HvJ EU, 28-04-2022, nr. C-319/20

Artikel 80 van verordening 2016/679, ‘Vertegenwoordiging van betrokkenen’, bepaalt5.:

§ 3, lid 1, van het Gesetz gegen den unlauteren Wettbewerb (wet inzake oneerlijke mededinging)6. van 3 juli 2004, in de op het hoofdgeding toepasselijke versie, bepaalt:

§ 3a UWG luidt als volgt:

§ 8, leden 1 en 3, UWG luiden als volgt:

§ 2 UKlaG luidt:

Het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) geeft aan dat beroepsgerechtigde entiteiten in de zin van § 3, lid 1, eerste volzin, punt 1, UKlaG krachtens die bepaling verbodsacties kunnen instellen tegen schendingen van de wetgeving op het gebied van consumentenbescherming, waaronder volgens § 2, lid 2, eerste volzin, punt 11, van die wet ook de voorschriften vallen die zien op de toelaatbaarheid van het verzamelen, verwerken of gebruiken door een handelaar van persoonsgegevens van een consument voor reclamedoeleinden. Nog op grond van § 3, lid 1, eerste volzin, punt 1, UKlaG kunnen beroepsgerechtigde entiteiten overeenkomstig § 1 UKlaG bovendien een verbodsactie instellen tegen de toepassing van algemene voorwaarden die krachtens § 307 van het Bürgerliche Gesetzbuch (Duits burgerlijk wetboek; hierna: ‘BGB’) als ongeldig moeten worden beschouwd indien zij van mening zijn dat die algemene voorwaarden schending opleveren van een bepaling van gegevensbeschermingsrecht.

§ 13, lid 1, van het Telemediengesetz (wet inzake elektronische media; hierna: ‘TMG’)9., van 26 februari 2007, bepaalt:

In het arrest Fashion ID heeft het Hof zich ten aanzien van richtlijn 95/46 uitgesproken over een soortgelijke vraag als die in deze prejudiciële verwijzing. Zo heeft het verklaard dat ‘de artikelen 22, 23 en 24 van [die richtlijn] aldus moeten worden uitgelegd dat zij niet in de weg staan aan een nationale regeling op grond waarvan verenigingen die consumentenbelangen behartigen, in rechte mogen optreden tegen degene van wie wordt vermoed dat hij inbreuk maakt op de bescherming van persoonsgegevens’.12.

Om tot die conclusie te komen, is het Hof uitgegaan van de vaststelling dat in geen enkele bepaling van richtlijn 95/46 aan de lidstaten de verplichting wordt opgelegd of uitdrukkelijk de bevoegdheid wordt toegekend om in hun nationale recht een vereniging de mogelijkheid te bieden om een betrokkene in rechte te vertegenwoordigen of om op eigen initiatief een rechtsvordering in te stellen tegen degene van wie wordt vermoed dat hij inbreuk maakt op de bescherming van persoonsgegevens.13. Volgens het Hof betekent dit echter niet dat de richtlijn in de weg staat aan een nationale regeling op grond waarvan verenigingen die consumentenbelangen behartigen, in rechte mogen optreden tegen degene van wie wordt vermoed dat hij zich aan een dergelijke inbreuk schuldig maakt.14. In dat verband heeft het Hof gewezen op de inherente kenmerken van een richtlijn en op de verplichting die rust op de lidstaten waarvoor de betreffende richtlijn bestemd is om alle maatregelen te treffen die nodig zijn om de volle werking van die richtlijn overeenkomstig het ermee beoogde doel te verzekeren.15.

Het Hof heeft eraan herinnerd dat een van de doelstellingen van richtlijn 95/46 erin bestaat ‘met betrekking tot de verwerking van persoonsgegevens te zorgen voor een doeltreffende en volledige bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, met name het recht op bescherming van de persoonlijke levenssfeer’ en ‘een hoog beschermingsniveau in de [Europese] Unie te waarborgen’.16. Volgens het Hof draagt het feit dat een lidstaat in zijn nationale regeling aan een vereniging die consumentenbelangen behartigt, de mogelijkheid biedt om een rechtsvordering in te stellen tegen degene van wie wordt vermoed dat hij inbreuk maakt op de bescherming van persoonsgegevens, bij aan de verwezenlijking van deze doelstellingen.17. Het Hof heeft bovendien benadrukt dat ‘de lidstaten bij de omzetting van […] richtlijn [95/46] in velerlei opzicht over speelruimte beschikken’18., in het bijzonder met betrekking tot de artikelen 22, 23 en 24 van die richtlijn, die ‘in algemene bewoordingen zijn gesteld, en die geen uitputtende harmonisatie tot stand brengen van de nationale bepalingen inzake beroepen die bij de rechter kunnen worden ingesteld tegen degene van wie wordt vermoed dat hij inbreuk maakt op de bescherming van persoonsgegevens’19.. ‘Dat aan een vereniging die consumentenbelangen behartigt, de mogelijkheid wordt geboden om een rechtsvordering in te stellen tegen degene van wie wordt vermoed dat hij inbreuk maakt op de bescherming van persoonsgegevens, lijkt [dus] te kunnen worden aangemerkt als een in [artikel 24 van de richtlijn] bedoelde passende maatregel, die […] overeenkomstig de rechtspraak van het Hof bijdraagt aan de verwezenlijking van de met die richtlijn nagestreefde doelstellingen’.20.

Met de onderhavige prejudiciële verwijzing wordt het Hof verzocht om te bepalen of hetgeen onder richtlijn 95/46 was toegestaan, na de inwerkingtreding van verordening 2016/679 moet worden verboden. Leidt artikel 80, lid 2, van deze verordening met andere woorden tot de schrapping in rechte van de procesbevoegdheid van een vereniging die consumentenbelangen behartigt in het kader van een verbodsactie zoals die in het hoofdgeding?

Dat valt reeds te betwijfelen op basis van punt 62 van het arrest Fashion ID, waarin het Hof heeft opgemerkt dat ‘het feit dat het de lidstaten op grond van artikel 80, lid 2, van verordening 2016/679 […] uitdrukkelijk is toegestaan om verenigingen die consumentenbelangen behartigen, de mogelijkheid te bieden in rechte op te treden tegen degene van wie wordt vermoed dat hij inbreuk maakt op de bescherming van persoonsgegevens, geenszins [impliceert] dat de lidstaten hun dit recht onder de vigeur van richtlijn 95/46 niet mochten toekennen, maar […] door dat feit juist [wordt] bevestigd dat de in dit arrest in aanmerking genomen uitlegging van die richtlijn de wil van de Uniewetgever weerspiegelt’.21.

Om de redenen die ik hierna zal uiteenzetten, ben ik van oordeel dat noch de vervanging van richtlijn 95/46 door een verordening, noch de omstandigheid dat in verordening 2016/679 een artikel is gewijd aan de vertegenwoordiging van betrokkenen in het kader van rechtsvorderingen, iets afdoet aan het oordeel van het Hof in het arrest Fashion ID, te weten dat het de lidstaten is toegestaan om verenigingen die consumentenbelangen behartigen, de mogelijkheid te bieden in rechte op te treden tegen degene van wie wordt vermoed dat hij inbreuk maakt op de bescherming van persoonsgegevens.

Er zij met betrekking tot de vervanging van richtlijn 95/46 door een andere regeling, te weten verordening 2016/679, op gewezen dat de keuze van de Uniewetgever voor de rechtsvorm van een verordening, die krachtens artikel 288 VWEU verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat, te verklaren is door de wil van die wetgever om, zoals aangegeven in overweging 13 van verordening 2016/679, natuurlijke personen in de gehele Unie een consistent niveau van bescherming te bieden en te voorkomen dat verschillen het vrije verkeer van persoonsgegevens op de interne markt hinderen. Met deze verordening lijkt op het eerste gezicht dan ook een volledige harmonisatie te worden nagestreefd waarbij niet louter minimumnormen worden vastgesteld die de lidstaten strenger zouden kunnen maken en aan de lidstaten niet de keuze laten om af te wijken van de bepalingen van de verordening of deze aan te vullen of uit te voeren, teneinde de gelijktijdige en uniforme toepassing in de Unie van de bepalingen van de verordening niet gevaar te brengen.

De werkelijkheid blijkt complexer. De rechtsgrondslag van verordening 2016/679, te weten artikel 16 VWEU22., verzet zich immers tegen de aanname dat de Unie met de vaststelling van die verordening alle mogelijke vertakkingen zou hebben bestreken die de bescherming van persoonsgegevens kan hebben op andere gebieden, met name betreffende het arbeidsrecht, het mededingingsrecht of het consumentenrecht, door de lidstaten het recht te ontzeggen om op meer of minder autonome wijze, naargelang het al dan niet een bij het Unierecht geregeld gebied betreft, specifieke voorschriften op die gebieden vast te stellen.23. In die zin is de met verordening 2016/679 beoogde harmonisatie, ook al is de bescherming van persoonsgegevens transversaal van aard, beperkt tot de specifieke aspecten die ter zake worden geregeld in de verordening. Daarbuiten staat het de lidstaten nog steeds vrij wetgeving vast te stellen, voor zover die geen afbreuk doet aan de inhoud en de doelstellingen van de verordening.

Als de bepalingen van verordening 2016/679 nader worden bekeken, dient te worden vastgesteld dat de omvang van de met die verordening beoogde harmonisatie verschilt naargelang de specifieke bepaling. De normatieve werking van de verordening moet dus per geval afzonderlijk worden bepaald.24. Hoewel in lijn met de vaste rechtspraak betreffende richtlijn 95/4625. kan worden gesteld dat verordening 2016/679 ‘in beginsel tot een volledige harmonisatie’ strekt, wordt in diverse bepalingen van die verordening evenwel een manoeuvreerruimte aan de lidstaten gelaten die, naargelang van het geval, door hen kan worden aangewend onder de voorwaarden en binnen de grenzen die in die bepalingen zijn vastgesteld.26.

Er zij aan herinnerd dat volgens vaste rechtspraak van het Hof ‘bepalingen van verordeningen krachtens artikel 288 VWEU en wegens hun aard en hun functie in het systeem van de bronnen van het Unierecht in het algemeen rechtstreekse werking hebben in de nationale rechtsorden, zonder dat de nationale autoriteiten uitvoeringsmaatregelen hoeven vast te stellen. Voor sommige bepalingen kan het evenwel noodzakelijk zijn dat door de lidstaten nationale maatregelen ter uitvoering ervan worden vastgesteld’.27. Het gebruik van een verordening betekent niet noodzakelijk dat de bepalingen van die verordening aan de rechtssubjecten geen enkele bewegingsruimte laten.28. Het verbindende en rechtstreeks toepasselijke karakter van een verordening belet overigens niet dat een dergelijke handeling facultatieve regels kan bevatten.29.

Artikel 80, lid 2, van verordening 2016/679 is, gelet op het gebruik van het woord ‘kunnen’, een voorbeeld van een facultatieve bepaling die de lidstaten een beoordelingsmarge laat bij de uitvoering ervan.

Deze bepaling maakt deel uit van de talrijke ‘open clausules’ in deze verordening, die deze verordening onderscheiden van een klassieke verordening en haar meer op een richtlijn doen lijken.30. De verwijzingen naar het nationale recht in deze clausules kunnen verbindend zijn31., maar vaker nog betreffen zij een mogelijkheid die aan de lidstaten wordt geboden32.. Gebleken is dat de talrijke verwijzingen naar de nationale rechtsorden het risico meebrengen van een nieuwe versnippering van het stelsel voor de bescherming van persoonsgegevens binnen de Unie, hetgeen zou indruisen tegen de wil van de Uniewetgever om tot een verder doorgedreven uniformisering van dat stelsel te komen en nadelige gevolgen zou kunnen hebben voor de doeltreffendheid van voornoemde bescherming en voor de begrijpelijkheid van de verplichtingen voor de verwerkingsverantwoordelijken en verwerkers.33. De reikwijdte van de bij verordening 2016/679 tot stand gebrachte harmonisatie wordt dus beperkt door de talrijke ‘open clausules’ in die verordening.

Het is duidelijk dat de Uniewetgever de aspecten die verband houden met de vertegenwoordiging van betrokkenen met het oog op het indienen van een klacht bij een toezichthoudende autoriteit of het instellen van een rechtsvordering in verordening 2016/679 uitgebreider en nauwkeuriger heeft willen regelen dan in richtlijn 95/46 het geval was.34. Lid 1 en lid 2 van artikel 80 van deze verordening hebben evenwel niet dezelfde normatieve werking. Terwijl lid 1 van dit artikel verbindend is voor de lidstaten35., biedt lid 2 hun immers louter een mogelijkheid. Zo is het noodzakelijk dat de lidstaten, opdat de in artikel 80, lid 2, van de verordening bedoelde representatieve vordering zonder machtiging kan worden ingesteld, gebruikmaken van de in die bepaling geboden mogelijkheid om deze vorm van vertegenwoordiging van betrokkenen op te nemen in hun nationale recht.

Artikel 80, lid 2, van verordening 2016/679 kan niet worden geacht tot een volledige harmonisatie van de representatieve vorderingen zonder machtiging op het gebied van de bescherming van persoonsgegevens te hebben geleid, al is het maar omdat deze bepaling facultatief is en er daardoor verschillen tussen de nationale rechtsstelsels kunnen bestaan. De lidstaten moeten bij de omzetting van deze bepaling in hun nationale recht evenwel de voorwaarden en beperkingen eerbiedigen die de Uniewetgever aan het gebruik van de in deze bepaling geboden mogelijkheid heeft gesteld.

Hoewel die voorwaarden nauwkeuriger zijn omschreven dan in richtlijn 95/46 het geval was, behouden de lidstaten een aanzienlijke beoordelingsmarge bij de tenuitvoerlegging van artikel 80, lid 2, van verordening 2016/679.

Uit de gegevens waarover het Hof beschikt, blijkt dat de Duitse wetgever na de inwerkingtreding van deze verordening geen specifieke bepalingen heeft vastgesteld om artikel 80, lid 2, van de verordening om te zetten in zijn nationale recht. Onderzocht moet echter worden, zoals de verwijzende rechter aan het Hof vraagt, of de bestaande voorschriften van het Duitse recht waarbij verenigingen die consumentenbelangen behartigen procesbevoegdheid is verleend om gedragingen te doen staken die een schending opleveren van zowel de bepalingen van verordening 2016/679 als de voorschriften ter bescherming van de consumenten, verenigbaar zijn met die bepaling. Met andere woorden, is het nationale recht dat werd vastgesteld vóórdat deze verordening in werking is getreden, in overeenstemming met hetgeen volgens artikel 80, lid 2, van die verordening is toegestaan?

Zoals de Duitse regering tijdens de terechtzitting heeft verduidelijkt, betreffen de nationale bepalingen waarbij verenigingen zoals het Bundesverband worden gemachtigd om een representatieve vordering zoals die in het hoofdgeding in te stellen, maatregelen ter omzetting van richtlijn 2009/22. Ter beantwoording van de vraag of dergelijke vorderingen eveneens zijn toegestaan op grond van artikel 80, lid 2, van verordening 2016/679 en of voornoemde nationale bepalingen derhalve zijn vastgesteld in het kader van de beoordelingsvrijheid die elke lidstaat toekomt36., dient dit artikel te worden uitgelegd tegen de achtergrond van zowel de bewoordingen ervan als de systematiek en de doelstellingen van de verordening.

Volgens artikel 80, lid 2, van verordening 2016/679 kunnen de representatieve vorderingen waarin dat artikel voorziet, worden ingesteld door ‘een orgaan, organisatie of vereniging als bedoeld in lid 1’ van dat artikel. Artikel 80, lid 1, van deze verordening gewaagt van ‘een orgaan, organisatie of vereniging zonder winstoogmerk dat of die op geldige wijze volgens het recht van een lidstaat is opgericht, waarvan de statutaire doeleinden het openbare belang dienen, en dat of die actief is op het gebied van de bescherming van de rechten en vrijheden van de betrokkene in verband met de bescherming van diens persoonsgegevens’. Een dergelijke definitie kan mijns inziens niet worden beperkt tot entiteiten die uitsluitend de bescherming van persoonsgegevens tot doel hebben, maar bestrijkt alle entiteiten die een doelstelling van openbaar belang nastreven die verband houdt met de bescherming van persoonsgegevens. Dat is het geval voor verenigingen die consumentenbelangen behartigen, zoals het Bundesverband, die vorderingen instellen tot staking van gedragingen die, doordat zij inbreuk maken op de bepalingen van deze verordening, eveneens de regels inzake consumentenbescherming of de strijd tegen oneerlijke mededinging schenden.37.

Uit artikel 80, lid 2, van verordening 2016/679 volgt dat de representatieve vordering kan worden ingesteld door een entiteit die voldoet aan de in lid 1 van dat artikel genoemde voorwaarden, indien zij ‘van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking’. In tegenstelling tot wat de verwijzende rechter lijkt te suggereren, geloof ik niet dat die laatste zinssnede restrictief moet worden uitgelegd, alsof deze zou betekenen dat entiteiten, teneinde over procesbevoegdheid te beschikken volgens hetgeen artikel 80, lid 2, van verordening 2016/679 bepaalt, vooraf een of meerdere personen zouden moeten identificeren die door de desbetreffende verwerking de facto worden geraakt. Niets in de ontstaansgeschiedenis van deze verordening wijst daarop. Bovendien lijkt de definitie van het begrip ‘betrokkene’ in de zin van artikel 4, punt 1, van de verordening, te weten ‘een geïdentificeerde of identificeerbare natuurlijke persoon’38. mijns inziens in tegenspraak te zijn met het vereiste dat personen wier persoonsgegevens in strijd met de bepalingen van verordening 2016/679 zijn verwerkt, reeds geïdentificeerd moeten zijn op het tijdstip waarop een representatieve vordering wordt ingesteld op grond van artikel 80, lid 2, van die verordening. Daaruit volgt logischerwijs dat uit hoofde van deze bepaling niet kan worden geëist dat een entiteit het bestaan van concrete gevallen jegens individueel aangeduide personen aantoont teneinde bevoegd te zijn om een vordering in te stellen overeenkomstig die bepaling.

Ik ben van mening dat om volgens artikel 80, lid 2, van verordening 2016/679 een representatieve vordering te kunnen instellen, enkel hoeft te worden aangevoerd dat er sprake is van een verwerking van persoonsgegevens die is verricht in strijd met bepalingen van deze richtlijn waarbij individuele rechten worden beschermd, zodat die verwerking de rechten van geïdentificeerde of identificeerbare personen kan schenden, zonder dat de procesbevoegdheid van een entiteit voor elk geval afzonderlijk hoeft te worden getoetst aan de vraag of de rechten van een of meerdere specifieke personen zijn geschonden.39. Kortom, een dergelijke vordering moet gebaseerd zijn op de schending van de rechten die een natuurlijke persoon ten gevolge van een verwerking van zijn persoonsgegevens aan die verordening kán ontlenen. Deze vordering heeft niet tot doel een objectief recht te beschermen, maar strekt uitsluitend tot bescherming van de subjectieve rechten die de betrokkenen rechtstreeks ontlenen aan verordening 2016/679.40. Met de open clausule in artikel 80, lid 2, van de verordening wordt met andere woorden beoogd dat procesbevoegde entiteiten door een toezichthoudende autoriteit of door een rechter kunnen laten controleren of de verwerkingsverantwoordelijken de in de verordening vastgestelde voorschriften ter bescherming van betrokkenen hebben nageleefd.41. In dat opzicht volstaat het dat een entiteit de schending aanvoert van bepalingen van verordening 2016/679 die tot doel hebben de subjectieve rechten van betrokkenen te beschermen opdat zij procesbevoegd zou zijn uit hoofde van artikel 80, lid 2.

Zoals de Commissie in wezen aangeeft, zou een uitlegging van artikel 80, lid 2, van verordening 2016/679 waarbij een entiteit, teneinde een representatieve vordering zonder machtiging te kunnen instellen, zou moeten aantonen of aanvoeren dat de rechten van een bepaalde persoon in een bepaalde situatie zijn geschonden, de werkingssfeer van deze bepaling al te zeer inperken. Net als de Portugese regering en de Commissie ben ik van mening dat artikel 80, lid 2, van deze verordening aldus moet worden uitgelegd dat de nuttige werking ervan behouden blijft ten opzichte van lid 1 van dat artikel. Artikel 80, lid 2, van die verordening moet volgens mij dan ook aldus worden opgevat dat het verder reikt dan alleen de vertegenwoordiging van individuele gevallen zoals bedoeld in lid 1 van dat artikel, doordat het de mogelijkheid biedt om — op eigen initiatief van de procesbevoegde autoriteiten — de collectieve belangen van personen wier persoonsgegevens in strijd met verordening 2016/679 zijn verwerkt, autonoom te vertegenwoordigen De nuttige werking van artikel 80, lid 2, van die verordening zou sterk worden beperkt indien zou worden geoordeeld dat entiteiten, net zoals in lid 1 van dat artikel wordt geëist, in beide gevallen uitsluitend vorderingen ter vertegenwoordiging van individueel en met naam aangeduide personen zouden kunnen instellen.

Deze door mij bepleite uitlegging van artikel 80, lid 2, van verordening 2016/679 strookt overigens met het preventieve karakter en het ontradende doel van verbodsacties en met het feit dat zij losstaan van enig individueel conflict.42.

Om te vermijden dat er met betrekking tot de procesbevoegdheid van entiteiten die een verbodsactie kunnen instellen twee verschillende maatstaven zouden ontstaan naargelang de betrokken verbodsactie gebaseerd is op een nationale maatregel die binnen de werkingssfeer van artikel 80, lid 2, van verordening 2016/679 dan wel binnen de werkingssfeer van richtlijn 2020/1828 valt, lijkt het mij aangewezen om — hoewel die richtlijn niet van toepassing is in het hoofdgeding — rekening te houden met het feit dat laatstgenoemde richtlijn niet van dergelijke entiteiten eist dat zij individuele, met naam aangeduide consumenten ten tonele voeren die zijn geraakt door de inbreuk in kwestie43., maar wel dat zij aanvoeren dat handelaren inbreuken hebben gepleegd op de in bijlage I bij die richtlijn bedoelde bepalingen van Unierecht44., welke bijlage overigens melding maakt van verordening 2016/679, in punt 56 ervan.

Indien het standpunt wordt ingenomen dat artikel 80, lid 2, van verordening 2016/679 restrictief moet worden uitgelegd, worden de verdediging van de collectieve belangen van consumenten45. en de bescherming van de rechten van elke persoon wiens gegevens in strijd met deze verordening zijn verwerkt, mijns inziens ten onrechte als antipoden benaderd. De verdediging van de collectieve belangen van consumenten sluit volgens mij immers de bescherming van de subjectieve rechten die betrokkenen rechtstreeks aan verordening 2016/679 ontlenen niet uit, maar maakt juist deel uit van die bescherming.

Ik zie in het feit dat in overweging 15 van richtlijn 2020/1828 staat te lezen dat ‘[i]ndien van toepassing[…] bijvoorbeeld nog steeds een beroep [kan] worden gedaan op de handhavingsmechanismen die zijn vastgelegd in of krachtens verordening […] 2016/679 […] om de collectieve belangen van consumenten te beschermen’46., overigens de bevestiging dat de in artikel 80, lid 2, van deze verordening bedoelde representatieve vordering wel degelijk kan strekken tot de bescherming van laatstgenoemde belangen.

Uit het voorgaande leid ik af dat artikel 80, lid 2, van verordening 2016/679 de lidstaten mijns inziens toestaat te voorzien in een mogelijkheid voor bevoegde entiteiten om, zonder machtiging van de betrokkenen, representatieve vorderingen in te stellen om de collectieve belangen van de consumenten te beschermen, voor zover schending wordt aangevoerd van bepalingen van die verordening die tot doel hebben subjectieve rechten aan de betrokkenen te verlenen.

Dat is wel degelijk het geval in de verbodsactie die het Bundesverband heeft ingesteld tegen Facebook Ireland.

Ik herinner eraan dat Facebook Ireland naar de mening van de verwijzende rechter en volgens de vordering van het Bundesverband de voor haar uit artikel 12, lid 1, eerste volzin, van verordening 2016/679 voortvloeiende verplichting niet is nagekomen om ervoor te zorgen dat de betrokkene de in artikel 13, lid 1, onder c) en e), van deze verordening bedoelde informatie over de verwerkingsdoeleinden en de ontvanger van de persoonsgegevens in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt. Deze bepalingen behoren ontegensprekelijk tot de categorie van bepalingen waarbij subjectieve rechten worden verleend aan de betrokkenen, wat met name wordt bevestigd door het feit dat zij zijn opgenomen in hoofdstuk III van de verordening, met als opschrift ‘Rechten van de betrokkene’. De bescherming van die rechten kan dus hetzij rechtstreeks door de betrokkenen worden gevorderd, hetzij door een entiteit die daartoe bevoegd is krachtens artikel 80, lid 1, van verordening 2016/679 dan wel krachtens nationale bepalingen tot omzetting van artikel 80, lid 2, van die verordening.

Ik ben voorts van mening dat artikel 80, lid 2, van verordening 2016/679 zich niet verzet tegen nationale regelingen die bepalen dat een vereniging die consumentenbelangen behartigt, bevoegd is om een verbodsactie in te stellen teneinde de eerbiediging te garanderen van de rechten die bij die verordening zijn verleend middels voorschriften die de bescherming van consumenten en de bestrijding van oneerlijke handelspraktijken beogen. Dergelijke regelingen kunnen namelijk soortgelijke bepalingen bevatten als voornoemde verordening, in het bijzonder ten aanzien van de informatie die aan betrokkenen moet worden verstrekt over de verwerking van hun persoonsgegevens47., wat impliceert dat een inbreuk op een voorschrift inzake de bescherming van persoonsgegevens tegelijkertijd een inbreuk kan opleveren van de voorschriften inzake consumentenbescherming of oneerlijke handelspraktijken. Niets in de tekst van artikel 80, lid 2, verordening 2016/679 belet een gedeeltelijke omzetting van die open clausule, in zoverre de representatieve vordering strekt tot bescherming van de rechten die betrokkenen, in hun hoedanigheid van consumenten, aan deze verordening ontlenen.48.

Die uitlegging van artikel 80, lid 2, verordening 2016/679 is volgens mij, in deze vorm, het meest geschikt om de met die verordening nagestreefde doelstellingen te bereiken.

In dat verband heeft het Hof opgemerkt dat ‘[z]oals blijkt uit artikel 1, lid 2, van verordening 2016/679, gelezen in samenhang met de overwegingen 10, 11 en 13 ervan, […] deze verordening de instellingen, organen en instanties van de Unie en de bevoegde autoriteiten van de lidstaten bijgevolg de verplichting [oplegt] om een hoog niveau van bescherming van de door artikel 16 VWEU en artikel 8 van het Handvest [van de grondrechten van de Europese Unie] gewaarborgde rechten te waarborgen’.49. Bovendien is voornoemde verordening erop gericht ‘te zorgen voor een doeltreffende bescherming van de grondrechten en fundamentele vrijheden van natuurlijke personen, met name hun recht op eerbiediging van de persoonlijke levenssfeer en op bescherming van persoonsgegevens’.50.

Aan de doelstelling om een hoog niveau van bescherming van persoonsgegevens te waarborgen zou worden afgedaan indien het de lidstaten zou worden belet maatregelen te nemen die, hoewel zij de bescherming van de consument beogen, eveneens bijdragen aan de verwezenlijking van de doelstelling van bescherming van de persoonsgegevens. Net zoals bij richtlijn 95/46 het geval was, kan ook na de inwerkingtreding van verordening 2016/679 nog steeds de stelling worden verdedigd dat het verlenen van procesbevoegdheid aan verenigingen die consumentenbelangen behartigen om in strijd met de bepalingen van deze verordening verrichte verwerkingen te doen staken, de rechten van de betrokkenen helpt te versterken via groepsacties.51.

De verdediging van de collectieve belangen van consumenten door verenigingen is dus bijzonder geschikt om een hoog niveau van bescherming van persoonsgegevens tot stand te brengen. Vanuit deze optiek zou de preventieve werking van de vorderingen die door deze verenigingen worden ingesteld, niet kunnen worden verzekerd indien de representatieve vordering waarin artikel 80, lid 2, van verordening 2016/679 voorziet, uitsluitend betrekking zou hebben op schendingen van de rechten van personen die daardoor individueel en daadwerkelijk worden geraakt.

Een verbodsactie die wordt ingesteld door een vereniging die consumentenbelangen behartigt, zoals het Bundesverband, draagt er dus ontegensprekelijk aan bij dat de effectieve toepassing van de rechten die door verordening 2016/679 worden beschermd, wordt verzekerd.52.

Bovendien zou het op zijn minst paradoxaal zijn dat de versterking van de middelen om de naleving van de regels betreffende de bescherming van persoonsgegevens te controleren die de Uniewetgever met de vaststelling van verordening 2016/679 voor ogen had, uiteindelijk zou leiden tot een daling van het niveau van die bescherming ten opzichte van het niveau dat de lidstaten onder de vigeur van richtlijn 95/46 konden verzekeren.

Het klopt dat de regelgeving inzake oneerlijke handelspraktijken, enerzijds, en de regelgeving inzake de bescherming van persoonsgegevens, anderzijds, zich in het Unierecht — in tegenstelling tot in de Verenigde Staten — los van elkaar hebben ontwikkeld. Voor beide gebieden geldt derhalve een ander rechtskader.

Er bestaat evenwel een wisselwerking tussen beide gebieden, waardoor vorderingen in het kader van de regelgeving inzake de bescherming van persoonsgegevens tegelijkertijd indirect kunnen bijdragen aan het doen staken van een oneerlijke handelspraktijk. Het omgekeerde is eveneens het geval.53. Bovendien blijkt uit verordening 2016/679 zelf, en met name uit overweging 42, dat er een verband bestaat tussen de bescherming van persoonsgegevens, vanuit het oogpunt van de toestemming die wordt gegeven voor de verwerking van die gegevens, en de bescherming van de consument. De Commissie heeft overigens gewezen op de wisselwerking tussen de Unieregelgeving betreffende de bescherming van persoonsgegevens en richtlijn 2005/29/EG54..

De gevallen waarin er sprake is van een wisselwerking tussen het recht inzake de bescherming van persoonsgegevens, het consumentenrecht en het mededingingsrecht zijn veelvuldig en meervoudig, aangezien dezelfde gedraging tegelijkertijd onder rechtsregelingen kan vallen die tot deze verschillende gebieden behoren. Een dergelijke wisselwerking helpt om de bescherming van persoonsgegevens doeltreffender te maken.55.

Het is juist dat de begunstigden van de bij verordening 2016/679 verleende rechten niet beperkt zijn tot de categorie ‘de consument’, aangezien de verordening niet berust op een consumentgerichte opvatting van de bescherming van natuurlijke personen wat de verwerking van persoonsgegevens betreft56., maar op de opvatting dat deze bescherming, overeenkomstig artikel 8 van het Handvest van de grondrechten en zoals in overweging 1 en in artikel 1, lid 2, van de verordening is vermeld, een grondrecht is57..

Dat neemt echter niet weg dat de betrokkenen in het digitale tijdperk vaak consumenten zijn. Dat is dan ook de reden waarom de regels ter bescherming van consumenten vaak worden ingeroepen om die consumenten te beschermen tegen een verwerking van hun persoonsgegevens die is verricht in strijd met de bepalingen van verordening 2016/679.

Aan het einde van deze analyse moet worden vastgesteld dat er mogelijk een overlapping bestaat tussen de representatieve vordering van artikel 80, lid 2, van verordening 2016/679 en die waarin richtlijn 2020/1828 voorziet om stakingsmaatregelen te verkrijgen, wanneer de ‘betrokkenen’ in de zin van deze verordening eveneens ‘consumenten’ zijn in de zin van artikel 3, punt 1, van die richtlijn.58. Volgens mij wijst dit erop dat het recht inzake de bescherming van persoonsgegevens complementair is en samenhangt met andere rechtsgebieden, zoals het consumentenrecht en het mededingingsrecht. De Uniewetgever heeft die tendens bij de vaststelling van voornoemde richtlijn nog verder doorgedreven door de bescherming van de collectieve belangen van de consument nadrukkelijker te verbinden aan de naleving van verordening 2016/679. Dat kan de effectieve toepassing van de in die verordening vervatte voorschriften alleen maar ten goede komen.