Rb. Oost-Brabant, 01-08-2022, nr. C/01/371762 / EX RK 21-90

Documentgegevens:

ECLI:NL:RBOBR:2022:3257

Instantie: Rechtbank Oost-Brabant
Datum: 01-08-2022
Zaaknummer: C/01/371762 / EX RK 21-90
Vakgebied(en): Civiel recht algemeen (V)
Burgerzaken (V)
Brondocumenten en formele relaties: ECLI:NL:RBOBR:2022:3257, Uitspraak, Rechtbank Oost-Brabant, 01‑08‑2022; (Beschikking)
ECLI:NL:RBOBR:2022:787, Uitspraak, Rechtbank Oost-Brabant, 02‑03‑2022; (Tussenbeschikking)
Vindplaatsen: JBP 2022/132
JBP 2022/83
Module Privacy & AVG 2022/4365

Uitspraak 01‑08‑2022

Inhoudsindicatie

Civiele raadkamer. Art 35 UAVG-verzoek, verzoek om inzage en informatie ex art 15 en 26 lid 2 AVG en tot nakoming informatieverplichtingen art. 13 en 14 AVG. Eindbeschikking. Vervolg op ECLI:NL:RBOBR:2022:787

Partij(en)

beschikking

RECHTBANK OOST-BRABANT

Civiel Recht

Zittingsplaats 's-Hertogenbosch

zaaknummer / rekestnummer: C/01/371762 / EX RK 21-90

Beschikking van 1 augustus 2022

in de zaak van

[verzoeker] ,

wonende te [woonplaats] ,

verzoeker,

hierna te noemen: [verzoeker] ,

verschenen in persoon,

de besloten vennootschap met beperkte aansprakelijkheid

T-MOBILE NETHERLANDS B.V.,

gevestigd te Den Haag,

verweerster,

hierna te noemen: T-Mobile,

advocaat: mr. Q.R. Kroes te Amsterdam.

1. De verdere procedure

1.1.

In de tussenbeschikking van 2 maart 2022 is T-Mobile in de gelegenheid gesteld om de volgende stukken te overleggen:

-: de verklaring zoals bedoeld onder 5.15 ter zake het wissen van de verwerkte persoonsgegevens;
-: de overeenkomst inzake de pilot tussen T-Mobile en het CBS;
-: het privacystatement waarnaar T-Mobile [verzoeker] heeft verwezen;
-: een schriftelijke toelichting dat met het verstrekken van het privacystatement, het persstatement van 11 maart 2021 en de overeenkomst tussen T-Mobile met het CBS is voldaan aan de op haar rustende verplichtingen op grond van art. 13, 14 en 26 AVG;
-: (indien T-Mobile dat opportuun acht) bij voorbaat de informatie zoals bedoeld onder 5.13 en 5.14 (de door [verzoeker] verzochte informatie uit hoofde van art. 15 AVG).

1.2.

Per e-mail van 12 april 2022 heeft T-Mobile een aantal stukken overgelegd, waarna [verzoeker] in de gelegenheid is gesteld om daarop te reageren. Dat heeft [verzoeker] gedaan per e-mail van 3 juni 2022.

1.3.

Vervolgens is bepaald dat er een eindbeschikking zal worden gegeven.

2. De verdere beoordeling

2.1.

De rechtbank blijft (grotendeels, zie hierna onder 2.6) bij hetgeen zij in haar eerdere beschikking van 2 maart 2022 heeft overwogen. Vast staat dat T-Mobile de door de rechtbank verzochte stukken heeft overgelegd. Ook heeft zij bij de overgelegde stukken een toelichting gegeven, die een rol speelt bij de beoordeling van de door [verzoeker] ingediende verzoeken. De rechtbank zal hierna ingaan op de door [verzoeker] gedane verzoeken en op de vraag of T-Mobile met de overgelegde stukken en/of de daarop gegeven toelichting reeds aan die verzoeken, voor zover toewijsbaar, heeft voldaan.

De verzoeken onder B en C

2.2.

Zoals de rechtbank in r.o. 5.13 en 5.14 van haar tussenbeschikking heeft overwogen, is het verzoek van [verzoeker] voor zover dat is gebaseerd op het bepaalde in artikel 15 lid 1 onder a, b, c, d, g en h AVG in beginsel toewijsbaar. T-Mobile is in die tussenbeschikking in de gelegenheid gesteld om deze informatie alsnog aan [verzoeker] te verschaffen.

2.3.

T-Mobile heeft bij akte de gevraagde informatie met betrekking tot de categorieën persoonsgegevens (artikel 15 lid 1 sub b AVG) ingebracht. Dit erkent [verzoeker] . [verzoeker] merkt daarbij op dat T-Mobile echter nog niet álle informatie waar hij om heeft verzocht, heeft overgelegd.

2.3.1.

De rechtbank is van oordeel dat T-Mobile – na de door haar gegeven toelichting – wél alle informatie heeft verschaft uit hoofde van artikel 15 lid 1 sub a, c, d en g AVG. T-Mobile heeft immers toegelicht dat zij persoonsgegevens heeft verwerkt met als doel het mogelijk maken van mobiliteitsanalyses en statistiek door het CBS, zodat zij aan [verzoeker] informatie heeft verschaft over de verwerkingsdoeleinden van de persoonsgegeven (sub a). Voorts heeft T-Mobile onweersproken gesteld dat zij de (geanonimiseerde en geaggregeerde) persoonsgegevens aan het CBS – als ontvanger – heeft verstrekt (sub c). Ten aanzien van de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen (sub d) heeft T-Mobile in haar akte toegelicht dat zij de gebruikte persoonsgegevens inmiddels heeft gewist (op grond van het bepaalde in de Telecommunicatiewet). Ook daarover heeft zij dus informatie aan [verzoeker] verschaft. T-Mobile heeft verder onweersproken gesteld dat zij degene was die (zelfstandig) (signalerings)gegevens van haar klanten aan het CBS heeft verstrekt. Door [verzoeker] is niet gesteld en niet gebleken is dat sprake is van een andere bron waar de persoonsgegevens zijn verzameld, zodat T-Mobile heeft voldaan aan hetgeen waarover zij op grond van het bepaalde in artikel 15 lid 1 aanhef en onder g AVG informatie dient te verstrekken.

2.3.2.

Sub h van voornoemd artikel bepaalt dat de betrokkene het recht heeft om inzage te verkrijgen in en informatie over het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. Hierover heeft T-Mobile naar het oordeel van de rechtbank nog geen informatie aan [verzoeker] verstrekt. De rechtbank zal het verzoek – zoals dat is geformuleerd onder B – van [verzoeker] voor zover het ziet op deze informatie dan ook toewijzen. Voor het overige wijst de rechtbank het verzoek af.

2.4.

Het verzoek van [verzoeker] zoals hij dat heeft geformuleerd onder C is naar het oordeel van de rechtbank niet voor toewijzing vatbaar. T-Mobile heeft immers voldoende aannemelijk gemaakt dat zij de gegevens die zij heeft gebruikt voor de uitvoering van de pilot met het CBS heeft gewist. De rechtbank overweegt daartoe als volgt.

2.4.1.

T-Mobile heeft bij haar e-mail van 12 april 2022 een verklaring overgelegd van haar directeur Intelligence & Insights, genaamd [A] , waarin – voor zover hier van belang – staat vermeld:

“(…) Voor de pilot met het CBS gebruikte T-Mobile signaleringsgegevens uit haar 4G netwerk als brongegevens. Dit zijn technische gegevens die automatisch en voortdurend worden uitgewisseld tussen een randapparaat en het mobiele netwerk om de verbinding in stand te houden.

Van deze signaleringsgegevens is voor de pilot een beperkte set per randapparaat gebruikt:

-: Date_time stamp (dus: datum en tijdstempel voor de betreffende gegevens);
-: E_cgi (waarmee een koppeling wordt gemaakt met een cel in het mobiele netwerk);
-: IMSI (dat staat voor International Mobile Subscriber Identity; een uniek nummer verbonden aan alle gsm- en UMTS-randapparaten dat is opgeslagen op de SIM-kaart in het apparaat).

Deze gegevens zijn automatisch gehasht alvorens ze zijn verwerkt voor het interne anonimiseringsproces ten behoeve van de CBS-pilot.

Signaleringsgegevens kwalificeren in juridische zin als verkeersgegevens in de zin van artikel 11.1 van de Telecommunicatiewet. Dat betekent dat daarvoor krachtens artikel 11.5 als uitgangspunt geldt dat die moeten worden geanonimiseerd of gewist zodra die niet meer nodig zijn voor het overbrengen van de communicatie.

T-Mobile hanteert op grond van dit wettelijk voorschrift een dataretentiebeleid. Hieronder worden verkeersgegevens na zes maanden gewist. De pilot met het CBS is inmiddels meer dan 2 jaar geleden op eigen initiatief van T-Mobile beëindigd. De daarin gebruikte verkeersgegevens zijn inmiddels gewist. (…)”.

2.4.2.

[verzoeker] voert aan dat de overgelegde verklaring geen onderbouwing betreft van de stelling van T-Mobile dat zij de data heeft gewist en niet meer in haar bezit heeft, omdat T-Mobile enkel verklaart dat de “verkeersgegevens” zijn gewist en – kort gezegd – de gekopieerde gegevens en de daaropvolgende verwerkingen, zoals hashing, buiten de bewaarplicht van de Telecommunicatiewet vallen.

2.4.3.

T-Mobile heeft, zoals blijkt uit de door haar overgelegde verklaring, onweersproken gesteld dat zij voor de pilot met het CBS signaleringsgegevens uit haar 4G netwerk heeft gebruikt als brongegevens en dat een beperkte set signaleringsgegevens is gebruikt per randapparaat. Voorts heeft T-Mobile onweersproken gesteld dat deze signaleringsgegevens automatisch zijn gehasht voordat ze zijn verwerkt voor het interne anonimiseringsproces. [verzoeker] voert aan dat hieruit niet blijkt of er andere persoonsgegevens zoals gepseudonimiseerde of gehashte gegevens beschikbaar zijn en of die gegevens al dan niet zijn gewist. De rechtbank is van oordeel dat uit de verklaring van (de directeur Intelligence & Insights van) T-Mobile voldoende blijkt dat zij bij de pilot met het CBS enkel gebruik heeft gemaakt van signaleringsgegevens en dat T-Mobile die gegevens (op grond van de Telecommunicatiewet) heeft gewist. Nergens blijkt uit dat sprake zou zijn van het gebruik van “andere persoonsgegevens”.

2.4.4.

Voor zover [verzoeker] heeft aangevoerd dat T-Mobile heeft verklaard dat zij de signaleringsgegevens automatisch heeft gehasht (hetgeen betekent dat er een offline kopie van is gemaakt) voordat ze zijn verwerkt voor de pilot en dat die (gekopieerde) gegevens buiten het bereik van de bewaarplicht van de Telecommunicatiewet vallen, is de rechtbank van oordeel dat uit de verklaring van T-Mobile voldoende blijkt dat zij ook díe gegevens heeft gewist. T-Mobile heeft immers verklaard dat zij álle signaleringsgegevens, ook nadat deze zijn gehasht, heeft gewist. Het antwoord op de vraag of zij dit heeft gedaan op grond van het bepaalde in de Telecommunicatiewet óf om een andere reden, doet er daarbij niet toe. Vast staat derhalve dat T-Mobile niet meer over die gegevens beschikt, zodat zij die ook niet (meer) aan [verzoeker] kan overleggen.

2.4.5.

Ook in het geval zij de gegevens van [verzoeker] hiervoor heeft gebruikt (hetgeen volgens T-Mobile aannemelijk is als [verzoeker] met een 4G-toestel gebruik heeft gemaakt van het 4G-netwerk van T-Mobile in de periode dat de pilot liep), kan T-Mobile daarover om die reden geen uitsluitsel meer geven dan wel [verzoeker] inzage geven in de van hem verwerkte persoonsgegevens, behalve daarvan een algemeen beeld schetsen (zoals T-Mobile reeds heeft gedaan). Daarom wijst de rechtbank dit verzoek af.

De verzoeken onder A en D

2.5.

In de tussenbeschikking heeft de rechtbank T-Mobile in de gelegenheid gesteld om de vragen van het verzoek onder A te beantwoorden.

2.6.

Op verzoek van de rechtbank heeft T-Mobile daartoe haar privacystatement overgelegd, geldend vanaf 13 december 2018. Daarbij heeft zij verwezen naar het bepaalde in artikel BB Geanonimiseerde of geaggregeerde gegevens. In dit artikel staat vermeld:

“T-Mobile kan voor derde partijen gegevens van een groep klanten verzamelen voor bijvoorbeeld wetenschappelijk onderzoek, mobiliteitsanalyses of statistieken. De gegevens die aan een derde partij worden verstrekt zijn geanonimiseerd. Dat betekent dat deze gegevens niet te herleiden zijn naar jou. Geaggregeerd betekent dat de gegevens over een grote groep gaan, waarin jouw gegevens niet herleidbaar zijn. Als je bijvoorbeeld televisie via T-Mobile kijkt, geven wij aan Stichting Kijkcijferonderzoek (SKO) het tijdstip van kijken, het type apparaat waarop je kijkt en de zender door. Deze gegevens op zich zelf kunnen door SKO niet terug gevoerd worden naar jou als individuele klant. SKO weet dus niet wat jij hebt gekeken of überhaupt dat jij via T-Mobile televisie kijkt. Ook kunnen we jouw anonieme gegevens voor mobiliteitsanalyses aan derde partijen geven. Verkeersstromen en verkeersdrukte kunnen bijvoorbeeld afgeleid worden uit de hoeveelheid bellers op een bepaalde locatie.”.

T-Mobile heeft toegelicht dat zij haar klanten hiermee heeft geïnformeerd over de mogelijkheid dat hun gegevens zouden worden verwerkt tot geanonimiseerde/geaggregeerde gegevens die aan derde partijen kunnen worden verstrekt voor (onder meer) mobiliteitsanalyses of statistieken.

2.7.

[verzoeker] voert aan dat het een verouderd privacystatement betreft en dat het privacystatement geen antwoord geeft op de door hem gestelde vragen, omdat het statement gaat over gegevensverzamelingen voor “wetenschappelijk onderzoek, mobiliteitsanalyses of statistieken”, terwijl het NRC-artikel gaat over de ontwikkeling van algoritmes voor de exploitatie van informatie over mobiliteits- en verblijfsgedrag voor gemeenten en provincies en voor commerciële exploitatie door T-Mobile.

2.8.

Op het door T-Mobile overgelegde privacystatement staat vermeld dat deze geldig is vanaf 13 december 2018. T-Mobile heeft onweersproken gesteld dat zij vanaf 20 september 2017 tot en met december 2019 aan de pilot met het CBS heeft meegewerkt, zodat dit privacystatement in ieder geval in een deel van de pilotperiode van toepassing was. Door [verzoeker] is aangevoerd dat het privacystatement niet gaat over gegevensverwerkingen voor de ontwikkeling van algoritmes waarover in het NRC-artikel wordt gesproken. De rechtbank is van oordeel dat hetgeen daarover in het NRC-artikel staat vermeld niet leidend is. T-Mobile heeft immers onweersproken – en zeer uitgebreid – gesteld wat voor soort gegevens zij in het kader van de pilot met het CBS heeft uitgewisseld, te weten geanonimiseerde en geaggregeerde bewegingspatronen met een minimum aantal van 15 (ook wel aangeduid als signaleringsgegevens). In de overeenkomst tussen T-Mobile en het CBS, die door T-Mobile bij akte is overgelegd, wordt niet gerept over het ontwikkelen van algoritmen, in welke vorm dan ook. In artikel 2 lid 3 van die overeenkomst staat immers vermeld: “CBS zal de gegevens niet gebruiken voor andere onderzoeken. (…)”. Ook uit de toelichting van T-Mobile blijkt op geen enkele wijze dat sprake zou zijn geweest van gegevensverwerkingen voor de ontwikkeling van algoritmes. Voorts staat in het privacystatement, te weten in het hiervoor genoemde artikel BB, ondubbelzinnig en duidelijk vermeld dat de anonieme gegevens van haar klanten voor mobiliteitsanalyses aan derde partijen kunnen worden geven om bijvoorbeeld de verkeersstromen en verkeersdrukte op een bepaalde locatie beter te kunnen inschatten.

2.9.

Voorts heeft T-Mobile bij akte nader toegelicht wat de achtergrond van de samenwerking tussen haar en het CBS was en welke persoonsgegevens in het kader daarvan zijn verwerkt. T-Mobile stelt dat sprake is geweest van geanonimiseerde mobiele telefoondata, waarbij geen gebruik is gemaakt van individuele persoonsgegevens, maar enkel van geanonimiseerde en geaggregeerde datasets die het mogelijk maakten te tellen hoeveel apparaten (met een minimum van 15) zich op een bepaald moment bevonden binnen het bereik van een bepaalde zendmast en dat deze datasets werden ontleend aan signaleringsgegevens uit het 4G-netwerk van T-Mobile.

2.10.

[verzoeker] voert daartegen aan dat T-Mobile enkel als doel heeft geformuleerd “het mogelijk maken van mobiliteitsanalyses en statistiek door het CBS”, terwijl in het NRC-artikel andere doelstellingen worden genoemd. Daarnaast voert [verzoeker] aan dat T-Mobile slechts deels invulling heeft gegevens aan haar informatieverplichtingen uit artikel 13 en 14 AVG. Volgens [verzoeker] ontbreken nog de volgende gegevens:

-: in voorkomend geval, de contactgegevens van de FG,
-: het recht van betrokkenen op inzage, rectificatie, wissing, beperking van de verwerking, het maken van bezwaar en overdraagbaarheid,
-: het recht om een klacht in te dienen bij een toezichthoudende autoriteit,
-: of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt
-: het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, en, indien van toepassing, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

Die informatie dient volgens [verzoeker] nog door T-Mobile te worden verstrekt.

2.11.

T-Mobile heeft – voor zover zij daartoe gehouden is – in haar akte nader toegelicht wat de achtergrond was van haar samenwerking met het CBS, welke gegevens zij voor de pilot met het CBS heeft uitgewisseld en op welke manier zij die gegevens heeft gewist. Voor zover [verzoeker] aanvoert dat in het NRC-artikel wordt gesproken over een ander doel dan het doel dat T-Mobile heeft geformuleerd, verwijst de rechtbank naar hetgeen zij hiervoor in r.o. 2.8 heeft overwogen: hetgeen in het NRC-artikel staat vermeld is niet leidend. Van belang is dat T-Mobile degene van wie zij gegevens verwerkt informeert over de wijze waarop zij dat heeft gedaan en of zij daartoe aan haar verplichtingen heeft voldaan. Naar het oordeel van de rechtbank is voldoende komen vast te staan dat T-Mobile dat heeft gedaan. Voorts heeft [verzoeker] gesteld dat hij nog niet alle informatie die T-Mobile op grond van het bepaalde in artikel 13 en 14 AVG aan hem moet verstrekken, heeft ontvangen. De rechtbank zal daar hierna per type informatie op ingaan. De rechtbank zal daarbij niet ingaan op de vraag of de persoonsgegevens bij de betrokkene zijn verzameld (artikel 13 AVG) of dat de persoonsgegevens niet van de betrokkene zijn verkregen (artikel 14 AVG). In beide gevallen dient een verwerkingsverantwoordelijke immers aan de betrokkene informatie te verschaffen.

2.11.1.

[verzoeker] stelt dat T-Mobile nog niet alle informatie heeft verstrekt ten aanzien van de doeleinden van en de rechtsgrond voor de verwerking en ten aanzien van de periode gedurende welke de persoonsgegevens zullen worden opgeslagen. De rechtbank is van oordeel dat T-Mobile dit inmiddels wel heeft gedaan en verwijst daartoe naar hetgeen zij hiervoor heeft overwogen.

2.11.2.

[verzoeker] stelt dat T-Mobile nog niet de contactgegevens van de functionaris voor gegevensbescherming heeft verstrekt. In artikel 37 AVG is bepaald in welke gevallen de verwerkingsverantwoordelijke en de verwerker een functionaris voor gegevensbescherming dienen aan te wijzen. Niet is gesteld en nergens blijkt uit dat T-Mobile en het CBS een dergelijke functionaris hebben aangewezen. Daarom is de rechtbank van oordeel dat T-Mobile die informatie niet aan [verzoeker] hoeft te verstrekken.

2.11.3.

Verder stelt [verzoeker] dat T-Mobile niet alle informatie heeft verstrekt over het recht van betrokkene op: inzage, rectificatie, wissing, beperking van de verwerking, het maken van bezwaar en overdraagbaarheid als bedoeld in artikel 13 lid 2 aanhef en onder b en artikel 14 lid 2 aanhef en onder c AVG. [verzoeker] heeft echter noch in zijn verzoekschrift noch in zijn eerder gedane verzoek aan T-Mobile in de brief van 12 maart 2021 (waarbij bij de beoordeling van de verzoeken moet worden uitgegaan) verzocht om deze informatie. Aan een beoordeling van deze stelling van [verzoeker] komt de rechtbank daarom niet toe.

2.11.4.

[verzoeker] stelt daarnaast dat T-Mobile niet alle informatie heeft verstrekt over het recht om een klacht in te dienen bij een toezichthoudende autoriteit als bedoeld in artikel 13 lid 2 aanhef en onder d en artikel 14 lid 2 aanhef en onder e AVG. Voor wat betreft het verstrekken van deze informatie geldt hetzelfde als hiervoor onder 2.11.3 is overwogen. [verzoeker] heeft in zijn verzoek niet om deze informatie verzocht zodat de rechtbank aan een beoordeling van deze stelling niet toekomt.

2.11.5.

Voorts stelt [verzoeker] dat T-Mobile nog geen informatie heeft verschaft over of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt (zoals bedoeld in artikel 13 lid 2 aanhef en onder e AVG). [verzoeker] heeft weliswaar in zijn verzoekschrift (onder A) verzocht om informatie te verschaffen over de vraag of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is, maar heeft in zijn brief van 12 maart 2021 niet specifiek om deze informatie verzocht. Zoals in r.o. 5.7 van de tussenbeschikking is overwogen, moet bij de beoordeling van de verzoeken worden uitgegaan van de verzoeken zoals [verzoeker] deze op 12 maart 2021 heeft gedaan. Daarnaast is de rechtbank van oordeel dat [verzoeker] geen belang heeft bij de door hem verzochte informatie op dit punt, omdat uit de met elkaar overeenstemmende stellingen van beide partijen blijkt dat er sprake is van een contractuele verplichting. Daartoe heeft T-Mobile immers de overeenkomst die zij met het CBS heeft gesloten, overgelegd. De rechtbank wijst dat verzoek dan ook af.

2.11.6.

[verzoeker] heeft eveneens gesteld dat T-Mobile aan hem geen informatie heeft verschaft over het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, en, indien van toepassing, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene als bedoeld in artikel 13 lid 2 aanhef en onder f en artikel 14 lid 2 aanhef en onder g AVG. Om die informatie heeft [verzoeker] in zijn verzoekschrift onder B verzocht en ook in zijn brief van 12 maart 2021. T-Mobile heeft daar in haar akte echter geen informatie over verschaft. Dit betreft echter dezelfde informatie die T-Mobile op grond van het bepaalde in artikel 15 lid 1 aanhef en onder g AVG aan [verzoeker] dient te verstrekken. De rechtbank zal T-Mobile derhalve bevelen om die informatie te verstrekken, zoals hierna onder de beslissing is vermeld.

2.12.

In de toelichting van T-Mobile bij de door haar overgelegde overeenkomst, heeft T-Mobile (terecht) opgemerkt dat zij reeds in haar spreekaantekeningen die zij tijdens de mondelinge behandeling heeft voorgedragen heeft betwist dat T-Mobile en het CBS gezamenlijke verwerkingsverantwoordelijken zijn, zodat volgens haar artikel 26 AVG niet van toepassing is. In de tussenbeschikking (zie r.o. 5.26 en 5.27) heeft de rechtbank per abuis en derhalve onterecht – als niet betwist – vastgesteld dat daarvan wél sprake is. Daarop komt de rechtbank dan ook terug. De rechtbank is echter van oordeel dat voor de beantwoording van de vraag of de verzoeken van [verzoeker] toewijsbaar zijn niet van belang is of sprake is van gezamenlijke verwerkingsverantwoordelijken. [verzoeker] heeft immers verzocht om inzage in de wezenlijke inhoud van de regeling tussen het CBS en T-Mobile. T-Mobile heeft bij akte de overeenkomst tussen haar en het CBS met betrekking tot de pilot overgelegd, zodat zij – ondanks het antwoord op de vraag of zij daartoe verplicht was – reeds uitvoering heeft gegeven aan het onder D verzochte. De rechtbank zal dit verzoek daarom, bij gebrek aan belang, afwijzen.

Het verzoek onder E

2.13.

[verzoeker] heeft verzocht om, indien T-Mobile wordt bevolen om aan hem informatie te verschaffen, aan dat bevel een dwangsom te verbinden. De rechtbank ziet echter geen aanleiding om aan dit bevel een dwangsom te verbinden. T-Mobile heeft zich immers (in ieder geval na de tussenbeschikking) bereidwillig opgesteld en heeft – zo begrijpt de rechtbank – haar best gedaan om zoveel mogelijk van de door [verzoeker] verzochte informatie aan [verzoeker] te verstrekken en aan [verzoeker] inzicht te geven in hoe zijn gegevens kunnen zijn verwerkt in het kader van de CBS-pilot. Ook heeft T-Mobile zich in haar akte bereid verklaard om met [verzoeker] in gesprek te gaan en de informatie die zij nog niet heeft verstrekt, alsnog aan [verzoeker] te verstrekken. Daarom wijst de rechtbank dit verzoek af.

2.14.

De rechtbank ziet, gelet op de huidige vakantieperiode, verder aanleiding om te bepalen dat T-Mobile – voor zover de verzoeken worden toegewezen – de informatie binnen een termijn van twee maanden na betekening van de beschikking aan [verzoeker] moet verschaffen.

De proceskosten

2.15.

T-Mobile zal als de (grotendeels) in het ongelijk gestelde partij worden veroordeeld in de proceskosten. T-Mobile heeft immers pas nádat de rechtbank in haar tussenbeschikking heeft beslist dat zij aan [verzoeker] informatie diende te verstrekken, aan dat verzoek voldaan en niet direct nadat [verzoeker] daarom in zijn brief van 12 maart 2021 reeds had gevraagd. Daarnaast is in deze (eind)beschikking komen vast te staan dat T-Mobile verplicht is om nog meer informatie aan [verzoeker] te verschaffen. Omdat [verzoeker] in persoon procedeert, geen gemachtigde heeft ingeschakeld en door hem niet is gesteld noch is gebleken dat hij kosten heeft gemaakt, begroot de rechtbank de proceskosten aan zijn zijde op nihil.

3. De beslissing

De rechtbank

3.1.

beveelt T-Mobile om binnen twee maanden na betekening van de beschikking ten aanzien van de in het verzoekschrift bedoelde verwerkingen van persoonsgegevens [verzoeker] informatie te verschaffen over het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene;

3.2.

veroordeelt T-Mobile in de proceskosten, aan de zijde van [verzoeker] tot op heden begroot op nihil;

3.3.

wijst de verzoeken voor het overige af.

Deze beschikking is gegeven door mr. E.J.C. Adang en in het openbaar uitgesproken op 1 augustus 2022.

Uitspraak 02‑03‑2022

Inhoudsindicatie

Civiele raadkamer. Tussenbeschikking. Art 35 UAVG-verzoek, verzoek om inzage en informatie ex art 15 en 26 lid 2 AVG en tot nakoming informatieverplichtingen art. 13 en 14 AVG. Nakoming van deze verplichtingen kan in dit geval in het kader van een art. 35 UAVG worden verzocht.

Partij(en)

beschikking

RECHTBANK OOST-BRABANT

Civiel Recht

Zittingsplaats 's-Hertogenbosch

zaaknummer / rekestnummer: C/01/371762 / EX RK 21-90

Beschikking van 2 maart 2022

in de zaak van

[verzoeker] ,

wonende te [woonplaats] ,

verzoeker,

hierna te noemen: [verzoeker] ,

verschenen in persoon,

tegen

de besloten vennootschap met beperkte aansprakelijkheid

T-MOBILE NETHERLANDS B.V.,

gevestigd te Den Haag,

verweerster,

hierna te noemen: T-Mobile,

advocaat mr. Q.R. Kroes te Amsterdam.

1. Waar gaat deze zaak over?

Deze zaak gaat over de vraag of T-Mobile aan [verzoeker] bepaalde informatieverplichtingen die zijn opgenomen in de Algemene Verordening Gegevensbescherming (hierna: AVG) over het verwerken van persoonsgegevens. moet nakomen, en zo ja, of zij deze is nagekomen. Verder oordeelt de rechtbank over de vraag of T-Mobile in het kader van een verzoekschriftprocedure kan worden bevolen om de informatie bedoeld in art. 13 en 14 en art. 26 lid 2 AVG te verstrekken.

De rechtbank oordeelt dat T-Mobile bepaalde informatieverplichtingen ten aanzien van het verwerken van persoonsgegevens van [verzoeker] moet nakomen. De rechtbank vraagt T-Mobile om bepaalde stukken in het geding te brengen en deze nader toe te lichten.

2. De procedure

2.1.

De rechtbank heeft het verzoekschrift met bijlagen van [verzoeker] ontvangen op 11 juni 2021. Bij e-mail van 6 december 2021 heeft T-Mobile een verweerschrift ingediend. De mondelinge behandeling heeft plaatsgevonden op 14 december 2021, waarop partijen zijn verschenen. Partijen hebben daarbij gebruik gemaakt van spreekaantekeningen.

2.2.

Ten slotte is beschikking bepaald op vandaag.

3. De feiten

3.1.

T-Mobile is een aanbieder van een openbaar communicatienetwerk en openbare elektronische communicatiediensten.

3.2.

[verzoeker] is advocaat. In privé is hij al vele jaren klant bij T-Mobile waar het gaat om mobiele telefonie.

3.3.

Op 10 maart 2021 publiceerde NRC Handelsblad een artikel over T-Mobile en het Centraal Bureau voor de Statistiek (hierna: CBS) met de kop: ‘Hoe het CBS en T-Mobile de privacy schonden’. In het artikel staat onder meer:

“Het was dan ook opmerkelijk dat het CBS de bewegingen van grote groepen Nederlanders al vanaf 2017 – ver voor corona dus – bleek te hebben gevolgd. Op zijn website claimde het CBS met “zeer grote datasets” van T-Mobile te hebben gewerkt. Dit bedrijf is de tweede mobiele provider van Nederland en telde begin vorig jaar 5,6 miljoen mobiele klanten. Met die gegevens was gevolgd waar personen gedurende de uren van de dag verblijven. Dit inzicht zou belangrijk zijn op terreinen als mobiliteit – waar moet een carpoolstrook komen? – of veiligheid: welke gebieden moeten vanwege drukte worden afgesloten?”

“In het contract met het CBS staat dat T-Mobile “de methode voor het bepalen van locatiegegevens ook voor eigen doeleinden” mag gebruiken, “zowel tijdens als na de pilot”. Een lucratief algoritme dus, dat met overheidsgeld zou worden ontwikkeld. Ook vroeg T-Mobile het CBS om bezoekers van T-Mobile-winkels op basis van telecomdata in kaart te brengen.”

3.4.

Op 11 maart 2021 publiceerde T-Mobile het volgende bericht op haar website:

“Vanaf september 2017 tot en met december 2019 heeft T-Mobile meegewerkt aan een CBS pilot project naar de problemen die grote steden ervaren door plots toenemende drukte in de stad.

Deze toename heeft onder andere impact op mobiliteit, veiligheid, rampenbestrijding en toerisme in de betreffende stad. De overheid wilde daar beter inzicht in hebben. Uit eerder onderzoek van het CBS, met andere marktpartijen, bleek dat geanonimiseerde mobiele telefoondata een veelbelovende bron was. In het belang van de bescherming van privacy van klanten, ging het hier niet om individuele persoonsgegevens maar om geanonimiseerde en geaggregeerde bewegingspatronen die het mogelijk maakt te tellen hoeveel apparaten (altijd met een minimum van 15) zich op een bepaald moment binnen het bereik van een bepaalde zendmast bevonden. Het is dus apert onjuist dat het CBS toegang had tot individuele persoonsgegevens en inzicht heeft verkregen in wie met wie in contact zou zijn geweest in welke vorm dan ook.

In dit onderzoek zijn de geanonimiseerde en geaggregeerde netwerkdata exclusief en zonder daar vergoeding voor te ontvangen met het CBS gedeeld. T-Mobile onderstreept het belang van de CBS-onderzoeken, voor de bevordering van de leefbaarheid van Nederland en heeft daarom meegewerkt. Er zijn destijds duidelijke afspraken gemaakt met het CBS over de door T-Mobile beschikbaar gestelde data. Zo hadden CBS-medewerkers, onder hele strikte voorwaarden en na het nemen van de nodige beveiligingsmaatregelen, alleen toegang gekregen tot een set gepseudonimiseerde gegevens onder toezicht en verantwoordelijkheid van T-Mobile. De medewerkers hadden alleen toegang via een T-Mobile versleutelde laptop tot de specifieke dataset voor deze pilot. De set gepseudonimiseerde gegevens hebben zodoende de digitale en beveiligde IT infrastructuur van T-Mobile nooit verlaten. De pilot is stopgezet eind 2019.”

3.5.

[verzoeker] heeft T-Mobile bij brief van 12 maart 2021 aangeschreven. [verzoeker] heeft daarin een beroep gedaan op het bepaalde in art. 12 tot en met 15 en art. 26 lid 2 Algemene Verordening Gegevensbescherming (hierna: AVG). In de brief staat onder meer:

“In deze brief doe ik, samengevat, een verzoek om informatie over de gegevensverwerkingen in het kader van de samenwerking tussen TMNL [T-Mobile, rb.] en het CBS en een verzoek om inzage in de persoonsgegevens die in dit verband – zonder mijn toestemming – zijn verwerkt. Deze verzoeken zijn noodzakelijk, aangezien de My T-Mobile omgeving niet de mogelijkheid biedt om kennis te nemen van de betreffende gegevens en informatie.”

[…]

Ik moet een compleet beeld kunnen vormen over de verwerkingen van mijn persoonsgegevens. Daarom verzoek ik u de informatie zo gedetailleerd mogelijk te verstrekken. Denk aan specifieke locatiegegevens, zoals – maar niet beperkt tot – GPS-coördinaten en cartografische data, en andere relevante gegevens zoals verkeersgegevens en/of gegevens gerelateerd aan bijvoorbeeld IMSI, IMEI, MAC-adres(sen), etc. alsook aanverwante informatie over data en tijdstip(pen).

Houd er rekening mee dat de te verstrekken informatie voor mij begrijpelijk moet zijn en mij in staat moet stellen de juistheid van de gegevens en de rechtmatigheid van de gegevensverwerkingen te kunnen controleren. Dit kan er dus toe leiden dat er méér informatie moet worden verstrekt dan alleen persoonsgegevens.”

3.6.

Op 29 april 2021 is T-Mobile met een inhoudelijke reactie gekomen. In de betreffende e-mail staat onder meer:

“Dank voor uw inzage verzoek.

Langs deze weg reageer ik inhoudelijk op uw eerdere e-mails naar aanleiding van de CBS-pilot.

[…]

In uw e-mail heeft u meerdere verzoeken gedaan. Hierna zal ik per onderwerp daarop ingaan.

Informatie over de gegevensverwerkingen en Inzage in de verwerkte persoonsgegevens.

U verzoekt T-Mobile om informatie te verschaffen over de invulling van de artikelen 13 en 14 van de AVG.

Hierbij informeer ik u dat T-Mobile geen persoonsgegevens van individuele klanten heeft gedeeld met het CBS. Het gaat om geanonimiseerde en geaggregeerde bewegingspatronen (met een minimum aantal van 15) die het mogelijk maakt om te tellen hoeveel apparaten zich op een bepaald moment binnen een bereik van een bepaalde zendmast bevonden. Deze bewegingspatronen zijn niet naar personen te herleiden.

Wij kunnen u gelet op voorgaande dan ook geen inzage geven in de persoonsgegevens die volgens u zouden zijn verstrekt tijdens de Pilot, omdat er geen persoonsgegevens zijn gelekt of gedeeld. Uiteraard kunnen wij u wel inzage gegeven in de persoonsgegevens die wij van u verwerken.

Privacy Statement

Wil u weten hoe wij uw gegevens verwerken? Dan verwijs ik u graag ook naar ons Privacy Statement. Daarin staat precies hoe en waarom wij als telecomorganisatie gegevens van onze klanten verzamelen en verwerken. We doen dit altijd zo zorgvuldig mogelijk.”

3.7.

Op 30 april 2021 heeft [verzoeker] T-Mobile per e-mail bericht dat de beslissing van T-Mobile op zijn verzoek volgens hem niet juist is en heeft hij T-Mobile tot en met uiterlijk 7 mei 2021 de mogelijkheid gegeven om alsnog een juiste beslissing te nemen.

4. Het verzoek

4.1.

[verzoeker] verzoekt de rechtbank om bij beschikking uitvoerbaar bij voorraad:

A. T-Mobile te bevelen om, binnen één maand na betekening van de beschikking, althans een door de rechtbank te bepalen redelijke termijn, ten aanzien van de in het verzoekschrift bedoelde verwerkingen van persoonsgegevens, [verzoeker] informatie te verschaffen over:

 de rechtsgrond voor de verwerkingen;

 indien van toepassing, de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde;

 en antwoord op de vraag of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is;

en/of

T-Mobile te bevelen om, binnen één maand na betekening van de beschikking, althans een door de rechtbank te bepalen redelijke termijn, ten aanzien van de in het verzoekschrift bedoelde verwerkingen van persoonsgegevens, [verzoeker] informatie te verschaffen over:

 de verwerkingsdoeleinden;

 de betrokken categorieën van persoonsgegevens;

 de ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt;

 indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dit niet mogelijk is, de criteria om die termijn te bepalen;

 wanneer de persoonsgegevens niet bij T-Mobile zin verzameld, alle beschikbare informatie over de bron van die gegevens;

 het bestaan van geautomatiseerde besluitvorming, en, indien dergelijke besluitvorming, van toepassing is, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [verzoeker] ;

en/of

 aan [verzoeker] uitsluitsel te geven over het verwerken van hem betreffende persoonsgegevens, en/of:

 [verzoeker] inzage te verlenen in de over hem verwerkte persoonsgegevens, door aan [verzoeker] een kopie van de persoonsgegevens te verstrekken, in een gangbaar elektronisch formaat als XLS(X) of CSV en waarbij de aan [verzoeker] te verstrekken informatie c.q. gegevens begrijpelijk is en hem in staat stelt de juistheid van de persoonsgegevens en de rechtmatigheid van de verwerking van die gegevens te controleren;

en/of

T-Mobile te bevelen tot betaling van een dwangsom van € 10.000,-- (zegge: tienduizend euro), althans een door de rechtbank te bepalen dwangsom, voor iedere dag of deel daarvan dat T-Mobile in gebreke blijft om geheel te voldoen aan één of meer van de onder A en/of B en/of C en/of D genoemde bevelen, en/of;

T-Mobile te veroordelen in de kosten van het geding.

4.2.

[verzoeker] legt onder verwijzing naar de AVG, de UAVG, jurisprudentie en berichtgeving in de pers – verkort weergegeven – het volgende aan zijn verzoeken ten grondslag.

Het privacystatement van T-Mobile dat van toepassing is op de contractuele relatie tussen [verzoeker] en T-Mobile rept met geen woord over gegevensverwerkingen ten behoeve van algoritmen. Ondanks daartoe te zijn verzocht heeft T-Mobile nagelaten informatie te verschaffen over de rechtsgrond voor de verwerking, indien van toepassing de gerechtvaardigde belangen van T-Mobile of een derde en of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is.

T-Mobile is wettelijk gehouden [verzoeker] kosteloos van deze informatie te voorzien.

T-Mobile stelt zich ten onrechte op het standpunt dat zij geen inzage hoeft te geven in gegevens die geanonimiseerd zijn geweest. Anonimiseren is een vorm van verwerken van persoonsgegevens. De geanonimiseerde persoonsgegevens zijn hoogstwaarschijnlijk nog steeds persoonsgegevens in de zin van de AVG.

T-Mobile en het CBS zijn gezamenlijk verantwoordelijk voor de gegevensverwerking als onderdeel van hun samenwerking. [verzoeker] heeft als betrokkene recht op inzage in de in dit verband op grond van de AVG tussen T-Mobile en het CBS op te stellen regeling. De ‘Overeenkomst pilot Statistische analyses op basis van het T-Mobile netwerk’ bevat niet, althans niet geheel de informatie die T-Mobile op grond van de AVG verplicht is aan [verzoeker] te verstrekken.

Het toepassen van een dwangsom is gerechtvaardigd. Ten eerste heeft [verzoeker] een groot belang bij de verzochte informatie en gegevens opdat hij zijn rechten in het kader van verwerking van zijn persoonsgegevens kan uitoefenen. Voorts blijft T-Mobile ondanks dat zij daartoe ruimvoldoende in de gelegenheid is gesteld in gebreke de verzochte informatie en gegevens te verstrekken. Tot slot staan de verzochte dwangsommen in verhouding tot de financiële draagkracht van T-Mobile.

4.3.

T-Mobile heeft gemotiveerd verweer gevoerd. Volgens T-Mobile is [verzoeker] in zijn verzoeken op grond van art. 12 tot en met 14 en 26 lid 2 AVG niet-ontvankelijk. Voor het overige heeft T-Mobile aangevoerd aan het verzoek op grond van art. 15 AVG te hebben voldaan. Ook heeft zij aangevoerd dat de verkeers- en locatiegegevens die op [verzoeker] betrekking hebben ten tijde van de CBS-pilot zijn gewist conform de Telecommunicatiewet en haar privacystatement.

4.4.

Op de overige stellingen van partijen wordt hierna, voor zover relevant, ingegaan.

5. De beoordeling

5.1.

Het verzoek betreft (ten dele) een verzoek zoals bedoeld in art. 35 Uitvoeringswet van de Algemene Verordening Gegevensbescherming (hierna: UAVG). [verzoeker] heeft zijn verzoekschrift gelet op het bepaalde in art. 35 lid 2 UAVG tijdig ingediend. Hij is in zoverre ontvankelijk in haar verzoek.

5.2.

T-Mobile heeft aangevoerd dat T-Mobile niet-ontvankelijk moet worden verklaard in zijn verzoeken onder A en D omdat dit vorderingen betreft die volgens T-Mobile met een dagvaarding moeten worden ingeleid.

Voor zover dat in dit geval had moeten gebeuren – de rechtbank oordeelt daar hieronder over – leidt dat niet tot het oordeel dat [verzoeker] in die vorderingen niet-ontvankelijk is, maar zal de rechtbank zo nodig toepassing moeten geven aan het bepaalde in art. 69 Wetboek van Burgerlijke Rechtsvordering (Rv) en [verzoeker] de mogelijkheid moeten bieden het verkeerd inleiden van de procedure te herstellen voor zover het die vorderingen betreft.

5.3.

De rechtbank stelt bij de verdere beoordeling het volgende voorop. Het gaat in deze procedure om de vraag of op T-Mobile een plicht rust om in het kader van de AVG bepaalde informatie te verstrekken c.q. antwoord te geven op bepaalde vragen.

De rechtbank oordeelt in deze procedure niet over de juistheid van eventueel door T-Mobile nog te verstrekken informatie.

De vraag of T-Mobile al dan niet (ook) uit eigen commerciële overwegingen heeft deelgenomen aan de pilot van het CBS (zie het hierboven geciteerde krantenartikel en randnummer 1.3 van de spreeknotities van [verzoeker] ) ligt niet in deze procedure ter beantwoording voor en in zoverre ook niet de juistheid van eventueel door T-Mobile te geven antwoorden op vragen naar bijvoorbeeld de verwerkingsdoeleinden en/of de rechtsgronden van de verwerking.

5.4.

De rechtbank zal hierna eerst de verzoeken onder B en C beoordelen en daarna de verzoeken onder A en D.

De verzoeken onder B en C

5.5.

Tussen partijen is niet in geschil dat T-Mobile (in het verleden) persoonsgegevens zoals bedoeld in art. 4 lid 1 AVG van [verzoeker] heeft verwerkt, en dat T-Mobile verwerkingsverantwoordelijke is zoals bedoeld in lid 7 van dat artikel en [verzoeker] is aan te merken als betrokkene in de zin van art. 15 lid 1 AVG.

Ook is tussen partijen niet in geschil dat het [verzoeker] in deze procedure niet gaat om de verwerking van zijn persoonsgegevens voor zover dat nodig is om uitvoering te geven aan de overeenkomst tussen partijen (met inbegrip van de maandelijkse facturatie).

Het gaat [verzoeker] om de verwerking van zijn persoonsgegevens door T-Mobile ten behoeve van de pilot met het CBS.

5.6.

Artikel 15 AVG luidt:

1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

a) de verwerkingsdoeleinden;

b) de betrokken categorieën van persoonsgegevens;

c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;

e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het

recht tegen die verwerking bezwaar te maken;

f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;

g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;

h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de

doorgifte.

3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.

5.7.

T-Mobile heeft aangevoerd dat bij de beoordeling van de verzoeken moet worden uitgegaan van de verzoeken zoals [verzoeker] deze op 12 maart 2021 heeft gedaan. Het is immers tegen de beslissing door T-Mobile op deze verzoeken waartegen [verzoeker] nu in rechte opkomt, aldus T-Mobile. Dat standpunt is juist.

5.8.

In de brief van 12 maart 2021 van [verzoeker] aan T-Mobile staat waar het gaat om de door hem gewenste inzage in de volgens hem verwerkte persoonsgegevens:

“Aldus ontvang ik graag van u – vanwege artikel 26 lid 2 AVG maar ook, voor zover nodig, artikelen 12 t/m 15 AVG in ieder geval informatie over:

 de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn (of worden verwerkt),

 de categorieën van persoonsgegevens die zijn (of worden) verwerkt;

 de rechtsgrond voor de verwerkingen, inclusief informatie over de gerechtvaardigde belangen van de verwerkingsverantwoordelijken indien de ‘sub f’ rechtsgrond van toepassing is.

 de (beoogde) ontvangers aan wie de persoonsgegevens zijn (of worden) verstrekt;

 de periode waarin de gegevens zijn (of worden) verwerkt c.q. opgeslagen;

 het bestaan van geautomatiseerde besluitvorming, waaronder begrepen de in artikel 22 lid 1 en 4 AVG bedoelde profilering alsook nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerkingen voor mij als betrokkene;

 alle beschikbare informatie over de (beoogde) bron en/of bronnen waar de persoonsgegevens vandaan zijn (of zouden zijn) gekomen;

 of de persoonsgegevens zijn (of worden) verwerkt in een derde land, en zo ja – welke passende waarborgen er zijn getroffen ex artikel 46 AVG inzake internationale doorgifte.

Daarnaast verzoek ik u mij alle overige relevante informatie te verschaffen, waaronder duidelijke en volledige informatie over de verwerkingen gerelateerd aan de verschillende fasen van de (beoogde) gegevensverwerking en de rollen van de hiermee gemoeide actoren, zoals TMNL en het CBS.”

“Daarnaast doe ik een beroep op mijn recht op inzage in de over mij verwerkte gegevens. Meer specifiek verzoek ik inzage te verkrijgen in de persoonsgegevens die op mij betrekking hebben en die zijn verwerkt in het kader van de samenwerking tussen TMNL en het CBS.”

5.9.

Aldus verzoekt [verzoeker] om inzage in te krijgen in zijn verwerkte persoonsgegevens (indien aan de orde) en de informatie bedoeld in artikel 15 lid 1 onder a, b, c, d, g, h AVG.

5.10.

T-Mobile voert aan dat geen sprake is geweest van de verwerking van de persoonsgegevens waar [verzoeker] om verzoekt. Zij verwijst naar de reactie van T-Mobile van 29 april 2021.

5.11.

[verzoeker] stelt dat ook het anonimiseren van persoonsgegevens valt onder de definitie van het begrip ‘verwerken’ zoals gedefinieerd in artikel 4 lid 2 AVG:

““verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;”

5.12.

Ook heeft hij erop gewezen dat de AVG het begrip ‘pseudonimisering’ kent (art. 4 lid 5” :

““pseudonimisering”: het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld;”

5.13.

De rechtbank is van oordeel dat T-Mobile in het kader van de pilot met het CBS persoonsgegevens heeft verwerkt, al was het maar door T-Mobile ter beschikking staande locatiegegevens van klanten te anonimiseren en onder te brengen in “geanonimiseerde en geaggregeerde bewegingspatronen” die aan zij het CBS ter beschikking heeft gesteld.

Ook het al dan niet selecteren van persoonsgegevens om al dan niet opgenomen te worden in de aan het CBS ter beschikking te stellen datasets betreft het verwerken van de persoonsgegevens zoals bedoeld onder de AVG.

Tot nu toe is onduidelijk gebleven of T-Mobile gegevens van al haar klanten met een mobiele telefoonabonnement en van wie zij (door het gebruiken van de mobiele telefoon) locatiegegevens in haar bezit heeft gekregen heeft gebruikt voor de dataset of dat hierin een beperking is aangebracht.

De rechtbank is voorts van oordeel dat T-Mobile onvoldoende aannemelijk heeft gemaakt dat zij in het kader van de pilot geen persoonsgegevens van [verzoeker] zou hebben verwerkt.

T-Mobile heeft ter zitting nog betoogd dat uit de tekst van artikel 15 lid 1 AVG volgt dat T-Mobile niet verplicht is tot het verstrekken van informatie over in het verleden verwerkte (gepseudonimiseerde) persoonsgegevens.

Deze lezing van art. 15 AVG getuigt van een onjuiste rechtsopvatting.

Dit betekent dat T-Mobile op grond van de AVG aan [verzoeker] de informatie moet geven zoals bedoeld in artikel 15 lid 1 onder a, b, c, d, g, h AVG en in art. 26 lid 2 AVG.

5.14.

In dat verband zal T-Mobile in ieder geval aan [verzoeker] de precieze aard (en herkomst) moeten duiden van de persoonsgegevens die in het kader van de pilot met het CBS door haar zijn verwerkt (bijvoorbeeld locatiegegevens aan de hand van GPS- of andere gebruikelijke coördinaten, IMSI-nummers enzovoorts).

Simpel gesteld zal T-Mobile op transparante wijze inzichtelijk moeten maken welke persoonsgegevens zij heeft verwerkt ten behoeve van de aan het CBS ter beschikking gestelde datasets en waar deze gegevens precies vandaan kwamen. T-Mobile zal als vormgever van de datasets (nog) moeten weten welke soort (persoons)gegevens in de datasets zijn c.q. waren opgenomen.

In zoverre zal de rechtbank het verzoek van [verzoeker] voor zover dat gebaseerd is op het bepaalde in artikel 15 AVG toewijzen.

5.15.

T-Mobile stelt dat zij de data die zij in het kader van de pilot met het CBS heeft geanonimiseerd en daarna ter beschikking heeft gesteld van het CBS onder meer vanwege wettelijke verplichtingen heeft gewist en niet meer in haar bezit heeft en dat zij dus ook die persoonsgegevens zelf geen inzage meer kan geven

[verzoeker] heeft aangevoerd dat T-Mobile daarvan geen bewijs heeft overgelegd, bijvoorbeeld in de vorm van log-gegevens of verklaringen van IT-auditors en houdt het voor mogelijk dat de datasets nog steeds ergens in de it-infrastructuur of daarbuiten zijn opgeslagen.

De rechtbank zal in dit verband T-Mobile in de gelegenheid stellen ter zake een verklaring van haar directie over te leggen, bijvoorbeeld – door haar directeur IT & Technology en/of haar directeur Juridische Zaken, Regelgeving en Public Affairs (zie: https://www.t-mobile.nl/over-ons/organisatie) en beslissing op dit punt aanhouden.

De verzoeken onder A en D

5.16.

De rechtbank zal eerst bezien of de verzoeken onder A en D in het kader van deze procedure kunnen worden beoordeld. T-Mobile heeft ten eerste aangevoerd dat deze verzoeken thuishoren in een dagvaardingsprocedure, omdat zij niet onder de reikwijdte van art. 35 UAVG vallen en dat de wetgever nergens heeft bepaald dat een vordering tot nakoming van de informatieverplichtingen bedoeld in art. 12 tot en met 14 en art. 26 lid 2 AVG ook door middel van een verzoekschrift kan worden ingeleid. Het wel meenemen van die verzoeken in de onderhavige procedure is volgens T-Mobile in strijd met het legaliteitsbeginsel omdat de verzoekschriftprocedurerechter daartoe de bevoegdheid mist. Een dagvaardingsprocedure leidt volgens T-Mobile niet tot strijd met de Rewe-beginselen (ECLI:EU:C:1976:188). Verder heeft T-Mobile aangevoerd dat het relatief eenvoudig is om vast te stellen of een verwerkingsverantwoordelijke gehoor heeft gegeven aan een verzoek om inzage, maar geldt dat niet voor verdergaande vorderingen op grond van de AVG. Die zouden volgens T-Mobile al snel uitvoerig en complex zijn. Vorderingen op grond van artikel 13 en 14 AVG zijn dergelijke vorderingen, aldus T-Mobile.

[verzoeker] heeft in zijn verzoekschrift gesteld en ter zitting herhaald dat het bepaalde in art. 35 UAVG eveneens dient te gelden voor verzoeken die (deels) gebaseerd zijn op andere artikelen van de AVG, voor zover die verzoeken betrekking hebben op de uitoefening van de rechten van betrokkenen zoals [verzoeker] . Zou dit niet het geval zijn, dan is het gevolg aldus [verzoeker] , dat hij een separate procedure aanhangig dient te maken. Dit is volgens [verzoeker] ongewenst gelet op het hoge beschermingsniveau dat de AVG en daarmee ook de UAVG aan betrokkenen toekent, alsook om proceseconomische redenen. Ter zitting heeft [verzoeker] toegelicht dat de door hem gevraagde informatie betrekkelijk eenvoudig door T-Mobile kan worden gegeven.

5.17.

Art. 79 AVG lid 1 luidt:

“Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet.”

5.18.

Blijkens de wetsgeschiedenis van de UAVG heeft de wetgever geen aandacht besteed aan de vraag welke rechtsingang een betrokkene moet kiezen en welke (civielrechtelijke) rechtsbescherming er geldt als hij nakoming wenst van een in de AVG neergelegde informatieplicht van een verwerkingsverantwoordelijke jegens een betrokkene, voor zover het niet gaat om de informatieverplichtingen bedoeld in artikel 15 tot en met 22 AVG. Wettelijk uitgangspunt is dat vorderingen worden ingesteld door middel van een dagvaarding (vgl. art. 78 lid 1 jo. 261 lid 2 Rv).

5.19.

In ECLI:NL:RBAMS:2020:7536 heeft de rechtbank Amsterdam onder verwijzing naar de door de verzoekers in die procedure aangehaalde uitspraak van het gerechtshof Den Haag (ECLI:NL:GHDHA:2015:2332) overwogen:

“De rechtbank is met [verzoekers] van oordeel, dat ook naar huidig recht, ondanks het feit dat artikel 82 AVG niet is genoemd in artikel 35 UAVG, niet uitgesloten is dat (materiële en immateriële) schadevergoeding ex artikel 82 AVG – die blijkens punt 146 van de considerans bij de AVG volledig en daadwerkelijk moet zijn –, indien deze wordt gevraagd bij hetzelfde verzoekschrift dat het verzoek ex artikel 35 UAVG bevat, in die procedure ook behandeld en toegekend kan worden. Dat neemt niet weg dat, zoals ook uit de onder 2.8 genoemde beschikking blijkt, deze mogelijkheid is gegeven, omdat de oorspronkelijke reden om dat niet mogelijk te maken (te weten dat de bewijsregeling naar toenmalig recht van de verzoekschriftprocedure hierop niet was afgestemd) intussen was vervallen door invoering van (het huidige) artikel 284 lid 1 Rv, waarin is bepaald dat het bewijsrecht van de dagvaardingsprocedure ook in de verzoekschriftprocedure van toepassing is. Daarbij past de kanttekening dat het slot van die bepaling luidt: “tenzij de aard van de zaak zich hiertegen verzet”. Dit is met name van belang gezien hetgeen hiervoor is overwogen over de procedure ex artikel 35 UAVG dat deze snel en eenvoudig moet verlopen, terwijl begroting van schade doorgaans niet snel en eenvoudig geschiedt. Dit brengt de rechtbank tot het oordeel dat het verzoek tot vergoeding van schade in een verzoekschriftprocedure ex artikel 35 UAVG alleen kan worden behandeld voor zover schade is geleden als gevolg van een (vaststaande of eenvoudig vast te stellen) rechtstreekse inbreuk op een of meer bepalingen van de AVG, deze schade niet in een verder verwijderd verband hiermee staat en eenvoudig valt vast te stellen. Het zal dan dikwijls gaan om vergoeding van kosten die verzoeker heeft gemaakt als gevolg van met de bepalingen van de AVG strijdige handelingen van de verwerker of verwerkingsverantwoordelijke, zoals de rechtspraak tot nu toe ook uitwijst. Vergoeding van inkomensschade zal hier in de regel buiten vallen, evenals, zoals hier eveneens verzocht, vergoeding van overige schade als gevolg van deactivering van het Uber-account van verzoekers, nog daargelaten dat dit in deze zaak mogelijk naar ander recht dan het Nederlandse beoordeeld dient te worden. Hiervoor blijft de gewone (dagvaardings)procedure open staan.”

5.20.

De rechtbank sluit zich aan bij de hiervoor weergegeven overwegingen en vindt dat gezien deze overwegingen moet worden geoordeeld dat ook de verzoeken zoals [verzoeker] deze onder A en D heeft gedaan in beginsel kunnen worden meegenomen in een procedure op de voet van art. 35 UAVG.

Het gaat anders dan T-Mobile aanvoert om het nakomen van relatief eenvoudige, maar in het licht van de AVG essentiële informatieverplichtingen die op grond van de AVG op T-Mobile (kunnen) rusten.

5.21.

Het is gelet op wat hiervoor is overwogen dan ook niet nodig [verzoeker] te verwijzen naar de civiele dagvaardingsprocedure.

De verzoeken onder A en D

5.22.

De rechtbank zal nu beoordelen of de verzoeken van [verzoeker] onder A en D moeten worden toegewezen.

5.23.

T-Mobile heeft ter zitting naast haar eerdere niet-ontvankelijkheidsverweer aangevoerd dat het [verzoeker] ten eerste ontbreekt aan voldoende procesbelang en voor zover dit belang er wel zou zijn dat [verzoeker] met de door hem verzochte informatie al bekend is en dat het bepaalde in art. 26 lid 2 AVG niet van toepassing is.

5.24.

T-Mobile heeft erop gewezen dat [verzoeker] kennis heeft genomen van het privacy-statement van T-Mobile, het persstatement en de overeenkomst tussen T-Mobile en het CBS.

[verzoeker] heeft in zijn verzoekschrift gesteld dat de overeenkomst waar het gaat om het bepaalde in artikel 26 lid 2 AVG niet althans, niet geheel de informatie bevat die T-Mobile aan hem moet verschaffen. Volgens [verzoeker] bevat de overeenkomst geen informatie over de gegevens die de verwerkingsverantwoordelijke(n) moet(en) verstrekken op grond van artikelen 13 en 14 AVG, waaronder begrepen de doelen van de gegevensverwerkingen, bewaartermijnen, verstrekkingen aan derde-partijen. Ook blijkt uit de overeenkomst niet hoe de onderlinge verantwoordelijkheid is verdeeld, hetgeen volgens [verzoeker] neerkomt op het uitleg over de fases van de gegevensverwerking en de hierbij betrokken partijen.

5.25.

De rechtbank overweegt als volgt. De eerste vraag die ten aanzien verzoek D moet worden beantwoord is of sprake is van gezamenlijke verwerkingsverantwoordelijken zoals bedoeld in art. 26 AVG. De eerste volzin van lid 1 van dat artikel luidt:

“Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken.”

5.26.

[verzoeker] heeft gemotiveerd gesteld dat T-Mobile en het CBS gezamenlijke verwerkingsverantwoordelijken zijn en T-Mobile heeft dat niet betwist.

[verzoeker] noch T-Mobile heeft de overeenkomst tussen T-Mobile en het CBS in het geding gebracht. De rechtbank heeft vastgesteld dat deze overeenkomst nog vindbaar is op de website van T-Mobile (zie: https://www.t-mobile.nl/company/media/pdf/Overeenkomst %20pilot%20CBS%20T-Mobile.pdf ), maar het is niet aan de rechtbank deze overeenkomst eigenstandig te beoordelen in het licht van het bepaalde in art. 13, 14 en 26 AVG.

5.27.

De rechtbank zal T-Mobile in de gelegenheid stellen de overeenkomst alsnog in het geding te brengen en toe te lichten waar in die overeenkomst de wezenlijke inhoud van de onderlinge regeling bedoeld in art. 26 AVG is terug te vinden. De rechtbank wijst T-Mobile erop dat op grond van art. 12 AVG de aan een betrokkene te verstrekken informatie

in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in

duidelijke en eenvoudige taal ter beschikking moeten stellen. Een zakelijke overeenkomst tussen twee rechtspersonen zal mogelijk niet aan die norm voldoen. Daaraan doet niet af dat [verzoeker] advocaat is. [verzoeker] zal daarna in de gelegenheid worden gesteld daarop te reageren.

5.28.

Ten aanzien van het verzoek onder A overweegt de rechtbank dat het persstatement in onvoldoende mate een antwoord geeft op alle vragen zoals vermeld in het verzoek onder A. Voorts had van T-Mobile in het kader van deze procedure mogen worden verwacht dat voor zover zij meent dat de verzochte informatie is terug te vinden in haar privacystatement of in de overeenkomst zij dit concreet had toegelicht. Dit heeft T-Mobile naar het oordeel van de rechtbank tot nu toe onvoldoende gedaan. De rechtbank zal uit proceseconomische overwegingen T-Mobile in staat stellen de vragen van het verzoek onder A tegelijkertijd te beantwoorden bij het in het geding brengen van de overige stukken.

5.29.

Iedere verdere beslissing wordt aangehouden

6. De beslissing

De rechtbank

6.1.

stelt T-Mobile in de gelegenheid om uiterlijk 30 maart 2022 in het geding te brengen:

 de verklaring zoals bedoeld onder 5.15 ter zake het wissen van de verwerkte persoonsgegevens;

 de overeenkomst inzake de pilot tussen T-Mobile en het CBS;

 het privacystatement waarnaar T-Mobile [verzoeker] heeft verwezen;

 een schriftelijke toelichting dat met het verstrekken van het privacystatement, het persstatement van 11 maart 2021 en de overeenkomst tussen T-Mobile met het CBS is voldaan aan de op haar rustende verplichtingen op grond van art. 13, 14 en 26 AVG;

 (indien T-Mobile dat opportuun acht) bij voorbaat de informatie zoals bedoeld onder 5.13 en 5.14 (de door [verzoeker] verzochte informatie uit hoofde van art. 15 AVG).

6.2.

[verzoeker] zal hierna in de gelegenheid worden gesteld schriftelijk op de door T-Mobile in brengen stukken te reageren.

6.3.

Iedere verdere beslissing wordt aangehouden.

Deze beschikking is gegeven door mr. E.J.C. Adang en in het openbaar uitgesproken op 2 maart 2022.