ECLI:NL:RBGEL:2022:2431 text/xml public 2023-06-02T00:15:00 2022-05-13 Raad voor de Rechtspraak nl Rechtbank Gelderland 2022-05-16 AWB - 20 _ 68 Uitspraak Eerste aanleg - meervoudig NL Arnhem Bestuursrecht
Rechtspraak.nl JBP 2022/101
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBGEL:2022:2431 text/html public 2022-05-16T15:05:51 2022-05-17 Raad voor de Rechtspraak nl ECLI:NL:RBGEL:2022:2431 Rechtbank Gelderland , 16-05-2022 / AWB - 20 _ 68
Eiser heeft op 17 augustus 2018 bij verweerder het verzoek ingediend om met toepassing van de Algemene
Verordening Gegevensbescherming (EU) 20 16/679 (hierna: de AVG) handhavend op te treden tegen derde partij, omdat derde partij geen contante betalingen meer accepteert. Hierdoor is de aanschaf van
een bioscoopkaartje alleen nog mogelijk door middel van een pinbetaling aan de kassa dan wel via de website
van derde partij. Consumpties kunnen ook niet meer met contant geld worden betaald. Bij deze
pinbetalingen worden persoonsgegevens verwerkt. Ook bij het bezoeken van de website van derde partij
worden persoonsgegevens verwerkt. Eiser vindt dat hij anoniem de arthouse films die derde partij
aanbiedt moet kunnen bezoeken om maatschappelijk te kunnen participeren met behoud van zijn privéleven.
Voor de verwerking van persoonsgegevens als gevolg van de pinbetalingen of een bezoek aan de website bestaat
volgens eiser geen noodzaak en dat levert volgens hem strijd op met de AVG.
In het bestreden besluit heeft verweerder zich -kort samengevat- op het standpunt gesteld dat er geen sprake is
van een overtreding van de AVG door derde partij. Voor handhavend optreden bestaat volgens verweerder
geen aanleiding.
De rechtbank toetst of verweerder heeft kunnen concluderen dat de AVG door derde partij niet wordt
overtreden. Indien dat het geval is dan is verweerder niet bevoegd om handhavend op te treden.
Het beroep is ongegrond.
RECHTBANK GELDERLAND Zittingsplaats Arnhem
Bestuursrecht
zaaknummer: AWB 20/68
uitspraak van de enkelvoudige kamer van
in de zaak tussen
[eiser] , te [woonplaats] , eiser,
en
de Autoriteit Persoonsgegevens te 's-Gravenhage, verweerder. (gemachtigden: W. van Steenbergen en T.G.H. Spruyt)
Als derde-partijen hebben aan het geding deelgenomen: [Derde partij 1] en [belanghebbende] (verder: [Derde partij 1] ), te [woonplaats] .
Procesverloop
Bij besluit van 16 april 2019 (het primaire besluit) heeft verweerder het verzoek van eiser om handhavend op te treden tegen [Derde partij 1] afgewezen.
Bij besluit van 27 november 2019 (het bestreden besluit) heeft verweerder het bezwaar van eiser ongegrond verklaard.
Eiser heeft tegen het bestreden besluit beroep ingesteld.
Verweerder heeft een verweerschrift ingediend.
Het onderzoek ter zitting heeft plaatsgevonden op 8 februari 2022. Eiser en de gemachtigden van verweerder hebben daaraan via beeldverbinding deelgenomen. De derde-partijen zijn daar vertegenwoordigd door [Derde partij 1].
Overwegingen
Inleiding
1. Eiser heeft op 17 augustus 2018 bij verweerder het verzoek ingediend om met toepassing van de Algemene Verordening Gegevensbescherming (EU) 2016/679 (hierna: de AVG) handhavend op te treden tegen [Derde partij 1] , omdat [Derde partij 1] geen contante betalingen meer accepteert. Hierdoor is de aanschaf van een bioscoopkaartje alleen nog mogelijk door middel van een pinbetaling aan de kassa dan wel via de website van [Derde partij 1] . Consumpties kunnen ook niet meer met contant geld worden betaald. Bij deze pinbetalingen worden persoonsgegevens verwerkt. Ook bij het bezoeken van de website van [Derde partij 1] worden persoonsgegevens verwerkt. Eiser vindt dat hij anoniem de arthouse films die [Derde partij 1] aanbiedt moet kunnen bezoeken om maatschappelijk te kunnen participeren met behoud van zijn privéleven. Voor de verwerking van persoonsgegevens als gevolg van de pinbetalingen of een bezoek aan de website bestaat volgens eiser geen noodzaak en dat levert volgens hem strijd op met de AVG.
1.1. In het bestreden besluit heeft verweerder zich -kort samengevat- op het standpunt gesteld dat er geen sprake is van een overtreding van de AVG door [Derde partij 1] . De verwerking van persoonsgegevens bij de aanschaf van een bioscoopkaartje, zowel bij pinbetalingen aan de kassa als via de website, en bij de aanschaf van een consumptie in de horecagelegenheid is, noodzakelijk voor de uitvoering van een overeenkomst (artikel 6, eerste lid, onder b, van de AVG). De verwerking van persoonsgegevens ten gevolge van een bezoek aan de website van [Derde partij 1] is noodzakelijk voor het verzorgen en verbeteren van de website (artikel 6, eerste lid, onder f, van de AVG). Voor handhavend optreden bestaat volgens verweerder geen aanleiding.
2. De rechtbank toetst of verweerder heeft kunnen concluderen dat de AVG door [Derde partij 1] niet wordt overtreden. Indien dat het geval is dan is verweerder niet bevoegd om handhavend op te treden.
Voor de relevante wettelijke bepalingen verwijst de rechtbank naar de bijlage bij deze uitspraak.
De rechtbank zal hieronder allereerst het beroep beoordelen voor zover dat is gericht tegen de verwerking van persoonsgegevens bij pinbetalingen voor de aanschaf van een bioscoopkaartje aan de kassa of een consumptie in de horecagelegenheid en iDeal-betalingen bij de aanschaf van een bioscoopkaartje via de website van [Derde partij 1] (pin- en iDeal-betalingen). Daarna zal de rechtbank het beroep beoordelen voor zover dat is gericht tegen de verwerking van persoonsgegevens bij een bezoek van de website van [Derde partij 1] (bezoek van de website).
Beoordeling door de rechtbank
3. Pin- en iDeal-betalingen
Welke gegevens worden verwerkt?
3.1. Bij een pinbetaling voor een bioscoopkaartje aan de kassa of een consumptie in de horecagelegenheid, wordt het bankrekeningnummer van de bezoeker, het bedrag en de betaaldatum verwerkt. Doordat [Derde partij 1] voor het afhandelen van de financiële transacties bij pinbetalingen gebruik maakt van een Payment Service Provider (PSP) wordt op het bankrekeningnummer van de bezoeker de zogeheten PAN Masking techniek toegepast. Deze techniek is een internationale standaard, opgesteld door de Payment Card Industry Security Standards Council (PCI SSC) om financiële transacties veilig te verrichten. Door toepassing van deze techniek zijn alleen de laatste vier cijfers van de gemaskeerde bankrekeningnummers, samen met de bedragen en de data waarop is betaald voor [Derde partij 1] zichtbaar.
3.2. Bij de aanschaf van een bioscoopkaartje via de website van [Derde partij 1] kan met iDeal worden betaald. [Derde partij 1] maakt gebruik van betalingsverwerker Buckaroo, die PAN Masking toepast op de bankrekeningnummers. Bij de aanschaf via de website worden de naam, het e-mailadres, het telefoonnummer, de transactiegegevens en het IP-adres van de bezoeker verwerkt.
Is er een overeenkomst ?
3.3. De rechtbank is van oordeel dat sprake is van een overeenkomst. Bij de aanschaf van een bioscoopkaartje aan de kassa of via de website en de aanschaf van een consumptie in het horecabedrijf komt tussen [Derde partij 1] en de bezoeker een overeenkomst tot stand. Dat het, zoals eiser stelt, bij [Derde partij 1] gaat om een door de overheid gesubsidieerde instelling, heeft niet tot gevolg dat er daarom geen overeenkomst tot stand zou komen.
Wat is het toetsingskader?
3.4.
De verwerking van persoonsgegevens kan rechtmatig zijn als die noodzakelijk is voor de uitvoering van de overeenkomst. Voor deze beoordeling hanteert de rechtbank het volgende toetsingskader.
Eerst moet worden beoordeeld of het doel waarvoor de persoonsgegevens worden verwerkt welbepaald en uitdrukkelijk omschreven is. Verder moet worden beoordeeld of met de aan de orde zijnde verwerking van de persoonsgegevens dat doel ook wordt bereikt. Indien de verwerking van de persoonsgegevens voor het bereiken van het specifieke doel in deze zin noodzakelijk is, moet vervolgens worden beoordeeld of de inbreuk op de privacy evenredig is met de belangen die zijn gediend met de verwerking van de persoonsgegevens. Zoals de Afdeling bestuursrechtspraak van de Raad van State heeft geoordeeld in haar uitspraak van 20 september 2017, ECLI:NL:RVS:2017:2555, moet in het licht van het EU-Handvest worden beoordeeld of de inbreuk op de privacy is beperkt tot wat voor het behalen van het doel strikt noodzakelijk is. Met name moet worden beoordeeld of het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokken personen minder nadelige wijze kan worden verwezenlijkt. De intensiteit waarmee dit dient te gebeuren wordt mede bepaald door de specificiteit van de aangedragen alternatieven. Met andere woorden: hoe gedetailleerder de betrokkene het alternatief beschrijft, hoe indringender het onderzoek van verweerder moet zijn.
Met deze toetsing van de belangen in het concrete geval is de AVG in overeenstemming met artikel 8 van het Europees Verdrag van de rechten van de mens en de fundamentele vrijheden (verder: EVRM). Een toetsing aan dit artikel afzonderlijk kan daarom achterwege blijven.
3.5. In dit geval gaat het om de vraag of de verwerking van persoonsgegevens noodzakelijk is voor de uitvoering van een overeenkomst als bedoeld in artikel 6, eerste lid, aanhef en onder b, van de AVG waarbij de bioscoopbezoeker of de bezoeker van de horecagelegenheid van [Derde partij 1] partij is. Zoals blijkt uit advies 06/2014 van de voormalige Artikel 29 Werkgroep en Richtsnoeren 2/2019 van het Europees Comité voor gegevensbescherming moet artikel 7, onder b, van de Privacyrichtlijn, de voorloper van de bepaling uit de AVG, strikt worden geïnterpreteerd. Het enkele feit dat de verwerking van gegevens onder een overeenkomst valt of daarmee verband houdt, betekent niet dat deze verwerking noodzakelijk is voor de uitvoering van de overeenkomst. Artikel 7, onder b, van de Privacyrichtlijn is vrijwel gelijkluidend aan artikel 6, eerste lid, aanhef en onder b, van de AVG. Wat in het advies en Richtsnoeren staat is dus ook voor de interpretatie van de AVG van belang.
Wat is het doel van de verwerking?
3.6.
Het doel van de verwerking van persoonsgegevens is het vergroten van de veiligheid van de medewerkers, voornamelijk vrijwilligers, van [Derde partij 1] . Sinds de verhuizing in 2018 naar de nieuwe locatie accepteert [Derde partij 1] niet langer contante betalingen. [Derde partij 1] wil, vanuit de zorgplicht voor haar medewerkers, de veiligheid van haar medewerkers zo goed mogelijk beschermen en heeft daarom gekozen voor het uitsluitend werken met pinbetalingen. [Derde partij 1] gaat er vanuit dat zij door de afwezigheid van contact geld minder aantrekkelijk zal zijn voor potentiële overvallers. Op de website en bij de ingang van [Derde partij 1] is kenbaar gemaakt dat alleen pinbetalingen worden geaccepteerd. Ter zitting is namens [Derde partij 1] toegelicht dat in het voormalige pand van [Derde partij 1] twee keer geld uit de kassa is gestolen en dat [Derde partij 1] haar medewerkers zo veel mogelijk wil beschermen en niet aan de risico’s van een overval wil blootstellen.
Het doel van de verwerking van persoonsgegevens bij de aanschaf van een bioscoopkaartje via de website is de correcte levering van het bioscoopkaartje.
Is het doel gerechtvaardigd en kan met de aan orde zijnde verwerking het doel ook worden bereikt?
3.7.
De rechtbank is van oordeel dat verweerder de veiligheid van de medewerkers van [Derde partij 1] een gerechtvaardigd doel heeft mogen achten voor de invoering van de verplichte pinbetaling en de afschaffing van de mogelijkheid om met contant geld te betalen.
Ook is de rechtbank van oordeel dat door de afwezigheid van contant geld de veiligheid van de medewerkers in het pand van [Derde partij 1] wordt vergroot. Met de verplichte pinbetaling wordt het doel, waarvoor de verplichting om met pin te betalen geldt, dus bereikt.
Verweerder heeft ook de correcte levering van het bioscoopkaartje een gerechtvaardigd doel mogen achten voor de verwerking van persoonsgegevens bij de aanschaf van een bioscoopkaartje via de website van [Derde partij 1] .
Is de verwerking noodzakelijk voor de uitvoering van de overeenkomst?
3.8.
Zoals hiervoor is opgemerkt, is het doel van de verwerking van persoonsgegevens duidelijk en gerechtvaardigd. De verwerking van persoonsgegevens bij een pinbetaling is een inherent gevolg van een pinbetaling en is daarmee noodzakelijk voor het bereiken van het specifieke doel. Daarmee maakt de pinbetaling onderdeel uit van de overeenkomst. Ook ten aanzien van een via de website aangeschaft bioscoopkaartje geldt dat de verwerking van persoonsgegevens noodzakelijk is voor een correcte levering van het kaartje.
De rechtbank is dan ook van oordeel dat verweerder de grondslag voor de verwerking van persoonsgegevens (bij de aanschaf van een bioscoopkaartje aan de kassa, via de website en van consumpties in de horecagelegenheid) terecht heeft gebaseerd op uitvoering van de (koop)overeenkomst die [Derde partij 1] heeft met de bezoeker.
Is de verwerking evenredig?
3.9.
Verweerder heeft zich op het standpunt kunnen stellen dat het doel waarvoor de persoonsgegevens door [Derde partij 1] worden verwerkt redelijkerwijs niet op een andere, voor de bij de verwerking van de persoonsgegevens betrokken persoon, minder nadelige wijze kan worden bereikt. Het toestaan van betaling van een bioscoopkaartje of consumptie met contant geld, zou immers afbreuk doen aan de doelstelling van [Derde partij 1] om de veiligheid van haar medewerkers zo veel mogelijk te waarborgen.
Daarbij heeft verweerder terecht van belang geacht dat de verwerking van persoonsgegevens bij een pinbetaling bij [Derde partij 1] beperkt blijft tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt en dat is voldaan aan de eis van minimale gegevensverwerking. [Derde partij 1] maakt bij pinbetalingen gebruik van een PSP en door toepassing van de PAN Masking techniek, zijn alleen de laatste vier cijfers van de gemaskeerde bankrekeningnummers, samen met de bedragen en de data waarop is betaald, zichtbaar. Daarmee is de verwerking van persoonsgegevens beperkt.
Naar het oordeel van de rechtbank heeft verweerder zich ook op het standpunt kunnen stellen dat de verwerking van persoonsgegevens bij de aanschaf van een bioscoopkaartje via de website beperkt blijft tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt en dat ook voldaan is aan de eis van minimale gegevensverwerking. Daarbij heeft verweerder terecht van belang geacht dat [Derde partij 1] gebruik maakt van betalingsverwerker Buckaroo, die PAN Masking toepast op de bankrekeningnummers. Ook heeft verweerder kunnen meewegen dat de persoonsgegevens nodig zijn voor een correcte levering van het bioscoopkaartje en dat de persoonsgegevens die bij aanschaf van een kaartje via de website worden verzameld, worden verwijderd na de voorstellingsdatum, tenzij sprake is van een door de bezoeker aangemaakt account.
Tot slot heeft verweerder kunnen wijzen op de mogelijkheid voor eiser om een bioscoopkaartje te kopen met een elders met contant geld aangeschafte bioscoopbon. Daarmee blijft de mogelijkheid bestaan om zonder de verwerking van persoonsgegevens een kaartje te kopen voor het [Derde partij 1] .
De rechtbank is op grond van het vorenstaande van oordeel dat de verwerking van persoonsgegevens evenredig is met de belangen die met de verwerking van de persoonsgegevens zijn gediend.
4. Bezoek van de website
4.1. Bij een bezoek van de website van [Derde partij 1] wordt het IP-adres van de bezoeker verwerkt en worden functionele en analytische cookies geplaatst. Een IP-adres bevat informatie betreffende een geïdentificeerde of een identificeerbare natuurlijke persoon, doordat met het IP-adres een computer is te identificeren, aan de hand waarvan het mogelijk is een natuurlijk persoon te identificeren. Daarmee is het IP-adres een persoonsgegeven. [Derde partij 1] is verwerkingsverantwoordelijke als bedoeld in artikel 4, sub 7, van de AVG.
4.2. Op grond van artikel 6, eerste lid, aanhef en onder f, van de AVG is de verwerking van persoonsgegevens alleen rechtmatig indien en voor zover de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
4.3. Verweerder heeft zich naar het oordeel van de rechtbank op het standpunt kunnen stellen dat [Derde partij 1] met de verwerking van het IP-adres van de bezoeker van de website (en de plaatsing van functionele en analytische cookies) een gerechtvaardigd belang nastreeft. Dit belang betreft het verzorgen en verbeteren van de website.
4.4. Verweerder wijst er op dat het verwerken van een IP-adres inherent is aan het bezoeken van een website (door het IP-adres weet een webserver, waar de gevraagde informatie naar toe moet worden gestuurd) en dat [Derde partij 1] voorzorgsmaatregelen heeft getroffen om ongewenste gevolgen voor eiser als bezoeker van de website te minimaliseren. [Derde partij 1] heeft overeenkomstig de Handleiding van verweerder de stappen 1 tot en met 4 toegepast aan de hand waarvan Google Analytics privacyvriendelijk kan worden ingesteld. Zo heeft [Derde partij 1] via Eagerly een verwerkersovereenkomst met haar sub-verwerker Google afgesloten, waarin is opgenomen dat het laatste octet van het IP-adres wordt gemaskeerd. [Derde partij 1] koppelt geen gebruikers-ID’s aan IP-adressen en heeft het haar sub-verwerkers niet toegestaan om de gemaskeerde IP-adressen voor eigen diensten te gebruiken. Ook informeert [Derde partij 1] gebruikers in haar privacystatement dat zij gebruik maakt van Google Analytics en de stappen 1 tot en met 4 heeft toegepast. Daarnaast worden bezoekers bij een eerste bezoek geattendeerd op het gebruik van functionele en analytische cookies. Voor het gebruik van andere cookies (marketing en tracking) is uitdrukkelijke toestemming van de bezoeker vereist, die bezoekers van de website kunnen verlenen of weigeren door middel van een zogenaamde pop-up.
4.5. Verweerder heeft zich naar het oordeel van de rechtbank op het standpunt kunnen stellen dat de verwerking van de persoonsgegevens bij een bezoek van de website noodzakelijk is voor de behartiging van het belang van het verzorgen en verbeteren van de website. Daarbij heeft verweerder terecht de omvang van de inbreuk op de privacy van eiser afgewogen tegen het belang van [Derde partij 1] bij de verwerking van de persoonsgegevens. Verweerder heeft zich op het standpunt kunnen stellen dat de inbreuk op de privacy van eiser beperkt is en dat het doel, het verzorgen en verbeteren van de website, niet op een andere minder nadelige wijze kan worden bereikt.
Conclusie
5. Uit het bovenstaande volgt dat de beroepsgronden van eiser tegen het standpunt van verweerder in het bestreden besluit geen doel treffen. Het beroep is ongegrond. Voor een proceskostenveroordeling bestaat geen aanleiding.
Beslissing
De rechtbank:
verklaart het beroep ongegrond.
Deze uitspraak is gedaan door mr. G.H.W. Bodt, voorzitter, mr. S.A. van Hoof en mr. M. Ichoh, rechters, in tegenwoordigheid van R. van Diest, griffier.
De beslissing is in het openbaar uitgesproken op: .
griffier
voorzitter
Afschrift verzonden aan partijen op:
Rechtsmiddel
Tegen deze uitspraak kan binnen zes weken na de dag van verzending daarvan hoger beroep worden ingesteld bij de Afdeling bestuursrechtspraak van de Raad van State. Als hoger beroep is ingesteld, kan bij de voorzieningenrechter van de hogerberoepsrechter worden verzocht om het treffen van een voorlopige voorziening of om het opheffen of wijzigen van een bij deze uitspraak getroffen voorlopige voorziening.
Bijlage.
Wettelijk kader.
Algemene verordening gegevensbescherming.
Considerans, overweging 39
(...) Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt. (...)
Artikel 4 Definities.
Voor de toepassing van deze verordening wordt verstaan onder:
1) „persoonsgegevens": alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene"); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
2) „verwerking": een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
[…]
5) „pseudonimisering": het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld;
[…]
7) „verwerkingsverantwoordelijke": een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
[…].
Artikel 5, Beginselen inzake verwerking van persoonsgegevens:
1. Persoonsgegevens moeten:
a. a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie");
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding");
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking");
d) […].
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht").
Artikel 6, Rechtmatigheid van de verwerking
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a. a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
2. […].
Telecommunicatiewet.
Artikel 11.7a
1. Onverminderd de Algemene verordening gegevensbescherming is het via een elektronisch communicatienetwerk opslaan van of toegang verkrijgen tot informatie in de randapparatuur van een gebruiker, alleen toegestaan op voorwaarde dat de betrokken gebruiker:
a. is voorzien van duidelijke en volledige informatie overeenkomstig de Algemene verordening gegevensbescherming, in ieder geval over de doeleinden waarvoor deze informatie wordt gebruikt, en
b. daarvoor toestemming heeft verleend.
[…]
3. Het bepaalde in het eerste lid is niet van toepassing indien het de opslag of toegang betreft:
[…]
b. die strikt noodzakelijk is om de door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij te leveren of – mits dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker – om informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de informatiemaatschappij.
Zie onder meer de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State van 10 november 2021, ECLI:NL:RVS:2021:2511