Uitspraak
vonnis
RECHTBANK AMSTERDAM
Afdeling privaatrecht
zaaknummer / rolnummer: C/13/688682 / HA ZA 20-863
Vonnis van 29 december 2021 (bij vervroeging)
in de zaak van
de stichting
THE PRIVACY COLLECTIVE,
gevestigd te Amsterdam,
eiseres,
advocaat mr. F.M. Peters te Amsterdam,
tegen
1. de besloten vennootschap met beperkte aansprakelijkheid
ORACLE NEDERLAND B.V.,
gevestigd te Utrecht,
gedaagde,
advocaat mr. M.H. de Boer te Amsterdam,
2. de besloten vennootschap met beperkte aansprakelijkheid
SFDC NETHERLANDS B.V.,
gevestigd te Amsterdam,
gedaagde,
advocaat mr. G.H. Potjewijd te Amsterdam,
3. de rechtspersoon naar buitenlands recht
ORACLE CORPORATION,
gevestigd te Austin (Verenigde Staten van Amerika),
gedaagde,
advocaat mr. M.H. de Boer te Amsterdam,
4. de rechtspersoon naar buitenlands recht
ORACLE AMERICA, INC.,
gevestigd te Redwood Shores (Verenigde Staten van Amerika),
gedaagde,
advocaat mr. M.H. de Boer te Amsterdam,
5. de rechtspersoon naar buitenlands recht
SALESFORCE.COM, INC.,
gevestigd te San Francisco (Verenigde Staten van Amerika),
gedaagde,
advocaat mr. G.H. Potjewijd te Amsterdam.
Eiseres wordt hierna TPC genoemd. Gedaagden worden afzonderlijk aangeduid als Oracle Nederland, SFDC Netherlands, Oracle Corporation, Oracle America en Salesforce.com. Gedaagden onder 1, 3 en 4 worden samen (in vrouwelijk enkelvoud) Oracle genoemd. Gedaagden onder 2 en 5 worden samen (in vrouwelijk enkelvoud) Salesforce genoemd.
1.De procedure
1.1.
Het verloop van de procedure blijkt uit:
- het tussenvonnis van 16 juni 2021,
- de brief van TPC van 25 juni 2021,
- de brief van Oracle van 1 juli 2021,
- de brief van Salesforce van 2 juli 2021,
- de rolbeslissing van 21 juli 2021,
- de akte uitlating verweren op grond van de AVG en de Telecommunicatiewet van TPC van 15 september 2021,
- het proces-verbaal van mondelinge behandeling van 15 november 2021 en de daarin vermelde stukken.
1.2.
Partijen zijn in de gelegenheid gesteld om opmerkingen te maken over het buiten hun aanwezigheid opgestelde proces-verbaal van mondelinge behandeling.
Mr. S. van Schaik heeft namens TPC van deze gelegenheid gebruik gemaakt bij brief van
6 december 2021. Dit vonnis wordt gewezen met inachtneming van deze opmerkingen.
1.3.
Ten slotte is een datum voor vonnis bepaald. Dit vonnis wordt bij vervroeging uitgesproken.
2.Waar deze zaak over gaat
2.1.
Deze zaak heeft betrekking op persoonsgegevens van Nederlandse internetgebruikers. Volgens TPC verzamelen Oracle en Salesforce in het kader van een dienst, die Data Management Platform (hierna: DMP) wordt genoemd, persoonsgegevens van internetgebruikers, verwerken zij deze in gedetailleerde profielen en verkopen zij deze informatie aan derden om hen onder meer in staat te stellen gepersonaliseerde advertenties aan te bieden op websites.
Deze gegevensverzameling begint volgens TPC met het door Oracle en Salesforce plaatsen van een cookie op de randapparatuur van de internetgebruiker. Met behulp van de cookie worden persoonsgegevens verzameld. Oracle en Salesforce verrijken de via de cookie verzamelde gegevens en andere unieke identificatoren met informatie uit alternatieve bronnen. Volgens TPC bouwen Oracle en Salesforce op dagelijkse basis aan een profiel, zodat een zo volledig mogelijk overzicht ontstaat van de karaktereigenschappen en interesses van de betreffende persoon. Het doel van de gegevensverwerkingen is onder meer om het profiel van de internetgebruiker te delen in een proces dat Real Time Bidding (hierna: “RTB”) wordt genoemd. Hierbij wordt het profiel van de internetgebruiker aangeboden aan adverteerders, teneinde gepersonaliseerde advertenties op websites te tonen. Oracle en Salesforce spelen met hun DMP-dienst een cruciale rol in het RTB-proces, aldus TPC.
Deze gegevensverzameling begint volgens TPC met het door Oracle en Salesforce plaatsen van een cookie op de randapparatuur van de internetgebruiker. Met behulp van de cookie worden persoonsgegevens verzameld. Oracle en Salesforce verrijken de via de cookie verzamelde gegevens en andere unieke identificatoren met informatie uit alternatieve bronnen. Volgens TPC bouwen Oracle en Salesforce op dagelijkse basis aan een profiel, zodat een zo volledig mogelijk overzicht ontstaat van de karaktereigenschappen en interesses van de betreffende persoon. Het doel van de gegevensverwerkingen is onder meer om het profiel van de internetgebruiker te delen in een proces dat Real Time Bidding (hierna: “RTB”) wordt genoemd. Hierbij wordt het profiel van de internetgebruiker aangeboden aan adverteerders, teneinde gepersonaliseerde advertenties op websites te tonen. Oracle en Salesforce spelen met hun DMP-dienst een cruciale rol in het RTB-proces, aldus TPC.
Daarnaast stelt TPC dat de privacy van Nederlandse internetgebruikers is geschonden door een datalek bij Oracle.
2.2.
Volgens Oracle worden cookies geplaatst door de website die de internetgebruiker bezoekt en kan een website uitsluitend cookies plaatsen voor de browser die wordt gebruikt om de website te bezoeken. De beslissing om wel of geen cookies te gebruiken - en zo ja, welke cookies - wordt altijd enkel genomen door de websitehouder.
Oracle betwist dat de DMP-dienst cruciaal is voor het door TPC gestelde doel van het RTB-proces. Oracle betwist dat zij advertentiediensten verleent. Het enige dat Oracle doet, is klanten een middel bieden om gesegmenteerde interesseprofielen van gebruikers te creëren en deze profielen vervolgens geschikt te maken voor filtering.
Volgens Oracle is van een datalek geen sprake geweest, hooguit van een beveiligingsincident. Gedurende een periode van vijf dagen in mei 2020 was het voor ongeautoriseerde personen mogelijk om toegang te verkrijgen tot een zogenaamde ongestructureerde database van Oracle America. Dat betekent nog niet dat data zijn gelekt op het internet, aldus Oracle.
2.3.
Salesforce betoogt dat zij niet als datahandelaar opereert. Zij biedt haar klanten een DMP aan, genaamd Audience Studio, waarmee klanten na aanschaf zelf bepalen hoe zij hun interacties met internetgebruikers organiseren. Salesforce heeft geen inzage of inzicht in de persoonsgegevens die haar klanten met behulp van Audience Studio verwerken. Salesforce verzamelt via dit softwareproduct geen persoonsgegevens voor eigen commerciële doeleinden. Salesforce heeft geen toegang tot die informatie, aldus Salesforce.
2.4.
In deze fase van de procedure gaat de rechtbank niet in op de inhoud van de zaak, omdat eerst beslist moet worden of TPC ontvankelijk is in haar vorderingen.
3.De feiten
3.1.
TPC is opgericht op 29 mei 2020. De statuten van TPC luiden - voor zover in dit geding van belang - als volgt:
“Doel en middelen:Artikel 31. De Stichting heeft ten doel het behartigen van belangen van natuurlijke personen die gebruikmaken van het internet door te surfen op het internet en/of door gebruik te maken van producten en/of diensten die persoonsgegevens in digitale vorm kunnen opslaan, overdragen of verwerken, waardoor jegens die internetgebruikers op enig moment een schending van hun recht op bescherming van hun privacy of hun recht op bescherming van hun persoonsgegevens plaatsvindt of heeft plaatsgevonden, een en ander in de ruimste zin van het woord.”
3.2.
Oracle en Salesforce zijn internationale ondernemingen die softwarediensten aanbieden aan klanten die gebruik willen maken van hun DMP-diensten.
3.3.
Bij aangetekende brieven van 3 juni 2020 heeft TPC Oracle en Salesforce aansprakelijk gesteld voor de door haar achterban geleden schade als gevolg van de inbreuken op het recht op bescherming van privacy en het recht op bescherming van persoonsgegevens. TPC heeft Oracle en Salesforce daarbij uitgenodigd om met haar in onderhandeling te treden over het toekennen van een redelijke vergoeding voor de door de achterban van TPC geleden schade.
3.4.
Naar aanleiding van deze brieven heeft op 3 juli 2020 overleg plaatsgevonden tussen TPC en Salesforce. Op 7 juli 2020 heeft eenzelfde overleg plaatsgevonden tussen TPC en Oracle.
3.5.
TPC maakt gebruik van de website www.theprivacycollective.nl. Op haar website heeft TPC de volgende tekst geplaatst:
Door op de tekst ‘steun met 1 klik’ met het duimpje (hierna: de steunknop) te klikken (hierna ook wel
likengenoemd) kunnen internetgebruikers hun steun betuigen.
likengenoemd) kunnen internetgebruikers hun steun betuigen.
4.Het geschil
4.1.
De vorderingen van TPC, na eiswijziging, worden hieronder gedeeltelijk en zeer kort samengevat weergegeven. In Bijlage I bij dit vonnis zijn de vorderingen van TPC integraal en woordelijk opgenomen.
4.2.
TPC vordert dat de rechtbank bij uitvoerbaar bij voorraad te verklaren vonnis TPC aanwijst als exclusieve belangenbehartiger in de zin van artikel 1018e lid 1 van het Wetboek van Burgerlijke Rechtsvordering (Rv) en bepaalt dat deze collectieve actie op de navolgende groepen van natuurlijke personen betrekking heeft:
a. de groep van natuurlijke personen die door Oracle is benadeeld (hierna: de Oracle Groep) en die bestaat uit: i. alle natuurlijke personen die ii. een of meer computer(s) met internettoegang of andere randapparatuur in de zin van de Telecommunicatiewet in gebruik hebben, of hebben gehad, en iii. waarop een cookie met de naam ‘ [naam] ’ geplaatst is of is geweest, iv. op een moment of gedurende een periode dat zij in Nederland woonden of verbleven, na inwerkingtreding van de Algemene verordening gegevensbescherming (AVG) in deze zaak; en
b. de groep van natuurlijke personen die door Salesforce is benadeeld (hierna: de Salesforce Groep) en die bestaat uit: i. alle natuurlijke personen, die ii. een of meer computer(s) met internettoegang of andere randapparatuur in de zin van de Telecommunicatiewet in gebruik hebben, of hebben gehad, en iii. waarop een cookie met de naam ‘_ [naam] _’ geplaatst is of is geweest, iv. op een moment of gedurende een periode dat zij in Nederland woonden of verbleven, na het van toepassing zijn van de AVG in deze zaak.
4.3.
TPC vordert een verklaring voor recht dat Oracle en Salesforce jegens ieder lid van de Oracle Groep en/of de Salesforce Groep in strijd handelen met de in het lichaam van de dagvaarding bedoelde fundamentele rechten, de AVG en/of de Telecommunicatiewet, en ieder van Oracle Nederland, Oracle Corporation, Oracle America, SFDC Netherlands en Salesforce.com hoofdelijk aansprakelijk is jegens elk lid van de Oracle Groep en de Salesforce Groep op grond van artikel 82 AVG en/of artikel 6:162 van het Burgerlijk Wetboek (BW), althans artikel 6:212 BW, voor de door ieder van die leden geleden en nog te lijden schade,
althans dat Oracle jegens elk lid van de Oracle Groep op grond van artikel 82 AVG en/of artikel 6:162 BW althans artikel 6:212 BW hoofdelijk aansprakelijk is voor de door ieder van die leden geleden en nog te lijden schade en
dat Salesforce jegens elk lid van de Salesforce Groep op grond van artikel 82 AVG en/of artikel 6:162 BW althans artikel 6:212 BW hoofdelijk aansprakelijk is voor de door ieder van die leden geleden en nog te lijden schade.
4.4.
Verder vordert TPC dat de rechtbank Oracle en Salesforce, ieder afzonderlijk, verbiedt jegens ieder lid van de Oracle Groep en/of de Salesforce Groep in strijd te handelen met:
i. de AVG en/of de artikelen 7, 8 en/of 11 van het Handvest van de grondrechten van de Europese Unie en/of de artikelen 8 en/of 10 van het Europees Verdrag voor de Rechten van de Mens en/of de artikelen 7 en/of 10 van de Grondwet,
ii. artikel 11.7a Telecommunicatiewet,
iii. artikel 6 AVG,
iv. artikel 5 lid 1 sub a, 12, 13 en/of 14 AVG,
v. artikel 5 lid 1 sub c AVG en
vi. de artikelen 44, 45, 46 en/of 47 AVG.
4.5.
Voor de gestelde privacyschending vordert TPC van Oracle en Salesforce een schadevergoeding van € 5 miljard voor de Oracle Groep en van € 5 miljard voor de Salesforce Groep, althans een schadevergoeding van € 500 per internetgebruiker. Verder vordert TPC een schadevergoeding van € 100 per internetgebruiker vanwege het gestelde datalek bij Oracle. Daarnaast vordert TPC veroordeling van Oracle en Salesforce tot betaling van de proceskosten, de buitengerechtelijke incassokosten, de volledige aan de financier te betalen overeengekomen vergoedingen en de kosten voor het afwikkelen van de collectieve schade.
4.6.
Oracle en Salesforce voeren verweer en concluderen primair tot niet-ontvankelijkverklaring van TPC in haar vorderingen en subsidiair tot afwijzing van de vorderingen. Het verweer van Oracle en/of Salesforce ziet kort weergegeven op de volgende onderwerpen:
de bevoegdheid van TPC om op grond van de AVG schadevergoeding te vorderen wegens de gestelde schending van de AVG;
de eisen die artikel 80 AVG stelt ten aanzien van belangenorganisaties;
de (meer) subsidiaire grondslagen van onrechtmatige daad en ongerechtvaardigde verrijking;
e vereisten van artikel 1018c lid 5 onder c Rv;
de vereisten van artikel 3:305a lid 1 tot en met 3 BW, waaronder het representativiteitsvereiste en ten aanzien van het gestelde datalek de vraag of de vordering tegen Oracle een voldoende nauwe band met de Nederlandse rechtssfeer heeft en is voldaan aan het overlegvereiste.
4.7.
Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.
5.De beoordeling
Relevante wet- en regelgeving
5.1.
Een selectie van de in dit geding relevante regels is opgenomen in Bijlage 2 bij dit vonnis.
Rechtsmacht en toepasselijk recht
5.2.
De rechtbank dient ambtshalve te onderzoeken of aan haar rechtsmacht toekomt ten aanzien van de in het buitenland gevestigde gedaagden Oracle Corporation, Oracle America en Salesforce.com. Deze gedaagden zijn in de procedure verschenen zonder de bevoegdheid van de Nederlandse rechter te betwisten, zodat deze rechtbank zich (internationaal) bevoegd acht om kennis te nemen van het geschil tussen TPC en Oracle Corporation, Oracle America en Salesforce.com (artikel 26 lid 1 van de Brussel I-bis Verordening [1] ).
5.3.
De vraag of TPC als 305a-organisatie ontvankelijk is jegens Oracle en Salesforce moet op de voet van artikel 10:3 BW worden beantwoord naar Nederlands recht. Dit geldt ongeacht het recht dat van toepassing is op de vorderingen van TPC jegens Oracle Corporation, Oracle America en Salesforce.com. Dit is tussen partijen ook niet in geschil.
Ontvankelijkheid
5.4.
Met ingang van 1 januari 2020 is de Wet afwikkeling Massaschade in collectieve actie (hierna: WAMCA) in werking getreden. De bepalingen van de WAMCA zijn van toepassing op collectieve acties ten aanzien van gebeurtenissen op of na 15 november 2016 die worden ingesteld na inwerkingtreding van de WAMCA. De bepalingen van de WAMCA zijn van toepassing op de onderhavige collectieve actie.
5.5.
De ontvankelijkheidseisen voor belangenorganisaties voor het instellen van een collectieve vordering zijn met de inwerkingtreding van de WAMCA ten opzichte van het vóór 2020 geldende recht aangescherpt op het punt van een goede governance, financiering en representativiteit. De inhoudelijke behandeling van de collectieve vordering vindt op grond van artikel 1018c lid 5 Rv slechts plaats indien en nadat de rechter (onder meer) heeft beslist dat de eiser voldoet aan de ontvankelijkheidseisen van artikel 3:305a lid 1 tot en met 3 BW. Artikel 3:305a BW bepaalt dat de belangen van degenen waarvoor de belangenorganisatie opkomt voldoende dienen te zijn gewaarborgd (lid 1, uitgewerkt in lid 2), de rechtsvordering een voldoende nauwe band heeft met de Nederlandse rechtssfeer (lid 3 sub b) en de belangenorganisatie in de gegeven omstandigheden voldoende heeft getracht het gevorderde door het voeren van overleg met de verweerder te bereiken (lid 3 sub c).
5.6.
Oracle en Salesforce betogen dat TPC niet voldoet aan verschillende voorwaarden van artikel 3:305a BW.
Representativiteitseis
Het standpunt van TPC
5.7.
TPC stelt dat gezien haar statutaire doel haar achterban wordt gevormd door (in beginsel) alle natuurlijke personen in Nederland die gebruikmaken van het internet. Uit cijfers van het Centraal Bureau voor de Statistiek leidt TPC af dat er in 2019 ongeveer 13,25 miljoen inwoners van 12 jaar of ouder waren die vrijwel dagelijks gebruikmaken van het internet. Op de website van TPC kan de achterban haar steun kenbaar maken door te klikken op de steunknop (zie onder 3.5). Meer dan 75.000 personen hebben dat inmiddels gedaan. Ook de steunbetuigingen die zijn ontvangen na het uitbrengen van de dagvaarding zijn relevant. De steun die wordt gegeven via de knop op de website is niet anoniem, omdat het IP-adres van de bezoeker wordt vastgelegd. Op basis van de IP-adressen kan TPC vaststellen hoeveel unieke internetgebruikers op de steunknop hebben geklikt. Volgens TPC is het niet nodig dat kan worden vastgesteld om welke personen het gaat. TPC wil zich houden aan het beginsel van dataminimalisatie. Het vastleggen van verdere gegevens is onnodig en zou strijdig zijn met de bepalingen van de AVG. Het laten registreren van het e-mailadres is optioneel.
De mate van representativiteit kan worden vastgesteld op basis van verschillende indicaties. Van minstens zo groot belang als de steunbetuigingen via de knop op de website is dat TPC wordt gesteund door nagenoeg alle privacy-organisaties in Nederland. TPC communiceert verder op verschillende manieren met haar achterban, zoals via de website en nieuwsbrieven en door het publiceren van artikelen en het houden van voordrachten op congressen.
Aan het vereiste van representativiteit is ook voldaan ten aanzien van de vordering vanwege het datalek bij Oracle. Daarvoor is geen afzonderlijke steunknop op de website aanwezig, maar op de website, zoals onder de Frequently Asked Questions, wordt het datalek wel genoemd. Waar het om gaat, is dat de zaak als zodanig wordt gesteund. Daaronder valt ook de vordering die ziet op het datalek, aldus TPC.
Het standpunt van Oracle
5.8.
Van een rechtens relevante achterban is volgens Oracle geen sprake. TPC heeft niet laten zien hoeveel (relevante) internetgebruikers zij tot haar achterban mag rekenen. Voor een actie als de onderhavige mag geen steun worden verworven door middel van het
liken. Indien via de steunknop de actie van TPC wordt
geliket, is niet duidelijk waaraan een persoon zijn steun verleent. TPC weet niet wie haar achterban is, omdat degenen die op de steunknop klikken geen naam en contactgegevens opgeven. TPC kan niet beoordelen of die personen behoren tot de groepen van personen voor wie TPC in deze procedure stelt op te komen.
Met het aantal
likeskort na het uitbrengen van de dagvaarding (2.282) is niet voldaan aan het vereiste van representativiteit. Dat dit aantal na het uitbrengen van de dagvaarding is toegenomen, is niet relevant. TPC moest in haar dagvaarding toelichten dat zij voldeed aan de eisen van ontvankelijkheid, waaronder die van voldoende representativiteit.
Het systeem van
likenis verder onbetrouwbaar. Eenzelfde persoon kan vanaf een IP-adres meerdere keren achter elkaar
liken, met gebruikmaking van verschillende browsers en vanaf verschillende apparaten. Ook kan na het verwijderen van cookies oneindig vaak worden
geliket, ook vanuit het buitenland. Daarom kan niet worden afgegaan op het aantal
likes. Ervan uitgaande dat TPC opkomt voor de belangen van tien miljoen Nederlandse internetgebruikers, kan niet worden gesproken van voldoende representativiteit. De steun van belangenorganisaties die TPC noemt, is niet concreet en deels afkomstig van internationale organisaties.
liken. Indien via de steunknop de actie van TPC wordt
geliket, is niet duidelijk waaraan een persoon zijn steun verleent. TPC weet niet wie haar achterban is, omdat degenen die op de steunknop klikken geen naam en contactgegevens opgeven. TPC kan niet beoordelen of die personen behoren tot de groepen van personen voor wie TPC in deze procedure stelt op te komen.
Met het aantal
likeskort na het uitbrengen van de dagvaarding (2.282) is niet voldaan aan het vereiste van representativiteit. Dat dit aantal na het uitbrengen van de dagvaarding is toegenomen, is niet relevant. TPC moest in haar dagvaarding toelichten dat zij voldeed aan de eisen van ontvankelijkheid, waaronder die van voldoende representativiteit.
Het systeem van
likenis verder onbetrouwbaar. Eenzelfde persoon kan vanaf een IP-adres meerdere keren achter elkaar
liken, met gebruikmaking van verschillende browsers en vanaf verschillende apparaten. Ook kan na het verwijderen van cookies oneindig vaak worden
geliket, ook vanuit het buitenland. Daarom kan niet worden afgegaan op het aantal
likes. Ervan uitgaande dat TPC opkomt voor de belangen van tien miljoen Nederlandse internetgebruikers, kan niet worden gesproken van voldoende representativiteit. De steun van belangenorganisaties die TPC noemt, is niet concreet en deels afkomstig van internationale organisaties.
Voor zover TPC haar vorderingen in deze groepsactie baseert op het beveiligingsincident, geldt het voorgaande eens te meer, nu de
likesdaarop niet zien, aldus Oracle.
likesdaarop niet zien, aldus Oracle.
Het standpunt van Salesforce
5.9.
Volgens Salesforce is de groep personen voor wie TPC stelt op te komen onvoldoende nauwkeurig afgebakend. TPC heeft niet omschreven voor welke groep internetgebruikers zij opkomt, nu zij tien miljoen internetgebruikers tot uitgangspunt neemt. De groep is daarnaast niet beperkt tot personen die in Nederland wonen en niet in tijd begrensd doordat TPC aansluit bij ‘na het van toepassing zijn van de AVG’. TPC heeft niet onderbouwd dat zij ten tijde van het uitbrengen van de dagvaarding door de groep voldoende werd gesteund. De
likesis TPC pas gaan verzamelen nadat de dagvaarding was uitgebracht. De manier waarop TPC de
likesverzamelt is een belangorganisatie onwaardig. De steun van belangenorganisaties kan niet in de plaats komen van de personen die de organisatie stelt te vertegenwoordigen, aldus Salesforce.
likesis TPC pas gaan verzamelen nadat de dagvaarding was uitgebracht. De manier waarop TPC de
likesverzamelt is een belangorganisatie onwaardig. De steun van belangenorganisaties kan niet in de plaats komen van de personen die de organisatie stelt te vertegenwoordigen, aldus Salesforce.
Het oordeel van de rechtbank
5.10.
De eis van representativiteit voorkomt dat een stichting of vereniging een rechtsvordering kan instellen zonder de ondersteuning van een achterban. Niet iedere willekeurige organisatie kan zich opwerpen als verdediger van de belangen van gedupeerden. Op voorhand moet duidelijk zijn dat zij opkomt voor een voldoende groot deel van de groep getroffen gedupeerden. Wat genoeg is, verschilt per geval en kan alleen worden bepaald in relatie tot het aantal gedupeerden. Dit kan bijvoorbeeld worden getoetst op basis van de bij een vereniging aangesloten leden of door middel van het aantal gedupeerden dat zich actief voor de vordering heeft aangemeld. [2]
5.11.
TPC dient feitelijk te onderbouwen hoeveel gedupeerden deze actie daadwerkelijk ondersteunen en aldus wat de omvang is van de door haar vertegenwoordigde vordering. Dat heeft TPC niet gedaan.
Op de website van TPC konden en kunnen bezoekers de steunknop aanklikken. Ten tijde van de mondelinge behandeling had TPC ruim 75.000 keer op deze manier een steunbetuiging verkregen.
Bij een bezoek aan de website van TPC verschijnt het onder 3.5 afgebeelde scherm met daarin de steunknop. In het scherm staat boven de steunknop dat wordt gevraagd “
steun te geven aan het voor de rechter slepen door TPC van twee techbedrijven voor het binnenslepen en verkopen van data van miljoenen Nederlanders, zonder toestemming”. Het enkel klikken op de steunknop betekent nog niet dat daarmee een steunbetuiging is verkregen zoals is beoogd met het representativiteitsvereiste. Informatie over de aard en de inzet van de procedure ontbreekt in het scherm. Hierin staat niet vermeld tegen welke partijen de actie is gericht. Oracle en Salesforce worden niet genoemd. Evenmin volgt hieruit dat een persoon door het aanklikken van de steunknop zich als gedupeerde aanmeldt voor deze collectieve actie of zal worden gerekend tot de achterban voor wie TPC in deze procedure opkomt. Een omschrijving van de gedupeerden voor wie TPC opkomt, ontbreekt. De conclusie van TPC dat meer dan 75.000 personen uit haar achterban hun steun kenbaar hebben gemaakt door te klikken op de steunknop, kan dan ook niet worden gevolgd. Gelet op de summiere informatie die bij de knop wordt gegeven, is niet kenbaar waarvoor de steun wordt gegeven. Hooguit kan worden gezegd dat degene die op de steunknop heeft geklikt zich kan vinden in de tekst die in het scherm staat. Dit wordt niet anders doordat TPC, zoals zij stelt, elders op haar website en via andere kanalen, zoals in nieuwsbrieven en op congressen, informatie verstrekt over deze procedure. TPC heeft niet inzichtelijk gemaakt dat de
likersop basis van die informatie steun hebben gegeven aan deze actie. Daartoe volstaat niet de stelling dat bezoekers moeite hebben gedaan door naar de website te gaan. De omvang van de vertegenwoordigde vorderingen is door de wijze waarop TPC steunbetuigingen heeft vergaard aldus niet inzichtelijk geworden.
steun te geven aan het voor de rechter slepen door TPC van twee techbedrijven voor het binnenslepen en verkopen van data van miljoenen Nederlanders, zonder toestemming”. Het enkel klikken op de steunknop betekent nog niet dat daarmee een steunbetuiging is verkregen zoals is beoogd met het representativiteitsvereiste. Informatie over de aard en de inzet van de procedure ontbreekt in het scherm. Hierin staat niet vermeld tegen welke partijen de actie is gericht. Oracle en Salesforce worden niet genoemd. Evenmin volgt hieruit dat een persoon door het aanklikken van de steunknop zich als gedupeerde aanmeldt voor deze collectieve actie of zal worden gerekend tot de achterban voor wie TPC in deze procedure opkomt. Een omschrijving van de gedupeerden voor wie TPC opkomt, ontbreekt. De conclusie van TPC dat meer dan 75.000 personen uit haar achterban hun steun kenbaar hebben gemaakt door te klikken op de steunknop, kan dan ook niet worden gevolgd. Gelet op de summiere informatie die bij de knop wordt gegeven, is niet kenbaar waarvoor de steun wordt gegeven. Hooguit kan worden gezegd dat degene die op de steunknop heeft geklikt zich kan vinden in de tekst die in het scherm staat. Dit wordt niet anders doordat TPC, zoals zij stelt, elders op haar website en via andere kanalen, zoals in nieuwsbrieven en op congressen, informatie verstrekt over deze procedure. TPC heeft niet inzichtelijk gemaakt dat de
likersop basis van die informatie steun hebben gegeven aan deze actie. Daartoe volstaat niet de stelling dat bezoekers moeite hebben gedaan door naar de website te gaan. De omvang van de vertegenwoordigde vorderingen is door de wijze waarop TPC steunbetuigingen heeft vergaard aldus niet inzichtelijk geworden.
5.12.
Bovendien registreert TPC de gegevens van de
likersniet. Zij beschikt enkel over een IP-adres van de bezoeker van de website die op de steunknop heeft geklikt. Een organisatie is volgens de wetgever weliswaar niet verplicht om een lijst met namen en gegevens van haar achterban over te leggen, maar zij dient wel nauwkeurig te omschrijven voor welke groep personen zij opkomt. [3] Het gevolg van het systeem van
likenis dat niet kan worden vastgesteld of degenen die via de steunknop een
likehebben gegeven, behoren tot de groepen die TPC vertegenwoordigt. Zo is onduidelijk of deze personen in de relevante periode een cookie van Oracle en Salesforce op hun apparatuur hebben gehad.
likersniet. Zij beschikt enkel over een IP-adres van de bezoeker van de website die op de steunknop heeft geklikt. Een organisatie is volgens de wetgever weliswaar niet verplicht om een lijst met namen en gegevens van haar achterban over te leggen, maar zij dient wel nauwkeurig te omschrijven voor welke groep personen zij opkomt. [3] Het gevolg van het systeem van
likenis dat niet kan worden vastgesteld of degenen die via de steunknop een
likehebben gegeven, behoren tot de groepen die TPC vertegenwoordigt. Zo is onduidelijk of deze personen in de relevante periode een cookie van Oracle en Salesforce op hun apparatuur hebben gehad.
Bij afwezigheid van nadere gegevens over haar achterban kan de rechtbank niet beoordelen of TPC beschikt over de steun van een relevante achterban (in de hiervoor bedoelde zin). Verder kan TPC niet (volledig) voldoen aan de ontvankelijkheidseisen van transparantie en governance, zoals het organiseren van deelname aan of vertegenwoordiging bij de besluitvorming door de personen voor wie de rechtsvordering is ingesteld (artikel 3:305a lid 2 onder b BW). Omdat TPC geen contactgegevens heeft geregistreerd van de personen die op de steunknop hebben geklikt, kan zij immers niet communiceren met de door haar gestelde achterban.
5.13.
Dat TPC de steun geniet van privacyorganisaties, maakt haar nog niet voldoende representatief. Een achterban in de zin van de WAMCA kan alleen bestaan uit benadeelden voor wiens belangen een eiser in een WAMCA-zaak opkomt. De organisaties die de actie van TPC ondersteunen zijn dat niet. Hun steun betekent niet meer dan dat zij sympathiek staan tegenover de ingestelde vorderingen, maar zij kunnen daarmee niet worden gezien als onderdeel van de achterban van TPC. De steunverklaringen van privacyorganisaties kunnen dus niet bijdragen aan het oordeel dat TPC voldoende representatief is.
Datalek Oracle
5.14.
Het voorgaande geldt eveneens voor de vorderingen die betrekking hebben op het gestelde datalek bij Oracle. Bij de steunknop op de website van TPC staat het datalek in het geheel niet vermeld. Dat een rechtens relevante achterban de actie die daarop is gericht ondersteunt, is reeds daarom niet gebleken.
5.15.
Daarnaast ontbreekt een voldoende band van de vordering met de Nederlandse rechtssfeer, zoals vereist in artikel 3:305a lid 3 sub b BW. De gebeurtenis heeft zich voorgedaan in de Verenigde Staten van Amerika. Daar bevindt zich de betreffende database van Oracle. TPC stelt dat het datalek enkel al vanwege de omvang van de database één van de grootste veiligheidsinbreuken in 2020 was. Het lek zag op de gegevens van een enorme groep betrokkenen. Volgens Oracle is in hoogstens achttien gevallen vastgesteld dat een persoonsgegeven in de betreffende database is te herleiden tot Nederland. Dat heeft TPC niet betwist. De rechtbank gaat daarom uit van het door Oracle genoemde aantal. Gelet op dit aantal kan niet worden gezegd dat het merendeel van de personen tot bescherming van wiens belangen de rechtsvordering strekt, zijn gewone verblijfplaats in Nederland heeft. TPC heeft geen bijkomende omstandigheden aangevoerd die wijzen op voldoende verbondenheid van de vordering met de Nederlandse rechtssfeer.
5.16.
Tot slot heeft geen overleg over het datalek plaatsgevonden tussen TPC en Oracle (artikel 3:305a lid 3 onder c BW). Vast staat dat het datalek niet wordt genoemd in de brief van TPC aan Oracle (3.3). Tijdens het overleg tussen TPC en Oracle op 7 juli 2020, zo is vastgesteld tijdens de mondelinge behandeling, heeft TPC over het datalek een vraag gesteld, maar partijen hebben daarover geen overleg gevoerd. Daarmee is ook niet voldaan aan het overlegvereiste.
Herstel?
5.17.
Nu de rechtbank van oordeel is dat het systeem van
likenniet voldoet, rijst de vraag of TPC in de gelegenheid moet worden gesteld alsnog aan te tonen dat haar vorderingen door een voldoende grote groep benadeelden wordt ondersteund, zodat zij voldoet aan het representativiteitsvereiste. Die vraag beantwoordt de rechtbank ontkennend.
likenniet voldoet, rijst de vraag of TPC in de gelegenheid moet worden gesteld alsnog aan te tonen dat haar vorderingen door een voldoende grote groep benadeelden wordt ondersteund, zodat zij voldoet aan het representativiteitsvereiste. Die vraag beantwoordt de rechtbank ontkennend.
Met de invoering van de WAMCA heeft de wetgever, zoals reeds overwogen, de ontvankelijkheidseisen voor belangenorganisaties in de zin van artikel 3:305a BW willen aanscherpen, onder andere op het punt van de representativiteit. Het vereiste van representativiteit is een zwaarwegend ontvankelijkheidsvereiste. Gelet daarop en gezien de eisen van een goede procesorde moet terughoudend worden omgegaan met het bieden van een herstelmogelijkheid. Slechts onder bijzondere omstandigheden kan anders worden geoordeeld. [4] Van bijzondere omstandigheden is in dit geval niet gebleken. Oracle en Salesforce hebben conclusies van antwoord over de ontvankelijkheid van TPC als 3:305a-organisatie en de summierlijke (on)deugdelijkheid als bedoeld in artikel 1018c lid 5 Rv genomen en partijen hebben hun standpunten hierover toegelicht tijdens de mondelinge behandeling. TPC heeft volhard in haar standpunt dat haar wijze van verzamelen van steunbetuigingen toereikend is in het kader van het representativiteitsvereiste. Onder deze omstandigheden bestaat geen ruimte om TPC alsnog te laten aantonen dat een rechtens relevante achterban haar vorderingen ondersteunt.
Slotsom
5.18.
Dit leidt ertoe dat TPC niet-ontvankelijk wordt verklaard in haar vorderingen, omdat zij niet voldoende representatief is. De rechtbank komt bij deze uitkomst niet toe aan de bespreking van de overige voorwaarden uit artikel 3:305a BW waarover een geschil tussen partijen bestaat.
Verhouding AVG en WAMCA en het recht op schadevergoeding uit artikel 82 AVG
5.19.
De rechtbank acht het van belang voor toekomstige WAMCA-zaken over privacyrechten om een geschilpunt te signaleren dat in deze zaak een belangrijk onderdeel van het debat tussen partijen is geweest. Dit is de vraag hoe de WAMCA en de AVG zich tot elkaar verhouden. Daarbij is gebleken dat TPC enerzijds en Oracle/Salesforce anderzijds artikel 80 AVG verschillend uitleggen. In de parlementaire geschiedenis van de WAMCA, de Uitvoeringswet AVG (UAVG) en de literatuur is tot op heden niet ingegaan op de vraag of artikel 80 AVG in de weg staat aan een collectieve vordering tot schadevergoeding wegens schending van de AVG.
5.20.
De AVG onderscheidt in artikel 80 twee vormen van belangenbehartiging: in lid 1 is de mogelijkheid geregeld voor betrokkenen om een orgaan, organisatie of vereniging zonder winstoogmerk
opdracht te gevenom namens hen de in artikelen 77, 78 en 79 bedoelde rechten uit te oefenen en namens hen het in artikel 82 bedoelde recht op schadevergoeding uit te oefenen.
In lid 2 is de mogelijkheid geregeld om
onafhankelijk van de opdracht van een betrokkeneeen klacht in te dienen en de in de artikelen 78 en 79 bedoelde rechten uit te oefenen.
opdracht te gevenom namens hen de in artikelen 77, 78 en 79 bedoelde rechten uit te oefenen en namens hen het in artikel 82 bedoelde recht op schadevergoeding uit te oefenen.
In lid 2 is de mogelijkheid geregeld om
onafhankelijk van de opdracht van een betrokkeneeen klacht in te dienen en de in de artikelen 78 en 79 bedoelde rechten uit te oefenen.
5.21.
Zowel Oracle als Salesforce voert aan dat TPC niet bevoegd is op grond van artikel 80 in verbinding met artikel 82 AVG schadevergoeding te vorderen wegens de gestelde schending van de AVG, omdat zij daartoe geen opdracht heeft ontvangen van de betrokken internetgebruikers en artikel 80 lid 1 AVG dus niet op TPC van toepassing is. In artikel 80 lid 2 wordt artikel 82 AVG niet genoemd. Oracle en Salesforce menen daarom dat de mogelijkheid om onafhankelijk van de opdracht van de betrokkene bepaalde rechten uit de AVG uit te oefenen, niet het recht op schadevergoeding van artikel 82 AVG omvat.
5.22.
Volgens Oracle bevat de Nederlandse tekst van de aan de AVG voorafgaande overweging 142 een (hinderlijke) vertaalfout: het woord “niet” in de laatste zin staat op de verkeerde plaats. In plaats van
“
Voor deze organen, organisaties of verenigingen kan worden bepaald dat zij […]niethet recht hebben om namens een betrokkene een vergoeding te eisen buiten de machtiging door de betrokkene om.”
“
Voor deze organen, organisaties of verenigingen kan worden bepaald dat zij […]niethet recht hebben om namens een betrokkene een vergoeding te eisen buiten de machtiging door de betrokkene om.”
zou de Nederlandse tekst moeten luiden:
“
Voor deze organen, organisaties of verenigingen kannietworden bepaald dat zij […] het recht hebben om namens een betrokkene een vergoeding te eisen buiten de machtiging door de betrokkene om.” Oracle en Salesforce wijzen in dit verband op de verschillende taalversies van deze overweging. Oracle en Salesforce betogen dat een collectieve actie tot schadevergoeding als bedoeld in de WAMCA wegens schending van de AVG in strijd is met het Unierecht. De Uniewetgever heeft een commerciële claimcultuur in de context van gegevensbescherming willen voorkomen, aldus Oracle en Salesforce.
“
Voor deze organen, organisaties of verenigingen kannietworden bepaald dat zij […] het recht hebben om namens een betrokkene een vergoeding te eisen buiten de machtiging door de betrokkene om.” Oracle en Salesforce wijzen in dit verband op de verschillende taalversies van deze overweging. Oracle en Salesforce betogen dat een collectieve actie tot schadevergoeding als bedoeld in de WAMCA wegens schending van de AVG in strijd is met het Unierecht. De Uniewetgever heeft een commerciële claimcultuur in de context van gegevensbescherming willen voorkomen, aldus Oracle en Salesforce.
5.23.
TPC bestrijdt dit betoog. Zij wijst daarbij op het doel en de inhoud van de AVG en het daarmee nagestreefde hoge beschermingsniveau. Schade die iemand lijdt ten gevolge van een ongeoorloofde gegevensverwerking moet “volledig en daadwerkelijk” worden vergoed. TPC wijst verder op het recht op verkrijging van een doeltreffende voorziening in rechte, de in het Unierecht verankerde beginselen van subsidiariteit en proportionaliteit en het daarmee samenhangende beginsel van procedurele autonomie.
5.24.
Volgens TPC is uit de tekst van artikel 80 lid 2 AVG (te weten het ontbreken van een verwijzing naar artikel 82) niet a contrario de bedoeling van de Uniewetgever af te leiden een dergelijke voorziening uit te sluiten. In de eerste plaats verwijst artikel 80 lid 2 AVG wel naar artikel 79 AVG. De daar bedoelde “doeltreffende voorziening” in rechte omvat ook schadevergoeding. Artikel 80 lid 2 AVG is gericht tot de lidstaten en dient er slechts toe de lidstaten bevoegdheden te verlenen, niet om de lidstaten te beperken. De lidstaten hebben de vrijheid deze bepaling al dan niet om te zetten.
De door Oracle gestelde hinderlijke vertaalfout neemt niet weg dat overweging 142 optioneel is geformuleerd en is gericht tot de lidstaten.
Het HvJ EU staat terughoudend tegenover het gebruik van voorbereidende documenten (“travaux préparatoires”) als hulpmiddel bij de uitleg van het Unierecht.
De Nederlandse wetgever heeft van de mogelijkheid die artikel 80 lid 2 AVG biedt gebruik gemaakt in artikel 37 UAVG.
5.25.
De uitleg die Oracle en Salesforce bepleiten valt volgens TPC ook niet te rijmen met de Richtlijn representatieve vorderingen [5] . Volgens TPC is er ook geen aanleiding te veronderstellen dat de AVG zou willen treden in het beginsel van procedurele autonomie. De Nederlandse wetgever neemt als uitgangspunt dat de Richtlijn representatieve vorderingen de acties over schending van het gegevensbeschermingsrecht verder vereenvoudigt.
5.26.
De rechtbank komt aan een beoordeling op dit punt niet toe, omdat TPC op andere gronden niet-ontvankelijk is in haar vorderingen.
Proceskosten en nakosten
5.27.
TPC wordt als de in het ongelijk gestelde partij in de proceskosten van Oracle en Salesforce veroordeeld. Deze kosten worden ten aanzien van ieder van hen begroot op:
- griffierecht € 4.131,00
- salaris advocaat
7.998,00(2,0 punten × tarief € 3.999,00)
7.998,00(2,0 punten × tarief € 3.999,00)
Totaal € 12.129,00
De gevorderde nakosten worden begroot en toegewezen op de wijze die in de beslissing is vermeld. Verder wordt de door Saleforce gevorderde wettelijke rente over de proces- en nakosten toegewezen op de in de beslissing vermelde wijze.
6.De beslissing
De rechtbank
6.1.
verklaart TPC niet-ontvankelijk in haar vorderingen,
6.2.
veroordeelt TPC in de proceskosten van Oracle, tot op heden begroot op € 12.129,00,
6.3.
veroordeelt TPC in de na dit vonnis ontstane kosten aan de zijde van Oracle, begroot op € 163,00 aan salaris advocaat, te vermeerderen, onder de voorwaarde dat TPC niet binnen 14 dagen na aanschrijving aan het vonnis heeft voldaan en er vervolgens betekening van de uitspraak heeft plaatsgevonden, met een bedrag van € 85,00 aan salaris advocaat en de explootkosten van betekening van de uitspraak,
6.4.
veroordeelt TPC in de proceskosten van Salesforce, tot op heden begroot op € 12.129,00, te vermeerderen met de wettelijke rente als bedoeld in artikel 6:119 BW over dit bedrag met ingang van de vijftiende dag na de datum van dit vonnis,
6.5.
veroordeelt TPC in de na dit vonnis ontstane kosten aan de zijde van Salesforce, begroot op € 163,00 aan salaris advocaat, te vermeerderen, onder de voorwaarde dat TPC niet binnen 14 dagen na aanschrijving aan het vonnis heeft voldaan en er vervolgens betekening van de uitspraak heeft plaatsgevonden, met een bedrag van € 85,00 aan salaris advocaat en de explootkosten van betekening van de uitspraak, te vermeerderen met de wettelijke rente als bedoeld in artikel 6:119 BW over de nakosten met ingang van de vijftiende dag na de datum van dit vonnis,
6.6.
verklaart de kostenveroordelingen uitvoerbaar bij voorraad.
Dit vonnis is gewezen door mr. R.H.C. Jongeneel, voorzitter, mr. J.W. Bockwinkel en
mr. M.C.H. Broesterhuizen, rechters, bijgestaan door mr. C.E.P. Honing, griffier, en in het openbaar uitgesproken op 29 december 2021. [6]