Miljardenclaim Oracle en Salesforce van de baan

11 miljard euro

In augustus 2020 stapte TPC naar de rechter om Oracle en Salesforce aansprakelijk te stellen voor geleden schade door 10 miljoen Nederlandse internetgebruikers. Deze groep internetgebruikers vormde volgens TPC hun achterban. De softwarebedrijven zouden bij deze gebruikers onrechtmatig cookies hebben geplaatst en daarmee persoonsgegevens hebben verzameld om profielen te bouwen in hun Data Management Platforms (DMP’s). Vervolgens zouden deze profielen terecht zijn gekomen in een Real Time Bidding (RTB)-proces, waarmee gepersonaliseerde advertenties getoond konden worden aan deze gebruikers.

Er werd dus geld verdiend met deze data en volgens TPC is daarmee inbreuk gepleegd op het recht op bescherming van privacy en het recht op bescherming van persoonsgegevens. Het resultaat: een eis van 5 miljard euro per organisatie (€500 per gebruiker). Daarnaast zou er ook schade zijn geleden door een vermeend datalek bij Oracle, waardoor er per gebruiker nog eens €100 bovenop moet komen. Uiteindelijk zou het gaan om een totaalbedrag van 11 miljard euro aan schadevergoedingen.

Representativiteitseis

Sinds 1 januari 2020 kennen we in Nederland de Wet afwikkeling Massaschade in collectieve actie (WAMCA), waardoor het mogelijk is geworden om collectief een schadevergoeding te vorderen. In deze rechtszaak werd voor het eerst een beroep gedaan op de WAMCA met mogelijke schade op grond van de Algemene Verordening Gegevensbescherming (AVG). Er werd daarom uitgekeken naar het oordeel van de rechter over de verhouding tussen deze twee wetten.

Maar zover kwam het helaas niet. Volgens de rechtbank kan TPC niet aantonen dat zij voldaan heeft aan de representativiteitseis. Deze eis zorgt ervoor dat een willekeurige organisatie geen claim in kan dienen zonder dat er steun is vanuit de achterban. Volgens de rechtbank moet het dan ook op voorhand duidelijk zijn dat de organisatie opkomt voor een groot deel van de groep getroffen gedupeerden. Dit kan onder andere worden getoetst op basis van het aantal gedupeerden dat zich actief heeft aangemeld voor de vordering.

‘Hoeveel is je privacy waard?’

Om aan te tonen dat er voldoende steun was vanuit de achterban, maakte TPC gebruik van de onderstaande webpagina met een ‘steunknop’:

Uiteindelijk zouden ten tijde van de rechtszaak zo’n 75.000 bezoekers de steunknop hebben aangeklikt. Voor de rechtbank was dit dus niet voldoende. Zo is het onduidelijk voor de bezoeker om wat voor zaak het gaat, welke bedrijven het betreft of voor welke gedupeerden TPC opkomt. Ook kan volgens de rechtbank met één klik niet worden aangetoond dat een gedupeerde zich aan heeft gemeld of tot de achterban zal worden gerekend. Daar komt nog bij dat TPC de likers niet heeft geregistreerd. Het enige dat achterhaald kon worden, was het IP-adres.

Maar wat als TPC toch nog kan aantonen dat voldoende gebruikers de vordering steunen? Dat maakt in dit geval niet uit. De rechtbank gunt TPC geen kans om het gebrek te herstellen en alsnog aan te tonen dat zij representatief is voor de achterban. Omdat de representativiteitseis zwaar weegt als vereiste is de rechter terughoudend met een tweede kans. Wel zou TPC nog in hoger beroep kunnen gaan.

Toekomst

Wat nog opvalt aan deze uitspraak, is dat de rechtbank de argumenten van alle partijen ten aanzien van het samenspel tussen de WAMCA en de AVG wel heeft opgenomen, maar niet heeft behandeld. Zal het hier dan bij blijven? Waarschijnlijk niet. Er lopen op dit moment in ieder geval nog twee andere rechtszaken waarin massaclaims zijn gevorderd. Zo heeft SOMI een claim ingediend tegen TikTok en heeft stichting ICAM de staat voor de rechter gesleept in verband met het datalek bij de GGD. Deze zaken houden we bij DDMA dan ook nadrukkelijk in de gaten.

Ben je lid van DDMA en heb je een juridische vraag? Stuur een mailtje naar legal@ddma.nl.

Romar van der Leij

Voormalig Legal counsel | DDMA