ECLI:NL:RBOBR:2022:787 text/xml public 2025-03-22T00:08:43 2022-03-07 Raad voor de Rechtspraak nl Rechtbank Oost-Brabant 2022-03-02 C/01/371762 / EX RK 21-90 Uitspraak Tussenbeschikking NL 's-Hertogenbosch Civiel recht
Rechtspraak.nl JBP 2022/83 Module Privacy & AVG 2022/4365
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBOBR:2022:787 text/html public 2022-03-08T10:06:49 2022-03-08 Raad voor de Rechtspraak nl ECLI:NL:RBOBR:2022:787 Rechtbank Oost-Brabant , 02-03-2022 / C/01/371762 / EX RK 21-90
Civiele raadkamer. Tussenbeschikking. Art 35 UAVG-verzoek, verzoek om inzage en informatie ex art 15 en 26 lid 2 AVG en tot nakoming informatieverplichtingen art. 13 en 14 AVG. Nakoming van deze verplichtingen kan in dit geval in het kader van een art. 35 UAVG worden verzocht.
beschikking
RECHTBANK OOST-BRABANT
Civiel Recht
Zittingsplaats 's-Hertogenbosch
zaaknummer / rekestnummer: C/01/371762 / EX RK 21-90
Beschikking van 2 maart 2022
in de zaak van
[verzoeker] ,
wonende te [woonplaats] ,
verzoeker,
hierna te noemen: [verzoeker] ,
verschenen in persoon,
tegen
de besloten vennootschap met beperkte aansprakelijkheid
T-MOBILE NETHERLANDS B.V. ,
gevestigd te Den Haag,
verweerster,
hierna te noemen: T-Mobile,
advocaat mr. Q.R. Kroes te Amsterdam.
1 Waar gaat deze zaak over?
Deze zaak gaat over de vraag of T-Mobile aan [verzoeker] bepaalde informatieverplichtingen die zijn opgenomen in de Algemene Verordening Gegevensbescherming (hierna: AVG) over het verwerken van persoonsgegevens. moet nakomen, en zo ja, of zij deze is nagekomen. Verder oordeelt de rechtbank over de vraag of T-Mobile in het kader van een verzoekschriftprocedure kan worden bevolen om de informatie bedoeld in art. 13 en 14 en art. 26 lid 2 AVG te verstrekken.
De rechtbank oordeelt dat T-Mobile bepaalde informatieverplichtingen ten aanzien van het verwerken van persoonsgegevens van [verzoeker] moet nakomen. De rechtbank vraagt T-Mobile om bepaalde stukken in het geding te brengen en deze nader toe te lichten.
2 De procedure
2.1. De rechtbank heeft het verzoekschrift met bijlagen van [verzoeker] ontvangen op 11 juni 2021. Bij e-mail van 6 december 2021 heeft T-Mobile een verweerschrift ingediend. De mondelinge behandeling heeft plaatsgevonden op 14 december 2021, waarop partijen zijn verschenen. Partijen hebben daarbij gebruik gemaakt van spreekaantekeningen.
2.2. Ten slotte is beschikking bepaald op vandaag.
3 De feiten
3.1. T-Mobile is een aanbieder van een openbaar communicatienetwerk en openbare elektronische communicatiediensten.
3.2.
[verzoeker] is advocaat. In privé is hij al vele jaren klant bij T-Mobile waar het gaat om mobiele telefonie.
3.3. Op 10 maart 2021 publiceerde NRC Handelsblad een artikel over T-Mobile en het Centraal Bureau voor de Statistiek (hierna: CBS) met de kop: ‘Hoe het CBS en T-Mobile de privacy schonden’. In het artikel staat onder meer:
“ Het was dan ook opmerkelijk dat het CBS de bewegingen van grote groepen Nederlanders al vanaf 2017 – ver voor corona dus – bleek te hebben gevolgd. Op zijn website claimde het CBS met “zeer grote datasets ” van T-Mobile te hebben gewerkt. Dit bedrijf is de tweede mobiele provider van Nederland en telde begin vorig jaar 5,6 miljoen mobiele klanten. Met die gegevens was gevolgd waar personen gedurende de uren van de dag verblijven. Dit inzicht zou belangrijk zijn op terreinen als mobiliteit – waar moet een carpoolstrook komen? – of veiligheid: welke gebieden moeten vanwege drukte worden afgesloten? ”
en
“ In het contract met het CBS staat dat T-Mobile “de methode voor het bepalen van locatiegegevens ook voor eigen doeleinden” mag gebruiken , “zowel tijdens als na de pilot”. Een lucratief algoritme dus, dat met overheidsgeld zou worden ontwikkeld. Ook vroeg T-Mobile het CBS om bezoekers van T-Mobile-winkels op basis van telecomdata in kaart te brengen. ”
3.4. Op 11 maart 2021 publiceerde T-Mobile het volgende bericht op haar website:
“ Vanaf september 2017 tot en met december 2019 heeft T-Mobile meegewerkt aan een CBS pilot project naar de problemen die grote steden ervaren door plots toenemende drukte in de stad.
Deze toename heeft onder andere impact op mobiliteit, veiligheid, rampenbestrijding en toerisme in de betreffende stad. De overheid wilde daar beter inzicht in hebben. Uit eerder onderzoek van het CBS, met andere marktpartijen, bleek dat geanonimiseerde mobiele telefoondata een veelbelovende bron was. In het belang van de bescherming van privacy van klanten, ging het hier niet om individuele persoonsgegevens maar om geanonimiseerde en geaggregeerde bewegingspatronen die het mogelijk maakt te tellen hoeveel apparaten (altijd met een minimum van 15) zich op een bepaald moment binnen het bereik van een bepaalde zendmast bevonden. Het is dus apert onjuist dat het CBS toegang had tot individuele persoonsgegevens en inzicht heeft verkregen in wie met wie in contact zou zijn geweest in welke vorm dan ook.
In dit onderzoek zijn de geanonimiseerde en geaggregeerde netwerkdata exclusief en zonder daar vergoeding voor te ontvangen met het CBS gedeeld. T-Mobile onderstreept het belang van de CBS-onderzoeken, voor de bevordering van de leefbaarheid van Nederland en heeft daarom meegewerkt. Er zijn destijds duidelijke afspraken gemaakt met het CBS over de door T-Mobile beschikbaar gestelde data. Zo hadden CBS-medewerkers, onder hele strikte voorwaarden en na het nemen van de nodige beveiligingsmaatregelen, alleen toegang gekregen tot een set gepseudonimiseerde gegevens onder toezicht en verantwoordelijkheid van T-Mobile. De medewerkers hadden alleen toegang via een T-Mobile versleutelde laptop tot de specifieke dataset voor deze pilot. De set gepseudonimiseerde gegevens hebben zodoende de digitale en beveiligde IT infrastructuur van T-Mobile nooit verlaten. De pilot is stopgezet eind 2019. ”
3.5.
[verzoeker] heeft T-Mobile bij brief van 12 maart 2021 aangeschreven. [verzoeker] heeft daarin een beroep gedaan op het bepaalde in art. 12 tot en met 15 en art. 26 lid 2 Algemene Verordening Gegevensbescherming (hierna: AVG). In de brief staat onder meer:
“ In deze brief doe ik, samengevat, een verzoek om informatie over de gegevensverwerkingen in het kader van de samenwerking tussen TMNL [T-Mobile, rb.] en het CBS en een verzoek om inzage in de persoonsgegevens die in dit verband – zonder mijn toestemming – zijn verwerkt. Deze verzoeken zijn noodzakelijk, aangezien de My T-Mobile omgeving niet de mogelijkheid biedt om kennis te nemen van de betreffende gegevens en informatie. ”
[…]
Ik moet een compleet beeld kunnen vormen over de verwerkingen van mijn persoonsgegevens. Daarom verzoek ik u de informatie zo gedetailleerd mogelijk te verstrekken. Denk aan specifieke locatiegegevens, zoals – maar niet beperkt tot – GPS-coördinaten en cartografische data, en andere relevante gegevens zoals verkeersgegevens en/of gegevens gerelateerd aan bijvoorbeeld IMSI, IMEI, MAC-adres(sen), etc. alsook aanverwante informatie over data en tijdstip(pen).
Houd er rekening mee dat de te verstrekken informatie voor mij begrijpelijk moet zijn en mij in staat moet stellen de juistheid van de gegevens en de rechtmatigheid van de gegevensverwerkingen te kunnen controleren. Dit kan er dus toe leiden dat er méér informatie moet worden verstrekt dan alleen persoonsgegevens. ”
3.6. Op 29 april 2021 is T-Mobile met een inhoudelijke reactie gekomen. In de betreffende e-mail staat onder meer:
“ Dank voor uw inzage verzoek.
Langs deze weg reageer ik inhoudelijk op uw eerdere e-mails naar aanleiding van de CBS-pilot.
[…]
In uw e-mail heeft u meerdere verzoeken gedaan. Hierna zal ik per onderwerp daarop ingaan.
Informatie over de gegevensverwerkingen en Inzage in de verwerkte persoonsgegevens.
U verzoekt T-Mobile om informatie te verschaffen over de invulling van de artikelen 13 en 14 van de AVG.
Hierbij informeer ik u dat T-Mobile geen persoonsgegevens van individuele klanten heeft gedeeld met het CBS. Het gaat om geanonimiseerde en geaggregeerde bewegingspatronen (met een minimum aantal van 15) die het mogelijk maakt om te tellen hoeveel apparaten zich op een bepaald moment binnen een bereik van een bepaalde zendmast bevonden. Deze bewegingspatronen zijn niet naar personen te herleiden.
Wij kunnen u gelet op voorgaande dan ook geen inzage geven in de persoonsgegevens die volgens u zouden zijn verstrekt tijdens de Pilot, omdat er geen persoonsgegevens zijn gelekt of gedeeld. Uiteraard kunnen wij u wel inzage gegeven in de persoonsgegevens die wij van u verwerken.
Privacy Statement
Wil u weten hoe wij uw gegevens verwerken? Dan verwijs ik u graag ook naar ons Privacy Statement. Daarin staat precies hoe en waarom wij als telecomorganisatie gegevens van onze klanten verzamelen en verwerken. We doen dit altijd zo zorgvuldig mogelijk. ”
3.7. Op 30 april 2021 heeft [verzoeker] T-Mobile per e-mail bericht dat de beslissing van T-Mobile op zijn verzoek volgens hem niet juist is en heeft hij T-Mobile tot en met uiterlijk 7 mei 2021 de mogelijkheid gegeven om alsnog een juiste beslissing te nemen.
4 Het verzoek
4.1.
[verzoeker] verzoekt de rechtbank om bij beschikking uitvoerbaar bij voorraad:
A. T-Mobile te bevelen om, binnen één maand na betekening van de beschikking, althans een door de rechtbank te bepalen redelijke termijn, ten aanzien van de in het verzoekschrift bedoelde verwerkingen van persoonsgegevens, [verzoeker] informatie te verschaffen over:
de rechtsgrond voor de verwerkingen;
indien van toepassing, de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde;
en antwoord op de vraag of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is;
en/of
T-Mobile te bevelen om, binnen één maand na betekening van de beschikking, althans een door de rechtbank te bepalen redelijke termijn, ten aanzien van de in het verzoekschrift bedoelde verwerkingen van persoonsgegevens, [verzoeker] informatie te verschaffen over:
de verwerkingsdoeleinden;
de betrokken categorieën van persoonsgegevens;
de ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt;
indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dit niet mogelijk is, de criteria om die termijn te bepalen;
wanneer de persoonsgegevens niet bij T-Mobile zin verzameld, alle beschikbare informatie over de bron van die gegevens;
het bestaan van geautomatiseerde besluitvorming, en, indien dergelijke besluitvorming, van toepassing is, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [verzoeker] ;
en/of
T-Mobile te bevelen om, binnen één maand na betekening van de beschikking, althans een door de rechtbank te bepalen redelijke termijn, ten aanzien van de in het verzoekschrift bedoelde verwerkingen van persoonsgegevens:
aan [verzoeker] uitsluitsel te geven over het verwerken van hem betreffende persoonsgegevens, en/of:
[verzoeker] inzage te verlenen in de over hem verwerkte persoonsgegevens, door aan [verzoeker] een kopie van de persoonsgegevens te verstrekken, in een gangbaar elektronisch formaat als XLS(X) of CSV en waarbij de aan [verzoeker] te verstrekken informatie c.q. gegevens begrijpelijk is en hem in staat stelt de juistheid van de persoonsgegevens en de rechtmatigheid van de verwerking van die gegevens te controleren;
en/of
T-Mobile te bevelen om, binnen één maand na betekening van de beschikking, althans een door de rechtbank te bepalen redelijke termijn, ten aanzien van de in het verzoekschrift bedoelde verwerkingen van persoonsgegevens, [verzoeker] inzage te verschaffen in de wezenlijke inhoud van de regeling tussen het CBS en T-Mobile;
en/of
T-Mobile te bevelen tot betaling van een dwangsom van € 10.000,-- (zegge: tienduizend euro), althans een door de rechtbank te bepalen dwangsom, voor iedere dag of deel daarvan dat T-Mobile in gebreke blijft om geheel te voldoen aan één of meer van de onder A en/of B en/of C en/of D genoemde bevelen, en/of;
T-Mobile te veroordelen in de kosten van het geding.
4.2.
[verzoeker] legt onder verwijzing naar de AVG, de UAVG, jurisprudentie en berichtgeving in de pers – verkort weergegeven – het volgende aan zijn verzoeken ten grondslag.
Het privacystatement van T-Mobile dat van toepassing is op de contractuele relatie tussen [verzoeker] en T-Mobile rept met geen woord over gegevensverwerkingen ten behoeve van algoritmen. Ondanks daartoe te zijn verzocht heeft T-Mobile nagelaten informatie te verschaffen over de rechtsgrond voor de verwerking, indien van toepassing de gerechtvaardigde belangen van T-Mobile of een derde en of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is.
T-Mobile is wettelijk gehouden [verzoeker] kosteloos van deze informatie te voorzien.
T-Mobile stelt zich ten onrechte op het standpunt dat zij geen inzage hoeft te geven in gegevens die geanonimiseerd zijn geweest. Anonimiseren is een vorm van verwerken van persoonsgegevens. De geanonimiseerde persoonsgegevens zijn hoogstwaarschijnlijk nog steeds persoonsgegevens in de zin van de AVG.
T-Mobile en het CBS zijn gezamenlijk verantwoordelijk voor de gegevensverwerking als onderdeel van hun samenwerking. [verzoeker] heeft als betrokkene recht op inzage in de in dit verband op grond van de AVG tussen T-Mobile en het CBS op te stellen regeling. De ‘Overeenkomst pilot Statistische analyses op basis van het T-Mobile netwerk’ bevat niet, althans niet geheel de informatie die T-Mobile op grond van de AVG verplicht is aan [verzoeker] te verstrekken.
Het toepassen van een dwangsom is gerechtvaardigd. Ten eerste heeft [verzoeker] een groot belang bij de verzochte informatie en gegevens opdat hij zijn rechten in het kader van verwerking van zijn persoonsgegevens kan uitoefenen. Voorts blijft T-Mobile ondanks dat zij daartoe ruimvoldoende in de gelegenheid is gesteld in gebreke de verzochte informatie en gegevens te verstrekken. Tot slot staan de verzochte dwangsommen in verhouding tot de financiële draagkracht van T-Mobile.
4.3. T-Mobile heeft gemotiveerd verweer gevoerd. Volgens T-Mobile is [verzoeker] in zijn verzoeken op grond van art. 12 tot en met 14 en 26 lid 2 AVG niet-ontvankelijk. Voor het overige heeft T-Mobile aangevoerd aan het verzoek op grond van art. 15 AVG te hebben voldaan. Ook heeft zij aangevoerd dat de verkeers- en locatiegegevens die op [verzoeker] betrekking hebben ten tijde van de CBS-pilot zijn gewist conform de Telecommunicatiewet en haar privacystatement.
4.4. Op de overige stellingen van partijen wordt hierna, voor zover relevant, ingegaan.
5 De beoordeling
5.1. Het verzoek betreft (ten dele) een verzoek zoals bedoeld in art. 35 Uitvoeringswet van de Algemene Verordening Gegevensbescherming (hierna: UAVG). [verzoeker] heeft zijn verzoekschrift gelet op het bepaalde in art. 35 lid 2 UAVG tijdig ingediend. Hij is in zoverre ontvankelijk in haar verzoek.
5.2.
T-Mobile heeft aangevoerd dat T-Mobile niet-ontvankelijk moet worden verklaard in zijn verzoeken onder A en D omdat dit vorderingen betreft die volgens T-Mobile met een dagvaarding moeten worden ingeleid.
Voor zover dat in dit geval had moeten gebeuren – de rechtbank oordeelt daar hieronder over – leidt dat niet tot het oordeel dat [verzoeker] in die vorderingen niet-ontvankelijk is, maar zal de rechtbank zo nodig toepassing moeten geven aan het bepaalde in art. 69 Wetboek van Burgerlijke Rechtsvordering (Rv) en [verzoeker] de mogelijkheid moeten bieden het verkeerd inleiden van de procedure te herstellen voor zover het die vorderingen betreft.
5.3.
De rechtbank stelt bij de verdere beoordeling het volgende voorop. Het gaat in deze procedure om de vraag of op T-Mobile een plicht rust om in het kader van de AVG bepaalde informatie te verstrekken c.q. antwoord te geven op bepaalde vragen.
De rechtbank oordeelt in deze procedure niet over de juistheid van eventueel door T-Mobile nog te verstrekken informatie.
De vraag of T-Mobile al dan niet (ook) uit eigen commerciële overwegingen heeft deelgenomen aan de pilot van het CBS (zie het hierboven geciteerde krantenartikel en randnummer 1.3 van de spreeknotities van [verzoeker] ) ligt niet in deze procedure ter beantwoording voor en in zoverre ook niet de juistheid van eventueel door T-Mobile te geven antwoorden op vragen naar bijvoorbeeld de verwerkingsdoeleinden en/of de rechtsgronden van de verwerking.
5.4. De rechtbank zal hierna eerst de verzoeken onder B en C beoordelen en daarna de verzoeken onder A en D.
De verzoeken onder B en C
5.5.
Tussen partijen is niet in geschil dat T-Mobile (in het verleden) persoonsgegevens zoals bedoeld in art. 4 lid 1 AVG van [verzoeker] heeft verwerkt, en dat T-Mobile verwerkingsverantwoordelijke is zoals bedoeld in lid 7 van dat artikel en [verzoeker] is aan te merken als betrokkene in de zin van art. 15 lid 1 AVG.
Ook is tussen partijen niet in geschil dat het [verzoeker] in deze procedure niet gaat om de verwerking van zijn persoonsgegevens voor zover dat nodig is om uitvoering te geven aan de overeenkomst tussen partijen (met inbegrip van de maandelijkse facturatie).
Het gaat [verzoeker] om de verwerking van zijn persoonsgegevens door T-Mobile ten behoeve van de pilot met het CBS.
5.6. Artikel 15 AVG luidt:
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het
recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de
doorgifte.
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.
5.7. T-Mobile heeft aangevoerd dat bij de beoordeling van de verzoeken moet worden uitgegaan van de verzoeken zoals [verzoeker] deze op 12 maart 2021 heeft gedaan. Het is immers tegen de beslissing door T-Mobile op deze verzoeken waartegen [verzoeker] nu in rechte opkomt, aldus T-Mobile. Dat standpunt is juist.
5.8. In de brief van 12 maart 2021 van [verzoeker] aan T-Mobile staat waar het gaat om de door hem gewenste inzage in de volgens hem verwerkte persoonsgegevens:
“ Aldus ontvang ik graag van u – vanwege artikel 26 lid 2 AVG maar ook, voor zover nodig, artikelen 12 t/m 15 AVG in ieder geval informatie over:
de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn (of worden verwerkt),
de categorieën van persoonsgegevens die zijn (of worden) verwerkt;
de rechtsgrond voor de verwerkingen, inclusief informatie over de gerechtvaardigde belangen van de verwerkingsverantwoordelijken indien de ‘sub f’ rechtsgrond van toepassing is.
de (beoogde) ontvangers aan wie de persoonsgegevens zijn (of worden) verstrekt;
de periode waarin de gegevens zijn (of worden) verwerkt c.q. opgeslagen;
het bestaan van geautomatiseerde besluitvorming, waaronder begrepen de in artikel 22 lid 1 en 4 AVG bedoelde profilering alsook nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerkingen voor mij als betrokkene;
alle beschikbare informatie over de (beoogde) bron en/of bronnen waar de persoonsgegevens vandaan zijn (of zouden zijn) gekomen;
of de persoonsgegevens zijn (of worden) verwerkt in een derde land, en zo ja – welke passende waarborgen er zijn getroffen ex artikel 46 AVG inzake internationale doorgifte.
Daarnaast verzoek ik u mij alle overige relevante informatie te verschaffen, waaronder duidelijke en volledige informatie over de verwerkingen gerelateerd aan de verschillende fasen van de (beoogde) gegevensverwerking en de rollen van de hiermee gemoeide actoren, zoals TMNL en het CBS .”
en
“ Daarnaast doe ik een beroep op mijn recht op inzage in de over mij verwerkte gegevens. Meer specifiek verzoek ik inzage te verkrijgen in de persoonsgegevens die op mij betrekking hebben en die zijn verwerkt in het kader van de samenwerking tussen TMNL en het CBS .”
5.9. Aldus verzoekt [verzoeker] om inzage in te krijgen in zijn verwerkte persoonsgegevens (indien aan de orde) en de informatie bedoeld in artikel 15 lid 1 onder a, b, c, d, g, h AVG.
5.10. T-Mobile voert aan dat geen sprake is geweest van de verwerking van de persoonsgegevens waar [verzoeker] om verzoekt. Zij verwijst naar de reactie van T-Mobile van 29 april 2021.
5.11.
[verzoeker] stelt dat ook het anonimiseren van persoonsgegevens valt onder de definitie van het begrip ‘verwerken’ zoals gedefinieerd in artikel 4 lid 2 AVG:
““ verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens; ”
5.12. Ook heeft hij erop gewezen dat de AVG het begrip ‘pseudonimisering’ kent (art. 4 lid 5” :
““pseudonimisering”: het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld;”
5.13.
De rechtbank is van oordeel dat T-Mobile in het kader van de pilot met het CBS persoonsgegevens heeft verwerkt, al was het maar door T-Mobile ter beschikking staande locatiegegevens van klanten te anonimiseren en onder te brengen in “geanonimiseerde en geaggregeerde bewegingspatronen” die aan zij het CBS ter beschikking heeft gesteld.
Ook het al dan niet selecteren van persoonsgegevens om al dan niet opgenomen te worden in de aan het CBS ter beschikking te stellen datasets betreft het verwerken van de persoonsgegevens zoals bedoeld onder de AVG.
Tot nu toe is onduidelijk gebleven of T-Mobile gegevens van al haar klanten met een mobiele telefoonabonnement en van wie zij (door het gebruiken van de mobiele telefoon) locatiegegevens in haar bezit heeft gekregen heeft gebruikt voor de dataset of dat hierin een beperking is aangebracht.
De rechtbank is voorts van oordeel dat T-Mobile onvoldoende aannemelijk heeft gemaakt dat zij in het kader van de pilot geen persoonsgegevens van [verzoeker] zou hebben verwerkt.
T-Mobile heeft ter zitting nog betoogd dat uit de tekst van artikel 15 lid 1 AVG volgt dat T-Mobile niet verplicht is tot het verstrekken van informatie over in het verleden verwerkte (gepseudonimiseerde) persoonsgegevens.
Deze lezing van art. 15 AVG getuigt van een onjuiste rechtsopvatting.
Dit betekent dat T-Mobile op grond van de AVG aan [verzoeker] de informatie moet geven zoals bedoeld in artikel 15 lid 1 onder a, b, c, d, g, h AVG en in art. 26 lid 2 AVG.
5.14.
In dat verband zal T-Mobile in ieder geval aan [verzoeker] de precieze aard (en herkomst) moeten duiden van de persoonsgegevens die in het kader van de pilot met het CBS door haar zijn verwerkt (bijvoorbeeld locatiegegevens aan de hand van GPS- of andere gebruikelijke coördinaten, IMSI-nummers enzovoorts).
Simpel gesteld zal T-Mobile op transparante wijze inzichtelijk moeten maken welke persoonsgegevens zij heeft verwerkt ten behoeve van de aan het CBS ter beschikking gestelde datasets en waar deze gegevens precies vandaan kwamen. T-Mobile zal als vormgever van de datasets (nog) moeten weten welke soort (persoons)gegevens in de datasets zijn c.q. waren opgenomen.
In zoverre zal de rechtbank het verzoek van [verzoeker] voor zover dat gebaseerd is op het bepaalde in artikel 15 AVG toewijzen.
5.15.
T-Mobile stelt dat zij de data die zij in het kader van de pilot met het CBS heeft geanonimiseerd en daarna ter beschikking heeft gesteld van het CBS onder meer vanwege wettelijke verplichtingen heeft gewist en niet meer in haar bezit heeft en dat zij dus ook die persoonsgegevens zelf geen inzage meer kan geven
[verzoeker] heeft aangevoerd dat T-Mobile daarvan geen bewijs heeft overgelegd, bijvoorbeeld in de vorm van log-gegevens of verklaringen van IT-auditors en houdt het voor mogelijk dat de datasets nog steeds ergens in de it-infrastructuur of daarbuiten zijn opgeslagen.
De rechtbank zal in dit verband T-Mobile in de gelegenheid stellen ter zake een verklaring van haar directie over te leggen, bijvoorbeeld – door haar directeur IT & Technology en/of haar directeur Juridische Zaken, Regelgeving en Public Affairs (zie: https://www.t-mobile.nl/over-ons/organisatie) en beslissing op dit punt aanhouden.
De verzoeken onder A en D
5.16.
De rechtbank zal eerst bezien of de verzoeken onder A en D in het kader van deze procedure kunnen worden beoordeld. T-Mobile heeft ten eerste aangevoerd dat deze verzoeken thuishoren in een dagvaardingsprocedure, omdat zij niet onder de reikwijdte van art. 35 UAVG vallen en dat de wetgever nergens heeft bepaald dat een vordering tot nakoming van de informatieverplichtingen bedoeld in art. 12 tot en met 14 en art. 26 lid 2 AVG ook door middel van een verzoekschrift kan worden ingeleid. Het wel meenemen van die verzoeken in de onderhavige procedure is volgens T-Mobile in strijd met het legaliteitsbeginsel omdat de verzoekschriftprocedurerechter daartoe de bevoegdheid mist. Een dagvaardingsprocedure leidt volgens T-Mobile niet tot strijd met de Rewe-beginselen (ECLI:EU:C:1976:188). Verder heeft T-Mobile aangevoerd dat het relatief eenvoudig is om vast te stellen of een verwerkingsverantwoordelijke gehoor heeft gegeven aan een verzoek om inzage, maar geldt dat niet voor verdergaande vorderingen op grond van de AVG. Die zouden volgens T-Mobile al snel uitvoerig en complex zijn. Vorderingen op grond van artikel 13 en 14 AVG zijn dergelijke vorderingen, aldus T-Mobile.
[verzoeker] heeft in zijn verzoekschrift gesteld en ter zitting herhaald dat het bepaalde in art. 35 UAVG eveneens dient te gelden voor verzoeken die (deels) gebaseerd zijn op andere artikelen van de AVG, voor zover die verzoeken betrekking hebben op de uitoefening van de rechten van betrokkenen zoals [verzoeker] . Zou dit niet het geval zijn, dan is het gevolg aldus [verzoeker] , dat hij een separate procedure aanhangig dient te maken. Dit is volgens [verzoeker] ongewenst gelet op het hoge beschermingsniveau dat de AVG en daarmee ook de UAVG aan betrokkenen toekent, alsook om proceseconomische redenen. Ter zitting heeft [verzoeker] toegelicht dat de door hem gevraagde informatie betrekkelijk eenvoudig door T-Mobile kan worden gegeven.
5.17. Art. 79 AVG lid 1 luidt:
“ Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet. ”
5.18. Blijkens de wetsgeschiedenis van de UAVG heeft de wetgever geen aandacht besteed aan de vraag welke rechtsingang een betrokkene moet kiezen en welke (civielrechtelijke) rechtsbescherming er geldt als hij nakoming wenst van een in de AVG neergelegde informatieplicht van een verwerkingsverantwoordelijke jegens een betrokkene, voor zover het niet gaat om de informatieverplichtingen bedoeld in artikel 15 tot en met 22 AVG. Wettelijk uitgangspunt is dat vorderingen worden ingesteld door middel van een dagvaarding (vgl. art. 78 lid 1 jo. 261 lid 2 Rv).
5.19. In ECLI:NL:RBAMS:2020:7536 heeft de rechtbank Amsterdam onder verwijzing naar de door de verzoekers in die procedure aangehaalde uitspraak van het gerechtshof Den Haag (ECLI:NL:GHDHA:2015:2332) overwogen:
“ De rechtbank is met [verzoekers] van oordeel, dat ook naar huidig recht, ondanks het feit dat artikel 82 AVG niet is genoemd in artikel 35 UAVG, niet uitgesloten is dat (materiële en immateriële) schadevergoeding ex artikel 82 AVG – die blijkens punt 146 van de considerans bij de AVG volledig en daadwerkelijk moet zijn –, indien deze wordt gevraagd bij hetzelfde verzoekschrift dat het verzoek ex artikel 35 UAVG bevat, in die procedure ook behandeld en toegekend kan worden. Dat neemt niet weg dat, zoals ook uit de onder 2.8 genoemde beschikking blijkt, deze mogelijkheid is gegeven, omdat de oorspronkelijke reden om dat niet mogelijk te maken (te weten dat de bewijsregeling naar toenmalig recht van de verzoekschriftprocedure hierop niet was afgestemd) intussen was vervallen door invoering van (het huidige) artikel 284 lid 1 Rv, waarin is bepaald dat het bewijsrecht van de dagvaardingsprocedure ook in de verzoekschriftprocedure van toepassing is. Daarbij past de kanttekening dat het slot van die bepaling luidt: “tenzij de aard van de zaak zich hiertegen verzet”. Dit is met name van belang gezien hetgeen hiervoor is overwogen over de procedure ex artikel 35 UAVG dat deze snel en eenvoudig moet verlopen, terwijl begroting van schade doorgaans niet snel en eenvoudig geschiedt. Dit brengt de rechtbank tot het oordeel dat het verzoek tot vergoeding van schade in een verzoekschriftprocedure ex artikel 35 UAVG alleen kan worden behandeld voor zover schade is geleden als gevolg van een (vaststaande of eenvoudig vast te stellen) rechtstreekse inbreuk op een of meer bepalingen van de AVG, deze schade niet in een verder verwijderd verband hiermee staat en eenvoudig valt vast te stellen. Het zal dan dikwijls gaan om vergoeding van kosten die verzoeker heeft gemaakt als gevolg van met de bepalingen van de AVG strijdige handelingen van de verwerker of verwerkingsverantwoordelijke, zoals de rechtspraak tot nu toe ook uitwijst. Vergoeding van inkomensschade zal hier in de regel buiten vallen, evenals, zoals hier eveneens verzocht, vergoeding van overige schade als gevolg van deactivering van het Uber-account van verzoekers, nog daargelaten dat dit in deze zaak mogelijk naar ander recht dan het Nederlandse beoordeeld dient te worden. Hiervoor blijft de gewone (dagvaardings)procedure open staan. ”
5.20.
De rechtbank sluit zich aan bij de hiervoor weergegeven overwegingen en vindt dat gezien deze overwegingen moet worden geoordeeld dat ook de verzoeken zoals [verzoeker] deze onder A en D heeft gedaan in beginsel kunnen worden meegenomen in een procedure op de voet van art. 35 UAVG.
Het gaat anders dan T-Mobile aanvoert om het nakomen van relatief eenvoudige, maar in het licht van de AVG essentiële informatieverplichtingen die op grond van de AVG op T-Mobile (kunnen) rusten.
5.21. Het is gelet op wat hiervoor is overwogen dan ook niet nodig [verzoeker] te verwijzen naar de civiele dagvaardingsprocedure.
De verzoeken onder A en D
5.22. De rechtbank zal nu beoordelen of de verzoeken van [verzoeker] onder A en D moeten worden toegewezen.
5.23. T-Mobile heeft ter zitting naast haar eerdere niet-ontvankelijkheidsverweer aangevoerd dat het [verzoeker] ten eerste ontbreekt aan voldoende procesbelang en voor zover dit belang er wel zou zijn dat [verzoeker] met de door hem verzochte informatie al bekend is en dat het bepaalde in art. 26 lid 2 AVG niet van toepassing is.
5.24.
T-Mobile heeft erop gewezen dat [verzoeker] kennis heeft genomen van het privacy-statement van T-Mobile, het persstatement en de overeenkomst tussen T-Mobile en het CBS.
[verzoeker] heeft in zijn verzoekschrift gesteld dat de overeenkomst waar het gaat om het bepaalde in artikel 26 lid 2 AVG niet althans, niet geheel de informatie bevat die T-Mobile aan hem moet verschaffen. Volgens [verzoeker] bevat de overeenkomst geen informatie over de gegevens die de verwerkingsverantwoordelijke(n) moet(en) verstrekken op grond van artikelen 13 en 14 AVG, waaronder begrepen de doelen van de gegevensverwerkingen, bewaartermijnen, verstrekkingen aan derde-partijen. Ook blijkt uit de overeenkomst niet hoe de onderlinge verantwoordelijkheid is verdeeld, hetgeen volgens [verzoeker] neerkomt op het uitleg over de fases van de gegevensverwerking en de hierbij betrokken partijen.
5.25. De rechtbank overweegt als volgt. De eerste vraag die ten aanzien verzoek D moet worden beantwoord is of sprake is van gezamenlijke verwerkingsverantwoordelijken zoals bedoeld in art. 26 AVG. De eerste volzin van lid 1 van dat artikel luidt:
“ Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken. ”
5.26.
[verzoeker] heeft gemotiveerd gesteld dat T-Mobile en het CBS gezamenlijke verwerkingsverantwoordelijken zijn en T-Mobile heeft dat niet betwist.
[verzoeker] noch T-Mobile heeft de overeenkomst tussen T-Mobile en het CBS in het geding gebracht. De rechtbank heeft vastgesteld dat deze overeenkomst nog vindbaar is op de website van T-Mobile (zie: https://www.t-mobile.nl/company/media/pdf/Overeenkomst %20pilot%20CBS%20T-Mobile.pdf ), maar het is niet aan de rechtbank deze overeenkomst eigenstandig te beoordelen in het licht van het bepaalde in art. 13, 14 en 26 AVG.
5.27.
De rechtbank zal T-Mobile in de gelegenheid stellen de overeenkomst alsnog in het geding te brengen en toe te lichten waar in die overeenkomst de wezenlijke inhoud van de onderlinge regeling bedoeld in art. 26 AVG is terug te vinden. De rechtbank wijst T-Mobile erop dat op grond van art. 12 AVG de aan een betrokkene te verstrekken informatie
in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in
duidelijke en eenvoudige taal ter beschikking moeten stellen. Een zakelijke overeenkomst tussen twee rechtspersonen zal mogelijk niet aan die norm voldoen. Daaraan doet niet af dat [verzoeker] advocaat is. [verzoeker] zal daarna in de gelegenheid worden gesteld daarop te reageren.
5.28. Ten aanzien van het verzoek onder A overweegt de rechtbank dat het persstatement in onvoldoende mate een antwoord geeft op alle vragen zoals vermeld in het verzoek onder A. Voorts had van T-Mobile in het kader van deze procedure mogen worden verwacht dat voor zover zij meent dat de verzochte informatie is terug te vinden in haar privacystatement of in de overeenkomst zij dit concreet had toegelicht. Dit heeft T-Mobile naar het oordeel van de rechtbank tot nu toe onvoldoende gedaan. De rechtbank zal uit proceseconomische overwegingen T-Mobile in staat stellen de vragen van het verzoek onder A tegelijkertijd te beantwoorden bij het in het geding brengen van de overige stukken.
5.29. Iedere verdere beslissing wordt aangehouden
6 De beslissing
De rechtbank
6.1. stelt T-Mobile in de gelegenheid om uiterlijk 30 maart 2022 in het geding te brengen:
de verklaring zoals bedoeld onder 5.15 ter zake het wissen van de verwerkte persoonsgegevens;
de overeenkomst inzake de pilot tussen T-Mobile en het CBS;
het privacystatement waarnaar T-Mobile [verzoeker] heeft verwezen;
een schriftelijke toelichting dat met het verstrekken van het privacystatement, het persstatement van 11 maart 2021 en de overeenkomst tussen T-Mobile met het CBS is voldaan aan de op haar rustende verplichtingen op grond van art. 13, 14 en 26 AVG;
(indien T-Mobile dat opportuun acht) bij voorbaat de informatie zoals bedoeld onder 5.13 en 5.14 (de door [verzoeker] verzochte informatie uit hoofde van art. 15 AVG).
6.2.
[verzoeker] zal hierna in de gelegenheid worden gesteld schriftelijk op de door T-Mobile in brengen stukken te reageren.
6.3. Iedere verdere beslissing wordt aangehouden.
Deze beschikking is gegeven door mr. E.J.C. Adang en in het openbaar uitgesproken op 2 maart 2022.