Het is weer zover. Opnieuw is ons Nederlandse rechtssysteem geteisterd met de vraag of persoonsgegevens al dan niet openbaar mogen worden gemaakt. Sinds de invoering van de Algemene Verordening Gegevensbescherming (AVG) in mei 2018 blijven de zaken elkaar opvolgen en wordt de jurisprudentie dag in dag uit aangevuld. Ditmaal in een zaak tussen Ziggo en Dutch Filmworks (DFW).1 Klanten van Ziggo zouden de film The Hitman’s Bodyguard, waarvan DFW de sub-distributeur voor Nederland is, illegaal hebben gedownload met als gevolg schade voor de makers van film door gemiste inkomsten. DFW vordert dan ook dat Ziggo de NAW-gegevens aan DFW verschaft van de abonnementhouders van de IP-adressen, van wie is vastgesteld dat zij de film illegaal hebben gedownload. Eind 2017 heeft de Autoriteit Persoonsgegevens (AP) al vastgesteld dat deze voorgestelde verwerking van persoonsgegevens door DFW rechtmatig wordt geacht. Niks staat DFW nog in de weg om de gevraagde gegevens te verkrijgen. Toch?

Niet dus. Ondanks het besluit van de AP blijft de vraag bestaan of Ziggo wel verplicht kan worden tot afgifte van klantgegevens. Ziggo heeft in eerste aanleg namelijk gezegd de gegevens van de klanten, voor zover deze nog beschikbaar waren, wel te bewaren, maar dat zij hierbij niet vrijwillig tot afgifte van de gegevens zou overgaan. Het verzoek van DFW zou namelijk te weinig informatie bevatten om tot de conclusie te komen dat de abonnees inbreuk hebben gemaakt op het intellectuele eigendomsrecht van de filmmakers. Het gerechtshof Arnhem-Leeuwarden kijkt voor de beantwoording van de rechtsvraag naar een eerder gewezen arrest van de Hoge Raad Lycos/Pessers.2 Hieruit volgt dat een wettelijke grondslag is vereist om Ziggo tot afgifte te verplichten. Daarbij moet gekeken worden naar de vragen of het voldoende aannemelijk is dat het downloaden van de film aan de hand van BitTorrent onrechtmatig is jegens DFW, of DFW een reëel belang heeft bij het verkrijgen van de NAW-gegevens, of het aannemelijk is dat in het concrete geval geen minder ingrijpende mogelijkheid bestaat om de gegevens te verkrijgen, maar vooral of de afweging van de belangen van DFW, Ziggo en haar abonnees meebrengt dat het belang van DFW zwaarder weegt.

Niet alleen de jurisprudentie wordt door het Hof aangehaald. Er wordt ook gekeken naar de AVG. De afgifte van klantgegevens door Ziggo kan namelijk gezien worden als ‘verwerking van persoonsgegevens’ ingevolge art. 4 lid 2 AVG en als verwerkingsverantwoordelijke (art. 4 lid 7 AVG) is de provider daarbij gebonden aan de wettelijke verplichtingen, die voortvloeien uit de AVG. Vooral art. 6 AVG is hierbij van belang, omdat dit artikel bepaalt wanneer wel of niet sprake is van een rechtmatige verwerking van gegevens. Zo wordt uiteindelijk duidelijk dat voor de vraag of Ziggo een rechtsplicht heeft tot het afgeven van de persoonsgegevens sprake moet zijn van drie vereisten: een gerechtvaardigd belang van DFW voor de verwerking van de gegevens, een noodzakelijke verwerking door DFW van de gegevens, gelet op de proportionaliteit en de subsidiariteit, en een prevalerend belang van DFW boven het belang van de abonnees van Ziggo. Deze abonnees willen immers dat hun privacy gewaarborgd blijft en dat hun gegevens niet zomaar worden afgestaan aan derden door hun provider Ziggo.

Vooral de belangenafweging tussen grondrechten die het gerechtshof in deze zaak heeft gemaakt, zet mij aan het denken. Het gaat om de belangenafweging tussen het recht op bescherming van de persoonsgegevens van de klanten van Ziggo (art. 8 EVRM) enerzijds en het recht op bescherming van eigendom (art. 1 Eerste Protocol EVRM) en het recht op effectieve rechtsbescherming (art. 13 EVRM) voor DFW anderzijds. Het Hof lijkt in eerste instantie namelijk te neigen naar een zwaarder belang van DFW. DFW zou namelijk onder meer zijn intellectueel eigendomsrecht niet ten volle kunnen uitoefenen, waardoor geen juist evenwicht bestaat tussen de af te wegen grondrechten. De argumenten van het Hof lijken hier in het voordeel van DFW uit te vallen. Toch besluit het Hof de boel volledig om te gooien door te stellen dat de te ondernemen acties van DFW jegens de klanten van Ziggo, zodra de NAW-gegevens zijn verkregen, te vaag zijn. Het is niet duidelijk wanneer DFW welke actie jegens welke gebruiker zal ondernemen. Deze onduidelijkheid van DFW is voor het Hof doorslaggevend en zo komt het Hof uiteindelijk ook tot het oordeel dat Ziggo niet verplicht is om de gegevens van haar abonnees af te staan aan DFW.

Een schikkingsboete
Het eerste wat vervolgens in mij opkomt, is: ‘hoe dan?’. We zullen het allemaal wel eens zijn dat bescherming van persoonsgegevens een enorm belangrijk grondrecht is en ook wij zouden niet blij zijn als onze gegevens zomaar in handen kwamen van een bedrijf dat voornemens is om ons sancties op te leggen waar geen touw aan vast te knopen is. Maar had deze onduidelijkheid de doorslag moeten geven? Zijn de voorgenomen acties bovendien wel zo onduidelijk als het Hof doet overkomen? Als ik mijn zoekmachine opstart, kom ik namelijk al binnen enkele seconden terecht bij het duidelijke voornemen van DFW om downloadboetes van €150 uit te delen.3 DFW wil de NAW-gegevens van Ziggo gebruiken om schikkingsvoorstellen naar de abonnees te versturen met een schikkingsbedrag van €150. Het gaat hier dus niet eens om boetes, omdat het bedrijf voor het opleggen daarvan de bevoegdheid mist. Even verder kijken dan. Aha, daar komt het addertje onder het gras opduiken. ‘De 150 euro is ook een voorlopig bedrag dat nog kan veranderen’, vertelt de woordvoerder van DFW. ‘We baseren dit op de kosten van het proces en de opgelopen schade.’ Maar ook andere bedragen deden in de media de ronde, die zelfs varieerden tot zo’n €230. DFW nam hierover niet te veel woorden in de mond, maar verzekerde wel dat het bedrag geen ‘punitieve elementen’ zou bevatten, maar enkel tot doel zou hebben om de geleden schade te verhalen.4 Toch geen €150 dus?

De woordvoerder wil het schikkingsbedrag dus vaststellen aan de hand van de schade. Klinkt logisch. Maar het gerechtshof vraagt zich, in mijn ogen terecht, af of een dergelijke kostenveroordeling wel passend is. De rechthebbende lijdt immers maar een ‘zeer geringe’ schade per downloader. Pas als je deze schade bij elkaar optelt, kom je wellicht op een bedrag uit waarvan je zou stellen dat schadevergoeding geoorloofd is. Dus hoe is DFW dit van plan te verdelen? €1 boete per downloader? ‘Als Nederlandse rechters blijven volhouden dat je individuele downloaders alleen aansprakelijk mag stellen voor concrete schade, is dit soort zaken kansloos’, zegt onderzoeker Joost Poort van het Instituut voor Informatierecht aan de Universiteit van Amsterdam. ‘Per persoon gaat het in deze rechtszaak om een paar euro misgelopen inkomsten, want de film is al voor €5 legaal te downloaden. Je mag één downloader niet aansprakelijk stellen voor de schade die is aangericht door anderen, of hem als voorbeeld stellen.’