Schending van informatieverplichtingen van de AVG biedt grond voor een collectieve verbodsactie

HvJ EU 11 juli 2024, IT 4592; ECLI:EU:C:2024:598 (Meta tegen Bundesverband). Meta bood via het “App-Zentrum” haar gebruikers gratis spelapplicaties van derden aan. Bij het bezoeken van dit centrum kreeg de gebruiker de melding dat hij de betrokken applicaties toestond een aantal persoonsgegevens te verzamelen en tevens het recht verleende om namens hem bepaalde van die gegevens te delen. Ook werd de gebruiker ervan op de hoogte gebracht dat hij akkoord ging met de algemene voorwaarden van de applicaties. Volgens het Bundesverband is de door Meta verstrekte informatie oneerlijk geweest, met name omdat die informatie niet voldeed aan de relevante wetgeving. In eerste aanleg is het Bundesverband door de Duitse rechter in het gelijk gesteld, evenals in het door Meta ingestelde hoger beroep. Hoewel de hoogste Duitse rechter (Bundesgerichtshof) de uitspraken bekrachtigt, betwijfelt hij de ontvankelijkheid van het Bundesverband, wiens procesbevoegdheid mogelijk verloren zou zijn gegaan als gevolg van de inwerkingtreding van de AVG. Het Hof EU geeft daarover uitsluiting, door te stellen dat iedere vereniging die consumentenbelangen behartigt in rechte kan optreden tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens, ook wanneer zij daartoe geen opdracht heeft gekregen en los van de vraag of er sprake is van enige schending van concrete rechten van de betrokkenen. Het Bundesgerichtshof vraagt zich echter nog steeds af of het niet-naleven van de informatieverplichtingen van de AVG een inbreuk “ten gevolge van de verwerking” in de zin van artikel 80 lid 2 AVG oplevert op grond waarvan het Bundesverband een verbodsactie zou kunnen instellen. In dat kader stelt hij een prejudiciële vraag aan het Hof.

Het Hof stelt voorop dat voor het instellen van een representatieve vordering vereist is dat de betrokken entiteit “van mening is” dat de in de AVG vastgestelde rechten van een betrokkene zijn geschonden als gevolg van de verwerking van diens persoonsgegevens. De bewoordingen van artikel 80 lid 2 AVG impliceren dat de schending van de rechten die de betrokkene aan deze verordening ontleent, bij de verwerking van persoonsgegevens plaatsvindt. Daarbij herinnert het Hof eraan dat het doel van de AVG het waarborgen van een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen is, in het bijzonder van hun recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens. Dat brengt mee dat bij de verwerking van persoonsgegevens moet worden voldaan aan een aantal concrete vereisten op het gebied van transparantie ten aanzien van de persoon wiens gegevens worden verwerkt, mede gelet op artikel 5, 12 en 13 AVG. De beweerdelijke schending in het onderhavige geval kan in de weg staan aan de “geïnformeerde” toestemming die vereist is voor rechtmatige gegevensverwerking. Het niet-naleven van de informatieverplichtingen van de AVG vormt een inbreuk “ten gevolge van verwerking” en biedt grond voor een collectieve verbodsactie in de zin van artikel 80 lid 2 AVG.

46 Deze uitlegging vindt steun in de vergelijking van de verschillende taalversies van artikel 80, lid 2, AVG en in overweging 142 ervan, waarin staat te lezen dat entiteiten die voldoen aan de voorwaarden van artikel 80, lid 1, van deze verordening, redenen moeten hebben om aan te nemen dat de in die verordening neergelegde rechten van een betrokkene zijn geschonden als gevolg van „een verwerking van persoonsgegevens die inbreuk maakt op deze verordening”.

61 Voor zover de vereisten van artikel 5 van deze verordening niet in acht worden genomen bij een verwerking van persoonsgegevens waarbij het recht op informatie wordt geschonden dat de betrokkene aan de artikelen 12 en 13 AVG ontleent, moet de schending van dit recht op informatie worden beschouwd als een schending van de rechten van de betrokkene „ten gevolge van de verwerking” in de zin van artikel 80, lid 2, van die verordening.

62 Hieruit volgt dat bij schending van het uit artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), AVG voortvloeiende recht van de persoon wiens persoonsgegevens worden verwerkt om van de verwerkingsverantwoordelijke in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal informatie te verkrijgen over het doel van een dergelijke verwerking en over de ontvangers van die gegevens, kan worden gebruikgemaakt van de regeling inzake de representatieve vordering van artikel 80, lid 2, van deze verordening.