Roosmarijn Hobbelen ontving afgelopen vrijdag 20 september 2024 de Scriptieprijs – oorkonde en 5.000 euro – van de Vereniging Privacy Recht uit handen van Gerrit-Jan Zwenne, namens de jury met ook Anna Berlee, Aline Klingenberg en Sippe van der Tas. Hun oordeel:

“Roosmarijn Hobbelen beantwoordt in haar scriptie een paar veel beperkter gedefinieerde en preciezere juridische vragen dan de andere genomineerden. Misschien, voor sommigen minder spannend, omdat haar onderwerp nogal juridisch-technisch is, maar nog steeds zeer relevant. Haar proefschrift gaat over collectief verhaal (of class action) bij inbreuken op de AVG. Meer specifiek, staat art. 80 van de AVG een vertegenwoordigende partij toe om schadevergoeding te eisen namens betrokkenen zonder hun uitdrukkelijke opdracht daartoe?

De rechtbanken hebben nog geen beslissend antwoord gegeven. Nog niet. Het gerechtshof van Amsterdam suggereert dat deze kwestie wellicht door het Hof van Justitie in Luxemburg ter hand genomen moet worden. En rechtsgeleerden zijn het er niet over eens. Helemaal niet. En juist dat maakt deze vraag zo moeilijk te beantwoorden. Toegegeven, sommigen (waaronder sommige juryleden) zijn het niet helemaal eens met de antwoorden die Roosmarijn geeft. Toch geeft de stelling overtuigende argumenten. En dat waardeert de jury wel.”

Uitreiking Scriptieprijs VPR, met juryleden en genomineerden v.l.n.r  Nynke Wisman (bestuurslid VPR, geen jurylid), Anna Berlee, Kimmy Shah, Hannah Appel, Sippe van der Tas, Gerrit-jan Zwenne en Roosmarijn Hobbelen

Lucratieve claimcultuur

Sinds de invoering van de Wet afwikkeling massaschade in collectieve actie (Wamca) in 2020 zijn er veel claims ingesteld op het gebied van databescherming; veelal door stichtingen gesteund door risicokapitaal en voorzien van een gehaaid bestuur dat dure advocatuur kan inschakelen gezien de mogelijke winst. De vraag is of ze nog zo fanatiek voor consumenten opkomen als ze er zelf geen geld aan kunnen verdienen.

Deze stichtingen zeggen te opereren voor miljoenen klanten van aanbieders van producten en diensten zoals Facebook, Google of TikTok. Slechts een klein deel van die miljoenen mensen schrijft zich werkelijk in, pas als er publiciteit is van een organisatie zoals de Consumentenbond.

Mocht de claim slagen en de aangeklaagde partij een schadevergoeding moeten ophoesten wegens vastgestelde massale schending van de privacy van gebruikers, dan kunnen al die miljoenen mensen alsnog hun gratis geld claimen. Ook al stonden ze er, in hun onbenul van plezier en gemakzucht, geen seconde bij stil dat hun privacy met deelname aan een platform - behalve door henzelf - door de aanbieder wordt geschonden.

Wat zegt de wet?

Op de eerste plaats: dit is een opt-out systeem. Nederlanders die worden meegenomen zonder dat ze opdracht gaven om te claimen ontkomen er alleen aan door bezwaar te maken. “Wat is het probleem?”, zou je zeggen. Je naam staat nergens expliciet vermeld als je passief meedoet en wie weet kun je bij winst ‘ff vangen’. Maar juristen zitten anders in elkaar: die vinden het boeiend om te haarkloven over de exacte uitleg van de wet. En het is relevant: als je geen geld kunt eisen, houdt het claimen wellicht snel op. Dus is dit een leuk onderwerp voor een juridische scriptie.

Het gaat om Artikel 80 van de AVG, dat specifiek de vertegenwoordiging bij inbreuken van de AVG noemt:

“1.De betrokkene heeft het recht een orgaan, organisatie of vereniging zonder winstoogmerk dat of die op geldige wijze volgens het recht van een lidstaat is opgericht, waarvan de statutaire doelstellingen het openbare belang dienen en dat of die actief is op het gebied van de bescherming van de rechten en vrijheden van de betrokkene in verband met de bescherming van diens persoonsgegevens, opdracht te geven de klacht namens hem in te dienen, namens hem de in artikelen 77, 78 en 79 bedoelde rechten uit te oefenen en namens hem het in artikel 82 bedoelde recht op schadevergoeding uit te oefenen, indien het lidstatelijke recht daarin voorziet.

2.De lidstaten kunnen bepalen dat een orgaan, organisatie of vereniging als bedoeld in lid 1 van dit artikel, over het recht beschikt om onafhankelijk van de opdracht van een betrokkene in die lidstaat klacht in te dienen bij de overeenkomstig artikel 77 bevoegde toezichthoudende autoriteit en de in de artikelen 78 en 79 bedoelde rechten uit te oefenen, indien het/zij van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking.”

Hierin wordt een onderscheid gemaakt tussen twee verschillende vormen van vertegenwoordiging; met opdracht van betrokkenen in lid 1 en zonder opdracht van betrokkenen in lid 2.

Waar in het eerste lid expliciet de mogelijkheid tot schadevergoeding wordt gegeven, staat deze mogelijkheid niet in het tweede lid dat gaat over vertegenwoordiging zonder opdracht.

Rechtbank: yes, we can

Tsja, en kun je dan vanuit de Wamca zonder opdracht van de deelnemers aan een platform dat wordt aangeklaagd toch een schadevergoeding eisen?

Ja hoor, stelt de rechtbank Amsterdam heeft in uitspraak in oktober 2023 in een massaclaim jegens Tiktok: “De Nederlandse wetgever heeft er dus uitdrukkelijk voor gekozen om vorderingen tot schadevergoeding op grond van artikel 82 lid 1 AVG mogelijk te maken voor Wamca-belangenorganisaties, die onafhankelijk van de opdracht van (maar wel ten behoeve van) van de betrokkenen optreden. De rechtbank volgt TikTok c.s. niet in hun betoog dat de Nederlandse wetgever hiermee een onjuiste toepassing heeft gegeven aan de AVG.”

Hof: niet goed gelezen

Nou nee, dat kun je zomaar niet zeggen als je de wetstekst scherp leest. Dat vindt ook het gerechtshof van Amsterdam in een uitspraak van juni 2024. We moeten het maar aan de Europese rechter voorleggen: “Over de vraag welke eisen gesteld moeten worden aan op basis van deze bepaling te vergoeden immateriële schade zullen wellicht prejudiciële vragen [aan het hof in Straaburg] gesteld moeten worden. Dat geldt mogelijk ook voor de betekenis van art. 80 lid 2 AVG, in het bijzonder het opdracht-vereiste, voor een actie als de onderhavige.”

Heeft de rechtbank of heeft het hof gelijk?  Roosmarijn Hobbelen zocht het uit, en echt tot op de bodem: “In hoeverre biedt artikel 80 lid 2 AVG de mogelijkheid tot collectieve claims zonder opdracht, en is dit wel wenselijk?”

Taalverschillen

Wat is de uitleg bij de wet. Die staat deels in Overweging 142 van de AVG.

De Nederlandse versie: “Voor deze organen, organisaties of vereniging kan worden bepaald dat zij niet het recht hebben om namens een betrokkene een vergoeding te eisen buiten de machtiging door de betrokkene om.”

Er wordt gesuggereerd dat op basis van deze overweging het onder bepaalde omstandigheden wel degelijk mogelijk is om schadevergoeding zonder opdracht te vorderen.

Echter, in veel andere taalversies wordt deze mogelijkheid uitgesloten, bijvoorbeeld in de (originele? Engelstalige GDPR: “That body, organisation or association may not be allowed to claim compensation on a data subject’s behalf independently of the data subject’s mandate.”

Dit “may not be” is meer een ontkenning van de mogelijkheid om zonder opdracht collectief te claimen dan de Nederlandse tekst. Is er een vertaalfout?

Wat wilde de wetgever?

De tekst biedt geen compleet uitsluitsel. Echter, dan gaat Roosmarijn verder met een ‘derde gezichtspunt’, te weten de doelstellingen van de AVG:

De eerste doelstelling, te weten het nastreven van een hoog niveau van bescherming van persoonsgegevens, ondersteunt de interpretatie dat het vorderen van schadevergoeding wel mogelijk is onder artikel 80 lid 2 AVG. Immers, handhaving schiet tekort en dat kun je compenseren met collectieve schadevergoedingen, zowel met als zonder opdracht.

Een tweede doelstelling van de AVG betreft het harmoniseren (gelijkschakelen) van het recht op databescherming, ondersteunt daarentegen de interpretatie dat het niet mogelijk is om schadevergoeding onder artikel 80 lid 2 AVG te vorderen. Hobbelen: “Dit kan namelijk leiden tot een versplintering in handhaving. Hoewel deze versplintering zich ook in publieke handhaving kan voordoen is dit een minder urgent probleem.”

Uit de wetsgeschiedenis blijkt eveneens dat het nooit de bedoeling van de Europese organen is geweest om schadevergoeding bij vertegenwoordiging zonder opdracht mogelijk te maken. Het Europees Parlement wilde dit wel, maar de Raad van Ministers niet. Juist vanwege het voorkomen van een “commerciële claimcultuur”. Er kwam een compromis: Schadevergoeding is expliciet alleen opgenomen bij vertegenwoordiging door een claimclub met opdracht van individuen. Dat werd artikel 80 lid 1.

Hobbelen: “De meeste aanknopingspunten wijzen er dus op dat een juiste interpretatie van artikel 80 lid 2 AVG het niet mogelijk maakt om schadevergoeding te vorderen…Deze conclusie staat lijnrecht tegenover het oordeel van de rechtbank in de TikTok-zaak van oktober 2023.”

Wel wenselijk?

Het tweede gedeelte van de scriptie gaat over de vraag of het wel wenselijk zou zijn om massaal te claimen namens mensen die hiervoor geen opdracht geven (en die je dan achteraf nog kunt attenderen op een te verkrijgen handje geld).

Ja, vindt Roosmarijn Hobbelen, en dat is een persoonlijk oordeel. Samen geld kunnen claimen bij een inbreuk op de privacy biedt verschillende, samenhangende voordelen: er is sprake van een grote groep betrokkenen, waardoor bijvoorbeeld proceskosten kunnen worden gedeeld. Het feit dat procesfinanciers instappen in dit soort procedures leidt tot nog meer voordelen voor het individu. De grote geldbedragen die procesfinanciers graag willen investeren in de goede afloop van dit soort procedures worden gebruikt om deskundigen en advocaten in te zetten, waardoor er volgens Hobbelen sprake is van een gelijkwaardiger strijd tussen individuen en Big Tech.

Ze maakt een belangrijke kanttekening, dat er misschien veelal niet of nauwelijks aantoonbare schade is: “Het ontbreken van juridisch relevante schade, een struikelblok voor de toegang tot de rechter bij AVG-inbreuken, blijft echter ook bij gebruik van collectieve actie een probleem…Als een inbreuk in een individuele procedure niet in aanmerking komt voor schadevergoeding, zal er ook geen aanspraak mogelijk zijn in collectieve actie.”

Uit recente rechtspraak van het Hof van Justitie van de Europese Unie (HvJEU) blijkt hoe ingewikkeld het is om in het geval van een AVG-inbreuk aanspraak te maken op schade.

*) Eerste foto van Christine Schipperus; tweede foto Peter Olsthoorn