In een collectieve procedure verwijt The Privacy Collective (TPC) softwarebedrijven Oracle en Salesforce dat zij zonder geldige toestemming persoonsgegevens verzamelen en verkopen van tien miljoen Nederlanders. Volgens TPC handelen Oracle en Salesforce in strijd met de AVG en de Telecommunicatiewet. Voor de groepen benadeelden vordert TPC € 5 miljard (€ 500 per internetgebruiker) van zowel Oracle als Salesforce. Bovendien stelt TPC dat Oracle door een datalek de privacy heeft geschonden van Nederlandse internetgebruikers. Daarom vordert TPC ook nog € 100 per internetgebruiker van Oracle. In dit vonnis verklaart de rechtbank TPC niet-ontvankelijk in haar vorderingen, omdat zij niet voldoende representatief is. In een obiter dictum (r.o. 5.19-5.26) noemt de rechtbank een voor de rechtswetenschap en -praktijk belangrijke kwestie, namelijk de verhouding tussen de WAMCA en het collectieve-actierecht van artikel 80 lid 2 AVG.

In een collectieve procedure verwijt The Privacy Collective (TPC) softwarebedrijven Oracle en Salesforce dat zij zonder geldige toestemming persoonsgegevens verzamelen en verkopen van tien miljoen Nederlanders. Volgens TPC handelen Oracle en Salesforce in strijd met de AVG en de Telecommunicatiewet. Voor de groepen benadeelden vordert TPC € 5 miljard (€ 500 per internetgebruiker) van zowel Oracle als Salesforce. Bovendien stelt TPC dat Oracle door een datalek de privacy heeft geschonden van Nederlandse internetgebruikers. Daarom vordert TPC ook nog € 100 per internetgebruiker van Oracle.2.

In dit vonnis verklaart de rechtbank TPC niet-ontvankelijk in haar vorderingen, omdat zij niet voldoende representatief is. In een obiter dictum (r.o. 5.19-5.26) noemt de rechtbank een voor de rechtswetenschap en -praktijk belangrijke kwestie, namelijk de verhouding tussen de WAMCA en het collectieve-actierecht van artikel 80 lid 2 AVG. In deze beschouwing beperken wij ons tot deze twee hoofdaspecten.

Representativiteit. De rechtbank overweegt dat niet duidelijk is dat voldoende beweerdelijke benadeelden zich hebben aangesloten bij TPC. Daardoor is ook onvoldoende duidelijk dat de omvang van hun vorderingen voldoende groot is (r.o. 5.11, eerste en laatste zin). De rechtbank signaleert dat TPC alleen likes van niet-geregistreerde internetgebruikers heeft verzameld bij een vrij algemeen bericht over een procedure tegen niet met naam genoemde gedaagden op haar website. Het is daarom niet inzichtelijk dat de likers op basis van die informatie steun hebben willen geven aan de actie van TPC tegen Salesforce en Oracle. Voorts is het onduidelijk of de likers feitelijk vallen onder de groep belanghebbenden waarvoor TPC blijkens haar vordering opkomt (r.o. 5.10-5.12, zie ook r.o. 4.2).

Uit de wetsgeschiedenis van artikel 3:305a lid 2, aanhef, BW volgt inderdaad dat de omvang van de achterban voldoende groot moet zijn ten opzichte van het totaal aantal getroffen personen: “Op voorhand moet duidelijk zijn dat zij [de achterban, DB/TW] kwantitatief gezien voor een voldoende groot deel van de groep getroffen gedupeerden opkomt. [...] Dit kan bijvoorbeeld worden getoetst op basis van de bij een vereniging aangesloten leden of door middel van het aantal gedupeerden dat zich actief voor de vordering heeft aangemeld.”3. De tekst van de wet vermeldt in lijn hiermee dat een belangenbehartiger voldoende representatief moet zijn gelet op ‘de achterban’ en ‘de omvang van de vertegenwoordigde vorderingen’. Het gaat dus om het aantal daadwerkelijk bij de stichting aangesloten personen (en de omvang van hun vorderingen)4. ten opzichte van alle getroffen personen.5. De wetsgeschiedenis wekt de indruk dat TPC die representativiteit aannemelijk had kunnen maken als zij had aangegeven wat het aantal personen was dat zich specifiek – met een voldoende nauwkeurig aanmeldformulier – voor deze claim had aangemeld en had kunnen aantonen dat dit aantal groot genoeg zou zijn.

Voor de rechtbank waren de duizenden likes bij een bericht over een procedure tegen niet met naam genoemde gedaagden op de website van TPC onvoldoende. Aan dit oordeel droeg bij dat niet kon worden vastgesteld of de personen die het bericht van TPC hebben geliked, ook daadwerkelijk behoren tot de groepen die TPC vertegenwoordigt. Met die like komt niet vast te staan dat de achterban van TPC in de relevante periode een cookie van Salesforce of Oracle op hun apparaten hadden (r.o. 5.12). De rechtbank stelt daarmee ogenschijnlijk zwaardere eisen aan het representativiteitsvereiste dan de wetgever. De controle of de leden van de achterban een cookie op hun apparaat hebben gehad, behelst reeds een inhoudelijke beoordeling. Dit is opmerkelijk, aangezien de rechtbank in lijn met de tekst van de wet (artikel 1018c lid 5, aanhef Rv) en de wetsgeschiedenis vooropstelt dat een inhoudelijke behandeling pas in een later stadium plaatsvindt (r.o. 5.5).6. Het overleggen van een lijst met namen en andere gegevens van de leden van de achterban van de belangenorganisatie is volgens de wetsgeschiedenis ook niet nodig,7. zoals de rechtbank zelf ook constateert (r.o. 5.12). Wellicht bedoelt de rechtbank daarom met r.o. 5.12 slechts dat beweerdelijke slachtoffers op een aanmeldformulier van een belangenbehartiger moeten aangeven of zij feitelijk binnen de groep vallen waarvoor de belangenbehartiger opkomt. Een individuele inhoudelijke toets kan uiteindelijk plaatsvinden bij de uitvoering van een collectieve schadeafwikkeling (artikel 1018i Rv).

Hoe groot de vereiste achterban moet zijn, is sterk afhankelijk van de omstandigheden van het geval.8. Het vereisen van een relatief grote achterban staat mogelijk op gespannen voet met het voor Nederlandse ingezetenen geldende opt-outsysteem van de WAMCA. Als een streng representativiteitsvereiste vereist dat veel benadeelden zich eerst moeten aansluiten bij een claimorganisatie voordat de procedure van start gaat, dan is er voor die benadeelden in feite sprake van een opt-insysteem. Een opt-outsysteem gaat er juist van uit dat benadeelden zich in het beginstadium niet hoeven aan te melden bij een procedure. Aan de andere kant: representativiteit en een opt-in- of opt-outsysteem moeten wel van elkaar onderscheiden worden. De belangrijkste functie van een opt-in- of opt-outsysteem is het scheppen van duidelijkheid over wie wel en niet gebonden is aan een inhoudelijke uitkomst van de collectieve actie (en in het verlengde daarvan: het bereiken van finale geschilbeslechting). Dat is niet de functie van het representativiteitsvereiste. Dit vereiste moet waarborgen dat er voldoende steun van slachtoffers is voor een specifieke belangenbehartiger.

Een representativiteitsvereiste past wellicht bij de bredere doelstelling van de wetgever om voldoende waarborgen voor zorgvuldige belangenbehartiging door belangenbehartigers te bieden: het aantal aangesloten personen kan een indicatie zijn van zorgvuldige belangenbehartiging door de belangenorganisatie.9.

Verhouding tussen de AVG en WAMCA. In een obiter dictum presenteert de rechtbank een aantal voor- en tegenargumenten bij de discussie tussen partijen over de vraag of artikel 80 lid 2 AVG het lidstaten belet om een collectieve schadevergoedingsactie voor AVG-schendingen mogelijk te maken (r.o. 5.19 e.v.). Artikel 80 lid 2 AVG laat het aan lidstaten over om al dan niet mogelijk te maken dat belangenbehartigers onafhankelijk van de opdracht van de betrokkene een actie instellen voor de gevallen die zijn geregeld in artikel 77, 78 en 79 AVG. Het recht op schadevergoeding (artikel 82 AVG) wordt daarin niet genoemd. Moet daaruit a contrario worden afgeleid dat het lidstaten niet vrijstaat om belangenbehartigers zonder opdracht van de betrokkene(n) schadevergoeding te laten vorderen voor AVG-schendingen?10. Omdat de regels voor interpretatie van Unierechtelijke regelgeving redelijk algemeen en flexibel zijn,11. volstaan wij met een analyse van afzonderlijke interpretatiemethoden.

Een tekstuele interpretatie biedt niet veel duidelijkheid: artikel 80 lid 2 AVG noemt het recht op schadevergoeding niet, maar sluit het ook niet expliciet uit. Naast het hiervoor genoemde a-contrario-argument bestaat een vergelijkbaar wetssystematisch argument. In tegenstelling tot artikel 80 lid 2 AVG noemt lid 1 (representatieve acties mét opdracht van de betrokkene) artikel 82 AVG wél.12. Artikel 80 lid 2 AVG maakt representatieve acties zonder opdrachten overigens wel mogelijk voor effective judicial remedies (artikel 79 AVG). Het heeft er de schijn van dat een effective judicial remedy in de zin van artikel 79 AVG geen recht op schadevergoeding omvat, maar – ook dit – is niet zeker.13. Als artikel 82 AVG wél een voorbeeld is van een effective judicial remedy in de zin van artikel 79 AVG, dan is dit uiteraard een argument voor het standpunt dat artikel 80 lid 2 AVG representatieve schadevergoedingsacties zonder opdrachten toestaat.

De relevante overwegingen in de preambule (141-142) maken de interpretatie van artikel 80 lid 2 AVG niet makkelijker. Net als de Italiaanse versie is de Nederlandse versie van overweging 142 (laatste zin) in het voordeel van TPC: “Voor deze organen, organisaties of verenigingen kan worden bepaald dat zij niet het recht hebben om namens een betrokkene een vergoeding te eisen buiten de machtiging door de betrokkene om.” De Engelse versie is ambigu (‘That body, organisation or association may not be allowed to claim compensation on a data subject’s behalf independently of the data subject’s mandate.’).14. Daarentegen zijn de Duitse en de Franse taalversie in het voordeel van Salesforce en Oracle. Vertaald naar het Nederlands komen deze twee versies namelijk neer op: “Voor deze organen, organisaties of verenigingen kan niet worden bepaald dat zij het recht hebben om namens een betrokkene een vergoeding te eisen buiten de machtiging door de betrokkene om.” In een eerdere tekst tijdens het wetgevingsproces was de formulering van deze zin anders (‘This body, organisation or association does not have the right to claim compensation on a data subject’s behalf’.). Het is onduidelijk of de Uniewetgever daarmee een inhoudelijke wijziging beoogde.15.

De volle of effectieve werking van de AVG is een argument voor de stelling dat artikel 80 lid 2 AVG ook het recht op schadevergoeding omvat.16. Hoewel dit type argument ook in een andere context (veel) gewicht in de schaal legt,17. is niet op voorhand duidelijk dat dit argument op zichzelf doorslaggevend is. De Uniewetgever hechtte bij het aannemen van de AVG namelijk óók belang aan het voorkomen van een claimcultuur voor AVG-schendingen.18. Dit belang volgt overigens niet duidelijk uit de bepalingen of de overwegingen van de AVG. Een ander aangedragen argument is dat een verbod op representatieve schadevergoedingsacties zonder opdrachten wenselijk is, omdat het bijdraagt aan het voorkomen van ‘fragmentation of data protection law enforcement’.19. Hoewel een algeheel verbod op dit punt fragmentatie in de lidstaten kan voorkomen, overtuigt dit argument ons niet, omdat wij het wenselijk vinden dat lidstaten deze vorm van rechtsbescherming open kunnen stellen voor betrokkenen én omdat artikel 80 AVG in het algemeen juist weinig belang hecht aan het voorkomen van fragmentatie.20. Artikel 80 lid 2 AVG biedt immers expliciet keuzeruimte aan lidstaten, in ieder geval ten aanzien van artikel 77, 78 en 79 AVG. Uniformiteit is volgens artikel 80 lid 1 AVG óók niet beslissend geweest voor representatieve schadevergoedingsacties mét opdrachten.

Het komt – voor zover ons bekend – verder niet voor dat de Uniewetgever andere typen van nationale civielrechtelijke procedures die de handhaving van Europese rechten kunnen versterken, geheel uitsluit. Het Unierecht biedt vooral waarborgen tegen het omgekeerde geval waarin nationale procedurele regels de effectiviteit van het Unierecht beperken (bijvoorbeeld via het beginsel van nuttig effect of het effectiviteitsbeginsel). In het algemeen geldt ook het beginsel van procedurele autonomie: het is normaal gesproken aan de lidstaten om procedures in te richten die zorgen voor een effectieve werking van Unierecht. Een algeheel verbod op representatieve schadevergoedingsacties zonder opdracht van de betrokkene zou een opmerkelijke afwijking daarvan zijn. Recent heeft de Uniewetgever wel procedurele regels aangenomen in het kader van consumentenbescherming om de toegang van het recht voor consumenten te versterken. De Richtlijn representatieve vorderingen verplicht lidstaten om opt-in- of opt-outacties van belangenbehartigers mogelijk te maken voor vergoeding van schade van consumenten door inbreuken op bepaalde onderdelen van het Unierecht.21. Met name voor grensoverschrijdende representatieve acties van belangenbehartigers stelt de Uniewetgever beperkende toegangseisen. Lidstaten hebben niettemin veel ruimte bij de vormgeving van toegangseisen voor binnenlandse representatieve acties. De Richtlijn heeft ook betrekking op collectieve procedures aangaande de AVG (zie artikel 2 lid 1 en overweging 14).22. Dat zou betekenen dat lidstaten op basis van deze Richtlijn opt-in- of opt-outschadevergoedingsprocedures mogelijk moeten maken voor schendingen van de AVG (artikel 7 lid 4 en artikel 9 lid 2-3).23. Van belang is echter dat de Richtlijn representatieve acties geen afbreuk doet aan de bepalingen van de AVG, waaronder dus mogelijk artikel 80 lid 2 AVG (zie artikel 2 lid 1 van de Richtlijn en overwegingen 14-15 van de preambule).24.

Al met al is onzeker of artikel 80 lid 2 AVG het lidstaten toestaat om een representatieve schadevergoedingsactie zonder opdrachten van betrokkenen voor AVG-schendingen mogelijk te maken. Er bestaan veel relevante argumenten die ook niet allemaal dezelfde richting uitwijzen. Als uitleg van Unierecht geen oplossing biedt omdat de taalversies simpelweg inhoudelijk van elkaar verschillen, lijkt een (formele) wijziging van de AVG nodig, omdat rectificatie van een taalversie niet mogelijk is voor inhoudelijke onjuistheden.25.

In het geval vast komt te staan dat artikel 80 lid 2 AVG representatieve schadevergoedingsacties zonder opdrachten van betrokkenen voor AVG-schendingen onmogelijk maakt, moeten de WAMCA en artikel 37 UAVG26. in zoverre wegens strijd met artikel 80 lid 2 AVG buiten toepassing worden gelaten óf – als dat mogelijk is – verordeningsconform worden uitgelegd. Toch sluiten wij in dat geval niet direct uit dat schadevergoedingsvorderingen over gegevensbescherming in een WAMCA-procedure aan de orde kunnen worden gesteld. Dit volgt ten eerste uit de onduidelijkheid met betrekking tot het begrip ‘opdracht’ in artikel 80 AVG. ‘Opdracht’ kan in theorie betekenen: een volmacht en/of last van een betrokkene, een uitgebrachte opt-inverklaring van een betrokkene tijdens een WAMCA-procedure en/of zelfs ook de keuze van een betrokkene tijdens een WAMCA-procedure om een opt-outverklaring niet uit te brengen.27. Opt-in- én opt-outacties voor schadevergoeding op grond van de WAMCA zijn bij een restrictieve uitleg van artikel 80 lid 2 AVG niet mogelijk als ‘opdracht’ in de zin van artikel 80 lid 1 en 2 AVG slechts betekent: een volmacht en/of last.28. De WAMCA werkt immers niet met volmachten en lasten, maar met een opt-out- en opt-insysteem.

Ten tweede, een belangenbehartiger kan wellicht op basis van een andere norm schadevergoeding vorderen in een representatieve schadevergoedingsactie zonder opdrachten over een gegevensbeschermingsgeschil. Bij claims tegen overheden valt te denken aan artikel 8 EVRM. In horizontale situaties kan men denken aan de maatschappelijke zorgvuldigheidsnorm of een inbreuk op een recht ex artikel 6:162 lid 2 BW, een wanprestatie ex artikel 6:74 BW, of meer in het bijzonder de schending van bepalingen van het consumenten- of mededingingsrecht. De vraag is dan eigenlijk hoe strikt de beperking van artikel 80 lid 2 AVG zou zijn: als slechts AVG-rechten niet kunnen worden ingeroepen, zou een belangenbehartiger voor hetzelfde feitencomplex wél op basis van andere gronden schadevergoeding in een representatieve actie zonder opdrachten kunnen vorderen. Daar zou men echter weer tegenin kunnen brengen dat belangenbehartigers artikel 80 lid 2 AVG niet op deze manier mogen kunnen ontwijken.29.

Op 28 maart jl. liet TPC weten zich niet neer te leggen bij de beslissing van de rechtbank. De stichting gaat daarom in hoger beroep.30.