Advies aan EU-hof over leidende toezichthouder in Facebook zaak
Het Luxemburgse hof moet zich uitspreken over een Belgische rechtszaak tegen Facebook. De Belgische Gegevensbeschermingsautoriteit (GBA) wil dat Facebook stopt met het volgen van het surfgedrag van niet-gebruikers.
Schending van de AVG
Het Belgische Hof van beroep in Brussel heeft het Hof van Justitie in Luxemburg de vraag voorgelegd of de AVG zich er tegen verzet dat een andere nationale gegevensbeschermingsautoriteit (in Nederland de “Autoriteit Persoonsgegevens”) dan de leidende toezichthouder in haar lidstaat een gerechtelijke procedure instelt in verband met schendingen van de AVG bij grensoverschrijdende gegevensverwerking.
Tracking zonder toestemming
Al in 2015 heeft de Belgische GBA een procedure ingesteld tegen Facebook. De GBA heeft in die procedure verzocht om Facebook te gelasten te stoppen met het zonder toestemming van niet-Facebookgebruikers plaatsen van cookies. Dit gebeurt al wanneer de site van Facebook slechts wordt bezocht of een willekeurige internetpagina wordt bezocht met daarop een social plug-in of een zogenaamde tracking-pixel van Facebook. De GBA heeft tevens gevorderd dat de persoonsgegevens die op deze wijzen zijn verkregen, worden vernietigd.
Wat is een leidende toezichthouder?
De leidende toezichthoudende autoriteit is op grond van art. 56 AVG de autoriteit die de primaire verantwoordelijkheid draagt voor de regeling van een grensoverschrijdende gegevensverwerking. De leidende toezichthoudende autoriteit coördineert alle onderzoeken en betrekt daarbij ook andere betrokken toezichthoudende autoriteiten. Het bepalen van de leidende toezichthoudende autoriteit is afhankelijk van de locatie van de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke.
Bezwaar van Facebook
Facebook Belgium stelt dat op grond van de AVG alleen de leidende gegevensbeschermingsautoriteit bevoegd is om tegen Facebook een gerechtelijke procedure aan te spannen wegens schendingen van de AVG bij grensoverschrijdende gegevensverwerking. Facebook stelt dat slechts de Ierse Data Protection Commission bevoegd is.
prejudiciële verwijzing
Het Belgische hof van beroep heeft vervolgens het Hof van Justitie in Luxemburg de vraag voorgelegd of de AVG zich er tegen verzet dat een andere nationale gegevensbeschermingsautoriteit dan de leidende toezichthouder in haar lidstaat een gerechtelijke procedure instelt in verband met schendingen van de AVG bij grensoverschrijdende gegevensverwerking.
De advocaat-generaal van het Hof heeft zich op 13 januari jl. uitgesproken over deze zaak. Hij is van mening dat de AVG de gegevensbeschermingsautoriteit van een lidstaat toestaat om bij een rechterlijke instantie van die staat een procedure in te stellen wegens een vermeende schending van de AVG bij grensoverschrijdende gegevensverwerking, ook al is die autoriteit niet de leidende.
De Advocaat-generaal begrenst dit echter wel en noemt een aantal situaties waarin de nationale gegevensbeschermingsautoriteiten naar zijn mening kan optreden. Kortheidshalve noem ik twee redenen, namelijk in het geval van dringende maatregelen, of wanneer de leidende gegevensbeschermingsautoriteit heeft besloten om een zaak niet te behandelen.
Conclusie AG is nog geen uitspraak
Deze conclusie van de advocaat-generaal i(AG) s overigens nog geen uitspraak van het Hof van Justitie. De advocaten-generaal doen het voorbereidend werk in rechtszaken en zijn hierin onafhankelijk. Ze doen onderzoek en leggen daarna een ‘met redenen omklede conclusie’ voor aan het Hof. In de praktijk worden de conclusies vaak opgevolgd.
