Tegenwoordig verblijven steeds meer mensen permanent in een vakantiewoning. Dit varieert van chalets op de Veluwe tot kavels in de Oostvaardersplassen waar beperkt overnacht mag worden. Soms gaat dit lang goed, tot de gemeente een brief stuurt waarin wordt vermeld dat er een eind gemaakt gaat worden aan het permanente verblijf en de gemeente gaat handhaven.

Wanneer is permanent wonen toegestaan?

Veel mensen beseffen niet dat het in veel gevallen niet is toegestaan om permanent in een vakantiewoning te verblijven. Wanneer is eigenlijk  sprake van permanent verblijf? Volgens de Wet Basisregistratie Personen valt onder iemands woonadres de plaats waar naar redelijkheid te verwachten is dat de persoon het meest zal overnachten [1]. Voorts geeft deze wet aan dat indien iemand gedurende  een half jaar twee derde van zijn verblijf in Nederland doorbrengt hij zich binnen 5 dagen na aanvang moet inschrijven in de basisregistratie personen bij de gemeente.[2] Hieruit kan men opmaken dat indien iemand langer dan 4 maanden per half jaar in een vakantiehuis woont, hij of zij  zich dient in te schrijven in de basisregistratie personen in de gemeente waarin hij die periode verblijft. De Raad van State heeft verscheidene malen geoordeeld dat de inschrijving in de Gemeentelijke basisregistratie personen een belangrijke aanwijzing is voor iemands hoofdverblijf, maar dit niet doorslaggevend is[3]. Het in mindering brengen van hypotheekrente kan ook een indicatie zijn dat sprake is van permanente bewoning. Andere indicaties zijn: telefoonaansluitingen, verbruiksgegevens nutsbedrijven, het hebben van een huisarts in de gemeente, lidmaatschap van (sport-)verenigingen en de controlegegevens van gemeentelijke controleurs. lees verder

Onderverhuur van woonruimte is in beginsel niet toegestaan. De verhuurder heeft er belang bij om onderverhuur te voorkomen. Hij wil immers weten wie gebruikmaakt van de woning en wat zijn kredietwaardigheid is. Om deze reden wordt een onderverhuurverbod vaak opgenomen in de huurovereenkomst. De huurder die de woning desondanks onderverhuurt loopt het risico een contractuele boete te moeten betalen. Daarnaast loopt de huurder op grond van de huurovereenkomst het risico dat hij alle door onderverhuur verkregen inkomsten aan de verhuurder moet afdragen. Vorig jaar heeft de Hoge Raad zich uitgelaten over de redelijkheid van het cumulatieve effect van de afdrachtsverplichting en het boetebeding.

In de zaak van de Hoge Raad van 8 september 2017 (zaaknummer ECLI:NL:HR:2017:2275) ging het om de huur van een woonruimte. In de huurovereenkomsten hadden de huurder en verhuurder afgesproken dat het de huurder niet vrij staat om de woning geheel of gedeeltelijk onder te verhuren. Op deze overtreding stond een boete gesteld van driemaal de huurprijs per dag met een minimum van € 45,-. Daarnaast stond in de huurovereenkomst opgenomen dat als de huurder zich schuldig maakt aan verboden onderverhuur, hij alle verkregen inkomsten aan de verhuurder moet afdragen.

Het Gerechtshof Amsterdam diende in deze zaak te beoordelen of de afdrachtverplichting in strijd was met de Europese richtlijn 93/13/EEG. Het doel van deze richtlijn is het beschermen van consumenten tegen oneerlijke bedingen in overeenkomsten met een professionele wederpartij. Het hof onderzocht in deze zaak of ieder afzonderlijk beding oneerlijk was in de zin van de richtlijn. Bij deze beoordeling kwam het hof tot het oordeel dat er geen sprake was van een oneerlijk beding in de zin van de richtlijn. Volgens het hof heeft het beding tot doel om hetgeen de huurder heeft ontvangen in strijd met het onderverhuurverbod weg te nemen. Om die reden was er volgens het hof geen sprake van een onevenredig hoge schadevergoeding.

De huurder gaat in cassatie. De Hoge Raad oordeelt dat het hof een verkeerde toets heeft gehanteerd door het boetebeding en het afdrachtsbeding afzonderlijk te beoordelen. De bedingen hadden volgens de Hoge Raad in samenhang moeten worden beoordeeld. De Hoge Raad verwijst hierbij naar het ‘Radlinger-arrest’. Uit dit arrest volgt dat bij het beoordelen van de vraag of het boetebeding en het afdrachtsbeding onredelijk bezwarend is, rekening gehouden moet worden met het cumulatieve effect van alle bedingen van een overeenkomst. Als blijkt dat de bedingen in samenhang onredelijk bezwarend zijn, dan zal de bepaling als oneerlijk beding aangemerkt worden. Het gevolg hiervan is dat de rechter het beding zal vernietigen en dat de huurder geen boete hoeft te betalen. Tevens ontkomt de huurder aan de winstafdracht. Óf de bedingen in de onderhavige zaak in samenhang onredelijk bezwarend zijn, moet het hof opnieuw gaan beoordelen. De Hoge Raad heeft de zaak terugverwezen naar het hof.

Op grond van bovenstaande jurisprudentie is het aan te bevelen om als verhuurder te controleren of uw huurcontract voor woonruimte in overeenstemming is met de Richtlijn. Hiermee wordt het risico op vernietigbaarheid voorkomen c.q. zoveel mogelijk beperkt.

R. van Domselaar en M. Chakhachiro

 

 

De Algemene Verordening Gegevensbescherming (AVG), internationaal bekend als de General Data Protection Regulation (GDPR), zal vanaf 25 mei 2018 grote veranderingen met zich meebrengen. Dit betreft met name regels op het gebied van gegevensbescherming. Per 25 mei 2018 zal dezelfde privacywetgeving gelden in de hele Europese Unie. Dit heeft als gevolg dat de Wet bescherming persoonsgegevens[1] (Wbp) niet meer toegepast mag worden.

In de Wet bescherming persoonsgegevens zijn de regels op het gebied van gegevensbescherming opgenomen. In deze wet zijn de waarborgen opgenomen die betrekking hebben op de wijze waarop persoonsgegeven kunnen en mogen worden verwerkt. De Algemene Verordening Gegevensbescherming zal de Richtlijn (95/46/EG) vervangen. De inhoud van veel Wbp bepalingen zijn ontleend aan deze richtlijn. [2]

Waarom worden de regels veranderd

Privacywetgeving wordt in het dagelijks (bedrijfs)leven steeds belangrijker. De privacywetgeving beweegt derhalve in zekere mate mee. Als gevolg van de digitalisering van de samenleving is er sprake van een enorme toename in dataverkeer. Daarnaast ontwikkelt de technologie zich razend snel. Dit brengt met zich mee dat er sprake is van toename in het verzamelen en delen van gegevens. Daarnaast zijn de cybercrime risico’s er volop vandaag de dag. Burgers vragen zich in het kader daarvan steeds meer af wat er met zijn of haar persoonsgegevens wordt gedaan. Dit heeft de Europese Commissie ertoe bewogen om op 25 januari 2012 een voorstel in te dienen voor een algemene verordening op het gebied van persoonsgegevens. [3] Volgens de Europese Commissie zullen de nieuwe regels het consumentenvertrouwen en daarmee het bedrijfsleven een impuls geven. [4]

Om wat voor gegevens gaat het

Bij de verwerking van de gegevens gaat het om de persoonsgegevens en bijzondere persoonsgegeven. Persoonsgegevens zijn alle gegevens over een geïdentificeerd of identificeerbaar natuurlijk persoon, zoals naam, adres, woonplaats, een IP-adres, telefoonnummers en facturen. Onder bijzondere persoonsgegevens vallen de gevoelige gegevens van burgers, zoals gegevens over iemands ras, godsdienst, politieke voorkeur, gezondheid en ziekte, strafrechtelijk verleden, lidmaatschappen en Burgerservicenummers.[5]

Voor wie geldt de AVG

De AVG is van toepassing als de dataverstrekker (de persoon) en/of de dataverwerker (de organisatie) in Europa woonachtig/gevestigd zijn. Dat betekent dat alle bedrijven in de Europese Unie moeten voldoen aan de verordening. Alle bedrijven werden geacht om vanaf 25 mei 2016 hun bedrijfsvoering in overeenstemming te brengen met de GDPR. Bedrijven kregen daarvoor twee jaar de tijd.

Wat betekent de AVG voor uw bedrijf

Als de AVG van toepassing is krijgen organisaties die persoonsgegevens verwerken meer verantwoordelijkheden. Organisaties moeten kunnen aantonen dat zij zich aan de wet houden. Zo moet u bijvoorbeeld kunnen aantonen dat een verwerking aan de belangrijkste beginselen voldoet, zoals rechtmatigheid, transparantie, doelbinding en juistheid. Daarnaast moet u kunnen laten zien dat u zowel de juiste technische als organisatorische maatregelen hebt genomen om de persoonsgegevens te waarborgen. Hierbij kan gedacht worden aan de pseudonimisering en versleuteling van persoonsgegevens.

Tevens zal het aanstellen van een functionaris voor de gegevensverwerking (FG) vanaf 25 mei 2018 voor een aantal organisaties verplicht worden. De FG houdt binnen een organisatie toezicht op de toepassing en naleving van de AVG.

Voldoet u aan de verantwoordingsverplichtingen

U heeft een verantwoordingsverplichting over uw gegevensverwerking indien de Autoriteit Persoonsgegevens daarom vraagt. Het is daarom belangrijk dat u vanaf 25 mei 2018 voldoet aan de verantwoordingsverplichtingen. In de AVG staan een aantal verplichte maatregelen die u dient te treffen om al uw processen & systemen op de AVG te hebben aangepast

• Het bijhouden van een register van verwerkingsactiviteiten;
• Het uitvoeren van een data protection impact assessment (DPIA)
• Het bijhouden van een register van datalekken die zijn opgetreden;
• Het aantonen dat een betrokkene daadwerkelijk toestemming heeft gegeven voor een gegevensverweking wanneer u voor een verwerking toestemming nodig heeft;
• Voor sommige organisaties geldt dat zij verplicht zijn om een FG aan te stellen. [6]

Extra maatregelen

Tot slot kunt u nog een aantal extra maatregelen treffen. Deze extra maatregelen zijn weliswaar niet verplicht, maar zij helpen u om aan de toezichthouder te laten zien dat u voldoet aan de eisen van de AVG

Het aansluiten bij een gedragscode;

Het behalen van een bepaald certificaat, bijvoorbeeld de European Privacy Seal (EuroPriSe);

Het hanteren van specifiek ICT-beveiligingsbeleid;

Het afleggen van verantwoording over de verwerking van persoonsgegevens in uw jaarverslag of in een speciaal privacy-jaarverslag. [7]

lees verder

In de literatuur is het lang omstreden geweest of een verkrijger onder eigendomsvoorbehoud het goed kan vervreemden en bezwaren. In de zaak Rabobank / Reuser heeft de Hoge Raad bij arrest van 3 juni 2016 (zaaknummer ECLI:NL:HR:2016:1046) antwoord gegeven op deze vraag. In deze zaak speelde de vraag of een pandrecht gevestigd kan worden op een zaak die onder eigendomsvoorbehoud is geleverd.

De zaak Rabobank / Reuser

Kwekerij Revadap B.V. (hierna: Revadap) heeft in 2008 Meteor Systems B.V. (hierna: Meteor) opdracht gegeven tot het vervaardigen en leveren van een teeltsysteem.

De tussen Revadap en Meteor toepasselijke algemene verkoopvoorwaarden hielden in dat het eigendom van het geleverde pas op Revadap zou overgaan nadat deze aan Meteor al het door haar verschuldigde zou hebben voldaan.

In december 2008 sloot Revadap met de Rabobank een financieringsovereenkomst waarbij zij de bank een aantal zekerheden verstrekte, waaronder een pandrecht op alle huidige en toekomstige inventaris en voorraden.

Op 24 november 2009 is Revadap in staat van faillissement verklaard. Op dat moment diende Revadap nog een deel van het koopbedrag te betalen aan Meteor.

De Rabobank heeft aan Meteor ter voldoening van haar restantvordering op Revadap met rente en kosten € 135.000,- betaald, waartegenover Meteor finale kwijting heeft verleend en haar eigendomsvoorbehoud heeft prijsgegeven.

De curator stelt dat de Rabobank zich ten onrechte beroept op haar pandrecht en het teeltsysteem in de boedel zou zijn gevallen.

De rechtbank en het hof stellen de curator in het gelijk. Zij oordelen dat het geleverde teeltsysteem voor Recadap slechts een toekomstige zaak betrof. Volgens de rechtbank en het hof heeft Revadap haar beschikkingsbevoegdheid verloren op het moment dat zij failliet ging. Art. 35 lid 2 Fw brengt dan met zich dat het ten gunste van de bank gevestigde pandrecht in de boedel viel en door de bank niet meer kon worden ingeroepen.

Rabobank gaat in cassatie. De Hoge Raad stelt de Rabobank in het gelijk en oordeelt dat – zolang de voorwaarde niet is vervuld – zowel de vervreemder als de verkrijger voorwaardelijk eigenaar is en over hun voorwaardelijk recht kunnen beschikken. Derhalve komt bij een vestiging van een pandrecht door de koper onder eigendomsvoorbehoud een onvoorwaardelijk pandrecht te rusten op het voorwaardelijke eigendomsrecht van de koper:

“4.2.3 Het aldus door de wetgever beoogde systeem brengt mee dat de verkrijger onder eigendomsvoorbehoud als bedoeld in art. 3:92 lid 1 BW uit hoofde van de voltooide levering een positie verkrijgt waarin de uitgroei tot een onvoorwaardelijk eigendomsrecht uitsluitend nog afhankelijk is van de vervulling van de opschortende voorwaarde, welke wordt bewerkstelligd door voldoening van de (restant)prestatie. Zolang de voorwaarde niet is vervuld, zijn zowel de vervreemder als de verkrijger voorwaardelijk eigenaar, de vervreemder onder ontbindende voorwaarde en de verkrijger onder opschortende voorwaarde, en is hun beider beschikkingsbevoegdheid ten aanzien van de desbetreffende zaken dienovereenkomstig beperkt. De verkrijger onder eigendomsvoorbehoud kan zijn voorwaardelijk eigendomsrecht dan ook slechts onder diezelfde voorwaarde vervreemden of bezwaren (art. 3:84 lid 4 BW), op de wijze voorzien voor de levering, respectievelijk bezwaring, van de zaken zelf. Wordt een pandrecht – overeenkomstig het bepaalde in art. 3:236 lid 1 of art. 3:237 lid 1 BW – op het voorwaardelijk eigendomsrecht gevestigd, dan ontstaat met voltooiing van de vestigingshandeling een onvoorwaardelijk pandrecht op het voorwaardelijk eigendomsrecht.”

Tot slot oordeelt de Hoge Raad dat – wanneer de voorwaarde in vervulling gaat – het pandrecht van rechtswege op de zaak komt te rusten. Een tussentijds faillissement van de verkrijger onder eigendomsvoorbehoud staat daaraan niet in de weg.

“Naar hiervoor in 4.2.2 en 4.2.3 is overwogen, moet een door de schuldenaar vóór zijn faillissement gevestigd pandrecht op een voorwaardelijk eigendomsrecht als bedoeld in art. 3:92 lid 1 BW, als een onvoorwaardelijk pandrecht op een bestaand goed worden aangemerkt, waarvan de ‘levering’ (vestiging) reeds is voltooid voordat het faillissement intreedt. Derhalve zijn geen nadere beschikkingshandelingen van de schuldenaar meer nodig. Dit brengt mee dat de art. 35 lid 1 en lid 2 Fw in zodanig geval toepassing missen. Wordt de opschortende voorwaarde waaronder de zaken aan de schuldenaar zijn overgedragen na het intreden van het faillissement vervuld – doordat de resterende prestatie wordt voldaan –, dan groeit het pandrecht van rechtswege uit tot een pandrecht op de volle eigendom van de desbetreffende zaken en daarmee op die zaken zelf.”

Gevolgen voor de praktijk

Op grond van bovengenoemd arrest is een eind gekomen aan de discussie of een verkrijger onder eigendomsvoorbehoud het goed kan vervreemden en bezwaren. De Hoge Raad oordeelde dat een onvoorwaardelijk pandrecht gevestigd kan worden op een zaak die onder eigendomsvoorbehoud is geleverd.

De benadering van de Hoge Raad heeft tot gevolg dat de verkrijger van een zaak – die onder eigendomsvoorbehoud is geleverd – een hogere lening zal kunnen afsluiten, omdat hij een onvoorwaardelijk pandrecht kan laten vestigen op dit goed. Dit geldt temeer nu de Hoge Raad heeft geoordeeld dat de pandhouder – na het faillissement van de pandgever – het restant van de koopprijs kan voldoen, waardoor hij zijn pandrecht kan inroepen jegens anderen.

Mr. R. van Domselaar

 

Datalekken zijn aan de orde van de dag en halen regelmatig het nieuws. Eerder werd bekend dat ziekenhuizen vrijwel dagelijks een datalek melden. Eind november publiceerde de Autoriteit Persoonsgegevens (hierna: AP) dat sinds begin 2016 ziekenhuizen 304 keer melding hebben gemaakt van een datalek. Uit het jaaroverzicht van de Autoriteit persoonsgegevens blijkt dat in de periode tussen 1 januari en 15 december 2016 bijna 5500 datalekken gemeld zijn.[1] Van de ongeveer 5500 meldingen heeft AP in ruim 4000 gevallen een oriënterend onderzoek gedaan. Meer dan 100 organisaties kregen naar aanleiding van dit oriënterende onderzoek een waarschuwing. Boetes heeft AP in 2016 niet uitgereikt. Binnen de huidige data-driven businessmodellen en vooral digitale maatschappij lijkt een datalek soms onvermijdbaar. Wat zijn de vooruitzichten voor 2017?

Toelichting cijfers 2016

De meeste datalekken in 2016 kwamen voor in de gezondheidszorg, financiële dienstverlening en het openbaar bestuur. Binnen deze branches zijn veel gevoelige persoonsgegevens in omloop waardoor dit snel leidt tot een melding van een datalek. 29% Procent van de ongeveer 5500 datalekken waren in 2016 afkomstig uit de gezondheidszorg, dit zijn ongeveer 1595 meldingen van datalekken verdeeld over 366 dagen (schrikkeljaar). Dit betekent dat in 2016 ongeveer 4 meldingen van een datalek in de gezondheids- en welzijn branche per dag  is gedaan. In mei sprak vicevoorzitter van de Autoriteit Persoonsgegevens, Wilbert Tomesen, zich uit over het aantal meldingen van datalekken waarbij hij vermoedde dat het aantal meldingen bij het AP maar het topje van de ijsberg is nu er in Nederland ongeveer 130.000 organisaties zijn die persoonsgegevens verwerken.[2]

Meldingen per sector in 2016 (bron: AP) [3]

Op basis van het aantal organisaties dat persoonsgegevens verwerkt werden ongeveer 60.000 datalekken per jaar verwacht.[4]  De discrepantie tussen het aantal verwachtte meldingen en het daadwerkelijke aantal meldingen kan te maken hebben met de noviteit van de meldplicht datalekken. Op grond van artikel 34a Wet bescherming persoonsgegevens (hierna: Wbp) hoeven niet alle datalekken gemeld te worden. Artikel 34a Wbp spreekt van een datalek die bij AP gemeld moet worden wanneer de datalek:

“leidt tot de aanzienlijke kans op ernstige nadelige gevolgen”;

“dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens”.

lees verder

In accordance with the requirements of the European Union Fourth Anti-Money Laundering Directive[1], which was enacted on 25 June 2015 and replaced the previous Third Directive, each EU member-state must establish a central UBO’s Register no later 26 June 2017.

UBO represents an ultimate beneficial owner. Simply put, the UBO is the natural person who, albeit behind the scenes, is “pulling the strings” within a company or other legal entity. In the Netherlands the Ministry for Security and Justice, the Ministry of Finance and the Ministry of Economic Affairs are responsible for legislative framework of the future Central UBO Register. In its explanatory notes[2] the designated Ministers introduced the following key points of the Dutch Central UBO Register.

1. UBO entities to be included in the central UBO Register.

It is agreed, that the Dutch Central UBO Register will contain information on all UBO’s whose entities are subject to a mandatory registration in the Register of the Chamber of Commerce of the Netherlands in accordance with the law[3]. Amongst these entities are: besloten vennootschap, naamloze vennootschap, stichting, vereniging, rederij, maatschap, vennootschap onder firma, commanditaire vennootschap, coöperatie, kerkgenootschap, vereniging van eigenaars, onderlinge waarborg maatschappij, Europese naamloze vennootschap (SE), Europese coöperatieve vennootschap (SCE), other private legal entities, including entities registered under the laws of a foreign country. It is worth to mention, that the Ministers do not plan to extend the list of entities to trusts and alike arrangements in terms of  common law.

2. Who will have an access to the Central UBO Register.

It is decided to make the Dutch Central UBO Register a public open source for all natural and legal persons. It means that any person will have an access to consult the Central UBO Register. In order to secure minimum requirements to protection of personal data, it is proposed to establish the following rules of access:

1. Every person who desires to consult the Central UBO Register will be obliged to register on the web-site of the Central UBO Register;
2. Every excerpt from the Central UBO Register will be delivered against a fee;
3. The registered users of the Central UBO Register, excluding the specially designated authorities[4], will have an access to a limited set of personal data of the UBO;
4. In some cases, based on the outcome of a preliminary investigation and advice of the relevant authority, the personal data of a particular UBO will be protected from common access.

3. What information regarding an UBO will be seen in the Central UBO Register.

Within a ‘common access’ regime the ordinary user of the Central UBO Register will only get access to the following information:

• Name;
• Month and year of birth;
• Nationality;
• Place of domicile;
• Information on the nature and extent of economic interests held by a UBO.

Besides the information provided within a regime of a ‘common access’, the specially designated authorities, such as Tax Authority, Custom Service, the Central Bank of the Netherlands, Police and others, will be granted an access to the following additional information:

Date, place and country of birth;

Address;

BSN or TIN (a foreign taxpayer identification number);

Information about the ID or passport or alike document (number, date and place of issuance) or a copy of such document;

Documents which prove the nature and extent of economic interest held by the UBO.

lees verder

Door middel van een running app kunnen hardlopers onder andere afstand, tijd en tempo van een hardloopsessie bijhouden. Nike creëerde hier de  Nike+ Running app (tegenwoordig Nike+ Running Club) voor. Deze app is wereldwijd tussen de  10 en 50 miljoen keer gedownload.[1] Vorig jaar november  presenteerde het toenmalige College bescherming persoonsgegevens (nu: Autoriteit Persoonsgegevens) de resultaten van hun onderzoek naar de verwerking van persoonsgegevens in het kader van de Nike+ Running app. Uit dit onderzoek bleek dat Nike de gebruikers van de Nike+ Running app onvoldoende over de verwerking van hun gegevens informeert.[2] Gisteren werd bekend dat Nike door nieuwe aanpassingen niet langer de Wet bescherming persoonsgegevens overtreedt.

Persoonsgegevens

Om de app zo secuur mogelijk te laten werken, verzamelt Nike onder meer gegevens betreffende de lichaamslengte, gewicht en de intensiteit van een hardloopsessie. Deze persoonsgegevens kunnen veel vertellen over de lichamelijke gesteldheid van de gebruiker. Deze gevoelige persoonsgegevens worden beschermd door de Wet bescherming persoonsgegevens (Wbp). In artikel 1 sub a van de Wbp wordt een persoonsgegeven omschreven als “elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon.” Het persoonsgegeven ziet niet enkel op informatie over een persoon in geschreven tekst, ook informatie uit beeld en geluid kunnen hieronder vallen.[3]  Een aantal gegevens die Nike verwerkt zoals: lengte, gewicht en hartslag kunnen worden aangemerkt als bijzondere persoonsgegevens nu ze betrekking hebben op de gezondheid van een gebruiker.[4] Gegevens betreffende iemands gezondheid moet ruim worden opgevat.[5] In beginsel is het verwerken van bijzondere persoonsgegevens verboden, artikel 16 Wbp. In artikel 23 lid 1 sub a Wbp kan een ontheffing op dit verbod worden verkregen door uitdrukkelijke toestemming van de betrokkene. Er is sprake van een uitdrukkelijke toestemming wanneer de gebruiker geïnformeerd is en vrij een keuze heeft kunnen maken, daarnaast moet toestemming voor een specifieke gegevensverwerking of een beperkte categorie van gegevensverwerkingen worden gegeven. Een algemene machtiging volstaat niet.[6]

Privacy beleid

Na het downloaden van de Nike+ Running app zal een gebruiker van de app met een Android toestel een Nike+ account moeten aanmaken. Het account vraagt om gegevens als naam, geslacht, geboortedatum, postcode, land en emailadres op te geven. Door het aanmaken van het account worden de gegevens die in de app op de telefoon zijn verzameld, ook doorgegeven naar de servers van Nike.

Naast het doorgeven van gegevens is het voor het gebruik van de app ook vereist dat de gebruiker de privacy policy accepteert. De Nike+ Running app hanteerde sinds maart 2015 een keuzemenu voor de toepasselijke privacy policy. De gebruiker diende zelf de juiste regio en policy te kiezen. Een automatische doorleiding naar de Nederlandse gebruikersvoorwaarden ontbrak. Inden de gebruiker de juiste policy wist te kiezen ontbrak vervolgens de verantwoording voor de verwerking van de persoonsgegevens, zoals welke gegevens worden verwerkt en met welk doel. De Autoriteit Persoonsgegevens concludeerde naar aanleiding hiervan dat het daardoor niet de uitdrukkelijke toestemming van de app-gebruikers verkrijgt die wel noodzakelijk is voor de verwerking van hun gegevens. Dit was volgens de Autoriteit Persoonsgegevens voldoende om een schending van de Wet bescherming persoonsgegevens te constateren.

Bewaartermijn aangepast

De nieuwe versie van de Nike+ Running app (tegenwoordig Nike+ Running Club) is behalve een naamverandering ook onderworpen aan nieuwe gebruiksvoorwaarden. In het Nederlands wordt direct duidelijk welke gegevens Nike wil verwerken en waarvoor. Daarnaast heeft het een bewaartermijn van 13 maanden geïmplementeerd. Na verloop van 13 maanden zullen de gegevens van inactieve gebruikers worden versleuteld, deze zullen maximaal 4 jaar worden opgeslagen. Nike behoudt wel het recht de gegevens langer dan 13 maanden te bewaren voor het inzien van de gegevens door de gebruikers zelf. Met deze veranderingen is Autoriteit Persoonsgegevens tot de conclusie gekomen dat de Wet bescherming persoonsgegevens niet langer wordt overtreden.

Mr. N. Wiersma

[1] https://play.google.com/store/apps/details?id=com.nike.plusgps

[2] College bescherming persoonsgegevens, Onderzoek naar de verwerking van persoonsgegevens in het kader van de Nike+ Running app door Nike Inc.

[3] Memorie van Toelichting, II, nr. 3, blz. 50 (https://zoek.officielebekendmakingen.nl/kst-25892-3.html).

[4] CBP 1 april 03, z2003-00206.

[5] Kamerstukken II 1997/98, 25 892, nr. 3, p. 109.

[6] Kamerstukken II 1997/98, 25 892, nr. 3, p. 65. “Een algemene toestemming zonder dat precies is aangegeven wat het doel is van de verwerking waarmee de betrokkene instemt, voldoet niet aan dit vereiste. Dat betekent dat de informatie over het doel van de verwerking niet in de algemene voorwaarden moet worden opgenomen, maar in een aparte toestemmingsclausule.”