“The bird is freed!” tweette Elon Musk onlangs na de veelbesproken overname van Twitter. Zelf heeft hij echter zijn handen vol want in zijn eerste week moest hij niet alleen dealen met een massaontslag, maar ook met de start van een Nederlandse massaschadeclaim. De Stichting Data Bescherming Nederland (SDBN) sleept Twitter namelijk (mogelijk) voor de rechter. Volgens SDBN ging het mis bij het advertentieplatform MoPub, waarvan Twitter vanaf 2013 tot vorig jaar eigenaar was. Meer dan 30.000 gratis apps, waaronder Wordfeud en Buienradar maar bijvoorbeeld ook menstruatieapps en datingapps als Grindr en Happn, zouden de afgelopen jaren illegaal persoonsgegevens van miljoenen Nederlanders via MoPub hebben uitgewisseld. Twitter en MoPub hebben volgens SDBN miljoenen verdiend met de illegale handel in deze persoonsgegevens. Als eerste stap heeft SDBN Twitter aansprakelijk gesteld en uitgenodigd voor onderhandelingen. Wanneer dat niets oplevert, is de volgende stap het uitbrengen van een dagvaarding. Tegelijkertijd is SDBN gestart met een bewustwordingscampagne om te wijzen op de privacyrisico’s bij het gebruik van gratis apps. De domeinnaam van SDBN is veelzeggend: www.jestaattekoop.nl.
Vanuit mijn betrokkenheid als voorzitter van de stichting Take Back Your Privacy (TBYP) keek ik reikhalzend uit naar het tussenvonnis van de rechtbank Amsterdam in de procedures die TBYP, de Stichting Onderzoek Marktinformatie (SOMI) en de Stichting Massaschade en Consument (SMC) zijn gestart tegen TikTok. In deze eerste fase stond de vraag centraal of de Nederlandse rechter bevoegd is om over de claims te oordelen, hetgeen door de rechtbank is bevestigd. Daarnaast verzocht TikTok de rechtbank om prejudiciële vragen te stellen aan het Europese Hof van Justitie over onder meer de bevoegdheid van claimstichtingen om namens betrokkenen een actie te starten. Ook wilde TikTok dat de zaak werd aangehouden totdat de Ierse privacytoezichthouder zijn onderzoeken naar TikTok had afgerond. Beide verzoeken zijn afgewezen (r.o.5.22-5.25). Volgens de rechtbank is aanhouding in strijd met de goede procesorde (r.o. 5.25). Ook mag TikTok geen tussentijds beroep instellen tegen dit tussenvonnis (r.o. 5.28).
De zaak belandt dus nu in de tweede fase: nu er drie stichtingen zijn met grotendeels soortgelijke vorderingen, is het aan de rechtbank om te beoordelen of de stichtingen ontvankelijk zijn en welke stichting als exclusieve belangenbehartiger wordt aangewezen. Net voor kerst zijn de stichtingen aan de beurt om hiertoe een akte te nemen. In februari 2023 moet TikTok hierop reageren. Daarna is het woord weer aan de rechter. De inhoudelijke behandeling van de zaak wordt niet voor eind 2023 verwacht.
De inhoudelijke behandeling van de zaak tegen Facebook door de Data Privacy Stichting is wel al begonnen en op 8 november jl. was daarvan de laatste zittingsdag. Een uitspraak in deze zaak wordt op 1 februari 2023 verwacht.
Ondertussen roert ook de politiek zich nadat TikTok haar nieuwe privacybeleid aankondigde, waaruit blijkt dat gegevens van Nederlandse gebruikers vanaf 2 december 2022 zullen worden doorgegeven naar China. Kritische Kamervragen volgden en de ChristenUnie pleit zelfs voor een verbod op TikTok. Uit de antwoorden op de Kamervragen blijkt ook dat de zorgen over de omgang met persoonsgegevens ertoe hebben geleid dat de Dienst Publiek en Communicatie (DPC) van het ministerie van Algemene Zaken (AZ) sinds september adviseert om de inzet van TikTok voor de Rijksoverheid op te schorten. De tijd van stilzitten bij massale privacyschendingen lijkt dus voorbij.
Tot slot geef ik de Autoriteit Persoonsgegevens graag nog een ‘tip’ mee: blijven wachten op de Ierse toezichthouder hoeft niet. Is het niet eens tijd om het (goede) voorbeeld van de Italiaanse toezichthouder te volgen en de spoedprocedure van art. 66 AVG eens af te stoffen?
