Meta gaat waarschijnlijk in beroep en de stichting en bond dienen een claim in en gaan schikkingsgesprekken aan. Dit betekent een eerste uitzicht op een vergoeding voor Facebook-deelnemers in deze geldzaak die wordt verward met privacy.

Mensen zijn immers niet geschaad in hun persoonlijke levenssfeer maar benadeeld met illegale dataverwerking. Dit is deels een semantische discussie over de uitleg van de AVG die het woord privacy niet noemt, maar markeert ook een onderscheid: privacy is principieel, data-exploitatie doorgaans materieel.

Facebook-moeder Meta verdient daar miljarden mee en nu kunnen deelnemers daar op termijn mogelijk een deel van terugkrijgen. Deze rechtszaak gaat om een ‘verklaring van recht’, nog niet om de toewijzing van schade.

Iedere Nederlander die tussen 2010 en 2020 deelnemer was bij Facebook kan zich melden via Claimservice.nl/facebook; dat deden er tot nu toe 190.000 personen, 2 procent van de vermeende 10 miljoen ‘slachtoffers’. En dan volgt de rest van Europa nog, wat duur kan uitpakken voor Meta.

Ook komt er een tweede rechtszaak vanwege illegale overdracht van data door Meta naar de VS. Consumenten die na 25 mei 2018 een Facebook- of Instagramaccount hadden en compensatie willen claimen voor het doorsturen van gegevens naar Amerika kunnen zich hier ook aanmelden. Consumenten kunnen zich voor één of beide claims aanmelden.

Dubbele overtreding

Mag je verwachten dat die tien miljoen Facebookers behalve in de centen in het zeer uitgebreide vonnis van de rechtbank Amsterdam van 15 maart 2023 geïnteresseerd zijn? Gelukkig is er een helder persbericht over de bevindingen voor Facebook Ierland, de Europese tak van Meta:

Facebook verwerkte tussen 2010 en 2020 illegaal persoonsgegevens van gebruikers voor het tonen van gerichte reclame, ook bijzonder gegevens zoals over seksuele voorkeuren en religie.

Facebook speelde illegaal en zonder zijn gebruikers afdoende te informeren persoonsgegevens van gebruikers en hun ‘vrienden’ aan derden door.

Facebook gaat vrijuit voor de beschuldiging haar cookies op sites van derden te hebben geplaatst zonder gebruikers te informeren. Die plicht is terecht overgedragen aan die websitehouders.

[Overigens is illegale doorgifte van Nederlandse persoonsgegevens in de gewraakte overdracht van gegevens naar Cambridge Analytica niet bevestigd door rechtbank Amsterdam!]

Commerciële opzet

Twee jaar geleden duidde Netkwesties de kwestie: de massaclaim van de Consumentenbond versus Facebook vanwege schending van de AVG met hulp van een investeerder via de Data Privacy Stichting (DPS): het Amerikaanse advocatenkantoor Lieff Cabraser Heimann & Bernstein financiert en ontvangt 18 procent van de eventuele netto-opbrengst.

In Nederland voeren Lemstra Van der Korst en landsadvocaat Pels Rijcken de zaak, met onder anderen de advocaten Jurjen Lemstra en Gerrit-Jan Zwenne als pleiters. Facebook wordt bijgestaan door Geert Potjewijd en Axel Arnbak van De Brauw Blackstone.

In juni 2021 vonniste de rechtbank Amsterdam in het nadeel van Facebook dat de massaclaim van DPS wel ontvankelijk is voor de massaclaim, terwijl Potjewijd wel met namens Salesforce en Oracle wist te winnen de claim van de tegenstander niet-ontvankelij wist te laten verklaren.

De geldkwestie behelst de vergoeding voor 10 miljoen Facebook-gebruikers die bij 25 euro per persoon al 250 miljoen euro in totaal bedraagt. Een winstpercentage van 18 procent voor de financier zou op een kleine 50 miljoen euro kunnen uitkomen. De bestuurders van de stichting mogen 350 euro per uur declareren, de leden van de Raad van toezicht 7.000 euro per jaar. De Consumentenbond geeft belangrijke steun, maar ontvangt geen vergoeding. De advocatenkantoren van Lemstra en Zwenne bereiken snel een miljoen euro omzet aan deze zaak maar delen niet in de opbrengst.

Tweede rechtszaak

De Consumentenbond beweert dat met deze rechtszaak een dispuut over “de bescherming van privacyrechten” is gewonnen. Dick Bouma, voorzitter van DPS, liet optekenen wel in de zijn voor een schikking: “Met deze uitspraak kunnen consumenten eindelijk compensatie krijgen voor de jarenlange privacyschendingen door Facebook. Het is nu aan Facebook om die te bieden. Daarover willen we samen met de Consumentenbond in gesprek.”

De bond en stichting DPS winnen niet enkel een baanbrekende privacyzaak tegen Facebook, maar beginnen direct een nieuwe rechtszaak over het illegale overdracht van Europese data naar de VS. De kans is groot dat ook die zaak wordt gewonnen. Het van Justitie van de EU oordeelde reeds dat Facebook met het verwerken van gegevens in de VS in strijd met de AVG handelt. Juist afgelopen week heeft de Oostenrijkse toezichthouder geoordeeld dat gebruik van een tracking pixel en Facebook Logins op websites om data te verwerken in de VS, illegaal is.

Internationale arrangementen als ‘Privacy Shield’ waren niet geldig. Facebook bleef persoonsgegevens van zijn Europese gebruikers doorsturen naar Amerika, waar ze toegankelijk waren voor Amerikaanse inlichtingendiensten. “Dat is een grove schending van de privacy”, volgens de Consumentenbond. De motivatie vormt het argument dat Amerikaanse inlichtingendiensten onze gegevens zouden gebruiken.

Misleiding is onnodig

Volgens de rechtbank Amsterdam misleidde Facebook zijn gebruikers door essentiële informatie achter te houden bij het verkrijgen van instemming. Betekent dit de doodsteek voor gericht adverteren op grond profilering met persoonsgegevens, oftewel de hele ‘cookiebusiness’? Die teneur was al zichtbaar, maar nu wordt ook over het verleden van deze praktijk alsnog de staf gebroken.

Het uitgebreide, gedetailleerde vonnis toont niet enkel dat de rechtbank zich goed heeft verdiept in de kwestie, uiteraard geholpen door de pleidooien van advocaten. Het toont ook dat deze zaak juridische haarkloverij is waar de gemiddelde gebruiker niet bij kan en ook geen boodschap aan heeft.

Nu de methoden voor instemming met cookies op veel websites eindelijk simpel is, weigert het overgrote deel van de gebruikers deze cookies om hun surfgegevens te verzamelen. Dat is, naast dit vonnis, ook een signaal voor Facebook om te stoppen met fratsen en moeilijke formuleringen.

Een boodschap is reëel in bijvoorbeeld de volgende vorm: “U krijgt van ons een mooie dienst zonder betaling in gebruik en we betalen onze werknemers en aandeelhouders met inkomsten uit reclame die gericht is op je interesses; waarvoor we je persoonlijke gegevens en surfgedrag gebruiken. Vind je dit goed? Zo niet, betaal dan een abonnement van 9 euro per maand.”

Verschil van inzicht

In aanvulling op dit simplisme is de toelichting van Jeroen Terstegge boeiend voer voor de juridische haarkloverij: “Het meest interessant in het licht van de adviezen van de Ierse DPC en de EDPB zijn de conclusies van het Hof over periode C:

12.52 De gebruiker is in het registratiescherm weliswaar gevraagd akkoord te gaan met de Gebruikersvoorwaarden, maar om te zien waarmee hij akkoord ging, moest hij doorklikken en de Gebruikersvoorwaarden raadplegen. Dat is op zichzelf niet een ontoelaatbare wijze van het verkrijgen van toestemming, maar dan moet dat document wel de belangrijkste informatie over gegevensverwerking bevatten. Dat was hier niet het geval. Gesteld noch gebleken is dat de Gebruikersvoorwaarden (adequate) informatie over gegevensverwerking voor advertentiedoeleinden bevatten. Aan het slot van de Gebruikersvoorwaarden stond dat de gebruiker, door Facebookdiensten te gebruiken of te openen, ermee instemt dat Facebook Ierland deze inhoud en informatie kunnen gebruiken en verzamelen in overeenstemming met het Gegevensbeleid. Een dergelijke in Gebruikersvoorwaarden verstopte ‘instemming’, die bovendien op zijn beurt weer verwijst naar een andere informatielaag, is te indirect om te kunnen worden aangemerkt als een ondubbelzinnige wilsuiting. Een gemiddelde gebruiker zal zich er bij het aanklikken van de knop “Registreren”, ook na raadpleging van de Gebruikersvoorwaarden, redelijkerwijs niet bewust van zijn voor welke gegevensverwerkingen hij geacht wordt zijn instemming te hebben gegeven.”

Anders dan de EDPB verwerpt het Hof dus niet de mogelijkheid van een contractuele rechtsgrondslag voor Facebooks gegevensverwerking, maar stelt het enkel dat Facebooks implementatie van die rechtsgrondslag onvoldoende was.”