News Update Class Actions

Onlangs heeft de rechtbank Amsterdam een uitspraak gedaan in een collectieve actie tegen drie Facebookentiteiten. Dit is de eerste einduitspraak in Nederland in een collectieve actie over de verwerking van persoonsgegevens. In de uitspraak wordt uitvoerig ingegaan op een groot aantal geschilpunten. De rechtbank oordeelde dat Facebook Ireland in de periode van 1 april 2010 tot 1 januari 2020 op onrechtmatige wijze persoonsgegevens van Nederlandse Facebookgebruikers voor advertentiedoeleinden heeft verwerkt. Voor deze verwerking bestond geen rechtsgeldige grondslag. Bovendien zijn de gebruikers hierover niet goed geïnformeerd, wat niet alleen onrechtmatig is maar ook een oneerlijke handelspraktijk. De uitspraak is van groot belang voor techbedrijven, nu zij met succes blijken te kunnen worden aangesproken in een actie waarin de privacybelangen van miljoenen personen zijn vertegenwoordigd. 

Inleiding

In 2019 is de stichting Data Privacy Stichting (de "Stichting") een collectieve procedure gestart tegen Facebook Netherlands, Facebook Ireland (nu: Meta Platforms Ireland) en moedermaatschappij Facebook Inc. (nu: Meta Platforms, Inc.). De Stichting wordt gesteund door de Consumentenbond en komt op voor de belangen van Nederlandse Facebookgebruikers die tussen 1 april 2010 en 1 januari 2020 gebruik hebben gemaakt van de Facebookdienst (de "gebruikers"). Aangezien de procedure is gestart voor 1 januari 2020 valt deze onder het oude collectieve actierecht waarin geen schadevergoeding kan worden gevorderd. De Stichting vorderde dan ook louter verklaringen voor recht dat – in de kern – de Facebookentiteiten toerekenbaar onrechtmatig jegens de gebruikers hebben gehandeld door persoonsgegevens van de gebruikers voor advertentiedoeleinden aan derden beschikbaar te stellen en de gebruikers daarover onvoldoende te informeren. Het uiteindelijke doel van de Stichting is het verkrijgen van schadevergoeding voor de gebruikers. Deze zou nader in een schikking of vervolgprocedures kunnen worden vastgesteld. 

Aan deze collectieve actie ging een onderzoeksrapport van de Autoriteit Persoonsgegevens (AP) uit 2017 vooraf, waarin dezelfde punten aan de orde kwamen. De AP had geconcludeerd dat het Facebookconcern op meerdere punten in strijd handelde met de Wet bescherming persoonsgegevens (Wbp), maar ging niet over tot handhaving. De Wbp, waarin de Privacyrichtlijn (Richtlijn 95/46/EG) is geïmplementeerd, is van toepassing op de vorderingen van de Stichting voor zover deze zien op de periode van 1 april 2010 tot 25 mei 2018. De vorderingen die zien op de periode vanaf 25 mei 2018 worden beoordeeld op grond van de Algemene Verordening Gegevensbescherming (AVG) (verordening (EU) nr. 2016/679, AVG). 

Voorvragen

De rechtbank Amsterdam had zich in een tussenvonnis reeds bevoegd verklaard om van de vorderingen tegen de drie Facebook-entiteiten kennis te nemen. Ook had zij de Stichting ontvankelijk verklaard, en daarbij onder meer geoordeeld dat de belangen van de gebruikers voldoende zijn gewaarborgd door de Stichting. De rechtbank oordeelde ook dat de belangen voldoende gelijksoortig zijn om in een collectieve procedure te worden behandeld. Een oordeel over de verwerking van persoonsgegevens van een groep personen kan volgens de rechtbank worden gegeven zonder alle bijzondere omstandigheden van de personen in die groep in aanmerking te nemen. De rechtbank oordeelde eveneens dat mogelijke verjaring niet in de weg staat aan de gelijksoortigheid. 

In het eindvonnis verwierp de rechtbank vervolgens het beroep van de Facebookentiteiten op de korte verjaringstermijn van vijf jaar, omdat niet kon worden vastgesteld dat alle gebruikers voor 30 december 2014 (vijf jaar voordat de collectieve procedure aanhangig werd) zowel met de schade als met de aansprakelijke persoon daadwerkelijk bekend waren geweest. Voor die datum was nog niet in volle omvang bekend hoe en in welke mate de Facebookentiteiten de persoonsgegevens precies verwerkten en kon evenmin worden vastgesteld dat (mogelijke) schade zich toen al bij alle gebruikers had voorgedaan. De rechtbank verwierp ook het verweer dat de Stichting geen belang had bij de verklaringen voor recht, omdat zij de mogelijkheid van schade voor de gebruikers niet aannemelijk zou hebben gemaakt. Volgens de rechtbank leiden de door de Stichting gestelde privacyschendingen niet zonder meer tot schade, maar kan de mogelijkheid van schade ook niet op voorhand en in algemene zin worden uitgesloten. Dit achtte de rechtbank in het kader van deze collectieve actie voldoende voor de mogelijkheid dat schade aannemelijk is.

Inhoudelijke beoordeling

Wie is verwerkingsverantwoordelijke?
Een (rechts)persoon is op grond van de Wbp en de AVG verantwoordelijk voor een gegevensverwerking als deze, alleen of met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Niet in geschil was dat Facebook Ireland als verwerkingsverantwoordelijke kon worden beschouwd, omdat zij degene is die "primair het doel van en de middelen voor de verwerking van de persoonsgegevens van de Nederlandse Facebookgebruikers vaststelt", aldus de rechtbank. Facebook Netherlands en Facebook Inc. achtte de rechtbank geen medeverwerkingsverantwoordelijken, omdat niet duidelijk is gebleken voor welke verwerkingen en op welke wijze deze entiteiten dan de middelen en het doel van de verwerking zouden vaststellen. Dit betekent dat alleen de rechtmatigheid van het handelen van Facebook Ireland werd beoordeeld. 

Informeren over gegevensverwerking ten behoeve van externe ontwikkelaars
De eerste gevorderde verklaring voor recht berust op de stelling dat Facebook Ireland de gebruikers onvoldoende heeft geïnformeerd over de toegang tot persoonsgegevens door externe ontwikkelaars (art. 33-34 Wbp en art. 12-14 AVG). Uit de tekst van de Wbp en AVG leidde de rechtbank af dat op Facebook Ireland de bewijslast rust dat zij wel heeft voldaan aan haar informatieverplichtingen. In het algemeen overwoog de rechtbank dat de verwerkingsverantwoordelijke de benodigde informatie actief en ongevraagd moet verstrekken en in het algemeen niet kan volstaan met het mededelen van zijn identiteit en de doeleinden van de verwerking omdat nadere informatie nodig is voor een behoorlijke en zorgvuldige verwerking. Hoever die informatieverplichting strekt is mede afhankelijk van de vraag of het initiatief tot contact wordt genomen door de verwerkingsverantwoordelijke, op wie een extra verantwoordelijkheid tot informeren rust, of door de betrokkene. De rechtbank concludeerde dat Facebook Ireland onrechtmatig heeft gehandeld door de informatieverplichtingen te schenden met betrekking tot specifieke gegevensverwerkingen. Voor de toegang die Cambridge Analytica verkreeg tot persoonsgegevens van gebruikers kon Facebook Ierland niet verantwoordelijk worden gehouden, omdat die gegevens niet direct van Facebook Ierland werden verkregen maar van een externe ontwikkelaar.

Geen grondslag voor verwerking gewone persoonsgegevens voor advertentiedoeleinden
De rechtbank oordeelde tevens dat voor de verwerking van persoonsgegevens voor adverten-tiedoeleinden geen grondslag bestond. Facebook Ireland heeft de persoonsgegevens daarom onrechtmatig verwerkt. De rechtbank beoordeelde drie verwerkingsgrondslagen: contractuele noodzaak (art. 8 aanhef en onder b Wbp en art. 6 lid 1 onder a AVG), toestemming (art. 8 aanhef en onder a Wbp) en gerechtvaardigd belang (art. 8 aanhef en onder f Wbp). De bewijslast dat sprake is van een geldige grondslag rust zowel onder de Wbp als de AVG op Facebook Ireland.

Facebook Ireland had betoogd dat de verwerking van persoonsgegevens noodzakelijk was voor de uitvoering van de overeenkomst tussen haar en de gebruiker, omdat – zoals ook uit de Gebruikersvoorwaarden zou blijken – de Facebookdienst een gepersonaliseerde dienst is die mede gerichte advertenties omvat. De rechtbank oordeelde echter dat het meest wezenlijke kenmerk van de overeenkomst het aanbieden van een profiel op een sociaal netwerk is. Dat Facebook Ireland haar gebruikers ook gepersonaliseerde advertenties toonde is van ondergeschikt belang. De rechtbank achtte daarom geen contractuele noodzaak aanwezig.

De rechtbank concludeerde dat Facebook Ireland evenmin rechtsgeldige toestemming heeft verkregen voor de gegevensverwerking voor advertentiedoeleinden, nu toestemming met het oog op de aanvaarding van die verwerking vrij, specifiek, geïnformeerd en ondubbelzinnig moest zijn gegeven.

Tot slot had Facebook Ireland aangevoerd dat zij de Facebookdienst gratis kon aanbieden dankzij de advertenties en dat het bedrijfsmodel is gebaseerd op de verkoop daarvan. Over de vraag of commerciële belangen een gerechtvaardigd belang kunnen vormen moet het Europese Hof van Justitie zich nog uitspreken. De rechtbank sloot dit niet op voorhand uit. Facebook Ireland had echter niet aangetoond dat de gegevensverwerking voor advertentiedoeleinden vol-deed aan de eisen van proportionaliteit en subsidiariteit. Van een gerechtvaardigd belang vond de rechtbank daarom geen sprake.

Verwerking van bijzondere persoonsgegevens
De rechtbank oordeelde voorts dat Facebook Ireland ook bijzondere persoonsgegevens, zoals gegevens over gezondheid en levensovertuiging, heeft verwerkt voor advertentiedoeleinden. Facebook leidde deze gegevens af uit de onverplicht in te vullen profielvelden en het surfgedrag van de gebruikers. Het verwerken van bijzondere persoonsgegevens is krachtens art. 16 Wbp en art. 9 AVG, op een aantal uitzonderingen na zoals het verkrijgen van uitdrukkelijke toestemming, verboden. Het was aan Facebook Ireland om te bewijzen dat van een uitzondering sprake was maar hierin is zij niet geslaagd. Het feit dat niet elke gebruiker profielvelden heeft ingevuld staat niet in de weg aan de toewijzing van de verklaring voor recht dat deze inbreuk onrechtmatig is. Het gaat er in deze collectieve procedure om dat een gebruiker op grond van het oordeel van de rechtbank kan vaststellen of sprake is van een schending van diens privacy, aldus de rechtbank onder verwijzing naar haar tussenvonnis.

Informatie en toestemming m.b.t. tracking cookies
In geschil was ook de vraag of Facebook Ireland had voldaan aan het informatie- en toestem-mingsvereiste met betrekking tot tracking cookies ('third-party-cookies') die zij deed plaatsen op websites van derden om daarmee het surfgedrag van gebruikers buiten de Facebookdienst te volgen (art. 11.7a Telecommunicatiewet, art. 5 lid 3 E-Privacyrichtlijn (2002/58EG)). De rechtbank oordeelde dat de verplichtingen uit de Telecommunicatiewet in beginsel rustten op Facebook Ireland omdat zij de cookies liet plaatsen op de website van een derde. Volgens Facebook Ire-land had zij echter met de website-exploitanten afgesproken dat deze de benodigde informatie zouden verstrekken en toestemming zouden verkrijgen, zodat Facebook Ireland dat niet ook hoefde te doen. De rechtbank wees de vordering van de Stichting op dit punt af omdat deze stelling onvoldoende was weersproken, noch was aangevoerd dat Facebook Ireland niet zou toezien op de naleving van deze verplichtingen door de website-exploitanten. Facebook Ireland diende wel een rechtsgeldige grondslag te hebben voor de verwerking ten van de persoonsge-gevens die zij via de cookies verkreeg. Die had zij in dit geval echter niet, aldus de rechtbank.

Oneerlijke handelspraktijk
De schending van privacywetgeving kan tegelijkertijd een schending inhouden van andere regel-geving (zie HvJEU 28 april 2022, C-319-20, ECLI:EU:C:2022:322 (Meta). In dit geval leverde de schending van de informatieplichten ook een oneerlijke handelspraktijk op in de zin van Richtlijn 2005/29/EG (geïmplementeerd in art. 6:193a e.v. BW). De rechtbank oordeelde dat het gebrek aan informatie bij het aangaan van de overeenkomst over de omstandigheid dat persoonsgegevens die de consument aan handelaar Facebook Ireland verstrekt om toegang te krijgen tot de Facebookdienst voor advertentiedoeleinden worden gebruikt, een misleidende omissie van essentiële informatie is die de gemiddelde consument nodig heeft om tot een geïnformeerd besluit te komen om aan de Facebookdienst te kunnen deelnemen (art. 6:193d BW). Het feit dat de Facebookdienst als 'gratis' wordt aangeprezen is op zich niet misleidend omdat de gebruikers geen geld hoeven te betalen, maar draagt wel bij aan de onduidelijkheid over het bedrijfsmodel, aldus de rechtbank. Facebook Ireland heeft daarom ook vanwege een oneerlijke handelspraktijk onrechtmatig gehandeld. De rechtbank voegde hieraan toe dat vragen van causaal verband pas bij de vaststelling van aansprakelijkheid jegens een individuele consument aan de orde komen.

Vervolg

Meta heeft via de pers laten weten in hoger beroep te gaan van deze uitspraak. Daarin komen ongetwijfeld ook de oordelen over de ontvankelijkheid van de Stichting uit het tussenvonnis aan de orde. De Stichting is van plan een tweede rechtszaak tegen Facebook te starten over het doorsturen van persoonsgegevens van Europese gebruikers naar de Verenigde Staten.

Rechtbank Amsterdam 15 maart 2023, ECLI:NL:RBAMS:2023:1407
Rechtbank Amsterdam 30 juni 2021, ECLI:NL:RBAMS:2021:3307