Rechtbank Amsterdam, 29-12-2021, ECLI:NL:RBAMS:2021:7647, C/13/688682 / HA ZA 20-863
Rechtbank Amsterdam, 29-12-2021, ECLI:NL:RBAMS:2021:7647, C/13/688682 / HA ZA 20-863
Gegevens
- Instantie
- Rechtbank Amsterdam
- Datum uitspraak
- 29 december 2021
- Datum publicatie
- 29 december 2021
- ECLI
- ECLI:NL:RBAMS:2021:7647
- Zaaknummer
- C/13/688682 / HA ZA 20-863
Inhoudsindicatie
The Privacy Collective (TPC) treedt in deze zaak op ten behoeve van Nederlandse internetgebruikers. Zij stelt dat de softwarebedrijven Oracle en Salesforce de privacy van 10 miljoen Nederlandse internetgebruikers hebben geschonden. De wijze waarop dat volgens TPC is gebeurd (en de reactie daarop van Oracle en Salesforce) wordt kort in het vonnis beschreven (2.1-2.3).
In deze zaak wordt een schadevergoeding van in totaal 11 miljard euro gevorderd op grond van de Wet afwikkeling Massaschade in collectieve actie (WAMCA).
In deze fase van het geding is de voorvraag aan de orde of TPC volgens de regels van de WAMCA ontvankelijk is in haar vorderingen. Daarbij geldt als eis dat een claimstichting moet kunnen aantonen voldoende representatief te zijn. TPC kan echter niet aantonen dat haar vorderingen voldoende door belanghebbenden worden ondersteund. Zij heeft op haar website het volgende vermeld:
“HOEVEEL IS JE PRIVACY JE WAARD? We dagen twee grote techbedrijven voor de rechter om compensatie te eisen voor het grootschalige binnenslepen en verkopen van data van miljoenen Nederlanders, zonder geldige toestemming. (...) “
Door op de tekst ‘steun met 1 klik’ met het duimpje te klikken konden internetgebruikers hun steun betuigen. Volgens TPC heeft zij op deze wijze ruim 75.000 ‘likes’ verkregen. De rechtbank is van oordeel dat met deze likes niet kan worden vastgesteld dat TPC opkomt voor een voldoende groot deel van de groep getroffen benadeelden. De informatie over de te voeren procedure is daarvoor te vaag. Ook is niet vastgesteld of de personen die de procedure op deze manier steunen wel behoren tot de kring van benadeelden. Bovendien worden geen contactgegevens geregistreerd, zodat TPC geen contact kan onderhouden met haar achterban, terwijl de wet dat wel vereist.
De rechtbank biedt TPC geen mogelijkheid dit gebrek nog te herstellen, maar verklaart haar wegens gebrek aan representativiteit niet-ontvankelijk.
De rechtbank signaleert ten behoeve van toekomstige soortgelijke zaken de gevoerde discussie over de verhouding van de Algemene verordening gegevensbescherming (AVG) tot de WAMCA. In deze zaak is de rechtbank aan een beoordeling daarvan niet toegekomen.
Uitspraak
vonnis
Afdeling privaatrecht
zaaknummer / rolnummer: C/13/688682 / HA ZA 20-863
Vonnis van 29 december 2021 (bij vervroeging)
in de zaak van
de stichting
THE PRIVACY COLLECTIVE,
gevestigd te Amsterdam,
eiseres,
advocaat mr. F.M. Peters te Amsterdam,
tegen
1. de besloten vennootschap met beperkte aansprakelijkheid
ORACLE NEDERLAND B.V.,
gevestigd te Utrecht,
gedaagde,
advocaat mr. M.H. de Boer te Amsterdam,
2. de besloten vennootschap met beperkte aansprakelijkheid
SFDC NETHERLANDS B.V.,
gevestigd te Amsterdam,
gedaagde,
advocaat mr. G.H. Potjewijd te Amsterdam,
3. de rechtspersoon naar buitenlands recht
ORACLE CORPORATION,
gevestigd te Austin (Verenigde Staten van Amerika),
gedaagde,
advocaat mr. M.H. de Boer te Amsterdam,
4. de rechtspersoon naar buitenlands recht
ORACLE AMERICA, INC.,
gevestigd te Redwood Shores (Verenigde Staten van Amerika),
gedaagde,
advocaat mr. M.H. de Boer te Amsterdam,
5. de rechtspersoon naar buitenlands recht
SALESFORCE.COM, INC.,
gevestigd te San Francisco (Verenigde Staten van Amerika),
gedaagde,
advocaat mr. G.H. Potjewijd te Amsterdam.
Eiseres wordt hierna TPC genoemd. Gedaagden worden afzonderlijk aangeduid als Oracle Nederland, SFDC Netherlands, Oracle Corporation, Oracle America en Salesforce.com. Gedaagden onder 1, 3 en 4 worden samen (in vrouwelijk enkelvoud) Oracle genoemd. Gedaagden onder 2 en 5 worden samen (in vrouwelijk enkelvoud) Salesforce genoemd.
1 De procedure
Het verloop van de procedure blijkt uit:
- -
-
het tussenvonnis van 16 juni 2021,
- -
-
de brief van TPC van 25 juni 2021,
- -
-
de brief van Oracle van 1 juli 2021,
- -
-
de brief van Salesforce van 2 juli 2021,
- -
-
de rolbeslissing van 21 juli 2021,
- -
-
de akte uitlating verweren op grond van de AVG en de Telecommunicatiewet van TPC van 15 september 2021,
- -
-
het proces-verbaal van mondelinge behandeling van 15 november 2021 en de daarin vermelde stukken.
Partijen zijn in de gelegenheid gesteld om opmerkingen te maken over het buiten hun aanwezigheid opgestelde proces-verbaal van mondelinge behandeling.
Mr. S. van Schaik heeft namens TPC van deze gelegenheid gebruik gemaakt bij brief van
6 december 2021. Dit vonnis wordt gewezen met inachtneming van deze opmerkingen.
Ten slotte is een datum voor vonnis bepaald. Dit vonnis wordt bij vervroeging uitgesproken.
2 Waar deze zaak over gaat
Deze zaak heeft betrekking op persoonsgegevens van Nederlandse internetgebruikers. Volgens TPC verzamelen Oracle en Salesforce in het kader van een dienst, die Data Management Platform (hierna: DMP) wordt genoemd, persoonsgegevens van internetgebruikers, verwerken zij deze in gedetailleerde profielen en verkopen zij deze informatie aan derden om hen onder meer in staat te stellen gepersonaliseerde advertenties aan te bieden op websites.Deze gegevensverzameling begint volgens TPC met het door Oracle en Salesforce plaatsen van een cookie op de randapparatuur van de internetgebruiker. Met behulp van de cookie worden persoonsgegevens verzameld. Oracle en Salesforce verrijken de via de cookie verzamelde gegevens en andere unieke identificatoren met informatie uit alternatieve bronnen. Volgens TPC bouwen Oracle en Salesforce op dagelijkse basis aan een profiel, zodat een zo volledig mogelijk overzicht ontstaat van de karaktereigenschappen en interesses van de betreffende persoon. Het doel van de gegevensverwerkingen is onder meer om het profiel van de internetgebruiker te delen in een proces dat Real Time Bidding (hierna: “RTB”) wordt genoemd. Hierbij wordt het profiel van de internetgebruiker aangeboden aan adverteerders, teneinde gepersonaliseerde advertenties op websites te tonen. Oracle en Salesforce spelen met hun DMP-dienst een cruciale rol in het RTB-proces, aldus TPC.
Daarnaast stelt TPC dat de privacy van Nederlandse internetgebruikers is geschonden door een datalek bij Oracle.
Volgens Oracle worden cookies geplaatst door de website die de internetgebruiker bezoekt en kan een website uitsluitend cookies plaatsen voor de browser die wordt gebruikt om de website te bezoeken. De beslissing om wel of geen cookies te gebruiken - en zo ja, welke cookies - wordt altijd enkel genomen door de websitehouder.
Oracle betwist dat de DMP-dienst cruciaal is voor het door TPC gestelde doel van het RTB-proces. Oracle betwist dat zij advertentiediensten verleent. Het enige dat Oracle doet, is klanten een middel bieden om gesegmenteerde interesseprofielen van gebruikers te creëren en deze profielen vervolgens geschikt te maken voor filtering.
Volgens Oracle is van een datalek geen sprake geweest, hooguit van een beveiligingsincident. Gedurende een periode van vijf dagen in mei 2020 was het voor ongeautoriseerde personen mogelijk om toegang te verkrijgen tot een zogenaamde ongestructureerde database van Oracle America. Dat betekent nog niet dat data zijn gelekt op het internet, aldus Oracle.
Salesforce betoogt dat zij niet als datahandelaar opereert. Zij biedt haar klanten een DMP aan, genaamd Audience Studio, waarmee klanten na aanschaf zelf bepalen hoe zij hun interacties met internetgebruikers organiseren. Salesforce heeft geen inzage of inzicht in de persoonsgegevens die haar klanten met behulp van Audience Studio verwerken. Salesforce verzamelt via dit softwareproduct geen persoonsgegevens voor eigen commerciële doeleinden. Salesforce heeft geen toegang tot die informatie, aldus Salesforce.
In deze fase van de procedure gaat de rechtbank niet in op de inhoud van de zaak, omdat eerst beslist moet worden of TPC ontvankelijk is in haar vorderingen.
3 De feiten
TPC is opgericht op 29 mei 2020. De statuten van TPC luiden - voor zover in dit geding van belang - als volgt:
“Doel en middelen: Artikel 3 1. De Stichting heeft ten doel het behartigen van belangen van natuurlijke personen die gebruikmaken van het internet door te surfen op het internet en/of door gebruik te maken van producten en/of diensten die persoonsgegevens in digitale vorm kunnen opslaan, overdragen of verwerken, waardoor jegens die internetgebruikers op enig moment een schending van hun recht op bescherming van hun privacy of hun recht op bescherming van hun persoonsgegevens plaatsvindt of heeft plaatsgevonden, een en ander in de ruimste zin van het woord.”
Oracle en Salesforce zijn internationale ondernemingen die softwarediensten aanbieden aan klanten die gebruik willen maken van hun DMP-diensten.
Bij aangetekende brieven van 3 juni 2020 heeft TPC Oracle en Salesforce aansprakelijk gesteld voor de door haar achterban geleden schade als gevolg van de inbreuken op het recht op bescherming van privacy en het recht op bescherming van persoonsgegevens. TPC heeft Oracle en Salesforce daarbij uitgenodigd om met haar in onderhandeling te treden over het toekennen van een redelijke vergoeding voor de door de achterban van TPC geleden schade.
Naar aanleiding van deze brieven heeft op 3 juli 2020 overleg plaatsgevonden tussen TPC en Salesforce. Op 7 juli 2020 heeft eenzelfde overleg plaatsgevonden tussen TPC en Oracle.
TPC maakt gebruik van de website www.theprivacycollective.nl. Op haar website heeft TPC de volgende tekst geplaatst:
Door op de tekst ‘steun met 1 klik’ met het duimpje (hierna: de steunknop) te klikken (hierna ook wel liken genoemd) kunnen internetgebruikers hun steun betuigen.