booking acceptance history, ratings, gps data en device data;

f - aan [appellant sub 1] c.s. in alle overige op hen betrekking hebbende persoonsgegevens die Ola verwerkt;

II. inzage aan [appellant sub 1] c.s. in het bestaan van alle vormen van geautomatiseerde besluitvorming, met inbegrip van de in de artikelen 22, leden 1 en 4 AVG bedoelde profilering, en, tenminste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [appellant sub 1] c.s., in het bijzonder in het kader van de Fraud probability score, Earning Profiles, het Guardian Systeem en het Matching systeem van Ola;

III. verstrekking van de door [appellant sub 1] c.s. verstrekte gegevens in de in het petitum onder letter e) genoemde categorieën in een gestructureerde, gangbare en machineleesbare vorm als bedoeld in artikel 20 lid 1 AVG en doorzending hiervan aan Platform Info Exchange op het in het petitum (onder letter e) genoemde adres;

Daarnaast verzoeken [appellant sub 1] c.s.:

IV. een verklaring voor recht dat verstrekking van gegevens in pdf-formaat niet kan worden aangemerkt als verstrekking in een gestructureerde, gangbare en machineleesbare vorm als bedoeld in artikel 20 lid 1 AVG, althans een bevel aan Ola om de betreffende gegevens te verstrekken in een bestandsformaat, niet zijnde het Pdf formaat;

V. een bevel aan Ola tot betaling van een dwangsom van € 3.000,00 voor iedere dag of deel daarvan dat Ola in gebreke blijft om geheel te voldoen aan de hiervoor onder I tot en met III genoemde bevelen;

3.9 Het hof zal hierna eerst ingaan op het meest verstrekkende verweer, tevens grief 1 in incidenteel hoger beroep, van Ola inhoudende dat de verzoeken van [appellant sub 1] c.s. wegens misbruik van recht moeten worden afgewezen. Daarna zal het hof achtereenvolgens ingaan op de op artikel 15 lid 1, aanhef, AVG gebaseerde verzoeken, de op artikel 15 lid 1, sub h), AVG gelezen in samenhang met artikel 22 AVG gebaseerde verzoeken, het op artikel 20 gebaseerde verzoek alsmede de verzochte verklaring voor recht. Hierbij zal het hof zowel de grieven van [appellant sub 1] c.s. in principaal hoger beroep als de grieven van Ola in incidenteel hoger beroep bespreken.

Misbruik van bevoegdheid?

3.10 Met grief 1 in incidenteel hoger beroep komt Ola op tegen de verwerping, door de rechtbank (in rov. 4.8 van de bestreden beschikking), van het door Ola gedane beroep op misbruik van bevoegdheid in de zin van artikel 3:13 BW. Ola voert aan dat de daadwerkelijk belanghebbende in deze zaak ADCU (de vakbond) lijkt te zijn, die geen partij is in deze procedure. Ola meent dat ADCU zelf een procedure had moeten voeren tegen Ola, op grond van artikel 80 AVG. Ola wijst erop dat de rechtbank heeft vastgesteld (in rov. 4.8) dat het verzoek van [appellant sub 1] c.s. voortkomt uit de wens om deze gegevens in een databank van WIE (Worker Info Exchange) op te laten nemen voor analyse met het doel de onderhandelingspositie van platformwerkers te verbeteren. Volgens Ola hebben [appellant sub 1] c.s. niet gesteld dat er nog een ander doel is.

3.11 Deze grief heeft geen succes. Ola heeft niet gesteld dat [appellant sub 1] c.s. hun bevoegdheid uitoefenen met geen ander doel dan Ola te schaden. Dat met de onderhavige verzoeken ook bepaalde vakbondsbelangen of versterking van de onderhandelingspositie van de chauffeurs worden nagestreefd neemt niet weg dat het [appellant sub 1] c.s. vrij stond om onderhavige verzoeken op de voet van de AVG in te dienen, zonder dat zij daarvoor enig belang hoeven aan te tonen. De artikelen 15 en 20 AVG vereisen een dergelijk belang immers niet. Het hof wijst in dit verband op de rechtspraak van het Hof van Justitie van de EU (hierna: HvJEU), waarin wordt benadrukt dat de AVG met name een hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen en dat het door de AVG gecreëerde algemene rechtskader in dat verband uitvoering geeft aan de vereisten die voortvloeien uit het grondrecht op bescherming van persoonsgegevens dat wordt gewaarborgd door artikel 8 van het Handvest van de grondrechten van de Europese Unie, met name de vereisten die uitdrukkelijk zijn vastgelegd in lid 2 van dat artikel. Mede in het licht van deze fundamentele doelstelling kan ook het feit dat deze procedure door de vakbond als een ‘test case’ wordt aangeduid niet tot de conclusie leiden dat [appellant sub 1] c.s. misbruik van hun bevoegdheid maken.

De op artikel 15 lid 1, aanhef, AVG gebaseerde verzoeken (inzage persoonsgegevens)

(i) Customer transactions, booking cancellation history en booking acceptance history

3.12 Met grief 2 in principaal hoger beroep komen [appellant sub 1] c.s. op tegen de afwijzing door de rechtbank (in rov. 4.22) van hun verzoek betreffende inzage van al hun persoonsgegevens in de categorieën ‘customer transactions, booking cancellation history en booking acceptance history’. Zij bestrijden in dit verband allereerst de overweging van de rechtbank dat [appellant sub 1] c.s. al over deze gegevens beschikken via de Ola Driver App. Zij stellen dat deze applicatie onvoldoende functionaliteiten biedt om de betreffende gegevens volledig en overzichtelijk te downloaden. Dit is volgens hen in strijd met artikel 12 lid 1 AVG. In de tweede plaats bestrijden zij de overweging van de rechtbank dat de gegevens van de passagiers niet relevant zijn en dat informatie over de persoon die de transactie heeft gedaan een aantasting kan opleveren van de (privacy)rechten van deze persoon. Volgens [appellant sub 1] c.s. moet Ola, krachtens artikel 41 UAVG, ten aanzien van iedere betrokkene afzonderlijk, en dus van geval tot geval, toetsen of een weigering gerechtvaardigd is met een beroep op de rechten en vrijheden van anderen, is uit hoofde van artikel 15 lid 4 AVG.

3.13 Deze grief faalt. Ola heeft gemotiveerd gesteld dat [appellant sub 1] c.s. reeds toegang hebben tot de verzochte transactiedata en boekingsgeschiedenis (inclusief geannuleerde boekingen), met uitzondering weliswaar van de gegevens van derden. [appellant sub 1] c.s. hebben dit niet dan wel onvoldoende gemotiveerd betwist. Het gaat er [appellant sub 1] c.s. kennelijk vooral om, zoals ook uit de pleitnota van [appellant sub 1] c.s. blijkt, om toegang te krijgen tot gegevens van iedere betrokken passagier afzonderlijk. Het hof wijst er evenwel op, zoals ook de rechtbank in rov. 4.22 heeft gedaan, dat Ola gehouden is - op grond van artikel 15 lid 4 AVG - de rechten en vrijheden van anderen in acht te nemen. Aldus is Ola gehouden om inzage in de ‘customer transactions’, ‘booking cancellation history’ en ‘booking acceptance history’ op zodanige wijze te verstrekken dat zij niet herleidbaar zijn tot individuele passagiers. Terzijde merkt het hof op dat artikel 41 UAVG, anders dan [appellant sub 1] c.s. betogen, in dit verband niet relevant is, aangezien die bepaling een implementatie is van artikel 23 AVG, welke bepaling hier niet aan de orde is. Wat betreft het argument van [appellant sub 1] c.s. dat Ola voor ieder van hen afzonderlijk moet toetsen of rechten van derden moeten worden beschermd overweegt het hof als volgt. Het moge zo zijn dat in een specifiek, concreet geval de conflicterende rechtmatige belangen van de verschillende betrokkenen tegen elkaar moeten worden afgewogen, om vast te stellen of er een hoger belang bestaat dat een weigering om aan de betrokkene toegang tot de persoonsgegevens van een derde rechtvaardigt, maar in dit geval hebben [appellant sub 1] c.s. zonder enige beperking verzocht om inzage in alle hen betreffende persoonsgegevens in de drie voorgenoemde categorieën. Naar het oordeel van het hof kan bij een dergelijk ruim verzoek om inzage in persoonsgegevens die duizenden passagiers betreffen niet van de verwerkingsverantwoordelijke worden verlangd dat hij per transactie of annulering nagaat welk belang de doorslag geeft. [appellant sub 1] c.s. hebben geen concrete transactie of annulering genoemd en daarbij dus ook niet concreet gemotiveerd waarom hun belang om volledige inzage te krijgen in die transactie dan wel annulering (dat wil zeggen: inclusief de persoonsgegevens van een derde) zwaarder weegt dan het recht van die derde op bescherming van zijn persoonsgegevens. Het voorgaande brengt het hof tot de conclusie dat het verzoek van [appellant sub 1] c.s. niet toewijsbaar is.

(ii) Ratings (beoordelingen door passagiers)

3.14 In rov. 4.25 van de bestreden beschikking heeft de rechtbank beslist dat Ola inzage moet verlenen in de zogenaamde ‘rating history’ en de door individuele passagiers gegeven ratings (hierna gezamenlijk aangeduid als: de ratinggegevens), voor zover deze gegevens niet kunnen worden ingezien in de Ola Driver App en met inachtneming van de (privacy)rechten van passagiers, waarbij de gegevens niet herleidbaar zijn tot de passagier die de rating heeft gegeven, bijvoorbeeld door deze gegevens in geanonimiseerde vorm te verstrekken.

3.15

[appellant sub 1] c.s. komen met grief 3 in principaal hoger beroep op tegen de weigering door de rechtbank van gegevens over de klant. Zij zijn van mening dat ten aanzien van iedere chauffeur afzonderlijk moet worden nagegaan of een beroep op artikel 15 lid 4 AVG gerechtvaardigd is. Ook bestrijden zij de overweging van de rechtbank dat informatie over de klant, zoals de naam van de klager, niet relevant is. Deze ratings kunnen immers consequenties hebben voor [appellant sub 1] c.s. bijvoorbeeld als de toezichthouder informatie gaat inwinnen over eventuele klachten. De taxilicentie, en daarmee het inkomen, staat hiermee dus op het spel.

3.16 Met grief 2 in incidenteel hoger beroep keert Ola zich tegen het uitgangspunt van de rechtbank (in rov. 4.25) dat persoonsgegevens van klanten van Ola die over [appellant sub 1] c.s. ratings hebben afgegeven zijn aan te merken als persoonsgegevens van [appellant sub 1] c.s. Ola stelt zich op het standpunt dat informatie over de beoordelaar per definitie geen persoonsgegeven over de chauffeur is, en om die reden hoe dan ook buiten het inzagerecht valt. Anders dan de rechtbank heeft geoordeeld wordt om die reden niet meer toegekomen aan de uitzondering van artikel 15 lid 4 AVG, aldus Ola.

3.17 Zowel de grief van [appellant sub 1] c.s. als die van Ola zijn tevergeefs aangevoerd. Het hof stelt allereerst vast dat de rechtbank in onderdeel 5.1 van het dictum, gelezen in samenhang met rov. 4.25, het verzoek om toegang tot de ratinggegevens reeds heeft toegewezen, met uitzondering van die gegevens waarmee de betrokken passagier herleidbaar is. Het verzoek van [appellant sub 1] c.s. ziet dus enkel nog op die gegevens. Naar het oordeel van het hof heeft de rechtbank die terecht afgewezen. Anders dan Ola stelt, kunnen deze gegevens wel worden aangemerkt als persoonsgegevens van [appellant sub 1] c.s. Eenzelfde informatie kan namelijk meerdere natuurlijke personen betreffen en voor hen een persoonsgegeven vormen. In zoverre vallen ook deze gegevens in beginsel onder het inzagerecht van artikel 15 lid 1, aanhef, AVG.

3.18 Naar het oordeel van het hof heeft de rechtbank evenwel terecht overwogen dat Ola bij het verstrekken van inzage in de ratinggegevens gehouden is de rechten en vrijheden van de betrokken passagiers in acht te nemen en daarom gehouden is deze te anonimiseren zodanig dat zij niet herleidbaar zijn tot de persoon die de uitlatingen heeft gedaan. Het moge zo zijn dat in een specifiek, concreet geval de conflicterende rechtmatige belangen van de verschillende betrokkenen tegen elkaar moeten worden afgewogen, om vast te stellen of er een hoger belang bestaat dat een weigering om aan de betrokkene toegang tot de persoonsgegevens van een derde rechtvaardigt, maar in dit geval hebben [appellant sub 1] c.s. zonder enige beperking verzocht om inzage in alle hen betreffende ratinggegevens. Naar het oordeel van het hof kan bij een dergelijk ruim verzoek om inzage in persoonsgegevens die mede derden betreffen niet van de verwerkingsverantwoordelijke worden verlangd dat hij per ratinggegeven nagaat welk belang de doorslag geeft. [appellant sub 1] c.s. hebben geen concrete individuele rating genoemd en daarbij dus ook niet concreet gemotiveerd waarom hun belang om volledige inzage daarin te krijgen (dat wil zeggen: inclusief de persoonsgegevens van een derde) zwaarder weegt dan het recht van die derde op bescherming van zijn persoonsgegevens.

3.19

[appellant sub 1] c.s. hebben ook nog gesteld dat zij op grond van hun eigen contractuele relatie met de klant recht hebben op inzage als zelfstandige verwerkingsverantwoordelijke maar dat argument treft geen doel. Het voorwerp van deze procedure is immers gelegen in het op artikel 15 van de AVG gebaseerde verzoek van [appellant sub 1] c.s. als betrokkenen aan Ola als de verwerkingsverantwoordelijke die hun persoonsgegevens verwerkt. De AVG voorziet niet in een recht op inzage in persoonsgegevens van anderen. Het hof wijst dit argument dan ook af.

(iii) GPS-data

3.20 Met grief 4 in principaal hoger beroep voeren [appellant sub 1] c.s. aan dat de rechtbank (in rov. 4.28) het verzoek om toegang tot de volledige GPS gegevens (aangaande de volledige routes die een chauffeur heeft afgelegd) ten onrechte heeft afgewezen. Zij betogen dat zij recht hebben op informatie over de vervoerde passagier, dat deze informatie niet categorisch kan worden geweigerd en dat zij niet hoeven aan te tonen dat deze informatie relevant is. Bovendien kan het voorkomen dat door fouten in software of door storingen in telecommunicatienetwerken bepaalde GPS gegevens niet juist of niet actueel zijn. Ook deze gegevens komen daarom voor correctie in aanmerking. [appellant sub 1] c.s. specificeren dat zij met name de ‘Time Stamps’ willen ontvangen, dit zijn meer specifieke tijdsaanduidingen van de uitgevoerde ritten die meer informatie bieden dan de enkele vermelding van de datum. De rechtbank heeft de GPS data ten onrechte vergeleken met een ‘juridische analyse’ zoals in het IND-arrest. De Ola Driver App biedt onvoldoende functionaliteiten waarmee deze data kunnen worden ingezien.

3.21 Deze grief slaagt gedeeltelijk. Locatiegegevens kunnen worden gekwalificeerd als persoonsgegevens. Tussen partijen is niet in geschil dat Ola aan [appellant sub 1] c.s. geen volledige inzage heeft gegeven in de [appellant sub 1] c.s. betreffende locatiegegevens. Zo heeft [appellant sub 1] c.s. onbetwist gesteld dat zij slechts de GPS-data van het begin en het einde van de door hen uitgevoerde ritten in een bepaalde periode hebben ontvangen, terwijl zij juist de volledige route, voorzien van datum en tijd wensen in te zien. [appellant sub 1] c.s. heeft niet gevraagd om inzage in locatie- en bewegingsgegevens van passagiers, althans het hof kan dit niet afleiden uit de stukken. Ola heeft niet duidelijk gemaakt op welke wijze inzage in de GPS data van [appellant sub 1] c.s. tevens ertoe leidt dat – direct dan wel indirect - inzage wordt verschaft in de persoonsgegevens van individuele passagiers. Zoals hiervoor bij de bespreking van de grieven 2 en 3 is geoordeeld hebben [appellant sub 1] c.s. bij de inzage in hen betreffende transactie- en ratinggegevens geen recht op inzage in persoonsgegevens van passagiers, dus de vrees van Ola dat [appellant sub 1] c.s. het éne met het andere zullen combineren lijkt dan ook ongegrond. Het hof is, gelet op dit alles, van oordeel dat Ola dit verzoek van [appellant sub 1] c.s. wat betreft hun eigen locatiegegevens volledig moet toewijzen op een wijze die, overeenkomstig artikel 15 lid 4 AVG, geen afbreuk doet aan de rechten en vrijheden van de passagiers of andere derden. Welk doel [appellant sub 1] c.s. voor ogen hebben met dit deel van hun inzageverzoek is niet relevant voor de vraag of het verzoek toewijsbaar is, net zo min als de vraag of GPS-data voor correctie in aanmerking komen. In zoverre slaagt de grief. Echter, voor zover [appellant sub 1] c.s. met hun grief (ook) hebben beoogd om direct dan wel indirect inzage te krijgen in de locatiegegevens van individuele passagiers faalt de grief om de reden zoals het hof die hiervoor, onder 3.18, ten aanzien van de ratings uiteen heeft gezet.

(iv) Device data

3.22 Met grief 5 in principaal hoger beroep keren [appellant sub 1] c.s. zich tegen rov. 4.31 van de bestreden beschikking waarin de rechtbank het verzoek om inzage in device data heeft afgewezen omdat dit te algemeen is geformuleerd. [appellant sub 1] c.s. stellen dat het aan Ola is om te specificeren welke ‘device data’ er worden verwerkt. Subsidiair specificeren [appellant sub 1] c.s. hun verzoek, onder verwijzing naar het How we process your data document, door thans om toegang te vragen tot ‘device details, IP address, device mobile number, login time en frequency and time of usage site/application/services.’

3.23 Deze grief slaagt. De door [appellant sub 1] c.s. verzochte inzage betreffen gegevens over de mobiele telefoons die zij gebruiken om hun ritten uit te voeren en om de Ola Driver App te bedienen. Ola betwijfelt of het hier om persoonsgegevens betreffende [appellant sub 1] c.s. gaat. Het hof is evenwel van oordeel dat de door [appellant sub 1] c.s. gevraagde device gegevens zijn aan te merken als persoonsgegevens in de zin van artikel 4 AVG. Het gaat immers om informatie over een identificeerbare natuurlijke persoon in de zin van die bepaling. Ola heeft onvoldoende toegelicht waarom de device gegevens geen informatie bevatten over de chauffeurs . Zo bijvoorbeeld bevatten de device details (IMIE-nummer, merk, model en versie) informatie over het door de chauffeur gebruikte toestel en daarmee informatie over de chauffeur. Hetzelfde geldt voor de ‘login time’ en voor de frequentie en de duur van het gebruik van de Ola Driver app. Het valt niet te ontkennen dat dit informatie bevat over de chauffeur in de zin van artikel 4, sub 1, AVG. Ola heeft het verzoek van [appellant sub 1] c.s. dan ook ten onrechte afgewezen, zij het dat Ola (in punt 4.5.4 van het verweerschrift in hoger beroep) onbetwist heeft gesteld dat zij de device mobile numbers wel reeds heeft verstrekt aan [appellant sub 1] c.s.

(v) De persoonsgegevens in het kader van de Fraud probability score

3.24 In rov. 4.45 van de bestreden beschikking heeft de rechtbank beslist dat Ola [appellant sub 1] c.s. inzage moet verstrekken in de persoonsgegevens van [appellant sub 1] c.s. die Ola heeft gebruikt om het risicoprofiel van [appellant sub 1] c.s. op te stellen en de gegevens over de segmenten waarin [appellant sub 1] c.s. zijn ingedeeld.

3.25 Met grief 3 in incidenteel hoger beroep voert Ola aan dat de rechtbank ten onrechte niet is ingegaan op haar betoog dat de ‘fraud probability score’ een intern gegeven is dat wordt gebruikt voor de handhaving van regels en afspraken dat buiten de reikwijdte van het inzagerecht valt.

3.26 De grief van Ola faalt. Uit het hiervoor reeds aangehaalde arrest Nowak valt af te leiden dat een mening of beoordeling betreffende de individuele prestaties van een specifieke persoon, aan te merken is als informatie betreffende die persoon en dus als een persoonsgegeven. Het door Ola gehanteerde predicaat ‘verdacht’, is wel degelijk een beoordeling van Ola over het functioneren van een chauffeur en daarom aan te merken als een persoonsgegeven.

(vi) Alle overige persoonsgegevens

3.27 Met grief 1 in principaal hoger beroep verzetten [appellant sub 1] c.s. zich, primair, tegen het oordeel (in rov. 4.17 van de bestreden beschikking) dat het verzoek van [appellant sub 1] c.s. om inzage in alle persoonsgegevens die Ola van [appellant sub 1] c.s. verwerkt te algemeen en zo weinig concreet is dat het als onvoldoende bepaald wordt afgewezen. In het verlengde hiervan verzoeken zij, in hoger beroep, om Ola te bevelen om inzage in alle overige op [appellant sub 1] c.s. betrekken hebbende persoonsgegevens die zij verwerkt. Naar het oordeel van het hof faalt het primaire onderdeel van deze grief en dient ook het hiermee in verband staande verzoek in hoger beroep te worden afgewezen. Het volgende is daartoe redengevend.

3.28 Het staat tussen partijen vast dat Ola een bijzonder groot aantal persoonsgegevens verwerkt van [appellant sub 1] c.s. Ook staat vast dat [appellant sub 1] c.s. in hun initiële inzageverzoek (uit juni respectievelijk augustus 2020) reeds een behoorlijk aantal categorieën persoonsgegevens hadden gespecificeerd, met de opmerking dat dit geen limitatieve opsomming was. Het hof is met de rechtbank van oordeel dat het op de weg van [appellant sub 1] c.s. had gelegen om (middels een nieuw of aanvullend initieel inzageverzoek) hun eerste inzageverzoek nader te specificeren dan wel uit te breiden. Het argument van [appellant sub 1] c.s. dat het voor hen feitelijk onmogelijk was om hun inzageverzoek te specificeren treft geen doel. Het hof wijst erop dat [appellant sub 1] c.s. op de voet van artikel 15 lid 1, sub b), AVG aan Ola hadden kunnen vragen om informatie over de betrokken categorieën van persoonsgegevens die door Ola worden verwerkt. Aan de hand van dat antwoord hadden zij een nieuw of aanvullend inzageverzoek bij Ola kunnen indienen. Op deze manier zou Ola als verwerkingsverantwoordelijke de gelegenheid hebben gehad om daarop te beslissen, alvorens deze nadere specificatie c.q. uitbreiding van het inzageverzoek voorwerp zou worden van een gerechtelijke procedure. [appellant sub 1] c.s. hebben niet gesteld dat zij een informatieverzoek (over de betrokken categorieën persoonsgegevens) in de zin van artikel 15 lid 1, sub b), AVG hebben ingediend bij Ola. [appellant sub 1] c.s. hebben in dit opzicht ten onrechte het initiatief neergelegd bij Ola. Dat de verwerkingsverantwoordelijke, zoals Ola, eerst de gelegenheid moet hebben gehad om te beslissen op een inzage- c.q. informatie- c.q. overdraagbaarheidsverzoek alvorens dit verzoek voorwerp wordt van een gerechtelijke procedure, vloeit naar het oordeel van het hof mede voort uit de door artikel 35 UAVG voorgeschreven rechtsgang. Dat artikel bepaalt dat de belanghebbende (in dit geval: [appellant sub 1] c.s.) zich tot de rechtbank kan wenden met het schriftelijk verzoek de verwerkingsverantwoordelijke (in dit geval: Ola) te bevelen het verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening alsnog toe of af te wijzen. In deze verzoekschriftprocedure heeft het hof dus te oordelen over het initiële (inzage- c.q. informatie- c.q. overdraagbaarheids)verzoek van [appellant sub 1] c.s. zoals zij dat in 2020 hebben ingediend bij Ola. Zou de belanghebbende worden toegestaan dit initiële (inzage- c.q. informatie- c.q. overdraagbaarheids)verzoek in de (gerechtelijke) procedure te wijzigen of uit te breiden, dan wordt hiermee de verwerkingsverantwoordelijke de gelegenheid ontnomen om zich buitengerechtelijk uit te laten over de toewijsbaarheid van dat gewijzigde verzoek. Naar het oordeel van het hof verzetten zowel artikel 35 UAVG als de goede procesorde zich hiertegen.

3.29

Als subsidiair onderdeel van grief 1 hebben [appellant sub 1] c.s. aangevoerd dat ten aanzien van de categorieën persoonsgegevens die zij wel reeds in hun initiële inzageverzoek hadden opgesomd, niet alle persoonsgegevens zijn verstrekt. Zij verwijzen in dit verband naar een door hen gemaakt overzicht in productie 1 bij het beroepschrift. Ter zitting hebben [appellant sub 1] c.s. verklaard dat een aantal van de daarin genoemde categorieën geen voorwerp meer zijn van deze procedure. Het gaat [appellant sub 1] c.s. nu alleen nog om de verstrekking van de hierboven, onder 3.8, sub I, a tot en met d genoemde categorieën, te weten:

a - aan [appellant sub 1] en [appellant sub 2] van de persoonsgegevens als genoemd in de categorie ‘Driver lifetime trip data’;

b - aan [appellant sub 3] van zijn persoonsgegevens als genoemd in de categorie Driver lifetime trip data’, ‘timestamps’, ‘end locations’, ‘predicted duration’, en ‘distance travelled’;

c - aan [appellant sub 1] c.s. van hun persoonsgegevens in de categorieën ‘Driver performance badges’, ‘Driver detailed device data’, ‘Driver dispatches offered and accepted’, ‘Safety Complaints’ en ‘Telematics’.

d - aan [appellant sub 1] en [appellant sub 2] van hun persoonsgegevens ‘timestamps’ en ‘date’ in de categorie Driver GPS data.

Ola heeft niet betwist dat zij geen inzage heeft verstrekt in deze persoonsgegevens. Het verzoek van [appellant sub 1] c.s. komt in zoverre dan ook voor toewijzing in aanmerking, zij het op zodanige wijze dat deze gegevens niet te herleiden zijn tot individuele passagiers. Dit subsidiaire onderdeel van grief 1 heeft dus succes.

De op artikel 15 lid 1, sub h), AVG gebaseerde verzoeken aangaande geautomatiseerde besluitvorming

3.30 Enkele van de aan Ola gerichte verzoeken van [appellant sub 1] c.s. zijn gebaseerd op artikel 15 lid 1, sub h), AVG waarmee zij Ola verzoeken om informatie over het bestaan van geautomatiseerde besluitvorming. De rechtbank heeft de desbetreffende onderdelen van het verzoekschrift van [appellant sub 1] c.s. afgewezen, met uitzondering van het verzoek aangaande het geautomatiseerde besluitvormingsproces van Ola waarmee wordt bepaald dat ritten niet geldig zijn en als gevolg daarvan kortingen of boetes (‘penalties en deductions’) worden opgelegd. De grieven 6 tot en met 9 van [appellant sub 1] c.s. in principaal hoger beroep hebben betrekking op deze afwijzing en zien achtereenvolgens op besluitvorming in het kader van de fraud probability score, het earning profile, het systeem Guardian en de toedeling van ritten. Ola heeft in incidenteel hoger beroep een grief aangevoerd die ziet op een overweging van de rechtbank inzake geautomatiseerde besluitvorming waarbij kortingen en boetes aan de chauffeurs worden opgelegd. Die grief zal hierna, in 3.41 worden besproken.

a) De reikwijdte van artikel 15 lid 1, sub h), AVG

3.31 Het hof zal eerst ingaan op de reikwijdte en toepassingsvoorwaarden van artikel 15 lid 1, sub h), AVG, aangezien deze bepaling de grondslag vormt van het verzoek van [appellant sub 1] c.s. Het hof merkt in dit verband op dat de Nederlandse versie van artikel 15 lid 1, sub h), AVG niet helemaal duidelijk is wat betreft de daarin opgenomen verwijzing naar artikel 22 AVG. Dit is van belang, omdat het debat tussen partijen zich toespitst op de vraag of artikel 22 AVG wel van toepassing is op de door [appellant sub 1] c.s. genoemde besluiten die Ola t.a.v. hen neemt of heeft genomen. [appellant sub 1] c.s. menen van wel en Ola meent van niet.

3.32 Naar de (Nederlandse) letter gelezen, ziet het in artikel 15 lid 1, sub h), AVG opgenomen informatierecht op elke vorm van geautomatiseerde besluitvorming, ‘met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering’, en dus bijvoorbeeld ook op besluitvorming die niet uitsluitend maar slechts gedeeltelijk gebaseerd is op geautomatiseerde besluitvorming. Echter, in de Engelse respectievelijk Franse versie van deze bepaling is het informatierecht beperkt tot ‘ the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4 )’ respectievelijk ‘l’existence d’une prise de décision auomatisée, y compris un profilage, visée a l’article 22, paragraphes 1 et 4’. Afgaande op deze teksten gaat het hof ervan uit dat het in artikel 15 lid 1, sub h), AVG vervatte informatierecht louter ziet op díe vorm van geautomatiseerde besluitvorming die is bedoeld in artikel 22 leden 1 en 4 van de AVG. Voor een dergelijke uitleg (die dus afwijkt van de letter van de Nederlandse tekst) pleit eveneens dat de verwijzing, in de Nederlandse versie van artikel 15 lid 1, sub h), AVG, naar de in artikel 22 lid 4 bedoelde profilering niet juist kan zijn, aangezien in dat vierde lid het begrip ‘profilering’ niet voorkomt. Tot slot valt voor deze uitleg steun te vinden in de EDPB richtsnoeren. In hoofdstuk IV, paragraaf E, subparagraaf 2, van die richtsnoeren is ook met zoveel woorden bepaald dat het in artikel 15 lid 1, sub h), AVG opgenomen informatierecht ziet op informatie over ‘uitsluitend geautomatiseerde besluitvorming’.

3.33 Het vorenstaande betekent dat er op de voet van artikel 15 lid 1, sub h), AVG een informatierecht bestaat voor zover de verwerkingsverantwoordelijke de betrokkene ‘onderwerpt’ aan ‘een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft’.

3.34 In de EDPB richtsnoeren (zie hiervoor onder 3.4) wordt in hoofdstuk IV, onder paragraaf B, ingegaan op onder meer de vraag wat moet worden verstaan onder een besluit dat de betrokkene ‘anderszins in aanmerkelijke mate treft’. Hierin wordt opgemerkt dat uit de formulering blijkt dat in artikel 22 AVG ‘alleen ernstige, aanzienlijke effecten worden bedoeld’ en voorts dat de drempel voor ‘aanmerkelijke mate’ ‘vergelijkbaar moet zijn met de mate waarin de betrokken wordt getroffen bij een besluit waaraan een rechtsgevolg verbonden is’.

b) Betreft het informatieverzoek besluiten waaraan rechtsgevolgen voor [appellant sub 1] c.s. zijn verbonden of die hen anderszins in aanmerkelijke mate treffen?

3.35

[appellant sub 1] c.s. hebben hun grieven 6 tot en met 9 gericht tegen de afwijzing door de rechtbank (in rov. 4.45, 4.47, 4.49 en 4.50 van de bestreden beschikking) van hun informatieverzoeken en toegespitst op een viertal categorieën van besluitvorming, die hierna achtereenvolgens zullen worden besproken.

3.36 In de eerste plaats wensen [appellant sub 1] c.s. informatie over de zogenaamde ‘fraud probability score’. In haar verweerschrift in hoger beroep omschrijft Ola deze categorie als volgt: ‘een score die intern wordt uitgedrukt als ‘verdacht’ of ‘niet verdacht’. De score wordt bepaald aan de hand van informatie met betrekking tot de frequentie en het totale aantal van herberekeningen van in rekening gebrachte rit-kosten nadat een klant hiertegen succesvol bezwaar maakt, alsmede het aantal keren dat een rekening is na-gecalculeerd vanaf dezelfde account.’ Verder stelt Ola dat de fraud probability score is bedoeld voor intern gebruik en alleen door medewerkers van Ola wordt gebruikt ‘om bepaalde chauffeurs extra in de gaten te houden’. In de (niet bestreden) bewoordingen van de rechtbank gaat het om een risicoprofiel waarmee een voorspelling wordt gedaan over het gedrag en de betrouwbaarheid van de chauffeur.

3.37 Ola heeft niet ontkend dat er dergelijke profielen bestaan van [appellant sub 1] c.s. Sterker nog, Ola heeft [appellant sub 1] c.s. laten weten dat zij (inmiddels) in het segment ‘niet verdacht’ zijn opgenomen. Naar het oordeel van het hof treft deze score [appellant sub 1] c.s. in aanmerkelijke mate. Van deze score hangt immers af of Ola al dan niet overgaat tot nadere maatregelen jegens de chauffeur. Daar komt bij dat de score, als die negatief is, een ernstige aantijging impliceert jegens de chauffeur, die ook nog andere zware repercussies kan hebben, zoals [appellant sub 2] ter zitting heeft toegelicht en niet door Ola is betwist, zoals een melding bij de toezichthouder Transport for [plaats A] en de intrekking van de taxilicentie. Aanvankelijk had Ola [appellant sub 2] verdacht van fraude en het heeft [appellant sub 2] bijzonder veel moeite gekost om deze verdachtmaking gewist te krijgen uit het systeem van Ola. Doordat hij geen informatie had over hoe de beschuldiging tot stand was gekomen, heeft hij zich ook niet goed kunnen verweren. Dat de score bij [appellant sub 1] c.s. uiteindelijk positief is uitgevallen, doet niet af aan het belang van die score. Uit het document ‘How we process your data’ blijkt bovendien dat de score van belang is bij de toedeling van ritten door Ola. Het argument van Ola, opgeworpen in (punt 7.4.1 van) haar incidenteel hoger beroep, dat het hier gaat om besluitvorming voor intern gebruik slaagt niet, aangezien die omstandigheid de score niet onttrekt aan de werkingssfeer van artikel 22 lid 1 AVG.

3.38 In de tweede plaats verzoeken [appellant sub 1] c.s. om informatie over de totstandkoming van het zogenaamde ‘earning profile’: dit is een indeling van de chauffeur in een cohort, welke indeling gebruikt wordt voor het doen van speciale aanbiedingen aan chauffeurs , in die zin dat zij extra zouden kunnen verdienen ten opzichte van de reguliere compensatie, aldus Ola in haar verweerschrift in hoger beroep. Die indeling komt tot stand op basis van verschillende parameters, zoals de wekelijkse inlogtijd, de gegenereerde omzet en de ‘acceptance rate’ van de chauffeur. De parameters worden regelmatig bijgewerkt en bijgesteld. Naar het oordeel van het hof hebben [appellant sub 1] c.s. voldoende gemotiveerd gesteld en heeft Ola onvoldoende gemotiveerd betwist dat de uitkomst van deze profilering c.q. indeling in een bepaald cohort de chauffeurs in aanmerkelijke mate treft, aangezien zij van invloed is op de ritten die hen worden aangeboden alsmede op de prijzen die hen daarvoor worden aangeboden en het al of niet in aanmerking komen voor speciale aanbiedingen. Dit blijkt ook onverkort uit het document ‘How we process your data’. Ola heeft weliswaar gesteld maar onvoldoende toegelicht dat het gebruik van het ‘earning profile’ zoals dat is omschreven in dit document heden ten dage niet meer geldt. Het hof gaat er dan ook van uit dat bij elke passagier die de chauffeurs vervoeren het ‘earning profile’ aldus wordt toegepast. Het gaat dus om elkaar opvolgende besluiten met telkens financiële gevolgen die bepalend zijn voor de inkomsten die zij kunnen verwerven.

3.39 In de derde plaats wensen [appellant sub 1] c.s. informatie over het systeem Guardian: dit is een tool waarmee, aan de hand van de parameter locatie, afwijkende patronen in locatie kunnen worden gesignaleerd, zoals bijvoorbeeld een onaangekondigde tussentijdse stop. Dit ter bescherming van zowel passagier als chauffeur. Na afgifte van een signaal dat wijst op een opvallende situatie, zo heeft Ola toegelicht en is door [appellant sub 1] c.s. onvoldoende betwist, neemt personeel van Ola contact op met de passagier of chauffeur. In het licht van deze toelichting komt het hof tot het oordeel dat deze besluitvorming middels Guardian geen rechtsgevolgen voor [appellant sub 1] c.s. dan wel anderszins aanmerkelijke gevolgen in het leven roept. Voor zover [appellant sub 1] c.s. in dit verband verwijzen naar een persbericht heeft Ola de juistheid daarvan voldoende weersproken. Dit leidt tot het oordeel dat het door Ola omschreven gebruik van ‘Guardian’ niet valt aan te merken als besluitvorming in de zin van artikel 22 AVG. Grief 8 faalt dan ook

3.40 In de vierde plaats verzoeken [appellant sub 1] c.s. om informatie over de wijze waarop ritten worden toegedeeld. [appellant sub 3] heeft ter zitting toegelicht dat het systeem van de toedeling van ritten voor hem aanmerkelijke gevolgen heeft, aangezien hij actief is op de app, maar geen ritten krijgt aangeboden, ook niet nadat hij contact had opgenomen met Ola. Hij wil graag weten hoe tot dit besluit is gekomen. Naar het oordeel van het hof valt niet te ontkennen dat voor [appellant sub 3] het systeem van toedeling van ritten in concreto aanmerkelijke gevolgen heeft aangezien dit grote financiële gevolgen voor hem heeft qua inkomsten.

3.41 Ola heeft, op haar beurt, in incidenteel hoger beroep grief 4 aangevoerd tegen rov. 4.51 van de bestreden beschikking, waarin de rechtbank onder meer heeft overwogen dat op Ola een verbod rust om [appellant sub 1] c.s. te onderwerpen aan geautomatiseerde besluitvorming, zonder menselijke tussenkomst, aangaande het opleggen van een korting of een boete en dat een uitzondering op dit verbod zich hier niet voordoet. Deze grief kan niet tot vernietiging van de bestreden beschikking leiden. Ola voert weliswaar terecht aan dat de onderhavige procedure over het inzagerecht gaat en niet over de rechtmatigheid van de geautomatiseerde besluitvorming. Dit vormt evenwel voor het hof geen grond om tot een andere conclusie te komen dan de rechtbank in rov. 4.52 heeft gedaan, waarin zij heeft beslist, kort samengevat, dat Ola ten aanzien van het geautomatiseerde besluitvormingsproces waarmee wordt bepaald dat ritten niet geldig zijn en als gevolg daarvan kortingen of boetes worden opgelegd de in artikel 15 lid 1, sub h), AVG bedoelde informatie aan [appellant sub 1] c.s. moet verstrekken. Verder is van belang dat Ola tegen rov. 4.52 geen grief heeft gericht. Voor het geval Ola heeft bedoeld dit alsnog te doen ter zitting, middels de punten 7.6 -7.8 van haar pleitnota, merkt het hof op dat dit te laat is, want in strijd met de twee-conclusieregel.

c) Zijn de door [appellant sub 1] c.s. genoemde besluiten uitsluitend gebaseerd op geautomatiseerde verwerking?

3.42 Aangezien hiervoor (in punt 3.37-3.40) is geconcludeerd dat de besluitvorming in de vorm van de ‘fraud probability score’ respectievelijk het ‘earning profile’ alsmede de toedeling van ritten de chauffeurs in aanmerkelijke mate treft, dient de vraag te worden beantwoord of deze besluitvorming is gebaseerd op uitsluitend geautomatiseerde verwerking. Het is aan [appellant sub 1] c.s. om te stellen en zo nodig te bewijzen dat de onderhavige categorieën van besluiten uitsluitend zijn gebaseerd op geautomatiseerde verwerking, met dien verstande dat bij de betwisting daarvan er een verzwaarde motiveringsplicht rust op Ola, omdat de voor deze stelling respectievelijk betwisting benodigde gegevens zich grotendeels in het domein van Ola bevinden.

3.43 Ten aanzien van de ‘fraud probability score’ wijst het hof erop dat, anders dan Ola betoogt en anders dan de rechtbank overweegt, het hier niet gaat om de vraag of er ‘op basis van’ deze score geautomatiseerde besluitvorming plaatsvindt, maar om de vraag of deze score zélf tot stand komt op basis van uitsluitend geautomatiseerde verwerking. [appellant sub 1] c.s. hebben gesteld dat dit het geval is en Ola heeft dit niet, althans onvoldoende betwist. Ola heeft ook niet gesteld dat sprake is van daadwerkelijke menselijke tussenkomst bij de totstandkoming van deze score.

3.44 Ten aanzien van de totstandkoming van het ‘earning profile’en de toedeling van ritten heeft Ola evenmin voldoende gemotiveerd betwist dat dit geschiedt op basis van uitsluitend automatische verwerking, zonder menselijke tussenkomst.

3.45 De slotsom is dan ook dat deze drie categorieën van besluitvorming vallen onder de reikwijdte van artikel 22 lid 1 AVG, en daarmee onder de reikwijdte van artikel 15 lid 1, sub h), AVG. De conclusie is dat Ola de op artikel 15 lid 1, sub h), AVG gebaseerde informatieverzoeken van [appellant sub 1] c.s. ten onrechte heeft afgewezen wat betreft de totstandkoming van de ‘fraud probability score’, het ‘earning profile en de toedeling van ritten. De grieven 6, 7 en 9 slagen dan ook.

d) Kan Ola zich beroepen op een uitzondering op het in artikel 15 lid 1, sub h) AVG vervatte informatierecht?

3.46 Ola heeft in haar verweerschrift in eerste aanleg (punt 3.11.5-3.11.6) nog als verweer gevoerd dat de door [appellant sub 1] c.s. gevraagde informatie bedrijfsgeheimen bevat inzake haar verdienmodel en inzake door Ola genomen veiligheidsmaatregelen. Als zij [appellant sub 1] c.s. daarover informatie zou verschaffen, zou dat kunnen leiden tot omzeiling van die maatregelen en zou dit kunnen leiden tot oneerlijke mededinging.

3.47 Artikel 23 lid 1, sub i), AVG bepaalt dat de reikwijdte van de verplichtingen en rechten als bedoeld in, onder meer, artikel 15 van de AVG, onder bepaalde voorwaarden kan worden beperkt door de lidstaten indien die beperking noodzakelijk en evenredig is ter waarborging van de bescherming van de rechten en vrijheden van anderen. In de Nederlandse wetgeving is een dergelijke beperking neergelegd in artikel 41 lid 1, sub i), UAVG. Naar het oordeel van het hof biedt deze bepaling evenwel onvoldoende grond voor het oordeel dat Ola gerechtigd is om de informatieverzoeken van [appellant sub 1] c.s. in hun geheel af te wijzen. Een volledige afwijzing van die verzoeken is namelijk niet in overeenstemming met de door artikel 41 lid 1, sub i), UAVG vereiste evenredigheid en noodzakelijkheid, althans Ola heeft onvoldoende gesteld voor het oordeel dat een volledige afwijzing wel evenredig en noodzakelijk zou zijn met het oog op de bescherming van haar bedrijfsgeheimen. Ten overvloede wijst het hof nog op punt 63 uit de preambule van de AVG, waarin wordt overwogen dat overwegingen aangaande de rechten of vrijheden van anderen niet ertoe mogen leiden dat de betrokkene alle informatie wordt onthouden. Dit verweer van Ola ter verdediging van haar afwijzing van de informatieverzoeken wordt dan ook door het hof verworpen.

e) Op welke wijze moet gevolg worden gegeven aan een informatieverzoek als bedoeld in artikel 15 lid 1, sub h), AVG?

3.48 Naar het oordeel van het hof meent Ola ten onrechte dat zij reeds heeft voldaan aan deze verzoeken middels verwijzing naar haar privacy policy. Artikel 15 lid 1, sub h), AVG schrijft immers voor dat betrokkene recht heeft op informatie over het bestaan van geautomatiseerde besluitvorming (als bedoeld in artikel 22 AVG), met inbegrip van profilering, en, zo dat het geval is, ‘ nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. Van belang hierbij is dat het gaat om ‘nuttige informatie’, dat wil zeggen zodanige informatie dat de betrokkene met voldoende kennis van zaken kan beslissen of hij al dan niet zijn door de AVG gewaarborgde rechten, zoals het recht op rectificatie of inzage of het recht om rechtsmiddelen aan te wenden, wenst uit te oefenen. Zoals de EDPB richtsnoeren voorschrijven, moet de verwerkingsverantwoordelijke op de voet van artikel 15 lid 1, sub h), AVG de betrokkene algemene informatie verstrekken die van nut is om het besluit aan te vechten, met name informatie over factoren die in het besluitvormingsproces in aanmerking zijn genomen, en hun respectieve ‘weging’ op een geaggregeerd niveau. De verstrekte informatie moet volledig genoeg zijn voor de betrokkene om de redenen van het besluit te kunnen begrijpen. Uit die richtsnoeren vloeit evenwel ook voort dat het niet noodzakelijkerwijs een ingewikkelde toelichting over de gebruikte algoritmen of een uiteenzetting van het volledige algoritme hoeft te zijn. Met deze laatste begrenzing wordt naar het oordeel van het hof voldoende rekening gehouden met de belangen van, in dit geval Ola, wat betreft de door haar genoemde bedrijfsgeheimen. Ola heeft nagelaten aan te tonen dat het door haar genoemde document voldoet aan de voorschriften zoals die voortvloeien uit artikel 15 lid 1, sub h), AVG, gelezen in het licht van de EDPB richtsnoeren. Hetzelfde geldt voor de aan [appellant sub 1] c.s. gerichte brief van 11 mei 2021, die Ola als productie 1 heeft ingebracht. Waar het om gaat is dat Ola ten minste toelicht op basis van welke factoren en welke weging van die factoren Ola tot de fraud probability score respectievelijk het earning profile alsmede de toedeling van ritten komt en [appellant sub 1] c.s. ook voorziet van andere informatie die nodig is om de redenen van die besluiten te kunnen begrijpen. In de brief van 11 mei 2021 heeft Ola ten aanzien van ‘fraud probability’ slechts volstaan met een zeer korte toelichting van ‘some of the current relevant rules’. Ten aanzien van het ‘earning profile’ heeft Ola slechts volstaan met de mededeling welke cohorten er bestaan en in welk cohort [appellant sub 1] c.s. zijn ingedeeld, met enkele vermelding van de twee gehanteerde parameters. Naar het oordeel van het hof wordt hiermee lang niet voldaan aan de door artikel 15 lid 1, sub h), AVG voorgeschreven informatie, zoals uitgelegd door de EDPB.

Het op artikel 20 AVG gebaseerde verzoek om overdraagbare gegevens

3.49 Artikel 20 lid 1 AVG bevat het recht van de betrokkene om, onder bepaalde voorwaarden, de hem betreffende persoonsgegevens die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen. Bij de uitoefening van dit recht, zo bepaalt artikel 20 lid 2 AVG, heeft de betrokkene het recht dat de persoonsgegevens, indien dit technisch mogelijk is, rechtstreeks van de ene verwerkingsverantwoordelijke naar de andere worden doorgezonden, indien dit technisch mogelijk is. De achterliggende gedachte is dat de betrokkene zijn gegevens kan meenemen naar bijvoorbeeld een andere dienstverlener en in beginsel daarvoor medewerking van de oorspronkelijke verwerkingsverantwoordelijke kan afdwingen.

3.50 Met grief 10 in principaal hoger beroep vechten [appellant sub 1] c.s. rov. 4.59 en 4.60 aan waarin de rechtbank onder meer overweegt dat [appellant sub 1] c.s. in onvoldoende mate hebben gespecificeerd op welke persoonsgegevens hun op artikel 20 AVG gebaseerde verzoek betrekking heeft. Deze grief heeft geen succes. Zoals het hof hiervoor, onder 3.28 heeft overwogen, en zoals Ola heeft betoogd, kan de op artikel 35 UAVG gebaseerde rechtsgang niet worden gebruikt om initiële overdraagbaarheidsverzoeken uit te breiden of te specificeren. Dit geldt des te meer voor [appellant sub 3] aangezien zijn initiële verzoek helemaal geen verzoek in de zin van artikel 20 AVG bevatte. Zoals Ola heeft betoogd staat het [appellant sub 1] c.s. vrij om een nieuw overdraagbaarheidsverzoek in te dienen bij Ola.

3.51

In hoger beroep hebben [appellant sub 1] c.s. in verband met hun op artikel 20 AVG gebaseerde verzoek nog om een verklaring voor recht verzocht, inhoudende dat verstrekking van gegevens in pdf-formaat niet kan worden aangemerkt als een verstrekking als bedoeld in artikel 20 lid 1 AVG. Het hof wijst in dit verband naar het

het arrest van de Hoge Raad van 31 maart 2000, ECLI:NL:HR: 2000:AA5319, rov. 3.2.2. Hieruit valt af te leiden dat de rechter op een daartoe gedaan verzoek om een verklaring voor recht aangaande een wetsbepaling deze verklaring kan uitspreken mits deze blijft binnen de grenzen van genoemde wetsbepaling en zich beperkt tot de vaststelling van de rechtsverhouding in geschil tussen de verzoeker en de verweerder. Aangezien in de onderhavige rechtsverhouding tussen [appellant sub 1] c.s. en Ola het op artikel 20 AVG gebaseerde verzoek niet voor toewijzing in aanmerking komt, wordt er niet voldaan aan de door de Hoge Raad gestelde voorwaarden en dient het verzoek om een verklaring voor recht te worden afgewezen.

De verzochte dwangsom

3.52

[appellant sub 1] c.s. verzoeken, onder verwijzing naar artikel 35 lid 5 UAVG, om oplegging van een dwangsom ter hoogte van € 3.000,00 voor iedere dag of deel daarvan dat Ola niet voldoet aan de te geven beschikking. Het hof zal deze toewijzen, aangezien Ola met name ten aanzien van de op artikel 15 lid 1, sub h), AVG gebaseerde verzoeken heeft volhard in haar standpunt dat zij deze niet hoeft toe te wijzen.

De incidentele verzoeken

3.53 In het (voorwaardelijk) incident hebben [appellant sub 1] c.s. het hof verzocht Ola op grond van artikel 843a Rv te bevelen inzage, afschrift of uittreksel over te leggen van de bij Ola berustende bescheiden en op een gegevensdrager aangebrachte gegevens

- waarin Ola heeft vastgelegd ten aanzien van welke categorieën van persoonsgegevens als genoemd in het door [appellant sub 1] c.s. verstrekte overzicht, Ola het inzageverzoek van [appellant sub 1] c.s. als bedoeld in artikel 15 lid 1 AVG heeft toegewezen respectievelijk heeft afgewezen en

- waarin is vastgelegd of Ola ten aanzien van [appellant sub 1] c.s. geautomatiseerde besluitvorming met inbegrip van de in artikel 22, leden 1 en 4 AVG bedoelde profilering, heeft toegepast.

Aangezien het hof hiervoor (in punt 3.29) heeft geoordeeld dat het verzoek van [appellant sub 1] c.s. aangaande inzage in de categorieën van persoonsgegevens zoals genoemd in hun als productie 1 ingebrachte overzicht toewijsbaar is en het hof [appellant sub 1] c.s (in punt 3.45) in het gelijk heeft gesteld wat betreft het bestaan van meerdere categorieën van geautomatiseerde besluitvorming hebben [appellant sub 1] c.s. geen belang meer bij toewijzing van hun verzoek in incident, althans zijn de voorwaarden waaronder zij dit verzoek hebben ingediend niet vervuld. Het hof zal dit verzoek in incident dan ook afwijzen.

Slotsom

3.54 De grieven 1 tot en met 4 in incidenteel hoger beroep en de grieven 2, 3, 8 en 10 in principaal hoger beroep falen. Grief 1, grieven 4 tot en met 7 en grief 9 in principaal hoger beroep hebben geheel dan wel gedeeltelijk succes. Het hof zal de hiermee samenhangende verzoeken alsnog toewijzen op na te melden wijze. Het verzoek in incident zal worden afgewezen. Ola zal als (grotendeels) in het ongelijk gestelde partij worden veroordeeld in de kosten van het geding in incidenteel en principaal hoger beroep en het geding in eerste aanleg. [appellant sub 1] c.s. zullen worden veroordeeld in de kosten van het incident.

4 Beslissing

Het hof:

vernietigt de bestreden beschikking voor zover daarbij is afgewezen het verzoek van [appellant sub 1] c.s. inzake:

a. a) het op artikel 15 lid 1, aanhef, AVG gebaseerde initiële verzoek van [appellant sub 1] c.s. om inzage in de hen betreffende GPS-gegevens;

b) het op artikel 15 lid 1, aanhef, AVG gebaseerde initiële verzoek van [appellant sub 1] om inzage in hen betreffende driver device data: device details, IP address, device mobile number, login time en frequency and time of usage site/application/services;

c) het op artikel 15 lid 1, aanhef, AVG gebaseerde initiële verzoek van [appellant sub 1] om inzage in hen betreffende persoonsgegevens als genoemd in rov. 3.29 onder a tot en met d;

d) het op artikel 15 lid 1, sub h) AVG gebaseerde initiële verzoek van [appellant sub 1] c.s. om informatie over het bestaan van geautomatiseerde besluitvorming in de zin van die bepaling voor zover dat verzoek ziet op de totstandkoming van de ‘fraud probability score’, het ‘earning profile’ en de toedeling van ritten;

en in zoverre opnieuw rechtdoende:

beveelt Ola om, binnen twee maanden na betekening van deze beschikking, de hiervoor onder a) en c) genoemde verzoeken van [appellant sub 1] c.s. toe te wijzen op de wijze zoals omschreven in rov. 3.21 en 3.29, het hiervoor onder b) genoemde verzoek van [appellant sub 1] c.s. toe te wijzen alsmede het hiervoor onder d) genoemde verzoek op de wijze zoals omschreven in rov. 3.48, op straffe van verbeurte van een dwangsom ter hoogte van € 3.000,00 voor iedere dag of deel daarvan dat Ola niet voldoet aan dit bevel;

bekrachtigt de bestreden beschikking voor het overige voor zover aan het oordeel van het hof onderworpen;

veroordeelt Ola in de kosten van het principaal en incidenteel hoger beroep en het geding in eerste aanleg en begroot deze kosten, voor zover tot heden aan de zijde van [appellant sub 1] c.s. gevallen op € 338,00 aan verschotten en € 3.342,00 aan salaris in hoger beroep en op € 304,00 aan verschotten en € 1.126,00 aan salaris in eerste aanleg;

veroordeelt [appellant sub 1] c.s. in de kosten van het incident en begroot deze kosten, voor zover tot heden aan de zijde van Ola gevallen, op € 0 aan verschotten en € 1.114,00 aan salaris en op € 163,- voor nasalaris, te vermeerderen met € 85,- voor nasalaris en met de kosten van het betekeningsexploot, ingeval niet binnen veertien dagen is voldaan aan de bij deze beschikking uitgesproken veroordeling(en) en betekening van deze beschikking heeft plaatsgevonden, en te vermeerderen met de wettelijke rente;

verklaart deze beschikking uitvoerbaar bij voorraad;

wijst af het meer of anders verzochte.

Deze beschikking is gegeven door mrs. C.A.H.M. ten Dam, G.C. Boot en E. Verhulp en door de rolraadsheer in het openbaar uitgesproken op 4 april 2023.

Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG.

Zie HvJEU 12 januari 2023, in C-154/21, Österreichische Post , ECLI:EU:C:2023:3, punt 44, alsmede de daarin genoemde rechtspraak.

Zie ook de recente richtsnoeren die de EPDP op 18 januari 2022 heeft vastgesteld, maar die op dit moment nog onderworpen zijn aan publieke consultatie: Guidelines 01/2022 on data subject rights - Right of access,Version 1.0 . en die als volgt luiden (op blz. 4): According to Art. 15(4) the right to obtain a copy shall not adversely affect the rights and freedoms of others. (…) Art. 15(4) is not, however, applicable to the additional information on the processing as stated in Art. 15(1) lit. a.-h. The controller must be able to demonstrate that the rights or freedoms of others would be adversely affected in the concrete situation. Applying Art. 15(4) should not result in refusing the data subject’s request altogether; it would only result in leaving out or rendering illegible those parts that may have negative effects for the rights and freedoms of others.

Zie HvJEU van 20 december 2017 in C-434/16, Nowak , ECLI:EU:C:2017:994, punt 45.

Zie ten aanzien van het IP-adres ook HvJEU van 19 oktober 2016 in C 582/14, Breyer , ECLI:EU:C:2016:779.

HvJEU van 20 december 2017 in C-434/16, Nowak, ECLI:EU:C:2017:994, punt 42-43.

Vergelijk: HvJEU van 21 juni 2022 in C-817/19 Ligue des droits humains , ECLI:EU:C:2022:491, punt 210.

Zie ook de conclusie van A-G PIKAMÄE van 16 maart 2023 in C-634/21, SCHUFA Holding e.a ., ECLI:EU:C:2023:220, punt 58.