Rechtbank Amsterdam, 22-04-2024, ECLI:NL:RBAMS:2024:3095, C/13/747646 / KG ZA 24-191
Rechtbank Amsterdam, 22-04-2024, ECLI:NL:RBAMS:2024:3095, C/13/747646 / KG ZA 24-191
Gegevens
- Instantie
- Rechtbank Amsterdam
- Datum uitspraak
- 22 april 2024
- Datum publicatie
- 1 juli 2024
- ECLI
- ECLI:NL:RBAMS:2024:3095
- Zaaknummer
- C/13/747646 / KG ZA 24-191
Inhoudsindicatie
Kort geding. Vordering opleggen nieuwe (hogere) dwangsom voor het in het arrest van het gerechtshof opgelegd gebod tot staking onrechtmatig handelen (door het plaatsen van tracking cookies) toegewezen.
Uitspraak
vonnis
Afdeling privaatrecht, voorzieningenrechter civiel
zaaknummer / rolnummer: C/13/747646 / KG ZA 24-191 IHJK/TF
Vonnis in kort geding van 22 april 2024
in de zaak van
[eiser] ,
wonende te [woonplaats] ,
eiser bij dagvaarding op verkorte termijn van 13 maart 2024,
advocaten mr. R.A.M.D. Smit en mr. M.H.L. Hemmer te Eindhoven,
tegen
de rechtspersoon naar Frans recht
CRITEO SA,
gevestigd te Parijs (Frankrijk),
gedaagde,
advocaten mr. R. van Saane en mr. H.J. Pot te Amsterdam.
Partijen zullen hierna [eiser] en Criteo SA worden genoemd.
1 De procedure
Ter zitting van 8 april 2024 heeft [eiser] de vorderingen zoals omschreven in de dagvaarding toegelicht. Criteo SA heeft verweer gevoerd, mede aan de hand van haar vooraf ingediende akte houdende overlegging productie. Beide partijen hebben producties en een pleitnota ingediend. Vonnis is bepaald op vandaag.
Ter zitting waren aanwezig:
- [eiser] met mr. Smit en mr Hemmer;
- aan de kant van Criteo SA: mr. Van Saane en mr. Pot.
2 De feiten
[eiser] is een Nederlandse natuurlijke persoon. Criteo SA is een rechtspersoon die deelt uitmaakt van het Criteo-concern, een wereldwijd opererend technologiebedrijf in de media- en entertainmentbranche, met hoofdkantoor in Parijs. Criteo SA is genoteerd aan de Amerikaanse beurs Nasdaq. Zij houdt zich onder andere bezig met consultancy, software en services met betrekking tot digitale marketing, media advertising, real time advertentie-veilingen en is een belangrijke internationale speler in de Adtech-industrie. Tot het Criteo-concern behoort ook de Nederlandse vennootschap Criteo B.V., die hierna te samen met Criteo SA zal worden aangeduid als Criteo.
Criteo plaatst, via websites van derden, zogeheten tracking cookies (waaronder in ieder geval de zogenaamde “uid” cookie) op computers en/of andere mobiele apparaten. Tracking cookies bevatten een uniek ID, een willekeurige lijst van karakters, die wordt toegewezen aan de browser van een bepaalde websitebezoeker. Bij iedere website die een link heeft met Criteo en die met die browser wordt bezocht, wordt dezelfde tracking cookie uitgelezen. Doel is om surfgedrag, interesses en/of andere gegevens van internetgebruikers te verzamelen en te analyseren voor commerciële doeleinden. Over de uid cookie staat op de website van Criteo:
“Verzamelt gegevens met betrekking tot de bezoeken van de gebruiker aan de website, zoals het aantal bezoeken, de gemiddelde tijd die op de website is doorgebracht en welke pagina's zijn geladen, met het doel om gerichte advertenties weer te geven” en dat de vervaltermijn 1 jaar is.
Criteo gebruikt de tracking cookies voor ‘targeted advertising’, het afstemmen van advertenties op individuele gebruikers. Dat gebeurt door het opstellen van gebruikersprofielen en het herkennen van gebruikers als zij het internet bezoeken. Binnen een fractie van een seconde wordt dankzij het Real Time Bidding (RTB)-Systeem een internetgebruiker herkend en een op de betreffende gebruiker afgestemde advertentie getoond. Tracking cookies spelen daarbij een essentiële rol.
Op 15 juni 2023 heeft de Commission Nationale de Informatique et des Libertés (CNIL), de Franse privacy-toezichthouder, een boete van € 40.000.000,- opgelegd aan Criteo SA voor overtreding van verschillende bepalingen van de Algemene verordening gegevensbescherming (AVG). Volgens het persbericht van de CNIL was dit “in particular for failing to verify that the persons from whom it processed data had given their consent”. In dat bericht staat ook dat de CNIL haar beslissing heeft voorgelegd aan de andere 29 Europese toezichthouders, aangezien zij alle betrokken waren bij deze “cross-border case”, en dat zij hun goedkeuring hebben gegeven.
Bij brieven van 8 augustus 2023 heeft de advocaat van [eiser] aan Criteo SA en Criteo B.V. geschreven dat door Criteo zonder zijn toestemming tracking cookies (in ieder geval uid cookies) via websites van derden worden geplaatst op devices van [eiser] en daarmee zonder zijn toestemming persoonsgegevens van [eiser] worden verwerkt. In de brieven is verder geschreven dat Criteo SA daardoor is strijd handelt met artikel 11.7a lid 1 Telecommunicatiewet (Tw) en artikelen 5 lid 1 onder a, 6 lid 1, 7, 13 en 14 AVG. Een en ander is toegespitst op vier met name genoemde websites.
Criteo heeft op deze brieven gereageerd en onder meer geschreven dat het tot de verantwoordelijkheid van de beheerders van die websites (de klanten van Criteo) valt om toestemming te verkrijgen. Daarna hebben partijen hierover verder gecorrespondeerd.
[eiser] is vervolgens een kort geding gestart jegens Criteo. Bij uitvoerbaar bij voorraad verklaard vonnis van 18 oktober 2023 heeft de voorzieningenrechter van deze rechtbank, voor zover van belang, als volgt beslist:
“5.1 gebiedt Criteo het onrechtmatig handelen per ommegaande te (doen) staken en gestaakt te (doen) houden door niet langer, al dan niet via third-party websites, tracking cookies op de computer en/of apparaten van [eiser] te (doen) plaatsen alvorens [eiser] rechtsgeldige toestemming heeft gegeven voor het plaatsen van deze tracking cookies, op straffe van een dwangsom van € 250,00 per dag of dagdeel danwel - naar keuze van [eiser] - per overtreding, tot een maximum van € 25.000,00, (...)”
Criteo is op 30 oktober 2023 in hoger beroep gekomen van dit vonnis.
Het gerechtshof Amsterdam heeft in zijn arrest van 5 december 2023 het vonnis grotendeels bekrachtigd. Omdat het gerechtshof onvoldoende onderbouwing heeft gezien om Criteo B.V. als verwerkingsverantwoordelijke te zien, heeft het, opnieuw rechtdoende, de veroordeling onder 5.1 als volgt bepaald:
“5.1 gebiedt Criteo SA het onrechtmatig handelen per ommegaande te (doen) staken en gestaakt te (doen) houden door niet langer, al dan niet via third-party websites, tracking cookies op de computer en/of apparaten van [eiser] te (doen) plaatsen alvorens [eiser] rechtsgeldige toestemming heeft gegeven voor het plaatsen van deze tracking cookies, op straffe van een dwangsom van € 250,00 per dag of dagdeel dat tracking cookies worden of blijven geplaatst na betekening van dit arrest, tot een maximum van € 25.000;”
Het gerechtshof heeft daarnaast – samengevat en voor zover van belang – in de beoordeling overwogen, dat in dit kort geding voldoende aannemelijk is geworden dat inderdaad tracking cookies zijn geplaatst en persoonsgegevens van [eiser] in strijd met de AVG zijn (verspreid en) verwerkt. Voorts heeft het gerechtshof overwogen dat ook als juist is dat [eiser] nieuw te plaatsen tracking cookies kan tegenhouden, hij dat niet hoeft te doen. De Uniewetgever heeft immers gekozen voor een opt-in en niet voor een opt-out systeem. Verder heeft het gerechtshof overwogen dat niet verboden en evenmin onredelijk is dat Criteo niet zelf aan [eiser] vraagt om toestemming, maar dat aan haar partners overlaat, nu zij de websites exploiteren die [eiser] bezoekt. Vast staat echter wel dat Criteo en haar websitepartners als gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 AVG zijn aan te merken en dat het [eiser] vrij staat om (alleen) Criteo aan te spreken om zijn rechten uit hoofde van de AVG uit te voeren. Aldus het gerechtshof. Tot slot heeft het gerechtshof geoordeeld dat [eiser] geen genoegen hoeft te nemen met de procedurele maatregelen die Criteo met haar partners heeft getroffen en dat [eiser] aannemelijk heeft gemaakt dat het systeem van Criteo niet naar behoren werkt nu ondanks de door Criteo getroffen maatregelen toch meermaals zijn persoonsgegevens zijn verwerkt zonder zijn toestemming.
In januari 2024 heeft Criteo SA vrijwillig het maximum van de dwangsom van € 25.000,00 voldaan zonder dat het arrest is betekend.
Criteo SA heeft in deze zaak een bodemprocedure aanhangig gemaakt bij deze rechtbank. De eerste roldatum in deze procedure is 17 april 2024.
3 Het geschil
[eiser] vordert – samengevat – bij vonnis uitvoerbaar bij voorraad:
1. Criteo SA te veroordelen tot betaling van een dwangsom van € 1.500,00 per overtreding, danwel (naar keuze van [eiser] ) € 5.000,00 per dag of een gedeelte daarvan dat na dagtekening van dit vonnis Tracking Cookies worden of blijven geplaatst tot een maximum van € 150.000,00 is bereikt;
2. een EEX certificaat als bedoeld in artikel 53 Brussel I-bis-Vo aan [eiser] te verstrekken;
3. Criteo SA te veroordelen in de proceskosten (inclusief nakosten), te vermeerderen met de wettelijke rente.
[eiser] legt het volgende aan zijn vordering ten grondslag.
Het onrechtmatig handelen van Criteo SA duurt voort. Zij heeft ervoor gekozen de maximaal opgelegde dwangsom van € 25.000,00 voor het gebod onder 5.1 van het vonnis/arrest aan [eiser] te voldoen en door te gaan met het plaatsen van tracking cookies. Dit toont aan dat het businessmodel van Critea uitermate lucratief is en het loont om in plaats van het onrechtmatig handelen te staken het maximumbedrag aan dwangsommen te voldoen. Ook de boete van € 40 miljoen die de Franse privacytoezichthouder aan Criteo oplegde, heeft haar niet tot het inzicht gebracht dat zij haar gedrag moet aanpassen. De opgelegde dwangsom vormt dus onvoldoende financiële prikkel tot het staken van het onrechtmatig handelen. Reden waarom een hogere dwangsom wordt gevorderd. De verhoging is nodig om Criteo te dwingen alsnog aan het verbod te voldoen. Criteo kan deze verhoging ook dragen.
Het belang van [eiser] controle te hebben over wat er met zijn persoonsgegevens gebeurt als hij internet bezoekt en zelf te bepalen of hij een bepaalde cookie van een derde partij toelaat, prevaleert nog steeds boven het belang van Criteo bij het opbouwen van een profiel over hem en het delen van zijn persoonsgegevens met derden voor commercieel gewin. Criteo erkent dat zij alleen tracking cookies mag plaatsen na toestemming van [eiser] . Zij meent echter dat het niet haar verantwoordelijkheid is als een websitehouder of contractpartner van Criteo verzuimt om deze toestemming te vragen. In twee instanties is geoordeeld dat dat wel zo is en Criteo is niet naar de Hoge Raad gegaan. Zij richt zich op een bodemprocedure, maar dat neemt niet weg dat een voorziening bij voorraad is gegeven. Naast verhoging van de dwangsom vordert [eiser] afgifte van een EEX certificaat als bedoeld in artikel 53 van de Verordering (EU) Nr. 1215/2012 van het Europees Parlement en de Raad betreffende de rechtelijke bevoegdheid, de erkenning en tenuitvoerlegging van beslissingen in burgerlijke en handelszaken (Brussel I-bis-Vo) omdat Criteo is gevestigd in Frankrijk.
Criteo SA voert – samengevat – het volgende verweer.
Zij is het niet eens met de uitspraken in de kortgedingprocedure en is een bodemprocedure gestart. In onderhavig geschil is er geen bewijs dat de dwangsommen zijn verbeurd. Het arrest is immers niet betekend en op grond van artikel 611a lid 3 is de dwangsom pas verbeurd na betekening van de uitspraak. Hoewel de vorige advocaat van Criteo ervoor heeft gekozen om zijn of haar cliënt vrijwillig het maximum van de dwangsommen van € 25.000,00 te laten voldoen, is dat bedrag onverschuldigd betaald. Voorts is er geen bewijs dat Criteo SA het gebod in 5.1 van het arrest heeft overtreden. Subsidiair dient een belangenafweging ertoe te leiden dat geen verhoging van de dwangsommen wordt opgelegd. Daarvoor is kort gezegd het volgende redengevend:
- -
-
Criteo plaatst de cookies waar [eiser] bezwaar tegen maakt niet zelf. Deze worden geplaatst bij en als gevolg van het bezoek van websites van derden die gebruik maken van Criteo’s diensten. Het gaat om cookies geplaatst door ruim 14.000 partners op meer dan 450.000 websites, die feitelijk en juridisch rechtsgeldige toestemming dienen te verkrijgen van bezoekers;
- -
-
Criteo heeft geen feitelijke controle of beschikkingsmacht over de wijze waarop partnerwebsites hun website inrichten en om toestemming vragen voordat zij cookies plaatsen. Criteo kan deze partijen alleen contractueel verplichten om geldige toestemming te vragen en als blijkt dat dat niet is gebeurd deze websites aanmanen om dat te doen (dat doet zij ook daadwerkelijk zoals blijkt uit de bodemdagvaarding);
- -
-
Criteo kan apparaten waarmee partnerwebsites worden bezocht als zodanig niet herkennen als apparaten van [eiser] . Dit maakt naleving van het gebod feitelijk onmogelijk. Criteo moet dan zorgen dat honderdduizenden websites alleen na geldige toestemming cookies plaatsen op apparaten waarmee de websites worden bezocht. Criteo kan alleen garanderen dat nooit cookies op de apparaten van [eiser] worden geplaatst zonder zijn toestemming door wereldwijd te stoppen met gebruik van cookies;
- -
-
De websites waarvan [eiser] stelde dat die Criteo-cookies zouden plaatsen zonder toestemming, zijn aangeschreven en vragen inmiddels wel om toestemming voordat zij cookies plaatsen of Criteo heeft de contractuele relatie met deze websites opgezegd;
- -
-
Criteo biedt aan alle internetgebruikers, inclusief [eiser] , de mogelijkheid om Criteo cookies eenvoudig uit te schakelen op alle websites en [eiser] kan ook via zijn eigen browserinstellingen met enkele muisklikken voorkomen dat ongewenste cookies worden geplaatst.
In afwachting van de uitspraak van de bodemrechter bieden de laatste twee opties, die [eiser] zelf kan toepassen, een effectieve en laagdrempelige manier voor [eiser] om de gestelde inbreuk op zijn rechten direct te laten stoppen. Gelet op de grote consequenties voor Criteo brengt een belangenafweging mee dat hangende de bodemprocedure geen verhoging van dwangsommen moet worden opgelegd.
Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.