Telecombedrijf T-Mobile kwam in 2021 in het nieuws omdat het datasets met persoonsgegevens van klanten aan het CBS verschafte, zo bleek uit een artikel in het NRC van 1o maart 2021. Volgens dat artikel volgde T-Mobile vanaf 2017 de bewegingen van grote groepen Nederlanders.
Een advocaat die privé klant van dit telecombedrijf is stuurde naar aanleiding van deze berichten een brief aan T-Mobile waarin werd verzocht om inzage in zijn persoonsgegevens [1]:

Ik moet een compleet beeld kunnen vormen over de verwerkingen van mijn persoonsgegevens. Daarom verzoek ik u de informatie zo gedetailleerd mogelijk te verstrekken. Denk aan specifieke locatiegegevens, zoals – maar niet beperkt tot – GPS-coördinaten en cartografische data, en andere relevante gegevens zoals verkeersgegevens en/of gegevens gerelateerd aan bijvoorbeeld IMSI, IMEI, MAC-adres(sen), etc. alsook aanverwante informatie over data en tijdstip(pen).

In reactie op dit verzoek liet T-Mobile de advocaat weten dat zij geen persoonsgegevens van individuele klanten zou hebben gedeeld met het CBS.

Verzoeken
Daar nam de advocaat geen genoegen mee. Hij diende een verzoek bij de Rechtbank Oost-Brabant, waarin hij verzocht om T-Mobile te bevelen aan hem informatie te verschaffen over [2]:

* de verwerkingsdoeleinden;
* de betrokken categorieën van persoonsgegevens;
* de ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt;
* indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dit niet mogelijk is, de criteria om die termijn te bepalen;
* wanneer de persoonsgegevens niet bij T-Mobile zin verzameld, alle beschikbare informatie over de bron van die gegevens;
* het bestaan van geautomatiseerde besluitvorming, en, indien dergelijke besluitvorming, van toepassing is, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [verzoeker];

en diverse andere vorderingen, onder meer inzage in de wezenlijke inhoud van de regeling tussen het CBS en T-Mobile. Dit verzoek leidt tot twee uitspraken.

Informatieverschaffing door T-Mobile
De rechtbank oordeelt in de eerste uitspraak dat T-Mobile in het kader van het project met het CBS persoonsgegevens heeft verwerkt en daarom op grond van de AVG bepaalde informatie moet verschaffen [3]:

In dat verband zal T-Mobile in ieder geval aan [verzoeker] de precieze aard (en herkomst) moeten duiden van de persoonsgegevens die in het kader van de pilot met het CBS door haar zijn verwerkt (bijvoorbeeld locatiegegevens aan de hand van GPS- of andere gebruikelijke coördinaten, IMSI-nummers enzovoorts).
Simpel gesteld zal T-Mobile op transparante wijze inzichtelijk moeten maken welke persoonsgegevens zij heeft verwerkt ten behoeve van de aan het CBS ter beschikking gestelde datasets en waar deze gegevens precies vandaan kwamen. T-Mobile zal als vormgever van de datasets (nog) moeten weten welke soort (persoons)gegevens in de datasets zijn c.q. waren opgenomen.

Nu T-Mobile stelt de gegevens te hebben gewist, wordt zij door de rechtbank in staat gesteld daarover bewijs te verschaffen.

Voorts bespreekt de rechtbank T-Mobile en CBS gezamenlijke verwerkingsverantwoordelijken waren in het CBS-project en zij dus samen verplicht zijn tot het verschaffen van de informatie aan telefoonabonnees zoals in artikel 12 AVG is voorgeschreven. In de eerste uitspraak stelt de rechtbank T-Mobile in de gelegenheid om in het geding te brengen [4]:

– de verklaring ter zake het wissen van de verwerkte persoonsgegevens van het CBS-project;
– de overeenkomst inzake de pilot tussen T-Mobile en het CBS;
– het privacystatement waarnaar T-Mobile heeft verwezen;
– een schriftelijke toelichting dat met het verstrekken van het privacystatement, het persstatement van 11 maart 2021 en de overeenkomst tussen T-Mobile met het CBS is voldaan aan de op haar rustende verplichtingen op grond van art. 13, 14 en 26 AVG;
– (indien T-Mobile dat opportuun acht) bij voorbaat de informatie zoals bedoeld onder 5.13 en 5.14 (de door [verzoeker] verzochte informatie uit hoofde van art. 15 AVG).

Informatie over geautomatiseerde besluitvorming ontbreekt
Begin augustus dit jaar wordt de einduitspraak gewezen. Daaruit blijkt dat T-Mobile stukken heeft overgelegd, waarmee gedeeltelijk aan de AVG-verplichtingen is voldaan. Voorts heeft T-Mobile de rechtbank er van overtuigd dat de gegevens verzameld voor het CBS-project daadwerkelijk zijn gewist.

Echter, wat nog ontbreekt is de gevraagde informatie over geautomatiseerde besluitvorming, met inbegrip van profilering, en – voor zover dergelijke besluitvorming plaats vindt – nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de telefoonabonnee. Dat leidt er toe dat de rechtbank in de einduitspraak de volgende beslissing geeft:

beveelt T-Mobile om binnen twee maanden na betekening van de beschikking ten aanzien van de in het verzoekschrift bedoelde verwerkingen van persoonsgegevens [verzoeker] informatie te verschaffen over het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene

Tot slot
Ook telecombedrijven moeten zich aan de AVG houden en hun klanten alle door de AVG voorgeschreven informatie verschaffen.

Noten

[1] Eerste uitspraak, par. 3.5.
[2] Eerste uitspraak, par. 4.1.
[3] Eerste uitspraak, par. 5.13 en 5.14.
[4] Eerste uitspraak, par. 6.1.

Meer informatie:

• Eerste uitspraak Rechtbank Oost-Brabant 2 maart 2022 (tussenbeschikking)
• Einduitspraak Rechtbank Oost-Brabant 1 augustus 2022 (eindbeschikking)