ECLI:NL:PHR:2021:83

Eerste aanleg 2.1 Op 11 januari 2019 heeft DFW Ziggo c.s. in kort geding gedagvaard voor de voorzieningenrechter van de rechtbank Midden-Nederland, locatie Utrecht, en, samengevat, gevorderd dat de voorzieningenrechter Ziggo c.s. (hoofdelijk) zal bevelen om van de abonnementhouders van de relevante IP-adressen, samengevat, de navolgende (identificerende) gegevens aan DFW te verstrekken: voornaam, achternaam, adresgegevens en het e-mailadres. DFW heeft tevens gevorderd dat het gevraagde bevel wordt versterkt met een dwangsom en dat Ziggo c.s. in de proceskosten wordt veroordeeld. 2.2 De voorzieningenrechter heeft de vorderingen van DFW bij vonnis van 8 februari 2019 afgewezen. De voorzieningenrechter overweegt dat een wettelijke grondslag is vereist op grond waarvan een internet service provider als Ziggo c.s. kan worden verplicht tot afgifte van klantgegevens. In art. 6:162 BW jo 3:296 BW is een wettelijke grondslag gelegen ten gevolge waarvan Ziggo c.s. onder omstandigheden tot deze afgifte kan worden verplicht. Daarbij is van belang of: a. het voldoende aannemelijk is dat het downloaden van de Film met behulp van BitTorrent-netwerken onrechtmatig is jegens DFW; b. DFW een reëel belang heeft bij de verkrijging van de NAW-gegevens; c. het aannemelijk is dat er in dit concrete geval geen minder ingrijpende mogelijkheid bestaat om de NAW-gegevens te achterhalen; en d. de afweging van de betrokken belangen van DFW, Ziggo c.s. en haar abonnees meebrengt dat het belang van DFW in dit geval zwaarder dient te wegen. 2.3 Aan de onder a., b. en c. genoemde criteria is voldaan. DFW heeft echter onvoldoende aangevoerd om de belangenafweging onder d. in haar voordeel te laten uitvallen. Voor dat oordeel is redengevend dat: - voor elk IP-adres sprake is van een eenmalige inbreuk op de intellectuele eigendomsrechten op de Film, hetgeen het belang van DFW bij afgifte van de gevraagde NAW-gegevens niet extra groot maakt (rov. 4.17); - het bedrag dat DFW van de abonnementhouder wenst te ontvangen op geen enkele wijze is onderbouwd, zodat niet is uitgesloten dat in dit bedrag ook elementen van een boete zitten (rov. 4.18); - niet helder is of, en zo ja, op welke wijze DFW aan de houder van het IP-adres meedeelt wat – in het geval hij niet zelf de illegale downloader is – rechtens zijn positie is (rov. 4.19); - DFW evenmin heeft aangegeven of en op welke wijze zij de aan te schrijven personen actief zal wijzen op de in hoofdstuk 7 van het Protocol opgenomen waarborgen van de rechten van betrokkenen (rov. 4.20); - van DFW meer informatie verwacht had mogen worden om te kunnen beoordelen of zij zich voldoende gelegen laat liggen aan de belangen van de IP-adreshouder (rov. 4.21). Hoger beroep 2.4 Bij exploot van 7 maart 2019 is DFW van het vonnis van de voorzieningenrechter in hoger beroep gekomen bij het gerechtshof Arnhem-Leeuwarden, locatie Arnhem, (hierna: het hof). DFW heeft tien grieven gericht tegen het vonnis. Ziggo c.s. heeft verweer gevoerd en incidenteel hoger beroep ingesteld, grotendeels onder de voorwaarde dat het hoger beroep van DFW slaagt. 2.5 Bij arrest van 5 november 2019 heeft het hof het vonnis bekrachtigd en DFW veroordeeld in de proceskosten. 2.6 Het hof oordeelt allereerst dat DFW een spoedeisend belang heeft, en verwerpt aldus de enige niet-voorwaardelijke incidentele grief van Ziggo c.s. (rov. 5.2). 2.7 Vervolgens overweegt het hof wat de grondslag van de vordering van DFW is: “5.4 Voor de toewijzing van een bevel tot afgifte van persoonsgegevens is vereist dat op Ziggo c.s. een rechtsplicht tot deze afgifte rust (artikel 3:296 BW). DFW heeft die rechtsplicht gebaseerd op de stelling dat Ziggo c.s. onrechtmatig handelt wanneer zij haar klantgegevens niet aan DFW verstrekt. Van een onrechtmatige daad is volgens de wet sprake wanneer er (i) een inbreuk is op een subjectief recht, (ii) een doen of nalaten in strijd met een wettelijke plicht of (iii) een doen of nalaten in strijd met hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betaamt (artikel 6:162 lid 2 BW).” DFW beroept zich ter onderbouwing van die vordering op het recht op bescherming van intellectuele eigendom, zoals neergelegd in art. 17 lid 2 van het Handvest van de grondrechten van de Europese Unie (hierna: Handvest) en art. 1 Eerste Protocol EVRM. Tevens beroept DFW zich op het recht op een effectieve rechtsbescherming (art. 47 Handvest en art. 13 EVRM) (rov. 5.5). 2.8 Ook Ziggo c.s. beroept zich op grondrechten, zij het niet op die van haar zelf maar op die van haar klanten: het recht op bescherming van persoonsgegevens (art. 8 Handvest) en eerbiediging van de persoonlijke levenssfeer (art. 8 EVRM). 2.9 De wijze waarop persoonsgegevens mogen worden verwerkt is geregeld in de Algemene Verordening Gegevensverwerking (hierna: AVG). Volgens het hof staat vast dat de door DFW gevorderde afgifte van bepaalde klantengegevens betekent dat ‘persoonsgegevens’ ter beschikking worden gesteld en dat de verstrekking daarvan een ‘verwerking’ vormt in de zin van art. 4 sub 2 AVG (rov. 5.7). 2.10 Het hof overweegt vervolgens: “5.8 Tussen partijen is voorts niet in geschil dat DFW in het Besluit toestemming heeft gekregen voor het vastleggen van persoonsgegevens op grond van het gericht verzamelen van informatie door middel van eigen onderzoek zonder de betrokkene daarvan op de hoogte te stellen. De toestemming heeft betrekking op: 1) het vastleggen van bewijs van uitwisseling van bestanden via IP-adressen door onderzoek te doen naar betrokkenheid van gebruikers van BitTorrent-netwerken bij verspreiding of verveelvoudiging van auteursrechtelijk beschermde werken (stap 1 van het Besluit); 2) met het doel om na selectie van de ontvangen gegevens de BitTorrent-gebruikers die vermoedelijk auteursrechten schenden op te sporen door bij Nederlandse internet service providers contactgegevens op te vragen en als deze daaraan niet meewerken een verzoek te richten aan de rechter (stap 2 van het Besluit); 3) met als achterliggend doel om na vaststelling van de identiteit van de betrokken abonnee deze persoonlijk te benaderen om hem te informeren over het onderzoek en hem aan te spreken vanwege gedragingen die inbreuk maken op het auteursrecht (stap 3 van het Besluit) door het nemen van (één van) de navolgende acties: a) DWF stuurt een waarschuwing aan de betrokkene; b) DFW treft een minnelijke schikking met de inbreukmaker en vraagt deze een onthoudingsverklaring met boetebeding te ondertekenen; c) DFW treft een schikking, vraagt een onthoudingsverklaring met boetebeding en verhaalt de gemaakte kosten op de betrokkene: d) DFW stuurt de inbreukmaker een dagvaarding waarin een verbod en vergoeding van de kosten wordt gevorderd; e) DFW stuurt een dagvaarding waarin naast een verbod en kostenvergoeding ook schadevergoeding wordt gevorderd. Onderhavig geschil heeft betrekking op de in het Besluit als stap 2 omschreven stap. Niet de gegevensverwerking van DFW als zodanig is aan de orde, maar de vraag of Ziggo c.s. als Nederlandse internet service provider medewerking moet verlenen aan het verstrekken van de gevraagde gegevens. 5.9 Ziggo c.s. verzamelt ook persoonsgegevens van haar klanten. Daardoor is ook zij als verwerkingsverantwoordelijke in de zin van artikel 4 onder 7 AVG onderworpen aan de wettelijke verplichtingen uit de AVG. De vraag of zij bevoegd is om de gevraagde gegevens te verstrekken ligt besloten in artikel 6 AVG (voorheen: artikel 8 en 9 Wbp). Dit artikel luidt voor zover hier relevant als volgt [onderstreping in origineel; A-G]: ‘1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; (...) f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. (...) (…) 4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke (...) of een lidstaatrechtelijke bepaling (...) ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met: (...) d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen.’” 2.11 Ziggo-klanten hebben aan Ziggo c.s. geen toestemming verleend om de door hen met het oog op de uitvoering van de overeenkomst verzamelde gegevens aan een derde (hier DFW) te verstrekken. Daarom dient de verstrekking te berusten op de onder art. 6 lid 1, onder f), AVG genoemde grondslag, waarbij ook van belang is welke mogelijke gevolgen de verstrekking voor de Ziggo-klanten heeft. Daarbij moet rekening worden gehouden met de redelijke verwachtingen van de betrokkenen (rov. 5.10). Een en ander leidt er naar het oordeel van het hof toe dat voor de beoordeling van de vraag of er op Ziggo c.s. een rechtsplicht tot afgifte (verwerking) van persoonsgegevens rust (a) sprake moet zijn van een gerechtvaardigd belang, (b) de verwerking noodzakelijk moet zijn en (c) het belang van DFW behoort te prevaleren boven het belang van de betrokken klanten van Ziggo c.s. (rov. 5.11). 2.12 Het hof oordeelt allereerst dat DFW een gerechtvaardigd belang heeft bij de verstrekking van persoonsgegevens door Ziggo c.s., kort gezegd omdat de personen die de Film hebben gedownload daarmee opzettelijk een inbreuk hebben gemaakt op het aan DFW toekomende intellectuele eigendomsrecht en DFW een gerechtvaardigd belang heeft die personen daarop aan te spreken. Het hof acht daarbij voorshands aannemelijk dat DFW geen andere, minstens zo doeltreffende mogelijkheid tot haar beschikking heeft om de mogelijke inbreukmakers te identificeren en haar schade te verhalen, dan door het richten van verzoeken aan internet service providers tot het verstrekken van de NAW-gegevens van de mogelijke inbreukmakers (rov. 5.12). 2.13 Aan de voorwaarde van noodzakelijkheid onder (b) is eveneens voldaan. DFW heeft naar het oordeel van het hof een reëel belang bij de verstrekking van de persoonsgegevens van de gebruikers met bepaalde IP-adressen: “5.13 Naar het oordeel van het hof heeft DFW voorts een reëel (daadwerkelijk) belang bij de verstrekking van de persoonsgegevens van de gebruikers met bepaalde IP-adressen, omdat zij alleen op die wijze onderzoek kan doen naar de identiteit van een inbreukmaker. De stelling van Ziggo c.s. dat haar klant niet noodzakelijk de BitTorrent-gebruiker en dus de inbreukmaker hoeft te zijn, doet daar in onvoldoende mate aan af, omdat de kring van personen waarvan DFW persoonsgegevens vraagt, beperkt is tot de houders van een IP-adres waarvan is vastgesteld dat van daaraf inbreuk is gemaakt op de intellectuele eigendomsrechten van DFW. Dat de mogelijkheid bestaat dat niet de houder van de internetaansluiting zelf, maar een ander gebruik heeft gemaakt van de internetaansluiting en de vastgestelde inbreuk heeft gemaakt, laat onverlet dat de houder van een IP-adres in beginsel de verantwoordelijkheid draagt voor dat gebruik, De afgifte van persoonsgegevens van bepaalde klanten van Ziggo c.s. wordt naar het oordeel van het hof dan ook in voldoende mate afgebakend. Daarnaast neemt het hof in aanmerking de vermelding in het Besluit (p. 4, onder 4), dat DFW geen nader onderzoek zal instellen wanneer de bewerker vaststelt dat er geen sprake is van evidente inbreuk makende handelingen die passen binnen het prioriteringsbeleid van DFW. Tot slot herhaalt het hof in dit verband dat het voorshands niet aannemelijk is geworden dat er in het concrete geval een minder ingrijpende mogelijkheid bestaat om de identiteit van de inbreukmaker vast te stellen.” 2.14 Een en ander brengt het hof bij de onder (c) genoemde voorwaarde: de belangenafweging. Het hof overweegt dat in dit geval het recht op bescherming van persoonsgegevens staat tegenover het recht op bescherming van de eigendom en het recht op effectieve rechtsbescherming (rov. 5.14). Het hof stelt voorop dat het zich onbeperkt en onvoorwaardelijk beroepen op de privacybelangen van haar klanten door Ziggo c.s. onder de gegeven omstandigheden leidt tot een ernstige aantasting van het ten volle kunnen uitoefenen van het grondrecht op intellectuele eigendom en het grondrecht op een doeltreffende voorziening in rechte waarop houders van intellectuele eigendomsrechten aanspraak hebben (rov. 5.15). 2.15 Het hof kent vervolgens ook belang toe aan het feit dat in de algemene voorwaarden van Ziggo c.s. is opgenomen dat de klant zelf moet instaan voor aanspraken van derden wegens ongeoorloofde verveelvoudiging of openbaarmaking van auteursrechtelijk beschermde werken (rov. 5.16) en dat het niet gaat om zogeheten ‘bijzondere persoonsgegevens’, maar enkel om NAW-gegevens (rov. 5.17). 2.16 Net als in het vonnis van de voorzieningenrechter komt er daarna een keerpunt in de beoordeling ten nadele van DFW. Het hof overweegt: “5.18 Daar staat tegenover dat de gevolgen van de voorgenomen verdere verwerking voor de Ziggo-klanten die het betreft aanzienlijk kunnen zijn. Zoals hiervoor onder 5.8 sub 3 is weergegeven, kan het gaan om acties van het sturen van een waarschuwing aan een betrokken Ziggo-klant tot verhaal van kosten en schadevergoeding door het uitbrengen van een dagvaarding. Het hof volgt Ziggo c.s. in haar standpunt dat DFW niet duidelijk maakt wanneer zij welke actie zal inzetten. In het door DFW opgestelde Protocol waarin zij een toelichting geeft, vermeldt zij slechts dat zij steeds per geval zal beoordelen welke acties of vervolgstappen zij tegen een betrokkene wenst te ondernemen. Door niet transparant te zijn over de criteria die zij aanlegt bij de inzet van de door haar voorgenomen acties worden de belangen van de betrokken Ziggo-klant aangetast, DFW behoudt zich immers het recht voor pas nadat zij de persoonsgegevens heeft gekregen, eenzijdig en zonder enige motivering of toelichting de actie te kiezen die haar goeddunkt. Dat leidt naar het oordeel van het hof tot een verstoring van het te vinden evenwicht, met name in de situatie dat onzeker is of de betrokken Ziggo-klant ook daadwerkelijk de inbreukmaker is, zoals Ziggo c.s, gemotiveerd en onderbouwd met diverse producties heeft aangevoerd. Ziggo c.s. heeft er op gewezen dat dit niet noodzakelijkerwijs het geval is, omdat derden van het IP-adres gebruik gemaakt kunnen hebben en via dat adres de Film gedownload kunnen hebben, maar ook omdat IP- adressen nogal eens wisselen en aan verschillende gebruikers worden toegekend. Zoals hiervoor onder 5.15 overwogen kan aan een Ziggo-klant die houder is van een internetaansluiting waarmee inbreuk op intellectueel eigendomsrecht is gemaakt geen absolute bescherming worden geboden. Van hem kan zelfs worden verlangd dat hij specifieke informatie geeft om te achterhalen wie de daadwerkelijke inbreukmaker is, maar die gelegenheid moet hem dan wel geboden worden. Doordat in het Protocol van DFW en ook in deze procedure niet op transparante wijze wordt uiteenzet op welke wijze DFW haar actiebeleid zal uitoefenen, kunnen de gevolgen van de verstrekking van persoonsgegevens voor de betrokken Ziggo-klanten niet goed worden ingeschat. Het hof acht Ziggo c.s. daardoor ook niet in staat om haar klanten vooraf adequaat te informeren over de gevolgen van de gegevensverstrekking aan DFW. Het hof wijst in dit verband op artikel 5 en 14 lid 4 AVG en de preambule onder 39 waarin staat: “Natuurlijke personen moeten bewust worden gemaakt van de risico’s, regels, waarborgen en rechten in verband met de verwerking van persoonsgegevens, alsook van de wijze waarop zij hun rechten met betrekking tot deze verwerking kunnen uitoefenen.” Daarnaast bestaat ook het risico dat een Ziggo-klant met een maatregel wordt geconfronteerd, nog voordat hem de gelegenheid is geboden om het gebruik van zijn internetaansluiting te onderzoeken en zijn rol daarin vast te stellen. 5.19 Daarbij komt dat DFW ook onvoldoende transparant is over de vraag of, en zo ja, welke bedragen zij van deze Ziggo-klanten zal gaan vorderen en op welke wijze en in hoeverre zij de kosten die zij heeft gemaakt om deze Ziggo-klanten op te sporen zal gaan verhalen. Ziggo c.s. heeft er in dit verband op gewezen dat DFW zich tegenover de pers regelmatig heeft laten ontvallen dat zij de houders van internetaansluitingen waarmee inbreuk is gemaakt op filmrechten een schikkingsvoorstel wil doen van in eerste instantie € 150,-, maar dat de schadeclaims kunnen oplopen tot vele honderden euro’s (onder meer in het artikel van de Volkskrant van 16 januari 2019, productie 2 bij conclusie van antwoord). In één van de persberichten is vermeld dat een woordvoerder van DFW heeft verklaard “We hopen dat de boetes mensen afschrikken” (artikel in de Volkskrant van 15 januari 2019, productie 1 bij conclusie van antwoord). In een ander persbericht wordt geciteerd dat het bedrag waar DFW aan denkt even hoog is als “door rood rijden (230 euro)” en dat ze claims gaan versturen “om illegaal downloaden af te schrikken” (artikel in NRC 20 juni 2016, productie 13 bij memorie van antwoord). Dat “het bedrag een afschrikwekkende werking moet hebben” is ook door een woordvoerder van DFW verklaard tegenover een journalist van RTL-nieuws (artikel van 13 november 2017, productie 13 bij memorie van antwoord). Ook wordt in deze artikelen meerdere malen verwezen naar Duitsland, waar grote boetes worden opgelegd aan illegale downloaders, welk land voor DFW “het grote voorbeeld is” (onder meer in het artikel in de Volkskrant van 16 januari 2019, productie 2 bij conclusie van antwoord). Tijdens het pleidooi heeft DFW verklaard dat het bedrag van € 150,-, dat in meerdere perspublicaties is genoemd, een indicatief bedrag is, waarop het hof haar niet moet vastpinnen, maar zij heeft ook geen afstand van dit bedrag willen doen. Daarnaast heeft DFW verklaard dat het om “werkelijke kosten gaat”, dat er geen punitief element zal zitten in het schikkingsbedrag dat zij van de betrokken Ziggo-klanten zal gaan vragen, dat het traject van de AP niet wordt doorberekend, maar wel de onderzoekskosten.” 2.17 Een en ander leidt tot de volgende beoordeling: “5.20 Ook hier geldt dat doordat DFW in haar Protocol en in deze procedure niet op transparante wijze uiteenzet onder welke omstandigheden zij welke bedragen van Ziggo-klanten zal vorderen, de gevolgen van de verstrekking van persoonsgegevens voor de betrokken Ziggo-klanten niet goed kunnen worden ingeschat. Evenmin kan worden getoetst of de maatregel die DFW zal treffen onder de gegeven omstandigheden passend is. Na het verkrijgen van de persoonsgegevens dient immers eerst nog te worden vastgesteld of de inbreuk daadwerkelijk door de Ziggo-klant is gemaakt. Daarnaast is onzeker of de kosten en schade die DFW op een individuele inbreukmaker wil verhalen in een redelijke verhouding tot elkaar staan. Zo heeft Ziggo c.s. erop gewezen dat de schade die DFW lijdt door de individuele downloader zeer gering is, nu de Film volgens Ziggo c.s. voor slechts € 2,99 dan wel € 2,49 legaal online te bekijken is, dan wel volgens DFW voor een bedrag van € 13,99 als dvd aangeschaft kan worden. Ook van belang is dat de schade die DFW heeft geleden wordt veroorzaakt door meerdere inbreukmakers (volgens DFW ongeveer 20.000), terwijl er slechts van een zeer beperkt aantal van die inbreukmakers (377) de gegevens worden gevorderd. Weliswaar heeft DFW tijdens het pleidooi verklaard dat zij niet 377 mensen zal aanspreken voor de kosten van 20.000 illegale downloads. DFW heeft echter, ondanks meerdere daarop gerichte vragen, nog steeds niet inzichtelijk gemaakt wat zij dan wel wil gaan verhalen, hoe de te verhalen bedragen zijn samengesteld en hoe de rechten van de betrokken Ziggo-klanten doeltreffend zijn gewaarborgd. 5.21 In verband met dit laatste merkt het hof nog op dat de omstandigheid dat volgens het Protocol een Ziggo-klant nadat de persoonsgegevens zijn verstrekt en hij is aangesproken door DFW een klacht kan indienen, niet afdoet aan hetgeen hiervoor is overwogen. De vraag of sprake is van een behoorlijke en rechtmatige verwerking moet immers worden beoordeeld naar het moment waarop de persoonsgegevens worden verstrekt. Daarbij merkt het hof nog op dat niet zonder meer kan worden uitgegaan van de juistheid van de in het Protocol onder 7.6 vervatte regel dat een betrokkene verplicht is feiten en omstandigheden naar voren te brengen die aantonen dat de inbreuk niet aan hem/haar kan worden toegerekend. Op grond van de hoofdregel van artikel 150 Rv rust de stelplicht en bewijslast van de onrechtmatige inbreuk in beginsel immers op DFW en niet op de Ziggo-klant. 5.22 Het bovenstaande voert het hof tot de slotsom dat het juiste evenwicht tussen de privacybelangen van de betrokken Ziggo-klanten enerzijds en het belang van de rechthebbenden van intellectuele eigendomsrechten op een doeltreffende voorziening om profijt te kunnen trekken van hun schepping anderzijds (nog) niet is bereikt. Naar het oordeel van het hof heeft DFW op een onvoldoende transparante wijze uiteengezet waarop DFW haar beslissing tot een bepaalde actie baseert en over de inhoud en omvang van de bedragen die zij wil vorderen. Daardoor ontbreekt het aan duidelijke en begrijpelijke criteria aan de hand waarvan een inschatting kan worden gemaakt van de gevolgen voor de betrokken Ziggo-klanten van de verstrekking van zijn persoonsgegevens en kan niet worden getoetst of de voorgenomen maatregelen in een redelijke verhouding staan tot het belang dat daarmee voor DFW wordt gediend en het privacybelang van de Ziggoklant dat door de gegevensverstrekking wordt geschonden. Op grond van deze omstandigheden, mede in onderling verband beschouwd, is het hof van oordeel dat Ziggo c.s. op dit moment niet handelt in strijd met een op haar rustende rechtsplicht door de afgifte van de gevraagde persoonsgegevens aan DFW te weigeren. Om die reden kan de gevraagde voorziening niet worden toegewezen en zal de bestreden beslissing worden bekrachtigd.” 2.18 Vanwege de verwerping van de grieven van DFW komt het hof niet aan de voorwaardelijk ingestelde incidentele grieven van Ziggo c.s. (rov. 5.25). Cassatie 2.19 DFW heeft – tijdig – cassatieberoep ingesteld en vernietiging van het arrest van het hof gevorderd. Ziggo c.s. heeft geconcludeerd tot verwerping van het beroep en heeft voorwaardelijk incidenteel cassatieberoep ingesteld. DFW heeft, op haar beurt, geconcludeerd tot verwerping van het voorwaardelijk incidenteel cassatieberoep. Partijen hebben hun standpunten schriftelijk doen toelichten door hun advocaten. DFW heeft gerepliceerd en Ziggo c.s. heeft gedupliceerd. 3Juridisch kader Grondrechten 3.1 Rechten van intellectuele eigendom worden beschermd op grond van art. 17 lid 2 Handvest, dat voor zover hier van belang als volgt luidt: “Het recht op eigendom 1. (…) 2. Intellectuele eigendom is beschermd.” 3.2 Art. 47 Handvest bevat het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht. De eerste alinea bepaalt : “Eenieder wiens door het recht van de Unie gewaarborgde rechten en vrijheden zijn geschonden, heeft recht op een doeltreffende voorziening in rechte, met inachtneming van de in dit artikel gestelde voorwaarden.” 3.3 Persoonsgegevens zijn grondrechtelijk beschermd. Art. 8 Handvest luidt, voor zover hier van belang: “De bescherming van persoonsgegevens 1. Eenieder heeft recht op bescherming van zijn persoonsgegevens. 2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. (…) 3. (…).” Waar art. 8 Handvest bepaalt dat een ieder recht heeft op bescherming van persoonsgegevens, bestrijkt art. 8 EVRM privacy vanuit een breder perspectief, waarvan de bescherming van persoonsgegevens een onderdeel is. Ook de bescherming van communicatie valt daar onder. Onder ‘communicatie’ vallen ook dataopslag en internetgebruik. AVG 3.4 In de AVG, die per 25 mei 2018 de Privacyrichtlijn uit 1995 heeft vervangen, wordt diegene die persoonsgegevens verwerkt of doet verwerken, aangeduid als de ‘verwerkingsverantwoordelijke’. Het ‘verwerken’ van persoonsgegevens omvat onder meer het verzamelen, vastleggen, opslaan, raadplegen en gebruiken van de persoonsgegevens, maar ook het verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen (art. 4, onder 2, AVG). 3.5 De verwerking van persoonsgegevens is alleen rechtmatig indien zij berust op een of meer van de zes in art. 6 lid 1 AVG genoemde limitatieve grondslagen: a) toestemming, b) noodzakelijk voor de uitvoering van een overeenkomst, c) noodzakelijk om te voldoen aan wettelijke verplichtingen, d) noodzakelijk om vitale belangen van betrokkenen of andere natuurlijke personen te beschermen, e) noodzakelijk om een taak van algemeen belang of openbaar gezag te vervullen en f) noodzakelijk om gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde te behartigen. Als aan de voorwaarden van een van deze gronden is voldaan, is de verwerkingsverantwoordelijke tot verwerking bevoegd. 3.6 Art. 6, lid 1, aanhef en onder f, AVG bepaalt: “1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: (…) f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.” 3.7 Een verwerking van persoonsgegevens op deze grond is derhalve rechtmatig indien aan drie cumulatieve voorwaarden is voldaan. Ten eerste dient er een gerechtvaardigd belang te zijn om persoonsgegevens te verwerken. Een voorbeeld van een dergelijk belang is het tegengaan van inbreuken op vermogensrechten. Ten tweede dient de verwerking van de persoonsgegevens in de concrete situatie noodzakelijk te zijn om dat belang te behartigen. Tot slot dient een afweging plaats te vinden van enerzijds de belangen van de verwerkingsverantwoordelijke of de derde en anderzijds de belangen van ‘de betrokkene’ (dat is de term voor degene wiens persoonsgegevens worden verwerkt). Aan de op 1 november 2019 door de AP gepubliceerde “Normuitleg grondslag ‘gerechtvaardigd belang’” kan worden ontleend dat volgens het AP in dat kader onder meer met de volgende factoren rekening moet worden gehouden: “- de gevolgen voor de betrokkene; - de (aanvullende) waarborgen die de verwerkingsverantwoordelijke of derde heeft getroffen om ongewenste gevolgen voor de betrokkene te voorkomen of beperken; - de ernst van de inmenging op het grondrecht van de betrokkene; - of de betrokkene de verwerking min of meer kan verwachten, bijvoorbeeld als vervolg op een eerdere verwerking waarvoor diegene toestemming heeft gegeven of als vervolg op verwerkingen die noodzakelijk zijn om een contract uit te voeren.” 3.8 Voor een rechtmatige verwerking moet niet alleen een grondslag bestaan, zij moet ook voldoen aan een aantal in de AVG opgenomen beginselen, waaronder het beginsel van doelbinding. De verwerkingsverantwoordelijke mag alleen persoonsgegevens verwerken voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Het beginsel van doelbinding houdt daarnaast in dat eenmaal verzamelde gegevens niet verder mogen worden verwerkt op een wijze die onverenigbaar is met die doeleinden (art. 5 lid 1, onder b, AVG). 3.9 Verwerking buiten het aanvankelijke doel van de verwerking waarvoor de persoonsgegevens zijn verzameld, wordt aangeduid als ‘verdere verwerking’. Dat kan een verwerking zijn door dezelfde verwerkingsverantwoordelijke die de gegevens voor het oorspronkelijke doel heeft verzameld. De verstrekking van gegevens aan een andere verwerkingsverantwoordelijke is daar een mogelijk voorbeeld van. Verdere verwerking is alleen toegestaan als zij verenigbaar is met het oorspronkelijke doel. Indien dat het geval is, is geen andere afzonderlijke rechtsgrond vereist. 3.10 Deze ‘verenigbaarheidstoets’ is uitgewerkt in art. 6 lid 4 AVG. Die bepaling bevat een opsomming van omstandigheden waarmee rekening moet worden gehouden om te bepalen of sprake is van een verwerking voor een verenigbaar doel. De tekst luidt, voor zover hier van belang, als volgt: “4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling (…) houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met: a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking; b) (…); c) (…); d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; e) het bestaan van passende waarborgen (…).” 3.11 Deze opsomming is niet limitatief. Er kunnen in voorkomende gevallen andere factoren zijn die in de overweging moeten worden betrokken. Kranenborg & Verhey merken over de omstandigheid onder e) het volgende op: “Welke waarborgen passend zijn zal per concreet geval moeten worden beoordeeld. Het kan zijn dat de betrokkene over het voorgenomen gebruik wordt geïnformeerd, dan wel – een stap verder – in de gelegenheid wordt gesteld om zijn zienswijze hieromtrent te geven. In het algemeen geldt dat een gegevensverwerking eerder als verenigbaar gebruik kan worden aangemerkt naarmate de verwerkingsverantwoordelijke of degene die namens hem optreedt een grotere zorgvuldigheid betracht tegenover degene wiens persoonsgegevens in het geding zijn.” 3.12 Het doelbindingsbeginsel stond ook in de Privacyrichtlijn en was geïmplementeerd in art. 9 van de Wet bescherming persoonsgegevens (hierna: Wbp). Op grond van art. 43 Wbp mocht de verantwoordelijke (onder andere) art. 9 Wbp buiten toepassing laten, voor zover dit noodzakelijk was in het belang van (onder meer) de bescherming van de betrokkene of van de rechten en vrijheden van anderen. 3.13 Art. 23 lid 1 AVG bevat voor de lidstaten een zelfde mogelijkheid om beperkingen aan te brengen in de reikwijdte van de verplichtingen en rechten als bedoeld in onder meer art. 5 AVG, ter waarborging van een aantal aldaar genoemde belangen, op voorwaarde dat de beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en een noodzakelijke en evenredige maatregel vormt. Tot de genoemde belangen behoren onder meer de bescherming van de rechten en vrijheden van anderen (letter i) en de inning van civielrechtelijke vorderingen (letter j). De wetgever heeft van deze mogelijkheid gebruik gemaakt in art. 41 van de Uitvoeringswet Algemene verordening gegevensbescherming (hierna: UAVG). Deze bepaling creëert de mogelijkheid om bepaalde verplichtingen en rechten buiten toepassing te laten, maar ziet – anders dan voorheen art. 43 Wbp – niet tevens op ‘beginselen’, zoals het doelbeginsel. Om die reden is de verdere verwerking van voor een bepaald doel verzamelde gegevens onderworpen aan de verenigbaarheidstoets van art. 6 lid 4 AVG. Handhaving IE-rechten tegen individuele internetgebruikers 3.14 Downloaden, uploaden en andere vormen van reproductie van beschermde werken via het internet vormen in beginsel een inbreuk op auteursrechten en naburige rechten. Lange tijd heerste in Nederland de opvatting dat de privékopie-exceptie, die mede uit privacyoverwegingen is ingevoerd, ook van toepassing is op downloads uit illegale bron. Deze handeling was door de thuiskopievergoeding feitelijk gelegaliseerd. Dit standpunt is sinds het arrest van het Hof van Justitie in de zaak ACI Adam c.s./Stichting Thuiskopie uit 2014 niet langer houdbaar. Het Hof heeft in dat arrest namelijk geoordeeld dat een lidstaat het kopiëren uit illegale bron niet mag toestaan. 3.15 Ook na genoemd arrest werd algemeen aangenomen dat wegens privacyaspecten en praktische moeilijkheden de handhaving tegen individuele ‘downloaders’ geen grote vlucht zou nemen. De handhaving van online IE-rechten concentreert zich in de praktijk inderdaad voornamelijk op de partij die de vermoede bron is van het illegaal verspreiden van beschermde werken, de zogeheten initial seeder. Veelal treedt Stichting BREIN namens rechthebbenden als eisende partij op. Geen rechtsregel hoeft een individuele rechthebbende er echter van te weerhouden om zelf handhavingsmaatregelen te nemen tegen individuele internetgebruikers. Maar dan moet hij wel achter hun identiteit kunnen komen. 3.16 Het voorgaande wordt door de onderhavige zaak geïllustreerd. Het debat is hier niet of DFW bevoegd is handhavend op te treden tegen individuele internetgebruikers die de Film illegaal hebben gedownload, maar hoe DFW die bevoegdheid moet uitoefenen. Met name speelt een rol op welke wijze DFW rekening moet houden met de belangen van de internetgebruikers die hij op de korrel wil nemen, in het bijzonder wat betreft de bescherming van hun persoonsgegevens. 3.17 Tot slot wijs ik op de Handhavingsrichtlijn. Art. 8 (‘recht op informatie’) voorziet in een specifieke grondslag voor een vordering tot gegevensverstrekking aan een rechthebbende op een IE-recht. Blijkens art. 8 lid 3, onder e), is een dergelijke vordering “onverminderd andere regelgeving waarbij (…) e) de bescherming van de vertrouwelijkheid van informatiebronnen of de verwerking van persoonsgegevens”. Art. 8 Handhavingsrichtlijn is omgezet in art. 28 lid 9 Auteurswet. Aangezien DFW haar vordering tot afgifte van NAW-gegevens niet op die grondslag heeft gebaseerd, ga ik daar niet verder op in. Rechtspraak Hof van Justitie over informatieverstrekking bij handhaving IE-rechten 3.18 Dit overzicht begint met het arrest Promusicae uit 2008. Net als de onderhavige zaak ging die zaak over een vordering van een (organisatie van) rechthebbende(n) tot verstrekking van persoonsgegevens betreffende het internetgebruik via door een internet service provider ter beschikking gestelde aansluitingen. De prejudiciële vragen hadden betrekking op de Handhavingsrichtlijn en de e-Privacyrichtlijn. Het arrest Promusicae is ook voor deze zaak mogelijk relevant, in de eerste plaats omdat het Hof oordeelt dat lidstaten mogen maar niet moeten voorzien in de verplichting persoonsgegevens door te geven met het oog op de civielrechtelijke gevolgen van inbreuken op het auteursrecht (punten 54 en 55) en, in de tweede plaats, door de overwegingen omtrent de afweging tussen de vermogensrechtelijke belangen van de IE-rechthebbenden en het belang van internetgebruikers bij bescherming van hun persoonsgegevens (punt 56). De rechter die heeft te oordelen over een vordering tot afgifte van persoonsgegevens van klanten van een access provider, dient een afweging tussen deze verschillende belangen te maken. 3.19 De zaak Bonnier uit 2012 zag op het zonder toestemming van de rechthebbende voor het publiek toegankelijk maken van luisterboeken via een file transfer protocol op internet. De rechthebbende vorderde de mededeling van de naam en het adres van de gebruiker van het IP-adres dat was gebruikt om de betrokken bestanden door te geven, wat lijkt op de vordering in deze zaak. De prejudiciële vragen hadden betrekking op de Handhavingsrichtlijn, de e-Privacyrichtlijn en de richtlijn over bewaring van telecomgegevens waarbij de e-Privacyrichtlijn is gewijzigd. Het Hof overweegt omtrent de toepasselijke Zweedse wetgeving als volgt: “57 In het onderhavige geval heeft de betrokken lidstaat beslist gebruik te maken van de (…) mogelijkheid die hem is geboden om te voorzien in een verplichting tot verstrekking van persoonsgegevens aan particulieren in een civielrechtelijke procedure. 58 Evenwel dient te worden opgemerkt dat ingevolge de betrokken nationale wettelijke regeling een bevel tot mededeling van de betrokken gegevens slechts kan worden gegeven indien duidelijke bewijzen van een inbreuk op een intellectuele-eigendomsrecht op een werk zijn overgelegd, de gevraagde gegevens de opsporing van een inbreuk op het auteursrecht kunnen vergemakkelijken en het belang van de redenen voor dit bevel opweegt tegen de ongemakken of andere nadelen ervan voor degene tot het wie het is gericht, of tegen enig ander daarmee strijdig belang. 59 Deze wettelijke regeling stelt de nationale rechterlijke instantie waarbij door een persoon met procesbevoegdheid een verzoek om een bevel tot mededeling van persoonsgegevens is ingediend, dus in staat om de in het geding zijnde tegengestelde belangen af te wegen op basis van de concrete omstandigheden van de zaak en daarbij terdege rekening te houden met de uit het evenredigheidsbeginsel voortvloeiende vereisten. 60 In deze situatie kan worden aangenomen dat een dergelijke wettelijke regeling in beginsel een juist evenwicht tussen de bescherming van het intellectuele-eigendomsrecht van de auteursrechthouders en de bescherming van de persoonsgegevens van een internetabonnee of gebruiker kan waarborgen.” Omdat de Zweedse wetgeving in kwestie geen absolute of onvoorwaardelijke rechten of verplichtingen bevat maar het maken van een belangenafweging juist voorschrijft, is zij verenigbaar met het Unierecht. 3.20 Het arrest UPC Telekabel Wien uit 2014 gaat over een rechterlijk verbod aan een internetprovider om toegang te verschaffen tot een website waarop beschermde werken zonder toestemming van de rechthebbenden waren geplaatst. Er werd dus een blokkade tot een website gevorderd, wat iets anders is dan een vordering van NAW-gegevens. De juridische invalshoek in die zaak was art. 8 lid 3 van de Auteursrechtrichtlijn, waarin het volgende wordt bepaald: “De lidstaten zorgen ervoor dat de rechthebbenden kunnen verzoeken om een verbod ten aanzien van tussenpersonen wier diensten door een derde worden gebruikt om inbreuk te maken op een auteursrecht of naburige rechten.” 3.21 Het Hof gaat in op de afweging van de belangen. Tegenover de rechten van de IE-rechthebbenden staat zowel het recht op vrij ondernemerschap van de access provider (art. 16 Handvest) als de vrijheid van informatie van de internetgebruiker (art. 11 Handvest). Het Hof oordeelt dat een bevel tot blokkering van een website evenredig en doelmatig moet zijn. De belangen van de internetgebruikers moeten worden meegewogen, maar uit het arrest kan ik niet met zekerheid opmaken of het daarbij ook ging om ‘privacybelangen’. 3.22 Het arrest Coty Germany uit 2015 gaat over de uitleg van art. 8 lid 3, onder e), Handhavingsrichtlijn (vgl. 3.17). De zaak betreft een vordering van een merkhouder om een bank te gelasten de naam en het adres te verstrekken van de houder van een bankrekening waarop de opbrengst van de verkoop van namaakartikelen was gestort. De betrokken bank weigerde dat met een beroep op het bankgeheim (en dus de privacy van de klant). Ook die zaak wierp de vraag op hoe de bescherming van de verschillende grondrechten in overeenstemming kan worden gebracht. 3.23 Het Hof oordeelt dat het strijdig is met art. 8 lid 1, onder c), Handhavingsrichtlijn als een nationale bepaling een bankinstelling een onbeperkte en onvoorwaardelijke mogelijkheid biedt zich te beroepen op het bankgeheim om te weigeren informatie te verstrekken over de naam en het adres van een rekeninghouder als die wordt vermoed een inbreuk op IE-rechten te hebben begaan. De ingeroepen nationale weigeringsgrond was dus erg absoluut en dat gaat Unierechtelijk meestal mis. Dit arrest is dus in beginsel gunstig voor rechthebbenden. Een verschil met de onderhavige zaak lijkt mij dat de Nederlandse wetgeving een access provider niet “een onbeperkte en onvoorwaardelijke mogelijkheid” biedt om afgifte van klantgegevens te weigeren op grond van bescherming van de privacy. 3.24 Het arrest McFadden uit 2016heeft betrekking op file-sharing (peer-to-peer) via een open wifi-netwerk, waardoor gebruikers toegang konden krijgen tot een fonogram met beschermde werken. Centraal stond de vraag of de exploitant van het open netwerk direct of indirect aansprakelijk kan worden gehouden voor inbreuken op IE-rechten. Primair ging die zaak over de uitleg van art. 12 van de E-commercerichtlijn. Op grond van die bepaling is een partij die elektronische diensten louter doorgeeft, in beginsel niet aansprakelijk voor de doorgegeven informatie en dus ook niet voor online materiaal dat inbreuk maakt op IE-rechten. 3.25 Volgens het Hof kon alleen de beveiliging van het wifi-netwerk in kwestie een rechtvaardig evenwicht tot stand brengen tussen het grondrecht op bescherming van de intellectuele eigendom en het recht van vrijheid van ondernemerschap van de dienstverlener die toegang tot een communicatienetwerk verleent, alsook het recht op vrijheid van informatie van de afnemers van die dienst. Over de weging van privacybelangen van de internetgebruiker laat het Hof zich in deze zaak niet. 3.26 Het arrest Bastei Lübbe uit 2018 gaat opnieuw over een auteursrechtinbreuk door file-sharing. Naar Duits recht wordt de persoon op wiens naam de internetverbinding staat, vermoed een dergelijke inbreuk te hebben begaan. Als familieleden van de internetaansluiting gebruik maken, hoeft de houder van de internetaansluiting daar geen gegevens over te verstrekken. Familieleden worden aldus beschermd tegen handhaving, die in Duitsland door IE-rechthebbenden of hun organisaties kennelijk nogal stevig wordt aangepakt. De prejudiciële vraag hield in of dit familiale verschoningsrecht verenigbaar is met art. 8 Handhavingsrichtlijn. 3.27 Volgens het Hof kan niet worden betwist dat personen die behoren tot eenzelfde gezin op grond van art. 7 Handvest bijzondere bescherming kunnen genieten, waardoor zij niet verplicht zijn om elkaar te beschuldigen wanneer een van hen ervan verdacht wordt een onrechtmatige handeling te hebben verricht (punt 49). Het evenwicht tussen de aan de orde zijnde grondrechten wordt echter verstoord als door de onmogelijkheid om bewijsmateriaal over de gezinsleden van de houder van het IP-adres te gelasten, de vaststelling van de vermeende inbreuk op het auteursrecht en de identificatie van de inbreukmaker wordt verhinderd (punt 51). Net als in Coty Germany was de door de Duitse wetgeving verleende bescherming van de gebruiker te categorisch, met als gevolg dat niet werkelijk een belangenafweging kon worden gemaakt. Over de reikwijdte van de verplichting van een access provider om NAW-gegevens te verstrekken aan een IE-rechthebbende zegt dit arrest naar mijn mening betrekkelijk weinig. 3.28 Het laatste arrest in de rij dateert van 9 juli 2020 en betreft de zaak Constantin Film Verleih.Twee films waren, zonder toestemming, op YouTube gezet. De rechthebbende vorderde van YouTube om haar de gegevens te verschaffen omtrent de gebruikers die de bewuste werken zouden hebben geüpload: e-mailadressen, telefoonnummers en het gebruikte IP-adres. Het Bundesgerichtshof stelde de – nogal technische – prejudiciële vraag of het hier ging om ‘adressen’ in de zin van art. 8 lid 2, onder a), Handhavingsrichtlijn. Het Hof beantwoordt die vraag ontkennend: met ‘adressen’ zijn alleen postadressen bedoeld. Lidstaten mogen echter de houders van IE-rechten verdergaande rechten op informatie toekennen, mits daarbij een juist evenwicht tussen de betrokken grondrechten wordt verzekerd en andere algemene beginselen van Unierecht, zoals het evenredigheidsbeginsel, worden geëerbiedigd (punt 39). Dit arrest bevestigt nog maar weer een keer dat het bij vorderingen tot verstrekking van identificerende gegevens aankomt op een afweging van de wederzijdse belangen. 3.29 Uit vorenstaand overzicht blijkt dat voor het antwoord op de vraag of een tussenpersoon verplicht is persoonsgegevens van zijn klanten door te geven aan een IE-rechthebbende, grote betekenis toekomt aan een zorgvuldige afweging van de belangen. Nationale rechtsregels die aan een van die betrokken belangen onvoorwaardelijke of onbeperkte bescherming toekennen zijn met dit uitgangspunt van belangenafweging niet verenigbaar. Hoe een afweging precies moet worden uitgevoerd is afhankelijk van de omstandigheden van het geval. Daarover bevatten de besproken arresten weinig concrete aanknopingspunten. Nationale rechtspraak over de verplichting NAW-gegevens te verstrekken 3.30 Naar nationaal recht kan een vordering tot het verkrijgen van NAW-gegevens wegens IE-inbreuken in beginsel worden gebaseerd op (i) art. 28 lid 9 Auteurswet, (ii) art. 843a Rv in combinatie met art. 1019a Rv, of (iii) art. 3:296 in samenhang met art. 6:162 BW. DFW heeft voor de laatstgenoemde grondslag gekozen. Deze (algemene) grondslag biedt flexibiliteit, zowel voor partijen als voor de rechter. Zij is door de Hoge Raad echter ingekaderd in het arrest Lycos/ [...] uit 2005. 3.31 Postzegelhandelaar [...] was op een website anoniem van fraude beschuldigd. Hij vorderde van internetprovider Lycos, die de website ‘hostte’, bekendmaking van de NAW-gegevens van de persoon die anoniem de uitingen had gedaan Lycos weigerde dat met een beroep op de E-commercerichtlijn en art. 6:196c BW. [...] vorderde dat Lycos de NAW-gegevens van de websitehouder bekend maakte. In cassatie overweegt de Hoge Raad het volgende (mijn onderstrepingen): “4.10 Ook indien de op een website gepubliceerde informatie niet onmiskenbaar onrechtmatig is, kan een serviceprovider onder omstandigheden onrechtmatig handelen door de bij haar bekende NAW-gegevens van de desbetreffende websitehouder niet op verzoek aan een belanghebbende derde bekend te maken. Indien voldoende aannemelijk is dat de gepubliceerde informatie jegens de derde wel onrechtmatig zou kunnen zijn en dat deze daardoor schade kan lijden, zou het maatschappelijk bezien ongewenst zijn indien die derde geen enkele reële mogelijkheid heeft de websitehouder daarop — zo nodig in rechte — aan te spreken. Onder omstandigheden kan dan ook een weigering van de serviceprovider om de NAW-gegevens van de websitehouder aan de derde bekend te maken in strijd komen met de zorgvuldigheid die de serviceprovider jegens een zodanige derde in acht dient te nemen. Dit kan met name het geval zijn indien zich de volgende omstandigheden voordoen: a. de mogelijkheid dat de informatie, op zichzelf beschouwd, jegens de derde onrechtmatig en schadelijk is, is voldoende aannemelijk; b. de derde heeft een reëel belang bij de verkrijging van de NAW-gegevens; c. aannemelijk is dat er in het concrete geval geen minder ingrijpende mogelijkheid bestaat om de NAW-gegevens te achterhalen; d. afweging van de betrokken belangen van de derde, de serviceprovider en de websitehouder (voor zover kenbaar) brengt mee dat het belang van de derde behoort te prevaleren.” 3.32 De zaak Lycos/ [...] heeft betrekking op diffamerende uitingen. De rechtsregels uit het arrest zijn recent toegepast op een vordering tot het verkrijgen van NAW-gegevens en veel eerder al op een vordering tot overlegging van IP-adressen die IE-rechthebbenden hadden aangespannen tegen een internet service provider. In de vakliteratuur is betoogd dat het Lycos/ [...]-arrest ten aanzien van aanbieders van elektronische communicatienetwerken zou zijn achterhaald door Europese regelgeving, in het bijzonder art. 5 e-Privacyrichtlijn. Dat artikel verplicht internet service providers vertrouwelijk om te gaan met hun klantgegevens, tenzij de wet op die regel een specifieke uitzondering maakt. Een specifieke civielrechtelijke wettelijke regeling ontbreekt echter. 3.33 In lijn daarmee heeft Ziggo c.s. in eerste aanleg betoogd dat Lycos/ [...] is achterhaald. De voorzieningenrechter is daar niet in meegegaan: “4.6 De voorzieningenrechter is van oordeel dat de omstandigheid dat er geen specifiek wettelijke civielrechtelijke regeling is die een Internet Service Provider (ISP) als Ziggo c.s. onder omstandigheden verplicht tot afgifte van klantgegevens, niet betekent dat artikel 6:162 BW, zoals uitgelegd in het arrest Lycos/ [...] van de Hoge Raad van 25 november 2005 (ECLI:NL:HR:2005:AU4019) niet als wettelijke grondslag voor een dergelijke afgifte kan (blijven) gelden. Daartoe geldt het volgende. 4.6.1 In het vonnis in kort geding van 16 december 2015 van deze rechtbank is reeds overwogen (ECLI:NL:RBMNE:2015:8974, rov 4.5), dat de enkele omstandigheid dat na het arrest Lycos/ [...] de e-Privacyrichtlijn (nr. 2002/58) is geïmplementeerd en artikel 15 van die richtlijn een specifieke wettelijke basis vereist voor het opvragen van privacygevoelige gegevens als NAW-gegevens, niet betekent dat artikel 6:162 BW, zoals uitgelegd in dat arrest, niet als een dergelijke wettelijke basis zou kunnen gelden. Wat daar is overwogen en beslist, geldt ook hier. 4.6.2 Ook het beroep van Ziggo c.s. op het arrest van het Europees Hof van Justitie inzake Promusicae/Telefónica van 29 januari 2008 (C-275/06) leidt niet tot een ander oordeel. Aan Ziggo c.s. kan worden toegegeven dat in het arrest is beslist dat de lidstaten niet verplicht zijn wettelijke maatregelen te treffen die ertoe kunnen leiden dat persoonsgegevens in het kader van een civiele procedure moeten worden meegedeeld (rov 70), alsook dat de Nederlandse wetgever geen specifieke wettelijke civielrechtelijke regeling gemaakt heeft die een provider als Ziggo c.s. onder omstandigheden verplicht tot afgifte van klantgegevens. Naar het voorlopige oordeel van de voorzieningenrechter betekent dit echter niet, zoals door Ziggo c.s. wel is betoogd, dat het op artikel 6:162 BW gebaseerde en door de Hoge Raad als juist bevonden criterium zoals genoemd in het arrest Lycos/ [...] , daarmee niet meer van toepassing is. Dit geldt te meer, omdat er geen aanleiding is om aan te nemen dat het door de Hoge Raad bekrachtigde criterium in conflict komt met de uitlegging van de in Promusicae/Telefónica genoemde diverse Europese richtlijnen, grondrechten of andere algemene beginselen van gemeenschapsrecht en het Hof verder ook nadrukkelijk geoordeeld heeft dat het verstrekken van persoonsgegevens ter bescherming van het auteursrecht niet is uitgesloten.” 3.34 Ziggo c.s. heeft tegen deze overwegingen een voorwaardelijk incidentele grief (3) gericht en nogmaals betoogd dat een rechtsgrondslag voor de gegevensvordering van DFW ontbreekt. Volgens Ziggo c.s. is voor een uitzondering op grondrechten steeds een wettelijke regeling vereist. Het hof is aan dit betoog niet toegekomen. 3.35 Ik acht het zojuist weergegeven oordeel van de voorzieningenrechter dat art. 6:162 BW aan een gegevensvordering wegens gestelde inbreuk op IE-rechten ten grondslag kan worden gelegd, niet onjuist. Dat in de rechtspraak van het Hof van Justitie de eis wordt gesteld dat een bevel tot verstrekking van persoonsgegevens is gebaseerd op een “nationale wettelijke regeling”, impliceert niet dat er een specifieke nationale wetsbepaling dient te zijn die regelt onder welke voorwaarden een access provider klantgegevens moet verstrekken aan een IE-rechthebbende. Een algemene grondslag zoals art. 6:162 BW kan evenzeer als ‘nationale wettelijke regeling’ gelden, mits die kan worden uitgelegd en toegepast op een wijze die verenigbaar is met de toepasselijke Unierechtelijke regelgeving (waaronder de e-Privacyrichtlijn en de AVG) en met de grondrechten (met name art. 8 EVRM en de art. 7 en 8 Handvest). 3.36 De in Lycos/ [...] genoemde criteria a. t/m d. laten mijns inziens een AVG- en grondrechtconforme uitleg toe. In het bijzonder kan op grond van de onder d. genoemde belangenafweging worden bereikt dat de lat voor toewijzing van een door een IE-rechthebbende gevraagd bevel tot overlegging van klantgegevens voldoende hoog komt te liggen om de bescherming van de privacybelangen van de klanten van een access provider te waarborgen.Lycos/ [...] kan daarom naar mijn mening worden toegepast als rechtsgrond voor het opvragen van NAW-gegevens van een access provider. 3.37 Ik wijs tot slot van dit overzicht nog op enkele recente zaken waarin afgifte van klantgegevens was gevorderd (ter onderscheiding van vorderingen tot het blokkeren van websites of IP-adressen). 3.38 Een ‘Lycos/ [...] -vordering’ wegens vermeend onrechtmatige uitingen strandde bij het gerechtshof Arnhem-Leeuwarden omdat betrokkene niet voldoende aannemelijk had gemaakt dat op de betrokken websites en de daaraan verbonden e-mailadressen onrechtmatige uitlatingen over hem waren gedaan. 3.39 Een op art. 28 lid 9 Auteurswet gebaseerde vordering tegen de beheerder van de Usenet Spotnet website werd toegewezen door de rechtbank Midden-Nederland. Op vordering van Stichting BREIN diende gedaagde naam, adres en andere identificerende gegevens van, kort gezegd, alle bij de gestelde IE-inbreuken betrokken personen te verstrekken. In een annotatie bij die uitspraak wordt gewezen op de noodzaak voor een grondslag voor de gegevensverwerking, welke in die zaak werd gevonden in art. 6 lid 1, onder f, AVG, en voorts op de noodzaak in dat kader een belangenafweging te maken tussen de belangen en grondrechten van de personen wier gegevens worden verstrekt, en de gerechtvaardigde belangen van Stichting BREIN. 3.40 Tot slot wijs ik op een vonnis van de voorzieningenrechter in de rechtbank Den Haag in een zaak waarin op grond van art. 843a Rv van een service provider werd gevorderd NAW-gegevens en e-mailadressen te verstrekken van klanten die via IP-adressen inbreuk zouden hebben gemaakt op het auteursrecht van eiseres in die zaak. De vordering werd toegewezen voor zover de opgevraagde gegevens voldoende bepaald waren. De voorzieningenrechter toetst aan de voorwaarden van art. 6 lid 1, onder f, AVG (gerechtvaardigd belang, noodzakelijkheid en belangenafweging). De belangenafweging viel daar uit in het voordeel van de rechthebbende. De voorzieningenrechter overweegt daartoe het volgende: “4.20 In het kader van de AVG dient de belangenafweging gemaakt te worden of de grondrechtelijk beschermde belangen van Dish Network (onder andere het volledig kunnen uitoefenen van het grondrecht op intellectuele eigendom), behoort te prevaleren boven de privacybelangen van de betrokken klant van WorldStream (het recht op bescherming van persoonsgegevens). 4.21 Naar voorlopig oordeel dient deze afweging in het voordeel van Dish Network uit te vallen. Daarbij gaat de voorzieningenrechter voorbij aan het betoog van WorldStream dat de belangen van haar klanten zwaarder moeten wegen omdat Dish Network niet heeft onderbouwd hoe zij de rechten van de klanten van Dish Network zal waarborgen en/of wat de schade behelst, wat de hoogte van die schade is en wat dit per individuele klant gaat betekenen en/of welke actie(s) Dish Network daarbij zal inzetten. Dish Network heeft voldoende gesteld waaruit blijkt dat de desbetreffende klanten WorldStream achter de specifieke IP-adressen op de genoemde tijdstippen (…) grootschalige inbreuk maken op haar auteursrechten, waarbij zij tevens - onbetwist - heeft gesteld dat de schade ten gevolge van deze inbreuken groot is. Daarnaast heeft zij aangegeven deze vermeende inbreukmakers in rechte te willen aanspreken en deze schade te willen verhalen. In deze specifieke omstandigheden is dit voldoende om de weegschaal richting Dish Network te laten uitslaan. Zoals Dish Network terecht opmerkt, gaan de grondrechten van klanten van WorldStream niet zover dat zij met een beroep op die rechten anoniem inbreuk zouden mogen maken op de exclusieve rechten van Dish Network. (…).” 3.41 Op deze laatste overweging is kritiek geuit. Er is verder op gewezen dat ook na deze uitspraak de vraag blijft bestaan of, en in welke mate, financiële belangen moeten worden meegenomen bij de toewijzing van een NAW-bevel en dat het spreekwoordelijke verlossende woord daarover naar alle waarschijnlijkheid in deze cassatieprocedure DFW/Ziggo c.s. zal worden gesproken. 4Bespreking van het cassatiemiddel in het principale beroep 4.1 Het middel omvat zeven onderdelen, waarvan het laatste een voortbouwklacht bevat. 4.2 Ik stel voorop dat deze zaak een uitspraak in kort geding betreft. De motivering van het bestreden arrest kan in cassatie daarom slechts beperkt worden getoetst. 4.3 Alvorens de onderdelen te bespreken maak ik enkele inleidende opmerkingen. Inleidende opmerkingen 4.4 Verschillende verwerkingshandelingen kunnen worden onderscheiden: (i) de aanvankelijke verzameling door Ziggo c.s. van de persoonsgegevens waarvan DFW afgifte verlangt; (ii) de doorgifte door Ziggo c.s. van die gegevens aan DFW; en (iii) de verwerking van de ontvangen gegevens door DFW. 4.5 Ad (i): uit rov. 3.3 van het bestreden arrest volgt dat het doel van de aanvankelijke verwerking is geweest de dienstverlening door Ziggo c.s. technisch mogelijk te maken (daarvoor moet een IP-adres worden toegewezen) en administratief te kunnen afhandelen (facturatie e.d.). Daar is geen discussie over. 4.6 Ad (ii): de doorlevering door Ziggo c.s. van de NAW-gegevens van haar klanten aan DFW vormt een verwerkingshandeling. De vraag is alleen: van wie? Volgens DFW is dat een handeling van haarzelf, die dan kennelijk zou bestaan in het ontvangen van die gegevens. Dit lijkt een wat gekunstelde benadering. Aannemelijker acht ik dat het verstrekken van de NAW-gegevens moet worden gezien als een verwerkingshandeling van Ziggo c.s.. Deze verwerking valt buiten het aanvankelijke verwerkingsdoel. Het gaat daarom om een verdere verwerking, die op grond van art. 6 lid 4 AVG verenigbaar dient te zijn met het aanvankelijke doel (vgl. 3.9-3.11 hiervoor). 4.7 Is aan het vereiste van verenigbaarheid niet voldaan, dan kan de doorlevering van de gegevens niet plaatsvinden. Reeds om die reden kan er dan ook geen sprake zijn van een rechtsplicht tot verstrekking van de betrokken gegevens. Is aan het vereiste van verenigbaarheid wél voldaan, dan mag de verdere verwerking plaatsvinden op basis van de oorspronkelijke grondslag. Een volgende (en afzonderlijke) vraag is dan of Ziggo c.s. jegens DFW ook verplicht is die gegevens te verstrekken. Net als de voorzieningenrechter heeft het hof die vraag op grond van de gemaakte belangenafweging ontkennend beantwoord. 4.8 Het is daarom essentieel vast te stellen over welke belangen een rol spelen. Aan de kant van de auteursrechthebbende zijn dat in beginsel zuiver financiële belangen. IE-rechten vertegenwoordigen een waarde en inbreuk daarop veroorzaakt normaal gesproken financieel nadeel. Aan de kant van de internetgebruikers van wie wordt vermoed dat zij inbreuk hebben gemaakt, gaat het vooral om de bescherming van hun privacy. Ook hier: als de gevraagde gegevens aan DFW worden verstrekt, verkrijgt deze niet alleen informatie in de vorm van persoonsgegevens sec, maar ook – als gevolg van de koppeling van de NAW-gegevens aan het gemonitorde internetgebruik (het downloaden van de Film) – informatie over (en daarmee enig inzicht in) het internetgebruik van de betrokken Ziggo-abonnees. Toewijzing van het gevraagde bevel zou daarom inbreuk kunnen opleveren op het door art. 8 EVRM beschermde recht om, in mijn woorden, vrijelijk en onbespied te kunnen internetten. Ziggo c.s. heeft zich daar ook op beroepen. 4.9 Minder duidelijk vind ik het verband tussen de bescherming van privacybelangen en de voorwaarde dat de rechthebbende van te voren transparantie betracht over de handhavingsmaatregelen die zij voornemens is te nemen. Het gaat bij dat laatste overwegend om een financieel belang van de aangesproken internetgebruikers en, zou ik menen, niet zozeer om een aspect van hun privacy (ervan uitgaande dat de naam van de betrokkenen niet openbaar wordt gemaakt). De door het hof gestelde transparantie-eis vormt in het bestreden arrest slechts één reden waarom de balans voor DFW ongunstig uitvalt, maar acht ik niet de meest overtuigende reden. 4.10 Ad (iii): op de verwerking van de ontvangen gegevens door DFW is het Besluit van de AP van toepassing. Daarover bestaat geen geschil. Het Besluit is niet van toepassing op de verstrekking van de NAW-gegevens hiervoor genoemd onder (ii). Dat laatste is overigens wél in geschil (zie subonderdeel 3.2.5). Onderdeel 1 4.11 Onderdeel 1 betoogt dat het hof is uitgegaan van een onjuiste rechtsopvatting door te miskennen dat het gevrijwaard blijven van aanspraken vanwege intellectuele-eigendomsinbreuken niet een rechtens te respecteren belang is. Het hof zou ook hebben miskend dat het recht op privacy en bescherming van persoonsgegevens niet ‘in de kern’ wordt geraakt door de gevraagde gegevensverstrekking. 4.12 Ik lees het bestreden arrest aldus dat het hof met ‘de privacybelangen’ doelt op zowel de door art. 8 EVRM beschermde bredere belangen (vgl. 3.3 hiervoor), als – en in ieder geval – het recht op bescherming van persoonsgegevens als zodanig. Het zijn (onder meer) die laatste belangen die het hof in rov. 5.14 voor ogen heeft waar het spreekt van een evenwicht tussen ‘de privacybelangen’ van de klanten van Ziggo en de belangen van DFW. De in onderdeel 1 besloten veronderstelling dat het hof is uitgegaan van het “belang om niet te worden aangesproken voor een inbreuk op DFW’s IE-rechten” gaat uit van een onjuiste lezing van het arrest. 4.13 De klacht dat het hof niet heeft onderzocht of de door art. 8 Handvest en art. 8 EVRM beschermde rechten door het gevraagde bevel (in de kern) worden aangetast, faalt eveneens. Dat het hof van oordeel is dat de genoemde rechten in het geding komen volgt genoegzaam uit de overweging in rov. 5.14 dat het aankomt op een evenwicht tussen deze belangen en de (eveneens) grondrechtelijk beschermde belangen van DFW. 4.14 DFW heeft ten slotte (zij het pas in de schriftelijke toelichting) zich beroepen op uitspraken van het EHRM waarin, kort gezegd, is beslist dat men zich niet op art. 8 EVRM kan beroepen om te klagen over verlies van reputatie als dat een voorzienbaar gevolg is van zijn eigen acties. Dat het hof, met zijn verwijzing naar art. 8 EVRM, (uitsluitend) het oog heeft gehad op de in dat artikel mede vervatte bescherming van reputatie kan ik uit het bestreden arrest niet opmaken. 4.15 Onderdeel 1 faalt. Onderdeel 2 4.16 DFW betoogt dat het hof in rov. 5.14-5.22 is uitgegaan van een onjuiste rechtsopvatting door het verstrekken van de gevorderde NAW-gegevens te laten afhangen van de actie(s) die DFW uiteindelijk tegen individuele downloaders wil nemen en de transparantie die DFW daarover in deze procedure heeft betracht. Het onderdeel betoogt dat het antwoord op de vraag of DFW recht heeft op die gegevens niet afhangt van welke handhavingsactie zij zal nemen of van de transparantie die DFW daarover in deze procedure betracht en ook dat het tot de ondernemersvrijheid van DFW behoort om te bepalen welke handhavingsacties zij wil inzetten. 4.17 Blijkens de eerste zin van rov. 5.18 heeft het hof de actie(s) die DFW uiteindelijk wil nemen en de mate van transparantie die DFW daarover heeft betracht, beoordeeld in het licht van het onderzoek naar de gevolgen voor de betrokken klanten van Ziggo c.s. van de voorgenomen verdere verwerking van hun persoonsgegevens. Het past in de beoordeling van de verenigbaarheid van een verdere verwerking met het aanvankelijke doel van de verwerking om naar die gevolgen te kijken. De ondernemersvrijheid van DFW om te beoordelen welke handhavingsacties zij wil inzetten doet daar niet aan af. 4.18 Aan het voorgaande doet ook niet af dat de AP de handhavingsacties die DFW zich voorbehoudt heeft beoordeeld en de verwerking van persoonsgegevens voor die doeleinden rechtmatig heeft geoordeeld, zoals DFW betoogt. Het Besluit ziet alleen op verwerking door DFW (vgl. 3.9 en 4.5 hiervoor). 4.19 Aan het voorgaande doet voorts niet af dat, zoals DFW terecht stelt, het antwoord op de vraag waartoe een Ziggo-klant jegens DFW rechtens verplicht is en welke handhavingsactie DFW passend voorkomt, zich niet in zijn algemeenheid in deze procedure laat vaststellen. Dat heeft het hof heeft echter niet gedaan. Het hof heeft wel de gevolgen van de beoogde verdere verwerking in zijn oordeel betrokken, wat niet getuigt van een onjuiste rechtsopvatting. 4.20 Onderdeel 2 is vergeefs voorgesteld. Onderdeel 3 4.21 DFW betoogt in de kern dat het hof de grondslag voor de noodzakelijke rechtmatigheid van de gegevensverstrekking heeft miskend. 4.22 Volgens subonderdeel 3.1 heeft het hof art. 24 Rv geschonden en een ontoelaatbare verrassingsbeslissing gegeven door buiten de grenzen van de rechtsstrijd te treden. Ziggo c.s. zou zich niet op het standpunt hebben gesteld dat de verstrekking van NAW-gegevens aan DFW zou gelden als ‘verdere verstrekking’ in de zin van art. 6 lid 4 AVG en onverenigbaar zou zijn met het aanvankelijke verwerkingsdoel. 4.23 De klacht faalt. Ziggo c.s. heeft een beroep gedaan op het doelbindingsbeginsel van de AVG en heeft gesteld dat de NAW-gegevens niet zijn verkregen met het oogmerk ze aan derden te verstrekken. Dat het hof, waaraan de uitleg van processtukken en standpunten van partijen is voorbehouden, in de gedingstukken de stelling heeft gelezen dat bij verstrekking van de NAW-gegevens sprake zou zijn van een ‘verdere verwerking’, is – mede in het licht van art. 25 Rv – niet onbegrijpelijk. 4.24 Subonderdeel 3.2 klaagt dat het hof is uitgegaan van een onjuiste rechtsopvatting omtrent art. 6 lid 1, onder f, AVG en art. 6 lid 4 AVG. Subonderdeel 3.2.1 betoogt dat art. 6 lid 1, onder f, AVG een toereikende grondslag biedt voor de verstrekking door Ziggo c.s. aan DFW van de gevorderde NAW-gegevens, en daarom art. 6 lid 4 AVG niet van toepassing is. Indien het hier wél zou gaan om een ‘verdere verwerking’, dan staat de aanvankelijke verwerkingsgrond niet ter beoordeling en behoefde ook niet te worden onderzocht of de verstrekking kon worden gebaseerd op de grondslag van art. 6 lid 1, onder f, AVG (subonderdeel 3.2.2). Aldus is ten onrechte het bepaalde in art. 6 lid 1, onder f, en in art. 6 lid 4 AVG met elkaar gecombineerd (subonderdeel 3.2.3). Als het oordeel van het hof zo moet worden begrepen dat sprake is van verdere verwerking, is dit oordeel onjuist dan wel onvoldoende gemotiveerd (subonderdeel 3.2.4). De verstrekking van de NAW-gegevens door Ziggo c.s. is onderdeel van de gegevensverwerking door DFW, waarvoor de AP met het Besluit toestemming heeft gegeven. De verstrekking door Ziggo c.s. beantwoordt aan hetzelfde doel als waarvoor DFW de gegevens wil verzamelen (kort gezegd: het benaderen van inbreukmakers). Het oordeel in rov. 5.8 dat de gegevensverwerking door DFW niet als zodanig aan de orde is, getuigt van een onjuiste rechtsopvatting of is onvoldoende gemotiveerd omdat deze verstrekking deel uitmaakt van de verwerking door DFW, die daartoe van de AP toestemming heeft verkregen (subonderdeel 3.2.5). 4.25 Ik zal deze klachten deels gegroepeerd bespreken. 4.26 Subonderdeel 3.2.1 miskent dat het hof niet behoefde te onderzoeken of de verdere verwerking een afdoende rechtsgrondslag had, maar of deze verenigbaar is met het aanvankelijke verwerkingsdoel. 4.27 Naar aanleiding van de subonderdelen 3.2.2 en 3.2.3 stel ik het volgende voorop. 4.28 In de eerste plaats stel ik vast dat, zoals het middel ook aanvoert, het hof niet een duidelijk onderscheid maakt tussen de grondslagtoets van art. 6 lid 1 AVG en de verenigbaarheidstoets van art. 6 lid 4 AVG. Het hof spreekt in de eerste zin van rov. 5.18 min of meer terloops over ‘verdere verwerking’ en citeert in rov. 5.10 de passage in de considerans (nr. 50) die betrekking heeft op het bepaalde in art. 6 lid 4. Rov. 5.11 e.v. kunnen echter niet anders worden verstaan dan dat het hof daar toetst aan art. 6 lid 1, onder f, AVG. Het hof onderzoekt namelijk of is voldaan aan de trits gerechtvaardigd belang, noodzakelijkheid en belangenafweging. De hier te beoordelen verwerkingshandeling is het doorleveren van de gevraagde NAW-gegevens aan DFW, welke als gezegd moet worden aangemerkt als een ‘verdere verwerking’ als bedoeld in art. 6 lid 4 AVG. 4.29 In de tweede plaats valt op dat het hof niet een duidelijk onderscheid maakt tussen de bevoegdheid van Ziggo c.s. en de verplichting van Ziggo c.s. om de NAW-gegevens aan DFW te verstrekken. In rov. 5.9 stelt het hof voorop dat het antwoord op de vraag of Ziggo c.s. bevoegd is om de gevraagde gegevens te verstrekken, besloten ligt in art. 6 AVG. Dat is juist. Verderop in rov. 5.11 overweegt het hof dat voor de beoordeling van de vraag of er een rechtsplicht tot afgifte (verwerking) van persoonsgegevens op Ziggo c.s. rust, voldaan moet zijn aan de in art. 6 lid 1, onder f), AVG genoemde voorwaarden. Dat kan verwarring wekken: de toetsing aan art. 6 AVG, of het nu is aan lid 1, onder f) of aan lid 4, dient ertoe om vast te stellen of een bepaalde verwerking rechtmatig is en dus mag worden uitgevoerd. Of jegens een derde ook een verplichting bestaat om tot die verwerking over te gaan is een afzonderlijke vraag (vgl. 4.7 hiervoor). De grondslag voor een dergelijke rechtsplicht kan niet in art. 6 AVG besloten liggen. 4.30 Ondanks deze kanttekeningen bij het bestreden arrest meen ik dat de beide subonderdelen falen omdat DFW daar geen belang bij heeft. De rechtsgrondslag van DFW’s vordering is, zoals het hof in rov. 5.4 (in cassatie onbestreden) heeft overwogen, art. 3:296 BW in samenhang met art. 6:162 BW. Uit de stukken in feitelijke aanleg blijkt dat DFW zich in dat verband heeft beroepen op het arrest Lycos/ [...] . Zoals toegelicht (vgl. 3.31-3.32 hiervoor), heeft de Hoge Raad in dat arrest bepaald dat de weigering van een tussenpersoon om aan een benadeelde derde (NAW) gegevens te verstrekken onzorgvuldig kan zijn, met name als de aldaar genoemde vier omstandigheden zich voordoen. De laatste omstandigheid betreft de uitkomst van een afweging van de betrokken belangen. 4.31 Het hof heeft, in het kader van de toetsing aan art. 6 lid 1, onder f, AVG, een uitvoerig gemotiveerde afweging van de belangen van de betrokken partijen gemaakt. De uitkomst van die belangenafweging is dat deze “op dit moment” (zie rov. 5.22, voorlaatste zin) in het nadeel van DFW uitvalt, omdat –samengevat – de gevolgen van handhaving voor de Ziggo-klanten aanzienlijk kunnen zijn (rov. 5.18) en DFW onvoldoende transparant is (geweest) over de wijze waarop zij zal handhaven (rov. 5.19). Naar mijn mening had de uitkomst van de gemaakte belangenafweging redelijkerwijs geen andere kunnen zijn indien het hof – verondersteld dat de afgifte van NAW-gegevens zou zijn toegestaan (op grond van art. 6 lid 4 AVG) – voor het antwoord op de vraag of er een rechtsplicht tot afgifte bestaat, die afweging in het kader van de vierde omstandigheid van Lycos/ [...] had geplaatst. Met andere woorden, ook indien het hof wél de rechtmatigheid van de beoogde verwerking aan art. 6 lid 4 AVG had getoetst en vervolgens had onderzocht of Ziggo c.s. op basis van Lycos/ [...] gehouden is om de NAW-gegevens aan DFW te verstrekken, dan had de in dàt kader gemaakte belangenafweging geen andere kunnen zijn en zouden de vorderingen van DFW op dezelfde gronden zijn afgewezen. 4.32 De subonderdelen 3.2.4 en 3.2.5 ten slotte gaan eraan voorbij dat onderscheid moet worden gemaakt tussen enerzijds het verstrekken van de NAW-gegevens door Ziggo c.s., wat op zichzelf een verwerking door Ziggo c.s. is, en het ontvangen en vervolgens gebruiken van die gegevens door DFW. Het in het Protocol gemaakte onderscheid tussen drie stappen waarbij DFW persoonsgegevens verwerkt, laat onverlet dat de doorgifte door Ziggo c.s. als verwerkingshandeling van Ziggo c.s. dient te worden aangemerkt. DFW betwist dat in wat ik zie als een poging om de afgifte van de gevraagde gegevens door Ziggo c.s. binnen het toepassingsbereik van het Besluit en dus van het rechtmatigheidsoordeel van AP te trekken. Die poging dient te stranden. 4.33 Alle klachten van onderdeel 3 zijn vergeefs voorgesteld. Onderdeel 4 4.34 Onderdeel 4 bestaat uit zes subonderdelen, die zich elk richten tegen een specifiek deeloordeel van het hof. 4.35 Subonderdeel 4.1 richt zich tegen de overweging dat het te vinden evenwicht tussen de belangen van DFW en de Ziggo-klanten met name is verstoord in de situatie dat onzeker is of de betrokken Ziggo-klant ook daadwerkelijk de inbreukmaker is (zie rov. 5.18, iets boven het midden, en 5.20). Volgens het subonderdeel heeft het hof miskend dat de vordering niet alleen toewijsbaar is als de betrokken Ziggo-klant noodzakelijkerwijs de inbreukmaker is, maar ook (al) wanneer voldoende aannemelijk is dat deze de inbreukmaker is. 4.36 Het subonderdeel gaat uit van een onjuiste lezing van het bestreden arrest, omdat daarin niet is geoordeeld dat toewijzing van de vordering alleen mogelijk is als de betrokken Ziggo-klant noodzakelijkerwijs de inbreukmaker is. Het hof heeft slechts overwogen dat in met name die gevallen waarin onzeker is of de Ziggo-klant de inbreukmaker is, het tussen de belangen van betrokkenen te vinden evenwicht teveel is verstoord door het bestaande gebrek aan transparantie aan de kant van DFW. Daaruit volgt niet dat het hof heeft verlangd dat de betrokken Ziggo-klant noodzakelijkerwijs de inbreukmaker is. 4.37 Het subonderdeel betoogt voorts dat het hof heeft miskend dat het antwoord op de vraag of een Ziggo-klant in het concrete geval de daadwerkelijke inbreukmaker is, alleen kan worden vastgesteld aan de hand van de specifieke omstandigheden van het geval en dat daarvoor nodig is dat DFW de betreffende klant kan aanspreken. 4.38 Ook deze klacht faalt. Het hof heeft weliswaar overwogen dat het evenwicht met name in deze gevallen teveel is verstoord, maar heeft de vordering integraal afgewezen. Met andere woorden: ook voor de gevallen waarin niet de vraag zou spelen of een Ziggo-klant de daadwerkelijke inbreukmaker is, zijn de vorderingen afgewezen. Nu het hof dus in zoverre niet van belang heeft geacht of een Ziggo-klant in het concrete geval de daadwerkelijke inbreukmaker is, kan het ook niet hebben miskend aan de hand van welke omstandigheden dit moet worden vastgesteld en wat nodig is om die omstandigheden boven tafel te krijgen. 4.39 De laatste klacht van dit subonderdeel klaagt dat het hof heeft geoordeeld dat de vordering niet kan worden toegewezen in die gevallen waarin de Ziggo-klant niet de inbreukmaker is. Dat heeft het hof echter niet geoordeeld. 4.40 Subonderdeel 4.2 betoogt dat de overweging dat IP-adressen nogal eens wisselen en aan verschillende gebruikers worden toegekend (rov. 5.18 midden), onvoldoende begrijpelijk is gemotiveerd. DFW zou hebben onderbouwd, onder overlegging van een verklaring van een deskundige, dat het tegenwoordig wel degelijk mogelijk is om aan de hand van één tijdstip/datum en een IP-adres de abonneehouder te identificeren. 4.41 Ziggo c.s. heeft de betreffende stellingen van DFW, waar het subonderdeel op doelt, bij pleidooi weersproken. In het licht van de stellingen van partijen kon het hof als uitgangspunt nemen dat IP-adressen inderdaad regelmatig wisselen. Het debat tussen partijen ziet op de vraag in hoeverre achteraf exact kan worden vastgesteld aan wie op welk moment welk IP-adres is toegewezen. Tegen die achtergrond is niet onbegrijpelijk dat het hof het feit dat IP-adressen regelmatig wisselen als relevante omstandigheid heeft meegewogen. Gezien de beperkte motiveringsplicht in kort geding behoefde dit oordeel geen nadere motivering (wat er ook zij van de kanttekening die ik zelf in 4.9 bij één onderdeel van die motivering heb geplaatst). 4.42 Subonderdeel 4.3 richt zicht tegen de overwegingen dat aan de Ziggo-klant wel de gelegenheid moet worden geboden om specifieke informatie te geven over wie de daadwerkelijke inbreukmaker is, en dat het risico bestaat dat een Ziggo-klant met een maatregel wordt geconfronteerd voordat hem de gelegenheid is geboden om het gebruik van zijn internetaansluiting te onderzoeken en zijn rol daarin vast te stellen (rov. 5.18, slot). Het subonderdeel betoogt dat deze overwegingen onbegrijpelijk zijn omdat zij voorbijgaan aan DFW’s stellingen dát de Ziggo-klant een reactiemogelijkheid wordt geboden, waarbij DFW heeft verwezen naar het Protocol. 4.43 Het hof heeft de bestreden overwegingen kennelijk gegrond op het oordeel hoger in rov. 5.18 dat in het Protocol en ook in de procedure door DFW op onvoldoende transparante wijze uiteengezet is op welke wijze zij haar actiebeleid zal uitoefenen. In het licht van de beperkte motiveringseisen in kort geding is dit oordeel niet onbegrijpelijk en behoefde het geen nadere motivering. 4.44 Subonderdelen 4.4 richt klachten tegen de overweging in rov. 5.18 (tweede helft van die rechtsoverweging) dat Ziggo c.s. niet in staat is haar klanten vooraf adequaat te informeren omdat DFW niet op transparante wijze uiteengezet heeft op welke wijze zij haar actiebeleid zal uitoefenen. 4.45 Subonderdeel 4.4.1 richt zich met een op subonderdelen 3.2.4-3.2.5 voortbouwende klacht tegen het impliciete oordeel dat de verstrekking van NAW-gegevens door Ziggo c.s. te beschouwen is als verdere verwerking. De klacht faalt in het spoor van de subonderdelen 3.2.4-3.2.5. 4.46 Subonderdeel 4.4.2 betoogt dat het hof met de verwijzing (in het laatste deel van rov. 5.18) naar art. 14 lid 4 AVG en considerans nr. 39 heeft miskend dat art. 14 AVG alleen van toepassing is indien de verder te verwerken persoonsgegevens niet van de betrokkene zijn verkregen. Die situatie doet zich hier niet voor, nu Ziggo c.s. de persoonsgegevens van haar klanten heeft verkregen. 4.47 Het subonderdeel betoogt terecht dat art. 14 AVG blijkens de titel betrekking heeft op “Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen”. Bij de klacht bestaat echter geen belang omdat het hof de informatieverplichting van Ziggo c.s. niet alleen op art. 14 AVG heeft gegrond maar ook op art. 5 AVG. 4.48 Dat op Ziggo c.s. bij verdere verwerking een informatieplicht rust volgt overigens ook uit art. 13 lid 3 AVG, dat gelijkluidend is aan art. 14 lid 4 AVG en als volgt luidt: “Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.” Nu art. 13 AVG blijkens de titel van toepassing is op “Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld” (welke situatie zich volgens DFW voordoet) en nu als meermalen gezegd de doorgifte van de NAW-gegevens aan DFW te kwalificeren is als verdere verwerking door Ziggo c.s. van door haar verzamelde persoonsgegevens, moet er van worden uitgegaan dat art. 13 lid 3 AVG daarop van toepassing is. 4.49 Voor zover op Ziggo c.s. wél de plicht zou rusten haar klanten te informeren over de verstrekking van de NAW-gegevens aan DFW, is het hof volgens subonderdeel 4.4.3 van een onjuiste rechtsopvatting uitgegaan door te miskennen dat: i) de informatieplicht van Ziggo c.s. DFW niet regardeert en/althans geen grond oplevert om verstrekking van de NAW-gegevens te weigeren; ii) de informatieplicht niet ziet op informatie waarmee de Ziggo-klanten reeds bekend zijn of behoren te zijn. Dit betreft onder meer het bestaan van aansprakelijkheid voor schade als gevolg van een inbreuk op IE-rechten en de mogelijkheid van rechthebbenden om afgifte van NAW-gegevens te vorderen; iii) de informatieplicht niet zo ver gaat dat deze ook ertoe verplicht tot in detail de mogelijke gevolgen voor de betrokken Ziggo-klant te beschrijven, waaronder informatie over welke actie DFW wanneer zal inzetten en de criteria die ze bij haar actiebeleid hanteert. 4.50 Gelet op de overwegingen in rov. 5.18 heeft het hof de te verwachten wijze waarop DFW haar actiebeleid zal uitoefenen betrokken bij de informatieverplichting die Ziggo c.s. op grond van de AVG heeft. Het hof heeft deze informatieverplichting mijns inziens extensief uitgelegd, maar niet té extensief. 4.51 Blijkens considerans nr. 39 – waarnaar het hof in rov. 5.18 ook verwijst – ziet de informatieverplichting van de verwerkingsverantwoordelijke op zaken die direct te maken hebben met de verwerking van persoonsgegevens, zoals de doeleinden van de verwerking, de risico's, regels, waarborgen en rechten in verband met de verwerking van persoonsgegevens, en de wijze waarop zij hun rechten met betrekking tot deze verwerking kunnen uitoefenen. Tot de gevolgen van de verdere verwerking van de persoonsgegevens van de Ziggo-klanten behoort dat zij het risico lopen te worden aangesproken op betaling van een bedrag dat in vergelijking met de prijs van een legale download aanzienlijk is te noemen zonder dat zij over de omvang van dat financiële risico duidelijkheid krijgen. Kortom, de Ziggo-klanten moeten maar afwachten wat er over hen heen komt. Het hof is niet uitgegaan van een onjuiste rechtsopvatting omtrent de informatieplicht van Ziggo c.s.. Dat een andere en voor DFW gunstiger beoordeling mijns inziens op zichzelf mogelijk was geweest, leidt niet tot een andere beoordeling. Het aan de zijde van DFW geconstateerde tekortschieten in de vereiste mate van transparantie is bovendien voor haar reparabel. 4.52 Voor de volledigheid sta ik nog kort stil bij de in 4.49 weergegeven punten i) t/m iii). Mijns inziens is het hof er niet van uitgegaan dat de informatieplicht van Ziggo c.s. (ook) DFW rechtstreeks regardeert. Het hof lijkt te hebben bedoeld dat Ziggo c.s. niet aan haar ingevolge art. 12 e.v. AVG bestaande informatieverplichting jegens haar betrokken klanten kan voldoen, dat daaruit voortvloeit dat de verstrekking van de persoonsgegevens niet rechtmatig zou zijn en (reeds) daarom door Ziggo c.s. kan worden geweigerd. Het standpunt van DFW dat de informatieplicht ziet op informatie waarmee de Ziggo-klanten reeds bekend zijn of behoren te zijn overtuigt niet zonder meer, omdat (a) onzeker is of de betrokken Ziggo-klanten geacht mogen worden de door DFW bekend gemaakte informatie te kennen (zie ook 4.54 hierna) en (b) het hof met juistheid kon oordelen dat de betrokken internetgebruikers om hun rechtspositie te kennen meer concrete informatie dienden te krijgen over de door DFW voorgenomen dan bekend was uit die openbare bronnen. Gelet op dit alles kan subonderdeel 4.4.3 niet slagen. 4.53 In het verlengde van de vorige klacht voert subonderdeel 4.4.4 aan dat het oordeel dat Ziggo c.s. haar klanten niet adequaat zou kunnen informeren, onvoldoende begrijpelijk is gemotiveerd omdat de mogelijke gevolgen van de verstrekking van persoonsgegevens aan DFW voldoende duidelijk zijn. Deze zouden namelijk volgen uit het Protocol en het Besluit. 4.54 Ook indien de op Ziggo c.s. rustende informatieverplichting niet inhoudt dat zij haar klanten gedetailleerd informeert over het exacte actiebeleid van DFW (wat zou veronderstellen dat DFW deze informatie in detail met Ziggo c.s. heeft gedeeld voorafgaand aan de verstrekking van de gevraagde gegevens), kan het feit dat daarover informatie te vinden is in persberichten van DFW, alsmede in het Protocol en het Besluit, niet de conclusie wettigen dat de gevolgen van de verstrekking van de persoonsgegevens van deze internetgebruikers voor hen voldoende duidelijk zouden zijn. Deze personen kunnen mijns inziens niet zonder meer verondersteld worden bekend te zijn met deze – op vakkringen gerichte – publicaties. Het verstrekken van informatie over de gevolgen van de gegevensverstrekking en, meer in het bijzonder, over wat hun mogelijk te wachten staat kan daarom noodzakelijk worden geacht. Om die reden is het aangevochten oordeel van het hof, mede in aanmerking genomen dat het hier gaat om een kort geding, niet ontoereikend gemotiveerd. 4.55 Subonderdeel 4.5 richt zich tegen de overweging in rov. 5.20 (slotzin) dat DFW niet op transparante wijze uiteen heeft gezet onder welke omstandigheden zij welke bedragen van de Ziggo-klanten zal vorderen zodat niet kan worden nagegaan of de te vorderen kosten en schade in redelijke verhouding tot elkaar staan. Het subonderdeel bouwt voort op subonderdeel 2.1 en faalt in het spoor daarvan. 4.56 Het subonderdeel betoogt verder dat het bestreden oordeel onbegrijpelijk is omdat de rechten van de Ziggo-klanten zouden zijn gewaarborgd in het Protocol en de Ziggo-klanten de gelegenheid hebben hun standpunt (buiten of in rechte) kenbaar te maken. Met deze laatstgenoemde klachten richt het subonderdeel zich kennelijk tegen de slotzin van rov. 5.20, waarin het hof overweegt dat nog niet inzichtelijk is gemaakt wat DFW wil gaan verhalen, hoe de te verhalen bedragen zijn samengesteld en hoe de rechten van de betrokken Ziggo-klanten zijn gewaarborgd. Het subonderdeel betoogt dat de rechten van de Ziggo-klanten wel degelijk zijn gewaarborgd. Dat betoog is evenwel onvoldoende om de klacht te laten slagen, nu het enkele feit dat DFW anders heeft betoogd nog niet wil zeggen dat het oordeel van het hof onbegrijpelijk is. 4.57 Subonderdeel 4.6.1 richt zich met een op de subonderdelen 4.1 en 4.3 voortbouwende klacht tegen rov. 5.21 en faalt om dezelfde redenen. 4.58 Met subonderdeel 4.6.2 komt DFW op tegen de overweging in rov. 5.21 dat niet zonder meer kan worden uitgegaan van de juistheid van de in het Protocol onder 7.6 vervatte regel dat een betrokkene verplicht is feiten en omstandigheden naar voren te brengen die aantonen dat de inbreuk niet aan hem/haar kan worden toegerekend, omdat de stelplicht en bewijslast van de inbreuk op grond van de hoofdregel van art. 150 Rv. in beginsel op DFW rust. Dit oordeel zou onjuist, dan wel onvoldoende gemotiveerd zijn, omdat volgens DFW vaststaat dat vanaf de aan de Ziggo-klanten verleende IP-adressen inbreuk is gemaakt. 4.59 Het bestreden oordeel zegt mijns inziens niet iets over de vraag of DFW aan de op haar rustende stelplicht en bewijslast heeft voldaan. Ook indien moet worden uitgegaan van de juistheid van het in het subonderdeel vervatte betoog dat vast zou staan dat DFW aan de op haar rustende stelplicht en bewijslast heeft voldaan, kan dit aan het oordeel van het hof over de bewijslastverdeling niet afdoen. 4.60 1.1 In deze zaak kan van het volgende worden uitgegaan. 1.2 Eiseres tot cassatie (hierna: DFW) is één van de grootste onafhankelijke filmdistributeurs van Nederland. DFW is voor de in 2017 uitgebrachte speelfilm The Hitman's Bodyguard (hierna: de Film) de sub-distributeur voor Nederland. DFW is gerechtigd om, mede namens de andere rechthebbenden op werken in de Film, op te treden tegen inbreuken op IE-rechten. 1.3 Verweerders in cassatie (hierna: Ziggo c.s.) verrichten onder meer diensten op het gebied van het verlenen van internettoegang. Om toegang tot het internet te krijgen is een Internet Protocol-adres (hierna: IP-adres) vereist. Access providers als Ziggo c.s. kennen aan hun klanten een IP-adres toe. Dat wordt gekoppeld aan het apparaat dat de klant aan deze aansluiting hangt, bijvoorbeeld een router, waardoor met meerdere toestellen/apparaten van dezelfde internetverbinding gebruik kan worden gemaakt. Ziggo c.s. houdt bij welk IP-adres op welk tijdstip aan welke abonnee is toegewezen. 1.4 DFW heeft vanaf 2015 haar voornemen bekend gemaakt om handhavend op te treden tegen personen die films illegaal downloaden waarop zij de rechten heeft. Omdat daarbij persoonsgegevens worden verwerkt, heeft DFW het ‘Protocol Online handhaving intellectuele eigendomsrechten’ (hierna: het Protocol) opgesteld. Het Protocol ziet op de verzameling en de vastlegging van IP-adressen en van de daarmee samenhangende persoonsgegevens met betrekking tot naam, adres en woonplaats (hierna: NAW-gegevens) van de abonnees van access providers. Om deze gebruikers aan te kunnen spreken dient DFW te beschikken over hun NAW-gegevens, die bij de access provider (hier: Ziggo c.s.) bekend zijn. 1.5 DFW heeft op 17 maart 2017 (de toenmalige versie van) het Protocol gemeld bij de Autoriteit Persoonsgegevens (hierna: AP). Bij (definitief) besluit van 5 december 2017 (hierna: het Besluit) heeft het AP een rechtmatigheidsoordeel gegeven. Zij heeft geoordeeld dat de in het Protocol beschreven werkwijze “voldoende waarborgen bevat, zodat de AP besluit de voorgenomen verwerking rechtmatig te achten.” 1.6 Gedurende de periode van 21 december 2017 tot en met 2 februari 2018 heeft het Duitse bedrijf Tecxipio GmbH (hierna: Tecxipio) in opdracht van DFW het uitwisselen van de Film via BitTorrent-netwerken gemonitord. BitTorrent is een techniek die gebruikers in staat stelt over het internet bestanden te downloaden vanaf computers van internetgebruikers. Het bestand wordt in kleine deeltjes gehakt, zodat deze deeltjes bij verschillende gebruikers kunnen worden gedownload. De downloader zoekt via het internet verbinding met aanbieders die deeltjes van dit bestand aanbieden (de uploaders). 1.7 Bij brief van 6 april 2018 heeft DFW Ziggo c.s. verzocht aan haar opgave te doen van de NAW-gegevens van 174 IP-adressen van klanten van Ziggo c.s., die in de periode van 21 januari 2018 tot en met 28 januari 2018 door Tecxipio zijn gemonitord. De personen achter deze IP-adressen zouden in die periode betrokken zijn geweest bij een ongeautoriseerde uitwisseling van de Film via het BitTorrent-netwerk. 1.8 Op 25 april 2018 heeft Ziggo c.s. aan DFW geantwoord dat zij de opgevraagde gegevens, voor zover nog beschikbaar, zal bewaren maar dat zij niet vrijwillig tot afgifte daarvan zal overgaan. Zij heeft voorts aan DFW meegedeeld dat het verzoek en de bijlagen te weinig informatie bevatten om te kunnen concluderen dat, en welke, klanten van Ziggo c.s. inbreuk hebben gemaakt op de rechten van de bij DFW aangesloten rechthebbenden op de Film. 1.9 Bij brief van 4 mei 2018 heeft DFW aan Ziggo c.s. een aanvullend verzoek tot afgifte van NAW-gegevens gedaan betreffende nog eens 203 IP-adressen. Deze lijst ziet op de periode van 2 januari 2018 tot en met 1 februari 2018. 1.10 Ziggo c.s. heeft de NAW-gegevens niet aan DFW op vrijwillige basis verstrekt. B.J. Drijber In de zaak van Dutch Filmworks B.V., eiseres tot cassatie, verweerster in het voorwaardelijk incidenteel cassatieberoep, advocaat: A.M. van Aerde tegen 1. Ziggo B.V. 2. Ziggo Services B.V., verweerders in cassatie, eiseressen in het voorwaardelijk incidenteel cassatieberoep, advocaten: S.M. Kingma en J.W. de Jong Deze kort geding-procedure draait om de vraag of een internet service provider (ook aangeduid als ‘access provider’) kan worden verplicht om aan de rechthebbende op intellectuele eigendomsrechten de NAW-gegevens te verstrekken die horen bij IP-adressen van waaraf een film illegaal volgens die rechthebbende is gedownload. Het grondrecht op bescherming van intellectuele eigendom staat tegenover het grondrecht op bescherming van persoonsgegevens en privacy van de internetgebruikers. Net als de voorzieningenrechter heeft het hof geoordeeld dat het aanpakken van ‘illegale downloaders’ onder voorwaarden rechtmatig is, maar dat in dit geval de rechthebbende te weinig rekening heeft gehouden met de belangen van de betrokken internetgebruikers. Daarom zijn de vorderingen van de rechthebbende afgewezen. Die beslissing acht ik te billijken, hoewel een andere uitkomst op zichzelf denkbaar was geweest. Onderdeel 5 4.61 Met onderdeel 5 betoogt DFW dat het hof de taak van de rechter heeft miskend door niet – binnen de grenzen van het petitum – een minder verstrekkende voorziening toe te wijzen voor zover deze naar zijn oordeel op zijn plaats is. Het hof had daarom de gevraagde voorziening niet mogen afwijzen, maar moeten toewijzen onder de voorwaarden waaronder volgens het hof wel een juist evenwicht zou zijn bereikt tussen de belangen van DFW en die van de Ziggo-klanten. 4.62 Het onderdeel doet een beroep op het procesrechtelijke beginsel dat in een bepaalde vordering tevens een vordering tot toewijzing van het mindere besloten ligt. Het meest eenvoudige voorbeeld daarvan is de veroordeling tot betaling van een geldsom die lager is dan het bedrag dat wordt gevorderd. Dit beginsel is ook toepasbaar buiten geldvorderingen. Of in een bepaalde vordering een vordering tot ‘het mindere’ besloten ligt, vereist in het concrete geval een uitleg van het gedingstuk waar de vordering in is opgenomen, welke uitleg aan de feitenrechter is voorbehouden. 4.63 Ook als een bevel wordt gevorderd, zoals in deze zaak, is toepassing van genoemd beginsel denkbaar. Zo kan een gevorderd bevel worden toegewezen met een beperktere geografische of temporele reikwijdte dan was gevorderd. In deze zaak is eveneens denkbaar dat het beginsel toepasbaar kan zijn. Zo mag worden verondersteld dat in het gevorderde bevel tot afgifte van de NAW-gegevens van alle genoemde Ziggo-klanten, tevens de vordering tot afgifte van de NAW-gegevens van een deel van de Ziggo-klanten besloten ligt. DFW’s betoog dat het hof de gevraagde voorziening had moeten toewijzen onder de voorwaarden waaronder volgens het hof wel een juist evenwicht zou zijn bereikt, zou evenwel geen inperking van het gevorderde inhouden omdat dan nog steeds het gevorderde bevel volledig zou worden toegewezen. Dat een dergelijke aanpassing van het gevorderde in het petitum ligt besloten, is derhalve veel minder aannemelijk dan in de hiervoor genoemde voorbeelden. Dat het hof het door het middel betoogde ‘mindere’ niet in de vorderingen van DFW heeft gelezen is, in het licht van het voorgaande, in elk geval niet onbegrijpelijk en getuigt evenmin van een onjuiste rechtsopvatting. 4.64 Daarbij geldt dat het niet de taak van het hof is om het Protocol en het beoogde actiebeleid van DFW aldus aan te passen dat een en ander wel voldoet aan het naar zijn oordeel vereiste evenwicht tussen de grondrechtelijke belangen van partijen. Daar zou het, als DFW in haar stellingen wordt, wel op neerkomen. 4.65 Onderdeel 5 is vergeefs voorgesteld. Onderdeel 6 4.66 Onderdeel 6 betoogt dat het hof, met zijn oordeel dat DFW (nog) niet aan de vereisten heeft voldaan om tot een juist evenwicht van belangen te komen, heeft miskend dat in de Europese Unie een hoog niveau van bescherming van rechten van intellectuele eigendom geldt en dat de maatregelen, procedures en rechtsmiddelen die nodig zijn om de handhaving van deze rechten te waarborgen niet onnodig ingewikkeld mogen zijn en tevens doeltreffend en afschrikwekkend moeten zijn. Dit zou temeer gelden als het hof in rov. 5.20 zou hebben geoordeeld dat DFW van een individuele inbreukmaker geen hogere bedragen zou mogen vorderen dan de misgelopen aanschafprijs van een stream of een dvd. 4.67 Om met dat laatste te beginnen: dat oordeel lees ik niet in het bestreden arrest. Het hof overweegt in rov. 5.20 dat bij de huidige stand van zaken onzeker is of de door DFW te vorderen kosten in redelijke verhouding staan tot de door haar geleden schade. Daarmee oordeelt het hof niet dat DFW slechts die schade (de gemiste inkomsten als gevolg van het vastgestelde aantal downloads) zou kunnen vorderen. 4.68 Dat het hof het Unierecht heeft geschonden door onnodig hoge drempels voor handhaving van IE-rechten jegens ‘downloaders’ op te werpen is in het onderdeel onvoldoende onderbouwd. Daarbij is van belang dat het hof heeft onderkend dat een onbeperkt en onvoorwaardelijk beroep op de privacybelangen van de Ziggo-klanten zou leiden tot een ernstige aantasting van DFW’s rechten van (intellectuele) eigendom. Ook heeft het hof meegewogen dat DFW niet op andere wijze, dan via het gevraagde bevel, de gegevens op doeltreffende wijze kan verkrijgen. Dat het hof de belangen van DFW, die het aldus heeft onderkend, heeft afgewogen tegen de privacybelangen van de Ziggo-klanten en die afweging in het nadeel van DFW is uitgepakt, maakt nog niet dat het hof het Unierecht heeft geschonden. Onderdeel 7 4.69 Nu geen van de klachten slaagt, faalt ook de voortbouwklacht in onderdeel 7. 5Bespreking van het cassatiemiddel in het voorwaardelijk incidenteel beroep 5.1 Het incidentele cassatieberoep is ingesteld onder de voorwaarde dat het principale cassatieberoep in enig onderdeel gegrond wordt bevonden. Nu ik zojuist heb geconcludeerd dat geen van de klachten slaagt, is aan die voorwaarde niet voldaan. Ik kies er niettemin voor het incidentele cassatieberoep te bespreken. Onderdeel 1 5.2 Subonderdeel 1.1 richt zich tegen rov. 5.13 (midden) van het bestreden arrest, voor zover het hof daarin overweegt dat de mogelijkheid dat niet de houder van de internetaansluiting zelf maar een ander gebruik heeft gemaakt van de aansluiting en de vastgestelde inbreuk heeft gemaakt, onverlet laat dat de houder van een IP-adres in beginsel de verantwoordelijkheid draagt voor dat gebruik. Het subonderdeel is ingesteld voor het geval voornoemde overwegingen in rov. 5.13 zó moeten worden begrepen dat de houder van een IP-adres in beginsel aansprakelijk is voor inbreuk makend handelen via zijn internetaansluiting, tenzij hij de door het hof genoemde specifieke informatie verstrekt. In dat geval is het hof, volgens de klacht, ten onrechte uitgegaan van een (kwalitatieve of risico-)aansprakelijkheid van de houder van een IP-adres, die geen steun vindt in het recht. 5.3 Uit het bestreden arrest volgt mijns inziens niet welke consequenties het hof verbindt aan zijn genoemd oordeel dat de Ziggo-klant in beginsel verantwoordelijkheid draagt voor het gebruik van de internetaansluiting. Om die reden meen ik dat niet kan worden aangenomen dat het hof bedoeld heeft te oordelen dat de houder van een IP-adres in beginsel aansprakelijk is voor inbreuk makend handelen via zijn internetaansluiting, ook als hij of zij niet de daadwerkelijke inbreukmaker is. 5.4 Subonderdeel 1.2 richt zich tegen de overweging in rov. 5.18 (onder het midden) dat van de houder van een IP-adres kan worden verlangd dat hij specifieke informatie geeft om te achterhalen wie de daadwerkelijke inbreukmaker is. Een dergelijke informatieplicht zou niet op de houder van een internetaansluiting rusten en ook niet zijn af te leiden uit het arrest Bastei Lübbe/Strotzer. 5.5 Ook hier kent Ziggo c.s. teveel gewicht toe aan een door het hof, welhaast terloops, gegeven overweging. De gewraakte passage maakt deel uit van enkele overwegingen omtrent de mogelijkheid dat de Ziggo-klant niet degene is die de Film heeft gedownload. Het hof oordeelt dat met name in die gevallen het evenwicht tussen de belangen van betrokkenen is verstoord. Daarbij heeft het hof, in zoverre ten overvloede, overwogen dat in die situatie echter geen absolute bescherming kan worden geboden en ‘zelfs’ van de Ziggo-klant kan worden verlangd dat hij de bedoelde informatie geeft. De conclusie strekt tot verwerping van het principale cassatieberoep. De Procureur-Generaal bij de Hoge Raad der Nederlanden A-G Grotendeels ontleend aan rov. 3.2-3.9 van het bestreden arrest van 5 november 2019, ECLI:NL:GHARL:2019:9352. De definitieve versie van het Protocol dateert van 25 oktober 2017 (zie productie 9 bij de dagvaarding). Het betrof een voorafgaand onderzoek als bedoeld in art. 31 lid 1, onder b, van de Wet bescherming persoonsgegevens. Op grond van die bepaling was een voorafgaand onderzoek verplicht om rechtmatig persoonsgegevens door eigen waarneming te kunnen verzamelen, zonder degenen op wie de gegevens betrekking hebben daarvan op de hoogte te stellen. Productie 8 bij de dagvaarding. Het besluit is door de AP bekend gemaakt (Stcrt. 2017/71406). Vgl. over de BitTorrent-techniek ook Hof Amsterdam 2 juni 2020, ECLI:NL:GHAMS:2020:1421 (Brein/Ziggo e.a.), rov. 2.1.5-2.1.8. Productie 11 bij de dagvaarding. Productie 12 bij de dagvaarding. Productie 13 bij de dagvaarding. Zoals weergegeven in productie 13A-B bij de dagvaarding. Vzr. Rb. Midden-Nederland 8 februari 2019, ECLI:NL:RBMNE:2019:423. Zie J.S. Bierens & G.J. Zwenne, AMI 2019/3, p. 110-117 en D.M. Linders & J.J. Vermeij, ‘Dutch FilmWorks / Ziggo: een hoge drempel voor het verkrijgen van NAW-gegevens van individuele downloaders’, Internetrecht 2019, p. 127 e.v.. De voorzieningenrechter verwijst naar HR 25 november 2005, ECLI:NL:HR:2005:AU4019, NJ 2009/550, m.nt. P.B. Hugenholtz onder NJ 2009/551 (Lycos/ [...]). Hof Arnhem-Leeuwarden 5 november 2019, ECLI:NL:GHARL:2019:9352, kritisch besproken door J.M.B. Seignette, IEF 18807; J.G. Reus, Jurisprudentie Bescherming Persoonsgegevens 2019, afl. 6, p. 872 e.v.; en G.A.C. van der Hout, ‘Handhaving tegen particuliere illegale downloaders: een brug te ver?’, Tijdschrift voor Internetrecht 2020, p. 21 e.v.. Verordening (EU) 2016/679 van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), PbEU 2016, L 119/1. Het hof verwijst naar de considerans bij de AVG, nrs. 47 en 50. Die bescherming volgt ook uit art. 16 lid 1 VWEU. Vgl. EHRM 30 januari 2020, ECLI:CE:ECHR:2020:0130JUD005000112, NJ 2020/431, m.nt. E.J. Dommering (Breyer/Germany), punt 74. Zie voor een uitgebreide bespreking van de scope van art. 8 EVRM de Guide on Article 8 of the Convention – Right to respect for private and family life van het EHRM en C.J. Forder e.a., SDU Commentaar EVRM, art. 8. Zie Guide on Article 8 of the Convention – Right to respect for private and family life, randnummers 483-484; M. Hagens in: SDU Commentaar EVRM, art. 8, aant. C.8.3.3; EHRM 3 april 2007, nr. 62617/00, ECLI:CE:ECHR:2007:0403JUD006261700 (Copland v. UK), punt 41-42; en EHRM 30 januari 2020, ECLI:CE:ECHR:2020:0130JUD005000112, NJ 2020/431 m.nt. E.J. Dommering (Breyer/Germany), punt 81, waarin het EHRM expliciet overweegt dat het opslaan van persoonsgegevens al een inbreuk op de rechten uit art. 8 EVRM oplevert. Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, PbEG 1995, L 281/31. Te vinden op normuitleg_gerechtvaardigd_belang.pdf (autoriteitpersoonsgegevens.nl) In considerans nr. 50 van de AVG wordt deze opsomming nader toegelicht. H.R. Kranenborg & L.F.M. Verhey, De AVG in Europees en Nederlands perspectief (MM SBR) 2018/7, 3.10. Art. 43 Wbp vormde de omzetting van art. 13 lid 1, onder g), Privacyrichtlijn. In 2002 oordeelde het Hof Amsterdam, onder verwijzing naar art. 43 Wbp, dat het doelbindingsbeginsel niet in de weg stond aan verwerking van de persoonsgegevens voor een ander doel dan waarvoor deze waren verkregen, nu het ging om de bescherming van de rechten en vrijheden van anderen (Deutsche Bahn) en om de voorkoming van strafbare feiten (Hof Amsterdam 7 november 2002, ECLI:NL:GHAMS:2002:AF0091, Computerrecht 2003, p. 72, m.nt. L.F. Asscher). Vgl. Vzr. Rb. Arnhem 28 maart 2008, ECLI:NL:RBARN:2008:BC9426, rov. 4.8. Zie HR (strafkamer) 27 november 2012, ECLI:NL:HR:2012:BY0215, rov. 3.6 en CRvB 5 februari 2018, ECLI:NL:CRVB:2018:269, AB 2018/375, m.nt. T. Barkhuysen en M.L. van Emmerik, rov. 5.6.3. Vgl. L.H. von Meijenfeldt, ‘Het verwerken van persoonsgegevens voor de vaststelling, uitoefening of onderbouwing van een rechtsvordering’, P&I 2020/114, par. 3, en H.H. de Vries, T&C Privacy- en gegevensbeschermingsrecht, commentaar op art. 41 UAVG, aant. 1. Zie art. 16b lid 1 en art. 16c lid 1 Auteurswet. Vgl. recent Hof Den Haag 11 augustus 2020, IEF 19397, AMI 2020/6, p. 203, m.nt. M.E. Kingma (Staat/SEKAM c.s.). Paradoxaal genoeg was het gedogen van kopieën uit illegale bron voordelig voor rechthebbenden omdat de hoogte van de thuiskopievergoeding mede was gebaseerd op het geschatte aantal kopieën uit illegale bron en (organisaties van) rechthebbenden geen middelen aan handhaving tegen particulieren hoefden te besteden. HvJEU 10 april 2014, C-435/12, ECLI:EU:C:2014:254, NJ 2016/185, m.nt. P.B. Hugenholtz onder NJ 2016/186, en eindarrest HR 20 januari 2017, ECLI:NL:HR:2017:59, NJ 2017/63 (ACI Adam c.s./ Stichting de Thuiskopie). Vgl. de brief van de staatssecretaris voor Veiligheid en Justitie van 17 april 2014 aan de Tweede Kamer n.a.v. het arrest van het HvJEU in ACI Adam c.s./Stichting de Thuiskopie, te vinden op: http://www.rijksoverheid.nl/documenten-en-publicaties/kamerstukken/2014/04/18/arrest-aci-adam-bv-ea-tegenstichting-de-thuiskopie-en-stichting-onderhandelingen-thuiskopie-vergoeding.html. Vgl. de zaak BREIN/Ziggo e.a. (The Pirate Bay). Het ging daar om een vordering tegen een internetprovider tot blokkade van een website die inbreuken door gebruikers faciliteert. Richtlijn 2004/48/EG van 29 april 2004 betreffende de handhaving van intellectuele- eigendomsrechten, PbEU 2004, L 157/45, met rectificatie in PbEU 2004, L 195/16. HvJEU 29 januari 2008, C-275/06, ECLI:EU:C:2008:54, NJ 2009/551, m.nt. P.B. Hugenholtz; AMI 2008, afl. 3, nr, 5, m.nt. A.H. Ekker; IER 2008/44, m.nt. F.W. Grosheide (Promusicae). Zie ook HvJEU 19 februari 2009, C-557/07, ECLI:EU:C:2008:107 (LSG Gesellschaft). Richtlijn 2002/58/EG van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie), PbEG 2002, L 201/37. HvJEU 19 april 2012, C-461/10, ECLI:EU:C:2012:219 (Bonnier e.a./Perfect Communication Sweden). Richtlijn 2006/24/EG van het Europees Parlement en de Raad van 15 maart 2006 betreffende de bewaring van gegevens die zijn gegenereerd of verwerkt in verband met het aanbieden van openbaar beschikbare elektronische communicatiediensten of van openbare communicatienetwerken en tot wijziging van richtlijn 2002/58/EG, PbEG 2006, L 105/54. HvJEU 27 maart 2014, C-314/12, ECLI:EU:C:2014:192, NJ 2018/109, m.nt. P.B. Hugenholtz; AMI 2015, afl. 2, nr. 3, m.nt. R.D. Chavannes; IER 2014/45, m.nt. S. Kulk (UPC Telekabel Wien/Constantin Film Verleih). Richtlijn 2001/29/EG van 22 mei 2001 betreffende de harmonisatie van bepaalde aspecten van het auteursrecht en de naburige rechten in de informatiemaatschappij, PbEG 2001, L 167. HvJEU 16 juli 2015, C-580/13, ECLI:EU:C:2015:485, NJ 2016/369, m.nt. D.W.F. Verkade (Coty Germany/Stadtsparkasse Magdeburg). HvJEU 15 september 2016, C-484/14, ECLI:EU:C:2016:689, AMI 2016, afl. 6/2017, afl. 1, nr. 10, m.nt. P. In de noten bij het bestreden arrest (zie voetnoot 11) wordt deze vraag niet op die manier aan de orde gesteld (en overigens ook niet in onderdeel 2 van het middel). In de noten wordt benadrukt dat transparantie en informatie over bedragen etc. uitsluitend onderdeel zijn van de rechtsverhouding tussen DFW en de Ziggo-klanten en niet van de rechtsverhouding tussen DFW en Ziggo c.s., waar deze procedure op ziet. Zie de schriftelijke toelichting van DFW, nr. 7.7, voor citaten uit die annotaties. Verwezen wordt naar onder meer EHRM 27 juli 2004, nrs. 55480/00 en 59330/00, ECLI:CE:ECHR:2004:0727JUD005548000 (Sidarbas and Dziautas/Lithuania), EHRM 3 april 2012, nr. 41723/06, ECLI:CE:ECHR:2012:0403JUD004172306 (Gillberg/Sweden) en EHRM 25 september 2018, nr. 76639/11, ECLI:CE:ECHR:2018:0925JUD007663911, (Denisov/Ukraine). Vaste rechtspraak. Zie o.a. HR 31 oktober 2014, ECLI:NL:HR:2014:3072, NJ 2015/85, m.nt. T.F.E. Tjong Tjin Tai (Eurostrip/Velenturf), rov. 4.2. Zie o.a. dagvaarding, nr. 52. Pleitnota Ziggo c.s. in hoger beroep, nr. 4.18, onder c. en schriftelijke toelichting, nr. 4.44. Hierop wijst ook Ziggo c.s. in haar schriftelijke toelichting, nr. 4.57. De te verstrekken informatie staat in art. 13 lid 2 AVG. Vgl. G.J. Zwenne, T&C Privacy- en gegevensbeschermingsrecht (red. G.J. Zwenne en H.R. Kranenborg), 2020, commentaar op art. 13 AVG, aant. 2. In geval van verdere verwerking moeten ingevolge art. 13 lid 3 de gegevens genoemd in art. 13 lid 2 worden verstrekt, en wel vóórdat die verdere verwerking plaatsvindt. Vgl. HR 5 januari 1996, ECLI:NL:HR:1996:ZC1945, NJ 1996/449 (Schmitz c.s./Meininger). Zie bijv. HR 29 oktober 1993, ECLI:NL:HR:1993:ZC1116, NJ 1994/107 (Kraaiende hanen), waar ook DFW naar verwijst in haar schriftelijke toelichting, nr. 10.2. Tot eenzelfde conclusie komt DFW in haar schriftelijke toelichting, nr. 13.2. HvJEU 18 oktober 2018, C-149/17, ECLI:EU:C:2018:841, AMI 2019/1, m.nt. P. Teunissen (Bastei Lübbe/Michael Strotzer). Het subonderdeel stelt 2 februari 2019 maar dat is een kennelijke schrijffout. Ziggo c.s. verwijst in voetnoot 10 van haar verweerschrift tevens houdende voorwaardelijk incidenteel cassatieberoep naar haar pleitnota in eerste aanleg. Zie de incidentele grieven 1, 3 en 5. Zie memorie van antwoord, tevens houdende voorwaardelijk incidenteel appel, p. 25 bovenaan. De tweede incidentele grief, over het spoedeisend belang van DFW bij haar vorderingen, heeft het hof wel behandeld omdat die vraag ambtshalve dient te worden beoordeeld (rov. 5.2). Onder welke omstandigheden dat kan worden verlangd en welke consequenties aan een weigering daartoe kunnen worden verbonden, is in het arrest niet verder uitgewerkt en daartoe bestond ook, gezien het karakter van de ten overvloede gegeven overweging, geen noodzaak. Mijns inziens heeft het hof bedoeld dat van de Ziggo-klant die de stelling van DFW betwist dat hij inbreuk heeft gemaakt op haar IE-rechten, mag worden verlangd dat hij die betwisting motiveert door meer informatie te geven over wie de inbreuk wél zou hebben gemaakt. 5.6 In lijn met het voorgaande gaat ook subonderdeel 1.3 uit van een onjuiste lezing van het bestreden arrest. Het subonderdeel veronderstelt namelijk dat het hof heeft geoordeeld dat de enkele omstandigheid dat via een internetaansluiting inbreuk is gemaakt volstaat om het bewijsvermoeden aan te nemen dat de houder van die aansluiting de inbreuk zelf heeft gemaakt, tenzij hij specifieke informatie verschaft aan de hand waarvan kan worden vastgesteld dat een ander de inbreukmaker is. Die veronderstelling miskent dat het hof in rov. 5.18 (net onder het midden) andersom redeneert: onder verwijzing (via rov. 5.15) naar het arrest Bastei Lübbe/Strotzer overweegt het hof, kort gezegd, dat geen absolute bescherming kan worden geboden aan een houder van een internetaansluiting en dat van hem kan worden verlangd dat hij specifieke informatie geeft waarmee de inbreukmaker kan worden achterhaald. Daaruit mag nog niet worden afgeleid wat de gevolgen zijn als die informatie niet wordt, of kan worden, verstrekt. Het hof heeft dus niet geoordeeld dat in die gevallen steeds moet worden aangenomen dat de houder van de internetaansluiting de inbreuk zelf heeft gemaakt. 5.7 Subonderdeel 1.4 bouwt voort op subonderdeel 1.3 en faalt in het spoor daarvan. Onderdeel 2 5.8 Ziggo c.s. betoogt dat zij in hoger beroep een voorwaardelijk incidentele grief heeft ingesteld tegen het oordeel van de voorzieningenrechter dat art. 6:162 BW een toereikende grondslag biedt voor de gevorderde gegevensverstrekking door een internet service provider (incidentele grief 3). Nu het hof in rov. 5.25 heeft overwogen dat aan de voorwaardelijk ingestelde incidentele grieven niet wordt toegekomen, meent Ziggo c.s. dat het hof in het midden heeft gelaten of een toereikende wettelijke basis voor gegevensverstrekking bestaat en een eventueel verwijzingshof aldus, zo nodig, nog op de voorwaardelijk ingestelde incidentele grief zal moeten beslissen. Onderdeel 2 is dan ook ingesteld voor het geval het oordeel van het hof anders moet worden begrepen. 5.9 Het onderdeel behoeft geen behandeling omdat Ziggo c.s. terecht veronderstelt dat het hof geen oordeel heeft gegeven omtrent de vraag of art. 6:162 BW een grondslag biedt voor het gevraagde bevel. Immers heeft het hof in de tweede zin van rov. 5.4 slechts overwogen dat DFW de (door het hof in de voorafgaande zin noodzakelijk geachte) rechtsplicht heeft gebaseerd op de stelling dat Ziggo c.s. onrechtmatig handelt wanneer zij haar klantgegevens niet aan DFW verstrekt. Het hof geeft daar slechts de relevante stelling van DFW weer. Dat het hof daar de elementen van een onrechtmatige daad weergeeft, doet daar niet aan af. 5.10 Vervolgens heeft het hof grieven van DFW tegen het oordeel van de voorzieningenrechter verworpen en diens vonnis bekrachtigd. Aldus is het hof niet toegekomen aan de voorwaardelijk ingestelde grief van Ziggo c.s. tegen het oordeel van de voorzieningenrechter dat art. 6:162 BW een grondslag biedt voor het gevraagde bevel. Daarbij heeft het hof een afweging gemaakt tussen de grondrechten c.q. belangen van betrokkenen en is tot het oordeel gekomen dat Ziggo c.s. op grond van die belangenafweging niet in strijd met een op haar rustende rechtsplicht tot afgifte van de persoonsgegevens handelt (rov. 5.22). Ik begrijp een en ander inderdaad, net als Ziggo c.s., aldus dat het hof op deze wijze slechts veronderstellenderwijs – in het verlengde van het uitsluitend voorwaardelijk bestreden oordeel van de voorzieningenrechter – is uitgegaan van een rechtsplicht tot afgifte. 5.11 Het hof heeft niet, ook niet impliciet, geoordeeld dat op Ziggo c.s. een rechtsplicht tot afgifte rust. Subonderdeel 2.2, waarin Ziggo c.s. ervan uitgaat dat het hof wél een dergelijk oordeel heeft gegeven, behoeft daarom geen behandeling. Onderdeel 3 5.12 Ook onderdeel 3 bevat enkele klachten die zijn gebaseerd op de veronderstelling dat het arrest op een bepaalde manier dient te worden gelezen. 5.13 Subonderdeel 3.1 richt zich tegen de vaststelling in rov. 3.5 dat Tecxipio in de periode van 21 december 2017 tot en met 2 februari 2018 in opdracht van DFW het uitwisselen van de Film via BitTorrent netwerken heeft gemonitord en voorts tegen de vaststelling in rov. 3.6 dat DFW Ziggo c.s. heeft verzocht opgave te doen van 174 IP-adressen die Tecxipio in genoemde periode heeft vastgelegd. Deze feitenvaststelling is volgens het subonderdeel zonder nadere toelichting onbegrijpelijk in het licht van de stellingen van Ziggo c.s. dat DFW ter onderbouwing van de gestelde inbreuk enkel Excel-lijstjes heeft overgelegd, die niets meer zouden zijn dan een blote partijbewering. 5.14 Het is juist dat Ziggo c.s. in feitelijke aanleg is ingegaan op de juistheid, de kwaliteit en de legitimiteit van het onderzoek dat heeft geleid tot de lijst(en) van IP-adressen van waaraf de Film in de onderzochte periode volgens DFW is gedownload. De rechtbank heeft de juistheid van deze technische kritiek in het midden gelaten (rov. 4.24). Ook als die kritiek ongegrond is en de lijsten met ‘verdachte’ IP-adressen wel correct zouden blijken te zijn, diende de gegevensvordering van DFW nog steeds te worden afgewezen. In hoger beroep heeft Ziggo c.s. die kritiek herhaald, echter alleen in haar voorwaardelijk incidenteel appel. Het hof is aan de beoordeling van die stellingen van Ziggo c.s. daarom niet toegekomen rov. 5.25). 5.15 Uit de door Ziggo c.s. naar voren gebrachte kritiek op het onderzoek volgt mijns inziens niet dat de vaststellingen in rov. 3.5 en rov. 3.6, onder het kopje “vastgestelde feiten”, onjuist of onbegrijpelijk zijn. De gedingstukken laten mijns inziens geen andere conclusie toe dan dat Texcipio in opdracht van DFW een monitoring heeft uitgevoerd van het uitwisselen van de Film en daarbij de IP-adressen heeft vastgelegd waarvan DFW bij brief van 6 april 2018 Ziggo c.s. heeft verzocht de NAW-gegevens over te leggen. Ook indien op dat onderzoek wellicht inhoudelijke en methodologische kritiek mogelijk is, maakt dat niet dat de vaststellingen in rov. 3.5 en rov. 3.6 onjuist zijn. Tegen de stelling dat Ziggo-klant X of Y inbreuk heeft gemaakt kan, als het ooit tot handhaving door DFW komt, verweer gevoerd worden. De individuele gebruikers zijn geen partij bij deze procedure en niet gebonden aan de feitelijke vaststellingen die hier Ziggo c.s. hier bestrijdt. 5.16 Subonderdeel 3.2 richt zich tegen de overweging in rov. 5.8 dat het geschil enkel betrekking heeft op stap 2 van het Besluit (kort gezegd: overlegging van de NAW-gegevens aan DFW). Ziggo c.s. voert daartoe aan dat zij uitvoerig heeft betoogd dat DFW zich niet heeft gehouden aan de voorwaarden van het Besluit ten aanzien van stap 1 (kort gezegd: het door DFW verzamelen van de IP-adressen waarmee een inbreuk is gepleegd). 5.17 Ik wijs erop dat deze zaak alleen betrekking heeft op de vraag of Ziggo c.s. de bedoelde gegevens moet overleggen. Over de wijze waarop DFW uitvoering heeft gegeven aan de in het Besluit genoemde stap 1 hoefde het hof niet te oordelen. Teunissen; IER 2017/13, m.nt. J.M.B. Seignette (McFadden/Sony Music). Richtlijn 2000/31/EG van het Europees Parlement en de Raad van 8 juni 2000 betreffende bepaalde juridische aspecten van de diensten van de informatiemaatschappij, met name de elektronische handel, in de interne markt (richtlijn „elektronische handel”), PbEG 2000, L 178/1. De inhoud van deze zogeheten mere conduit bepaling sluit aan bij het standpunt dat een tussenpersoon als een internet service provider ‘geen boodschap aan de boodschap’ hoeft te hebben. HvJEU 18 oktober 2018, C-149/17, ECLI:EU:C:2018:841 (Bastei Lübbe/Michael Strotzer), AMI 2019, nr. 2, m.nt. P. Teunissen. Dit verschoningsrecht is kennelijk gebaseerd op art. 7 Handvest en art. 6 Grundgesetz. HvJEU 9 juli 2020, ECLI:EU:C:2020:542, AMI 2020, afl. 6, nr. 10, m.nt. M.E. Kingma (Constantin Film Verleih/YouTube en Google). HR 25 november 2005, ECLI:NL:HR:2005:AU4019, NJ 2009/550, m.nt. P.B. Hugenholtz onder NJ 2009/551 (Lycos/ [...]). Hugenholtz stelt vraagtekens bij de door de Hoge Raad aangenomen grondslag van de rechtsplicht om de gegevens te verstrekken (‘maatschappelijk bezien ongewenst’). Vzr. Rb. Amsterdam 28 maart 2018, ECLI:NL:RBAMS:2018:1914 (Toyota/ING). Hof Amsterdam 13 juli 2006, ECLI:NL:GHAMS:2006:AY3852 (BREIN e.a./UPC e.a.) Vgl. S.H. Kingma, ‘De botsing tussen IE-rechten en privacyrechten. Het einde van het Lycos/ [...] -tijdperk’, P&I 2012-4, p. 170 e.v. en E.J. Dommering, ‘De zaak Scarlet/Sabam – naar een horizontale integratie van het auteursrecht’, AMI 2012, afl. 2, p. 53 e.v.. Vgl. de noot van J.G. Reus bij het bestreden arrest, Jurisprudentie Bescherming Persoonsgegevens 2019, afl. 6, p. 872. Art. 5 e-Privacyrichtlijn is (laattijdig) omgezet in art. 11.2a Telecommunicatiewet. Zie daarover G.J. Zwenne en J.S. Bierens in hun noot bij het vonnis van de voorzieningenrechter, AMI 2019, afl. 3, nr. 7, voetnoot 5. Ziggo c.s. beroept zich onder meer op art. 8 lid 2 EVRM, art. 52 Handvest en art. 15 e-Privacyrichtlijn. Zie rov. 5.25. Vgl. ook de bespreking van onderdeel 2 van het incidentele middel hieronder. Zie bijv. HvJEU 19 april 2012, C-461/10, ECLI:EU:C:2012:219 (Bonnier e.a./Perfect Communication Sweden), punt 58. Het in voetnoot 49 genoemde art. 11.2a Telecommunicatiewet voorziet in het eerste lid in een zorgplicht van telecomaanbieders (waaronder een internet service provider) om vertrouwelijke communicatie te waarborgen. Hey tweede lid laat - bij wijze van uitzondering - afluisteren, aftappen of anderszins onderscheppen of controleren van communicatie toe indien een van de limitatief opgesomde gevallen a. t/m d. zich voordoet, waaronder het geval dat “d. deze handelingen noodzakelijk zijn ter uitvoering van een wettelijk voorschrift of rechterlijk bevel.” Dit artikel vormt duidelijk niet een wettelijke grondslag voor een vordering van een IE-rechthebbende om klantgegevens van een access provider. Dat voor dat geval niet een specifiek (civielrechtelijk) wettelijk voorschrift bestaat, betekent naar mijn mening niet dat een wettelijke grondslag om klantgegevens te vorderen zou ontbreken. Vgl. Hof Amsterdam 2 juni 2020, ECLI:NL:GHAMS:2020:1421 (Stichting BREIN/Ziggo en XS4ALL - The Pirate Bay). Na vernietiging en verwijzing door de Hoge Raad (ECLI:NL:HR:2018:1046), die zelf prejudicieel had verwezen naar Luxemburg (HvJEU 14 juni 2017, C-610/15, ECLI:EU:C:2017:450), doet Hof Amsterdam de zaak voornamelijk af op basis van toetsing aan HvJEU 27 maart 2014, ECLI:EU:C:2014:192 (UPC Telekabel Wien). Hof Arnhem-Leeuwarden 10 december 2019, ECLI:NL:GHARL:2019:10635 (X/Your Holding). Rb. Midden-Nederland 8 november 2019, ECLI:NL:RBMNE:2019:6495, IER 2020/11, m.nt. S. Kulk (Stichting Brein/Van S). Zie dictum van het vonnis in die zaak, punt 5.5, onder g, h en i. Rb. Den Haag 30 april 2020, ECLI:NL:RBDHA:2020:3980, AMI 2020/5, p. 171-172, m.nt. P. Teunissen (Dish Network/Worldstream). Zie o.a. H.A.J. de Jong, G.C.J. Erents & E.Z. Fonville, ‘Kroniek AVG-jurisprudentie mei 2018 - mei 2020’, P&I 2020/184, p.161. Ik vraag me af of dit Haagse vonnis niet zo moet worden begrepen dat de daarin aangenomen rechtsplicht is gebaseerd op art. 843a Rv. Zie P. Teunissen, AMI 2020/5, p. 172. Zie Asser Procesrecht/Boonekamp 6 2020/154. Vgl. EHRM 24 april 2018, nr. 62357/14, ECLI:CE:ECHR:2018:0424JUD006235714 (Benedik v. Slovenia), punt 107-119. Weliswaar is niet ondenkbaar dat de vordering ten aanzien van stap 2 zou worden afgewezen als vast zou komen staan dat DFW de IP-adressen op onregelmatige wijze heeft verzameld, maar daarmee wordt stap 1 als zodanig nog geen onderdeel van het geschil. Nu het hof de vorderingen van DFW heeft afgewezen, was het niet gehouden op eventuele andere verweren van Ziggo c.s. – bijvoorbeeld ten aanzien van de rechtmatigheid van stap 1 – in te gaan. Daarop loopt het subonderdeel vast. 5.18 Subonderdeel 3.3 richt zich tegen rov. 5.13 en rov. 5.17, voor zover het hof daarin als uitgangspunt neemt dat vanaf de door Ziggo aan klanten verleende IP-adressen inbreuk is gemaakt op rechten van DFW. Ter onderbouwing van de klacht vat het subonderdeel onder (i) – (iii) de hoofdpunten samen van de technische kritiek die in feitelijke aanleg is geuit op het door Texcipio uitgevoerde onderzoek. 5.19 Aan Ziggo c.s. moet worden toegegeven dat de gedingstukken niet de feitelijke vaststelling toelaten dat vanaf de door DFW genoemde IP-adressen inbreuk is gepleegd, aangezien Ziggo c.s. dat gemotiveerd heeft betwist. Ik meen de rov. 5.13 en 5.17 echter zo te moeten lezen dat het hof daar niet de vaststelling doet dat vanaf de bewuste IP-adressen inbreuk is gepleegd. Mijns inziens heeft het hof hier enkel de hypothetische aanname gehanteerd dat inbreuk is gepleegd, te weten de inbreuk die volgens DFW aan de hand van het meergenoemde onderzoek “is vastgesteld” (rov. 5.13) respectievelijk “is geconstateerd” (rov. 5.17). 5.20 Voorts wijs ik er nog op dat het hof diende te oordelen over het principale appel van DFW tegen het vonnis van de voorzieningenrechter, waarin de zaak is afgedaan op het oordeel omtrent de belangenafweging. Kennelijk heeft ook de rechtbank (impliciet) tot uitgangspunt genomen dat inbreuken hebben plaatsgevonden; anders was zij niet toegekomen aan het uitvoeren een belangenafweging. Ziggo c.s. heeft tegen het vonnis alleen voorwaardelijk grieven aangevoerd. Het hof diende eerst de door DFW in het principale appel aangevoerde grieven tegen de uitkomst van de belangenafweging door de rechtbank te beoordelen. Die beoordeling zou in het luchtledige hangen indien daar niet de hypothetische aanname aan ten grondslag kon liggen dat inbreuk was gepleegd en er daarom in beginsel voor DFW grond was om tot handhaving over te gaan. 5.21 Onderdeel 3 slaagt niet. Onderdeel 4 5.22 Onderdeel 4 richt zich tegen de overweging in rov. 5.17 dat het in deze zaak niet gaat om ‘bijzondere persoonsgegevens’, maar (enkel) om NAW-gegevens. Het onderdeel betoogt dat deze overweging blijk geeft van een onjuiste rechtsopvatting, dan wel onvoldoende is gemotiveerd, omdat DFW afgifte verzoekt van NAW-gegevens van personen die zich, naar DFW stelt of aanneemt, behalve aan (civielrechtelijk) onrechtmatig handelen schuldig hebben gemaakt aan strafbare feiten. Het onderdeel verwijst naar art. 31 Auteurswet, dat het opzettelijk inbreuk maken op eens anders auteursrecht strafbaar stelt. Het onderdeel wijst er verder op dat de AP in het Besluit heeft overwogen dat DFW voornemens is strafrechtelijke gegevens en/of gegevens over onrechtmatig of hinderlijk gedrag te verwerken. 5.23 Rov. 5.17 ziet klaarblijkelijk op de in art. 9 AVG genoemde bijzondere categorieën van persoonsgegevens, zijnde onder meer persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken. Strafrechtelijke gegevens vallen hier niet onder. Daarop stuit de klacht reeds af. 5.24 Voor zover het onderdeel mede zou willen betogen dat het hof in algemene zin zou hebben miskend dat sprake is van persoonsgegevens van strafbare aard, faalt het eveneens. De vereiste wettelijke basis voor de beoogde verwerking is in art. 32 UAVG gegeven. Art. 32, aanhef en onder d, UAVG, bepaalt dat persoonsgegevens van strafbare aard mogen worden verwerkt indien de verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering. Het onderdeel verwijst niet naar vindplaatsen in de processtukken in feitelijke instanties waar Ziggo c.s. gemotiveerd zou hebben betoogd dat (i) sprake is van persoonsgegevens van strafbare aard en (ii) een wettelijke basis voor de verwerking daarvan zou ontbreken, zodat het hof reeds hierom niet gehouden was om haar (impliciete) beslissing op dat punt nader te motiveren. 5.25 Ook het laatste onderdeel is daarom vergeefs voorgesteld. 5.26