De rechtbank Den Haag heeft onlangs uitspraak gedaan in een zaak waar een rechthebbende gegevens vorderde van een internetprovider. De zaak ging tussen een Amerikaanse rechthebbende, Dish Network, een aanbieder van betaaltelevisie die auteursrechtelijke beschermde programmering aan abonnees in de Verenigde Staten aanbiedt, en de hosting provider WorldStream.
Volgens Dish Network maken aanbieders van programmeringsdiensten inbreuk op haar rechten. Deze aanbieders bieden via hun websites set-top boxen (decodeerkastjes) aan, die contact maken met een authentication server, waardoor toegang tot de content van Dish Network wordt verkregen, zonder dat de afnemer daarvoor aan Dish Network hoeft te betalen. Dish Network wil daarom de gegevens van verschillende IP-adressen van de authentication server die gehost worden door WorldStream. WorldStream wil deze gegevens echter niet zomaar afstaan, omdat volgens haar niet zeker is dat Dish Network wel rechthebbende is en omdat zij hiermee ook de privacyrechten van haar gebruikers schendt.
De voorzieningenrechter oordeelt dat Dish Network op basis van Amerikaans recht en verschillende licenties voldoende heeft aangetoond rechthebbende te zijn van de content. Interessant is wat de voorzieningenrechter daarna overweegt over de vraag of de AVG de verstrekking van de gegevens verhindert. Volgens de voorzieningenrechter is dit niet het geval. Sterker nog, er rust op WorldStream op grond artikel 6 lid 1 aanhef en onder f AVG “een rechtsplicht tot afgifte (verwerking) van persoonsgegevens aan Dish Network als (a) sprake is van een gerechtvaardigd belang, (b) de verwerking noodzakelijk is en (c) het belang van Dish Network behoort te prevaleren boven het belang van de betrokken klant van WorldStream.”. Dit is opmerkelijk, aangezien artikel 6 AVG grondslagen geeft op grond waarvan een organisatie persoonsgegevens mag verwerken. Dit betekent niet dat als een van de grondslagen van toepassing is, de organisatie ook moet verwerken.
De voorzieningenrechter verwees voor dit oordeel naar de zaak Dutch Filmworks/Ziggo. In deze zaak wilde Filmdistributeur Dutch Filmworks beschikking over de klantgegevens van Ziggo behorend bij 377 IP-adressen die volgens Dutch Filmworks waren gebruikt om de film The Hitman’s Bodyguard uit 2017 van een illegale bron te downloaden. Het hof oordeelde daar dat bij de vraag of er een rechtsplicht rust op Ziggo om gegevens af te staan, moet worden gekeken of de AVG dit verhindert. Volgens de AVG moet verstrekking van gegevens berusten op een grondslag, en omdat de gebruikers van Ziggo geen toestemming hadden gegeven voor een dergelijke verstrekking, bleef ook daar alleen de grondslag van artikel 6 lid 1 onder f over. Indien de belangenafweging die bij de grondslag onder f gemaakt dient te worden in het voordeel uitvalt van de rechthebbende, kan de provider volgens het Hof veroordeeld worden de gegevens te verstrekken. Dit betekent echter niet dat artikel 6 lid 1 aanhef en onder f AVG een rechtsplicht behelst voor providers om gegevens af te staan.
De voorzieningenrecht in de Dish Network zaak gaat ook in op de belangenafweging. Volgens de voorzieningenrechter prevaleren de rechten van Dish Network, omdat Dish Network voldoende heeft aangetoond dat de WorldStream klanten achter de specifieke IP-adressen grootschalige inbreuk maken op haar auteursrechten. Daarnaast heeft zij aangegeven deze vermeende inbreukmakers in rechte te willen aanspreken en de schade te willen verhalen. Volgens de voorzieningenrechter gaat daarom het betoog van WorldStream dat de belangen van haar klanten zwaarder moeten wegen omdat Dish Network niet heeft onderbouwd hoe zij de rechten van de klanten van WorldStream zal waarborgen en/of wat de schade behelst, wat de hoogte van die schade is en wat dit per individuele klant gaat betekenen en/of welke actie(s) Dish Network daarbij zal inzetten, niet op. Volgens de voorzieningenrechter is de wijze waarop Dish Network de rechten van de klanten van WorldStream zal waarborgen niet aan de orde, omdat Dish Network een buitenlandse organisatie is in de zin van hoofdstuk V van de AVG. In dit hoofdstuk is geregeld dat doorgifte van persoonsgegevens aan organisaties buiten de EU alleen onder bepaalde voorwaarden is toegestaan, zodat een adequaat beschermingsniveau blijft gewaarborgd. Aan deze voorwaarden wordt niet voldaan, maar volgens de voorzieningenrechter kan Dish Network een beroep doen op de uitzondering van artikel 49 lid 1 onder e AVG. Dit houdt in dat wanneer de doorgifte van gegevens noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering, deze alsnog kan plaatsvinden. Waarom de toepassing van deze uitzondering maakt dat de rechter de wijze waarop Dish Network de rechten van de klanten van WorldStream zal waarborgen niet meer hoeft te beoordelen, iets wat haaks staat op het arrest van het hof Arnhem-Leeuwarden, wordt niet toegelicht door de voorzieningenrechter. Artikel 44 AVG veronderstelt juist dat bij internationale doorgifte altijd ook nog een geldige grondslag voor de gegevensverwerking moet zijn. In het geval van de f-grond behelst dit ook het waarborgen van de rechten van de klanten van WorldStream.
Dat Dish Network zich kan beroepen op de uitzondering van artikel 49 lid 1 onder e AVG is bovendien opvallend omdat de voorzieningenrechter afwijkt van de European Data Protection Board (voorheen de Artikel 29 Werkgroep). Volgens de board moet er een zeer nauw verband zijn tussen de doorgifte en de betreffende procedure waarin de rechtsvordering wordt ingesteld. De voorzieningenrechter erkent dat aan deze eis niet is voldaan, maar concludeert desondanks dat van deze norm moet worden afgeweken. De vraag is of deze conclusie wenselijk is omdat het dan wel erg aantrekkelijk wordt om opsporing van inbreuken of ander onrechtmatig handelen buiten de waarborgen van de AVG te plaatsen door ze in het buitenland te laten plaatsvinden.
