Uitspraken

Tussen partijen is niet in geschil dat Twitter verwerkingsverantwoordelijke is en [verzoeker] als gebruiker van Twitter een inzageverzoek kan doen in het kader van de AVG.

Artikel 15 AVG heeft tot doel de betrokkene, in dit geval [verzoeker] , in staat te stellen kennis te nemen van de persoonsgegevens die over hem zijn verzameld en te controleren of die gegevens juist zijn en rechtmatig zijn verwerkt (zie overweging 63 AVG). In artikel 15 AVG, en nader uitgewerkt in jurisprudentie en richtsnoeren, is bepaald dat [verzoeker] het recht heeft om van de verwerkingsverantwoordelijke, in dit geval Twitter, uitsluitsel te verkrijgen over het verwerken van zijn persoonsgegevens en om, wanneer zijn persoonsgegevens worden verwerkt, inzage te krijgen in onder meer:

- die persoonsgegevens,

- de verwerkingsdoeleinden,

- de betrokken categorieën van persoonsgegevens,

- de (categorieën van) ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt,

- alle beschikbare informatie over de bron van die gegevens,

- het bestaan van geautomatiseerde besluitvorming met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering,

en wanneer sprake is van geautomatiseerde besluitvorming waaraan voor [verzoeker] rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft:

- nuttige informatie over de onderliggende logica,

- het belang van geautomatiseerde besluitvorming,

- de verwachte gevolgen van die verwerking voor [verzoeker] .

Het begrip ‘persoonsgegeven’ is gedefinieerd in de AVG. In artikel 4 onder 1 AVG is bepaald dat een persoonsgegeven is: ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’. Door het HvJEU wordt een ruime uitleg aan het begrip ‘persoonsgegeven’ gegeven. Het HvJEU heeft overwogen dat het begrip persoonsgegeven niet beperkt is tot gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elke soort informatie, zowel objectieve als subjectieve informatie in de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene betreft. Deze laatste voorwaarde is vervuld wanneer de informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde persoon en waarmee die persoon redelijkerwijs identificeerbaar is voor een andere persoon (HvJEU 20 december 2017, ECLI:EU:C:2017:994, Nowak).

In artikel 5 AVG staat dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van [verzoeker] rechtmatig, behoorlijk en transparant is. De informatie die Twitter verstrekt dient eenvoudig, toegankelijk en begrijpelijk te zijn. Het transparantiebeginsel wordt verder uitgewerkt in artikel 12, 13 en 14 AVG. In de Richtsnoeren inzake transparantie van WP29 staat toegelicht dat met duidelijke en eenvoudige taal wordt bedoeld dat taal wordt gebruikt die concreet en duidelijk is.

In artikel 15 lid 3 AVG is bepaald dat Twitter aan [verzoeker] een kopie verstrekt van de persoonsgegevens die worden verwerkt. Het woord kopie dient te worden uitgelegd in lijn met de context en bedoeling van artikel 15 AVG, namelijk dat [verzoeker] in staat moet worden gesteld de verwerking van zijn persoonsgegevens te controleren op juistheid en rechtmatigheid. Daarmee kan [verzoeker] vervolgens eventueel gebruik maken van zijn andere rechten onder de AVG, zoals het recht op rectificatie of gegevenswissing. Op Twitter rust de verplichting om ervoor te zorgen dat [verzoeker] alle informatie in een beknopte, transparante, begrijpelijke en gemakkelijke vorm en in duidelijke en eenvoudige taal ontvangt (artikel 12 lid 1 AVG). De kopie van persoonsgegevens die Twitter verstrekt moet dan ook alle noodzakelijke kenmerken vertonen om [verzoeker] in staat te stellen zijn rechten uit de AVG daadwerkelijk uit te voeren. Dat betekent ook dat de kopie volledig en getrouw moet worden gereproduceerd. Dat kan betekenen dat volledige documenten of uittreksels die onder meer de persoonsgegevens bevatten worden verstrekt, zodat de betrokkene de gegevens ook in de context van de verwerking kan plaatsen (HvJEU 4 mei 2023, ECLI:EU:2023:369, Österreichische Datenschutzbehörde).

Onder duidelijke en eenvoudige taal wordt verstaan dat onbepaalde taal dient te worden vermeden. De informatie dient concreet en definitief te zijn. Dat betekent dat woorden zoals ‘kan’, ‘zou kunnen’ of ‘mogelijk’ dienen te worden vermeden.
In artikel 13 en 14 AVG is bepaald hoe Twitter de persoonsgegevens dient te verstrekken. Twitter dient actief stappen te ondernemen om ervoor zorg te dragen dat [verzoeker] de informatie ontvangt. Daarvoor is niet voldoende dat [verzoeker] wordt verwezen naar algemene informatie zoals gebruikersvoorwaarden.

Twitter kan inzage weigeren indien dit noodzakelijk is voor de bescherming van de rechten en vrijheden van anderen (artikel 15 lid 4 AVG en artikel 41 lid 1 sub i UAVG). Uit de wetsgeschiedenis volgt dat ook Twitter zelf wordt begrepen onder ‘anderen’ in dit verband. Hieronder kan de bescherming van bedrijfsgeheimen worden verstaan. In overweging 63 van de AVG staat opgenomen dat een dergelijke overweging er echter niet toe mag leiden dat een betrokkene alle informatie wordt onthouden.

Met toepassing van de hiervoor genoemde uitgangspunten beoordeelt de rechtbank het inzageverzoek van [verzoeker] als volgt.

[verzoeker] hoeft in beginsel niet te motiveren waarom hij een inzageverzoek doet. Het enkele feit dat over hem gegevens worden verwerkt is voldoende. Een inzageverzoek kan echter misbruik van recht opleveren indien dat is gedaan met een ander doel dan zich op de hoogte stellen van de verwerking en controleren op rechtmatigheid. Het is aan Twitter als verwerkingsverantwoordelijke om misbruik van recht aan te tonen.

In zijn inzageverzoek van 13 oktober 2023 vraagt [verzoeker] om inzage in zijn persoonsgegevens, specifiek met betrekking op de opgelegde beperking (shadowban). Op 15 oktober 2023 doet hij een aanvulling waarin hij vraagt om allerlei categorieën van persoonsgegevens, in de context van de shadowban en betrekking hebbende op specifieke informatie omtrent beperkingen op zijn account. Twitter heeft in haar processtukken het standpunt ingenomen dat het gehele inzageverzoek betrekking had op de opgelegde beperking, maar dat blijkt niet uit het verzoek. De shadowban is duidelijk de aanleiding geweest voor het inzageverzoek van [verzoeker] . In zijn inzageverzoek en de aanvulling daarop vraagt hij naast informatie over de opgelegde beperking ook om informatie over zijn account, waaronder of hij op een blacklist staat en welke andere beperkingen er in het verleden op zijn account hebben gerust. Het inzageverzoek is dus zowel algemeen als toegespitst op specifieke persoonsgegevens.
4.13. Uit de eerste reactie van Twitter op het inzageverzoek lijkt ook te volgen dat Twitter het inzageverzoek niet heeft opgevat als enkel betrekking hebbend op de beperking. Twitter heeft namelijk op 14 november 2023 gereageerd met een zeer algemeen bericht waarin zij verwijst naar haar Privacy Policy. Pas op 12 januari 2024, drie maanden nadat [verzoeker] zijn inzageverzoek had gedaan, volgde een meer toegespitste reactie en liet Twitter weten dat de beperking was opgelegd vanwege een specifieke post van [verzoeker] . Hieruit volgt dat voor zowel [verzoeker] als Twitter duidelijk was dat het inzageverzoek tweeledig was. Daarnaast, als Twitter al twijfelde over de strekking van het inzageverzoek dan lag het op haar weg, als verwerkingsverantwoordelijke, om aan [verzoeker] een nadere toelichting te vragen.

Hiermee voldoet Twitter niet aan de AVG. De verwerking dient transparant te zijn en begrijpelijk. De verwijzing naar de algemene informatie uit de Privacy Policy stelt [verzoeker] niet in staat om te controleren hoe Twitter zijn gegevens heeft verwerkt en of dit juist is en rechtmatig. Twitter heeft [verzoeker] tot op heden niet in de gelegenheid gesteld dit te doen. De informatie die Twitter wel verstrekt is niet concreet genoeg en verwijst naar andere bronnen. Daarmee creëert Twitter een zoekplaatje voor [verzoeker] omdat hij op geen enkel moment een duidelijk overzicht heeft van (de verwerking van) zijn persoonsgegevens.

Twitter dient dus inzage te geven in de persoonsgegevens van [verzoeker] waarover zij beschikt en daarbij in te gaan op de diverse in artikel 15 lid 1 AVG opgenomen categorieën. Een van de categorieën waar Twitter in ieder geval informatie over kan verstrekken is de ontvangers van persoonsgegevens. Uit de Privacy Policy blijkt immers dat Twitter informatie ontvangt van en deelt met derden. Twitter dient de identiteit van deze derden en de betrokken categorieën van persoonsgegevens te verstrekken aan [verzoeker] (zie ook het arrest Österreische Post). Twitter dient daarnaast in te gaan op de overige categorieën en hierover informatie te verstrekken dan wel te motiveren dat zij niet over deze informatie beschikt of om een andere reden van mening is dat zij deze niet hoeft te delen.

De wijze waarop Twitter inzage dient te verstrekken staat in artikel 15 lid 3 AVG, namelijk in de vorm van een kopie. In het arrest Österreichische Datenschutzbehörde (zie hiervoor in 4.5) heeft het HvJEU geoordeeld over hoe het woord ‘kopie’ moet worden uitgelegd. Twitter dient op zo’n wijze inzage te verschaffen dat [verzoeker] de verwerking van zijn persoonsgegevens kan controleren op juistheid en rechtmatigheid. Dat betekent dat Twitter niet kan volstaan met een samenvatting van de persoonsgegevens zonder enige context te bieden over de grondslag waarop deze verwerkt zijn, zoals Twitter bijvoorbeeld in haar brief van 12 januari 2024 heeft gedaan. Om daadwerkelijk gebruik te kunnen maken van het inzagerecht en de daaropvolgende rechten uit de AVG (zoals rectificatie en verwijdering) dient [verzoeker] ook inzage te krijgen in de context van de verwerking van zijn persoonsgegevens. Dat betekent dat Twitter soms meer dient te verstrekken dat enkel ‘het persoonsgegeven’, maar ook een volledige en getrouwe kopie dient te verstrekken van het stuk waarin dat persoonsgegeven staat.

Twitter heeft ter zitting het standpunt ingenomen dat zij niet volledig op het inzageverzoek van [verzoeker] reageert omdat zij dan bedrijfsgeheimen moet delen en vreest dat [verzoeker] die geheimen openbaar zal maken. Die stelling heeft zij echter amper onderbouwd en ook niet toegespitst op bepaalde persoonsgegevens met een toelichting over waarom zij deze niet zou kunnen delen. Twitter kan zich niet verschuilen achter ‘bedrijfsgeheimen’ en zich daarmee onttrekken aan haar verplichtingen in het kader van de AVG (zie overweging 63 AVG). Op geen enkel punt in deze procedure heeft [verzoeker] gevraagd om bijvoorbeeld het algoritme op basis waarvan zijn post nader onderzocht is en daarop heeft [verzoeker] ook geen recht in het kader van zijn inzageverzoek. Twitter houdt het bij een algemeen beroep op bedrijfsgeheimen en dat is onvoldoende om haar in het kader van de ‘rechten en vrijheden van anderen’, zoals bedoeld in artikel 15 lid 4 AVG vrij te stellen van haar verplichting om aan het inzageverzoek van [verzoeker] te voldoen.

Twitter heeft in haar verweerschrift ook gewezen op het ‘X Data Archive’. Volgens Twitter zou zij dit ook al hebben gedaan in haar reactie van 14 november 2023, maar daarin leest de rechtbank niets over het X Data Archive. Twitter is dus te laat met haar verwijzing naar het Data Archive. In het X Data Archive zou informatie staan over alle posts van de gebruiker, zijn accountgegevens, de aan hem getoonde advertenties, informatie die wordt afgeleid om een profiel over de gebruiker te creëren en informatie over accounts die de gebruiker heeft geblokkeerd, berichten die hij van anderen heeft ontvangen, tweets die de gebruiker liket en meer. De informatie in het X Data Archive lijkt te zien op handelingen van de gebruiker van het account, niet zozeer op de persoonsgegevens die Twitter over de gebruiker heeft verwerkt en wat zij daarmee heeft gedaan. De informatie die hierin zichtbaar is laat dus onverlet dat Twitter niet heeft gereageerd op het inzageverzoek.

In het verweerschrift heeft Twitter voorts aangevoerd dat zij op 14 november 2023 in reactie op het inzageverzoek ook een e-mail heeft gestuurd aan [verzoeker] over de opgelegde beperking. Twitter heeft tijdens de mondelinge behandeling echter toegelicht dat deze
e-mail geen betrekking heeft op het inzageverzoek maar op een klacht van [verzoeker] . Deze
e-mail zal de rechtbank dan ook niet beoordelen in het kader van het inzageverzoek.

Het besluit om het account van [verzoeker] te beperken is een geautomatiseerd genomen besluit. Dit wordt gedaan door een systeem dat selecteert op bepaalde woorden en op basis daarvan beslist een beperking op te leggen. Twitter heeft nog aangevoerd dat, omdat de parameters van het detectiesysteem zijn bepaald door mensen, geen sprake is van een geautomatiseerd besluit. Deze gedachtegang van Twitter is niet te volgen. Het gaat er niet om dat het oorspronkelijke systeem is gemaakt door mensen, maar dat in de besluitvorming om een beperking op te leggen geen sprake is van menselijke tussenkomst. Dat gebeurt uitsluitend geautomatiseerd. Er is pas weer sprake van menselijke tussenkomst wanneer een mens de beperking beoordeelt en deze persoon bevoegd is het besluit te toetsen en te veranderen, waarbij alle relevante gegevens worden betrokken in het onderzoek.

Om recht te hebben op inzage in de geautomatiseerde besluitvorming moet de geautomatiseerde besluitvorming rechtsgevolgen hebben voor [verzoeker] of hem anderszins in aanmerkelijke mate treffen. Dit laatste is het geval. De beperking zorgt ervoor dat [verzoeker] minder vindbaar is en daardoor minder bereik heeft. Nu [verzoeker] zijn account gebruikt om zichzelf professioneel te profileren raakt dit zijn werkgelegenheid. Daarnaast zijn de mogelijke consequenties van de beperking groot, namelijk wanneer [verzoeker] in verband wordt gebracht met kindermisbruik en Twitter een melding zou doen bij het Amerikaanse NCMEC, een organisatie die zich inzet tegen het misbruik van kinderen en die aangifte kunnen doen tegen [verzoeker] in de Verenigde Staten, waardoor [verzoeker] mogelijk niet meer toegelaten wordt tot de VS. Het besluit kan [verzoeker] dan ook in aanmerkelijke mate treffen.

Dat betekent dat Twitter, ingevolge artikel 13 en 14 AVG, transparant had moeten zijn over de automatische besluitvorming en daarover proactief informatie had moeten verstrekken. Het had op de weg van Twitter gelegen om [verzoeker] op het moment dat zij de beperking oplegde hiervan op de hoogte te stellen en hem te informeren over de vervolgstappen en mogelijke consequenties hiervan. Dat had [verzoeker] ook de gelegenheid geboden om in bezwaar te gaan tegen de beperking.

Voorts had Twitter in lijn met artikel 15 lid 1 onder h AVG [verzoeker] , in ieder geval op het moment dat hij in zijn inzageverzoek vroeg om informatie over de beperking, moeten inlichten over de geautomatiseerde besluitvorming, de onderliggende logica, het belang en de verwachte gevolgen voor [verzoeker] . Twitter kwam pas drie maanden later met informatie over de beperking, die bovendien niet volledig was. Dat is te laat. De inzage is bovendien aangeboden op een manier dat de context van de beperking onduidelijk was en controle op juistheid en rechtmatigheid voor [verzoeker] niet mogelijk was.

Twitter heeft erop gewezen dat zij het account mocht beperken omdat zij een verantwoordelijkheid heeft om het platform te beschermen tegen uitingen in strijd met haar beleid. Het klopt dat Twitter een dergelijke verantwoordelijkheid heeft. Dat Twitter een beperking heeft opgelegd op het account van [verzoeker] om daar onderzoek naar te doen, is ook niet het verwijt dat haar wordt gemaakt. Wat Twitter verkeerd heeft gedaan, is de informatievoorziening daaromheen. Twitter heeft niet op de juiste wijze gereageerd op het informatieverzoek van [verzoeker] met betrekking tot de beperking en heeft hem ook niet van alle algemene informatie voorzien waar hij recht op heeft. Voor zover Twitter ook op dit punt zou willen wijzen op haar bedrijfsgeheimen geldt hetzelfde oordeel als de rechtbank in 4.19 heeft overwogen.

[verzoeker] heeft aangevoerd dat hij van diverse organisaties heeft begrepen dat zij contact hebben opgenomen met Twitter met de vraag waarom een beperking is opgelegd op de account van [verzoeker] . [verzoeker] heeft niet duidelijk gemaakt welke organisatie contact heeft opgenomen, anders dan een mensenrechtenorganisatie. Twitter heeft dit nadrukkelijk betwist. Dat deze informatie bij Twitter aanwezig is, is dan ook onvoldoende onderbouwd. De rechtbank zal dit gedeelte van het inzageverzoek afwijzen.

[verzoeker] heeft aangevoerd dat Twitter, wanneer zij een beperking oplegt vanwege mogelijk kindermisbruik, automatisch een melding doet bij NCMEC. Dat baseert [verzoeker] op een post van de voormalig CEO van Twitter, Elon Musk, waarin staat dat meldingen bij de NCMEC automatisch worden gedaan. Twitter heeft meermaals nadrukkelijk betwist dat een dergelijke melding automatisch wordt gedaan en richting [verzoeker] nadrukkelijk gezegd dat vanuit Twitter geen melding over hem is gedaan bij de NCMEC.

De enkele post van Musk, van na de beperking op [verzoeker] zijn account, is in het licht van de betwisting door Twitter onvoldoende om voor dit specifieke geval toch ervan uit te gaan dat wel een melding zou zijn gedaan. Dit gedeelte van het verzoek wordt dan ook afgewezen.

De rechtbank heeft hiervoor reeds overwogen dat Twitter onvoldoende heeft gereageerd op het inzageverzoek van [verzoeker] en dat zij dit alsnog moet doen. De rechtbank gaat er dan ook vanuit dat dit gedeelte van het inzageverzoek al is beoordeeld en toegewezen.

Twitter heeft betwist dat zij gebruik maakt van een blacklist en stelt dat er niet meer informatie is te geven over een shadowban.

De rechtbank begrijpt waarom [verzoeker] meent dat een blacklist zou moeten bestaan. Aan hem is immers een shadowban opgelegd en journalisten hebben geschreven over het bestaan van zowel shadowbans als blacklists. Dat enkele vermoeden bij [verzoeker] en journalisten is echter onvoldoende om Twitter in deze specifieke zaak te bevelen hierin inzage te geven. Dat [verzoeker] op een blacklist staat is namelijk niet gebleken en om die reden ziet de rechtbank ook geen aanknopingspunt om Twitter te gebieden inzage te verstrekken in persoonsgegevens van [verzoeker] die op deze wijze zijn verwerkt.

Tussen partijen staat vast dat het systeem Guano bestaat. Twitter heeft niet ontkend dat dit een chronologisch overzicht is van alle acties die op een account zijn genomen. Dat betekent dat dit een persoonsgegeven is en dat Twitter inzage dient te geven in de verwerking daarvan, in de context van dat systeem, zodat [verzoeker] dat kan controleren op de rechtmatigheid en juistheid. Aangezien het gaat om inzage in persoonsgegevens kan Twitter zich ook hierin niet (in algemene zin) beroepen op bedrijfsgeheimen.

Twitter dient dus nog te reageren op het algemene inzageverzoek, waaronder de diverse categorieën uit artikel 15 en in het bijzonder de geautomatiseerde besluitvorming. Daarnaast moet Twitter specifieke informatie verstrekken over reputation scores, labels en het systeem Guano.

Twitter zal worden veroordeeld om die informatie binnen een termijn van één maand te verstrekken. De rechtbank acht het van belang dat daarbij, zoals verzocht, een dwangsom wordt opgelegd omdat Twitter er tot op heden onvoldoende blijk van heeft gegeven haar verplichtingen uit de AVG serieus te nemen. De dwangsom wordt begroot op een bedrag van € 4.000,- per dag dat Twitter de informatie niet aan [verzoeker] verstrekt.

De rechtbank zal deze beschikking uitvoerbaar bij voorraad verklaren.