Home

Parket bij de Hoge Raad, 29-01-2021, ECLI:NL:PHR:2021:83, 20/00003

Parket bij de Hoge Raad, 29-01-2021, ECLI:NL:PHR:2021:83, 20/00003

Gegevens

Instantie
Parket bij de Hoge Raad
Datum uitspraak
29 januari 2021
Datum publicatie
25 februari 2021
ECLI
ECLI:NL:PHR:2021:83
Formele relaties
Zaaknummer
20/00003

Inhoudsindicatie

Art. 81 lid 1 RO. Bescherming persoonsgegevens. Art. 6 AVG. Vordering filmdistributeur tot afgifte van naam- en adresgegevens van klanten van internetserviceprovider in verband met illegaal downloaden.

Conclusie

PROCUREUR-GENERAAL

BIJ DE

HOGE RAAD DER NEDERLANDEN

Nummer 20/00003

Zitting 29 januari 2021

CONCLUSIE

B.J. Drijber

In de zaak van

Dutch Filmworks B.V.,

eiseres tot cassatie,

verweerster in het voorwaardelijk incidenteel cassatieberoep,

advocaat: A.M. van Aerde

tegen

1. Ziggo B.V.

2. Ziggo Services B.V.,

verweerders in cassatie,

eiseressen in het voorwaardelijk incidenteel cassatieberoep,

advocaten: S.M. Kingma en J.W. de Jong

Deze kort geding-procedure draait om de vraag of een internet service provider (ook aangeduid als ‘access provider’) kan worden verplicht om aan de rechthebbende op intellectuele eigendomsrechten de NAW-gegevens te verstrekken die horen bij IP-adressen van waaraf een film illegaal volgens die rechthebbende is gedownload. Het grondrecht op bescherming van intellectuele eigendom staat tegenover het grondrecht op bescherming van persoonsgegevens en privacy van de internetgebruikers. Net als de voorzieningenrechter heeft het hof geoordeeld dat het aanpakken van ‘illegale downloaders’ onder voorwaarden rechtmatig is, maar dat in dit geval de rechthebbende te weinig rekening heeft gehouden met de belangen van de betrokken internetgebruikers. Daarom zijn de vorderingen van de rechthebbende afgewezen. Die beslissing acht ik te billijken, hoewel een andere uitkomst op zichzelf denkbaar was geweest.

1 Feiten

1.1

In deze zaak kan van het volgende worden uitgegaan.1

1.2

Eiseres tot cassatie (hierna: DFW) is één van de grootste onafhankelijke filmdistributeurs van Nederland. DFW is voor de in 2017 uitgebrachte speelfilm The Hitman's Bodyguard (hierna: de Film) de sub-distributeur voor Nederland. DFW is gerechtigd om, mede namens de andere rechthebbenden op werken in de Film, op te treden tegen inbreuken op IE-rechten.

1.3

Verweerders in cassatie (hierna: Ziggo c.s.) verrichten onder meer diensten op het gebied van het verlenen van internettoegang. Om toegang tot het internet te krijgen is een Internet Protocol-adres (hierna: IP-adres) vereist. Access providers als Ziggo c.s. kennen aan hun klanten een IP-adres toe. Dat wordt gekoppeld aan het apparaat dat de klant aan deze aansluiting hangt, bijvoorbeeld een router, waardoor met meerdere toestellen/apparaten van dezelfde internetverbinding gebruik kan worden gemaakt. Ziggo c.s. houdt bij welk IP-adres op welk tijdstip aan welke abonnee is toegewezen.

1.4

DFW heeft vanaf 2015 haar voornemen bekend gemaakt om handhavend op te treden tegen personen die films illegaal downloaden waarop zij de rechten heeft. Omdat daarbij persoonsgegevens worden verwerkt, heeft DFW het ‘Protocol Online handhaving intellectuele eigendomsrechten’ (hierna: het Protocol) opgesteld.2 Het Protocol ziet op de verzameling en de vastlegging van IP-adressen en van de daarmee samenhangende persoonsgegevens met betrekking tot naam, adres en woonplaats (hierna: NAW-gegevens) van de abonnees van access providers. Om deze gebruikers aan te kunnen spreken dient DFW te beschikken over hun NAW-gegevens, die bij de access provider (hier: Ziggo c.s.) bekend zijn.

1.5

DFW heeft op 17 maart 2017 (de toenmalige versie van) het Protocol gemeld bij de Autoriteit Persoonsgegevens (hierna: AP).3 Bij (definitief) besluit van 5 december 2017 (hierna: het Besluit) heeft het AP een rechtmatigheidsoordeel gegeven.4 Zij heeft geoordeeld dat de in het Protocol beschreven werkwijze “voldoende waarborgen bevat, zodat de AP besluit de voorgenomen verwerking rechtmatig te achten.”

1.6

Gedurende de periode van 21 december 2017 tot en met 2 februari 2018 heeft het Duitse bedrijf Tecxipio GmbH (hierna: Tecxipio) in opdracht van DFW het uitwisselen van de Film via BitTorrent-netwerken gemonitord. BitTorrent is een techniek die gebruikers in staat stelt over het internet bestanden te downloaden vanaf computers van internetgebruikers. Het bestand wordt in kleine deeltjes gehakt, zodat deze deeltjes bij verschillende gebruikers kunnen worden gedownload. De downloader zoekt via het internet verbinding met aanbieders die deeltjes van dit bestand aanbieden (de uploaders).5

1.7

Bij brief van 6 april 2018 heeft DFW Ziggo c.s. verzocht aan haar opgave te doen van de NAW-gegevens van 174 IP-adressen van klanten van Ziggo c.s.,6 die in de periode van 21 januari 2018 tot en met 28 januari 2018 door Tecxipio zijn gemonitord. De personen achter deze IP-adressen zouden in die periode betrokken zijn geweest bij een ongeautoriseerde uitwisseling van de Film via het BitTorrent-netwerk.

1.8

Op 25 april 2018 heeft Ziggo c.s. aan DFW geantwoord dat zij de opgevraagde gegevens, voor zover nog beschikbaar, zal bewaren maar dat zij niet vrijwillig tot afgifte daarvan zal overgaan.7 Zij heeft voorts aan DFW meegedeeld dat het verzoek en de bijlagen te weinig informatie bevatten om te kunnen concluderen dat, en welke, klanten van Ziggo c.s. inbreuk hebben gemaakt op de rechten van de bij DFW aangesloten rechthebbenden op de Film.

1.9

Bij brief van 4 mei 2018 heeft DFW aan Ziggo c.s. een aanvullend verzoek tot afgifte van NAW-gegevens gedaan betreffende nog eens 203 IP-adressen.8 Deze lijst ziet op de periode van 2 januari 2018 tot en met 1 februari 2018.

1.10

Ziggo c.s. heeft de NAW-gegevens niet aan DFW op vrijwillige basis verstrekt.

2 Procesverloop

Eerste aanleg

2.1

Op 11 januari 2019 heeft DFW Ziggo c.s. in kort geding gedagvaard voor de voorzieningenrechter van de rechtbank Midden-Nederland, locatie Utrecht, en, samengevat, gevorderd dat de voorzieningenrechter Ziggo c.s. (hoofdelijk) zal bevelen om van de abonnementhouders van de relevante IP-adressen, samengevat, de navolgende (identificerende) gegevens aan DFW te verstrekken:9 voornaam, achternaam, adresgegevens en het e-mailadres. DFW heeft tevens gevorderd dat het gevraagde bevel wordt versterkt met een dwangsom en dat Ziggo c.s. in de proceskosten wordt veroordeeld.

2.2

De voorzieningenrechter heeft de vorderingen van DFW bij vonnis van 8 februari 2019 afgewezen.10 De voorzieningenrechter overweegt dat een wettelijke grondslag is vereist op grond waarvan een internet service provider als Ziggo c.s. kan worden verplicht tot afgifte van klantgegevens. In art. 6:162 BW jo 3:296 BW is een wettelijke grondslag gelegen ten gevolge waarvan Ziggo c.s. onder omstandigheden tot deze afgifte kan worden verplicht. Daarbij is van belang of:11

a. het voldoende aannemelijk is dat het downloaden van de Film met behulp van BitTorrent-netwerken onrechtmatig is jegens DFW;

b. DFW een reëel belang heeft bij de verkrijging van de NAW-gegevens;

c. het aannemelijk is dat er in dit concrete geval geen minder ingrijpende mogelijkheid bestaat om de NAW-gegevens te achterhalen; en

d. de afweging van de betrokken belangen van DFW, Ziggo c.s. en haar abonnees meebrengt dat het belang van DFW in dit geval zwaarder dient te wegen.

2.3

Aan de onder a., b. en c. genoemde criteria is voldaan. DFW heeft echter onvoldoende aangevoerd om de belangenafweging onder d. in haar voordeel te laten uitvallen. Voor dat oordeel is redengevend dat:

- voor elk IP-adres sprake is van een eenmalige inbreuk op de intellectuele eigendomsrechten op de Film, hetgeen het belang van DFW bij afgifte van de gevraagde NAW-gegevens niet extra groot maakt (rov. 4.17);

- het bedrag dat DFW van de abonnementhouder wenst te ontvangen op geen enkele wijze is onderbouwd, zodat niet is uitgesloten dat in dit bedrag ook elementen van een boete zitten (rov. 4.18);

- niet helder is of, en zo ja, op welke wijze DFW aan de houder van het IP-adres meedeelt wat – in het geval hij niet zelf de illegale downloader is – rechtens zijn positie is (rov. 4.19);

- DFW evenmin heeft aangegeven of en op welke wijze zij de aan te schrijven personen actief zal wijzen op de in hoofdstuk 7 van het Protocol opgenomen waarborgen van de rechten van betrokkenen (rov. 4.20);

- van DFW meer informatie verwacht had mogen worden om te kunnen beoordelen of zij zich voldoende gelegen laat liggen aan de belangen van de IP-adreshouder (rov. 4.21).

Hoger beroep

2.4

Bij exploot van 7 maart 2019 is DFW van het vonnis van de voorzieningenrechter in hoger beroep gekomen bij het gerechtshof Arnhem-Leeuwarden, locatie Arnhem, (hierna: het hof). DFW heeft tien grieven gericht tegen het vonnis. Ziggo c.s. heeft verweer gevoerd en incidenteel hoger beroep ingesteld, grotendeels onder de voorwaarde dat het hoger beroep van DFW slaagt.

2.5

Bij arrest van 5 november 2019 heeft het hof het vonnis bekrachtigd en DFW veroordeeld in de proceskosten.12

2.6

Het hof oordeelt allereerst dat DFW een spoedeisend belang heeft, en verwerpt aldus de enige niet-voorwaardelijke incidentele grief van Ziggo c.s. (rov. 5.2).

2.7

Vervolgens overweegt het hof wat de grondslag van de vordering van DFW is:

“5.4 Voor de toewijzing van een bevel tot afgifte van persoonsgegevens is vereist dat op Ziggo c.s. een rechtsplicht tot deze afgifte rust (artikel 3:296 BW). DFW heeft die rechtsplicht gebaseerd op de stelling dat Ziggo c.s. onrechtmatig handelt wanneer zij haar klantgegevens niet aan DFW verstrekt. Van een onrechtmatige daad is volgens de wet sprake wanneer er (i) een inbreuk is op een subjectief recht, (ii) een doen of nalaten in strijd met een wettelijke plicht of (iii) een doen of nalaten in strijd met hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betaamt (artikel 6:162 lid 2 BW).”

DFW beroept zich ter onderbouwing van die vordering op het recht op bescherming van intellectuele eigendom, zoals neergelegd in art. 17 lid 2 van het Handvest van de grondrechten van de Europese Unie (hierna: Handvest) en art. 1 Eerste Protocol EVRM. Tevens beroept DFW zich op het recht op een effectieve rechtsbescherming (art. 47 Handvest en art. 13 EVRM) (rov. 5.5).

2.8

Ook Ziggo c.s. beroept zich op grondrechten, zij het niet op die van haar zelf maar op die van haar klanten: het recht op bescherming van persoonsgegevens (art. 8 Handvest) en eerbiediging van de persoonlijke levenssfeer (art. 8 EVRM).

2.9

De wijze waarop persoonsgegevens mogen worden verwerkt is geregeld in de Algemene Verordening Gegevensverwerking (hierna: AVG).13 Volgens het hof staat vast dat de door DFW gevorderde afgifte van bepaalde klantengegevens betekent dat ‘persoonsgegevens’ ter beschikking worden gesteld en dat de verstrekking daarvan een ‘verwerking’ vormt in de zin van art. 4 sub 2 AVG (rov. 5.7).

2.10

Het hof overweegt vervolgens:

“5.8 Tussen partijen is voorts niet in geschil dat DFW in het Besluit toestemming heeft gekregen voor het vastleggen van persoonsgegevens op grond van het gericht verzamelen van informatie door middel van eigen onderzoek zonder de betrokkene daarvan op de hoogte te stellen. De toestemming heeft betrekking op:

1) het vastleggen van bewijs van uitwisseling van bestanden via IP-adressen door onderzoek te doen naar betrokkenheid van gebruikers van BitTorrent-netwerken bij verspreiding of verveelvoudiging van auteursrechtelijk beschermde werken (stap 1 van het Besluit);

2) met het doel om na selectie van de ontvangen gegevens de BitTorrent-gebruikers die vermoedelijk auteursrechten schenden op te sporen door bij Nederlandse internet service providers contactgegevens op te vragen en als deze daaraan niet meewerken een verzoek te richten aan de rechter (stap 2 van het Besluit);

3) met als achterliggend doel om na vaststelling van de identiteit van de betrokken abonnee deze persoonlijk te benaderen om hem te informeren over het onderzoek en hem aan te spreken vanwege gedragingen die inbreuk maken op het auteursrecht (stap 3 van het Besluit) door het nemen van (één van) de navolgende acties:

a) DWF stuurt een waarschuwing aan de betrokkene;

b) DFW treft een minnelijke schikking met de inbreukmaker en vraagt deze een onthoudingsverklaring met boetebeding te ondertekenen;

c) DFW treft een schikking, vraagt een onthoudingsverklaring met boetebeding en verhaalt de gemaakte kosten op de betrokkene:

d) DFW stuurt de inbreukmaker een dagvaarding waarin een verbod en vergoeding van de kosten wordt gevorderd;

e) DFW stuurt een dagvaarding waarin naast een verbod en kostenvergoeding ook schadevergoeding wordt gevorderd.

Onderhavig geschil heeft betrekking op de in het Besluit als stap 2 omschreven stap. Niet de gegevensverwerking van DFW als zodanig is aan de orde, maar de vraag of Ziggo c.s. als Nederlandse internet service provider medewerking moet verlenen aan het verstrekken van de gevraagde gegevens.

5.9

Ziggo c.s. verzamelt ook persoonsgegevens van haar klanten. Daardoor is ook zij als verwerkingsverantwoordelijke in de zin van artikel 4 onder 7 AVG onderworpen aan de wettelijke verplichtingen uit de AVG. De vraag of zij bevoegd is om de gevraagde gegevens te verstrekken ligt besloten in artikel 6 AVG (voorheen: artikel 8 en 9 Wbp). Dit artikel luidt voor zover hier relevant als volgt [onderstreping in origineel; A-G]:

‘1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een

van de onderstaande voorwaarden is voldaan:

a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; (...)

f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. (...)

(…)

4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke (...) of een lidstaatrechtelijke bepaling (...) ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:

(...)

d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen.’”

2.11

Ziggo-klanten hebben aan Ziggo c.s. geen toestemming verleend om de door hen met het oog op de uitvoering van de overeenkomst verzamelde gegevens aan een derde (hier DFW) te verstrekken. Daarom dient de verstrekking te berusten op de onder art. 6 lid 1, onder f), AVG genoemde grondslag, waarbij ook van belang is welke mogelijke gevolgen de verstrekking voor de Ziggo-klanten heeft. Daarbij moet rekening worden gehouden met de redelijke verwachtingen van de betrokkenen (rov. 5.10).14 Een en ander leidt er naar het oordeel van het hof toe dat voor de beoordeling van de vraag of er op Ziggo c.s. een rechtsplicht tot afgifte (verwerking) van persoonsgegevens rust (a) sprake moet zijn van een gerechtvaardigd belang, (b) de verwerking noodzakelijk moet zijn en (c) het belang van DFW behoort te prevaleren boven het belang van de betrokken klanten van Ziggo c.s. (rov. 5.11).

2.12

Het hof oordeelt allereerst dat DFW een gerechtvaardigd belang heeft bij de verstrekking van persoonsgegevens door Ziggo c.s., kort gezegd omdat de personen die de Film hebben gedownload daarmee opzettelijk een inbreuk hebben gemaakt op het aan DFW toekomende intellectuele eigendomsrecht en DFW een gerechtvaardigd belang heeft die personen daarop aan te spreken. Het hof acht daarbij voorshands aannemelijk dat DFW geen andere, minstens zo doeltreffende mogelijkheid tot haar beschikking heeft om de mogelijke inbreukmakers te identificeren en haar schade te verhalen, dan door het richten van verzoeken aan internet service providers tot het verstrekken van de NAW-gegevens van de mogelijke inbreukmakers (rov. 5.12).

2.13

Aan de voorwaarde van noodzakelijkheid onder (b) is eveneens voldaan. DFW heeft naar het oordeel van het hof een reëel belang bij de verstrekking van de persoonsgegevens van de gebruikers met bepaalde IP-adressen:

“5.13 Naar het oordeel van het hof heeft DFW voorts een reëel (daadwerkelijk) belang bij de verstrekking van de persoonsgegevens van de gebruikers met bepaalde IP-adressen, omdat zij alleen op die wijze onderzoek kan doen naar de identiteit van een inbreukmaker. De stelling van Ziggo c.s. dat haar klant niet noodzakelijk de BitTorrent-gebruiker en dus de inbreukmaker hoeft te zijn, doet daar in onvoldoende mate aan af, omdat de kring van personen waarvan DFW persoonsgegevens vraagt, beperkt is tot de houders van een IP-adres waarvan is vastgesteld dat van daaraf inbreuk is gemaakt op de intellectuele eigendomsrechten van DFW. Dat de mogelijkheid bestaat dat niet de houder van de internetaansluiting zelf, maar een ander gebruik heeft gemaakt van de internetaansluiting en de vastgestelde inbreuk heeft gemaakt, laat onverlet dat de houder van een IP-adres in beginsel de verantwoordelijkheid draagt voor dat gebruik, De afgifte van persoonsgegevens van bepaalde klanten van Ziggo c.s. wordt naar het oordeel van het hof dan ook in voldoende mate afgebakend. Daarnaast neemt het hof in aanmerking de vermelding in het Besluit (p. 4, onder 4), dat DFW geen nader onderzoek zal instellen wanneer de bewerker vaststelt dat er geen sprake is van evidente inbreuk makende handelingen die passen binnen het prioriteringsbeleid van DFW. Tot slot herhaalt het hof in dit verband dat het voorshands niet aannemelijk is geworden dat er in het concrete geval een minder ingrijpende mogelijkheid bestaat om de identiteit van de inbreukmaker vast te stellen.”

2.14

Een en ander brengt het hof bij de onder (c) genoemde voorwaarde: de belangenafweging. Het hof overweegt dat in dit geval het recht op bescherming van persoonsgegevens staat tegenover het recht op bescherming van de eigendom en het recht op effectieve rechtsbescherming (rov. 5.14). Het hof stelt voorop dat het zich onbeperkt en onvoorwaardelijk beroepen op de privacybelangen van haar klanten door Ziggo c.s. onder de gegeven omstandigheden leidt tot een ernstige aantasting van het ten volle kunnen uitoefenen van het grondrecht op intellectuele eigendom en het grondrecht op een doeltreffende voorziening in rechte waarop houders van intellectuele eigendomsrechten aanspraak hebben (rov. 5.15).

2.15

Het hof kent vervolgens ook belang toe aan het feit dat in de algemene voorwaarden van Ziggo c.s. is opgenomen dat de klant zelf moet instaan voor aanspraken van derden wegens ongeoorloofde verveelvoudiging of openbaarmaking van auteursrechtelijk beschermde werken (rov. 5.16) en dat het niet gaat om zogeheten ‘bijzondere persoonsgegevens’, maar enkel om NAW-gegevens (rov. 5.17).

2.16

Net als in het vonnis van de voorzieningenrechter komt er daarna een keerpunt in de beoordeling ten nadele van DFW. Het hof overweegt:

“5.18 Daar staat tegenover dat de gevolgen van de voorgenomen verdere verwerking voor de Ziggo-klanten die het betreft aanzienlijk kunnen zijn. Zoals hiervoor onder 5.8 sub 3 is weergegeven, kan het gaan om acties van het sturen van een waarschuwing aan een betrokken Ziggo-klant tot verhaal van kosten en schadevergoeding door het uitbrengen van een dagvaarding. Het hof volgt Ziggo c.s. in haar standpunt dat DFW niet duidelijk maakt wanneer zij welke actie zal inzetten. In het door DFW opgestelde Protocol waarin zij een toelichting geeft, vermeldt zij slechts dat zij steeds per geval zal beoordelen welke acties of vervolgstappen zij tegen een betrokkene wenst te ondernemen. Door niet transparant te zijn over de criteria die zij aanlegt bij de inzet van de door haar voorgenomen acties worden de belangen van de betrokken Ziggo-klant aangetast, DFW behoudt zich immers het recht voor pas nadat zij de persoonsgegevens heeft gekregen, eenzijdig en zonder enige motivering of toelichting de actie te kiezen die haar goeddunkt. Dat leidt naar het oordeel van het hof tot een verstoring van het te vinden evenwicht, met name in de situatie dat onzeker is of de betrokken Ziggo-klant ook daadwerkelijk de inbreukmaker is, zoals Ziggo c.s, gemotiveerd en onderbouwd met diverse producties heeft aangevoerd. Ziggo c.s. heeft er op gewezen dat dit niet noodzakelijkerwijs het geval is, omdat derden van het IP-adres gebruik gemaakt kunnen hebben en via dat adres de Film gedownload kunnen hebben, maar ook omdat IP- adressen nogal eens wisselen en aan verschillende gebruikers worden toegekend. Zoals hiervoor onder 5.15 overwogen kan aan een Ziggo-klant die houder is van een internetaansluiting waarmee inbreuk op intellectueel eigendomsrecht is gemaakt geen absolute bescherming worden geboden. Van hem kan zelfs worden verlangd dat hij specifieke informatie geeft om te achterhalen wie de daadwerkelijke inbreukmaker is, maar die gelegenheid moet hem dan wel geboden worden. Doordat in het Protocol van DFW en ook in deze procedure niet op transparante wijze wordt uiteenzet op welke wijze DFW haar actiebeleid zal uitoefenen, kunnen de gevolgen van de verstrekking van persoonsgegevens voor de betrokken Ziggo-klanten niet goed worden ingeschat. Het hof acht Ziggo c.s. daardoor ook niet in staat om haar klanten vooraf adequaat te informeren over de gevolgen van de gegevensverstrekking aan DFW. Het hof wijst in dit verband op artikel 5 en 14 lid 4 AVG en de preambule onder 39 waarin staat: “Natuurlijke personen moeten bewust worden gemaakt van de risico’s, regels, waarborgen en rechten in verband met de verwerking van persoonsgegevens, alsook van de wijze waarop zij hun rechten met betrekking tot deze verwerking kunnen uitoefenen.” Daarnaast bestaat ook het risico dat een Ziggo-klant met een maatregel wordt geconfronteerd, nog voordat hem de gelegenheid is geboden om het gebruik van zijn internetaansluiting te onderzoeken en zijn rol daarin vast te stellen.

5.19

Daarbij komt dat DFW ook onvoldoende transparant is over de vraag of, en zo ja, welke bedragen zij van deze Ziggo-klanten zal gaan vorderen en op welke wijze en in hoeverre zij de kosten die zij heeft gemaakt om deze Ziggo-klanten op te sporen zal gaan verhalen. Ziggo c.s. heeft er in dit verband op gewezen dat DFW zich tegenover de pers regelmatig heeft laten ontvallen dat zij de houders van internetaansluitingen waarmee inbreuk is gemaakt op filmrechten een schikkingsvoorstel wil doen van in eerste instantie € 150,-, maar dat de schadeclaims kunnen oplopen tot vele honderden euro’s (onder meer in het artikel van de Volkskrant van 16 januari 2019, productie 2 bij conclusie van antwoord). In één van de persberichten is vermeld dat een woordvoerder van DFW heeft verklaard “We hopen dat de boetes mensen afschrikken” (artikel in de Volkskrant van 15 januari 2019, productie 1 bij conclusie van antwoord). In een ander persbericht wordt geciteerd dat het bedrag waar DFW aan denkt even hoog is als “door rood rijden (230 euro)” en dat ze claims gaan versturen “om illegaal downloaden af te schrikken” (artikel in NRC 20 juni 2016, productie 13 bij memorie van antwoord). Dat “het bedrag een afschrikwekkende werking moet hebben” is ook door een woordvoerder van DFW verklaard tegenover een journalist van RTL-nieuws (artikel van 13 november 2017, productie 13 bij memorie van antwoord). Ook wordt in deze artikelen meerdere malen verwezen naar Duitsland, waar grote boetes worden opgelegd aan illegale downloaders, welk land voor DFW “het grote voorbeeld is” (onder meer in het artikel in de Volkskrant van 16 januari 2019, productie 2 bij conclusie van antwoord). Tijdens het pleidooi heeft DFW verklaard dat het bedrag van € 150,-, dat in meerdere perspublicaties is genoemd, een indicatief bedrag is, waarop het hof haar niet moet vastpinnen, maar zij heeft ook geen afstand van dit bedrag willen doen. Daarnaast heeft DFW verklaard dat het om “werkelijke kosten gaat”, dat er geen punitief element zal zitten in het schikkingsbedrag dat zij van de betrokken Ziggo-klanten zal gaan vragen, dat het traject van de AP niet wordt doorberekend, maar wel de onderzoekskosten.”

2.17

Een en ander leidt tot de volgende beoordeling:

“5.20 Ook hier geldt dat doordat DFW in haar Protocol en in deze procedure niet op transparante wijze uiteenzet onder welke omstandigheden zij welke bedragen van Ziggo-klanten zal vorderen, de gevolgen van de verstrekking van persoonsgegevens voor de betrokken Ziggo-klanten niet goed kunnen worden ingeschat. Evenmin kan worden getoetst of de maatregel die DFW zal treffen onder de gegeven omstandigheden passend is. Na het verkrijgen van de persoonsgegevens dient immers eerst nog te worden vastgesteld of de inbreuk daadwerkelijk door de Ziggo-klant is gemaakt. Daarnaast is onzeker of de kosten en schade die DFW op een individuele inbreukmaker wil verhalen in een redelijke verhouding tot elkaar staan. Zo heeft Ziggo c.s. erop gewezen dat de schade die DFW lijdt door de individuele downloader zeer gering is, nu de Film volgens Ziggo c.s. voor slechts € 2,99 dan wel € 2,49 legaal online te bekijken is, dan wel volgens DFW voor een bedrag van € 13,99 als dvd aangeschaft kan worden. Ook van belang is dat de schade die DFW heeft geleden wordt veroorzaakt door meerdere inbreukmakers (volgens DFW ongeveer 20.000), terwijl er slechts van een zeer beperkt aantal van die inbreukmakers (377) de gegevens worden gevorderd. Weliswaar heeft DFW tijdens het pleidooi verklaard dat zij niet 377 mensen zal aanspreken voor de kosten van 20.000 illegale downloads. DFW heeft echter, ondanks meerdere daarop gerichte vragen, nog steeds niet inzichtelijk gemaakt wat zij dan wel wil gaan verhalen, hoe de te verhalen bedragen zijn samengesteld en hoe de rechten van de betrokken Ziggo-klanten doeltreffend zijn gewaarborgd.

5.21

In verband met dit laatste merkt het hof nog op dat de omstandigheid dat volgens het Protocol een Ziggo-klant nadat de persoonsgegevens zijn verstrekt en hij is aangesproken door DFW een klacht kan indienen, niet afdoet aan hetgeen hiervoor is overwogen. De vraag of sprake is van een behoorlijke en rechtmatige verwerking moet immers worden beoordeeld naar het moment waarop de persoonsgegevens worden verstrekt. Daarbij merkt het hof nog op dat niet zonder meer kan worden uitgegaan van de juistheid van de in het Protocol onder 7.6 vervatte regel dat een betrokkene verplicht is feiten en omstandigheden naar voren te brengen die aantonen dat de inbreuk niet aan hem/haar kan worden toegerekend. Op grond van de hoofdregel van artikel 150 Rv rust de stelplicht en bewijslast van de onrechtmatige inbreuk in beginsel immers op DFW en niet op de Ziggo-klant.

5.22

Het bovenstaande voert het hof tot de slotsom dat het juiste evenwicht tussen de privacybelangen van de betrokken Ziggo-klanten enerzijds en het belang van de rechthebbenden van intellectuele eigendomsrechten op een doeltreffende voorziening om profijt te kunnen trekken van hun schepping anderzijds (nog) niet is bereikt. Naar het oordeel van het hof heeft DFW op een onvoldoende transparante wijze uiteengezet waarop DFW haar beslissing tot een bepaalde actie baseert en over de inhoud en omvang van de bedragen die zij wil vorderen. Daardoor ontbreekt het aan duidelijke en begrijpelijke criteria aan de hand waarvan een inschatting kan worden gemaakt van de gevolgen voor de betrokken Ziggo-klanten van de verstrekking van zijn persoonsgegevens en kan niet worden getoetst of de voorgenomen maatregelen in een redelijke verhouding staan tot het belang dat daarmee voor DFW wordt gediend en het privacybelang van de Ziggoklant dat door de gegevensverstrekking wordt geschonden. Op grond van deze omstandigheden, mede in onderling verband beschouwd, is het hof van oordeel dat Ziggo c.s. op dit moment niet handelt in strijd met een op haar rustende rechtsplicht door de afgifte van de gevraagde persoonsgegevens aan DFW te weigeren. Om die reden kan de gevraagde voorziening niet worden toegewezen en zal de bestreden beslissing worden bekrachtigd.”

2.18

Vanwege de verwerping van de grieven van DFW komt het hof niet aan de voorwaardelijk ingestelde incidentele grieven van Ziggo c.s. (rov. 5.25).

Cassatie

2.19

DFW heeft – tijdig – cassatieberoep ingesteld en vernietiging van het arrest van het hof gevorderd. Ziggo c.s. heeft geconcludeerd tot verwerping van het beroep en heeft voorwaardelijk incidenteel cassatieberoep ingesteld. DFW heeft, op haar beurt, geconcludeerd tot verwerping van het voorwaardelijk incidenteel cassatieberoep. Partijen hebben hun standpunten schriftelijk doen toelichten door hun advocaten. DFW heeft gerepliceerd en Ziggo c.s. heeft gedupliceerd.

3 Juridisch kader

Grondrechten

3.1

Rechten van intellectuele eigendom worden beschermd op grond van art. 17 lid 2 Handvest, dat voor zover hier van belang als volgt luidt:

Het recht op eigendom

1. (…)

2. Intellectuele eigendom is beschermd.”

3.2

Art. 47 Handvest bevat het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht. De eerste alinea bepaalt :

“Eenieder wiens door het recht van de Unie gewaarborgde rechten en vrijheden zijn geschonden, heeft recht op een doeltreffende voorziening in rechte, met inachtneming van de in dit artikel gestelde voorwaarden.”

3.3

Persoonsgegevens zijn grondrechtelijk beschermd. Art. 8 Handvest luidt, voor zover hier van belang:

De bescherming van persoonsgegevens

1. Eenieder heeft recht op bescherming van zijn persoonsgegevens.

2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. (…)

3. (…).”

Waar art. 8 Handvest bepaalt dat een ieder recht heeft op bescherming van persoonsgegevens,15 bestrijkt art. 8 EVRM privacy vanuit een breder perspectief, waarvan de bescherming van persoonsgegevens een onderdeel is.16 Ook de bescherming van communicatie valt daar onder.17 Onder ‘communicatie’ vallen ook dataopslag en internetgebruik.18

AVG

3.4

In de AVG, die per 25 mei 2018 de Privacyrichtlijn uit 199519 heeft vervangen, wordt diegene die persoonsgegevens verwerkt of doet verwerken, aangeduid als de ‘verwerkingsverantwoordelijke’. Het ‘verwerken’ van persoonsgegevens omvat onder meer het verzamelen, vastleggen, opslaan, raadplegen en gebruiken van de persoonsgegevens, maar ook het verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen (art. 4, onder 2, AVG).

3.5

De verwerking van persoonsgegevens is alleen rechtmatig indien zij berust op een of meer van de zes in art. 6 lid 1 AVG genoemde limitatieve grondslagen: a) toestemming, b) noodzakelijk voor de uitvoering van een overeenkomst, c) noodzakelijk om te voldoen aan wettelijke verplichtingen, d) noodzakelijk om vitale belangen van betrokkenen of andere natuurlijke personen te beschermen, e) noodzakelijk om een taak van algemeen belang of openbaar gezag te vervullen en f) noodzakelijk om gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde te behartigen. Als aan de voorwaarden van een van deze gronden is voldaan, is de verwerkingsverantwoordelijke tot verwerking bevoegd.

3.6

Art. 6, lid 1, aanhef en onder f, AVG bepaalt:

“1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

(…)

f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.”

3.7

Een verwerking van persoonsgegevens op deze grond is derhalve rechtmatig indien aan drie cumulatieve voorwaarden is voldaan. Ten eerste dient er een gerechtvaardigd belang te zijn om persoonsgegevens te verwerken. Een voorbeeld van een dergelijk belang is het tegengaan van inbreuken op vermogensrechten. Ten tweede dient de verwerking van de persoonsgegevens in de concrete situatie noodzakelijk te zijn om dat belang te behartigen. Tot slot dient een afweging plaats te vinden van enerzijds de belangen van de verwerkingsverantwoordelijke of de derde en anderzijds de belangen van ‘de betrokkene’ (dat is de term voor degene wiens persoonsgegevens worden verwerkt). Aan de op 1 november 2019 door de AP gepubliceerde “Normuitleg grondslag ‘gerechtvaardigd belang’”20 kan worden ontleend dat volgens het AP in dat kader onder meer met de volgende factoren rekening moet worden gehouden:

“- de gevolgen voor de betrokkene;

- de (aanvullende) waarborgen die de verwerkingsverantwoordelijke of derde heeft getroffen om ongewenste gevolgen voor de betrokkene te voorkomen of beperken;

- de ernst van de inmenging op het grondrecht van de betrokkene;

- of de betrokkene de verwerking min of meer kan verwachten, bijvoorbeeld als vervolg op een eerdere verwerking waarvoor diegene toestemming heeft gegeven of als vervolg op verwerkingen die noodzakelijk zijn om een contract uit te voeren.”

3.8

Voor een rechtmatige verwerking moet niet alleen een grondslag bestaan, zij moet ook voldoen aan een aantal in de AVG opgenomen beginselen, waaronder het beginsel van doelbinding. De verwerkingsverantwoordelijke mag alleen persoonsgegevens verwerken voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Het beginsel van doelbinding houdt daarnaast in dat eenmaal verzamelde gegevens niet verder mogen worden verwerkt op een wijze die onverenigbaar is met die doeleinden (art. 5 lid 1, onder b, AVG).

3.9

Verwerking buiten het aanvankelijke doel van de verwerking waarvoor de persoonsgegevens zijn verzameld, wordt aangeduid als ‘verdere verwerking’. Dat kan een verwerking zijn door dezelfde verwerkingsverantwoordelijke die de gegevens voor het oorspronkelijke doel heeft verzameld. De verstrekking van gegevens aan een andere verwerkingsverantwoordelijke is daar een mogelijk voorbeeld van. Verdere verwerking is alleen toegestaan als zij verenigbaar is met het oorspronkelijke doel. Indien dat het geval is, is geen andere afzonderlijke rechtsgrond vereist.

3.10

Deze ‘verenigbaarheidstoets’ is uitgewerkt in art. 6 lid 4 AVG. Die bepaling bevat een opsomming van omstandigheden waarmee rekening moet worden gehouden om te bepalen of sprake is van een verwerking voor een verenigbaar doel.21 De tekst luidt, voor zover hier van belang, als volgt:

“4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling (…) houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:

a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;

b) (…);

c) (…);

d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;

e) het bestaan van passende waarborgen (…).”

3.11

Deze opsomming is niet limitatief. Er kunnen in voorkomende gevallen andere factoren zijn die in de overweging moeten worden betrokken. Kranenborg & Verhey merken over de omstandigheid onder e) het volgende op:22

“Welke waarborgen passend zijn zal per concreet geval moeten worden beoordeeld. Het kan zijn dat de betrokkene over het voorgenomen gebruik wordt geïnformeerd, dan wel – een stap verder – in de gelegenheid wordt gesteld om zijn zienswijze hieromtrent te geven. In het algemeen geldt dat een gegevensverwerking eerder als verenigbaar gebruik kan worden aangemerkt naarmate de verwerkingsverantwoordelijke of degene die namens hem optreedt een grotere zorgvuldigheid betracht tegenover degene wiens persoonsgegevens in het geding zijn.”

3.12

Het doelbindingsbeginsel stond ook in de Privacyrichtlijn en was geïmplementeerd in art. 9 van de Wet bescherming persoonsgegevens (hierna: Wbp). Op grond van art. 43 Wbp23 mocht de verantwoordelijke (onder andere) art. 9 Wbp buiten toepassing laten, voor zover dit noodzakelijk was in het belang van (onder meer) de bescherming van de betrokkene of van de rechten en vrijheden van anderen.24

3.13

Art. 23 lid 1 AVG bevat voor de lidstaten een zelfde mogelijkheid om beperkingen aan te brengen in de reikwijdte van de verplichtingen en rechten als bedoeld in onder meer art. 5 AVG, ter waarborging van een aantal aldaar genoemde belangen, op voorwaarde dat de beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en een noodzakelijke en evenredige maatregel vormt. Tot de genoemde belangen behoren onder meer de bescherming van de rechten en vrijheden van anderen (letter i) en de inning van civielrechtelijke vorderingen (letter j). De wetgever heeft van deze mogelijkheid gebruik gemaakt in art. 41 van de Uitvoeringswet Algemene verordening gegevensbescherming (hierna: UAVG). Deze bepaling creëert de mogelijkheid om bepaalde verplichtingen en rechten buiten toepassing te laten, maar ziet – anders dan voorheen art. 43 Wbp – niet tevens op ‘beginselen’, zoals het doelbeginsel. Om die reden is de verdere verwerking van voor een bepaald doel verzamelde gegevens onderworpen aan de verenigbaarheidstoets van art. 6 lid 4 AVG.25

Handhaving IE-rechten tegen individuele internetgebruikers

3.14

Downloaden, uploaden en andere vormen van reproductie van beschermde werken via het internet vormen in beginsel een inbreuk op auteursrechten en naburige rechten. Lange tijd heerste in Nederland de opvatting dat de privékopie-exceptie, 26 die mede uit privacyoverwegingen is ingevoerd, ook van toepassing is op downloads uit illegale bron.27 Deze handeling was door de thuiskopievergoeding feitelijk gelegaliseerd. Dit standpunt is sinds het arrest van het Hof van Justitie in de zaak ACI Adam c.s./Stichting Thuiskopie uit 2014 niet langer houdbaar.28 Het Hof heeft in dat arrest namelijk geoordeeld dat een lidstaat het kopiëren uit illegale bron niet mag toestaan.

3.15

Ook na genoemd arrest werd algemeen aangenomen dat wegens privacyaspecten en praktische moeilijkheden de handhaving tegen individuele ‘downloaders’ geen grote vlucht zou nemen.29 De handhaving van online IE-rechten concentreert zich in de praktijk inderdaad voornamelijk op de partij die de vermoede bron is van het illegaal verspreiden van beschermde werken, de zogeheten initial seeder. Veelal treedt Stichting BREIN namens rechthebbenden als eisende partij op.30 Geen rechtsregel hoeft een individuele rechthebbende er echter van te weerhouden om zelf handhavingsmaatregelen te nemen tegen individuele internetgebruikers. Maar dan moet hij wel achter hun identiteit kunnen komen.

3.16

Het voorgaande wordt door de onderhavige zaak geïllustreerd. Het debat is hier niet of DFW bevoegd is handhavend op te treden tegen individuele internetgebruikers die de Film illegaal hebben gedownload, maar hoe DFW die bevoegdheid moet uitoefenen. Met name speelt een rol op welke wijze DFW rekening moet houden met de belangen van de internetgebruikers die hij op de korrel wil nemen, in het bijzonder wat betreft de bescherming van hun persoonsgegevens.

3.17

Tot slot wijs ik op de Handhavingsrichtlijn.31 Art. 8 (‘recht op informatie’) voorziet in een specifieke grondslag voor een vordering tot gegevensverstrekking aan een rechthebbende op een IE-recht. Blijkens art. 8 lid 3, onder e), is een dergelijke vordering “onverminderd andere regelgeving waarbij (…) e) de bescherming van de vertrouwelijkheid van informatiebronnen of de verwerking van persoonsgegevens”. Art. 8 Handhavingsrichtlijn is omgezet in art. 28 lid 9 Auteurswet. Aangezien DFW haar vordering tot afgifte van NAW-gegevens niet op die grondslag heeft gebaseerd, ga ik daar niet verder op in.

Rechtspraak Hof van Justitie over informatieverstrekking bij handhaving IE-rechten

3.18

Dit overzicht begint met het arrest Promusicae uit 2008.32 Net als de onderhavige zaak ging die zaak over een vordering van een (organisatie van) rechthebbende(n) tot verstrekking van persoonsgegevens betreffende het internetgebruik via door een internet service provider ter beschikking gestelde aansluitingen. De prejudiciële vragen hadden betrekking op de Handhavingsrichtlijn en de e-Privacyrichtlijn.33 Het arrest Promusicae is ook voor deze zaak mogelijk relevant, in de eerste plaats omdat het Hof oordeelt dat lidstaten mogen maar niet moeten voorzien in de verplichting persoonsgegevens door te geven met het oog op de civielrechtelijke gevolgen van inbreuken op het auteursrecht (punten 54 en 55) en, in de tweede plaats, door de overwegingen omtrent de afweging tussen de vermogensrechtelijke belangen van de IE-rechthebbenden en het belang van internetgebruikers bij bescherming van hun persoonsgegevens (punt 56). De rechter die heeft te oordelen over een vordering tot afgifte van persoonsgegevens van klanten van een access provider, dient een afweging tussen deze verschillende belangen te maken.

3.19

De zaak Bonnier uit 201234 zag op het zonder toestemming van de rechthebbende voor het publiek toegankelijk maken van luisterboeken via een file transfer protocol op internet. De rechthebbende vorderde de mededeling van de naam en het adres van de gebruiker van het IP-adres dat was gebruikt om de betrokken bestanden door te geven, wat lijkt op de vordering in deze zaak. De prejudiciële vragen hadden betrekking op de Handhavingsrichtlijn, de e-Privacyrichtlijn en de richtlijn over bewaring van telecomgegevens waarbij de e-Privacyrichtlijn is gewijzigd.35 Het Hof overweegt omtrent de toepasselijke Zweedse wetgeving als volgt:

“57 In het onderhavige geval heeft de betrokken lidstaat beslist gebruik te maken van de (…) mogelijkheid die hem is geboden om te voorzien in een verplichting tot verstrekking van persoonsgegevens aan particulieren in een civielrechtelijke procedure.

58 Evenwel dient te worden opgemerkt dat ingevolge de betrokken nationale wettelijke regeling een bevel tot mededeling van de betrokken gegevens slechts kan worden gegeven indien duidelijke bewijzen van een inbreuk op een intellectuele-eigendomsrecht op een werk zijn overgelegd, de gevraagde gegevens de opsporing van een inbreuk op het auteursrecht kunnen vergemakkelijken en het belang van de redenen voor dit bevel opweegt tegen de ongemakken of andere nadelen ervan voor degene tot het wie het is gericht, of tegen enig ander daarmee strijdig belang.

59 Deze wettelijke regeling stelt de nationale rechterlijke instantie waarbij door een persoon met procesbevoegdheid een verzoek om een bevel tot mededeling van persoonsgegevens is ingediend, dus in staat om de in het geding zijnde tegengestelde belangen af te wegen op basis van de concrete omstandigheden van de zaak en daarbij terdege rekening te houden met de uit het evenredigheidsbeginsel voortvloeiende vereisten.

60 In deze situatie kan worden aangenomen dat een dergelijke wettelijke regeling in beginsel een juist evenwicht tussen de bescherming van het intellectuele-eigendomsrecht van de auteursrechthouders en de bescherming van de persoonsgegevens van een internetabonnee of gebruiker kan waarborgen.”

Omdat de Zweedse wetgeving in kwestie geen absolute of onvoorwaardelijke rechten of verplichtingen bevat maar het maken van een belangenafweging juist voorschrijft, is zij verenigbaar met het Unierecht.

3.20

Het arrest UPC Telekabel Wien uit 201436 gaat over een rechterlijk verbod aan een internetprovider om toegang te verschaffen tot een website waarop beschermde werken zonder toestemming van de rechthebbenden waren geplaatst. Er werd dus een blokkade tot een website gevorderd, wat iets anders is dan een vordering van NAW-gegevens. De juridische invalshoek in die zaak was art. 8 lid 3 van de Auteursrechtrichtlijn,37 waarin het volgende wordt bepaald:

“De lidstaten zorgen ervoor dat de rechthebbenden kunnen verzoeken om een verbod ten aanzien van tussenpersonen wier diensten door een derde worden gebruikt om inbreuk te maken op een auteursrecht of naburige rechten.”

3.21

Het Hof gaat in op de afweging van de belangen. Tegenover de rechten van de IE-rechthebbenden staat zowel het recht op vrij ondernemerschap van de access provider (art. 16 Handvest) als de vrijheid van informatie van de internetgebruiker (art. 11 Handvest). Het Hof oordeelt dat een bevel tot blokkering van een website evenredig en doelmatig moet zijn. De belangen van de internetgebruikers moeten worden meegewogen, maar uit het arrest kan ik niet met zekerheid opmaken of het daarbij ook ging om ‘privacybelangen’.

3.22

Het arrest Coty Germany uit 201538 gaat over de uitleg van art. 8 lid 3, onder e), Handhavingsrichtlijn (vgl. 3.17). De zaak betreft een vordering van een merkhouder om een bank te gelasten de naam en het adres te verstrekken van de houder van een bankrekening waarop de opbrengst van de verkoop van namaakartikelen was gestort. De betrokken bank weigerde dat met een beroep op het bankgeheim (en dus de privacy van de klant). Ook die zaak wierp de vraag op hoe de bescherming van de verschillende grondrechten in overeenstemming kan worden gebracht.

3.23

Het Hof oordeelt dat het strijdig is met art. 8 lid 1, onder c), Handhavingsrichtlijn als een nationale bepaling een bankinstelling een onbeperkte en onvoorwaardelijke mogelijkheid biedt zich te beroepen op het bankgeheim om te weigeren informatie te verstrekken over de naam en het adres van een rekeninghouder als die wordt vermoed een inbreuk op IE-rechten te hebben begaan. De ingeroepen nationale weigeringsgrond was dus erg absoluut en dat gaat Unierechtelijk meestal mis. Dit arrest is dus in beginsel gunstig voor rechthebbenden. Een verschil met de onderhavige zaak lijkt mij dat de Nederlandse wetgeving een access provider niet “een onbeperkte en onvoorwaardelijke mogelijkheid” biedt om afgifte van klantgegevens te weigeren op grond van bescherming van de privacy.

3.24

Het arrest McFadden uit 201639heeft betrekking op file-sharing (peer-to-peer) via een open wifi-netwerk, waardoor gebruikers toegang konden krijgen tot een fonogram met beschermde werken. Centraal stond de vraag of de exploitant van het open netwerk direct of indirect aansprakelijk kan worden gehouden voor inbreuken op IE-rechten. Primair ging die zaak over de uitleg van art. 12 van de E-commercerichtlijn.40 Op grond van die bepaling is een partij die elektronische diensten louter doorgeeft, in beginsel niet aansprakelijk voor de doorgegeven informatie en dus ook niet voor online materiaal dat inbreuk maakt op IE-rechten.41

3.25

Volgens het Hof kon alleen de beveiliging van het wifi-netwerk in kwestie een rechtvaardig evenwicht tot stand brengen tussen het grondrecht op bescherming van de intellectuele eigendom en het recht van vrijheid van ondernemerschap van de dienstverlener die toegang tot een communicatienetwerk verleent, alsook het recht op vrijheid van informatie van de afnemers van die dienst. Over de weging van privacybelangen van de internetgebruiker laat het Hof zich in deze zaak niet.

3.26

Het arrest Bastei Lübbe uit 201842 gaat opnieuw over een auteursrechtinbreuk door file-sharing. Naar Duits recht wordt de persoon op wiens naam de internetverbinding staat, vermoed een dergelijke inbreuk te hebben begaan. Als familieleden van de internetaansluiting gebruik maken, hoeft de houder van de internetaansluiting daar geen gegevens over te verstrekken.43 Familieleden worden aldus beschermd tegen handhaving, die in Duitsland door IE-rechthebbenden of hun organisaties kennelijk nogal stevig wordt aangepakt. De prejudiciële vraag hield in of dit familiale verschoningsrecht verenigbaar is met art. 8 Handhavingsrichtlijn.

3.27

Volgens het Hof kan niet worden betwist dat personen die behoren tot eenzelfde gezin op grond van art. 7 Handvest bijzondere bescherming kunnen genieten, waardoor zij niet verplicht zijn om elkaar te beschuldigen wanneer een van hen ervan verdacht wordt een onrechtmatige handeling te hebben verricht (punt 49). Het evenwicht tussen de aan de orde zijnde grondrechten wordt echter verstoord als door de onmogelijkheid om bewijsmateriaal over de gezinsleden van de houder van het IP-adres te gelasten, de vaststelling van de vermeende inbreuk op het auteursrecht en de identificatie van de inbreukmaker wordt verhinderd (punt 51). Net als in Coty Germany was de door de Duitse wetgeving verleende bescherming van de gebruiker te categorisch, met als gevolg dat niet werkelijk een belangenafweging kon worden gemaakt. Over de reikwijdte van de verplichting van een access provider om NAW-gegevens te verstrekken aan een IE-rechthebbende zegt dit arrest naar mijn mening betrekkelijk weinig.

3.28

Het laatste arrest in de rij dateert van 9 juli 2020 en betreft de zaak Constantin Film Verleih.44Twee films waren, zonder toestemming, op YouTube gezet. De rechthebbende vorderde van YouTube om haar de gegevens te verschaffen omtrent de gebruikers die de bewuste werken zouden hebben geüpload: e-mailadressen, telefoonnummers en het gebruikte IP-adres. Het Bundesgerichtshof stelde de – nogal technische – prejudiciële vraag of het hier ging om ‘adressen’ in de zin van art. 8 lid 2, onder a), Handhavingsrichtlijn. Het Hof beantwoordt die vraag ontkennend: met ‘adressen’ zijn alleen postadressen bedoeld. Lidstaten mogen echter de houders van IE-rechten verdergaande rechten op informatie toekennen, mits daarbij een juist evenwicht tussen de betrokken grondrechten wordt verzekerd en andere algemene beginselen van Unierecht, zoals het evenredigheidsbeginsel, worden geëerbiedigd (punt 39). Dit arrest bevestigt nog maar weer een keer dat het bij vorderingen tot verstrekking van identificerende gegevens aankomt op een afweging van de wederzijdse belangen.

3.29

Uit vorenstaand overzicht blijkt dat voor het antwoord op de vraag of een tussenpersoon verplicht is persoonsgegevens van zijn klanten door te geven aan een IE-rechthebbende, grote betekenis toekomt aan een zorgvuldige afweging van de belangen. Nationale rechtsregels die aan een van die betrokken belangen onvoorwaardelijke of onbeperkte bescherming toekennen zijn met dit uitgangspunt van belangenafweging niet verenigbaar. Hoe een afweging precies moet worden uitgevoerd is afhankelijk van de omstandigheden van het geval. Daarover bevatten de besproken arresten weinig concrete aanknopingspunten.

Nationale rechtspraak over de verplichting NAW-gegevens te verstrekken

3.30

Naar nationaal recht kan een vordering tot het verkrijgen van NAW-gegevens wegens IE-inbreuken in beginsel worden gebaseerd op (i) art. 28 lid 9 Auteurswet, (ii) art. 843a Rv in combinatie met art. 1019a Rv, of (iii) art. 3:296 in samenhang met art. 6:162 BW. DFW heeft voor de laatstgenoemde grondslag gekozen. Deze (algemene) grondslag biedt flexibiliteit, zowel voor partijen als voor de rechter. Zij is door de Hoge Raad echter ingekaderd in het arrest Lycos/ [...] uit 2005.45

3.31

Postzegelhandelaar [...] was op een website anoniem van fraude beschuldigd. Hij vorderde van internetprovider Lycos, die de website ‘hostte’, bekendmaking van de NAW-gegevens van de persoon die anoniem de uitingen had gedaan Lycos weigerde dat met een beroep op de E-commercerichtlijn en art. 6:196c BW. [...] vorderde dat Lycos de NAW-gegevens van de websitehouder bekend maakte. In cassatie overweegt de Hoge Raad het volgende (mijn onderstrepingen):

“4.10 Ook indien de op een website gepubliceerde informatie niet onmiskenbaar onrechtmatig is, kan een serviceprovider onder omstandigheden onrechtmatig handelen door de bij haar bekende NAW-gegevens van de desbetreffende websitehouder niet op verzoek aan een belanghebbende derde bekend te maken. Indien voldoende aannemelijk is dat de gepubliceerde informatie jegens de derde wel onrechtmatig zou kunnen zijn en dat deze daardoor schade kan lijden, zou het maatschappelijk bezien ongewenst zijn indien die derde geen enkele reële mogelijkheid heeft de websitehouder daarop — zo nodig in rechte — aan te spreken. Onder omstandigheden kan dan ook een weigering van de serviceprovider om de NAW-gegevens van de websitehouder aan de derde bekend te maken in strijd komen met de zorgvuldigheid die de serviceprovider jegens een zodanige derde in acht dient te nemen. Dit kan met name het geval zijn indien zich de volgende omstandigheden voordoen:

a. de mogelijkheid dat de informatie, op zichzelf beschouwd, jegens de derde onrechtmatig en schadelijk is, is voldoende aannemelijk;

b. de derde heeft een reëel belang bij de verkrijging van de NAW-gegevens;

c. aannemelijk is dat er in het concrete geval geen minder ingrijpende mogelijkheid bestaat om de NAW-gegevens te achterhalen;

d. afweging van de betrokken belangen van de derde, de serviceprovider en de websitehouder (voor zover kenbaar) brengt mee dat het belang van de derde behoort te prevaleren.”

3.32

De zaak Lycos/ [...] heeft betrekking op diffamerende uitingen. De rechtsregels uit het arrest zijn recent toegepast op een vordering tot het verkrijgen van NAW-gegevens46 en veel eerder al op een vordering tot overlegging van IP-adressen die IE-rechthebbenden hadden aangespannen tegen een internet service provider.47 In de vakliteratuur is betoogd dat het Lycos/ [...]-arrest ten aanzien van aanbieders van elektronische communicatienetwerken zou zijn achterhaald door Europese regelgeving, in het bijzonder art. 5 e-Privacyrichtlijn.48 Dat artikel verplicht internet service providers vertrouwelijk om te gaan met hun klantgegevens, tenzij de wet op die regel een specifieke uitzondering maakt.49 Een specifieke civielrechtelijke wettelijke regeling ontbreekt echter.

3.33

In lijn daarmee heeft Ziggo c.s. in eerste aanleg betoogd dat Lycos/ [...] is achterhaald. De voorzieningenrechter is daar niet in meegegaan:

“4.6 De voorzieningenrechter is van oordeel dat de omstandigheid dat er geen specifiek wettelijke civielrechtelijke regeling is die een Internet Service Provider (ISP) als Ziggo c.s. onder omstandigheden verplicht tot afgifte van klantgegevens, niet betekent dat artikel 6:162 BW, zoals uitgelegd in het arrest Lycos/ [...] van de Hoge Raad van 25 november 2005 (ECLI:NL:HR:2005:AU4019) niet als wettelijke grondslag voor een dergelijke afgifte kan (blijven) gelden. Daartoe geldt het volgende.

4.6.1

In het vonnis in kort geding van 16 december 2015 van deze rechtbank is reeds overwogen (ECLI:NL:RBMNE:2015:8974, rov 4.5), dat de enkele omstandigheid dat na het arrest Lycos/ [...] de e-Privacyrichtlijn (nr. 2002/58) is geïmplementeerd en artikel 15 van die richtlijn een specifieke wettelijke basis vereist voor het opvragen van privacygevoelige gegevens als NAW-gegevens, niet betekent dat artikel 6:162 BW, zoals uitgelegd in dat arrest, niet als een dergelijke wettelijke basis zou kunnen gelden. Wat daar is overwogen en beslist, geldt ook hier.

4.6.2

Ook het beroep van Ziggo c.s. op het arrest van het Europees Hof van Justitie inzake Promusicae/Telefónica van 29 januari 2008 (C-275/06) leidt niet tot een ander oordeel. Aan Ziggo c.s. kan worden toegegeven dat in het arrest is beslist dat de lidstaten niet verplicht zijn wettelijke maatregelen te treffen die ertoe kunnen leiden dat persoonsgegevens in het kader van een civiele procedure moeten worden meegedeeld (rov 70), alsook dat de Nederlandse wetgever geen specifieke wettelijke civielrechtelijke regeling gemaakt heeft die een provider als Ziggo c.s. onder omstandigheden verplicht tot afgifte van klantgegevens. Naar het voorlopige oordeel van de voorzieningenrechter betekent dit echter niet, zoals door Ziggo c.s. wel is betoogd, dat het op artikel 6:162 BW gebaseerde en door de Hoge Raad als juist bevonden criterium zoals genoemd in het arrest Lycos/ [...] , daarmee niet meer van toepassing is. Dit geldt te meer, omdat er geen aanleiding is om aan te nemen dat het door de Hoge Raad bekrachtigde criterium in conflict komt met de uitlegging van de in Promusicae/Telefónica genoemde diverse Europese richtlijnen, grondrechten of andere algemene beginselen van gemeenschapsrecht en het Hof verder ook nadrukkelijk geoordeeld heeft dat het verstrekken van persoonsgegevens ter bescherming van het auteursrecht niet is uitgesloten.”

3.34

Ziggo c.s. heeft tegen deze overwegingen een voorwaardelijk incidentele grief (3) gericht en nogmaals betoogd dat een rechtsgrondslag voor de gegevensvordering van DFW ontbreekt. Volgens Ziggo c.s. is voor een uitzondering op grondrechten steeds een wettelijke regeling vereist.50 Het hof is aan dit betoog niet toegekomen.51

3.35

Ik acht het zojuist weergegeven oordeel van de voorzieningenrechter dat art. 6:162 BW aan een gegevensvordering wegens gestelde inbreuk op IE-rechten ten grondslag kan worden gelegd, niet onjuist. Dat in de rechtspraak van het Hof van Justitie de eis wordt gesteld dat een bevel tot verstrekking van persoonsgegevens is gebaseerd op een “nationale wettelijke regeling”,52 impliceert niet dat er een specifieke nationale wetsbepaling dient te zijn die regelt onder welke voorwaarden een access provider klantgegevens moet verstrekken aan een IE-rechthebbende. Een algemene grondslag zoals art. 6:162 BW kan evenzeer als ‘nationale wettelijke regeling’ gelden, mits die kan worden uitgelegd en toegepast op een wijze die verenigbaar is met de toepasselijke Unierechtelijke regelgeving (waaronder de e-Privacyrichtlijn en de AVG) en met de grondrechten (met name art. 8 EVRM en de art. 7 en 8 Handvest).

3.36

De in Lycos/ [...] genoemde criteria a. t/m d. laten mijns inziens een AVG- en grondrechtconforme uitleg toe. In het bijzonder kan op grond van de onder d. genoemde belangenafweging worden bereikt dat de lat voor toewijzing van een door een IE-rechthebbende gevraagd bevel tot overlegging van klantgegevens voldoende hoog komt te liggen om de bescherming van de privacybelangen van de klanten van een access provider te waarborgen.53Lycos/ [...] kan daarom naar mijn mening worden toegepast als rechtsgrond voor het opvragen van NAW-gegevens van een access provider.

3.37

Ik wijs tot slot van dit overzicht nog op enkele recente zaken waarin afgifte van klantgegevens was gevorderd (ter onderscheiding van vorderingen tot het blokkeren van websites of IP-adressen).54

3.38

Een ‘Lycos/ [...] -vordering’ wegens vermeend onrechtmatige uitingen strandde bij het gerechtshof Arnhem-Leeuwarden omdat betrokkene niet voldoende aannemelijk had gemaakt dat op de betrokken websites en de daaraan verbonden e-mailadressen onrechtmatige uitlatingen over hem waren gedaan.55

3.39

Een op art. 28 lid 9 Auteurswet gebaseerde vordering tegen de beheerder van de Usenet Spotnet website werd toegewezen door de rechtbank Midden-Nederland.56 Op vordering van Stichting BREIN diende gedaagde naam, adres en andere identificerende gegevens van, kort gezegd, alle bij de gestelde IE-inbreuken betrokken personen te verstrekken.57 In een annotatie bij die uitspraak wordt gewezen op de noodzaak voor een grondslag voor de gegevensverwerking, welke in die zaak werd gevonden in art. 6 lid 1, onder f, AVG, en voorts op de noodzaak in dat kader een belangenafweging te maken tussen de belangen en grondrechten van de personen wier gegevens worden verstrekt, en de gerechtvaardigde belangen van Stichting BREIN.

3.40

Tot slot wijs ik op een vonnis van de voorzieningenrechter in de rechtbank Den Haag in een zaak waarin op grond van art. 843a Rv van een service provider werd gevorderd NAW-gegevens en e-mailadressen te verstrekken van klanten die via IP-adressen inbreuk zouden hebben gemaakt op het auteursrecht van eiseres in die zaak. De vordering werd toegewezen voor zover de opgevraagde gegevens voldoende bepaald waren.58 De voorzieningenrechter toetst aan de voorwaarden van art. 6 lid 1, onder f, AVG (gerechtvaardigd belang, noodzakelijkheid en belangenafweging). De belangenafweging viel daar uit in het voordeel van de rechthebbende. De voorzieningenrechter overweegt daartoe het volgende:

“4.20 In het kader van de AVG dient de belangenafweging gemaakt te worden of de grondrechtelijk beschermde belangen van Dish Network (onder andere het volledig kunnen uitoefenen van het grondrecht op intellectuele eigendom), behoort te prevaleren boven de privacybelangen van de betrokken klant van WorldStream (het recht op bescherming van persoonsgegevens).

4.21

Naar voorlopig oordeel dient deze afweging in het voordeel van Dish Network uit te vallen. Daarbij gaat de voorzieningenrechter voorbij aan het betoog van WorldStream dat de belangen van haar klanten zwaarder moeten wegen omdat Dish Network niet heeft onderbouwd hoe zij de rechten van de klanten van Dish Network zal waarborgen en/of wat de schade behelst, wat de hoogte van die schade is en wat dit per individuele klant gaat betekenen en/of welke actie(s) Dish Network daarbij zal inzetten. Dish Network heeft voldoende gesteld waaruit blijkt dat de desbetreffende klanten WorldStream achter de specifieke IP-adressen op de genoemde tijdstippen (…) grootschalige inbreuk maken op haar auteursrechten, waarbij zij tevens - onbetwist - heeft gesteld dat de schade ten gevolge van deze inbreuken groot is. Daarnaast heeft zij aangegeven deze vermeende inbreukmakers in rechte te willen aanspreken en deze schade te willen verhalen. In deze specifieke omstandigheden is dit voldoende om de weegschaal richting Dish Network te laten uitslaan. Zoals Dish Network terecht opmerkt, gaan de grondrechten van klanten van WorldStream niet zover dat zij met een beroep op die rechten anoniem inbreuk zouden mogen maken op de exclusieve rechten van Dish Network. (…).”

3.41

Op deze laatste overweging is kritiek geuit.59 Er is verder op gewezen dat ook na deze uitspraak de vraag blijft bestaan of, en in welke mate, financiële belangen moeten worden meegenomen bij de toewijzing van een NAW-bevel en dat het spreekwoordelijke verlossende woord daarover naar alle waarschijnlijkheid in deze cassatieprocedure DFW/Ziggo c.s. zal worden gesproken.60

4 Bespreking van het cassatiemiddel in het principale beroep

5 Bespreking van het cassatiemiddel in het voorwaardelijk incidenteel beroep

6 Conclusie