Het Hof van Justitie EU (HvJEU) heeft geoordeeld dat consumentenbelangenorganisaties in een collectieve actie op kunnen treden tegen privacy-inbreuken via een beroep op de schending van consumentenrechten. Een machtiging van de betrokken individuen is daarvoor niet vereist. Bovendien is voor het erkennen van procesbevoegdheid niet nodig dat deze organisatie schending van concrete AVG-rechten van individuele betrokkenen bewijst.
Collectieve actie tegen Facebook
Een Duitse consumentenbelangenorganisatie, het Bundesverband, heeft een collectieve actie ingesteld tegen Facebook (Meta). Facebook biedt gebruikers in het appcentrum op haar platform gratis spellen van derde leveranciers aan. Bij het aanklikken van deze spellen krijgen gebruikers de melding dat het gebruik van de applicatie de leverancier de mogelijkheid biedt persoonsgegevens te ontvangen. Bovendien staat in deze melding dat het betreffende spelbedrijf het recht heeft om namens de gebruiker bepaalde gegevens te posten. Daarbij gaat het bijvoorbeeld om de behaalde score. Door de spellen te spelen, gaat de gebruiker automatisch akkoord met deze voorwaarden en het gegevensbeschermingsbeleid.
Oneerlijke mededinging
Het Bundesverband acht die handelswijze oneerlijk. Met name wijst zij erop dat sprake is van strijd met de eisen die in het gegevensbeschermingsrecht aan rechtsgeldige toestemming worden gesteld. Bovendien is de melding dat het de applicatie is toegestaan om bepaalde gegevens te posten volgens het Bundesverband een algemene voorwaarde die de gebruiker ten onrechte benadeelt.
Het Bundesverband heeft bij de Duitse rechtbank dan ook een verbodsactie tegen Meta ingesteld op grond van oneerlijke mededinging. Deze actie heeft zij ingesteld los van een specifieke inbreuk op de gegevensbeschermingsrechten van een individuele betrokkene. Ook heeft het Bundesverband geen opdracht gekregen van individuele betrokkenen om de verbodsactie in te stellen.
Ontvankelijkheid consumentenbelangenorganisaties
De vordering van het Bundesverband is door nationale rechters in eerste aanleg en in hoger beroep toegewezen. Meta heeft daarop bij de verwijzende rechter een beroep tot Revision (cassatie) ingesteld tegen de beslissing van de appelrechter.
Ontvankelijkheid onder de AVG
De verwijzende rechter acht de vordering van het Bundesverband gegrond, maar vraagt zich af of de organisatie wel ontvankelijk is.
Daarvoor is relevant dat de zaak zijn aanvang nam voor de inwerkingtreding van de AVG. In dat kader overweegt de verwijzende rechter dat het Bundesverband op grond van nationaal Duits recht procesbevoegd is. Volgens de Duitse rechter is echter niet uit te sluiten dat het Bundesverband deze bevoegdheid door de inwerkingtreding van de AVG verloren is. Artikel 80(2) AVG bevat immers geen regeling waaraan een vereniging procesbevoegdheid kan ontlenen met het oog op de objectieve handhaving van het gegevensbeschermingsrecht. De AVG vereist volgens deze rechter immers dat sprake is van een schending van de privacyrechten van betrokkene ten gevolge van een specifieke verwerking. Bovendien leidt de verwijzende rechter uit de opzet van de AVG af dat de handhaving van de AVG primair aan nationale autoriteiten gelaten is.
Prejudiciële vraag
Het Duitse recht bevat echter wél een regeling die consumentenbelangenorganisaties in staat stelt het gegevensbeschermingsrecht objectief te handhaven. Zij kunnen dat doen zonder opdracht daartoe van betrokkenen. De overtreding van het gegevensbeschermingsrecht kan worden aangevoerd in het kader van een vordering die gegrond is op de overtreding van consumentenwetgeving. De procedure kan bovendien worden ingesteld zonder dat bewijs geleverd hoeft te worden van specifieke inbreuken op het gegevensbeschermingsrecht jegens individuele betrokkenen.
De verwijzende rechter vraagt het HvJEU dan ook of artikel 80(2) AVG zich verzet tegen deze Duitse regeling.
HvJEU: Duitse regeling toegestaan
In artikel 80(1) AVG is neergelegd dat betrokkenen organen, organisaties of verenigingen opdracht kunnen geven om namens hen enkele rechten uit de AVG uit te oefenen. Deze organen, organisaties en verenigingen moeten wel aan vereisten voldoen. Zo mogen zij onder meer geen winstoogmerk hebben en moeten de statutaire doelstellingen een algemeen belang dienen. Op grond van artikel 80(2) AVG mogen lidstaten in nationaal recht bepalen dat organen, organisaties of verenigingen die onder artikel 80(1) AVG vallen ook zonder opdracht daartoe bepaalde rechten kunnen uitoefenen.
Openingsclausules
Het HvJEU wijst in haar uitspraak eerst op enkele algemene punten. Hoewel de AVG in beginsel maximumharmonisatie beoogt, bevat zij verschillende openingsclausules. Artikel 80(2) AVG is daar een voorbeeld van. Openingsclausules laten ruimte voor nadere nationale invulling door lidstaten. Die verdere invulling mag vanzelfsprekend geen afbreuk doen aan de inhoud en doelstellingen van de AVG.
Ruime interpretatie
Vervolgens gaat het HvJEU over tot een inhoudelijke beoordeling. Het HvJEU overweegt dat een vereniging die consumentenbelangen behartigt onder artikel 80(1) AVG kan vallen als zij een doelstelling van algemeen belang nastreeft. Het Duitse recht mag op grond van artikel 80(2) AVG dan ook bepalen dat een dergelijke consumentenbelangenorganisatie zonder opdracht van betrokkenen een vordering kan instellen wegens schending van de AVG.
Voor het starten van een procedure is bovendien niet vereist dat deze belangenorganisatie individuele betrokkenen identificeert, zo oordeelt het HvJEU. Het aanwijzen van een categorie of groep betrokkenen is voldoende om een vordering in te stellen. Net zomin is voor het aannemen van procesbevoegdheid nodig dat de consumentenbelangenorganisatie concrete schendingen van privacyrechten van individuele betrokkenen bewijst. Artikel 80(2) AVG bepaalt immers dat de betreffende organisatie (slechts) ‘van mening moet zijn’ dat sprake is van een schending. Voldoende is dat zij stelt dat de betrokken gegevensverwerking inbreuk kan maken op de rechten van betrokkenen onder de AVG.
Ten slotte overweegt het HvJEU dat artikel 80(2) AVG zich er niet tegen verzet dat in een procedure wordt opgekomen tegen de schending van de AVG via een beroep op (overtreding van) consumentenwetgeving. Een overtreding van het gegevensbeschermingsrecht kan immers tegelijkertijd leiden tot een schending van consumentenwetgeving.
Het HvJEU beantwoordt de prejudiciële vraag dan ook ontkennend: een regeling zoals die in het Duitse recht is toegestaan.
Voorproefje richtlijn representatieve vorderingen
Deze uitspraak biedt nationale consumentenbelangenorganisaties rechtszekerheid in aanloop naar de toepassing van de richtlijn representatieve vorderingen. Deze richtlijn verplicht alle EU-lidstaten te voorzien in de mogelijkheid voor consumentenbelangenorganisaties om een representatieve vordering in te stellen. Dergelijke organisaties, die overigens wel aan aanvullende vereisten moeten voldoen, kunnen consumenten dan vertegenwoordigen in een collectieve procedure wegens overtreding van Europese regelgeving. De richtlijn geeft een opsomming van regelgeving die onderwerp kan zijn van een representatieve vordering. Ook de AVG staat op dat lijstje. De richtlijn moet worden toegepast met ingang van 25 mei 2023.
