ECLI:NL:RBMNE:2023:7757

Uitspraak

RECHTBANK MIDDEN-NEDERLAND

Zittingsplaats Utrecht

Bestuursrecht

zaaknummer: UTR 22/4243

uitspraak van de enkelvoudige kamer van 6 oktober 2023 in de zaak tussen

[eiseres] , uit [plaats] , eiseres

(gemachtigde: M.J. Fuks),

Autoriteit Persoonsgegevens, de AP

(gemachtigde: mr. W. van Steenbergen en mr. J.M.A. Koster).

Inleiding

1. In deze uitspraak beoordeelt de rechtbank het beroep van eiseres tegen de afwijzing van de klacht van eiseres, waarbij zij de AP heeft verzocht om corrigerende maatregelen te treffen tegen International Card Services B.V. (ICS).

1.1.

De AP heeft het verzoek van eiseres met het besluit van 23 juni 2022 afgewezen (het bestreden besluit). Op 19 juli 2022 heeft eiseres bij de AP bezwaar gemaakt tegen het primaire besluit. De AP heeft dit met toepassing van artikel 7:1a van de Algemene wet bestuursrecht (Awb) als een rechtstreeks beroep aan de rechtbank toegezonden.

1.2.

ICS heeft te kennen gegeven niet als partij aan deze procedure deel te nemen.

1.3.

De AP heeft een verweerschrift ingediend. Eiseres heeft nog nadere stukken ingediend.

1.4.

De rechtbank heeft het beroep op 8 augustus 2023 op zitting behandeld. Hieraan hebben deelgenomen: de gemachtigde van eiseres en de gemachtigden van de AP. De rechtbank heeft vervolgens het onderzoek gesloten en partijen meegedeeld dat binnen zes weken uitspraak zou worden gedaan. Deze termijn heeft de rechtbank niet gehaald. De rechtbank doet vandaag uitspraak.

Beoordeling door de rechtbank

Inleiding

2. Op 24 september 2020 heeft eiseres een klacht ingediend bij de AP vanwege overtreding van de Algemene verordening gegevensbescherming (AVG) door ICS. Ter onderbouwing van haar klacht verwijst eiseres naar de inhoud van een civiele dagvaarding en diverse andere stukken uit de civiele procedure die eiseres tegen ICS voert. De klacht houdt – samengevat – in dat ICS bij het vaststellen van de identiteit van eiseres middels een online identificatieprocedure onrechtmatig gegevens van eiseres heeft verwerkt, dat ICS eiseres vervolgens onjuist over deze verwerkingen heeft geïnformeerd, dat ICS de persoonsgegevens van eiseres onvoldoende heeft beveiligd en dat ICS onrechtmatig derde (commerciële) partijen heeft ingeschakeld voor voornoemde verwerkingen. Eiseres heeft de AP verzocht om een boete op te leggen aan ICS.
Besluit van de AP

3. Bij besluit van 23 juni 2022 heeft de AP de klacht en het verzoek afgewezen. De AP heeft de klacht van eiseres onderzocht en op basis van de beschikbare informatie niet kunnen vaststellen of er sprake is van een overtreding van de AVG. Daarvoor is nader onderzoek nodig. Uit artikel 57 van Pro de AVG volgt dat de AP verplicht is om de inhoud van de klacht te onderzoeken in de mate waarin dat gepast is. Omdat de AP vanwege de beperkte onderzoekscapaciteit niet álle klachten kan onderzoeken heeft zij de ‘Beleidsregels prioritering klachtenonderzoek AP’ (de Beleidsregels) opgesteld. Op basis van die Beleidsregels oordeelt de AP dat de klacht van eiseres niet aan de zogeheten prioriteringscriteria voldoet en daarom niet in aanmerking komt voor nader onderzoek. Volgens de AP heeft de gestelde overtreding weliswaar een relatief grote impact op de bescherming van de persoonsgegevens van eiseres maar de klacht ziet niet op een van de door de AP geformuleerde aandachtspunten: datahandel, digitale overheid en artificiële intelligentie & algoritmes. Ook is naar het oordeel van de AP nader onderzoek en optreden door de AP niet doeltreffend en doelmatig omdat eiseres over precies dezelfde (gestelde) gedragingen door ICS al een procedure bij de civiele rechter is gestart. Daarnaast heeft eiseres diverse andere toezichthouders en instanties gevraagd om een oordeel over de kwestie.
Standpunt van eiseres

4. Eiseres is het niet eens met het bestreden besluit. Zij voert – zakelijk weergegeven – aan dat de AP een boete moet opleggen omdat al vaststaat dat er sprake is van een overtreding door ICS. Volgens eiseres wordt dat namelijk door de AP en door ICS erkend. Daarnaast vindt eiseres dat de AP onterecht weigert om nader onderzoek te doen omdat de AP hiervoor beperkte middelen stelt te hebben. De AP dient voor voldoende financiering te zorgen en voor zover nodig biedt eiseres aan om de kosten van het onderzoek zélf te betalen. Daarbij merkt eiseres op dat het doen van nader onderzoek niet veel geld hoeft te kosten als het gaat om het versturen van een vragenlijst per e-mail of een onderzoek naar de techniek die wordt gebruikt voor de identificatie.

Ook voert eiseres aan dat haar klacht wel aan de aan de prioriteringscriteria uit het beleid voldoet. Haar klacht heeft naast een persoonlijke betekenis, ook een bredere maatschappelijke betekenis want wat voor ICS geldt, geldt voor alle banken die jarenlang dergelijke overtredingen hebben begaan, aldus eiseres. Hoewel eiseres het er niet mee eens dat er ‘aandachtspunten’ in het beleid van de AP zijn opgenomen, voldoet de klacht van eiseres aan de aandachtspunten voor de periode 2020-2023. De klacht van eiseres voldoet ook aan de voorwaarde van doeltreffendheid en doelmatigheid. Dat de klacht van eiseres onderdeel uitmaakt van een civiele procedure, maakt niet dat er voor ICS geen afschrikkend effect zou uitgaan van handhaving door de AP. Door eiseres’ klacht af te wijzen moet eenieder die getroffen is door het handelen van ICS op eigen initiatief en eigen kosten een procedure voeren. Dit vindt eiseres onredelijk.

Eiseres hoopt dat de rechtbank de AP zal dwingen hardhandig en ongenadig in te grijpen ten aanzien van ICS. Bij gegrondverklaring van het beroep moet de rechtbank bepalen dat de AP een boete oplegt aan ICS van 4% van de bruto jaaromzet, eventueel met een brief aan andere banken als waarschuwing.

Oordeel van de rechtbank

5. Zoals met partijen tijdens de zitting is besproken, gaat het in deze procedure over de vraag of de AP heeft kunnen afzien van het doen van nader onderzoek en of zij het verzoek van eiseres om een boete op te leggen, heeft mogen afwijzen. De rechtbank zal in dat kader beoordelen of de AP de inhoud van de klacht van eiseres heeft onderzocht in de mate waarin dat gepast is. Daartoe is de AP gehouden gelet op artikel 57, eerste lid, aanhef en onder f, van de AVG.

6. De rechtbank stelt voorop dat het niet zo is dat de AP impliciet of expliciet heeft aangenomen (‘erkend’, zoals eiseres stelt) dat sprake is van een overtreding van de AVG door ICS. Dit blijkt namelijk niet uit het dossier en is op zitting ook niet gebleken. Voor de stelling van eiseres dat ICS overtreding van de AVG heeft erkend vindt de rechtbank evenmin aanknopingspunten in het dossier. Voor zover eiseres heeft gesteld dat de AP alleen al om deze reden een boete moet opleggen aan ICS geeft de rechtbank eiseres dan ook geen gelijk.

7. De AP heeft uitgelegd op welke manier onderzoek plaatsvindt naar aanleiding van een klacht. Zij heeft uiteengezet dat een klacht in fase I eerst wordt getoetst aan de formele eisen uit de Awb en AVG. Indien aan die formele eisen is voldaan, vindt aansluitend een globaal bureauonderzoek plaats. Op grond van dat bureauonderzoek wordt beoordeeld of aannemelijk is dat zich een overtreding van de AVG heeft voorgedaan of voordoet. Als uit het onderzoek volgt dat sprake is van een overtreding, dan kan daartegen handhavend worden opgetreden. Als uit het onderzoek volgt dat zich
mogelijkeen overtreding heeft voorgedaan, dan wordt de klacht in fase II getoetst aan prioriteringscriteria om te beoordelen of een uitgebreid onderzoek moet worden gedaan in fase III. Daarna wordt in fase IV eventueel tot handhaving overgegaan.

8. De rechtbank vindt het, in navolging van rechtspraak van de hoogste bestuursrechter in dit soort zaken, niet onredelijk dat verweerder in fase I toetst of een klacht aan de formele eisen uit de Awb en AVG voldoet en dat zij aan de hand van een globaal bureauonderzoek beoordeelt of zich (mogelijk) een overtreding heeft voorgedaan.^[1]

9. Volgens de AP doet zich in deze zaak de situatie voor dat uit het bureauonderzoek (fase I) volgt dat zich mogelijk een overtreding heeft voorgedaan, zodat vervolgens moet worden getoetst aan de prioriteringscriteria (fase II). De rechtbank zal beoordelen of de AP zich terecht op dit standpunt stelt.

10. Volgens eiseres staat vast dat ICS de AVG heeft overtreden. Dat eiseres dat vindt, is echter niet bepalend voor de vraag of de AP bevoegd was om aan de prioriteringscriteria te toetsen. Ook is voor de beoordeling niet relevant dat eiseres vindt dat de AP ervoor moet zorgen dat zij beschikt over zodanige financiële middelen dat het voeren van prioriteringscriteria onnodig zou worden. Dat eiseres zich bereid heeft verklaard om de kosten van een nader onderzoek door de AP voor haar rekening te nemen, heeft de AP terecht niet bij haar besluit betrokken. De AP is ingevolge artikel 6 van Pro de Uitvoeringswet AVG, gelezen in samenhang met de artikelen 51 en 52 van de AVG een onafhankelijke toezichthouder. Het aanbod van eiseres verdraagt zich niet met deze onafhankelijke rol.

11. De AP heeft de klacht van eiseres onderzocht aan de hand van de door haar aangeleverde informatie bestaande uit een groot aantal stukken uit haar civiele procedure tegen ICS.^[2]Naar het oordeel van de rechtbank heeft de AP op basis van dit onderzoek mogen concluderen dat zich de situatie voordoet dat mogelijk sprake is van een overtreding maar dat nader onderzoek nodig is om de overtreding vast te stellen. Volgens de AP staat het niet vast dat de persoonsgegevens van eiseres zijn verwerkt op de wijzen die eiseres als onrechtmatig beschouwt, dan wel op een manier die in strijd is met de AVG. De AP heeft naar het oordeel van de rechtbank kunnen overwegen dat zij daartoe nadere vragen aan ICS zou moeten stellen en een technisch onderzoek zou moeten starten naar de techniek die wordt gebruikt voor identificatie en naar de technische en organisatorische maatregelen die worden genomen om persoonsgegevens te beveiligen.
In het bestreden besluit heeft verweerder daarom terecht besloten de klacht vervolgens te toetsen aan de prioriteringscriteria. Dat eiseres vindt dat het benodigde onderzoek eenvoudig van aard is en niet kostbaar – daargelaten of dat zo is, doet daaraan niet af.

12. De rechtbank beoordeelt vervolgens of de AP heeft mogen afzien van nader onderzoek of handhaving. In de Beleidsregels is bepaald dat als de klacht of het verzoek om handhaving onvoldoende aan de prioriteringscriteria voldoet, de klacht niet verder wordt behandeld dan wel het verzoek om handhaving wordt afgewezen.

12. De rechtbank is van oordeel dat de AP voldoende heeft gemotiveerd dat de klacht in onvoldoende mate voldoet aan de prioriteringscriteria. In de eerste plaats heeft de AP kunnen overwegen dat de door eiseres gestelde overtreding, de verwerking van bijzondere persoonsgegevens in strijd met de AVG, op eiseres een relatief grote impact heeft. Naar het oordeel van de rechtbank heeft de AP dit echter niet doorslaggevend hoeven vinden.
Daarbij heeft de AP mogen betrekken dat de klacht geen betrekking heeft op de aandachtspunten die zij voor de periode 2020-2023 heeft vastgesteld, te weten: datahandel, digitale overheid en artificiële intelligentie & algoritmes.^[3]Ook heeft de AP mogen concluderen dat nader onderzoek niet doeltreffend en doelmatig is omdat eiseres bij de civiele rechter een procedure voert over dezelfde gedragingen als waarover de AP in deze zaak moet oordelen. In dat kader heeft de AP mogen betrekken dat ICS eiseres heeft gewezen op een alternatieve methode om te voldoen aan de door ICS gevraagde identificatie, waarbij zij geen gebruik hoeft te maken van de gewraakte online identificatieprocedure. Daarmee is nader onderzoek niet de meest aangewezen weg om het geschil tussen eiseres en ICS op te lossen terwijl dergelijk onderzoek een groot beslag legt op de beschikbare capaciteit en financiële middelen. Dat van het opleggen van corrigerende maatregelen ook een extern effect zou kunnen uitgaan, zoals eiseres stelt, maakt niet dat verweerder tot een andere afweging moest komen in deze zaak.

14. Het voorgaande leidt tot de conclusie dat AP de klacht van eiseres in voldoende mate heeft onderzocht en mocht besluiten de klacht en het verzoek van eiseres niet verder te behandelen en geen corrigerende maatregelen op te leggen aan ICS. Wat eiseres verder heeft aangevoerd leidt niet tot een ander oordeel.

Conclusie en gevolgen

15. Het beroep is ongegrond. Eiseres krijgt geen gelijk. Eiseres krijgt daarom het griffierecht niet terug. Zij krijgt ook geen vergoeding van haar proceskosten.

Beslissing

De rechtbank verklaart het beroep ongegrond.

Deze uitspraak is gedaan door mr. O. Veldman, rechter, in aanwezigheid van mr. K.E. Pruntel, griffier. De uitspraak is uitgesproken in het openbaar op 6 oktober 2023.

griffier

rechter

Een afschrift van deze uitspraak is verzonden aan partijen op:

Informatie over hoger beroep

Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen.

Afwijzing beroep tegen weigering nader onderzoek en boete door Autoriteit Persoonsgegevens