ECLI:NL:RBROT:2023:12985

RECHTBANK ROTTERDAM Bestuursrecht zaaknummer: ROT 23/2414 uitspraak van de voorzieningenrechter van 23 mei 2023 in de zaak tussen [naam vennootschap], uit [Plaats], verzoekster (gemachtigde: mr. Q.R. Kroes), en de Minister van Economische Zaken en Klimaat, de Minister (gemachtigde: mr. J. Sijbrandij). Inleiding 1. In deze uitspraak beslist de voorzieningenrechter op het verzoek om een voorlopige voorziening van verzoekster tegen het besluit van 23 maart 2023 (bestreden besluit) voor zover daarin is beslist tot openbaarmaking van een bestuurlijke boete van € 400.000. Deze bestuurlijke boete heeft de Minister aan verzoekster opgelegd wegens het, kortgezegd, verwerken van verkeersgegevens om deze uiteindelijk te delen met het Centraal Bureau voor de Statistiek (CBS). Deze boete is opgelegd bij hetzelfde bestreden besluit. Verzoekster wil met het verzoek om een voorlopige voorziening bereiken dat de bestuurlijke boete niet openbaar wordt gemaakt. 2. Verzoekster heeft bezwaar gemaakt tegen het bestreden besluit en heeft de Minister verzocht om in te stemmen met rechtstreeks beroep. De Minister heeft hier nog geen beslissing op genomen. 3. De Minister heeft een verweerschrift ingediend. 4. De voorzieningenrechter heeft het verzoek op 16 mei 2023 op zitting – achter gesloten deuren – behandeld. Hieraan hebben deelgenomen de gemachtigden van partijen. Namens verzoekster zijn ook verschenen mr. Q. Pilon, N. Witten, D. Rinsema en H. Vink. Namens de Minister zijn verder verschenen J.K.M. Beulen, R. den Ouden en H.H.M. Gebbeken.

6. In de bijlage is het wettelijke kader opgenomen. 7. Het bestreden besluit is gebaseerd op de Telecommunicatiewet (Tw). Omdat er geen bijzonder openbaarmakingsregime is voor handhavingsbesluiten van de Minister op grond van de Tw, vormt artikel 3.1. van de Wet open overheid (Woo) de bevoegdheidsgrondslag voor de Minister om tot publicatie van de opgelegde boete over te gaan. 8. Er kan aanleiding bestaan om de door verzoekster verzochte voorlopige voorziening te treffen indien publicatie van de boete verzoekster onevenredig zou benadelen in verhouding tot het met de publicatie te dienen algemeen belang. Voor de vraag of voor het publicatiebesluit een voorziening dient te worden getroffen is in de eerste plaats maatgevend of de boeteoplegging aan verzoekster – in zijn geheel – al dan niet stand zal kunnen houden. Voor een schorsing van het publicatiebesluit is dus geen aanleiding wanneer alleen enige twijfel bestaat over de hoogte van de boetebedragen. Verder kan een beroep worden gedaan op rechtsbeginselen met het oog op de vraag naar de redelijkheid van de inzet van het boete-instrument. Voorgeschiedenis en besluitvorming 9. Verzoekster is voor de periode van 20 september 2017 tot 1 juni 2018 een samenwerking aangegaan met het CBS. Deze ‘Pilot Mobiele Telefoondata’ had als doel het maken van ‘daytime population’ cijfers en toerisme cijfers middels netwerkgegevens van verzoekster. Met daytime population wordt bedoeld dat indirecte schattingen kunnen worden gemaakt van het aantal personen dat in een buurt/gemeente aanwezig is (thuislocatie) en van het aantal bezoekers in deze buurt/gemeente (hierna: tellingen). De overeenkomst met het CBS is tweemaal verlengd: van 1 juni 2018 tot 1 januari 2019 en van 1 januari 2019 tot en met 31 december 2019. Daarna is de samenwerking beëindigd. Ten behoeve van deze samenwerking heeft verzoekster verkeersgegevens verwerkt. 10. Het Agentschap Telecom, thans Rijksdienst Digitale Infrastructuur (tezamen hierna: RDI) heeft onderzoek gedaan naar deze pilot. RDI onderscheidt de volgende stappen in het proces van gegevensverwerking: - In stap 1 heeft verzoekster een kopie gemaakt van haar database ten behoeve van statistische doeleinden. Deze verwerking is volgens RDI niet toegestaan omdat dit doel niet wordt genoemd in artikel 11.5 van de Tw. - In stap 2 zijn de gegevens verrijkt met locatiegegevens. Dat is volgens RDI opnieuw een bewerking zodat een nieuwe dataset met verkeersgegevens ontstond. - In stap 3 is de thuislocatie van een apparaat vastgesteld. Over een periode van 30 dagen is gekeken met welk opstelpunt een randapparaat het meeste contact heeft. Dat betekent dus dat gedurende een periode van 30 dagen gegevens moesten worden vastgehouden om te kunnen bepalen met welke mast het meest contact is gelegd. - In stap 4 is met een algoritmische statistische analyse een tabel gegenereerd met geaggregeerde tellingen van het geschatte aantal randapparaten dat per uur in een bepaald gebied aanwezig was. Tellingen van minder dan vijftien zijn uit de resultaten weggelaten om het risico van herleidbaarheid naar individuele aansluitingen te verkleinen. Zo ontstond de uiteindelijke dataset die naar het CBS is gezonden. De datasets waren gepseudonimiseerd. De sleutels zijn dan op een andere plaats opgeslagen. Met behulp van de sleutels waren de gegevens volgens RDI nog steeds te herleiden naar de oorspronkelijke persoonsgegevens. Voor verzoekster, die toegang had tot de sleutels, bestond dus in beginsel de mogelijkheid om de pseudonimisering (versleuteling) terug te draaien. Of daar al dan niet gebruik van is gemaakt, is niet relevant. Voldoende is volgens RDI dat verzoekster die mogelijkheid had. 11. Bij het bestreden besluit heeft de Minister onder meer het volgende overwogen. Verkeers- en locatiegegevens kunnen diepgaand inzicht bieden in het privéleven, gezinsleven, de woning en communicatie van een persoon. Het verwerken van verkeers- en locatiegegevens is daarom wettelijk beperkt tot een aantal doelen die aanbieders kunnen hebben met deze verwerkingen. Deze doelen zijn gelimiteerd tot de overbrenging van communicatie, facturering, alsmede, onder nadere voorwaarden, marktonderzoek of verkoopactiviteiten met betrekking tot elektronische communicatiediensten of de levering van diensten met toegevoegde waarde. Het doel om uit verkeersgegevens indirecte schattingen te kunnen maken over het aantal personen dat in een gemeente aanwezig is (en het aantal bezoekers in een gemeente), is geen doel zoals bedoeld in artikel 11.5 van de Tw. De Minister volgt niet het standpunt van verzoekster dat de verwerkingen uiteindelijk resulteerden in anonieme data en dat daarom sprake was van geoorloofde verwerkingen. Het gaat er niet om waar die verwerkingen uiteindelijk in moesten resulteren, het gaat erom dat ze niet hadden mogen plaatsvinden omdat artikel 11.5 van de Tw dat verbiedt. Verzoekster heeft verkeersgegevens gedupliceerd. Dit heeft geleid tot dataset I. Vervolgens heeft zij deze gegevens verrijkt, wat tot nieuwe persoonsgegevens heeft geleid (dataset II) die vervolgens verder zijn verwerkt tot dataset III, die uiteindelijk aan het CBS is verstrekt. Ten aanzien van die laatste dataset zijn er geen concrete aanwijzingen dat die niet anoniem was. De daaraan voorafgaande verwerkingen waren in elk geval strijdig met artikel 11.5 van de Tw. Om die reden is aan verzoekster een boete opgelegd.

12. De voorzieningenrechter volgt niet het standpunt van verzoekster dat geen sprake is van een overtreding omdat een aanvullende toets aan de AVG met zich brengt dat de gegevensverwerking geoorloofd was. Artikel 11.5 van de Tw vormt de implementatie van artikel 6 van e-Privacyrichtlijn. Artikel 11.5 van de Tw bevat een limitatieve opsomming van de mogelijkheden voor aanbieders van een openbaar elektronisch communicatienetwerk en aanbieders van een openbare elektronische communicatiedienst om ongeanonimiseerd door hen verwerkte verkeersgegevens met betrekking tot abonnees of gebruikers op te slaan, nadat deze verkeersgegevens niet langer nodig zijn voor de overbrenging van communicatie. De wetgever heeft destijds overwogen dat de e-Privacyrichtlijn en de uitwerking daarvan in hoofdstuk 11 van de Tw ten opzichte van de algemene privacyrichtlijn en de uitwerking daarvan in de Wet bescherming persoonsgegevens (Wbp) een aanvullende werking hebben, waarbij op onderdelen sprake is van een nadere uitwerking van de meer algemene normen uit de algemene privacyrichtlijn onderscheidenlijk de Wbp. Voor specifieke – in de sfeer van elektronische communicatie – voorkomende verwerkingen van persoonsgegevens worden namelijk daarop toegesneden (en in voorkomend geval uitputtende) normen gesteld. Naar het oordeel van de voorzieningenrechter is de verhouding tussen enerzijds de AVG en anderzijds artikel 6 van de e-Privacyrichtlijn en artikel 11.5 van de Tw niet anders. 13. De uitzonderingen van artikel 11.5, tweede, derde, vijfde of zesde lid, van de Tw doen zich niet voor, zodat het voor verzoekster verboden was om niet geanonimiseerde verkeersgegevens met betrekking tot abonnees of gebruikers op te slaan ten behoeve van gegevensverstrekking aan het CBS. Omdat in de fase voor verstrekking aan het CBS sprake is geweest van versleutelde maar niet geanonimiseerde persoonsgegevens is de voorzieningenrechter met de Minister van oordeel dat strikt genomen in de stappen 1, 2 en 3 niet is gehandeld in overeenstemming met artikel 11.5, eerste lid, van de Tw. 14. De vraag is dan vervolgens of de Minister in redelijkheid een bestuurlijke boete heeft kunnen opleggen en of een bestuurlijke boete van € 400.000 evenredig is. Afhankelijk van wat is aangevoerd, kan de inzet van het boete-instrument worden getoetst aan de Unierechtelijke trits geschiktheid, noodzakelijkheid en evenwichtigheid. De voorzieningenrechter stelt aan de hand van het verzoekschrift en de overige stukken vast dat verzoekster in het kader van de ‘Pilot Mobiele Telefoondata’ is overgegaan tot verstrekking van geanonimiseerde persoonsgegevens aan het CBS. Deze gegevensverstrekking zelf is niet verboden en had een publieke doelstelling. Het enige verwijt dat de Minister verzoekster kan maken en ook maakt is dat in de stappen voorafgaand aan die gegevensverstrekking aan het CBS is gewerkt met pseudonimisering, waarbij niet is vastgesteld dat gegevens zijn ontsleuteld. De voorzieningenrechter acht dit, anders dan de Minister, een niet ernstige overtreding. De voorzieningenrechter vraagt zich daarom af of niet had kunnen worden volstaan met een waarschuwing. Indien dan toch de inzet van het boete-instrument opportuun zou zijn, dan is de voorzieningenrechter voorshands van oordeel dat hier sprake is van een wanverhouding tussen vergrijp en boetehoogte. Juist omdat niet valt in te zien dat hier sprake is van een ernstige overtreding, is een boete ter hoogte van bijna de helft van het boetemaximum onevenredig hoog. 15. Gelet hierop ziet de voorzieningenrechter aanleiding om het publicatiegedeelte van het bestreden besluit te schorsen. Gelet hierop behoeven de verdere door verzoekster aangevoerde gronden geen bespreking meer.

16. De voorzieningenrechter wijst het verzoek toe en treft de voorlopige voorziening dat het bestreden besluit voor zover dit ziet op publicatie van de boete is geschorst totdat uitspraak wordt gedaan in de hoofdzaak, met dien verstande dat deze voorziening eerder vervalt indien de Minister zijn besluit in bezwaar handhaaft en geen beroep wordt ingesteld. 17. Omdat de voorzieningenrechter het verzoek toewijst moet de Minister het griffierecht aan verzoekster vergoeden. Daarom krijgt verzoekster ook een vergoeding van haar proceskosten. De Minister moet deze vergoeding betalen. De vergoeding is met toepassing van het Besluit proceskosten bestuursrecht als volgt berekend. Voor de rechtsbijstand door een gemachtigde krijgt verzoekster een vast bedrag per proceshandeling. De gemachtigde heeft het verzoekschrift ingediend en aan de zitting deelgenomen. Elke proceshandeling heeft een waarde van € 837. De vergoeding bedraagt dan in totaal € 1.674.

De voorzieningenrechter: - schorst het bestreden besluit voor zover dit ziet op de publicatie van de boete; - bepaalt dat de Minister het griffierecht van € 365,- aan verzoekster moet vergoeden; - veroordeelt de Minister tot betaling van € 1.674,- aan proceskosten aan verzoekster. Deze uitspraak is gedaan door mr. E. Lunenberg, voorzieningenrechter, in aanwezigheid van mr. R. Stijnen, griffier. De uitspraak is uitgesproken in het openbaar op 23 mei 2023. griffier voorzieningenrechter Een afschrift van deze uitspraak is verzonden aan partijen op: Tegen deze uitspraak staat geen hoger beroep of verzet open. Bijlage Uit artikel 3.1. van de Wet open overheid volgt dat het bestuursorgaan dat het rechtstreeks aangaat, bij de uitvoering van zijn taak uit eigen beweging de bij het bestuursorgaan berustende informatie neergelegd in documenten voor eenieder openbaar maakt, indien dit zonder onevenredige inspanning of kosten redelijkerwijs mogelijk is, behoudens voor zover de artikelen 5.1, eerste, tweede en vijfde lid, en 5.2 aan openbaarmaking in de weg staan of met de openbaarmaking geen redelijk belang wordt gediend. Deze informatie betreft in ieder geval informatie over het beleid, inclusief de voorbereiding, uitvoering, naleving, handhaving en evaluatie. Artikel 4, onderdeel 2, van Verordening (EU) 2016/679 (algemene verordening gegevensbescherming: AVG) bevat de volgende definitie: “verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. Artikel 6 van de geconsolideerde Richtlijn 2002/58/EG (richtlijn betreffende privacy en elektronische communicatie; e-Privacyrichtlijn) luidt: “1. Verkeersgegevens met betrekking tot abonnees en gebruikers die worden verwerkt en opgeslagen door de aanbieder van een openbaar elektronische-communicatienetwerk of -dienst, moeten, wanneer ze niet langer nodig zijn voor het doel van de transmissie van communicatie, worden gewist of anoniem gemaakt, onverminderd de leden 2, 3 en 5, alsmede artikel 15, lid 1. 2. Verkeersgegevens die noodzakelijk zijn ten behoeve van de facturering van abonnees en interconnectiebetalingen mogen worden verwerkt. Die verwerking is slechts toegestaan tot aan het einde van de termijn waarbinnen de rekening in rechte kan worden aangevochten of de betaling kan worden afgedwongen. 3. De aanbieder van een openbare elektronischecommunicatiedienst mag ten behoeve van de marketing van elektronischecommunicatiediensten of voor de levering van diensten met toegevoegde waarde de in lid 1 bedoelde gegevens verwerken voor zover en voor zolang dat nodig is voor dergelijke diensten of marketing, indien de abonnee of de gebruiker waarop de gegevens betrekking hebben daartoe zijn voorafgaande toestemming heeft gegeven. Gebruikers of abonnees kunnen hun toestemming voor de verwerking van verkeersgegevens te allen tijde intrekken. 4. De dienstenaanbieder moet de abonnee of gebruiker in kennis stellen van de soorten verkeersgegevens die worden verwerkt en van de duur van de verwerking voor de in lid 2 genoemde doeleinden en, voorafgaand aan het verkrijgen van diens toestemming, voor de in lid 3 genoemde doeleinden. 5. De verwerking van verkeersgegevens overeenkomstig de leden 1 tot en met 4 mag alleen worden uitgevoerd door personen die werkzaam zijn onder het gezag van de aanbieders van de openbare communicatienetwerken of -diensten voor facturering of verkeersbeheer, behandeling van verzoeken om inlichtingen van klanten, opsporing van fraude en marketing van elektronische-communicatiediensten van de aanbieder of de levering van diensten met toegevoegde waarde, en moet beperkt blijven tot hetgeen noodzakelijk is om die activiteiten te kunnen uitvoeren. 6. De leden 1, 2, 3 en 5 zijn van toepassing onverminderd de mogelijkheid voor de bevoegde organen om overeenkomstig de toepasselijke wetgeving in kennis te worden gesteld van verkeersgegevens met het oog op het beslechten van geschillen, in het bijzonder met betrekking tot interconnectie en facturering.” In artikel 11.1, aanhef en onder c, van de Tw is bepaald dat in dit hoofdstuk en de daarop berustende bepalingen wordt verstaan onder verwerking van verkeersgegevens: verwerking als bedoeld in artikel 4, onderdeel 2, van de AVG, met dien verstande dat de desbetreffende handelingen mede betrekking hebben op verkeersgegevens van abonnees die geen natuurlijke personen zijn. Artikel 11.5 van de Tw luidt als volgt: “1. De aanbieder van een openbaar elektronisch communicatienetwerk en de aanbieder van een openbare elektronische communicatiedienst verwijderen dan wel anonimiseren de door hen verwerkte en opgeslagen verkeersgegevens met betrekking tot abonnees of gebruikers, zodra deze verkeersgegevens niet langer nodig zijn ten behoeve van de overbrenging van communicatie, onverminderd het tweede, derde en vijfde lid. 2. De aanbieder mag verkeersgegevens verwerken die noodzakelijk zijn voor facturering, waaronder het opstellen van een factuur voor een abonnee of voor degene die zich tegenover de aanbieder rechtens verbonden heeft die factuur te voldoen, dan wel ten behoeve van een betaling van verleende toegang. De verkeersgegevens mogen worden verwerkt tot het einde van de wettelijke termijn waarbinnen de factuur in rechte kan worden betwist of de betaling in rechte kan worden afgedwongen. 3. De aanbieder van elektronische communicatiediensten mag voorts de in het eerste lid bedoelde verkeersgegevens verwerken, voor zover en voor zolang dat noodzakelijk is voor: a. marktonderzoek of verkoopactiviteiten met betrekking tot elektronische communicatiediensten, of b. de levering van diensten met toegevoegde waarde, mits de abonnee of de gebruiker waarop de verkeersgegevens betrekking hebben daarvoor voorafgaand aan de verwerking zijn toestemming heeft gegeven. De abonnee of gebruiker kan de gegeven toestemming voor de verwerking van verkeersgegevens te allen tijde intrekken. 4. De aanbieder stelt de abonnee of gebruiker in kennis van de soorten verkeersgegevens die worden verwerkt voor de in het tweede en derde lid bedoelde doeleinden alsmede omtrent de duur van de verwerking. Voor zover het de verwerking van verkeersgegevens ten behoeve van de doeleinden, bedoeld in het derde lid betreft, wordt de desbetreffende informatie verstrekt voorafgaand aan het verkrijgen van de in dat lid bedoelde toestemming van de abonnee of gebruiker. 5. De verwerking van verkeersgegevens in overeenstemming met het eerste tot en met vierde lid mag alleen geschieden door personen die werkzaam zijn onder het gezag van de aanbieder voor facturering, verkeersbeheer, behandeling van verzoeken om inlichtingen van klanten, opsporing van fraude alsmede marktonderzoek of verkoopactiviteiten met betrekking tot elektronische communicatiediensten of de levering van diensten met toegevoegde waarde en moet beperkt blijven tot hetgeen noodzakelijk is om die activiteiten te kunnen uitvoeren. 6.