ECLI:NL:RVS:2026:746 text/xml public 2026-06-29T10:04:08 2026-02-11 Raad voor de Rechtspraak nl Raad van State 2026-02-11 202203874/1/A3 Uitspraak Hoger beroep NL Bestuursrecht
Rechtspraak.nl ABkort 2026/52 NJB 2026/430 JB 2026/56 JBP 2026/37 Module Privacy & AVG 2026/4501
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RVS:2026:746 text/html public 2026-02-11T10:16:48 2026-02-11 Raad voor de Rechtspraak nl ECLI:NL:RVS:2026:746 Raad van State , 11-02-2026 / 202203874/1/A3
Bij besluit van 16 april 2019 heeft de Autoriteit Persoonsgegevens het verzoek van [appellant] om handhavend op te treden tegen Stichting Focus Filmtheater en Focus Horeca B.V. afgewezen. [appellant] wil met contant geld een bioscoopkaartje kunnen kopen bij Focus. In 2018 is Focus verhuisd naar een nieuw pand en sindsdien kunnen bioscoopkaartjes alleen nog met pinpas of creditcard, of online via de website gekocht worden. Ook consumpties in de horecagelegenheid van Focus kunnen alleen nog met pin of creditcard betaald worden. [appellant] vindt dit in strijd met zijn recht op privéleven, omdat daarbij onnodig persoonsgegevens van hem verwerkt worden. Daarom heeft hij de AP verzocht om, met toepassing van de Algemene Verordening Gegevensbescherming (hierna: AVG) onderzoek te doen naar en handhavend op te treden tegen de afschaffing van de mogelijkheid van contante betalingen door Focus. De AP heeft op basis van bureauonderzoek het niet aannemelijk geacht dat zich mogelijkerwijs een overtreding van de AVG voordoet doordat Focus geen contante betalingen accepteert. De AP heeft het handhavingsverzoek daarom afgewezen.
202203874/1/A3.
Datum uitspraak: 11 februari 2026
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op het hoger beroep van:
[appellant], wonend in [woonplaats],
appellant,
tegen de uitspraak van de rechtbank Gelderland van 16 mei 2022 in zaak nr. 20/68 in het geding tussen:
[appellant]
en
de Autoriteit Persoonsgegevens (hierna: de AP).
Procesverloop
Bij besluit van 16 april 2019 heeft de AP het verzoek van [appellant] om handhavend op te treden tegen Stichting Focus Filmtheater en Focus Horeca B.V. (hierna: Focus) afgewezen.
Bij besluit van 27 november 2019 heeft de AP het door [appellant] daartegen gemaakte bezwaar ongegrond verklaard.
Bij uitspraak van 16 mei 2022 heeft de rechtbank het door [appellant] daartegen ingestelde beroep ongegrond verklaard.
Tegen deze uitspraak heeft [appellant] hoger beroep ingesteld.
De AP en Focus hebben een schriftelijke uiteenzetting gegeven.
[appellant] heeft een nader stuk ingediend.
De Afdeling heeft de zaak ter zitting behandeld op 30 juli 2025, waar [appellant], en de AP, vertegenwoordigd door mr. W. van Steenbergen en mr. A. Karimi, zijn verschenen.
Overwegingen
Wettelijk kader
1. Het wettelijk kader is opgenomen in de bijlage, die deel uitmaakt van deze uitspraak.
Inleiding
2. [appellant] wil met contant geld een bioscoopkaartje kunnen kopen bij Focus. In 2018 is Focus verhuisd naar een nieuw pand en sindsdien kunnen bioscoopkaartjes alleen nog met pinpas of creditcard, of online via de website gekocht worden. Ook consumpties in de horecagelegenheid van Focus kunnen alleen nog met pin of creditcard betaald worden. [appellant] vindt dit in strijd met zijn recht op privéleven, omdat daarbij onnodig persoonsgegevens van hem verwerkt worden. Daarom heeft hij de AP verzocht om, met toepassing van de Algemene Verordening Gegevensbescherming (hierna: AVG) onderzoek te doen naar en handhavend op te treden tegen de afschaffing van de mogelijkheid van contante betalingen door Focus.
3. De AP heeft op basis van bureauonderzoek het niet aannemelijk geacht dat zich mogelijkerwijs een overtreding van de AVG voordoet doordat Focus geen contante betalingen accepteert. De AP heeft het handhavingsverzoek daarom afgewezen.
Uitspraak van de rechtbank
4. De rechtbank heeft geoordeeld dat de AP het handhavingsverzoek van [appellant] terecht heeft afgewezen. Volgens de rechtbank is het doel van de verwerking van persoonsgegevens bij pinbetalingen het vergroten van de veiligheid van de medewerkers, voornamelijk vrijwilligers, van Focus. Het doel van de verwerking van persoonsgegevens bij de aanschaf van een bioscoopkaartje via de website is de correcte levering van het bioscoopkaartje. Deze doelen zijn volgens de rechtbank duidelijk en gerechtvaardigd. Verder is de verwerking van persoonsgegevens noodzakelijk voor de uitvoering van de overeenkomst met de bioscoopbezoeker, zoals bedoeld in artikel 6, eerste lid, aanhef en onder b, van de AVG. Tot slot is de rechtbank van oordeel dat de verwerking van persoonsgegevens evenredig is met de belangen die daarmee gediend zijn. Het doel waarvoor Focus de persoonsgegevens verwerkt kan redelijkerwijs niet op een minder nadelige wijze worden bereikt. Het toestaan van contant geld zou immers afbreuk doen aan de doelstelling van Focus om de veiligheid van haar medewerkers te waarborgen. Bovendien blijft de verwerking van persoonsgegevens beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Focus maakt bij pinbetalingen namelijk gebruik van een Payment Service Provider (hierna: PSP) en door toepassing van de PAN Masking techniek zijn alleen de laatste vier cijfers van gemaskeerde bankrekeningnummers, samen met de bedragen en de data waarop is betaald, zichtbaar. De rechtbank heeft het beroep van [appellant] ongegrond verklaard.
Het hoger beroep
Omvang van het geding
5. De rechtbank is in haar uitspraak ook ingegaan op het beroep van [appellant] voor zover dat is gericht tegen de verwerking van persoonsgegevens bij een bezoek aan de website van Focus. [appellant] heeft in hoger beroep verklaard dat het hem expliciet gaat om de mogelijkheid om met contant geld te betalen, en niet zozeer om de gegevensverwerking op de website. Als hij met contant geld had kunnen betalen had hij geen handhavingsverzoek ingediend. De Afdeling zal zich in hoger beroep daarom beperken tot een beoordeling van de afwijzing van het handhavingsverzoek voor zover dat betrekking heeft op pinbetalingen.
Gronden van het hoger beroep
6. [appellant] voert aan dat de rechtbank ten onrechte niet heeft getoetst aan artikel 8 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: EVRM). Volgens [appellant] is de verwerking van persoonsgegevens bij pinbetalingen niet noodzakelijk in een democratische samenleving. Daarnaast heeft de rechtbank ten onrechte overwogen dat hier sprake is van een overeenkomst. Er is namelijk geen sprake van ondubbelzinnige, vrijwillige instemming van een betrokkene, maar een door Focus eenzijdig opgelegde verplichting. Bovendien is er volgens [appellant] in sommige gevallen sprake van verwerking van bijzondere persoonsgegevens zoals bedoeld in artikel 9 van de AVG. Denkbaar is dat uit het bezoek aan bepaalde films bijvoorbeeld de politieke of seksuele voorkeur van de bezoeker afgeleid kan worden. Bijzondere persoonsgegevens mogen in beginsel niet zonder toestemming verwerkt worden.
Verder voert [appellant] aan dat veiligheid van de medewerkers in het algemeen een gerechtvaardigd doel is, maar dat niet aannemelijk is gemaakt dat de veiligheid van de medewerkers in dit specifieke geval in het geding is. Er is in dit geval dus geen sprake van een gerechtvaardigd doel, en het doel is te algemeen geformuleerd om welbepaald en uitdrukkelijk omschreven te zijn.
Verder voert [appellant] aan dat de rechtbank ten onrechte heeft overwogen dat de verwerking van persoonsgegevens evenredig is. De rechtbank heeft niet gemotiveerd waarom het doel van de verwerking van persoonsgegevens niet op een andere, voor de betrokkene minder nadelige wijze zou kunnen worden bereikt. Dat Focus gebruik maakt van de PAN Masking techniek betekent volgens [appellant] niet dat de gegevens veilig verwerkt worden, omdat digitale systemen altijd kwetsbaar zijn. Tot slot vindt [appellant] het verplichten van mensen die een film willen zien zonder persoonsgegevens te delen om hun bioscoopkaartje elders te kopen, een vorm van discriminatie.
Beoordeling door de Afdeling
De verhouding tussen de AVG, het EU Handvest en het EVRM
7. Zoals het Hof van Justitie van de Europese Unie (hierna: het Hof) heeft overwogen in zijn arrest van 5 juni 2023, Commissie t. Polen, ECLI:EU:C:2023:442, punt 332, heeft de AVG onder meer tot doel een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen te waarborgen in verband met de verwerking van persoonsgegevens. Een dergelijke verwerking wordt daarom in beginsel geacht te voldoen aan artikelen 7 en 8 van het EU-Handvest, voor zover de voorwaarden voor de rechtmatige verwerking van persoonsgegevens op grond van de AVG zijn vervuld. Zoals de Afdeling heeft overwogen in haar uitspraak van 3 april 2024, ECLI:NL:RVS:2024:1387, r.o. 5, hebben de in artikelen 7 en 8 van het Handvest gewaarborgde rechten dezelfde inhoud en reikwijdte als de overeenkomstige rechten die worden gewaarborgd in artikel 8 van het EVRM, dat een minimumbeschermingsniveau vormt (zie het arrest van het Hof van 13 maart 2025, Deldits, ECLI:EU:C:2025:172, punt 46). De Afdeling ziet daarom geen grond om afzonderlijk aan artikel 8 EVRM te toetsen.
Welke gegevens worden verwerkt?
8. Bij een pinbetaling voor een bioscoopkaartje aan de kassa of een consumptie in de horecagelegenheid, wordt het bankrekeningnummer van de bezoeker, het bedrag en de betaaldatum verwerkt. Omdat Focus voor het afhandelen van financiële transacties gebruik maakt van een PSP wordt op het bankrekeningnummer van de bezoeker de zogeheten PAN Masking techniek toegepast. Deze techniek is een internationale standaard, opgesteld door de Payment Card Industry Security Standards Council (PCI SSC) om financiële transacties veilig te verrichten. Door toepassing van deze techniek zijn alleen de laatste vier cijfers van het bankrekeningnummer, de bedragen en de betaaldata zichtbaar voor Focus.
Is er sprake van bijzondere persoonsgegevens?
9. [appellant] heeft op de zitting bij de Afdeling voor het eerst een beroep gedaan op artikel 9 van de AVG. Naar het oordeel van de Afdeling moet dit opgevat worden als een nader argument van zijn al eerder wel aangevoerde grond dat de verwerking in strijd is met artikel 8 van het EVRM. Het voor het eerst op de zitting in hoger beroep aanvoeren van deze grond is daarom niet in strijd met de goede procesorde. De Afdeling is echter van oordeel dat niet is gebleken dat in dit geval bijzondere persoonsgegevens, zoals bedoeld in artikel 9, eerste lid, van de AVG, verwerkt worden. Er worden namelijk geen gegevens verwerkt waaruit de politieke opvattingen of seksuele geaardheid van de bezoeker blijkt, of andere in artikel 9, eerste lid, van de AVG, genoemde categorieën bijzondere persoonsgegevens. Niet gebleken is dat er gegevens verwerkt worden over voor welke films een kaartje wordt gekocht, nog daargelaten of dergelijke informatie kwalificeert als "bijzondere persoonsgegevens". Niet valt in te zien hoe uit de laatste vier cijfers van het bankrekeningnummer, de bedragen en de betaaldata bijzondere persoonsgegevens afgeleid kunnen worden.
Is er een overeenkomst?
10. Anders dan [appellant] betoogt, zijn er geen aanknopingspunten voor het oordeel dat een overeenkomst met Focus niet als overeenkomst in de zin van artikel 6, eerste lid, aanhef en onder b, van de AVG kan worden aangemerkt. Als een bezoeker een bioscoopkaartje of consumptie koopt, komt een overeenkomst tot stand. Dat een bezoeker geen keuze heeft welk betaalmiddel hij gebruikt, betekent niet dat geen sprake kan zijn van een overeenkomst. Zoals de Afdeling eerder heeft overwogen in haar uitspraak van 10 november 2021, ECLI:NL:RVS:2021:2511, r.o. 9, valt het buiten de bevoegdheid van de Afdeling om te beoordelen of de overeenkomst in overeenstemming is met het contractenrecht. Anders dan [appellant] betoogt, heeft het begrip overeenkomst in de AVG niet een zelfstandige Unierechtelijke betekenis. Uit de Richtsnoeren 2/2019 betreffende de verwerking van persoonsgegevens op grond van artikel 6, lid 1, onder b, van de AVG van het Europees Comité voor gegevensbescherming volgt dat het begrip overeenkomst en de geldigheid ervan naar nationaal recht moeten worden uitgelegd. Deze richtsnoeren zijn weliswaar niet juridisch bindend, maar daaraan komt wel betekenis toe bij de uitleg van in dit geval de AVG. In het Nederlandse recht behoren het begrip overeenkomst en de uitleg daarvan tot het domein van het privaatrecht. [appellant] kan daarom bij de civiele rechter aan de orde stellen of deze overeenkomst ongeldig is omdat die niet uit vrije wil tot stand is gekomen.
Is de verwerking noodzakelijk voor de uitvoering van de overeenkomst?
- Wat is het toetsingskader?
11. Zoals de Afdeling heeft overwogen in de hiervoor onder 10 genoemde uitspraak van 10 november 2021, r.o. 10, kan de verwerking van persoonsgegevens rechtmatig zijn als die noodzakelijk is voor de uitvoering van de overeenkomst. Daarvoor moet allereerst worden beoordeeld of het doel waarvoor de persoonsgegevens worden verwerkt welbepaald en uitdrukkelijk omschreven is. Uit artikel 5, eerste lid, aanhef en onder b, van de AVG, volgt dat het doel ook gerechtvaardigd moet zijn.
Als er sprake is van een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel, moet verder worden beoordeeld of met de aan de orde zijnde verwerking van de persoonsgegevens dat doel ook wordt bereikt. Indien de verwerking van de persoonsgegevens voor het bereiken van het specifieke doel in deze zin noodzakelijk is, moet vervolgens worden beoordeeld of de inbreuk op de privacy evenredig is met de belangen die zijn gediend met de verwerking van de persoonsgegevens. Zoals de Afdeling eerder heeft geoordeeld in de uitspraak van 20 september 2017, ECLI:NL:RVS:2017:2555, moet in het licht van het EU-Handvest worden beoordeeld of de inbreuk op de privacy is beperkt tot wat voor het behalen van het doel strikt noodzakelijk is. Met name moet steeds worden beoordeeld of het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokken personen minder nadelige wijze kan worden verwezenlijkt. De intensiteit waarmee dit dient te gebeuren wordt mede bepaald door de specificiteit van de aangedragen alternatieven. Met andere woorden: hoe gedetailleerder de betrokkene het alternatief beschrijft, hoe indringender het onderzoek van de AP moet zijn. De Afdeling voegt hieraan toe dat dit niet betekent dat als de betrokkene geen of weinig alternatieven aandraagt, de AP geen onderzoek hoeft te doen. Bepaalde alternatieven kunnen dusdanig voor de hand liggen, dat de AP deze moet meewegen in haar beoordeling, ook zonder dat de betrokkene daarop wijst.
- Is er een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel voor de verwerking?
12. Naar aanleiding van het handhavingsverzoek van [appellant] heeft de AP op 19 september 2018 en 23 oktober 2018 schriftelijke vragen gesteld aan Focus, waaronder de vraag wat het doel is van de verwerking van de persoonsgegevens, zoals bedoeld in artikel 5, eerste lid, aanhef en onder b, van de AVG. Focus heeft in haar reactie van 26 september 2018 alleen geschreven dat zij de keuze heeft gemaakt voor het uitsluitend werken met pinbetalingen, om de veiligheid van haar horecamedewerkers en filmtheaterkassiers beter te kunnen garanderen. Op 11 juni 2019 heeft Focus gereageerd op het bezwaarschrift van [appellant], en toegelicht dat zij het als haar zorgplicht ziet om de veiligheid van haar medewerkers zo goed mogelijk te beschermen, vooral nu in het filmtheater veel met vrijwilligers wordt gewerkt. Daarnaast wil Focus hen niet onnodig belasten met de verantwoordelijkheid voor contant geld. Volgens Focus is het een feit van algemene bekendheid dat de afwezigheid van cash-geld in een bedrijf de aantrekkelijkheid daarvan voor potentiële overvallers vermindert.
13. De Afdeling is van oordeel dat de rechtbank ten onrechte heeft overwogen dat de veiligheid van de medewerkers van Focus een gerechtvaardigd doel is voor de invoering van de verplichte pinbetaling en de afschaffing van de mogelijkheid om met contant geld te betalen. Zoals de Afdeling heeft overwogen in de hiervoor genoemde uitspraak van 10 november 2021, r.o. 12, is het begrip (sociale) veiligheid weliswaar ruim, maar niet zodanig dat het te onbepaald en niet uitdrukkelijk genoeg is. (Sociale) veiligheid kan dus een gerechtvaardigd doel zijn voor het invoeren van verplichte pinbetalingen. Op basis van de beschikbare informatie kan echter niet worden vastgesteld dat in dit concrete geval de veiligheid van de medewerkers van Focus in het geding is. Dat heeft [appellant] gemotiveerd betwist en de AP heeft daar niets tegenover gesteld. Uit niets blijkt dat het afschaffen van contant geld in dit geval een wezenlijk effect heeft op de veiligheid van de medewerkers. De enkele omstandigheid dat contant geld vatbaar is voor diefstal is op zichzelf onvoldoende om (sociale) veiligheid een gerechtvaardigd doel te achten voor verplichte pinbetalingen.
14. Gezien het voorgaande heeft de AP de afwijzing van het handhavingsverzoek van [appellant] alleen al hierom onvoldoende gemotiveerd. Nu niet kan worden vastgesteld of er een gerechtvaardigd doel is voor de verwerking, komt de Afdeling niet toe aan de vraag of met de aan de orde zijnde verwerking van de persoonsgegevens dat doel ook wordt bereikt, en of de inbreuk op de privacy evenredig is met de belangen die zijn gediend met de verwerking van de persoonsgegevens.
15. Het betoog van [appellant] slaagt.
Moeten er prejudiciële vragen worden gesteld?
16. [appellant] heeft verzocht om prejudiciële vragen te stellen aan het Hof van Justitie. De door [appellant] opgeworpen vragen gaan over de uitleg van het contractbegrip in de AVG, de rechtstreekse toetsing aan artikel 8 van het EVRM, en de vraag of veiligheid in het algemeen een voldoende welbepaald en uitdrukkelijk omschreven doel is. De Afdeling is op deze vragen ingegaan in overwegingen 7, 10 en 13. Gelet op de arresten van het Hof van 6 oktober 1982, Cilfit, ECLI:EU:C:1982:335, punt 16 en 6 oktober 2021, Consorzio Italian Management, ECLI:EU:C:2021:799, punten 36, ziet de Afdeling geen aanleiding tot het stellen van prejudiciële vragen, omdat mede gelet op de rechtspraak van het Hof redelijkerwijs geen twijfel kan bestaan over de wijze waarop de opgeworpen vragen moeten worden beantwoord.
Conclusie
17. Het hoger beroep is gegrond. De aangevallen uitspraak moet worden vernietigd. Doende wat de rechtbank zou behoren te doen, zal de Afdeling het beroep tegen het besluit van 27 november 2019 gegrond verklaren. Dat besluit komt vanwege strijd met artikel 7:12, eerste lid, van de Algemene wet bestuursrecht (hierna: Awb) voor vernietiging in aanmerking. De AP dient een nieuw besluit te nemen met inachtneming van wat in deze uitspraak is overwogen. Daartoe zal de Afdeling een termijn stellen. Met het oog op een efficiënte afdoening van het geschil ziet de Afdeling ook aanleiding om met toepassing van artikel 8:113, tweede lid, van de Awb te bepalen dat tegen het nieuwe besluit alleen bij haar beroep kan worden ingesteld.
18. De AP moet de proceskosten vergoeden.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
I. verklaart het hoger beroep gegrond;
II. vernietigt de aangevallen uitspraak;
III. verklaart het beroep tegen het besluit van de Autoriteit Persoonsgegevens van 27 november 2019, kenmerk Z2019-09555 gegrond;
IV. vernietigt dat besluit;
V. draagt de Autoriteit Persoonsgegevens op om binnen acht weken na verzending van deze uitspraak met inachtneming van wat daarin is overwogen een nieuw besluit te nemen en dit op de wettelijk voorgeschreven wijze bekend te maken;
VI. bepaalt dat tegen het te nemen nieuwe besluit alleen bij de Afdeling beroep kan worden ingesteld;
VII. veroordeelt de Autoriteit Persoonsgegevens tot vergoeding van bij [appellant] in verband met de behandeling van het beroep en het hoger beroep opgekomen proceskosten tot een bedrag van € 54,21.
VIII. gelast dat de Autoriteit Persoonsgegevens aan [appellant] het door hem voor de behandeling van het beroep en het hoger beroep betaalde griffierecht ten bedrage van € 452,00 vergoedt.
Aldus vastgesteld door mr. W. den Ouden, voorzitter, en mr. E.A. Minderhoud en mr. G.O. van Veldhuizen, leden, in tegenwoordigheid van mr. A.E. Kamperman, griffier.
w.g. Den Ouden
voorzitter
w.g. Kamperman
griffier
Uitgesproken in het openbaar op 11 februari 2026
1000
BIJLAGE
Algemene Verordening Gegevensbescherming
Artikel 5
Beginselen inzake verwerking van persoonsgegevens
1. Persoonsgegevens moeten:
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding");
Artikel 6
Rechtmatigheid van de verwerking
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;