Deze zomer lanceert het Kenniscentrum Data & Maatschappij een blogserie waarin rechtenstudenten van de KU Leuven recente rechtszaken op het gebied van gegevensbescherming onder de loep namen. In hun bijdragen analyseren ze belangrijke ontwikkelingen, belichten ze wat er op het spel staat en delen ze hun eigen visie op hoe de wetgeving zich ontwikkelt.
In deze blogpost zoomt Gitte Peeters in op de zaak Bindl v Commissie, waarin het Europese Gerecht zich buigt over het begrip “internationale doorgifte” van persoonsgegevens in het kader van gegevensstromen naar Amazon Web Services en Meta Platforms
Inleiding
In Bindl v Commissie geeft het Europese Gerecht voor het eerst een concretere invulling aan het begrip “internationale doorgifte” van persoonsgegevens. Het arrest beantwoordt enkele praktische vragen die sinds Schrems II bijzonder relevant zijn geworden. Volstaat het dat een Europese dochteronderneming deel uitmaakt van een Amerikaanse groep om van een doorgifte naar een derde land te spreken? Is een louter risico op toegang door buitenlandse autoriteiten voldoende? Of moet een concrete gegevensstroom naar een ontvanger buiten de Europese Economische Ruimte (EER) worden aangetoond? Hoewel het Gerecht nergens expliciet verwijst naar de EDPB richtsnoeren 5/2021 (2.0) inzake internationale doorgiften, sluit het arrest inhoudelijk opvallend nauw aan bij de daarin ontwikkelde driedelige benadering. De praktische relevantie daarvan is aanzienlijk: het arrest toont dat bepaalde loginopties of embedded links op zichzelf reeds kunnen volstaan om hoofdstuk V AVG te activeren.
Feiten
De zaak speelt zich formeel af onder Verordening (EU) 2018/1725, het gegevensbeschermingskader voor EU-instellingen. Het Gerecht benadrukt echter dat deze verordening in lijn met de AVG moet worden uitgelegd. Thomas Bindl, een Duitse burger met interesse in IT en gegevensbescherming, bezocht in 2021 en 2022 verschillende keren de website van de “Conference on the Future of Europe” van de Europese Commissie. De Commissie is de verwerkingsverantwoordelijke. Op 30 maart 2022 registreerde hij zich via de optie “Sign in with Facebook” voor een “Go Green”-evenement. Daarnaast richtte hij twee informatieverzoeken aan de Commissie over de verwerking van zijn persoonsgegevens en eventuele doorgiften naar derde landen.
Vorderingen
Volgens Bindl leidde het gebruik van de website tot doorgiften van persoonsgegevens aan Amazon Web Services en Meta Platforms in de Verenigde Staten. Hij vorderde onder meer de nietigverklaring van deze doorgiften en een schadevergoeding van €1.200 wegens schending van zijn recht op informatie en wegens de onrechtmatige doorgifte van zijn persoonsgegevens. Uiteindelijk kende het Gerecht slechts €400 immateriële schadevergoeding toe.
Uitspraak
Het arrest bevestigt eerst een punt dat reeds in Breyer v Duitsland werd aanvaard: ook een IP-adres vormt een persoonsgegeven. Vervolgens rijst de vraag wanneer sprake is van een internationale doorgifte van dat IP-adres. De AVG bevat zelf geen definitie van “internationale doorgifte”. De EDPB ontwikkelde in haar richtsnoeren drie cumulatieve criteria: (1) er moet een verwerkingsverantwoordelijke zijn die onder het Unierecht valt, (2) persoonsgegevens moeten worden doorgegeven of ter beschikking gesteld aan een ontvanger, en (3) die ontvanger moet zich in een derde land bevinden of een internationale organisatie zijn. Opvallend is dat het Gerecht deze structuur vrijwel volledig overneemt zonder de EDPB-richtsnoeren expliciet te vermelden. Dat is relevant, aangezien deze richtsnoeren formeel geen bindende rechtsbron vormen. Hoewel het arrest dus geen expliciete definitie van “internationale doorgifte” formuleert, lijkt het de door de EDPB ontwikkelde criteria wel te onderschrijven.
Voor beide vermeende doorgiften aan Amazon in de Verenigde Staten vond het Gerecht geen aansprakelijkheid van de Commissie. Bij het eerste bezoek van 30 maart 2022 kon enkel worden aangetoond dat de persoonsgegevens naar een server in München werden doorgestuurd, beheerd door een Europese entiteit binnen de Amazon-groep. Het loutere risico dat een EU-dochteronderneming op een later moment gegevens zou moeten overmaken aan autoriteiten van het derde land waarin de moedervennootschap gevestigd is, volstond niet. Het Gerecht kiest hier duidelijk voor een feitelijke benadering: de verzoeker moet een concrete gegevensstroom naar een ontvanger buiten de EER aantonen. Een hypothetische of potentiële doorgifte is onvoldoende om een schending van de regels inzake internationale doorgiften vast te stellen.
Afbeelding door Jamillah Knowles & Reset.Tech Australia via Betterimagesofai.org
Ook het tweede Amazon-scenario leidde niet tot aansprakelijkheid. Op 8 juni 2022 werden persoonsgegevens doorgestuurd naar Amerikaanse servers omdat Bindl zelf gebruik maakte van een VPN of vergelijkbare configuratie. Het Gerecht oordeelde dat het noodzakelijke causale verband ontbrak, aangezien de doorgifte voortvloeide uit de eigen keuze van Bindl en niet uit een beslissing van de Commissie.
Voor de Facebook-login ligt dat anders. Daar stelde het Gerecht vast dat het IP-adres van Bindl via de hyperlink “Sign in with Facebook” werd doorgestuurd naar Meta Platforms in de Verenigde Staten. Anders dan bij Amazon werd deze gegevensstroom rechtstreeks veroorzaakt door de technische aard van de website zelf. Door een loginoptie via Facebook te integreren, had de Commissie zelf de voorwaarden gecreëerd voor de doorgifte van persoonsgegevens aan een derde land. Het Gerecht achtte die doorgifte dan ook toerekenbaar aan de Commissie.
Belangrijk daarbij is dat er op het moment van de feiten geen geldig adequaatheidsbesluit voor de Verenigde Staten bestond ten gevolge van Schrems I en Schrems II. De Commissie had dus passende waarborgen moeten voorzien om een adequaat beschermingsniveau te garanderen. Het Gerecht oordeelde dat de onzekerheid over de verwerking van persoonsgegevens en het daaruit voortvloeiende verlies van controle volstonden om immateriële schade aan te nemen. Bovendien werd een voldoende directe causale link vastgesteld tussen de schending door de Commissie van artikel 46 van Verordening 2018/1725 en de geleden immateriële schade. Daarbij sluit het arrest aan bij Austrian Post, waarin het Hof reeds had geoordeeld dat geen ernstcriterium geldt voor immateriële schade onder het gegevensbeschermingsrecht.
Een opvallend element is dat het Gerecht de aansprakelijkheid volledig bij de Commissie legt, hoewel de persoonsgegevens uiteindelijk bij Meta Platforms terechtkwamen. Dat hangt samen met de rol van de Commissie als verwerkingsverantwoordelijke voor de website van de “Conference on the Future of Europe”. Door op haar website de optie “Sign in with Facebook” te integreren, heeft de Commissie zelf de technische voorwaarden gecreëerd voor de doorgifte van persoonsgegevens aan Meta in de Verenigde Staten. Het arrest sluit daarmee aan bij de eerdere rechtspraak zoals Fashion ID en Russmedia, waarin het Hof reeds benadrukte dat een websitebeheerder verantwoordelijkheid kan dragen voor gegevensverwerkingen die voortvloeien uit de integratie van externe of sociale mediafunctionaliteiten.
Interessant is echter dat het Gerecht de eigen keuze van Bindl om gebruik te maken van de Facebook-login niet beschouwt als een factor die het causale verband doorbreekt, terwijl dat bij het gebruik van een VPN wel het geval was. Hoewel Bindl vrijwillig voor de loginoptie koos en reeds een Facebookaccount had, blijft volgens het Gerecht doorslaggevend dat de Commissie zelf deze loginfunctionaliteit had geïntegreerd in haar website. Men had nochtans ook kunnen redeneren dat de doorgifte in essentie voortvloeide uit de autonome relatie tussen Bindl en Facebook, waarmee hij reeds akkoord was gegaan via de algemene voorwaarden van het platform. Vanuit die logica had eventueel kunnen worden geargumenteerd dat Bindl impliciet instemde met de daarmee gepaard gaande internationale doorgifte. Het Gerecht volgt die benadering echter niet en lijkt daarmee te bevestigen dat een eventuele toestemming of contractuele relatie met een platform de eigen verplichtingen van de verwerkingsverantwoordelijke onder hoofdstuk V AVG niet opheft.
Conclusie
Het arrest is om verschillende redenen van belang. In de eerste plaats brengt het voor het eerst meer duidelijkheid over wanneer precies sprake is van een internationale doorgifte van persoonsgegevens. Het Gerecht kiest daarbij voor een genuanceerde en sterk feitelijke benadering: een louter theoretisch risico op toegang vanuit een derde land volstaat niet, maar er moet een daadwerkelijk aantoonbare gegevensstroom naar een ontvanger buiten de EER bestaan. Tegelijk bevestigt het arrest dat dergelijke doorgiften zich ook kunnen voordoen via ogenschijnlijk beperkte technische integraties, zoals een social login. Verder blijkt uit het arrest dat de drempel voor aansprakelijkheid en voor het toekennen van immateriële schade relatief laag ligt, aangezien reeds de onzekerheid en het verlies van controle over persoonsgegevens op zichzelf volstaan. Niettemin lijkt het weinig waarschijnlijk dat dit arrest op zichzelf aanleiding zal geven tot een golf van collectieve vorderingen of class actions, zoals soms wordt gesuggereerd.
Auteur
Gitte Peeters behaalde haar master in de Rechten aan de KU Leuven. Vanaf september volgt zij een LL.M. in Intellectual Property Law aan Queen Mary University of London. Haar interesses liggen in intellectuele eigendom, technologie en gegevensbescherming.”
Over
Disclaimer: Het Kenniscentrum Data & Maatschappij is niet verantwoordelijk voor de inhoud van gastbijdrages en zal dan ook niet corresponderen over de inhoud. Bij vragen, opmerkingen of zorgen: neem contact op met de auteur(s)!
