Rechtbank Amsterdam, 15-03-2023, ECLI:NL:RBAMS:2023:1407, C/13/683377 / HA ZA 20-468
Rechtbank Amsterdam, 15-03-2023, ECLI:NL:RBAMS:2023:1407, C/13/683377 / HA ZA 20-468
Gegevens
- Instantie
- Rechtbank Amsterdam
- Datum uitspraak
- 15 maart 2023
- Datum publicatie
- 15 maart 2023
- ECLI
- ECLI:NL:RBAMS:2023:1407
- Zaaknummer
- C/13/683377 / HA ZA 20-468
Inhoudsindicatie
Collectieve actie tegen drie vennootschappen van het Facebookconcern op grond van art. 3:305a BW (oud). Verwerking persoonsgegevens voor advertentiedoeleinden zonder grondslag als bedoeld in de Wbp en AVG. Oneerlijke handelspraktijk. Zie ook: ECLI:NL:RBAMS:2021:3307
Uitspraak
vonnis
Afdeling privaatrecht
zaaknummer / rolnummer: C/13/683377 / HA ZA 20-468
Vonnis van 15 maart 2023
in de zaak van
de stichting
DATA PRIVACY STICHTING,
gevestigd te Amsterdam,
eiseres,
advocaat mr. J.H. Lemstra te Amsterdam,
tegen
1. de besloten vennootschap met beperkte aansprakelijkheid
FACEBOOK NETHERLANDS B.V.,
gevestigd te Amsterdam,
2. de rechtspersoon naar buitenlands recht
META PLATFORMS, INC., voorheen FACEBOOK INC.,
gevestigd te Menlo Park (Californië, Verenigde Staten),
3. de rechtspersoon naar buitenlands recht
META PLATFORMS IRELAND LTD., voorheen FACEBOOK IRELAND LTD.,
gevestigd te Dublin (Ierland),
gedaagden,
advocaat mr. G.H. Potjewijd te Amsterdam.
Eiseres zal hierna de Stichting en gedaagden zullen hierna opnieuw, in navolging van het eerder gewezen vonnis in incident, Facebook Nederland, Facebook Inc. en Facebook Ierland (gezamenlijk: Facebook c.s.) worden genoemd.
1 De procedure
Het verloop van de procedure blijkt uit:
- het vonnis in incident van 30 juni 20211 (hierna: het vonnis in incident) en de daarin genoemde processtukken,
- -
-
de conclusie van antwoord, met producties,
- -
-
de conclusie van repliek, met producties,
- -
-
de conclusie van dupliek, met producties,
- -
-
het proces-verbaal van mondelinge behandeling, gehouden op 8 november 2022, en de in het proces-verbaal genoemde stukken,
- -
-
de brief van de advocaat van Facebook c.s. van 13 december 2022 met opmerkingen over het proces-verbaal.
Ten slotte is vonnis bepaald.
Voor zover relevant voor de te nemen beslissingen wordt dit vonnis gewezen met inachtneming van de opmerkingen op het proces-verbaal.
2 Overzicht van dit vonnis
Deze zaak is een collectieve actie (naar oud recht2) die is aangespannen door de Stichting tegen Facebook c.s. De Stichting komt op voor de belangen van Nederlandse gebruikers van de Facebookdienst. Het gaat in deze procedure in de kern om de vraag of Facebook c.s. onrechtmatig heeft gehandeld bij de verwerking van persoonsgegevens van Nederlandse Facebookgebruikers in de periode van 1 april 2010 tot 1 januari 2020 (hierna ook: de relevante periode). Daarbij is van belang dat Facebook c.s. persoonsgegevens van gebruikers van de Facebookdienst niet alleen verwerkte om het sociale netwerk aan te bieden, maar ook voor advertentiedoeleinden.
De beslissing van de rechtbank in hoofdlijnen
Het oordeel van de rechtbank is dat Facebook Ierland onrechtmatig heeft gehandeld in de manier waarop zij met de persoonsgegevens van Nederlandse Facebookgebruikers is omgegaan. De rechtbank beperkt de veroordeling tot het handelen van Facebook Ierland omdat alleen zij verantwoordelijk is voor de verwerking van persoonsgegevens van Nederlandse Facebookgebruikers.
Het onrechtmatig handelen bestaat onder meer uit het zonder rechtsgeldige grondslag verwerken van persoonsgegevens voor advertentiedoeleinden. Verwerking van persoonsgegevens mag alleen als daarvoor een in de wet genoemde grondslag bestaat, zoals bijvoorbeeld toestemming. Facebook Ierland beschikte in de relevante periode niet over een dergelijke grondslag. Een rechtsgeldige grondslag ontbrak ook bij de verwerking van bijzondere persoonsgegevens (zoals seksuele voorkeur of religie). Er werden namelijk bijzondere persoonsgegevens zonder de vereiste uitdrukkelijke toestemming verwerkt voor advertentiedoeleinden. Het ging daarbij zowel om persoonsgegevens die gebruikers zelf aan Facebook Ierland verstrekten, als bijzondere persoonsgegevens die door Facebook Ierland werden verkregen door het volgen van het surfgedrag van Facebookgebruikers buiten de Facebookdienst.
Verder heeft Facebook Ierland de Facebookgebruikers onvoldoende geïnformeerd over het delen van hun persoonsgegevens met een aantal in het vonnis nader genoemde derde partijen. Hierbij zijn niet alleen persoonsgegevens van de Facebookgebruikers zelf gedeeld, maar ook persoonsgegevens van hun Facebookvrienden.
De wijze waarop Facebook Ierland de persoonsgegevens van Nederlandse Facebookgebruikers verwerkte voor advertentiedoeleinden was in de relevante periode niet alleen in strijd met de privacywetgeving, maar vormde ook een oneerlijke handelspraktijk. Het onvoldoende voorlichten van de Facebookgebruiker als consument over het gebruik van persoonsgegevens voor commerciële doeleinden was misleidend. De gemiddelde consument kon namelijk geen goed geïnformeerd besluit nemen over het deelnemen aan de Facebookdienst.
Facebook Ierland heeft niet onrechtmatig gehandeld door het plaatsen van cookies op websites van derden, omdat Facebook Ierland de verplichting om gebruikers over het plaatsen van cookies te informeren en toestemming te vragen, overdroeg en mocht overdragen aan de betreffende website exploitant. Ook is in de procedure niet komen vast te staan dat Facebook Ierland ongerechtvaardigd is verrijkt. De reden daarvoor is dat onvoldoende is gebleken dat het ongeoorloofd voor advertentiedoeleinden verwerken van persoonsgegevens door Facebook Ierland heeft geleid tot daadwerkelijke aantasting van het vermogen van de Facebookgebruiker.
De door de Stichting gevraagde verklaringen voor recht zullen gedeeltelijk worden toegewezen. In hoeverre individuele Nederlandse Facebookgebruikers recht hebben op schadevergoeding op grond van het vastgestelde onrechtmatig handelen door Facebook Ierland is een vraag die in deze procedure niet voorligt.
Opbouw van dit vonnis
Dit vonnis is vanaf hier als volgt opgebouwd:
|
3. |
De feiten |
|
|
4. |
Het toepasselijk recht |
|
|
5. |
De vorderingen van de Stichting |
|
|
6. t/m 20. |
De beoordeling door de rechtbank |
|
|
6. |
Wie voert (nog) verweer in deze procedure? |
|
|
7. |
Heeft de Stichting voldoende belang? |
|
|
8. |
Het beroep op verjaring |
|
|
9 |
Het verzoek om aanhouding |
|
|
10. |
Wie is (verwerkings)verantwoordelijke? |
|
|
11. |
Informatieverstrekkingsplicht voor een aantal specifieke verwerkingen |
|
|
12. |
Grondslag voor verwerking |
|
|
13. |
Bijzondere persoonsgegevens |
|
|
14. |
Cookie-tracking; informatie en toestemming voor het gebruik van cookies? |
|
|
15. |
Vrienden van de Achterban |
|
|
16. |
Locatiegegevens |
|
|
17. |
Oneerlijke handelspraktijk? |
|
|
18. |
Ongerechtvaardigde verrijking? |
|
|
19. |
Afsluitende overwegingen en conclusie |
|
|
20. |
Proceskosten |
|
|
21. |
De beslissing |
3 De feiten
Voor de leesbaarheid van het vonnis zijn vaststaande feiten die op specifieke onderwerpen betrekking hebben bij de beoordeling van de betreffende onderwerpen vermeld.
Facebook Nederland, Facebook Ierland en Facebook Inc. behoren tot het Facebookconcern. Dat concern biedt een sociale netwerkdienst aan (hierna ook: de Facebookdienst). De Facebookdienst fungeert als social mediaplatform waarmee gebruikers onder meer ervaringen kunnen delen en in contact kunnen komen met informatie en mensen. Wereldwijd maken ruim 2,7 miljard personen gebruik van de Facebookdienst.
De gebruiker betaalt geen financiële vergoeding voor gebruik van de Facebookdienst. Het bedrijfsmodel van het Facebookconcern is gebaseerd op inkomsten uit de verkoop van (gepersonaliseerde) advertenties.
Facebook Inc. is opgericht op 4 februari 2004 en heeft haar hoofdkantoor in de Verenigde Staten. Facebook Ierland is een op 6 oktober 2008 opgerichte dochteronderneming van Facebook Inc. Facebook Ierland treedt op als contractspartij voor het aanbieden van de Facebookdienst aan de gebruikers in Nederland (en Europa). Daarnaast verkoopt Facebook Ierland ook advertenties via een zelfserviceadvertentieplatform. Facebook Nederland is opgericht op 25 november 2010. De (uiteindelijke) moedermaatschappij van Facebook Nederland is Facebook Inc. Facebook Nederland verleent diensten met betrekking tot marketing en verkoopondersteuning, gerelateerd aan advertentieverkoop, aan het Facebookconcern. In dat kader houdt Facebook Nederland zich onder meer bezig met het adviseren over en het bevorderen van de verkoop van advertentieruimte op de Facebookdienst en overige advertentieproducten.
De Stichting is een op 25 februari 2019 opgerichte collectieve claimstichting. Zij heeft onder meer als doel het behartigen van de belangen van gedupeerden die in Nederland wonen en jegens wie op enig moment een privacyschending heeft plaatsgevonden.
De Facebookdienst is een gepersonaliseerde dienst. Deze personalisatie werkt door in de inhoud van wat een gebruiker te zien krijgt. Om tot een gepersonaliseerde gebruikerservaring te komen worden persoonsgegevens gebruikt.
Bij het registreren voor de Facebookdienst moet een gebruiker akkoord gaan met de Gebruikersvoorwaarden. In de Gebruikersvoorwaarden staat dat Facebook Ierland de contractspartij is voor Facebookgebruikers in Europa. In de periode 2010 tot en met 2020 hebben die voorwaarden verschillende benamingen gehad en zijn verschillende versies daarvan van kracht geweest.
Daarnaast hanteert Facebook Ierland voor het gebruik van de Facebookdienst Gegevensbeleid dat te raadplegen is op de website en in de app. Ook hiervan hebben in de periode tussen 2010 en 2020 verschillende versies bestaan.
Eind 2014 heeft (de rechtsvoorganger van) de Autoriteit Persoonsgegevens (AP), de toezichthouder in Nederland op het gebied van gegevensbescherming, een onderzoek ingesteld naar het verwerken van persoonsgegevens van betrokkenen in Nederland door het Facebookconcern. In een rapport van 21 februari 2017, gepubliceerd op 16 mei 2017, heeft de AP verslag gedaan van de bevindingen. Daarin is geconcludeerd dat het Facebookconcern op meerdere punten in strijd handelt met de Wet bescherming persoonsgegevens (Wbp) als het gaat om het verstrekken van informatie over de verwerking van persoonsgegevens voor advertentiedoeleinden. Dit rapport heeft niet tot handhavingsbesluiten van de toezichthouder geleid.