Europese Commissie veroordeeld tot schadevergoeding na IP-adres doorgifte via Facebook

Gerecht EU 8 januari 2025, IT 4733; ECLI:EU:T:2025:4 (Bindl tegen Europese Commissie) Een Duits staatsburger, Bindl, heeft de website van de 'Conference on the Future of Europe' bezocht en zich geregistreerd voor een evenement met zijn Facebookaccount via de EU Login-dienst. Hierdoor is zijn IP-adres overgedragen aan Meta Platforms in de Verenigde Staten. Bindl klaagt de Europese Commissie aan, omdat hij van mening is dat zijn recht op bescherming van persoonsgegevens is geschonden. Hij vordert de nietigverklaring van de doorgifte van zijn persoonsgegevens naar derde landen en schadevergoeding voor de geleden immateriële schade, inclusief een vergoeding voor de schending van zijn recht op toegang tot informatie. Daarnaast vraagt hij om vast te stellen dat de Commissie heeft verzuimd een standpunt in te nemen over zijn verzoek om informatie.

Het Gerecht verklaart het beroep tot nietigverklaring niet-ontvankelijk. De vordering tot vaststelling dat de Europese Commissie onrechtmatig heeft verzuimd een standpunt in te nemen over het informatieverzoek van Bindl wordt afgewezen omdat de Commissie inmiddels een standpunt heeft bepaald. Het Gerecht oordeelt dat de Commissie een voldoende gekwalificeerde schending heeft begaan van artikel 46 AVG door het IP-adres van Bindl over te dragen aan Meta Platforms in de Verenigde Staten via de "Sign in with Facebook" hyperlink op de EU Login-webpagina. Het Gerecht wijst erop dat er geen adequaatheidsbesluit voor de Verenigde Staten is. De Commissie heeft de voorwaarden geschapen voor de doorgifte van persoonsgegevens naar een derde land, zonder passende waarborgen. Er is een voldoende direct causaal verband tussen de schending door de Commissie en de immateriële schade die Bindl lijdt, bestaande uit onzekerheid over de verwerking van zijn persoonsgegevens, met name zijn IP-adres. Het Gerecht veroordeelt de Commissie tot het betalen van een schadevergoeding van 400 euro aan Bindl voor de geleden immateriële schade.

188. Hieruit volgt dat de Commissie via de op de webpagina van EU Login weergegeven hyperlink „aanmelden met Facebook” de voorwaarden heeft gecreëerd waaronder verzoekers IP‑adres aan Facebook kon worden doorgezonden. Dit IP‑adres valt echter onder verzoekers persoonsgegevens (zie punt 122 hierboven), dat via die hyperlink aan de in de Verenigde Staten gevestigde onderneming Meta Platforms werd doorgezonden. Deze doorzending komt dus neer op een doorgifte van persoonsgegevens naar een derde land in de zin van artikel 46 van verordening 2018/1725.

190. Bij gebreke van een adequaatheidsbesluit van de Commissie met betrekking tot de Verenigde Staten, mogen persoonsgegevens overeenkomstig artikel 48, lid 1, van verordening 2018/1725 alleen aan een derde land of een internationale organisatie worden doorgegeven als de verwerkingsverantwoordelijke of de verwerker passende waarborgen biedt en betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken (zie punt 101 hierboven).

191. In casu heeft de Commissie niet aangetoond of zelfs maar aangevoerd dat er sprake is van een passende waarborg, met name een standaardbepaling inzake gegevensbescherming of een contractuele bepaling die is vastgesteld onder de voorwaarden van artikel 48, leden 2 en 3, van verordening 2018/1725 (zie punten 102‑104 hierboven). Daarentegen is wel aangetoond dat de weergave van de hyperlink „aanmelden met Facebook” op de website van EU Login eenvoudigweg door de algemene voorwaarden van het Facebookplatform wordt geregeld (zie punt 183 hierboven).

192. Bijgevolg heeft de Commissie de voorwaarden gecreëerd voor een doorgifte van verzoekers persoonsgegevens naar een derde land, zonder evenwel aan de voorwaarden van artikel 46 van verordening 2018/1725 te voldoen.

193. Derhalve moet worden vastgesteld dat, zonder dat de andere argumenten van verzoeker moeten worden onderzocht, de Commissie met betrekking tot de litigieuze doorgifte bij de aanmelding bij EU Login van 30 maart 2022 een voldoende gekwalificeerde schending – in de zin van de in punt 50 hierboven in herinnering gebrachte rechtspraak – heeft begaan van artikel 46 van verordening 2018/1725.