ECLI:NL:RBAMS:2024:4479

vonnis RECHTBANK AMSTERDAM Afdeling privaatrecht, voorzieningenrechter civiel zaaknummer / rolnummer: C/13/753085 / KG ZA 24-562 EAM/LO Vonnis in kort geding van 23 juli 2024 in de zaak van de besloten vennootschap met beperkte aansprakelijkheid BUNQ B.V., gevestigd te Amsterdam, eiseres bij dagvaarding op verkorte termijn van 3 juli 2024, advocaat mr. Chr.A. Alberdingk Thijm te Amsterdam, tegen de besloten vennootschap met beperkte aansprakelijkheid MEDIAHUIS NRC B.V., gevestigd te Amsterdam, gedaagde, advocaten mr. J.P. van den Brink en mr. L. Oranje te Amsterdam. Partijen zullen hierna Bunq en NRC worden genoemd.

1.1. Ter zitting van 9 juli 2024 heeft Bunq de vorderingen zoals omschreven in de dagvaarding en in de akte wijziging eis toegelicht. NRC heeft verweer gevoerd, mede aan de hand van een vooraf ingediende conclusie van antwoord. Beide partijen hebben producties en een pleitnota ingediend. 1.2. Ter zitting waren aanwezig: aan de kant van Bunq: [naam 1] , [naam 2] , [naam 3] , [naam 4] en [naam 5] , met mr. Alberdingk Thijm en zijn kantoorgenoot mr. A.D. van Lunteren; aan de kant van NRC: [naam 6] en [naam 7] , beiden journalist, met mr. Van den Brink en mr. Oranje. 1.3. Vonnis is bepaald op heden.

2.1. NRC is een landelijk dagblad. Zij heeft maandelijks 82 miljoen page views op nrc.nl en bereikt gemiddeld 2,5 miljoen mensen per maand. 2.2. Bunq is een Nederlandse bank, opgericht in 2012. Zij heeft ruim 12,5 miljoen klanten, verspreid over Europa. 2.3. Bunq heeft geen receptionisten of kantoorpersoneel in dienst. Alle diensten en communicatie vinden beveiligd plaats via haar online platform, de Bunq-app. Onderdeel van de bedrijfsfilosofie is dat alle medewerkers worden geacht regelmatig klantcontact te hebben. Zij moeten iedere week tenminste drie hulpvragen van klanten beantwoorden. Om die vragen te kunnen beantwoorden hebben de medewerkers toegang tot de gegevens van klanten, in de beveiligde omgeving Retool. 2.4. Medewerkers van Bunq communiceren intern via Slack, een zakelijke chat-app. In 2022 vond via Slack een discussie plaats tussen verschillende medewerkers. In die discussie kaart een medewerker aan dat zij zich zorgen maakt over een gebrek aan privacy, omdat alle medewerkers toegang hebben tot alle klantgegevens, en dat dat voor haar een reden is om geen rekening te nemen bij Bunq. Verschillende medewerkers delen die zorgen, en de discussie gaat over welke waarborgen Bunq heeft in haar systemen, en hoe dat in de toekomst verbeterd kan worden. Ook de CEO van Bunq, [naam 1] , mengt zich in de discussie. Hij schrijft onder meer het volgende. en later in de discussie: 2.5. In een (interne) risico-inventarisatie van Bunq uit december 2022 staat onder meer het volgende. “Data access events are being logged (although technical details on which events and with which attribute detail are not yet documented nor audited for guaranteed performance) but no monitoring or alerting exist for these logs. This allows for data breaches to happen without chance of detection by an internal oversight function, in roughly 3 types of scenarios: (…) 2. Malicious insider (employee) abuses their access for the same purpose as described at (1), either as a perpetrator or bribed as an accomplice to an external party [examples: Facebook, GGD, Belastingdienst], or in response to blackmail by an external party. 3. Malicious insider (employee) abuses their access for privacy-invading requests to spy on other employees, private family or friends [examples: ABN1, ABN2] or famous people (example: HagaZiekenhuis), out of curiosity or envy.” 2.6. Op 24 mei 2024 heeft NRC een artikel van de hand van [naam 6] gepubliceerd met de titel “101.410 euro kwijt in 39 minuten: het sms’je bleek toch niet van bunq te zijn”. Het artikel gaat over zogenoemde helpdeskfraude bij klanten van Bunq, die voor grote bedragen zijn opgelicht. 2.7. Op 31 mei 2024 heeft NRC weer een artikel gepubliceerd over Bunq, met de titel “Bunq, de bank die ‘NOOIT belt’, belt nu toch”. Het artikel gaat over hoe Bunq omgaat met de afhandeling van de fraude. 2.8. Op 7 juni 2024 heeft NRC een derde artikel over Bunq gepubliceerd, met de titel “Onlinebank bunq komt met veiligheidsmaatregelen na oplichtingsschandalen”. 2.9. Op 21 juni 2024 heeft NRC het artikel gepubliceerd, met de titel “Bunq gaat slachtoffers bankfraude alsnog compenseren”. 2.10. In een e-mail van 24 juni 2024 heeft NRC (Rengers) vragen gesteld aan Bunq, omdat NRC een aantal (oud-)medewerkers heeft gesproken die hebben verteld klantgegevens te hebben bekeken voor privédoeleinden (‘rekening gluren’). Bunq is gevraagd wat haar reactie op die beschuldiging is, en daarnaast is een aantal vragen gesteld, onder meer over hoe de toegang tot klantgegevens is geregeld en of er een systeem van monitoring is. 2.11. In een brief van 25 juni 2024 heeft de advocaat van Bunq aan NRC laten weten dat de beschuldiging van rekening gluren duidt op een mogelijk datalek. Bunq is verplicht om een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens (AP) en heeft daarom NRC gevraagd meer informatie te geven over de incidenten die zij beschrijft. 2.12. In een e-mail van 26 juni 2024 heeft NRC aan de advocaat van Bunq laten weten geen informatie te zullen verstrekken over haar onderzoek en bronmateriaal, en geen aanleiding te zien om de publicaties aan te passen. 2.13. In een e-mail van 26 juni 2024 heeft een woordvoerder van Bunq aan NRC de volgende reactie gezonden. “Aangezien herhaaldelijk is gebleken dat feiten selectief worden uitgezocht, quotes worden verdraaid en onjuiste beweringen keer op keer worden gepubliceerd, willen we graag dat onze reactie integraal bij het stuk wordt geplaatst: Bij bunq stellen we onze gebruikers centraal. Daarom willen we dat (vrijwel) alle medewerkers, van de CEO tot de bedrijfsjurist, onze gebruikers moeten kunnen helpen met hun vragen. Hiervoor is toegang tot gebruikersgegevens nodig. Om dit goed en veilig te doen volgt iedereen binnen bunq verschillende trainingen, waaronder privacy- en securitytrainingen. Alle medewerkers tekenen bovendien een geheimhoudingsverklaring en leggen de bankierseed af. Eventuele misstanden kunnen gemeld worden bij de team lead, via de whistleblower procedure of de company confidant. NRC zegt zich te baseren op vier (oud-)medewerkers die hun bevoegdheid om hulp te kunnen verlenen aan onze gebruikers voor andere doeleinden zouden hebben gebruikt. Als dat waar is, betekent dit dat zij hun belofte en verantwoordelijkheden ernstig hebben geschonden. Wij hebben in het belang van de privacy van onze gebruikers NRC gevraagd ons te informeren over de feiten en omstandigheden van dit vermeende misbruik. Helaas heeft de NRC hier geen gehoor aan gegeven. Wij zullen de bevoegde autoriteiten daarom in kennis stellen op basis van de ons nu bekende informatie.” 2.14. Eveneens op 26 juni 2024 heeft Bunq een melding gedaan van een mogelijk datalek bij de AP. 2.15. Op 26 juni 2024 heeft NRC een artikel gepubliceerd met de titel “Bunq-werknemers keken stiekem in klantrekeningen: ‘Het was te verleidelijk’”. Het is een uitgebreid artikel, waarin oud-medewerkers aan het woord komen die vertellen in klantgegevens te hebben gekeken voor privédoeleinden, om bijvoorbeeld salarissen van collega’s te bekijken of gegevens over een geliefde te achterhalen. In het artikel wordt de suggestie gewekt dat Bunq niet genoeg doet om dit rekening gluren te voorkomen. Ook wordt geciteerd uit de Slack-discussie (zie 2.4), waarbij de gebruikersnamen van de medewerkers worden genoemd. Het artikel is op 26 juni 2024 online verschenen, en op 27 juni 2024 op de voorpagina van de papieren krant, met een vervolg op pagina’s 6 en 7. Onderaan het artikel, in een apart kader, heeft NRC de volgende reactie van Bunq geplaatst. 2.16. In een brief van 27 juni 2024 heeft de advocaat van Bunq NRC gesommeerd om de namen in het artikel te anonimiseren, de Slack-discussie te verwijderen en bepaalde feitelijke onjuistheden in het artikel te corrigeren.

3.1. Bunq vordert – samengevat en na wijziging van eis – bij vonnis uitvoerbaar bij voorraad: I. NRC te bevelen om namen van (oud-)medewerkers uit haar artikelen via welk medium dan ook en op welke wijze dan ook, te verwijderen en verwijderd te houden; II. NRC te bevelen het artikel van 26 juni 2024 zo aan te passen dat de aangehaalde delen van de Slack-discussie worden verwijderd en verwijderd blijven; III. NRC te bevelen een rectificatie te plaatsen, op de wijze die in de dagvaarding is opgenomen, waarvan de tekst er – kort gezegd – op neerkomt dat NRC selectief en onvolledig heeft geciteerd uit de Slack-discussie en de namen van (oud-)medewerkers niet had mogen noemen; IV. NRC te bevelen geen onjuistheden meer te publiceren op basis van vertrouwelijke interne stukken van Bunq, althans de vertrouwelijke interne stukken waar het in dit geding om gaat; V. NRC te bevelen om internetarchieven zoals de waybackmachine, die een versie van het oorspronkelijke artikel van 26 juni 2024 hebben gearchiveerd waarin de namen van Bunq medewerkers zijn opgenomen, aan te schrijven met het verzoek om die versie van het artikel te laten verwijderen uit het archief; VI. alles op straffe van dwangsommen; VII. met veroordeling van NRC in de proceskoten en de nakosten, te vermeerderen met de wettelijke rente. 3.2. NRC voert verweer. 3.3. Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.

4.1. De vorderingen van Bunq strekken – onder meer – tot een publicatieverbod, het aanpassen van een reeds gepubliceerd artikel en een rectificatie. Toewijzing van die vorderingen zou betekenen dat het grondrecht van NRC op vrijheid van meningsuiting, zoals bepaald in artikel 10 lid 1 van het EVRM, wordt beperkt. Zoals lid 2 van artikel 10 EVRM bepaalt brengt de vrijheid van meningsuiting bepaalde plichten en verantwoordelijkheden mee, en kan deze worden beperkt als dat bij wet is voorzien, bijvoorbeeld om de goede naam en de rechten van anderen te beschermen. Zo’n beperking die bij wet is voorzien doet zich voor als een publicatie onrechtmatig is in de zin van artikel 6:162 BW. 4.2. Voor het antwoord op de vraag of de publicatie onrechtmatig is, moeten de wederzijdse belangen, die in beginsel gelijkwaardig zijn, tegen elkaar worden afgewogen. Het belang van Bunq is dat zij niet lichtvaardig wordt blootgesteld aan verdachtmakingen. Het belang van NRC is dat zij zich in het openbaar kritisch, informerend en waarschuwend moet kunnen uitlaten over kwesties (of misstanden) die de samenleving raken. Bij deze belangenafweging komen alle omstandigheden van het geval aan bod. Bijdrage aan publiek debat? 4.3. Een van die omstandigheden is of de publicatie een bijdrage levert aan een debat over een onderwerp van algemeen belang. Daarvan is in dit geval sprake. Indien het juist is dat medewerkers bij Bunq zich oneigenlijke toegang tot klantgegevens verschaffen, en dat de wijze waarop Bunq haar werkprocessen en waarborgen heeft ingericht daaraan bijdraagt, is dat een onderwerp van algemeen belang. Dat het fenomeen ‘rekening gluren’ ook, of zelfs meer, bij andere banken voorkomt, doet daar niet aan af. NRC moet het publiek daarover kunnen informeren. Methode van verkrijgen van relevante informatie 4.4. Een andere omstandigheid die van belang is, is de methode van het verkrijgen van de relevante informatie en de waarheidsgetrouwheid van de verkregen informatie. Bunq heeft in dit kader gesteld dat NRC onzorgvuldig en in strijd met de journalistieke plichten en verantwoordelijkheden heeft gehandeld, door gebruik te maken van interne communicatie. Bunq heeft daarbij een beroep gedaan op artikel 8 EVRM (het recht op eerbiediging van de privacy en de correspondentie) en op artikel 2 lid 1 van de Wet Bedrijfsgeheimen. Vertrouwelijke informatie 4.4.1. NRC heeft bij het verkrijgen van de gegevens (de Slack-discussie) niet wederrechtelijk gehandeld. Zij heeft een screen shot van de chat gekregen van een (oud-)medewerker. Ook heeft zij een interne risico-analyse gekregen van een bron. In beide gevallen ging het weliswaar om interne communicatie, maar daarin worden geen bedrijfsgeheimen prijsgegeven. Er worden geen persoonlijke gegevens gedeeld, geen klantgegevens en de discussie is ook niet speciaal aangemerkt als vertrouwelijk, los van de algemene geheimhoudingsplicht die alle medewerkers hebben voor alle communicatie en gegevens. Er wordt in algemene zin gediscussieerd over de wenselijkheid van toegang tot klantgegevens voor alle medewerkers, en de wijze waarop de privacy is gewaarborgd. Deze informatie levert een bijdrage aan het publieke debat over de vraag of Bunq de bedrijfsprocessen en waarborgen tegen privacy-inbreuken op orde heeft. Gelet op het voorgaande wordt de omstandigheid dat NRC gebruik heeft gemaakt van interne gegevens in dit geval niet doorslaggevend geacht. Waarheidsgetrouwheid/steun in de feiten 4.4.2. Bunq betwist niet zozeer dat oud-medewerkers mogelijk voor privé-doeleinden rekeningen hebben bekeken, maar stelt voornamelijk dat NRC een ongenuanceerd beeld schetst, waardoor Bunq ten onrechte (te) negatief wordt afgeschilderd. Een van de onjuistheden is volgens Bunq dat er selectief is geciteerd uit de Slack-discussie. Zo heeft NRC weggelaten dat [naam 1] , toen hij zich voor het eerst in de discussie mengde, de initiatiefneemster van de discussie heeft gevraagd de lead te nemen bij het controleren of de veiligheidsvoorschriften van Bunq voldoende in acht worden genomen. Ook is onjuist dat de discussie snel eindigt zodra [naam 1] zich in de conversatie mengt. De discussie gaat daarna nog door, waarna ook de Data Protection Officer zich in de discussie mengt, die medewerkers oproept zich (anoniem) bij hem te melden als zich zo’n situatie voordoet. Ook dit heeft NRC niet in het artikel vermeld. Verder is onjuist dat, zoals NRC schrijft, ‘Bunq niet lijkt te willen weten of zijn werknemers de toegang misbruiken’. Eveneens onjuist is dat Bunq alleen om de namen van de oud-medewerkers waarmee NRC heeft gesproken zou hebben gevraagd. NRC heeft daar niet bij vermeld dat Bunq dat vroeg omdat zij verplicht is een melding bij de AP te doen in geval van een mogelijk datalek, en dat Bunq behalve om de namen ook om meer details vroeg. NRC had die details ook (ten behoeve van de melding) kunnen verstrekken zonder daarbij de namen te vermelden. NRC heeft verder niet vermeld dat het een bewuste keuze is van Bunq om al haar medewerkers toegang te geven tot de klantgegevens (zie 2.3), en dat Bunq maar een fractie van het aantal medewerkers van de grootbanken heeft. Bij andere banken heeft weliswaar een beperkt deel van de medewerkers toegang tot de klantgegevens, maar dit zijn er nog altijd veel meer dan alle medewerkers van Bunq die toegang hebben. Als het juist is dat de geïnterviewde medewerkers zich schuldig hebben gemaakt aan rekening gluren, dan is dat aantal niet slecht in vergelijking met de grootbanken, dit alles aldus Bunq. 4.4.3. De voorzieningenrechter overweegt hierover het volgende. NRC heeft uitgebreid onderzoek gedaan, heeft gesproken met vijftien (oud-)medewerkers, met de Nederlandse Vereniging van Banken, de Stichting Tuchtrecht Banken en een cyberexpert, en heeft verschillende documenten ingezien, zoals de risico-analyse en de Slack-discussie. NRC heeft alle kritiekpunten die onder 4.4.2 zijn genoemd verwerkt in haar artikel, al was dat deels pas na het verschijnen van het artikel in zijn oorspronkelijke vorm, net als dat zij de (gebruikers)namen van de medewerkers die in het artikel werden genoemd, na de eerste publicatie heeft verwijderd. NRC heeft de reactie van Bunq, zoals zij die op 26 juni 2024 heeft verstuurd (zie 2.13) integraal bij het artikel geplaatst, zoals Bunq ook heeft verzocht. Ook heeft NRC in het artikel een vergelijking gemaakt met andere banken. Zo wordt in het artikel vermeld dat de afgelopen vijf jaar 43 werknemers, allemaal van grote banken, voor de Tuchtcommissie Banken zijn gedaagd in verband met ‘rekening gluren’. Ook wordt vermeld dat medewerkers een geheimhoudingsverklaring moeten tekenen en een bankierseed afleggen, en dat er een intern waarschuwingssysteem is (maar dat werknemers niet actief worden gecontroleerd op privacyschendingen). Daarmee heeft NRC voldaan aan het beginsel van hoor en wederhoor. Voor zover Bunq in deze procedure daarnaast nog andere waarborgen heeft genoemd, heeft zij die niet aan NRC gemeld toen haar om een reactie werd gevraagd, zodat NRC die ook niet in haar artikel heeft kunnen verwerken. Wel heeft NRC enigszins selectief geciteerd uit de Slack-discussie, door niet te vermelden dat [naam 1] de initiatiefneemster van de discussie heeft gevraagd verder uit te zoeken hoe het zit met de controlesystemen.

4.10. De conclusie is dat de belangenafweging in dit geval in het voordeel van NRC uitvalt en dat de publicatie niet onrechtmatig is. Voor beperking van de uitingsvrijheid van NRC is daarom geen grond. Ook de overige vorderingen van Bunq zullen daarom worden afgewezen. Proceskosten 4.11. Bunq zal als de in het ongelijk gestelde partij in de proceskosten worden veroordeeld. De kosten aan de zijde van NRC worden begroot op: - griffierecht € 688,00 - salaris advocaat 1.107,00 Totaal € 1.795,00 4.12. De nakosten zullen worden toegewezen op de wijze zoals in de beslissing vermeld.

De voorzieningenrechter 5.1. weigert de gevraagde voorzieningen, 5.2. veroordeelt Bunq in de proceskosten, aan de zijde van NRC tot op heden begroot op € 1.795,00, te vermeerderen met de wettelijke rente over dit bedrag met ingang van veertien dagen na de datum van dit vonnis tot de dag van volledige betaling, 5.3. veroordeelt Bunq in de na dit vonnis ontstane kosten, begroot op € 178,00 aan salaris advocaat, te vermeerderen indien het vonnis wordt betekend met een bedrag van € 92,00 aan salaris advocaat en de explootkosten van betekening, en te vermeerderen met de wettelijke rente over deze kosten met ingang van veertien dagen na de betekening van dit vonnis tot aan de voldoening, 5.4. verklaart deze kostenveroordelingen uitvoerbaar bij voorraad. Dit vonnis is gewezen door mr. E.A. Messer, voorzieningenrechter, bijgestaan door mr. L. Oostinga, griffier, en in het openbaar uitgesproken op 23 juli 2024. EHRM 7 februari 2012, nr. 39954/08 (Axel Springer AG/Duitsland) EHRM 10 december 2007, nr. 69698/01 type: LO coll: MV

Gelet op de opmerkingen die [naam 1] verder in de discussie heeft gemaakt (zie 2.4) en waarin hij erop wijst dat de verhalen van ‘rekening gluren’ na onderzoek niet waar bleken te zijn, en dat de situatie bij andere banken nog veel erger is, valt de conclusie van NRC dat Bunq ‘niet lijkt te willen weten of zijn medewerkers de toegang misbruiken’ te rechtvaardigen. Vorm en gevolgen van de publicatie 4.5. Bunq heeft verder aangevoerd dat het artikel sensatiebelust is en dat er zaken uit hun verband zijn getrokken, waardoor de lezer wordt misleid. 4.6. Het artikel is geschreven in een spannende stijl, vergezeld van grote kleurenillustraties van een figuur die met een zaklamp in een portemonnee kijkt, en is in de papieren krant paginagroot op de voorpagina geplaatst, met het vervolg (eveneens paginagroot) op pagina’s 6 en 7. Duidelijk is dat NRC met deze schrijfstijl en presentatie de aandacht van de lezer wil trekken en houden. Dat staat NRC in beginsel ook vrij. Zij mag tot op zekere hoogte overdrijven of provoceren en zelf de aangewezen wijze van berichtgeving kiezen. Dat het artikel negatieve gevolgen heeft voor Bunq, maakt het nog niet onrechtmatig. Een vergelijking met de zaak Stoll/Zwitserland gaat in dit verband niet op. In dat geval oordeelde het EHRM dat de artikelen niet meer in de eerste plaats waren om het publiek te informeren, maar met name om een ambassadeur voorwerp van een schandaal te maken. Daarbij speelde mede een rol dat de koppen van de artikelen en bij de artikelen geplaatste foto’s sensationeel en ongepast waren (ambassadeur in badjas), mede gelet op het onderwerp van het interne document (tegoeden van Joodse oorlogsslachtoffers op Zwitserse bankrekeningen). Van een dusdanige sensationele en ongepaste stijl is in dit geval geen sprake. Namen 4.7. NRC heeft in de oorspronkelijke versie van het artikel de gebruikersnamen van de medewerkers in de Slack-discussie niet geanonimiseerd weergegeven. Daarvoor heeft NRC geen goede reden aangevoerd. Behalve de CEO van Bunq, staan de medewerkers niet in de publieke belangstelling, en NRC had de boodschap heel goed kunnen overbrengen zonder de namen daarbij te noemen. Dat dit geen namen zijn, maar aliassen, zoals NRC stelt, overtuigt niet. Alle gebruikersnamen zijn immers deel of combinatie van een voor- of achternaam, dan wel voorletters en achternaam ( [gebruikersnaam 1] , [gebruikersnaam 2] , [gebruikersnaam 3] ), waardoor de medewerkers eenvoudig herkenbaar zijn. NRC heeft de gebruikersnamen inmiddels verwijderd, heeft voor de eerdere vermelding haar excuses aangeboden – al is zij van mening dat het niet onrechtmatig was – en heeft toegezegd de (gebruikers)namen niet opnieuw te zullen publiceren. 4.8. Nu de namen op eerste verzoek zijn verwijderd en NRC voor het vermelden daarvan haar excuses heeft aangeboden, heeft Bunq geen belang meer bij haar eerste vordering. Een rectificatie van het noemen van die namen wordt, los van de vraag of dat rectificeerbaar is, in deze omstandigheden niet proportioneel geacht. Voor zover het gevorderde verbod ziet op het gebruik van namen in de toekomst, strekt dat te ver. Gelet op de toezegging van NRC is onvoldoende aannemelijk dat NRC in de toekomst weer (gebruikers)namen van medewerkers van Bunq zal publiceren. Internetarchieven 4.9. Bunq heeft evenmin belang bij haar vordering NRC te veroordelen internetarchieven te verzoeken het oorspronkelijke artikel van 26 juni 2024 te verwijderen uit het archief. NRC heeft direct nadat Bunq haar akte wijziging van eis (waarin Bunq dit verzoek voor het eerst kenbaar heeft gemaakt) heeft ingediend, de haar bekende internetarchieven aangeschreven en om verwijdering verzocht. Bunq heeft in haar vordering geen andere internetarchieven genoemd, en onvoldoende aannemelijk is dat NRC eventuele andere internetarchieven niet zal willen aanschrijven na een verzoek daartoe van Bunq.