Rb. Amsterdam, 11-03-2021, nr. C/13/687315 / HA RK 20-207

wonende te [woonplaats] (Verenigd Koninkrijk),

2. [verzoeker 2],

wonende te [woonplaats] (Verenigd Koninkrijk),

3. [verzoeker 3],

wonende te [woonplaats] (Verenigd Koninkrijk),

4. [verzoeker 4],

wonende te [woonplaats] (Verenigd Koninkrijk),

5. [verzoeker 5],

wonende te [woonplaats] (Verenigd Koninkrijk),

6. [verzoeker 6],

wonende te [woonplaats] (Verenigd Koninkrijk),

7. [verzoeker 7],

wonende te [woonplaats] (Verenigd Koninkrijk),

8. [verzoeker 8],

wonende te [woonplaats] (Verenigd Koninkrijk),

9. [verzoeker 9],

wonende te [woonplaats] (Verenigd Koninkrijk),

10. [verzoeker 10],

wonende te [woonplaats] (Verenigd Koninkrijk),

verzoekers,

advocaat mr. A.H. Ekker te Amsterdam,

tegen

de besloten vennootschap met beperkte aansprakelijkheid

UBER B.V.,

gevestigd te Amsterdam,

verweerster,

advocaat mr. G.H. Potjewijd te Amsterdam.

Verzoekers zullen hierna gezamenlijk ook [verzoekers] en ieder voor zich [verzoeker 1] , [verzoeker 2] , [verzoeker 3] , [verzoeker 4] , [verzoeker 5] , [verzoeker 6] , [verzoeker 7] , [verzoeker 8] , [verzoeker 9] en [verzoeker 10] worden genoemd. Verweerster zal hierna ook Uber worden genoemd.

Het verloop van de procedure blijkt uit:

- het verweerschrift, met bijlagen, binnengekomen ter griffie op 4 december 2020,

- het proces-verbaal van de mondelinge behandeling van 16 december 2020 en de daarin genoemde (proces)stukken.

Vervolgens is, na aanhouding, beschikking bepaald op vandaag. Met instemming van partijen is deze zaak gezamenlijk behandeld met de zaak met rekestnummer C/13/692003 / HA RK 20-302 waarbij deels dezelfde verzoekers en Uber partij zijn. In die zaak wordt vandaag ook beschikking gegeven.

Uber is een internationaal opererend concern dat door middel van haar platform online diensten in de vervoersector aanbiedt. Uber is een dochtervennootschap van Uber Technologies, Inc., gevestigd in San Francisco (Verenigde Staten van Amerika).

Verzoekers zijn werkzaam (geweest) als ‘private hire drivers’ (hierna: chauffeurs) in het Verenigd Koninkrijk waarbij zij gebruik ma(a)k(t)en van de diensten van Uber.

Uber koppelt passagiers aan chauffeurs. Passagiers maken gebruik van de algemene Uber App (hierna: App), chauffeurs van de Uber Driver App (hierna: Driver App).

Verzoekers zijn aangesloten bij de App Drivers & Couriers Union (hierna: ADCU). ADCU is een vakbond die opkomt voor de belangen van ‘private hire drivers’ en ‘couriers’ in het Verenigd Koninkrijk. ADCU is aangesloten bij de International Alliance of App Transport Workers (hierna: IAATW). Beide organisaties zetten zich in voor de digitale rechten van platformwerkers. [verzoeker 4] , [verzoeker 1] en [verzoeker 7] zijn respectievelijk voorzitter, secretaris-generaal en voorzitter van een lokale afdeling van ADCU.

ADCU wordt ondersteund door Worker Info Exchange (hierna: WIE). WIE is een non-profit organisatie die zich mede ten doel stelt om werknemers en zelfstandigen in de informatie-economie toegang te geven tot persoonsgegevens die tijdens het werk over hen worden verzameld. [verzoeker 1] is grondlegger en directeur van WIE.

ADCU en IAATW zijn voornemens om een databank op te richten, die in stand zal worden gehouden door WIE. In deze databank zullen persoonsgegevens van chauffeurs worden opgenomen.

In verschillende landen, onder meer in het Verenigd Koninkrijk en Frankrijk, zijn procedures aanhangig tussen chauffeurs en Uber over de vraag of sprake is van een arbeidsrelatie.

Verzoekers hebben ieder afzonderlijk op verschillende tijdstippen per e-mail of via de App en/of de Driver App verzoeken om inzage in hun door Uber verwerkte persoonsgegevens gedaan. Uber heeft in reactie op deze verzoeken aan een aantal verzoekers digitale bestanden verstrekt.

Uber heeft een ‘Privacy Statement’ (hierna: privacyverklaring) opgesteld waarin zij algemene informatie over gegevensverwerking heeft opgenomen. Bij de verstrekking van persoonsgegevens aan chauffeurs verstrekt Uber een toelichting, ‘Guidance Notes’ genoemd, waarin de categorieën persoonsgegevens zijn opgenomen die Uber verwerkt.

Verzoekers verzoeken de rechtbank na herziening en aanvulling van het verzoek om bij uitvoerbaar bij voorraad te verklaren beschikking:

Uber te bevelen om:

I. binnen één maand na betekening van de beschikking, tegen een eventuele vergoeding van de kosten, aan verzoekers in een gangbare elektronische vorm inzage te geven in:(i) alle op hen betrekking hebbende persoonsgegevens die zij verwerkt, waaronder de persoonsgegevens zoals genoemd in de Guidance Notes, het ‘Driver’s Profile’, waaronder de aantekeningen van Uber medewerkers, ‘Tags’ en ‘Reports’,(ii) de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties en de bewaartermijn voor deze gegevens,(iii) indien sprake is van doorgifte aan een derde land of een internationale organisatie, de passende waarborgen overeenkomstig artikel 46 AVG die Uber inzake deze doorgifte heeft getroffen,(iv) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22 leden 1 en 4 AVG bedoelde profilering, en ten minste in die gevallen, nuttige informatie over de onderliggende logica, het belang en de verwachte gevolgen van die verwerking voor verzoekers,

II. binnen één maand na betekening van de beschikking de persoonsgegevens te verstrekken in een gestructureerde, gangbare en machineleesbare vorm, te weten als CSV-bestand, dan wel door middel van een Application Programming Interface (hierna: API), zodanig dat deze gegevens direct aan een andere verwerkingsverantwoordelijke kunnen worden doorgezonden,

III. het voorgaande op straffe van een dwangsom van € 10.000, voor iedere dag of dagdeel dat Uber in gebreke blijft om geheel te voldoen aan een of meer van de onder I en II genoemde bevelen,

IV. Uber te veroordelen in de proceskosten.

De verzoeken onder I (i), (ii) en (iii) zijn gegrond op artikel 15 lid 1 AVG1.(het inzagerecht). Volgens verzoekers heeft Uber niet volledig en niet consequent op hun inzageverzoeken gereageerd. De digitale bestanden die Uber heeft verstrekt bevatten niet de volledige informatie waarop verzoekers recht hebben. Uit de Guidance Notes blijkt dat Uber 26 verschillende categorieën persoonsgegevens verwerkt, maar verzoekers hebben in het grootste deel van deze categorieën geen inzage verkregen. Daarnaast waren de gegevens die zijn verstrekt beperkt tot een periode van enkele maanden.

Het verzoek onder I (iv) is gebaseerd op artikel 15 lid 1 aanhef en onder h en artikel 22 AVG (geautomatiseerde besluitvorming en profilering). Volgens verzoekers blijkt uit de privacyverklaring en de Driver App dat Uber geautomatiseerde besluitvorming en profilering uitvoert. Bij het toepassen van profilering moet Uber op grond van overweging 71 van de AVG passende procedures hanteren en maatregelen treffen om een voor de betrokkene behoorlijke en transparante verwerking te garanderen. Ook moeten discriminerende gevolgen van profilering worden voorkomen. Om te kunnen beoordelen of Uber bij het gebruik daarvan aan de vereisten van artikel 22 lid 3 AVG voldoet hebben verzoekers belang bij inzage in geautomatiseerde besluitvorming en profilering, informatie over de onderliggende logica en de verwachte gevolgen van die verwerking.

Aan het verzoek onder II leggen verzoekers het volgende ten grondslag. Op grond van artikel 20 lid 1 AVG hebben zij recht op terbeschikkingstelling van de gegevens in een gestructureerde, gangbare en machineleesbare vorm (gegevensoverdraagbaarheid of dataportabiliteit). Uber moet aan verzoekers de mogelijkheid bieden om de persoonsgegevens direct te downloaden en aan een andere verwerkingsverantwoordelijke door te zenden. Om dit te kunnen bewerkstelligen moet Uber de persoonsgegevens aan verzoekers verstrekken in een CSV-bestand. Uber heeft slechts een klein deel van de gegevens in dit bestands‘formaat’(de aanhalingstekens zullen hierna, in het bijzonder onder 4.76 e.v., worden weggelaten) verstrekt.

Aan het verzoek om een dwangsom op te leggen hebben verzoekers ten grondslag gelegd dat dit noodzakelijk is, omdat Uber met de inzage en overdracht van de persoonsgegevens in gebreke blijft. De hoogte van de verzochte dwangsom is volgens verzoekers gerechtvaardigd vanwege het belang van verzoekers en de financiële draagkracht van Uber.

Verzoekers stellen de volgende belangen te hebben bij hun verzoeken:

Uber voert verweer. Primair verzoekt zij verzoekers niet-ontvankelijk te verklaren en subsidiair de verzoeken af te wijzen, met veroordeling van verzoekers in de proceskosten inclusief nakosten, te vermeerderen met wettelijke rente.

Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.

Rechtsmacht en toepasselijk recht

De rechtbank moet ambtshalve onderzoeken of de Nederlandse rechter rechtsmacht heeft en zo ja, of deze rechtbank relatief bevoegd is van de verzoeken kennis te nemen. Dat is het geval, omdat Uber in het arrondissement Amsterdam is gevestigd (artikel 4 Brussel I bis-Verordening2.en artikel 262 aanhef en onder a Rv3.).

Voor zover de verzoeken berusten op de AVG is deze als Europese verordening rechtstreeks toepasselijk. Uit het feit dat partijen zich tevens (aanvullend) baseren op het Nederlandse recht, leidt de rechtbank af dat partijen impliciet rechtskeuze voor de toepassing van het Nederlandse recht hebben gedaan als bedoeld in artikel 3 lid 1 van de Rome I-Verordening.4.

Tussen partijen is niet in geschil dat Uber heeft te gelden als de verwerkingsverantwoordelijke in de zin van artikel 4 onder 7 AVG.

Verzoekers niet-ontvankelijk?

Allereerst moet de vraag worden beantwoord of verzoekers ontvankelijk zijn.

Volgens Uber is dat niet het geval. [verzoeker 7] heeft geweigerd zich te identificeren, waardoor Uber zijn identiteit niet heeft kunnen controleren en niet op zijn verzoek heeft kunnen reageren. De andere verzoekers ( [verzoeker 1] , [verzoeker 2] , [verzoeker 3] , [verzoeker 4] , [verzoeker 5] , [verzoeker 6] , [verzoeker 8] , [verzoeker 9] en [verzoeker 10] ) hebben volgens Uber het verzoekschrift ingediend, voordat Uber op hun verzoek (volledig) heeft geantwoord. Dat is volgens Uber in strijd met de vereisten van artikel 35 lid 2 van de UAVG5.dat voorschrijft dat een betrokkene pas na de reactie op het verzoek of na het verstrijken van de termijn waarin op het verzoek moet zijn gereageerd, een verzoekschriftprocedure kan starten.

Daartoe voert Uber aan dat zij bij de beantwoording van inzageverzoeken een gefaseerde aanpak hanteert. Zij verstrekt eerst een selectie van de verwerkte persoonsgegevens in de laatste 30 dagen met een verzoek om het inzageverzoek te preciseren. Na ontvangst van de precisering van het inzageverzoek verstrekt zij de volledige set persoonsgegevens waar de betrokkene om heeft verzocht. Uber stelt dat zij op verschillende data in juli, september en oktober 2020 volledig op de inzageverzoeken van verzoekers heeft geantwoord en dat uitgaande van deze data de verzoekschriften te vroeg zijn ingediend. Daarbij neemt zij als uitgangspunt dat de datum van het oorspronkelijke verzoekschrift van 20 juli 2020, gelet op het landelijk procesreglement verzoekschriftprocedures ten behoeve van de

rechtbanken, afdelingen/teams voor handelszaken, ook geldt voor de verzoekers die bij het herziene/aanvullende verzoekschrift van 21 augustus 2020 als partij aan deze procedure zijn toegevoegd.

Verzoekers betwisten dat zij de verzoekschriften zouden hebben ingediend voordat Uber op hun verzoek heeft gereageerd. Volgens verzoekers moet bij de beoordeling van de ontvankelijkheid onderscheid worden gemaakt tussen de verzoekers bij het oorspronkelijke verzoekschrift van 20 juli 2020, zijnde [verzoeker 1] , [verzoeker 7] , [verzoeker 8] en [verzoeker 10] en

en de verzoekers bij het herziene/aanvullende verzoekschrift van 21 augustus 2020, zijnde [verzoeker 2] , [verzoeker 3] , [verzoeker 4] , [verzoeker 5] , [verzoeker 6] en [verzoeker 9] . Deze laatste verzoekers hebben in de periode vanaf 20 juni 2020 tot en met 15 juli 2020 ieder een inzageverzoek gedaan, waarop Uber tussen 20 juli 2020 en 7 augustus 2020 heeft gereageerd. Gelet op de datum van het herziene/aanvullende verzoekschrift van 21 augustus 2020, zijn deze verzoekers ontvankelijk. Na de indiening van het verzoekschrift heeft Uber op eigen initiatief berichten aan verzoekers verstuurd in reactie op het verzoekschrift. Deze berichten kunnen niet gelden als een reactie op het daaraan voorafgaande verzoek, aldus steeds verzoekers.

Bij de beoordeling van de ontvankelijkheid van verzoekers gelden de volgende uitgangspunten. Verzoekers hebben Uber voorafgaand aan deze procedure verzocht om inzage in persoonsgegevens als bedoeld in artikel 15 AVG en om de overdracht van die gegevens als bedoeld in artikel 20 AVG (zie 2.8). Ingevolge artikel 12 lid 3 AVG moet Uber verzoekers binnen één maand na ontvangst van deze verzoeken informeren over het gevolg dat aan deze verzoeken is gegeven. Indien nodig kan die termijn worden verlengd. In dat geval had Uber verzoekers binnen één maand na ontvangst van de verzoeken daarvan in kennis moeten stellen. Artikel 35 UAVG geeft verzoekers het recht de rechtbank te verzoeken om Uber te bevelen de verzoeken alsnog toe te wijzen. In dit artikel is bepaald dat het verzoekschrift wordt ingediend binnen zes weken na ontvangst van het antwoord van de verwerkingsverantwoordelijke; als de verwerkingsverantwoordelijke niet tijdig antwoordt geldt geen termijn. Dit stelsel berust op de gedachte dat partijen eerst zelf trachten de verlangde gegevens te (laten) verstrekken en dat de belanghebbende bij een afwijzende reactie op straffe van niet-ontvankelijkheid slechts beperkte tijd heeft om zijn bezwaren daartegen aan de rechter voor te leggen. Het stelsel strekt mede ertoe te voorkomen dat de verwerkingsverantwoordelijke rauwelijks of lange tijd nadat hij het verzoek heeft afgewezen, wordt gedagvaard (vgl. gerechtshof Amsterdam 5 november 2019, ECLI:NL:GHAMS:2019:3966).

De rechtbank stelt vast dat Uber op de verzoeken steeds heeft gereageerd met twee e-mails aan verzoekers (met uitzondering van [verzoeker 7] en [verzoeker 10] ): één e-mail met een versleuteld digitaal bestand met gegevens en één e-mail met instructies en het wachtwoord om het bestand te openen. In de e-mail waarbij Uber het digitale bestand heeft verzonden is de volgende standaardtekst opgenomen:

“(…) If you feel this response does not meet your request, we kindly ask you to provide more details about the data you want and a period to which it relates. (…)”

Deze tekst kan niet worden beschouwd als een aankondiging dat Uber nog op een later moment een tweede set gegevens zou verstrekken of dat zij een nadere toelichting op het inzageverzoek van verzoekers wenste. Verzoekers mochten de reactie van Uber dan ook als het antwoord op hun verzoeken in de zin van artikel 12 lid 3 AVG beschouwen. Dit betekent dat de termijn om het verzoekschrift in te dienen na de ontvangst van deze reactie is gaan lopen.

Anders dan Uber betoogt, kunnen de verzoekers bij het herziene/aanvullende verzoekschrift van 21 augustus 2020 niet aan de datum van het oorspronkelijke verzoekschrift van 20 juli 2020 worden gebonden. Weliswaar is de verzoekschriftprocedure vanaf de indiening van het verzoekschrift op 20 juli 2020 aanhangig, maar toen konden deze verzoekers nog niet beoordelen of Uber naar behoren op hun verzoek had gereageerd. Immers, zij hadden nog geen antwoord van Uber ontvangen. Pas na de ontvangst daarvan konden verzoekers een oordeel vormen over de verstrekte persoonsgegevens en of zij hun bezwaren daartegen aan de rechter wensten voor te leggen.

De rechtbank zal hierna de ontvankelijkheid van iedere afzonderlijke verzoeker bespreken. Op grond van de stellingen van partijen, de door hen overgelegde overzichten en de door verzoekers overgelegde afschriften van de e-mailcorrespondentie tussen verzoekers en Uber, stelt de rechtbank het volgende vast.

[verzoeker 1] en [verzoeker 8] 4.13. Tussen partijen staat vast dat zowel [verzoeker 1] als [verzoeker 8] op 19 juli 2020 de hiervoor onder 4.9 genoemde e-mails met digitale bestanden, instructies en het wachtwoord om de bestanden te openen, hebben ontvangen in reactie op hun verzoeken van 20 juni 2020. Het verzoekschrift van 20 juli 2020 is dus niet te vroeg ingediend. Dat Uber op 20 juli 2020 nog verdere informatie heeft verzonden, ten aanzien van [verzoeker 8] zoals aangekondigd, is niet voldoende om niet-ontvankelijk te zijn in deze procedure.

[verzoeker 2] , [verzoeker 3] , [verzoeker 4] , [verzoeker 5] , [verzoeker 6] en [verzoeker 9]

Uber betoogt dat [verzoeker 2] op 4 september 2020 antwoord heeft ontvangen op zijn verzoek van 15 juli 2020. Uit de door verzoekers overgelegde producties ten aanzien van [verzoeker 2] blijkt echter dat Uber op 7 augustus 2020 de hiervoor onder 4.9 genoemde e-mails met het digitale bestand, de instructies en het wachtwoord aan [verzoeker 2] heeft verzonden in reactie op zijn verzoek. 4.15. Uber betoogt dat [verzoeker 3] op 30 oktober 2020 antwoord heeft ontvangen op zijn verzoek van 23 juni 2020. Uit de door verzoekers overgelegde producties ten aanzien van [verzoeker 3] volgt echter dat Uber op 22 juli 2020 de hiervoor onder 4.9 genoemde e-mails heeft verzonden in reactie op zijn verzoek.

Tussen partijen is niet in geschil dat Uber op 30 juli 2020 de hiervoor onder 4.9 genoemde e-mails heeft verzonden in reactie op het verzoek van [verzoeker 4] van 22 juni 2020.

Tussen partijen is ook niet in geschil dat Uber op 20 juli 2020 de hiervoor onder 4.9 genoemde e-mails heeft verzonden aan [verzoeker 5] in reactie op zijn verzoek van 20 juni 2020.

Uber betoogt dat [verzoeker 6] op 30 oktober 2020 antwoord heeft ontvangen op zijn verzoek van 10 juli 2020. Uit de door verzoekers ten aanzien van [verzoeker 6] overgelegde producties blijkt echter dat Uber op 7 augustus 2020 de hiervoor onder 4.9 genoemde e-mails heeft verzonden in reactie op zijn verzoek.

Uber betoogt dat [verzoeker 9] op 9 oktober 2020 antwoord heeft ontvangen op zijn verzoek van 23 juni 2020. Uit de door verzoekers ten aanzien van [verzoeker 9] overgelegde producties blijkt echter dat Uber op 21 juli 2020 de hiervoor onder 4.9 genoemde e-mails heeft verzonden aan [verzoeker 9] in reactie op zijn verzoek.

De hiervoor genoemde data waarop [verzoeker 2] , [verzoeker 3] , [verzoeker 4] , [verzoeker 5] , [verzoeker 6] en [verzoeker 9] antwoord hebben ontvangen op hun verzoek zijn gelegen vóór de datum van 21 augustus 2020 waarop het herziene/aanvullende verzoekschrift is ingediend. Dit betekent dat zij ontvankelijk zijn in hun verzoek.

[verzoeker 7] en [verzoeker 10]

Uber voert aan dat zij een inzageverzoek van [verzoeker 7] per e-mail van 21 juni 2020 heeft ontvangen, maar dat [verzoeker 7] niet heeft gereageerd op het verzoek om zijn identiteit te verifiëren. In overweging 64 van de AVG staat dat de verwerkingsverantwoordelijke alle redelijke maatregelen moet nemen om de identiteit te controleren van een betrokkene die om inzage verzoekt. Als reden bestaat om te twijfelen aan de identiteit, mag om aanvullende informatie gevraagd worden, zo volgt uit artikel 12 lid 6 AVG. Omdat [verzoeker 7] niet heeft gereageerd op het verzoek van Uber en dus geen stukken heeft overgelegd waarmee Uber zijn identiteit kon vaststellen, heeft Uber zich op het standpunt kunnen stellen dat zij onvoldoende gegevens had om zijn inzageverzoek in behandeling te nemen. Het betoog dat [verzoeker 7] zich bij de indiening van het inzageverzoek zou hebben geïdentificeerd door in te loggen op zijn Uber account kan hem niet baten, omdat uit de stukken volgt dat hij het inzageverzoek bij e-mail van 21 juni 2020 heeft verzonden aan de ‘Uber Data Protection Officer’. Daarbij komt dat in het hiernavolgende zal blijken dat het inzageverzoek dat [verzoeker 7] heeft gedaan door in te loggen op zijn Uber account op andere gegevens betrekking had.

Zowel [verzoeker 7] als [verzoeker 10] hebben een inzageverzoek gedaan via de functie ‘download your data’ in hun Uber-account. In reactie hierop heeft [verzoeker 7] op 21 juni 2020 en [verzoeker 10] op 5 juli 2020 een standaard e-mail van Uber ontvangen met een link waarmee zij ‘Uber data’ gedurende zeven dagen kunnen downloaden. Op de zitting is door Uber toegelicht dat een passagier met de functie ‘download your data’ in de App zijn persoonsgegevens kan downloaden, maar dat voor chauffeurs andere functies/processen beschikbaar zijn. Verzoekers hebben dit niet weersproken. Bij deze stand van zaken kan niet worden vastgesteld dat het inzageverzoek van [verzoeker 7] en [verzoeker 10] en het daarop volgende antwoord van Uber betrekking had op de gegevens die in deze procedure aan de orde zijn, namelijk de gegevens die Uber heeft verwerkt in de Driver App. Dit leidt tot de conclusie dat [verzoeker 7] en [verzoeker 10] voorafgaand aan deze procedure van Uber geen antwoord als bedoeld in artikel 12 lid 3 AVG hebben ontvangen. Zij hadden op de datum van de indiening van het verzoekschrift (20 juli 2020) nog niet de mogelijkheid om hun verzoek op de voet van artikel 35 UAVG aan de rechter voor te leggen (zie hiervoor onder 4.8) en zijn daarom niet-ontvankelijk in hun verzoek.

Conclusie

Het voorgaande betekent dat [verzoeker 7] en [verzoeker 10] niet-ontvankelijk zijn in hun verzoek. Hieronder zullen de verzoeken van [verzoeker 1] , [verzoeker 8] , [verzoeker 2] , [verzoeker 3] , [verzoeker 4] , [verzoeker 5] , [verzoeker 6] en [verzoeker 9] worden beoordeeld. Zij zullen steeds met verzoekers blijven worden aangeduid. Misbruik van recht? Belang bij verzoek?

Uber voert subsidiair tot haar verweer aan dat verzoekers met hun inzageverzoek misbruik van recht maken in de zin van artikel 3:13 BW6.. Uber wijst erop dat uit de toelichting bij het verzoek volgt dat verzoekers het inzagerecht gebruiken voor een ander doel dan waarvoor het gegeven is, namelijk ter versterking van hun bewijspositie in procedures tegen Uber en van hun collectieve onderhandelingsmacht door het oprichten van een databank met gegevens van chauffeurs. Volgens Uber blijkt dat ook uit het feit dat [verzoeker 1] en [verzoeker 4] beleidsbepalende functies bij ADCU bekleden en herhaaldelijk inzageverzoeken hebben gedaan, terwijl zij al sinds respectievelijk 2017 en 2015 niet meer van de diensten van Uber en de Driver App gebruik maken. Met het verzoekschrift worden de belangen van ADCU, WIE en IAATW gediend. Deze doelen stemmen niet overeen met de ratio van het inzagerecht: transparantie geven over de verwerking van de betreffende persoonsgegevens en controle van de rechtmatigheid daarvan, aldus Uber.

De rechtbank stelt voorop dat een betrokkene in beginsel niet hoeft te motiveren of onderbouwen waarom hij een inzageverzoek doet ingevolge de AVG. De betrokkene hoeft bij de uitoefening van zijn inzagerecht niet een bepaald belang te stellen of het doel te vermelden dat hij met de inzage wil bereiken. Het enkele feit dat over hem gegevens worden verwerkt is voldoende. Daarmee is niet gezegd dat een inzageverzoek nooit misbruik van bevoegdheid in de zin van artikel 3:13 BW kan opleveren (vgl. Hof Amsterdam 10 november 2005, ECLI:NL:GHAMS:2005:AU8223 en conclusie A-G Drijber voor Hoge Raad 21 december 2018, 9 november 2018, ECLI:NL:PHR:2018:1273). Dat kan het geval zijn als het inzagerecht enkel wordt gebruikt voor een ander doel dan controle of persoonsgegevens juist en rechtmatig worden verwerkt. Het is aan de verwerkingsverantwoordelijke om misbruik van bevoegdheid aan te tonen.

In dit geval hebben verzoekers naar voren gebracht dat zij de juistheid en rechtmatigheid van hun eigen gegevens wensen te controleren onder meer om andere privacyrechten uit te oefenen. Dat is voldoende. De omstandigheid dat verzoekers en de vakbond waarbij zij zijn aangesloten ook een ander belang bij het verkrijgen van persoonsgegevens hebben, namelijk om deze te gebruiken om duidelijkheid te verkrijgen over hun arbeidsrechtelijke positie of bewijs in een gerechtelijke procedure tegen Uber te verzamelen, maakt niet dat verzoekers misbruik van hun rechten maken. Het beroep op misbruik van recht wordt dan ook verworpen.

Het inzageverzoek

Het inzageverzoek is gebaseerd op artikel 15 lid 1 AVG.Op grond van dit artikel heeft de persoon van wie persoonsgegevens worden verwerkt het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, inzage te verkrijgen van die persoonsgegevens en van (onder meer) de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, en de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, dan wel de criteria om die termijn te bepalen.

Artikel 15 AVG heeft tot doel de betrokkene in staat te stellen kennis te nemen van de persoonsgegevens die over hem zijn verzameld en te controleren of die gegevens juist zijn en rechtmatig zijn verwerkt (zie overweging 63 AVG). De AVG is de opvolger van de Richtlijn persoonsgegevens7., zoals geïmplementeerd in de Wbp8.. Het inzagerecht was voorheen vastgelegd in artikel 12 van de Richtlijn persoonsgegevens. Er zijn geen aanwijzingen dat krachtens de AVG de doelstelling en omvang van dit inzagerecht ten opzichte van de Richtlijn persoonsgegevens is gewijzigd. De rechtbank zal voor de uitleg van het in artikel 15 AVG geregelde inzagerecht daarom aansluiting zoeken bij de uitspraken van het Hof van Justitie van de Europese Unie (HvJEU) en de Hoge Raad over het inzagerecht onder vigeur van de Richtlijn persoonsgegevens en de Wbp.

Het inzagerecht is beperkt tot persoonsgegevens. De uitleg van het begrip ‘persoonsgegevens’ is daarom bepalend voor de reikwijdte van het inzagerecht. Op grond van artikel 4 onder 1 AVG is een persoonsgegeven ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’. Door het HvJEU wordt een ruime uitleg aan het begrip ‘persoonsgegeven’ gegeven. Het HvJEU heeft overwogen dat het begrip persoonsgegeven niet beperkt is tot gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elke soort informatie, zowel objectieve als subjectieve informatie onder de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene betreft. Deze laatste voorwaarde is vervuld wanneer de informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde persoon en waarmee die persoon redelijkerwijs identificeerbaar is voor een andere persoon (HvJEU 20 december 2017, ECLI:EU:C:2017:994, [partij] ).

Verder is relevant voor de beoordeling van het verzoek het arrest van het HvJEU van 17 juli 2014 (ECLI:EU:C:2014:2081, IND). In deze zaak heeft het HvJEU – kort samengevat – overwogen dat een juridische analyse persoonsgegevens kan bevatten, maar de juridische analyse op zich zelf niet kan worden gekwalificeerd als persoonsgegeven in de zin van artikel 2, onder a, van de Richtlijn persoonsgegevens. Anders dan de gegevens die de feitelijke basis kunnen vormen voor de juridische analyse, kan de analyse zelf niet door de betrokkene worden gecontroleerd op de juistheid ervan en worden gerectificeerd. In zijn arrest van 16 maart 2018 (ECLI:NL:HR:2018:365) heeft de Hoge Raad – onder verwijzing naar de overwegingen van het HvJEU in dit arrest – overwogen dat de Richtlijn persoonsgegevens die door de Wbp is geïmplementeerd, de betrokkene in staat stelt te controleren of zijn persoonsgegevens juist zijn en rechtmatig zijn verwerkt, ter bescherming van het recht van betrokkene op eerbiediging van zijn persoonlijke levenssfeer. Die controle kan dan leiden tot rectificatie, uitwissing of afscherming van de gegevens. Het inzagerecht strekt zich daarnaast niet uit tot (delen van) interne notities die de persoonlijke gedachten en/of opvattingen van medewerkers van de verwerkingsverantwoordelijke of derden bevatten en die uitsluitend bedoeld zijn voor intern overleg en beraad (drie uitspraken van HR 29 juni 2007: ECLI:NL:HR:2007:AZ4663, AZ4664 en BA3529).

De verwerkingsverantwoordelijke (in dit geval Uber) kan inzage weigeren indien dit noodzakelijk is voor de bescherming van de rechten en vrijheden van anderen (artikel 15 lid 4 AVG en artikel 41 lid 1 onder i UAVG). Uit de wetsgeschiedenis volgt dat ook de verwerkingsverantwoordelijke zelf wordt begrepen onder ‘anderen’ in dit verband. Deze bepaling bevat een uitzondering op toegekende rechten en moet daarom restrictief worden uitgelegd. Of in een concreet geval een dergelijke grond bestaat die tot beperking of afwijzing van het verzoek moet leiden, moet door de rechter na afweging van alle betrokken belangen worden beslist. Bij een beroep op deze uitzonderingsbepaling rust de stelplicht in beginsel op de verwerkingsverantwoordelijke (in dit geval Uber).

Het inzagerecht op grond van de AVG is in beginsel ongeclausuleerd. Onder omstandigheden mogen aan een inzageverzoek nadere eisen worden gesteld (vgl. de conclusie van A-G Wuisman voor Hoge Raad 25 maart 2016, 15 januari 2016, ECLI:NL:PHR:2016:1 en Hoge Raad 25 maart 2016, ECLI:NL:HR:2016:508). Wanneer een verwerkingsverantwoordelijke een grote hoeveelheid gegevens betreffende de betrokkene verwerkt, moet hij de betrokkene voorafgaand aan de informatieverstrekking kunnen verzoeken om te preciseren op welke informatie of welke verwerkingsactiviteiten het verzoek betrekking heeft (overweging 63 van de AVG).

Met toepassing van de hiervoor genoemde uitgangspunten beoordeelt de rechtbank het inzageverzoek van verzoekers als volgt.

Het algemene verzoek

De in het inzageverzoek genoemde categorieën persoonsgegevens zijn gebaseerd op de Guidance Notes die Uber bij de eerder verstrekte persoonsgegevens heeft gegeven. Het inzageverzoek is echter niet tot deze categorieën beperkt. Verzoekers stellen zich op het standpunt dat zij hun inzageverzoek niet nader hoeven te onderbouwen, omdat Uber op grond van artikel 5 lid 1 onder a AVG persoonsgegevens moet verwerken op een wijze die volledig transparant is. In dit artikel is bepaald dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene transparant is. In overweging 39 van de AVG is opgenomen dat het transparantiebeginsel met name betreft het informeren van betrokkenen over de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking, alsook verdere informatie om te zorgen voor behoorlijke en transparante verwerking met betrekking tot natuurlijke personen in kwestie en hun recht om bevestiging en mededeling te krijgen van hun persoonsgegevens die worden verwerkt.

In de gegeven omstandigheden kunnen verzoekers echter niet volstaan met een beroep op het transparantiebeginsel. Uber mag overeenkomstig overweging 63 van de AVG vragen om een specificering van de persoonsgegevens die verzoekers wensen te ontvangen, omdat zij een groot aantal gegevens verwerkt. Verder hebben verzoekers al een (zeer) groot aantal persoonsgegevens van Uber ontvangen. Een aantal verzoekers heeft in het verleden meerdere inzageverzoeken gedaan. Zo heeft [verzoeker 1] zes inzageverzoeken gedaan, [verzoeker 4] vijf inzageverzoeken en [verzoeker 7] vier inzageverzoeken. Hoewel een betrokkene het inzagerecht vrijelijk en met redelijke tussenpozen moet kunnen uitoefenen (zie overweging 63 van de AVG) en het inzageverzoek op grond van artikel 15 AVG te allen tijde en meermalen kan worden gedaan (behoudens misbruik van recht), had het gelet op de hoeveelheid persoonsgegevens die al door Uber is verstrekt, op de weg van verzoekers gelegen om in het verzoekschrift nader te specificeren op welke informatie of verwerkingsactiviteiten van Uber het verzoek nu nog betrekking heeft. Hierdoor is het verzoek om inzage in alle persoonsgegevens die Uber van verzoekers verwerkt te algemeen en zo weinig concreet dat het als onvoldoende bepaald wordt afgewezen.

Hierna zal het inzageverzoek in specifiek genoemde categorieën van persoonsgegevens worden beoordeeld. Daarbij geldt het volgende. Op grond van de door Uber overgelegde gegevens, die door verzoekers niet zijn weersproken, stelt de rechtbank vast dat op dit moment enkel [verzoeker 5] als chauffeur gebruik maakt van de diensten van Uber. [verzoeker 1] en [verzoeker 4] zijn sinds respectievelijk december 2016 en juni 2015 niet meer actief als chauffeur voor Uber. De overige verzoekers zijn sinds juni 2018 ( [verzoeker 9] en [verzoeker 3] ), november 2019 ( [verzoeker 2] ), maart 2020 ( [verzoeker 8] ) en april 2020 ( [verzoeker 6] ) niet meer actief. Als gevolg daarvan is het inzagerecht beperkt tot de periode waarin deze verzoekers gebruik hebben gemaakt van de diensten van Uber via de Uber Driver App.

Bij enkele categorieën zal worden beoordeeld of Uber terecht weigert om inzage in de verzochte gegevens te verlenen, omdat dit noodzakelijk is voor de bescherming van de rechten en vrijheden van passagiers of Uber zelf (artikel 15 lid 4 AVG en artikel 41 lid 1 onder i UAVG). Anders dan verzoekers betogen, kan niet worden gezegd dat zij in het algemeen recht hebben op inzage in persoonsgegevens van passagiers vanwege de contractuele relatie tussen de chauffeur en de passagier. Nog daargelaten dat een eventuele contractuele verplichting van een passagier jegens een chauffeur niet kan worden ingeroepen jegens Uber, moet Uber bij het verstrekken van informatie aan verzoekers ook de privacyrechten van de passagier in acht nemen.

Guidance Notes

In de Guidance Notes van Uber zijn 26 categorieën persoonsgegevens opgenomen die Uber verwerkt. Volgens verzoekers hebben zij in het grootste gedeelte van deze gegevenscategorieën geen inzage verkregen, maar zij hebben niet toegelicht om welke specifieke categorieën het gaat. Hierdoor is het verzoek om Uber te bevelen om de op verzoekers betrekking hebbende persoonsgegevens die zijn genoemd in de Guidance Notes te verstrekken onvoldoende gepreciseerd. Dit verzoek wordt daarom afgewezen.

Driver’s Profile

Volgens verzoekers heeft Uber geen volledige inzage gegeven in het ‘Driver’s Profile’ van verzoekers. Dat Uber een profiel van chauffeurs bijhoudt hebben verzoekers afgeleid uit interne notities (‘internal notes’) van Uber die zijn opgenomen in Zendesk, het klantenservicesysteem van Uber. Onder verwijzing naar het hiervoor genoemde [partij] -arrest van het HvJEU betogen verzoekers dat de notities die door medewerkers van Uber in het profiel worden gemaakt zijn te kwalificeren als persoonsgegevens. Verzoekers menen dat Uber geen beroep toekomt op de uitzondering ten aanzien van persoonlijke gedachten van medewerkers die uitsluitend bedoeld zijn voor intern overleg en beraad. Uber gebruikt de notities namelijk voor het beoordelen van de chauffeurs en het afhandelen van meldingen door de klantenservice, aldus verzoekers.

Uber voert aan dat het Driver’s Profile niet werkelijk een profiel is in de zin van artikel 4 onder 4 AVG (zie hierna onder 4.61). Volgens Uber verwijzen klantenservicemedewerkers met de interne notities verzoeken van chauffeurs door naar andere medewerkers om te worden afgehandeld. De interne notities zijn niet te kwalificeren als persoonsgegevens, omdat zij op zichzelf geen gegevens over verzoekers bevatten. De notities kunnen ook niet worden gecontroleerd op juistheid of gecorrigeerd. Voor zover de interne notities wel als persoonsgegeven moeten worden aangemerkt, strekt het inzagerecht volgens Uber zich niet uit tot de notities die de persoonlijke gedachten van medewerkers bevatten en die uitsluitend bedoeld zijn voor intern overleg en beraad.

Uit de stukken die verzoekers hebben overgelegd volgt dat Uber een aantal internal notes aan [verzoeker 1] heeft verstrekt. Uit deze internal notes leidt de rechtbank af dat het gaat om interne verwijzingen of meldingen aan klantenservicemedewerkers van Uber. Evenals de juridische analyse in het hiervoor genoemde [partij] -arrest van het HvJEU, bevatten deze notities van de klantenservicemedewerkers van Uber geen informatie over de betrokkene die door de betrokkene zelf kan worden gecontroleerd op juistheid ervan. Dit leidt ertoe dat Uber alleen gehouden is om de gegevens over verzoekers die de feitelijke basis van de notities vormen te verstrekken en niet de interne notities als zodanig. Het inzagerecht van verzoekers heeft immers slechts betrekking op de hen betreffende persoonsgegevens en strekt zich niet uit tot andere informatie die in de desbetreffende notities is opgenomen.

Verzoekers hebben evenwel onvoldoende concreet toegelicht in hoeverre zij de juistheid en rechtmatigheid van persoonsgegevens die in de desbetreffende notities als feitelijke basis daarvan zijn opgenomen wensen te controleren. Dit deel van het verzoek zal daarom worden afgewezen.

Tags

Volgens verzoekers maakt Uber gebruik van labels (‘tags’) in het klantenservicesysteem waarmee gedrag van de chauffeur wordt beoordeeld, zoals ‘inappropriate behavior’ of ‘police tag’. Verzoekers wijzen erop dat deze tags zeer negatieve kwalificaties kunnen omvatten en daarmee grote gevolgen kunnen hebben voor de chauffeurs.

Uber voert aan dat een tag een toevoeging aan een melding in het klantenservicesysteem is waarmee meldingen worden gecategoriseerd, zodat de medewerkers met de juiste ervaring deze vervolgens kunnen afhandelen. Volgens Uber geldt ook voor tags dat geen sprake is van een persoonsgegeven, maar een interne notitie die de persoonlijke gedachten van de desbetreffende medewerker bevat en uitsluitend is bedoeld voor intern overleg en beraad.

Uit de toelichting van Uber volgt dat een tag een aanduiding van een melding is of het stadium waarin die melding zich bevindt. Dit komt ook overeen met de letterlijke betekenis van het woord tag. Volgens de Oxford Dictionary of English is een tag: ‘a name or phrase that is used to describe a person or thing in some way’. Ook hier geldt – zoals hiervoor onder 4.41 is overwogen – dat een dergelijke aanduiding door de betrokkene niet kan worden gecontroleerd op de juistheid daarvan. De Tags als zodanig vallen dus niet onder het inzagerecht. Dit deel van het inzageverzoek zal daarom worden afgewezen.

Reports

Partijen zijn het erover eens dat ‘reports’ zijn gebaseerd op feedbackmeldingen die passagiers over de betreffende chauffeur hebben gegeven over onder andere ‘navigation’ en ‘professionalism’. Feedback over een chauffeur is in zoverre een persoonsgegeven in de zin van artikel 4 onder 1 AVG, omdat dit informatie is die vanwege zijn inhoud gelieerd is aan een bepaald persoon, en die persoon daarmee redelijkerwijs identificeerbaar is voor een ander. Dat is tussen partijen ook niet in geschil. Uber heeft in reactie op de inzageverzoeken van verzoekers Excel-overzichten verstrekt waarin de feedback van passagiers over chauffeurs is geanonimiseerd. Volgens verzoekers heeft Uber daarmee geen volledige inzage in de reports verstrekt: in de Excel-overzichten zijn enkel algemene opmerkingen van passagiers opgenomen, die niet te herleiden zijn tot individuele ritten. Verzoekers betogen dat Uber die informatie ook moet verstrekken, omdat de chauffeur daarop recht heeft op grond van de contractuele relatie tussen de chauffeur en de passagier. Gegevens over reports, ‘ratings’ en de start- en eindlocatie van passagiers zijn het directe resultaat van de dienst die de chauffeur verleent, aldus verzoekers.

Dit betoog wordt niet gevolgd. Uber moet bij het verstrekken van informatie waarin de persoonsgegevens van verzoekers zijn opgenomen namelijk op grond van artikel 15 lid 4 AVG de rechten en vrijheden van anderen in acht nemen. Uber mag de reports anonimiseren in die zin dat zij ter bescherming van die rechten van derden ervoor zorgt dat de uitlatingen over de chauffeurs niet herleidbaar zijn tot de persoon die de uitlatingen heeft gedaan. Immers, wie de uitlating heeft gedaan is niet relevant voor de beoordeling van de rechtmatigheid van de gegevensverwerking, terwijl informatie over de persoon die de uitlating heeft gedaan een aantasting kan opleveren van de (privacy)rechten van deze persoon. De conclusie is dan ook dat Uber geen verdere inzage hoeft te verstrekken in de reports. Het argument dat verzoekers op grond van hun contractuele relatie met de passagier recht hebben op informatie over de desbetreffende passagier slaagt niet (zie hiervoor onder 4.37).

Start- en eindlocatie van een rit

Verzoekers verzoeken inzage in de start- en eindlocatie per individuele passagier. Zij betogen dat Uber zich ten onrechte op het standpunt stelt dat bij verstrekking van deze gegevens het risico op identificatie van de passagier te groot is. Zij betwisten dat dit het geval zou zijn, omdat zij niet beschikken over direct identificerende gegevens van passagiers, zoals naam, e-mailadres en telefoonnummer. De locatiegegevens kunnen daardoor wel aan een rit worden gekoppeld, maar niet aan een individueel herleidbare personen, aldus verzoekers.

De rechtbank stelt op basis van de door verzoekers overgelegde stukken vast dat Uber overzichten heeft verstrekt waarin gegevens zijn opgenomen over de door chauffeurs gereden ritten, te weten het tijdstip waarop de rit is aangevraagd, het tijdstip waarop de rit is aangevangen, het tijdstip waarop de rit werd afgerond en de coördinaten van de start- en eindlocatie van de rit. Dat is voldoende. Ook hier geldt dat voor de beoordeling van de rechtmatigheid van de gegevensverwerking niet relevant is welke passagier is vervoerd, terwijl informatie over de passagier een aantasting kan opleveren van de (privacy) rechten van deze persoon. Uber hoeft dus geen inzage te verstrekken in gegevens over passagiers ter voorkoming dat deze gegevens herleidbaar zijn tot de passagier.

Individuele ratings

Verder stellen verzoekers belang te hebben bij inzage in de door individuele passagiers gegevens ‘ratings’. In de Driver App wordt slechts een gemiddelde van de ratings gegeven. Verzoekers wensen te controleren of de accounts van chauffeurs die een lage rating krijgen worden gedeactiveerd. Daarnaast hebben veel chauffeurs te maken met discriminatie en zou inzicht in de ratings kunnen helpen om inzicht te verkrijgen in het bestaan van discriminatie en ongelijke behandeling.

Uber betoogt dat zij geen gegevens van individuele ratings van passagiers kan verstrekken ter bescherming van de privacyrechten van passagiers.

Het is de rechtbank uit de door verzoekers overgelegde stukken gebleken dat Uber onder de naam ‘User feedback’ aan (een deel van) verzoekers inzage heeft verleend in individuele ratings en de feedback die een passagier aan een chauffeur heeft gegeven. Uber heeft die inzage verleend door middel van een overzicht waarin het aantal sterren dat een passagier aan een chauffeur heeft gegeven is opgenomen met de opmerking die de passagier daarbij heeft gemaakt. De door Uber verstrekte gegevens zijn geanonimiseerd, er staat geen datum, tijd of locatie van de rit bij. In hoeverre inzage in individuele ratings is verleend verschilt per verzoeker.

Net als bij de eerder besproken categorieën geldt ook hier dat Uber de (privacy) rechten van passagiers in acht moet nemen bij het verstrekken van de verzochte gegevens. Uber kan dat doen (en heeft dat via de User feedback ook gedaan) door deze gegevens in geanonimiseerde vorm te verstrekken, in die zin dat Uber ervoor zorgt dat de gegevens niet herleidbaar zijn tot de passagier die de sterren heeft gegeven en/of de opmerking(en) heeft gemaakt. Immers, wie de beoordeling heeft gegeven en/of de opmerking(en) heeft gemaakt is niet relevant, terwijl informatie over de persoon die de uitlating heeft gedaan een aantasting kan opleveren van de (privacy) rechten van deze persoon. Uber is jegens alle verzoekers gehouden om met inachtneming van de hiervoor omschreven voorwaarden inzage te verlenen in de individuele ratings van verzoekers.

Rijgedrag, gebruik van telefoon tijdens de rit en het percentage geaccepteerde ritten

Verzoekers stellen dat uit presentaties van software engineers van Uber en uit de privacyverklaring blijkt dat Uber grote hoeveelheden gegevens over rijgedrag verwerkt, waaronder GPS-data en informatie over versnelling en remgedrag. Uber gebruikt deze data onder meer om na een veiligheidsincident te bepalen of er sancties moeten worden toegepast jegens chauffeurs. Uber heeft deze gegevens niet volledig aan verzoekers verstrekt.

Uber voert aan dat zij in het verleden gegevens heeft verzameld over het rijgedrag en het gebruik van een telefoon tijdens de rit. De onderliggende data heeft Uber verstrekt onder de noemer ‘detailed device data’ en ‘safety reminder’. Daarnaast heeft Uber de onderliggende gegevens verstrekt waarmee het totaal van de door de chauffeur geaccepteerde en geweigerde ritten wordt berekend, het confirmation report genoemd. De persoonsgegevens die de input vormen voor de berekening van het confirmation report zijn volgens Uber aan verzoekers verstrekt. Met deze gegevens kunnen verzoekers het confirmation report eenvoudig zelf berekenen, aldus Uber.

Verzoekers betwisten dat zij deze gegevens van Uber hebben ontvangen en stellen dat voor zover zij deze gegevens wel hebben ontvangen, die volstrekt onbegrijpelijk zijn bij gebrek aan toelichting.

Nu Uber al in enige mate aan het inzageverzoek heeft voldaan, had het op de weg van verzoekers gelegen om duidelijk te maken in welke persoonsgegevens zij nog inzage verlangen. De enkele opmerking dat de verstrekte gegevens onbegrijpelijk zijn volstaat niet (zie hiervoor onder 4.35). Dit onderdeel van het verzoek is te algemeen en vaag omschreven en zal dan ook worden afgewezen.

upfront pricing-systeem

Tot slot verzoeken verzoekers inzage in het nieuwe upfront pricing-systeem dat Uber in de zomer van 2020 heeft geïntroduceerd. Verzoekers hebben behoefte aan uitleg over de werking van het systeem en wensen inzage in de wijze waarop het algoritme de prijs berekend.

Uber voert aan dat over het upfront pricing-systeem veel informatie te vinden is op de website van Uber. Daaruit volgt dat de prijs wordt berekend aan de hand van factoren die niet samenhangen met de chauffeur.

In het algemeen kan er van uit worden gegaan dat er bij toepassing van een systeem van tariefbepaling sprake is van verwerking van persoonsgegevens als het doel daarvan is het nemen van beslissingen ten aanzien van één persoon, namelijk het bepalen van een tarief. Enkel [verzoeker 5] maakt op dit moment als chauffeur gebruik van de diensten van Uber (zie hiervoor onder 4.36). Gelet op de tijd die is verstreken sinds de overige verzoekers actief waren voor Uber, kunnen hun persoonsgegevens niet door het upfront pricing -systeem zijn verwerkt. Verder is niet aannemelijk geworden dat verzoekers inzage wensen in de door Uber verwerkte persoonsgegevens ter controle van de juistheid en rechtmatigheid van de verwerking daarvan. Ook met de toelichting ter zitting is dit onderdeel van het verzoek voor de rechtbank niet meer dan een wens van verzoekers om zicht te krijgen op welke wijze en met gebruik van welk algoritme Uber tot prijsvorming komt. Dit is een ander doel dan het door artikel 15 AVG beoogde doel. Dit onderdeel van het verzoek zal daarom worden afgewezen.

Informatie over geautomatiseerde besluitvorming en profilering

Verzoekers verzoeken inzage in het bestaan van geautomatiseerde besluitvorming en profilering op grond van artikel 15 lid 1 onder h AVG. In dit artikel is bepaald dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het bestaan van geautomatiseerde besluitvorming, waaronder profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

In artikel 4 onder 4 AVG is profilering gedefinieerd als elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen.

Een betrokkene moet worden geïnformeerd over het bestaan van profilering en de gevolgen daarvan (overweging 60 van de AVG). Artikel 15 AVG geeft de betrokkene het recht informatie te verkrijgen over eventuele persoonsgegevens die voor profilering worden gebruikt, waaronder de categorieën van gegevens die zijn gebruikt om een profiel op te stellen.

Op grond van artikel 22 AVG hebben verzoekers het recht, behoudens een aantal uitzonderingen, om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking of profilering gebaseerd besluit, waaraan voor hen rechtsgevolgen zijn verbonden of dat hen anderszins in aanmerkelijke mate treft. Van een uitsluitend op geautomatiseerde verwerking gebaseerd besluit is sprake indien er geen betekenisvolle menselijke tussenkomst is in het besluitvormingsproces.

In de Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering9.is vermeld dat de drempel voor “aanmerkelijke mate” vergelijkbaar moet zijn met de mate waarin de betrokkene wordt getroffen bij een besluit waaraan een rechtsgevolg is verbonden. Gegevensverwerking treft iemand volgens de richtsnoeren in aanmerkelijke mate wanneer de effecten van de verwerking groot of belangrijk genoeg zijn om aandacht te verdienen. Het besluit moet het potentieel hebben om de omstandigheden, het gedrag of de keuze van de betrokken personen in aanmerkelijke mate te treffen; een langdurig of blijvend effect op de betrokkene te hebben; of in het uiterste geval, tot uitsluiting of discriminatie van personen te leiden. In overweging 71 AVG worden als voorbeelden van geautomatiseerde besluitvorming genoemd: automatische weigering van een online ingediende kredietaanvraag of verwerking van sollicitaties via internet zonder menselijke tussenkomst.

Verzoekers stellen dat zij naar aanleiding van het inzageverzoek geen informatie hebben ontvangen over het bestaan van geautomatiseerde besluitvorming en/of profilering. Volgens verzoekers is de informatie die Uber in haar privacyverklaring over geautomatiseerde besluitvorming en op haar website geeft onvolledig en in een aantal gevallen onjuist. Zij wijzen in dit verband op het volgende:

Uber voert aan dat zij geen geautomatiseerde besluitvorming in de zin van artikel 22 AVG toepast en dat in ieder geval geen sprake is van een verboden vorm daarvan.

Uber maakt gebruik van geautomatiseerde gegevensverwerking bij de allocatie van beschikbare ritten via het ‘batched matching’-systeem. Dit systeem groepeert de dichtstbijzijnde chauffeurs en passagiers in een batch (een groep) en bepaalt binnen die groep de optimale match (koppeling) tussen een chauffeur en een passagier. Volgens Uber gebruikt zij locatie, rijrichting, de drukte van het verkeer, geografische factoren, de verwachte aankomsttijd bij het afhaalpunt van de passagier en door chauffeurs via de Driver App opgegeven persoonlijke voorkeuren. Het systeem koppelt een passagier niet meer aan een chauffeur indien deze passagier de chauffeur in het verleden een beoordeling van één van de vijf beschikbare sterren heeft gewaardeerd. De chauffeur wordt dan gekoppeld aan een andere passagier in de batch. Volgens Uber heeft de geautomatiseerde allocatie van beschikbare ritten geen rechtsgevolgen, en wordt de betrokkene hierdoor niet in aanmerkelijke mate getroffen zodat geen sprake is van geautomatiseerde besluitvorming in de zin van artikel 22 AVG. Ook maakt zij geen gebruik van een profiel in de zin van artikel 4 onder 4 AVG. Het Driver’s profile is slechts een benaming die in het klantenservicesysteem wordt gehanteerd. Bij haar fraudebestrijdingsprocessen is voorts geen sprake van geautomatiseerde besluitvorming, omdat sprake is van menselijke tussenkomst.

Tussen partijen staat vast dat Uber gebruik maakt van persoonsgegevens om geautomatiseerde beslissingen te nemen. Dat volgt ook uit de paragraaf 9 ‘Geautomatiseerde besluitvorming’ die is opgenomen in haar privacyverklaring. Daarmee is echter nog niet gezegd dat sprake is van geautomatiseerde besluitvorming zoals bedoeld in artikel 22 AVG. Daarvoor is immers vereist dat ook sprake is van rechtsgevolgen of dat de betrokkene anderszins in aanmerkelijke mate wordt getroffen. Het verzoek is op dit punt slechts summier toegelicht. Verzoekers stellen dat Uber onvoldoende concrete informatie heeft gegeven over haar fraudebestrijdingsprocessen en niet heeft aangetoond dat sprake is van betekenisvolle menselijke tussenkomst. Anders dan in de zaak met rekestnummer C/13/692003 / HA RK 20/302 waarin vandaag ook beschikking wordt gegeven, hebben verzoekers niet toegelicht dat Uber ten aanzien van hen heeft geconcludeerd dat zij zich schuldig hebben gemaakt aan fraude. In hoeverre Uber over hen besluiten heeft genomen op basis van geautomatiseerde besluitvorming is dan ook onvoldoende toegelicht. Hoewel het voor de hand ligt dat het batched-matching-systeem en het upfront-pricing-systeem een zekere invloed zullen hebben op de uitvoering van de overeenkomst tussen Uber en de chauffeur is niet gebleken dat sprake is van een rechtsgevolg of een aanmerkelijk effect , zoals bedoeld in de Richtsnoeren. Nu artikel 15 lid 1 onder h AVG enkel betrekking heeft op dergelijke besluiten wordt het verzoek onder I (iv) afgewezen.

Voor zover verzoekers inzage wensen in hun persoonsgegevens die Uber heeft gebruikt om een profiel in de zin van artikel 4 onderdeel 4 AVG op te stellen, hebben zij dit verzoek onvoldoende geconcretiseerd. Dit onderdeel van het verzoek moet daarom worden afgewezen.

Het verzoek om aanvullende informatie

Verder verzoeken verzoekers inzage in de verwerkingsdoeleinden van de persoonsgegevens, de betrokken categorieën van persoonsgegevens, de ontvangers aan wie de persoonsgegevens zijn verstrekt, de bewaartermijn voor de persoonsgegevens en, indien sprake is van doorgifte van persoonsgegevens aan ontvangers in derde landen, welke passende waarborgen Uber daarvoor conform artikel 46 AVG heeft getroffen (zie artikel 15 lid 1 aanhef en onder a, b, c en d en lid 2 AVG).

Uber heeft in haar verweerschrift nadere informatie verstrekt over deze onderwerpen. Verder verwijst Uber naar de informatie die hierover is opgenomen in de betreffende hoofdstukken van haar Privacyverklaring. Op deze toelichting van Uber hebben verzoekers niet meer gereageerd. Bij deze stand van zaken gaat de rechtbank er vanuit dat dit deel van het inzageverzoek afdoende is beantwoord. De verzoeken onder I (ii) en (iii) zullen daarom worden afgewezen.

Het verzoek om gegevens over te dragen in een CSV-bestand 4.71. Verzoekers verzoeken tot slot dat Uber zal worden bevolen de hen betreffende gegevens, voor zover deze vallen binnen de reikwijdte van artikel 20 AVG, aan hen te verstrekken in de vorm van een CSV-bestand of door middel van een API, zodat de gegevens direct aan een andere verwerkingsverantwoordelijke kunnen worden doorgezonden.

Op grond van artikel 20 lid 1 AVG heeft de betrokkene het recht de persoonsgegevens die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen van deze verwerkingsverantwoordelijke om deze zonder daarbij te worden gehinderd over te dragen aan een andere verwerkingsverantwoordelijke.

In de Richtlijnen inzake het recht op gegevensoverdraagbaarheid10.is vastgelegd dat dit recht tot doel heeft om de positie van de betrokkene te versterken en de betrokkene meer controle over zijn gegevens te geven. Het recht beoogt de betrokkene weerbaar te maken door ‘lock-in’ bij de oorspronkelijke verwerkingsverantwoordelijke te voorkomen en de dienstverlening aan de betrokkene te verrijken.

Gegevensverwerking die onder het recht op gegevensoverdraagbaarheid valt moet berusten op toestemming van de betrokkene of op een overeenkomst waarbij de betrokkene partij is en moet geautomatiseerd plaatsvinden. De persoonsgegevens die moeten worden opgenomen zijn (i) persoonsgegevens over de betrokkene en (ii) gegevens die door de betrokkene aan een verwerkingsverantwoordelijke zijn verstrekt. Het recht op gegevensoverdraagbaarheid mag geen afbreuk doen aan de rechten en vrijheden van anderen.

Gegevens die door de betrokkene zelf zijn verstrekt omvatten bijvoorbeeld accountgegevens (e-mailadres, gebruikersnaam, leeftijd enz.). Volgens de Richtlijnen moet onder deze verstrekte gegevens ook worden verstaan de gegevens waarover de verwerkingsverantwoordelijke beschikt door het observeren van de activiteiten van de betrokkene, bijvoorbeeld door gebruik van een dienst of apparaat, zoals zoekgeschiedenis en locatiegegevens (data-analyse). Uit een brief van Eurocommissaris [naam] aan de voorzitter van de European Data Protection Board (EDPB) blijkt echter dat deze opvatting van de EDPB omstreden is. In deze brief heeft zij uiteengezet dat de EDPB verder gaat dan waarover de Commissie, Raad en Parlement in het wetgevingsproces overeenstemming hebben bereikt.11.De rechtbank gaat er bij deze stand van zaken van uit dat de gegevens die de verwerkingsverantwoordelijke van de door de betrokkene verstrekte gegevens heeft afgeleid door data-analyse niet onder de gegevens in de zin van artikel 20 AVG vallen. De in artikel 20 AVG opgenomen verplichting om aan de betrokkene gegevens op een bepaalde wijze te verstrekken, gaat dus minder ver dan de verplichting die is opgenomen in artikel 15 AVG.

Uit overweging 68 van de AVG volgt dat het formaat waarin de gegevens worden verstrekt de interoperabiliteit van de gegevens mogelijk moeten maken, dat wil zeggen dat deze gegevens kunnen worden uitgewisseld in verschillende ICT-systemen.

Volgens de Richtlijnen moet het formaat interpreteerbaar zijn en de betrokkene een zo groot mogelijke mate van gegevensoverdraagbaarheid bieden. Als er binnen een bepaalde bedrijfstak geen specifieke formaten gangbaar zijn kan worden uitgegaan van gangbare openbare formaten, zoals XML, JSON, CSV. Onder machineleesbaar wordt in overweging 21 van Richtlijn 2013/37/EU (over het hergebruik van overheidsinformatie)12.een bestandsformaat verstaan met een zodanige structuur dat softwaretoepassingen gemakkelijk specifieke gegevens, met inbegrip van individuele feitelijke beweringen, kunnen identificeren, herkennen en extraheren.

Met toepassing van de hiervoor genoemde uitgangspunten beoordeelt de rechtbank het verzoek om gegevens over te dragen in een CSV-bestand als volgt.

Volgens verzoekers hebben zij slechts een klein deel van de hen betreffende gegevens in dit bestandsformaat ontvangen, terwijl het grootste deel van de gegevens is verstrekt in zeven verschillende formaten (PDF, Docx, JPEG, PNG, MP3, WAV). De bestanden die in PDF-formaat zijn verstrekt, zijn volgens verzoekers niet machineleesbaar, omdat uit een dergelijk bestand niet op eenvoudige wijze data kunnen worden geëxtraheerd.

Uber voert aan dat zij de informatie die onder de reikwijdte van artikel 20 AVG valt aan verzoekers heeft verstrekt, gelijktijdig met de beantwoording van de inzageverzoeken. Volgens Uber voldoen het CSV-, XLS- en PDF-formaat waarin zij persoonsgegevens verstrekt aan het vereiste ‘gestructureerd, gangbaar en machineleesbaar’ in de zin van artikel 20 AVG en is zij niet gehouden om alle persoonsgegevens in het door verzoekers gewenste CSV-bestand of door middel van een API te verstrekken.

Op grond van artikel 20 AVG bestaat niet zonder meer een verplichting om de gegevens in een CSV-bestand of door middel van een API te verstrekken. Met uitzondering van de gegevens die zijn geleverd in PDF-formaat volgt uit de stellingen van verzoekers niet dat Uber de persoonsgegevens heeft verstrekt in een formaat waarmee het niet mogelijk is om de gegevens aan een andere verwerkingsverantwoordelijke door te zenden.

Uit het door Uber verstrekte overzicht volgt dat de persoonsgegevens die Uber in PDF-formaat heeft aangeleverd betrekking hebben op ‘zendesk tickets’, ‘invoices’, ‘driver safety complaints’ en ‘driver documents’. Verder volgt uit de toelichting van Uber dat ‘driver documents’ de documenten zijn die de chauffeur zelf heeft aangeleverd. Uber verstrekt deze documenten in hetzelfde formaat als waarin zij die heeft ontvangen, aldus Uber. In de Richtlijnen is over het PDF-formaat opgemerkt dat het niet waarschijnlijk is dat dit formaat voldoende gestructureerd of beschrijvend zal zijn om de gegevens gemakkelijk opnieuw te gebruiken. Het is dus de vraag of een PDF-formaat als een gestructureerd formaat in de zin van artikel 20 AVG kan worden beschouwd. Naar het oordeel van de rechtbank bestaat geen aanleiding om Uber te bevelen om de in PDF-formaat verstrekte categorieën persoonsgegevens alsnog in een CSV-formaat (of vergelijkbaar formaat) aan verzoekers te verstrekken. De categorieën ‘zendesk tickets’, ‘driver complaints’ en ‘invoices’ vallen niet onder de reikwijdte van artikel 20 AVG, omdat deze gegevens niet door verzoekers zelf aan Uber zijn verstrekt (zie hiervoor onder 4.72).

Ten aanzien van de driver documents ziet de rechtbank geen aanleiding om Uber te bevelen om deze documenten in een ander formaat dan het PDF-formaat over te dragen. Uit de toelichting van verzoekers volgt dat het verzoek om persoonsgegevens over te dragen in een CSV-bestand voorkomt uit de wens van verzoekers om de persoonsgegevens rechtstreeks in een databank op te nemen voor analyse om de onderhandelingspositie van platformwerkers te verbeteren. De achtergrond en bedoeling van het recht op dataportabiliteit is met name om een ‘lock-in’ te voorkomen. In het geval van verzoekers zal daarvan niet snel sprake zijn, omdat zij de gegevens willen verwerken voor eigen gebruik en analyse. Het verzoek onder II zal daarom worden afgewezen.

Conclusie 4.82. Het voorgaande betekent dat Uber inzage dient te verstrekken in de hiervoor onder 4.52 genoemde (persoons)gegevens. Om Uber voldoende tijd hiervoor te geven zal de termijn waarin Uber deze gegevens moet verstrekken worden bepaald op twee maanden na de betekening van deze beschikking. Voor het overige zullen de verzoeken worden afgewezen.

Dwangsom

De verzochte dwangsom zal worden afgewezen. Voorshands is het vertrouwen gerechtvaardigd dat Uber vrijwillig aan het bevel om alsnog inzage te geven zal voldoen en zich zal inspannen om de betreffende persoonsgegevens te verstrekken. Uber heeft immers al eerder gedeeltelijke inzage in persoonsgegevens verstrekt.

Uitvoerbaar bij voorraadverklaring

Uber heeft verzocht de beschikking niet uitvoerbaar bij voorraad te verklaren, omdat wanneer zij aan de verzoeken van verzoekers zou moeten voldoen, het risico bestaat dat de bedrijfsgeheimen van Uber en de privacyrechten van derden ernstig worden geschaad en dit onomkeerbare gevolgen zal hebben. Nu de rechtbank enkele concrete onderdelen van het verzoek zal toewijzen en Uber verder niet heeft toegelicht op welke wijze het verschaffen van inzage in strijd zou komen met haar bedrijfsgeheimen en privacyrechten van derden, ziet de rechtbank in hetgeen Uber heeft aangevoerd geen aanleiding om de beschikking niet uitvoerbaar bij voorraad te verklaren.

Proceskosten

Elk van de partijen is op enig punt in het (on)gelijk gesteld. Daarom zullen de proceskosten worden gecompenseerd.

De rechtbank:

verklaart [verzoeker 7] en [verzoeker 10] niet-ontvankelijk in hun verzoek,

beveelt Uber om binnen twee maanden na betekening van deze beschikking, aan [verzoeker 1] , [verzoeker 2] , [verzoeker 3] , [verzoeker 4] , [verzoeker 5] , [verzoeker 6] , [verzoeker 8] en [verzoeker 9] – met inachtneming van hetgeen hiervoor onder 4.36 is overwogen – afschrift of inzage te verstrekken in de hiervoor onder 4.52 genoemde persoonsgegevens op de daarin vermelde wijze,

verklaart deze beschikking tot zover uitvoerbaar bij voorraad,

compenseert de proceskosten tussen partijen, in die zin dat iedere partij de eigen kosten draagt;

wijst het meer of anders verzochte af.

Deze beschikking is gegeven door mr. O.J. van Leeuwen, mr. M.C.H. Broesterhuizen en mr. M.L.S. Kalff, rechters, bijgestaan door mr. Z.S. Lintvelt, griffier, en in het openbaar uitgesproken op 11 maart 2021.