Uitspraak
beschikking
RECHTBANK AMSTERDAM
Afdeling privaatrecht
zaaknummer / rekestnummer: C/13/689705 / HA RK 20-258
Beschikking van 11 maart 2021
in de zaak van
1.[verzoeker 1] ,
wonende te [woonplaats] (Verenigd Koninkrijk),
2.
[verzoeker 2],
[verzoeker 2],
wonende te [woonplaats] (Verenigd Koninkrijk),
3.
[verzoeker 3],
[verzoeker 3],
wonende te [woonplaats] (Verenigd Koninkrijk),
verzoekers,
advocaat mr. A.H. Ekker te Amsterdam,
tegen
de besloten vennootschap met beperkte aansprakelijkheid
OLA NETHERLANDS B.V.,
gevestigd te Amsterdam,
verweerster,
advocaat mr. J.G. Reus te Amsterdam.
Verzoekers zullen hierna gezamenlijk ook [verzoekers] en ieder voor zich [verzoeker 1] , [verzoeker 2] en [verzoeker 3] worden genoemd. Verweerster zal hierna ook Ola worden genoemd.
1.De procedure
1.1.
Het verloop van de procedure blijkt uit:
- het verzoekschrift, met bijlagen, binnengekomen ter griffie op 9 september 2020,
- de tussenbeschikking van 22 oktober 2020, waarin een bijeenkomst van partijen is bepaald,
- het herziene verzoekschrift, met bijlagen, binnengekomen ter griffie op 20 oktober 2020,
- het verweerschrift, met één bijlage, binnengekomen ter griffie op 10 december 2020,
- het proces-verbaal van de mondelinge behandeling van 16 december 2020 en de daarin genoemde (proces)stukken.
1.2.
Vervolgens is, na aanhouding, beschikking bepaald op vandaag.
2.De feiten
2.1.
Ola is een onderneming waarvan de moedervennootschap is gevestigd in Bangalore (India). Zij heeft in 2010 de divisie ‘Ola Cabs’ opgericht. Ola Cabs is een digitaal platform waarbij via een app wordt gefaciliteerd dat een passagier en een (taxi)chauffeur aan elkaar worden gekoppeld.
2.2.
[verzoekers] zijn werkzaam als ‘private hire drivers’ (hierna: chauffeurs) in het Verenigd Koninkrijk. Zij maken gebruik van de diensten van Ola via de Ola Driver App. De passagiers die zij vervoeren maken gebruik van de Ola Cabs App.
2.3.
[verzoekers] zijn aangesloten bij de App Drivers & Couriers Union (hierna: ADCU). ADCU is een vakbond die opkomt voor de belangen van ‘private hire drivers’ en ‘couriers’ in het Verenigd Koninkrijk. ADCU is aangesloten bij International Alliance of App Transport Workers (hierna: IAATW). Beide organisaties zetten zich in voor de digitale rechten van platformwerkers.
2.4.
ADCU wordt ondersteund door Worker Info Exchange (hierna: WIE). WIE is een non-profit organisatie die zich mede ten doel stelt om werknemers in de informatie-economie toegang te geven tot persoonsgegevens die tijdens het werk over hen worden verzameld. ADCU en WIE hebben het voornemen om gezamenlijk een ‘data trust’ op te richten voor onder meer chauffeurs van Ola waarin persoonsgegevens worden samengebracht voor analysedoeleinden.
2.5.
In verschillende landen zijn procedures aanhangig tussen ondernemingen die via een digitaal platform diensten aanbieden en chauffeurs over de vraag of sprake is van een arbeidsrelatie.
2.6.
[verzoeker 1] en [verzoeker 2] hebben bij afzonderlijke verzoeken van 23 juni 2020 Ola verzocht om inzage in hun persoonsgegevens die Ola verwerkt en de ter beschikking stelling daarvan in een CSV-bestand. [verzoeker 3] heeft op 5 augustus 2020 een inzageverzoek gedaan. Ola heeft in reactie op deze verzoeken aan [verzoekers] een aantal digitale bestanden en kopieën van documenten verstrekt.
2.7.
Ola heeft een ‘Privacy Policy’ (hierna: de privacyverklaring) opgesteld waarin zij algemene informatie over gegevensverwerking heeft opgenomen. Verder maakt zij gebruik van een document genaamd ‘How we process your data’ waarin een overzicht is opgenomen van de categorieën van persoonsgegevens die Ola verwerkt.
3. Het geschil
3.1.
[verzoekers] verzoeken na herziening en aanvulling van het verzoek – samengevat – dat de rechtbank, bij uitvoerbaar bij voorraad te verklaren beschikking:
I Ola beveelt om binnen één maand na betekening van de beschikking, tegen eventuele vergoeding van de kosten, aan [verzoekers] in een gangbare elektronische vorm inzage te geven in:
i) alle op hen betrekking hebbende persoonsgegevens die zij verwerkt, waaronder de persoonsgegevens zoals genoemd in de privacyverklaring en de daarbij behorende documentatie,
ii) de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties en de bewaartermijn voor deze gegevens,
iii) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22 lid 1 en 4 AVG bedoelde profilering, en ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [verzoekers] ,
iv) indien sprake is van doorgifte aan een derde land of een internationale organisatie, de passende waarborgen overeenkomstig artikel 46 AVG die Ola inzake deze doorgifte heeft getroffen,
II Ola beveelt om binnen één maand na betekening van de beschikking de persoonsgegevens van [verzoekers] in een gestructureerde, gangbare en machineleesbare vorm aan [verzoekers] te verstrekken, te weten als CSV-bestand, dan wel door middel van een Application Programming Interface (API), zodanig dat deze gegevens direct aan een andere verwerkingsverantwoordelijke kunnen worden doorgezonden,
III het voorgaande op straffe van een dwangsom van € 2.000 per dag of dagdeel dat Ola in gebreke blijft te voldoen aan een of meer van de onder I en II genoemde bevelen,
IV Ola veroordeelt in de proceskosten.
3.2.
De verzoeken onder I (i), (ii) en (iv) zijn gegrond op artikel 15 lid 1 AVG [1] (inzagerecht). Volgens [verzoekers] heeft Ola in reactie op hun inzageverzoeken geen volledige inzage gegeven in hun persoonsgegevens. Uit de privacyverklaring en bijhorende documenten blijkt dat Ola een groot aantal categorieën van persoonsgegevens verwerkt, maar [verzoekers] hebben in een groot deel van deze categorieën geen inzage verkregen. Verder getuigen de door [verzoekers] ontvangen datasets van inconsequente en incomplete gegevensverstrekking.
3.3.
Het verzoek onder I (iii) is gegrond op de artikelen 15 lid 1 aanhef en onder h en 22 AVG (geautomatiseerde besluitvorming en profilering). Volgens [verzoekers] maakt Ola bij de uitvoering van de overeenkomst met [verzoekers] gebruik van geautomatiseerde besluitvorming en profilering. De in de privacyverklaring en het document ‘How we process your data’ opgenomen toelichting daarop is niet volledig. Bij het toepassen van profilering moet Ola op grond van overweging 71 van de AVG passende procedures hanteren en maatregelen treffen om een voor de betrokkene behoorlijke en transparante verwerking te garanderen. Ook moeten discriminerende gevolgen van profilering worden voorkomen. Om te kunnen beoordelen of Ola bij het gebruik daarvan aan de vereisten van artikel 22 lid 3 AVG voldoet hebben [verzoekers] belang bij inzage in geautomatiseerde besluitvorming en profilering, informatie over de onderliggende logica en de verwachte gevolgen van die verwerking.
3.4.
Het verzoek onder II is gegrond op artikel 20 lid 1 AVG (overdraagbaarheid van gegevens of dataportabiliteit). Volgens [verzoekers] moet Ola hen de mogelijkheid bieden om de persoonsgegevens direct te downloaden en aan een andere verwerkingsverantwoordelijke door te zenden. Dit kan worden bewerkstelligd door gebruik te maken van een Application Programming Interface (hierna: API) of van een Trusted Third Party (TTP). [verzoekers] hebben Ola verzocht de persoonsgegevens te verstrekken in een CSV-bestand, maar Ola heeft slechts een klein deel van de persoonsgegevens in dit bestands’formaat’ (de aanhalingstekens worden hierna weggelaten) verstrekt.
3.5.
Het opleggen van de onder III verzochte dwangsom is volgens [verzoekers] gerechtvaardigd vanwege het grote belang van [verzoekers] bij inzage en overdracht van hun persoonsgegevens en de financiële draagkracht van Ola.
3.6.
[verzoekers] stellen de volgende belangen te hebben bij hun verzoeken:
- in verschillende landen worden procedures gevoerd over de vraag of tussen aanbieders van ‘Ride Hailing apps’ en chauffeurs een arbeidsrelatie bestaat. Van belang hierbij is de mate waarin zulke aanbieders managementcontrole hebben die zij onder meer uitoefenen door middel van algoritmes en geautomatiseerde besluitvorming;
- de Britse rechter heeft geoordeeld dat chauffeurs recht hebben op minimumloon en vakantietoeslag voor elk uur dat zij op een ‘Ride Hailing platform’ zijn ingelogd. Om hun loon te berekenen hebben [verzoekers] toegang tot hun gegevens nodig;
- de verzochte gegevens zijn nodig voor chauffeurs om zich te organiseren en collectieve onderhandelingsmacht op te bouwen;
- transparantie over de gegevensverwerking is nodig om de belangen van chauffeurs ten opzichte van platformaanbieders te behartigen;
- bij beslissingen over hun licentie als chauffeur worden chauffeurs beoordeeld op hun geschiktheid, waarbij hun staat van dienst en gedrag relevant is. Daarom hebben [verzoekers] belang bij onbeperkte toegang tot hun gegevens;
- de Britse rechter heeft geoordeeld dat chauffeurs recht hebben op bescherming tegen discriminatie. Om te kunnen bepalen of sprake is van discriminatie of ongelijke behandeling hebben chauffeurs inzage nodig in de berekening van hun ‘rating’ in de Ola Driver App;
- de verzochte gegevens zullen beschikbaar worden gesteld aan WIE.
3.7.
Ola voert verweer. Zij verzoekt [verzoeker 3] niet-ontvankelijk te verklaren in zijn verzoek om gegevens over te dragen en verder om de verzoeken af te wijzen, of (deels) toe te wijzen met inachtneming van de door Ola genoemde omstandigheden en waarborgen, met veroordeling van [verzoekers] in de proceskosten (inclusief nakosten), te vermeerderen met wettelijke rente.
3.8.
Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.
4.De beoordeling
Rechtsmacht en toepasselijk recht
4.1.
De rechtbank moet ambtshalve onderzoeken of de Nederlandse rechter rechtsmacht heeft en zo ja, of deze rechtbank relatief bevoegd is van de verzoeken van [verzoekers] kennis te nemen. Dat is het geval, omdat Ola in het arrondissement Amsterdam is gevestigd (artikel 4 Brussel I bis-Verordening [2] en artikel 262 aanhef en onder a Rv [3] ).
4.2.
Voor zover de verzoeken van [verzoekers] berusten op de AVG is deze als Europese verordening rechtstreeks toepasselijk. Uit het feit dat partijen zich tevens (aanvullend) baseren op het Nederlandse recht, leidt de rechtbank af dat partijen impliciet rechtskeuze voor de toepassing van het Nederlandse recht hebben gedaan als bedoeld in artikel 3 lid 1 van de Rome I-Verordening. [4]
4.3.
Tussen partijen is niet in geschil dat Ola heeft te gelden als de verwerkingsverantwoordelijke in de zin van artikel 4 onder 7 AVG.
Geen belang, misbruik van recht?
4.4.
Ola voert aan dat [verzoekers] geen eigen belang in de zin van artikel 3:303 BW [5] hebben bij hun verzoeken in deze procedure, omdat hiermee enkel de belangen van ADCU worden gediend of de algemene belangen van chauffeurs die gebruik maken van platformdiensten.
4.5.
Ola voert verder aan dat [verzoekers] met hun verzoeken misbruik maken van recht in de zin van artikel 3:13 BW. Volgens Ola gebruiken [verzoekers] het inzagerecht en het recht op gegevensoverdraagbaarheid voor een ander doel dan waarvoor het gegeven is, namelijk het oprichten van een data trust en het vergaren van informatie om de rechtspositie van chauffeurs ten opzichte van Ola en andere platforms te verbeteren.
4.6.
De rechtbank stelt voorop dat een betrokkene in beginsel niet hoeft te motiveren of onderbouwen waarom hij een inzageverzoek doet onder de AVG. De betrokkene hoeft bij de uitoefening van zijn inzagerecht niet een bepaald belang te stellen of het doel te vermelden dat hij met de inzage wil bereiken. Het enkele feit dat over hem gegevens worden verwerkt is voldoende. Daarmee is niet gezegd dat een inzageverzoek nooit misbruik van bevoegdheid in de zin van artikel 3:13 BW kan opleveren (vgl. Hof Amsterdam 10 november 2005, ECLI:NL:GHAMS:2005:AU8223 en conclusie A-G Drijber voor Hoge Raad 21 december 2018, 9 november 2018, ECLI:NL:PHR:2018:1273). Dat kan het geval zijn als het inzagerecht enkel wordt gebruikt voor een ander doel dan controle of persoonsgegevens juist en rechtmatig worden verwerkt. Het is aan de verwerkingsverantwoordelijke om misbruik van bevoegdheid aan te tonen.
4.7.
In dit geval hebben [verzoekers] naar voren gebracht dat zij de juistheid en rechtmatigheid van hun eigen gegevens wensen te controleren en dat dit een voorwaarde is om andere privacyrechten uit te kunnen oefenen. Dat is voldoende. Anders dan Ola betoogt, maakt de omstandigheid dat [verzoekers] en de vakbond waarbij zij zijn aangesloten ook een ander belang bij het verkrijgen van persoonsgegevens hebben, namelijk om deze te gebruiken om duidelijkheid te verkrijgen over hun arbeidsrechtelijke positie of bewijs in juridische procedures tegen platforms te verzamelen, niet dat [verzoekers] misbruik van hun rechten maken. Immers, niet is komen vast te staan dat [verzoekers] het inzagerecht uitsluitend voor een ander doel willen gebruiken dan controle of de persoonsgegevens juist en rechtmatig worden verwerkt. Het beroep op misbruik van het inzagerecht wordt dan ook verworpen.
4.8.
Het verzoek om persoonsgegevens over te dragen in een bepaald formaat komt voort uit de wens van [verzoekers] om deze gegevens rechtstreeks in een databank van WIE op te laten nemen voor analyse met het doel de onderhandelingspositie van platformwerkers te verbeteren. In overweging 68 van de AVG is opgenomen dat het recht op gegevensoverdraagbaarheid dient om de zeggenschap van de betrokkene over zijn eigen gegevens te versterken. In de Richtlijnen inzake het recht op gegevensoverdraagbaarheid [6] is vastgelegd dat dit recht tot doel heeft om de positie van de betrokkene met betrekking tot zijn eigen persoonsgegevens te versterken en de betrokkene meer controle over zijn gegevens te geven. Het biedt de betrokkene de mogelijkheid om persoonsgegevens gemakkelijk van de ene IT-omgeving naar de andere te verplaatsen, te kopiëren of over te dragen, zonder daarbij gehinderd te worden en ongeacht of het daarbij gaat om eigen systemen, de systemen van vertrouwde derden of die van nieuwe verwerkingsverantwoordelijken. Ola betoogt terecht dat een belangrijk doel van dit recht gelegen is in het vergemakkelijken van het overstappen naar een andere dienstverlener en het voorkomen van een zogenaamde ‘
user lock-in’ bij de oorspronkelijke verwerkingsverantwoordelijke. Dit betekent echter niet dat het beoogde doel van [verzoekers] – analyse van de eigen persoonsgegevens ofwel gebruik voor eigen doeleinden – van het recht op gegevensoverdraagbaarheid is uitgesloten. Daarvoor is geen steun te vinden in de totstandkomingsgeschiedenis van de AVG, de overwegingen van de AVG zelf en de Richtlijnen. Het beroep op misbruik van het recht op gegevensoverdraagbaarheid wordt dan ook verworpen.
user lock-in’ bij de oorspronkelijke verwerkingsverantwoordelijke. Dit betekent echter niet dat het beoogde doel van [verzoekers] – analyse van de eigen persoonsgegevens ofwel gebruik voor eigen doeleinden – van het recht op gegevensoverdraagbaarheid is uitgesloten. Daarvoor is geen steun te vinden in de totstandkomingsgeschiedenis van de AVG, de overwegingen van de AVG zelf en de Richtlijnen. Het beroep op misbruik van het recht op gegevensoverdraagbaarheid wordt dan ook verworpen.
Het verzoek om inzage in persoonsgegevens
4.9.
Het inzageverzoek is gebaseerd op artikel 15 lid 1 AVG. Op grond van dit artikel heeft de persoon van wie persoonsgegevens worden verwerkt het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, inzage te verkrijgen van die persoonsgegevens en van (onder meer) de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, en de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, dan wel de criteria om die termijn te bepalen.
4.10.
Artikel 15 AVG heeft tot doel de betrokkene in staat te stellen kennis te nemen van de persoonsgegevens die over hem zijn verzameld en te controleren of die gegevens juist zijn en rechtmatig zijn verwerkt (zie overweging 63 AVG). De AVG is de opvolger van de Richtlijn persoonsgegevens [7] , zoals geïmplementeerd in de Wbp [8] . Het inzagerecht was voorheen vastgelegd in artikel 12 van de Richtlijn persoonsgegevens. Er zijn geen aanwijzingen dat krachtens de AVG de doelstelling en omvang van dit inzagerecht ten opzichte van de Richtlijn persoonsgegevens is gewijzigd. De rechtbank zal voor de uitleg van het in artikel 15 AVG geregelde inzagerecht daarom aansluiting zoeken bij de uitspraken van het Hof van Justitie van de Europese Unie (HvJEU) en de Hoge Raad over het inzagerecht onder vigeur van de Richtlijn persoonsgegevens en de Wbp.
4.11.
Het inzagerecht is beperkt tot persoonsgegevens. De uitleg van het begrip ‘persoonsgegevens’ is daarom bepalend voor de reikwijdte van het inzagerecht. Op grond van artikel 4 onder 1 AVG is een persoonsgegeven ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’. Door het HvJEU wordt een ruime uitleg aan het begrip ‘persoonsgegeven’ gegeven. Het HvJEU heeft overwogen dat het begrip persoonsgegeven niet beperkt is tot gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elke soort informatie, zowel objectieve als subjectieve informatie in de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene betreft. Deze laatste voorwaarde is vervuld wanneer de informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde persoon en waarmee die persoon redelijkerwijs identificeerbaar is voor een andere persoon (HvJEU 20 december 2017, ECLI:EU:C:2017:994, [partij] ).
4.12.
Verder is relevant voor de beoordeling van het verzoek het arrest van het HvJEU van 17 juli 2014 (ECLI:EU:C:2014:2081, IND). In deze zaak heeft het HvJEU – kort samengevat – overwogen dat een juridische analyse persoonsgegevens kan bevatten, maar de juridische analyse op zich zelf niet kan worden gekwalificeerd als persoonsgegeven in de zin van artikel 2 onder a van de Richtlijn persoonsgegevens. Anders dan de gegevens die de feitelijke basis kunnen vormen voor de juridische analyse, kan de analyse zelf niet door de betrokkene worden gecontroleerd op de juistheid ervan en worden gerectificeerd. In zijn arrest van 16 maart 2018 (ECLI:NL:HR:2018:365) heeft de Hoge Raad – onder verwijzing naar de overwegingen van het HvJEU in dit arrest – overwogen dat de Richtlijn persoonsgegevens die door de Wbp is geïmplementeerd, de betrokkene in staat stelt te controleren of zijn persoonsgegevens juist zijn en rechtmatig zijn verwerkt, ter bescherming van het recht van betrokkene op eerbiediging van zijn persoonlijke levenssfeer. Die controle kan dan leiden tot rectificatie, uitwissing of afscherming van de gegevens.
Het inzagerecht strekt zich daarnaast niet uit tot (delen van) interne notities die de persoonlijke gedachten en/of opvattingen van medewerkers van de verwerkingsverantwoordelijke of derden bevatten en die uitsluitend bedoeld zijn voor intern overleg en beraad (drie uitspraken van HR 29 juni 2007: ECLI:NL:HR:2007:AZ4663, AZ4664 en BA3529).
4.13.
De verwerkingsverantwoordelijke (in dit geval Ola) kan inzage weigeren indien dit noodzakelijk is voor de bescherming van de rechten en vrijheden van anderen (artikel 15 lid 4 AVG en artikel 41 lid 1 sub i UAVG [9] ). Uit de wetsgeschiedenis volgt dat ook de verwerkingsverantwoordelijke zelf wordt begrepen onder ‘anderen’ in dit verband. Deze bepaling bevat een uitzondering op toegekende rechten en moet daarom restrictief worden uitgelegd. Of in een concreet geval een dergelijke grond bestaat die tot beperking of afwijzing van het verzoek moet leiden, moet door de rechter na afweging van alle betrokken belangen worden beslist. Bij een beroep op deze uitzonderingsbepaling rust de stelplicht in beginsel op de verwerkingsverantwoordelijke (in dit geval Ola).
4.14.
Het inzagerecht op grond van de AVG is in beginsel ongeclausuleerd. Onder omstandigheden mogen aan een inzageverzoek nadere eisen worden gesteld (vgl. de conclusie van A-G Wuisman voor Hoge Raad 25 maart 2016, ECLI:NL:PHR:2016:1 en Hoge Raad 25 maart 2016, ECLI:NL:HR:2016:508). Wanneer een verwerkingsverantwoordelijke een grote hoeveelheid gegevens betreffende de betrokkene verwerkt, moet hij de betrokkene voorafgaand aan de informatieverstrekking kunnen verzoeken om te preciseren op welke informatie of welke verwerkingsactiviteiten het verzoek betrekking heeft (overweging 63 van de AVG).
4.15.
Met toepassing van de hiervoor genoemde uitgangspunten beoordeelt de rechtbank het inzageverzoek van [verzoekers] als volgt.
Het algemene verzoek
4.16.
[verzoekers] wensen inzage in alle op hen betrekking hebbende persoonsgegevens die Ola verwerkt. [verzoekers] stellen zich op het standpunt dat zij dit verzoek niet nader hoeven toe te lichten, omdat Ola op grond van artikel 5 lid 1 onder a AVG volledige transparantie moet bieden in de persoonsgegevens die zij verwerkt.
4.17.
In genoemd artikel is bepaald dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene transparant is. In overweging 39 van de AVG is opgenomen dat het transparantiebeginsel met name betreft het informeren van betrokkenen over de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking, alsook verdere informatie om te zorgen voor behoorlijke en transparante verwerking met betrekking tot natuurlijke personen in kwestie en hun recht om bevestiging en mededeling te krijgen van hun persoonsgegevens die worden verwerkt. In de gegeven omstandigheden kunnen [verzoekers] niet volstaan met een beroep op het transparantiebeginsel. Ola mag overeenkomstig overweging 63 van de AVG vragen om een specificering van de persoonsgegevens die [verzoekers] wensen te ontvangen, omdat zij een groot aantal gegevens verwerkt. Verder heeft Ola aan [verzoekers] al een groot aantal persoonsgegevens verstrekt. Gelet hierop had het op de weg van [verzoekers] gelegen om nader te specificeren op welke informatie of verwerkingsactiviteiten van Ola het verzoek nu nog betrekking heeft. Dit hebben zij in onvoldoende mate gedaan. Hierdoor is het verzoek van [verzoekers] om inzage in alle persoonsgegevens die Ola van [verzoekers] verwerkt te algemeen en zo weinig concreet dat het als onvoldoende bepaald wordt afgewezen.
4.18.
[verzoekers] hebben in hun spreekaantekeningen voor de mondelinge behandeling een tabel met een aantal gegevens opgenomen waarin zij inzage verzoeken. Een toelichting op deze gegevens ontbreekt. Hierdoor kan de rechtbank niet vaststellen of het om persoonsgegevens in de zin van artikel 4 onder 1 AVG gaat. Bovendien heeft Ola zich niet adequaat tegen het verzoek om inzage in deze gegevens kunnen verweren, hetgeen in strijd is met de goede procesorde. De rechtbank zal de in de tabel genoemde gegevens daarom buiten beschouwing laten.
4.19.
Hierna zal het inzageverzoek in specifiek genoemde categorieën van persoonsgegevens worden beoordeeld. Deze categorieën zijn genoemd in de privacyverklaring van Ola en het document ‘How we process your data’. Bij elke categorie zal worden beoordeeld of Ola terecht weigert om inzage in de verzochte gegevens te verlenen, omdat dit noodzakelijk is voor de bescherming van de rechten en vrijheden van passagiers of Ola zelf (artikel 15 lid 4 AVG en artikel 41 lid 1 sub i UAVG). Anders dan [verzoekers] betogen, kan niet worden gezegd dat zij in het algemeen recht hebben op inzage in persoonsgegevens van passagiers vanwege de contractuele relatie tussen de chauffeur en de passagier. Nog daargelaten dat een eventuele contractuele verplichting van een passagier jegens een chauffeur niet kan worden ingeroepen jegens Ola, moet Ola bij het verstrekken van informatie aan [verzoekers] ook de privacyrechten van de passagier in acht nemen.
Customer transactions, booking cancellation history en booking acceptance history
4.20.
Volgens [verzoekers] heeft Ola geen adequate inzage geboden in de categorieën ‘customer transactions, booking cancellation history en booking acceptance history’, omdat inzage in het ‘driver ID, unique trip ID, timestamp for start & finish, GPS for start & finish’ en ‘upfront pricing’ ontbreken. Verder verschillen de datasets die [verzoekers] hebben ontvangen. Zij wensen in ieder geval de volgende data te ontvangen: ‘dispatch record, jobs offered, time of offer, time of driver acceptance/rejection, passenger cancellation, driver cancellation, completion, time out of offer’.
4.21.
Ola voert aan dat een chauffeur de verzochte gegevens kan inzien in de Ola Driver App. Met betrekking tot ‘customer transactions’ kan een chauffeur financiële informatie inzien in de Ola Driver App, maar de gegevens van passagiers worden niet verstrekt ter bescherming van de privacyrechten van de passagier.
4.22.
[verzoekers] hebben onvoldoende weersproken dat de verzochte persoonsgegevens kunnen worden ingezien in, en gedownload via, de Ola Driver App. Bij deze stand van zaken gaat de rechtbank ervan uit dat [verzoekers] over de verzochte persoonsgegevens kunnen beschikken. De gegevens van de passagiers die transacties met de chauffeur hebben gedaan hoeft Ola niet te verstrekken. Deze gegevens zijn niet relevant voor de beoordeling door [verzoekers] van de rechtmatigheid van de verwerking, terwijl informatie over de persoon die de transactie heeft gedaan een aantasting kan opleveren van de (privacy)rechten van deze persoon. Dit deel van het verzoek zal dus worden afgewezen.
Ratings
4.23.
[verzoekers] wensen inzage in de ‘rating history’ en de door individuele passagiers gegeven ratings. Volgens [verzoekers] zijn deze gegevens bepalend voor de hoeveelheid en de kwaliteit van de ritten die aan hen worden aangeboden en kunnen slechte beoordelingen leiden tot deactivering van de accounts van chauffeurs. [verzoekers] stellen dat het risico op identificatie van passagiers bij verstrekking van deze gegevens miniem is, omdat chauffeurs niet over direct identificerende gegevens van passagiers beschikken. De ratinggegevens kunnen daardoor niet aan een individuele herleidbare persoon worden gekoppeld, aldus [verzoekers]
4.24.
Ola voert aan dat een chauffeur zijn huidige rating die is gebaseerd op de door passagiers gegeven ratings kan inzien in de Ola Driver App. Verder voert zij aan dat zij geen door passagiers gegeven individuele ratings kan verstrekken ter bescherming van de (privacy)rechten van de passagiers. Daarnaast is een rating volgens Ola een gegeven dat niet voor correctie in aanmerking komt, zodat een rating niet onder de reikwijdte van het inzagerecht valt.
4.25.
Anders dan Ola betoogt is een rating ofwel beoordeling van een chauffeur een persoonsgegeven in de zin van artikel 4 onder 1 AVG, omdat dit informatie is die vanwege zijn inhoud gelieerd is aan een bepaald persoon, en die persoon daarmee redelijkerwijs identificeerbaar is voor een ander. Dit betekent dat Ola inzage moet verlenen in de verzochte ratinggegevens voor zover deze gegevens niet kunnen worden ingezien in de Ola Driver App. Wel geldt dat Ola de (privacy)rechten van passagiers in acht moet nemen bij het verstrekken van de verzochte gegevens. Ola moet ervoor zorgen dat de gegevens niet herleidbaar zijn tot de passagier die de rating heeft gegeven, bijvoorbeeld door deze gegevens in geanonimiseerde vorm te verstrekken. Immers, wie de rating heeft gegeven is niet relevant, terwijl informatie over de persoon die de rating heeft gegeven een aantasting kan opleveren van de (privacy)rechten van deze persoon. Ola is met inachtneming van de hiervoor genoemde voorwaarden gehouden inzage te verlenen in de ratinggegevens.
GPS-data
4.26.
[verzoekers] verzoeken inzage in de volledige GPS-data van iedere rit. Zij stellen dat zij enkel de GPS-data van het begin en het einde van de door hen uitgevoerde ritten in een bepaalde periode hebben ontvangen, terwijl Ola beschikt over de volledige GPS-data. Verder zijn de GPS-data niet voorzien van datum en tijd, waardoor de verstrekte gegevens voor [verzoekers] onbegrijpelijk zijn. Voor [verzoekers] is inzage in de GPS-data essentieel om te kunnen analyseren hoeveel tijd aan ritten en onbetaalde kilometers wordt besteed. Ook wordt het tarief op basis van GPS-data bepaald.
4.27.
Ola voert aan dat inzage in de volledige GPS-data van iedere rit niet nodig is om te kunnen controleren of de verwerking van die gegevens juist is. Zij heeft aan [verzoekers] tabellen verstrekt waarin de locatiegegevens en andere relevante rit informatie zijn opgenomen. Daarmee heeft Ola voldaan aan haar verplichting door een overzicht in begrijpelijke vorm van de verwerkte gegevens te verstrekken. Met de verstrekte informatie moeten [verzoekers] in staat zijn om de rechtmatigheid van de verwerking te kunnen controleren. Verder komen (rauwe) GPS-data niet voor correctie in aanmerking zoals bedoeld in het IND-arrest. Bovendien hebben [verzoekers] toegang tot hun rithistorie in de Ola Driver App en heeft Ola inzage gegeven in de tijdstippen waarop [verzoekers] zich
‘on-duty’of
‘off-duty’hebben gemeld. Aan de hand van die verkregen informatie kunnen [verzoekers] analyseren hoeveel tijd zij aan ritten en aan onbetaalde kilometers hebben besteed. Als Ola meer informatie zou moeten verstrekken, dan komen de belangen van anderen in het geding, aldus steeds Ola.
‘on-duty’of
‘off-duty’hebben gemeld. Aan de hand van die verkregen informatie kunnen [verzoekers] analyseren hoeveel tijd zij aan ritten en aan onbetaalde kilometers hebben besteed. Als Ola meer informatie zou moeten verstrekken, dan komen de belangen van anderen in het geding, aldus steeds Ola.
4.28.
Locatiegegevens kunnen worden gekwalificeerd als persoonsgegevens (zie artikel 4 onderdeel 1 AVG). Deze gegevens zijn immers herleidbaar tot een persoon, met name als deze gegevens worden gecombineerd met andere gegevens. Dit is tussen partijen ook niet in geschil. Net als bij de eerder besproken categorie ratinggegevens geldt ook hier dat voor de beoordeling van de rechtmatigheid van de gegevensverwerking niet relevant is welke passagier is vervoerd, terwijl informatie over de passagier een aantasting kan opleveren van de (privacy)rechten van deze persoon. Ola hoeft dus geen inzage te verstrekken in de locatie- en bewegingsgegevens van passagiers ter voorkoming dat deze gegevens herleidbaar zijn tot de passagier. Verder volgt uit de door Ola aan [verzoekers] verstrekte informatie dat [verzoekers] inzage hebben verkregen in de datum en tijd van de rit, de start- en eindlocatie van de rit, de afstand van de rit en de prijs van de rit. Mede gelet op de omstandigheid dat [verzoekers] inzage in hun rithistorie hebben via de Ola Driver App, hebben [verzoekers] onvoldoende concreet toegelicht in welke overige gegevens zij inzage wensen. Daarbij komt dat zij de stelling van Ola dat GPS-data niet voor correctie in aanmerking komen niet gemotiveerd hebben weersproken. Dit deel van het verzoek zal daarom worden afgewezen.
Device data
4.29.
[verzoekers] stellen dat Ola geen volledige inzage in ‘device data’ heeft verstrekt. Deze gegevens zijn van belang, omdat hierin onder andere
‘in app messages’en locatiegegevens zijn opgenomen.
‘in app messages’en locatiegegevens zijn opgenomen.
4.30.
Ola voert aan dat zij al inzage in locatiegegevens heeft verstrekt (zie hiervoor onder 4.27). Ook heeft zij de verwerkte gegevens van mobiele apparaten en andere randapparatuur van [verzoekers] verstrekt. Zij verwerkt technische informatie over de mobiele telefoon van een chauffeur en de batterijstatus om diensten te kunnen leveren. Volgens Ola ziet deze informatie uitsluitend op het apparaat en kan deze niet als persoonsgegeven worden gekwalificeerd, zodat zij die informatie niet hoeft te verstrekken.
4.31.
Hiervoor onder 4.28 is al overwogen dat Ola geen verdere inzage in de locatiegegevens hoeft te verstrekken. Wat [verzoekers] bedoelen met
‘in app messages’is niet toegelicht. Nu [verzoekers] stellen dat gegevens over ‘device data’ ontbreken, had het op hun weg gelegen om de ontbrekende gegevens nader te specificeren (zie hiervoor onder 4.17). Door dat na te laten is dit deel van het verzoek te algemeen en zal het daarom worden afgewezen.
‘in app messages’is niet toegelicht. Nu [verzoekers] stellen dat gegevens over ‘device data’ ontbreken, had het op hun weg gelegen om de ontbrekende gegevens nader te specificeren (zie hiervoor onder 4.17). Door dat na te laten is dit deel van het verzoek te algemeen en zal het daarom worden afgewezen.
Het verzoek om informatie over geautomatiseerde besluitvorming en profilering
4.32.
[verzoekers] verzoeken inzage in het bestaan van geautomatiseerde besluitvorming en profilering op grond van artikel 15 lid 1 aanhef en onder h AVG. In dit artikel is bepaald dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het bestaan van geautomatiseerde besluitvorming, waaronder profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
4.33.
Partijen verschillen van mening over de reikwijdte van het inzagerecht met betrekking tot geautomatiseerde besluitvorming en profilering. De in de AVG opgenomen rechten en verplichtingen betreffen verschillende categorieën van geautomatiseerde verwerking van persoonsgegevens. In de Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering [10] worden de volgende categorieën genoemd:
- algemene profilering zonder besluitvorming;
- besluitvorming op basis van profilering die niet uitsluitend geautomatiseerd is;
- uitsluitend geautomatiseerde besluitvorming, waaronder profilering, waaraan rechtsgevolgen zijn verbonden of die de betrokkene anderszins in aanmerkelijke mate treft.
4.34.
Voor alle gevallen geldt dat de verwerkingsverantwoordelijke op grond van artikel 12 lid 1 AVG betrokkenen beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke informatie over de verwerking van hun persoonsgegevens moet verstrekken.
Profilering
4.35.
In artikel 4 onderdeel 4 AVG is profilering gedefinieerd als iedere vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen.
4.36.
Een betrokkene moet worden geïnformeerd over het bestaan van profilering en de gevolgen daarvan (overweging 60 van de AVG). Artikel 15 AVG geeft de betrokkene het recht informatie te verkrijgen over eventuele persoonsgegevens die voor profilering worden gebruikt, waaronder de categorieën van gegevens die zijn gebruikt om een profiel op te stellen. De verwerkingsverantwoordelijke heeft, ingevolge artikel 15 lid 3 AVG, de plicht de gegevens ter beschikking te stellen die als invoer voor het aanmaken van het profiel zijn gebruikt. Daarnaast moet hij toegang verschaffen tot informatie over het profiel en gegevens over de segmenten waarin de betrokkene is ingedeeld. Dit recht mag geen afbreuk doen aan de rechten en vrijheden van anderen (artikel 15 lid 4 AVG). Daaronder worden begrepen het zakengeheim of de intellectuele eigendom en met name het auteursrecht dat de onderliggende software beschermt (overweging 63 AVG).
Geautomatiseerde besluitvorming
4.37.
Op grond van artikel 22 AVG hebben [verzoekers] het recht, behoudens een aantal uitzonderingen, om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking of profilering gebaseerd besluit, waaraan voor hen rechtsgevolgen zijn verbonden of dat hen anderszins in aanmerkelijke mate treft. Van een uitsluitend op geautomatiseerde verwerking gebaseerd besluit is sprake indien er geen betekenisvolle menselijke tussenkomst is in het besluitvormingsproces.
4.38.
In de Richtsnoeren is vermeld dat de drempel voor “aanmerkelijke mate” vergelijkbaar moet zijn met de mate waarin de betrokkene wordt getroffen bij een besluit waaraan een rechtsgevolg is verbonden. Gegevensverwerking treft iemand volgens de Richtsnoeren in aanmerkelijke mate wanneer de effecten van de verwerking groot of belangrijk genoeg zijn om aandacht te verdienen. Het besluit moet het potentieel hebben om de omstandigheden, het gedrag of de keuzen van de betrokken personen in aanmerkelijke mate te treffen; een langdurig of blijvend effect op de betrokkene te hebben; of in het uiterste geval, tot uitsluiting of discriminatie van personen te leiden. In overweging 71 AVG worden als voorbeelden van geautomatiseerde besluitvorming genoemd: automatische weigering van een online ingediende kredietaanvraag of verwerking van sollicitaties via internet zonder menselijke tussenkomst.
4.39.
Geautomatiseerde besluitvorming is onder meer toegestaan als het betreffende besluit noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke of berust op de uitdrukkelijke toestemming van de betrokkene (artikel 22 lid 2 aanhef en onder a en c AVG). In dat geval moet de verwerkingsverantwoordelijke nog wel passende maatregelen treffen, waaronder ten minste het recht op menselijke tussenkomst, het recht voor betrokkene om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten (artikel 22 lid 3 AVG en overweging 71 AVG).
4.40.
Bij geautomatiseerde besluitvorming in het kader van een overeenkomst of op basis van toestemming gaat het om transparantie over de mate waarin geautomatiseerde besluitvorming een rol speelt bij de uitvoering van de overeenkomst. De betrokkene moet zich bij het aangaan van de overeenkomst bewust zijn van het eventuele gebruik van geautomatiseerde besluitvorming en profilering. [11]
4.41.
Artikel 15 lid 1 aanhef en onder h AVG verplicht de verwerkingsverantwoordelijke ‘nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van de verwerking’ te verstrekken. Deze begrippen zijn niet gedefinieerd in de AVG. In de Richtsnoeren is opgenomen dat het er om gaat dat de betrokkene kan begrijpen wat de achterliggende gedachte is van het besluit of op grond van welke criteria dat besluit genomen is. De begrippen ‘belang’ en ‘verwachte gevolgen’ duiden erop dat informatie moet worden verstrekt over de beoogde of toekomstige verwerking en over de wijze waarop de geautomatiseerde besluitvorming de betrokkene zou kunnen treffen. Met inachtneming van de toelichting in de Richtsnoeren verstaat de rechtbank onder ‘nuttige informatie over de onderliggende logica’ dat de belangrijkste beoordelingscriteria en de rol hiervan op het geautomatiseerde besluit aan de betrokkene wordt medegedeeld, zodat hij kan begrijpen op grond van welke criteria dat besluit is genomen en in staat is de juistheid en rechtmatigheid van de gegevensverwerking te controleren.
4.42.
Met toepassing van de hiervoor genoemde uitgangspunten beoordeelt de rechtbank het verzoek van [verzoekers] als volgt.
4.43.
Tussen partijen is (terecht) niet in geschil dat Ola gerechtigd is om gebruik te maken van geautomatiseerde besluitvorming en profilering voor zover dit noodzakelijk is voor de uitvoering van de overeenkomst tussen Ola en [verzoekers] Verder is niet in geschil dat Ola gebruik maakt van persoonsgegevens om geautomatiseerde beslissingen te nemen. In het document ‘How we process your data’ heeft Ola toegelicht bij welke beslissingen zij gebruik maakt van geautomatiseerde besluitvorming en profilering en welke (persoons)gegevens zij daarbij gebruikt. [verzoekers] stellen dat de door Ola verstrekte informatie onvolledig is. Volgens [verzoekers] ontbreekt informatie over geautomatiseerde besluitvorming en profilering die Ola toepast bij de hierna genoemde processen.
Fraud probability score
4.44.
[verzoekers] stellen zich op het standpunt dat de ‘fraud probality score’ een vorm van profilering is in de zin van artikel 4 onderdeel 4 AVG. Ola voert aan dat de ‘fraud probability score’ een intern gegeven is dat wordt gebruikt voor de handhaving van regels en afspraken, waarin Ola geen inzage hoeft te geven. De score betreft een inschatting van de kans dat een betrokkene frauduleus zal handelen. Volgens Ola valt informatie over de score buiten de reikwijdte van het inzagerecht overeenkomstig de redenering van het IND-arrest. Voor zover de verzochte informatie wel onder het inzagerecht valt, doet Ola een beroep op de uitzondering van artikel 15 lid 4 AVG en artikel 41 lid 1 sub i UAVG ter bescherming van (de integriteit van) haar diensten en haar handhavingsbeleid.
4.45.
Bij toepassing van de ‘fraud probability score’ is sprake van profilering in de zin van artikel 4 onderdeel 4 AVG. Door geautomatiseerde verwerking van persoonsgegevens van [verzoekers] wordt immers een risicoprofiel opgesteld waarmee een voorspelling wordt gedaan over hun gedrag en betrouwbaarheid. [verzoekers] hebben evenwel niet gesteld en evenmin is gebleken dat op basis van dit risicoprofiel ten aanzien van hen geautomatiseerde beslissingen zijn genomen. De rechtbank gaat er daarom vanuit dat geen sprake is van geautomatiseerde besluitvorming in de zin van artikel 22 AVG. Dat neemt niet weg dat Ola inzage moet verstrekken in de persoonsgegevens van [verzoekers] die zij heeft gebruikt om het risicoprofiel op te stellen en gegevens moet verschaffen over de segmenten waarin [verzoekers] zijn ingedeeld, zodat [verzoekers] kunnen controleren of die gegevens juist zijn (zie hiervoor onder 4.36).
4.46.
Het beroep van Ola op de uitzondering van lid 4 van artikel 15 AVG slaagt niet. Ola had moeten stellen op grond van welk gewichtig belang zij inzage in de persoonsgegevens weigert en waarom dat belang zwaarder weegt dan het recht van [verzoekers] op inzage in de gevraagde gegevens. Dat heeft Ola in onvoldoende mate gedaan. Zij heeft niet duidelijk gemaakt in hoeverre het verschaffen van inzage in de verwerkte persoonsgegevens [verzoekers] inzicht bieden in haar werkwijze en handhavingsbeleid en het systeem dat zij daarvoor gebruikt, waardoor [verzoekers] bepaalde veiligheidsmaatregelen zouden kunnen omzeilen.
Earning profile
4.47.
Volgens Ola is het ‘earning profile’ een profiel(aspect) dat wordt gebaseerd op een combinatie van verschillende parameters, zoals de omzet, aanwezigheid, het aantal uren dat een chauffeur per dag is ingelogd en de score. Op basis daarvan kan Ola bepaalde chauffeurs een bonus geven.
4.47.
Hoewel de mogelijkheid om een bonus te verkrijgen een zekere invloed zal hebben op het gedrag van de chauffeur, is niet gebleken van een rechtsgevolg of een aanmerkelijk effect, zoals bedoeld in de Richtsnoeren. Artikel 22 lid 1 AVG is daarom niet van toepassing. Wel moet er in het algemeen van uit worden gegaan dat er bij toepassing van een bonussysteem sprake is van verwerking van persoonsgegevens als het doel daarvan is het nemen van beslissingen ten aanzien van één persoon, namelijk het wel of niet toekennen van een bonus. Verder is sprake van profilering in de zin van artikel 4 onderdeel 4 AVG, omdat de beroepsprestaties van de chauffeur worden geëvalueerd. Dit betekent dat Ola inzage moet geven in de persoonsgegevens van [verzoekers] die zij heeft gebruikt om het profiel op te stellen en gegevens moet verschaffen over de segmenten waarin [verzoekers] zijn ingedeeld, zodat [verzoekers] kunnen controleren of die gegevens juist zijn (zie hiervoor onder 4.36).
Guardian
4.48.
Ola maakt gebruik van het systeem Guardian om onregelmatigheden te signaleren. Met dit systeem monitort Ola ritten om de veiligheid van chauffeurs en passagiers te bevorderen. Ola heeft de werking van dit systeem als volgt toegelicht. Als een passagier eerder wordt afgezet of sprake is van een onaangekondigde tussentijdse stop, dan wordt hierover door een medewerker contact opgenomen met de passagier en soms ook met de chauffeur om te verifiëren of alles in orde is. Er wordt geen automatisch besluit genomen als het systeem een onregelmatigheid signaleert en het besluit heeft geen rechtsgevolgen of andere aanmerkelijke gevolgen. Daarom is volgens Ola geen sprake van geautomatiseerde besluitvorming in de zin van artikel 22 lid 1 AVG.
4.49.
[verzoekers] bestrijden de door Ola gegeven toelichting op het systeem. Volgens [verzoekers] volgt uit een persbericht dat het systeem is gebaseerd op kunstmatige intelligentie en ‘machine learning’. Daarmee is naar het oordeel van de rechtbank nog niet gezegd dat sprake is van geautomatiseerde besluitvorming zoals bedoeld in artikel 22 lid 1 AVG. Bovendien is daarvoor vereist dat ook sprake is van rechtsgevolgen of dat [verzoekers] anderszins in aanmerkelijke mate door het geautomatiseerde besluit worden getroffen. Een toelichting op dit punt ontbreekt. De rechtbank gaat er daarom van uit dat geen sprake is van geautomatiseerde besluitvorming in de zin van artikel 22 lid 1 AVG. Nu artikel 15 lid 1 onder h AVG enkel betrekking heeft op dergelijke besluiten wordt dit gedeelte van het verzoek afgewezen. Wel moet Ola inzage verstrekken in de persoonsgegevens van [verzoekers] die door het systeem Guardian zijn verwerkt.
Het toedelen van ritten
4.50.
Tussen partijen staat vast dat de beslissing om een rit aan een chauffeur toe te delen via het matching-systeem van Ola geautomatiseerd wordt genomen. Ola voert terecht aan dat een dergelijke beslissing niet onder de reikwijdte van artikel 22 AVG valt. Hoewel het voor de hand ligt dat deze beslissing een zekere invloed zal hebben op de uitvoering van de overeenkomst tussen Ola en de chauffeur, is niet gebleken dat sprake is van een rechtsgevolg of een aanmerkelijk effect zoals bedoeld in de Richtsnoeren. Nu artikel 15 lid 1 aanhef en onder h AVG enkel betrekking heeft op dergelijke besluiten wordt dit gedeelte van het verzoek afgewezen. Over de persoonsgegevens die door het matching-systeem worden verwerkt heeft Ola informatie verstrekt in het document ‘How we process your data’. Die informatie is voldoende. Er is geen grond om Ola te verplichten meer of andere informatie te verstrekken over dit systeem.
Het opleggen van kortingen en boetes
4.51.
Het voorgaande is anders met betrekking tot het geautomatiseerde besluitvormingsproces van Ola waarmee wordt bepaald dat ritten niet geldig zijn en als gevolg daarvan kortingen of boetes (‘penalties en deductions’) worden opgelegd. Uit de toelichting van Ola op dit besluitvormingsproces volgt dat voorafgaand aan een dergelijke beslissing geen menselijke tussenkomst plaatsvindt. Anders dan Ola betoogt heeft de beslissing om een korting of boete op te leggen effecten die belangrijk genoeg zijn om aandacht te verdienen en die het gedrag of de keuzes van de betrokken persoon in aanmerkelijke mate treffen zoals bedoeld in de Richtsnoeren. Immers, een dergelijke beslissing leidt tot een sanctie waardoor de rechten van [verzoekers] uit hoofde van de overeenkomst met Ola worden beïnvloed. Dit betekent dat op Ola een verbod rust om [verzoekers] aan dergelijke besluitvorming te onderwerpen, tenzij dit noodzakelijk is voor de uitvoering van de overeenkomst tussen Ola en [verzoekers] , of Ola hiervoor uitdrukkelijke toestemming van [verzoekers] heeft verkregen. Ola heeft echter niet gesteld, en evenmin is gebleken dat hiervan sprake is. De rechtbank gaat er daarom vanuit dat een uitzondering op het verbod zoals bedoeld in artikel 22 lid 2 AVG zich niet voordoet. Daardoor wordt niet toegekomen aan de beantwoording van de vraag of Ola passende waarborgen in de zin van lid 3 van artikel 22 AVG heeft getroffen.
4.52.
Het voorgaande betekent dat Ola aan [verzoekers] informatie moet verstrekken waarmee de gemaakte keuzes, gebruikte gegevens en aannames op basis waarvan de geautomatiseerde beslissing wordt genomen inzichtelijk en controleerbaar zijn. Ola moet de belangrijkste beoordelingscriteria en de rol hiervan op het geautomatiseerde besluit aan [verzoekers] meedelen, zodat zij kunnen begrijpen op grond van welke criteria de besluiten zijn genomen en zij in staat zijn de juistheid en rechtmatigheid van de gegevensverwerking te controleren (zie hiervoor onder 4.41).
Verwerkingsdoeleinden en doorgifte aan een derde land buiten de Europese Unie
4.53.
Verder verzoeken [verzoekers] inzage in de verwerkingsdoeleinden van de persoonsgegevens, de betrokken categorieën van persoonsgegevens, de ontvangers aan wie de persoonsgegevens zijn verstrekt, de bewaartermijn voor de persoonsgegevens en, indien sprake is van doorgifte van persoonsgegevens aan ontvangers in derde landen, welke passende waarborgen Ola daarvoor conform artikel 46 AVG heeft getroffen (zie artikel 15 lid 1 aanhef en onder a, b, c en d en lid 2 AVG).
4.54.
Ola heeft in haar privacyverklaring, haar reactie op de inzageverzoeken van [verzoekers] en in haar verweerschrift nadere informatie over deze onderwerpen verstrekt. [verzoekers] heeft hierop niet meer gereageerd. De rechtbank gaat er daarom van uit dat dit deel van het inzageverzoek afdoende is beantwoord.
Het verzoek om gegevens over te dragen
4.55.
[verzoekers] verzoeken tot slot dat Ola zal worden bevolen de hen betreffende gegevens, voor zover deze vallen binnen de reikwijdte van artikel 20 AVG, aan hen te verstrekken in de vorm van een CSV-bestand, of door middel van een API of een TTP, zodat de gegevens kunnen worden overgedragen aan de databank van WIE.
4.56.
Ola voert aan dat dit verzoek moet worden afgewezen, omdat het onvoldoende bepaald is en daarmee niet aan de vereisten van artikel 278 Rv voldoet. Verder voert zij aan dat artikel 20 AVG geen verstrekking van gegevens in CSV-bestand of door middel van een API voorschrijft, maar slechts een formaat dat ‘machineleesbaar’ is. Daarnaast voert zij aan dat het verzoek moet worden afgewezen, omdat zij de informatie die onder de beperkte reikwijdte van het recht op gegevensoverdraagbaarheid valt, al aan [verzoekers] heeft verstrekt.Tot slot beroept zij zich op de bescherming van de rechten en vrijheden van anderen, waaronder passagiers en Ola zelf (artikel 20 lid 4 AVG).
4.57.
Op grond van artikel 20 AVG heeft de betrokkene het recht de persoonsgegevens die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerd, gangbaar en machineleesbaar formaat te verkrijgen van de verwerkingsverantwoordelijke en deze zonder daarbij te worden gehinderd over te dragen. Gegevensverwerking die onder het recht op gegevensoverdraagbaarheid valt moet berusten op toestemming van de betrokkene of op een overeenkomst waarbij de betrokkene partij is en moet geautomatiseerd plaatsvinden. De persoonsgegevens die moeten worden opgenomen zijn (i) persoonsgegevens over de betrokkene en (ii) gegevens die door de betrokkene aan een verwerkingsverantwoordelijke zijn verstrekt. Het recht op gegevensoverdraagbaarheid mag geen afbreuk doen aan de rechten en vrijheden van anderen.
4.58.
Uit overweging 68 AVG volgt dat het formaat waarin deze gegevens worden verstrekt de interoperabiliteit van de gegevens mogelijk moet maken, dat wil zeggen dat deze gegevens kunnen worden uitgewisseld tussen verschillende ICT-systemen.
Volgens de Richtlijnen moet het formaat interpreteerbaar zijn en de betrokkene een zo groot mogelijke mate van gegevensoverdraagbaarheid bieden. Als er binnen een bepaalde bedrijfstak geen specifieke formaten gangbaar zijn kan worden uitgegaan van gangbare openbare formaten, zoals XML, JSON en CSV. Onder machineleesbaar wordt in overweging 21 van Richtlijn 2013/37/EU [12] een bestandsformaat verstaan met een zodanige structuur dat softwaretoepassingen gemakkelijk specifieke gegevens, met inbegrip van individuele feitelijke beweringen, kunnen identificeren, herkennen en extraheren.
4.59.
De rechtbank concludeert op grond van hetgeen hiervoor is overwogen dat artikel 20 AVG niet zonder meer een verplichting inhoudt om de persoonsgegevens in een CSV-bestand of door middel van een API te verstrekken. Uit de stellingen van [verzoekers] volgt niet dat Ola de hen betreffende persoonsgegevens heeft verstrekt in een formaat waarmee het onmogelijk is om deze gegevens aan een andere verwerkingsverantwoordelijke door te zenden.
4.60.
Verder geldt net als bij het eerder besproken inzageverzoek (zie hiervoor onder 4.17) ook hier dat Ola al persoonsgegevens heeft verstrekt en [verzoekers] in onvoldoende mate hebben gespecificeerd op welke verdere persoonsgegevens het verzoek betrekking heeft. Het verzoek om Ola te bevelen om alle persoonsgegevens die binnen de reikwijdte van artikel 20 AVG vallen te verstrekken is te algemeen en zo weinig concreet dat het als onvoldoende bepaald moet worden afgewezen.
4.61.
De overige verweren van Ola tegen het verzoek tot overdracht van persoonsgegevens, waaronder het verweer dat [verzoeker 3] hierin niet-ontvankelijk is, omdat hij voorafgaand aan deze procedure daartoe geen verzoek heeft gedaan, behoeven geen bespreking meer.
Conclusie
4.62.
Het voorgaande betekent dat Ola inzage moet verstrekken in de hiervoor onder 4.25, 4.45, 4.47, 4.49 en 4.52 genoemde (persoons)gegevens. Om Ola hiervoor voldoende de tijd te geven zal de termijn waarin Ola deze gegevens moet verstrekken worden bepaald op twee maanden na de betekening van deze beschikking. Voor het overige zullen de verzoeken worden afgewezen.
Dwangsom
4.63.
De verzochte dwangsom zal worden afgewezen. Voorshands is het vertrouwen gerechtvaardigd dat Ola vrijwillig aan het bevel tot inzage zal voldoen en zich zal inspannen om de betreffende persoonsgegevens te verstrekken. Ola heeft immers al eerder gedeeltelijke inzage in persoonsgegevens verstrekt.
Proceskosten
4.64.
Elk van de partijen is op enig punt in het (on)gelijk gesteld. Daarom zullen de proceskosten worden gecompenseerd.
5.De beslissing
De rechtbank
5.1.
beveelt Ola om binnen twee maanden na betekening van deze beschikking, aan [verzoekers] afschrift of inzage te verstrekken in de hiervoor onder 4.25, 4.45, 4.47, 4.49 en 4.52 genoemde (persoons)gegevens op de daarin vermelde wijze,
5.2.
verklaart deze beschikking tot zover uitvoerbaar bij voorraad,
5.3.
compenseert de proceskosten tussen partijen, in die zin dat iedere partij de eigen kosten draagt;
5.4.
wijst het meer of anders verzochte af.
Deze beschikking is gegeven door mr. O.J. van Leeuwen, mr. M.C.H. Broesterhuizen en mr. M.L.S. Kalff, rechters, bijgestaan door mr. Z.S. Lintvelt, griffier, en in het openbaar uitgesproken op 11 maart 2021.