Uitspraak
vonnis
RECHTBANK AMSTERDAM
Afdeling privaatrecht, voorzieningenrechter civiel
zaaknummer / rolnummer: C/13/747646 / KG ZA 24-191 IHJK/TF
Vonnis in kort geding van 22 april 2024
in de zaak van
[eiser],
wonende te [woonplaats] ,
eiser bij dagvaarding op verkorte termijn van 13 maart 2024,
advocaten mr. R.A.M.D. Smit en mr. M.H.L. Hemmer te Eindhoven,
tegen
de rechtspersoon naar Frans recht
CRITEO SA,
gevestigd te Parijs (Frankrijk),
gedaagde,
advocaten mr. R. van Saane en mr. H.J. Pot te Amsterdam.
Partijen zullen hierna [eiser] en Criteo SA worden genoemd.
1.De procedure
1.1.
Ter zitting van 8 april 2024 heeft [eiser] de vorderingen zoals omschreven in de dagvaarding toegelicht. Criteo SA heeft verweer gevoerd, mede aan de hand van haar vooraf ingediende akte houdende overlegging productie. Beide partijen hebben producties en een pleitnota ingediend. Vonnis is bepaald op vandaag.
1.2.
Ter zitting waren aanwezig:
- [eiser] met mr. Smit en mr Hemmer;
- aan de kant van Criteo SA: mr. Van Saane en mr. Pot.
2.De feiten
2.1.
[eiser] is een Nederlandse natuurlijke persoon. Criteo SA is een rechtspersoon die deelt uitmaakt van het Criteo-concern, een wereldwijd opererend technologiebedrijf in de media- en entertainmentbranche, met hoofdkantoor in Parijs. Criteo SA is genoteerd aan de Amerikaanse beurs Nasdaq. Zij houdt zich onder andere bezig met consultancy, software en services met betrekking tot digitale marketing, media advertising, real time advertentie-veilingen en is een belangrijke internationale speler in de Adtech-industrie. Tot het Criteo-concern behoort ook de Nederlandse vennootschap Criteo B.V., die hierna te samen met Criteo SA zal worden aangeduid als Criteo.
2.2.
Criteo plaatst, via websites van derden, zogeheten tracking cookies (waaronder in ieder geval de zogenaamde “uid” cookie) op computers en/of andere mobiele apparaten. Tracking cookies bevatten een uniek ID, een willekeurige lijst van karakters, die wordt toegewezen aan de browser van een bepaalde websitebezoeker. Bij iedere website die een link heeft met Criteo en die met die browser wordt bezocht, wordt dezelfde tracking cookie uitgelezen. Doel is om surfgedrag, interesses en/of andere gegevens van internetgebruikers te verzamelen en te analyseren voor commerciële doeleinden. Over de uid cookie staat op de website van Criteo:
“
Verzamelt gegevens met betrekking tot de bezoeken van de gebruiker aan de website, zoals het aantal bezoeken, de gemiddelde tijd die op de website is doorgebracht en welke pagina's zijn geladen, met het doel om gerichte advertenties weer te geven” en dat de vervaltermijn 1 jaar is.
Verzamelt gegevens met betrekking tot de bezoeken van de gebruiker aan de website, zoals het aantal bezoeken, de gemiddelde tijd die op de website is doorgebracht en welke pagina's zijn geladen, met het doel om gerichte advertenties weer te geven” en dat de vervaltermijn 1 jaar is.
2.3.
Criteo gebruikt de tracking cookies voor ‘targeted advertising’, het afstemmen van advertenties op individuele gebruikers. Dat gebeurt door het opstellen van gebruikersprofielen en het herkennen van gebruikers als zij het internet bezoeken. Binnen een fractie van een seconde wordt dankzij het Real Time Bidding (RTB)-Systeem een internetgebruiker herkend en een op de betreffende gebruiker afgestemde advertentie getoond. Tracking cookies spelen daarbij een essentiële rol.
2.4.
Op 15 juni 2023 heeft de Commission Nationale de Informatique et des Libertés (CNIL), de Franse privacy-toezichthouder, een boete van € 40.000.000,- opgelegd aan Criteo SA voor overtreding van verschillende bepalingen van de Algemene verordening gegevensbescherming (AVG). Volgens het persbericht van de CNIL was dit “
in particular for failing to verify that the persons from whom it processed data had given their consent”. In dat bericht staat ook dat de CNIL haar beslissing heeft voorgelegd aan de andere 29 Europese toezichthouders, aangezien zij alle betrokken waren bij deze “cross-border case”, en dat zij hun goedkeuring hebben gegeven.
in particular for failing to verify that the persons from whom it processed data had given their consent”. In dat bericht staat ook dat de CNIL haar beslissing heeft voorgelegd aan de andere 29 Europese toezichthouders, aangezien zij alle betrokken waren bij deze “cross-border case”, en dat zij hun goedkeuring hebben gegeven.
2.5.
Bij brieven van 8 augustus 2023 heeft de advocaat van [eiser] aan Criteo SA en Criteo B.V. geschreven dat door Criteo zonder zijn toestemming tracking cookies (in ieder geval uid cookies) via websites van derden worden geplaatst op
devicesvan [eiser] en daarmee zonder zijn toestemming persoonsgegevens van [eiser] worden verwerkt. In de brieven is verder geschreven dat Criteo SA daardoor is strijd handelt met artikel 11.7a lid 1 Telecommunicatiewet (Tw) en artikelen 5 lid 1 onder a, 6 lid 1, 7, 13 en 14 AVG. Een en ander is toegespitst op vier met name genoemde websites.
devicesvan [eiser] en daarmee zonder zijn toestemming persoonsgegevens van [eiser] worden verwerkt. In de brieven is verder geschreven dat Criteo SA daardoor is strijd handelt met artikel 11.7a lid 1 Telecommunicatiewet (Tw) en artikelen 5 lid 1 onder a, 6 lid 1, 7, 13 en 14 AVG. Een en ander is toegespitst op vier met name genoemde websites.
2.6.
Criteo heeft op deze brieven gereageerd en onder meer geschreven dat het tot de verantwoordelijkheid van de beheerders van die websites (de klanten van Criteo) valt om toestemming te verkrijgen. Daarna hebben partijen hierover verder gecorrespondeerd.
2.7.
[eiser] is vervolgens een kort geding gestart jegens Criteo. Bij uitvoerbaar bij voorraad verklaard vonnis van 18 oktober 2023 heeft de voorzieningenrechter van deze rechtbank, voor zover van belang, als volgt beslist:
“5.1 gebiedt Criteo het onrechtmatig handelen per ommegaande te (doen) staken en gestaakt te (doen) houden door niet langer, al dan niet via third-party websites, tracking cookies op de computer en/of apparaten van [eiser] te (doen) plaatsen alvorens [eiser] rechtsgeldige toestemming heeft gegeven voor het plaatsen van deze tracking cookies, op straffe van een dwangsom van € 250,00 per dag of dagdeel danwel - naar keuze van [eiser] - per overtreding, tot een maximum van € 25.000,00, (…)”
2.8.
Criteo is op 30 oktober 2023 in hoger beroep gekomen van dit vonnis.
Het gerechtshof Amsterdam heeft in zijn arrest van 5 december 2023 het vonnis grotendeels bekrachtigd. Omdat het gerechtshof onvoldoende onderbouwing heeft gezien om Criteo B.V. als verwerkingsverantwoordelijke te zien, heeft het, opnieuw rechtdoende, de veroordeling onder 5.1 als volgt bepaald:
“5.1 gebiedt Criteo SA het onrechtmatig handelen per ommegaande te (doen) staken en gestaakt te (doen) houden door niet langer, al dan niet via third-party websites, tracking cookies op de computer en/of apparaten van [eiser] te (doen) plaatsen alvorens [eiser] rechtsgeldige toestemming heeft gegeven voor het plaatsen van deze tracking cookies, op straffe van een dwangsom van € 250,00 per dag of dagdeel dat tracking cookies worden of blijven geplaatst na betekening van dit arrest, tot een maximum van € 25.000;”
Het gerechtshof heeft daarnaast – samengevat en voor zover van belang – in de
beoordelingoverwogen, dat in dit kort geding voldoende aannemelijk is geworden dat inderdaad tracking cookies zijn geplaatst en persoonsgegevens van [eiser] in strijd met de AVG zijn (verspreid en) verwerkt. Voorts heeft het gerechtshof overwogen dat ook als juist is dat [eiser] nieuw te plaatsen tracking cookies kan tegenhouden, hij dat niet hoeft te doen. De Uniewetgever heeft immers gekozen voor een opt-in en niet voor een opt-out systeem. Verder heeft het gerechtshof overwogen dat niet verboden en evenmin onredelijk is dat Criteo niet zelf aan [eiser] vraagt om toestemming, maar dat aan haar partners overlaat, nu zij de websites exploiteren die [eiser] bezoekt. Vast staat echter wel dat Criteo en haar websitepartners als gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 AVG zijn aan te merken en dat het [eiser] vrij staat om (alleen) Criteo aan te spreken om zijn rechten uit hoofde van de AVG uit te voeren. Aldus het gerechtshof. Tot slot heeft het gerechtshof geoordeeld dat [eiser] geen genoegen hoeft te nemen met de procedurele maatregelen die Criteo met haar partners heeft getroffen en dat [eiser] aannemelijk heeft gemaakt dat het systeem van Criteo niet naar behoren werkt nu ondanks de door Criteo getroffen maatregelen toch meermaals zijn persoonsgegevens zijn verwerkt zonder zijn toestemming.
beoordelingoverwogen, dat in dit kort geding voldoende aannemelijk is geworden dat inderdaad tracking cookies zijn geplaatst en persoonsgegevens van [eiser] in strijd met de AVG zijn (verspreid en) verwerkt. Voorts heeft het gerechtshof overwogen dat ook als juist is dat [eiser] nieuw te plaatsen tracking cookies kan tegenhouden, hij dat niet hoeft te doen. De Uniewetgever heeft immers gekozen voor een opt-in en niet voor een opt-out systeem. Verder heeft het gerechtshof overwogen dat niet verboden en evenmin onredelijk is dat Criteo niet zelf aan [eiser] vraagt om toestemming, maar dat aan haar partners overlaat, nu zij de websites exploiteren die [eiser] bezoekt. Vast staat echter wel dat Criteo en haar websitepartners als gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 AVG zijn aan te merken en dat het [eiser] vrij staat om (alleen) Criteo aan te spreken om zijn rechten uit hoofde van de AVG uit te voeren. Aldus het gerechtshof. Tot slot heeft het gerechtshof geoordeeld dat [eiser] geen genoegen hoeft te nemen met de procedurele maatregelen die Criteo met haar partners heeft getroffen en dat [eiser] aannemelijk heeft gemaakt dat het systeem van Criteo niet naar behoren werkt nu ondanks de door Criteo getroffen maatregelen toch meermaals zijn persoonsgegevens zijn verwerkt zonder zijn toestemming.
2.9.
In januari 2024 heeft Criteo SA vrijwillig het maximum van de dwangsom van € 25.000,00 voldaan zonder dat het arrest is betekend.
2.10.
Criteo SA heeft in deze zaak een bodemprocedure aanhangig gemaakt bij deze rechtbank. De eerste roldatum in deze procedure is 17 april 2024.
3.Het geschil
3.1.
[eiser] vordert – samengevat – bij vonnis uitvoerbaar bij voorraad:
1. Criteo SA te veroordelen tot betaling van een dwangsom van € 1.500,00 per overtreding, danwel (naar keuze van [eiser] ) € 5.000,00 per dag of een gedeelte daarvan dat na dagtekening van dit vonnis Tracking Cookies worden of blijven geplaatst tot een maximum van € 150.000,00 is bereikt;
2. een EEX certificaat als bedoeld in artikel 53 Brussel I-bis-Vo aan [eiser] te verstrekken;
3. Criteo SA te veroordelen in de proceskosten (inclusief nakosten), te vermeerderen met de wettelijke rente.
3.2.
[eiser] legt het volgende aan zijn vordering ten grondslag.
Het onrechtmatig handelen van Criteo SA duurt voort. Zij heeft ervoor gekozen de maximaal opgelegde dwangsom van € 25.000,00 voor het gebod onder 5.1 van het vonnis/arrest aan [eiser] te voldoen en door te gaan met het plaatsen van tracking cookies. Dit toont aan dat het businessmodel van Critea uitermate lucratief is en het loont om in plaats van het onrechtmatig handelen te staken het maximumbedrag aan dwangsommen te voldoen. Ook de boete van € 40 miljoen die de Franse privacytoezichthouder aan Criteo oplegde, heeft haar niet tot het inzicht gebracht dat zij haar gedrag moet aanpassen. De opgelegde dwangsom vormt dus onvoldoende financiële prikkel tot het staken van het onrechtmatig handelen. Reden waarom een hogere dwangsom wordt gevorderd. De verhoging is nodig om Criteo te dwingen alsnog aan het verbod te voldoen. Criteo kan deze verhoging ook dragen.
Het belang van [eiser] controle te hebben over wat er met zijn persoonsgegevens gebeurt als hij internet bezoekt en zelf te bepalen of hij een bepaalde cookie van een derde partij toelaat, prevaleert nog steeds boven het belang van Criteo bij het opbouwen van een profiel over hem en het delen van zijn persoonsgegevens met derden voor commercieel gewin. Criteo erkent dat zij alleen tracking cookies mag plaatsen na toestemming van [eiser] . Zij meent echter dat het niet haar verantwoordelijkheid is als een websitehouder of contractpartner van Criteo verzuimt om deze toestemming te vragen. In twee instanties is geoordeeld dat dat wel zo is en Criteo is niet naar de Hoge Raad gegaan. Zij richt zich op een bodemprocedure, maar dat neemt niet weg dat een voorziening bij voorraad is gegeven. Naast verhoging van de dwangsom vordert [eiser] afgifte van een EEX certificaat als bedoeld in artikel 53 van de Verordering (EU) Nr. 1215/2012 van het Europees Parlement en de Raad betreffende de rechtelijke bevoegdheid, de erkenning en tenuitvoerlegging van beslissingen in burgerlijke en handelszaken (Brussel I-bis-Vo) omdat Criteo is gevestigd in Frankrijk.
3.3.
Criteo SA voert – samengevat – het volgende verweer.
Zij is het niet eens met de uitspraken in de kortgedingprocedure en is een bodemprocedure gestart. In onderhavig geschil is er geen bewijs dat de dwangsommen zijn verbeurd. Het arrest is immers niet betekend en op grond van artikel 611a lid 3 is de dwangsom pas verbeurd na betekening van de uitspraak. Hoewel de vorige advocaat van Criteo ervoor heeft gekozen om zijn of haar cliënt vrijwillig het maximum van de dwangsommen van € 25.000,00 te laten voldoen, is dat bedrag onverschuldigd betaald. Voorts is er geen bewijs dat Criteo SA het gebod in 5.1 van het arrest heeft overtreden. Subsidiair dient een belangenafweging ertoe te leiden dat geen verhoging van de dwangsommen wordt opgelegd. Daarvoor is kort gezegd het volgende redengevend:
- Criteo plaatst de cookies waar [eiser] bezwaar tegen maakt niet zelf. Deze worden geplaatst bij en als gevolg van het bezoek van websites van derden die gebruik maken van Criteo’s diensten. Het gaat om cookies geplaatst door ruim 14.000 partners op meer dan 450.000 websites, die feitelijk en juridisch rechtsgeldige toestemming dienen te verkrijgen van bezoekers;
- Criteo heeft geen feitelijke controle of beschikkingsmacht over de wijze waarop partnerwebsites hun website inrichten en om toestemming vragen voordat zij cookies plaatsen. Criteo kan deze partijen alleen contractueel verplichten om geldige toestemming te vragen en als blijkt dat dat niet is gebeurd deze websites aanmanen om dat te doen (dat doet zij ook daadwerkelijk zoals blijkt uit de bodemdagvaarding);
- Criteo kan apparaten waarmee partnerwebsites worden bezocht als zodanig niet herkennen als apparaten van [eiser] . Dit maakt naleving van het gebod feitelijk onmogelijk. Criteo moet dan zorgen dat honderdduizenden websites alleen na geldige toestemming cookies plaatsen op apparaten waarmee de websites worden bezocht. Criteo kan alleen garanderen dat nooit cookies op de apparaten van [eiser] worden geplaatst zonder zijn toestemming door wereldwijd te stoppen met gebruik van cookies;
- De websites waarvan [eiser] stelde dat die Criteo-cookies zouden plaatsen zonder toestemming, zijn aangeschreven en vragen inmiddels wel om toestemming voordat zij cookies plaatsen of Criteo heeft de contractuele relatie met deze websites opgezegd;
- Criteo biedt aan alle internetgebruikers, inclusief [eiser] , de mogelijkheid om Criteo cookies eenvoudig uit te schakelen op alle websites en [eiser] kan ook via zijn eigen browserinstellingen met enkele muisklikken voorkomen dat ongewenste cookies worden geplaatst.
In afwachting van de uitspraak van de bodemrechter bieden de laatste twee opties, die [eiser] zelf kan toepassen, een effectieve en laagdrempelige manier voor [eiser] om de gestelde inbreuk op zijn rechten direct te laten stoppen. Gelet op de grote consequenties voor Criteo brengt een belangenafweging mee dat hangende de bodemprocedure geen verhoging van dwangsommen moet worden opgelegd.
3.4.
Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.
4.De beoordeling
4.1.
Het onder 5.1 opgenomen gebod in het vonnis van 18 oktober 2023 tot staking van onrechtmatig handelen (door het plaatsen van tracking cookies) is bij arrest van 5 december 2023 door het gerechtshof vernietigd en “opnieuw rechtdoende” op straffe van een dwangsom opgelegd als onder 2.8 omschreven. Verder is komen vast te staan dat in januari 2024 Criteo, zonder dat het arrest (of eerder het vonnis) door [eiser] aan haar is betekend, vrijwillig het maximum bedrag van € 25.000,00 aan dwangsommen aan [eiser] heeft voldaan.
4.2.
Hoewel het maximum van de dwangsom vrijwillig is voldaan, betwist Criteo SA nu achteraf de verschuldigdheid daarvan. Criteo SA stelt dat er nooit dwangsommen zijn verbeurd, omdat het arrest niet aan haar is betekend. Volgens Criteo SA heeft haar vorige advocaat aangedrongen op vrijwillige betaling; een keuze die Criteo SA nu niet meer onderschrijft.
4.3.
Hoewel het standpunt van Criteo SA wordt gevolgd dat op de voet van artikel 611a lid 3 Rv dwangsommen pas zijn verbeurd nadat de uitspraak waarbij zij zijn vastgesteld is betekend, treft dat verweer in deze zaak geen doel. De vraag of de dwangsommen zijn verbeurd, is immers nu niet aan de orde. Daarover gaat de executierechter. In deze zaak dient slechts te worden beoordeeld of opnieuw een dwangsom aan Criteo SA dient te worden opgelegd, omdat zij het arrest niet nakomt en de oorspronkelijke dwangsom is ‘uitgewerkt’, althans niet meer werkt als prikkel tot nakoming.
4.4.
Vast staat dat de huidige dwangsom is uitgewerkt, omdat die simpelweg al is voldaan en onvoldoende prikkel vormt om zich aan het gebod te houden. Daarnaast kan worden vastgesteld dat Criteo SA niet (geheel) aan het gebod heeft voldaan. [eiser] heeft recent nog een test gedaan waaruit dat kan worden afgeleid. In de door hem als productie 5a en 5b overgelegde schermopnames en toelichting is namelijk te zien dat [eiser] enkele websites bezoekt, cookies worden geplaatst zonder dat interactie met de websites heeft plaatsgevonden en [eiser] op verschillende websites middels cookies wordt gevolgd, zonder dat hij die cookies heeft geaccepteerd. Het standpunt van Criteo SA dat deze producties van [eiser] erg laat (pas op 4 april 2024 en niet meteen met de dagvaarding) zijn ingediend en Criteo SA niet eerder is gewaarschuwd voor het niet naleven van het gebod wordt niet gevolgd. Het is (ook) de verantwoordelijkheid van Criteo SA om te controleren of het gebod wordt nagekomen en de gegevens die zijn verstrekt geven een actueel beeld van de situatie. Het standpunt van Criteo SA dat deze producties niet aantonen dat het gebod niet wordt nageleefd, wordt evenmin gevolgd. Zij vormen immers een belangrijke aanwijzing dat het onrechtmatig handelen nog steeds plaatsvindt. Criteo SA heeft wel stappen in de goede richting gezet. Zij heeft bijvoorbeeld websites waarvan [eiser] stelde dat die Criteo-cookies zouden plaatsen zonder toestemming aanschreven of de contractuele relatie met deze websites opgezegd. Maar de belangrijkste proactieve stappen die (zoals eigenlijk ook wel uit haar verweer blijkt) vérstrekkend zijn, heeft zij nog niet genomen. Bovendien heeft Criteo de maximum dwangsom al betaald, waaruit kan worden opgemaakt dat ook Criteo SA zelf in januari 2024 vond dat zij niet aan het opgelegde gebod voldeed.
4.5.
Conclusie is dat de eerder opgelegde dwangsom kennelijk een onvoldoende prikkel heeft gevormd tot nakoming van het gebod onder 5.1 en er voldoende reden is om een nieuwe, hogere, dwangsom op te leggen.
4.6.
De door beide partijen (subsidiair) voorgestane belangenafweging is niet nodig. Deze belangen (ook het door Criteo SA aangevoerde belang dat [eiser] zelf stappen kan ondernemen om het plaatsen van cookies tegen te gaan) zijn bovendien in eerste en tweede instantie al door rechters gewogen. De voorzieningenrechter kan de beoordeling in deze zaken inhoudelijk niet overdoen en ook niet vooruitlopen op de uitkomst van bodemprocedure.
4.7.
Criteo SA stelt tot slot dat het voor haar niet mogelijk is om aan de veroordeling te voldoen. Op grond van artikel 611d lid Rv kan de rechter die de dwangsom heeft opgelegd (de dwangsomrechter) de dwangsom opheffen in geval van blijvende of tijdelijk, gehele of gedeeltelijke onmogelijkheid om aan een veroordeling te voldoen. Criteo SA heeft echter niet opheffing van de dwangsom gevorderd. Van een onmogelijkheid om aan een veroordeling te voldoen is vooralsnog ook niet gebleken. Criteo SA stelt dat zij niet kan voorkomen dat cookies worden geplaatst op specifiek de apparaten van [eiser] en alleen kan garanderen dat dat nooit gebeurt als zij integraal stopt met het gebruik van cookies,. Het gerechtshof heeft echter de tools die Criteo SA heeft om haar onrechtmatig handelen te staken beoordeeld en ook meegewogen dat nakoming van het arrest vérstrekkende gevolgen heeft voor Criteo SA. Criteo SA kan niet worden ontslagen van haar verplichting om aan het arrest te voldoen.
4.8.
Gelet op het voorgaande wordt de vordering toegewezen als na te melden. Het gevorderde EEX certificaat zal separaat worden afgegeven, uiterlijk op 23 april 2024.
4.9.
Criteo zal als de in het ongelijk gestelde partij in de proceskosten worden veroordeeld. De kosten aan de zijde van [eiser] worden begroot op:
- dagvaarding € 112,37
- griffierecht 320,00
- salaris advocaat 1.107,00
- nakosten
178,00
178,00
Totaal € 1.717,37
te vermeerderen met de wettelijke rente.
5.De beslissing
De voorzieningenrechter
5.1.
veroordeelt Criteo SA om aan [eiser] een dwangsom te betalen van
€ 500,00 per dag of dagdeel dat door Criteo SA in strijd met het gebod onder 5.1 van het arrest van het gerechtshof Amsterdam van 5 december 2023 tracking cookies worden of blijven geplaatst na betekening van dit arrest, tot een maximum van € 50.000,00 is bereikt,
5.2.
veroordeelt Criteo SA in de proceskosten, aan de zijde van [eiser] tot op heden begroot op € 1.717,37, te vermeerderen met € 92,00 en de kosten van betekening indien Criteo SA niet tijdig aan de veroordelingen voldoet en het vonnis moet worden betekend, te vermeerderen met de wettelijke rente over de proceskosten vanaf vijftien dagen na betekening van dit vonnis tot aan de voldoening,
5.3.
verklaart dit vonnis tot zover uitvoerbaar bij voorraad,
5.4.
wijst het meer of anders gevorderde af.
Dit vonnis is gewezen door mr. I.H.J. Konings, voorzieningenrechter, bijgestaan door mr. G.H. Felix, griffier, en in het openbaar uitgesproken op 22 april 2024. [1]