De bewijslastverdeling naar aanleiding van de Facebook-uitspraak
Op 15 maart 2023 deed de Rechtbank Amsterdam een uitspraak in een collectieve actie tegen Facebook (ECLI:NL:RBAMS:2023:1407). Dit is een interessante uitspraak omdat de rechtbank uitvoerig ingaat op de toepassing van de AVG, zoals de eventuele gezamenlijke verwerkingsverantwoordelijkheid binnen het facebookconcern en de rechtmatige grondslagen voor de verwerking van persoonsgegevens. Een van de onderwerpen waarover de rechtbank oordeelt is de verdeling van de bewijslast in het geval een beroep wordt gedaan op de schending van de informatieverplichtingen. Deze blog gaat specifiek over de verdeling van de bewijslast.
Juridisch kader
In dit geschil stond de vraag centraal of Facebook onrechtmatig handelde bij de verwerking van persoonsgegevens van Nederlandse Facebookgebruikers in de periode van 1 april 2010 tot 1 januari 2020. De Data Privacy Stichting (“Stichting”) stelde onder andere dat Facebook persoonsgegevens gebruikte voor advertentiedoeleinden, terwijl zij haar gebruikers hier onvoldoende over informeerde. Gezien de periode waarin de verwerkingsactiviteiten van Facebook plaatsvonden beroept de Stichting zich op zowel de AVG[1] als de voorloper daarvan, de richtlijn 2002/58/EG (“Privacyrichtlijn”) en de Wet bescherming persoonsgegevens (“Wbp”).
Op grond van artikelen 33 en 34 Wbp en de artikelen 12, 13 en 14 AVG moest Facebook als verwerkingsverantwoordelijke, haar gebruikers (betrokkenen) op beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke wijze informeren over de verwerking van persoonsgegevens. Een interessante vraag die zich in het geschil voordeed, is welke partij (de Stichting als eiser of Facebook als gedaagde) moest bewijzen dat Facebook wel/niet aan haar transparantieverplichtingen voldeed. De rechtbank oordeelde dat de bewijslast voor de informatieverplichtingen op Facebook berustte en volgde de Stichting in haar stelling dat Facebook haar gebruikers niet juist heeft geïnformeerd en daarmee niet voldeed aan haar informatieverplichtingen.
[1] De AVG is op 25 mei 2018 in werking getreden.
De bewijslast
De hoofdregel welke partij in een gerechtelijke procedure de bewijslast draagt is in Nederland opgenomen in art. 150 Rv van het Wetboek van Burgerlijke Rechtsvordering (“Rv”). Het uitgangspunt is dat de partij die zich beroept op rechtsgevolgen van door haar gestelde feiten of rechten, de bewijslast van die feiten of rechten draagt: wie stelt, bewijst. Op grond hiervan zou de Stichting dus moeten bewijzen dat Facebook haar informatieverplichtingen niet heeft nageleefd. In dit geval komt de rechtbank echter op grond van de AVG, de Privacyrichtlijn en de memorie van toelichting van de Wbp tot een andere verdeling van de bewijslast, namelijk dat Facebook dient te bewijzen dat zij wel aan haar informatieverplichtingen heeft voldaan.
De verantwoordelijkheid van Facebook op grond van de AVG
De rechtbank oordeelt dat uit art. 5 lid 1 en 2 en art. 24 lid 1 AVG een bepaalde verantwoordelijkheid van Facebook voortvloeit. In art. 5 lid 1 AVG staan de beginselen waaraan iedere verwerking van persoonsgegevens moet voldoen. Eén van de beginselen houdt in dat iedere verwerking transparant moet zijn (sub a). Bovendien blijkt uit lid 2 van dit artikel dat de verwerkingsverantwoordelijke, in dit geval Facebook, moet kunnen aantonen dat hij deze beginselen daadwerkelijk naleeft (ook wel de ‘verantwoordingsplicht’). Daarnaast volgt uit art. 24 lid 1 AVG dat de verwerkingsverantwoordelijke passende maatregelen moet treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd. In deze verplichtingen ziet de rechtbank een van artikel 150 Rv afwijkende bewijslastverdeling voor informatieverplichtingen, die rust op verwerkingsverantwoordelijken.
De invloed van de Wbp
Hoewel de Wbp als implementatie van de Privacyrichtlijn inmiddels is vervangen door de AVG, speelt deze nog wel een rol in de periode van de onderhavige vorderingen. Opvallend is dat in de Wbp geen verantwoordingsplicht staat zoals in de AVG. In art. 33 en 34 Wbp staat bijvoorbeeld wel dat de verwerkingsverantwoordelijke bepaalde informatie moet verstrekken aan de betrokkene, maar de wet bevat geen bepaling die stelt dat hij moet kunnen aantonen dat dit ook daadwerkelijk gebeurt. Op grond van de Memorie van Toelichting bij de Wbp en de strekking van de transparantieverplichtingen komt de rechter echter tot eenzelfde bewijslastverdeling als op grond van de AVG.
“Alhoewel dit in de Wbp minder expliciet is verwoord dan in de AVG, volgt dit ook uit het transparantievereiste. De betrokkene kan alleen dan zijn rechten onder de wet verwezenlijken indien hij op de hoogte is van de verwerking. Het is aan de verwerkingsverantwoordelijke om te bewijzen dat de gegevensverwerking rechtmatig is. Daartoe behoort ook dat de betrokkene vooraf voldoende geïnformeerd wordt over de gegevensverwerking.” (r.o. 11.20.)
Verantwoordingsplicht = bewijslast?
De vraag is of de verantwoordingsplicht inhoudt dat de verwerkingsverantwoordelijke in een gerechtelijke procedure altijd de bewijslast draagt voor alle verplichtingen in de AVG. In dit geschil hecht de rechtbank belang aan het feit dat met het ontbreken van transparantie de betrokkene zijn rechten niet kan verwezenlijken. Dit is echter met name relevant voor de uitleg van de Wbp omdat daarin minder expliciet de bewijslastverdeling aan de orde komt. Voor de bewijslastverdeling ingevolge de AVG wordt expliciet verwezen naar artikelen 5 lid 2 en 24 AVG. Het lijkt er dus op dat de rechtbank uitgaat van een omgekeerde bewijslastverdeling voor in ieder geval alle beginselen in artikel 5 lid 1 van de AVG. Dit zou de drempel voor een gerechtelijke procedure verlagen voor betrokkenen, en dus ook voor claimorganisaties.
Wat betekent dit voor organisaties?
Feitelijk gezien verandert deze afwijkende bewijslastverdeling weinig voor organisaties. Het is immers op grond van de AVG al verplicht voor verwerkingsverantwoordelijken om te kunnen aantonen dat zij voldoende informatie heeft verstrekt aan betrokkenen. Wel kan het een extra impuls geven om te zorgen dat verwerkingsverantwoordelijken deze verplichtingen juist naleven, aangezien betrokkenen met deze bewijslast sterker in de rechtsstrijd staan. Partijen die stellen dat een verwerkingsverantwoordelijke zijn informatieverplichtingen niet naleeft, hoeven dit namelijk niet zelf te bewijzen. In plaats daarvan moet de verwerkingsverantwoordelijke bewijzen dat hij de verplichtingen wel naleeft. Wellicht dat dit de stap naar de rechter voor claimorganisaties vanwege een schending van de informatieverplichting verlaagt. Organisaties doen er daarom goed aan om bij zichzelf na te gaan in hoeverre zij voldoen aan de informatieverplichtingen en of dit aantoonbaar is in het geval dat er twijfels over rijzen.
Auteur: Lydia O’Riordan
