(1).

(1)Zie concl. OM. Thesaurus CAS: EUROPESE UNIE - PREJUDICIELE GESCHILLEN Wettelijke bepalingen: Wet 8 december 1992 tot bescherming van de persoonlijke levensfeer ten opzichte van de verwerking van persoonsgegevens - 08-12-1992 - Art. 31, § 3 - 32 ELI link Pub nr 1993009167 Thesaurus CAS: WETTEN. DECRETEN. ORDONNANTIES. BESLUITEN - GEVOLGEN VAN INTERNATIONALE NORMEN Wettelijke bepalingen: Wet 8 december 1992 tot bescherming van de persoonlijke levensfeer ten opzichte van de verwerking van persoonsgegevens - 08-12-1992 - Art. 31, § 3 - 32 ELI link Pub nr 1993009167 Tekst van de conclusie C.22.0271.N Conclusie van advocaat-generaal Els Herregodts: (…) Eerste middel.

1. Het eerste middel heeft betrekking op de rechtsmacht van het hof van beroep om kennis te nemen van de vordering van eiseres tegen eerste en tweede verweerster (pre en post AVG). Voorafgaand moet worden opgemerkt dat de vraag of een rechterlijke instantie van een lidstaat rechtsmacht heeft om te oordelen over een vordering ingesteld door een toezichthoudende autoriteit van die lidstaat tegen een (hoofd)vestiging van de verwerkingsverantwoordelijke gelegen in een andere lidstaat, volledig wordt bepaald door de bevoegdheid van die toezichthoudende autoriteit om, krachtens artikel 28, lid 3, Richtlijn 95/46/EG (pre AVG) of artikel 58, lid 5, AVG (post AVG), in rechte op te treden tegen die vestiging. Indien de toezichthoudende autoriteit van een lidstaat bevoegd is om voor een rechterlijke instantie van die lidstaat een vordering in te stellen tegen een (hoofd)vestiging gelegen in een andere lidstaat, zal die rechterlijke instantie logischerwijze ook rechtsmacht hebben om die vordering te beoordelen. Hieronder wordt de kwestie van de bevoegdheid van een nationale toezichthoudende autoriteit om in rechte op te treden tegen een buitenlandse vestiging van de verwerkingsverantwoordelijke onderzocht, zowel onder artikel 28, lid 3, Richtlijn 95/46/EG (pre AVG) als onder artikel 58, lid 5, AVG (post AVG). Eerste onderdeel
2. Eiseres voert in het eerste onderdeel van het eerste middel aan dat het hof van beroep zich niet zonder rechtsmacht had mogen verklaren om uitspraak te doen over de vordering van eiseres tegen Meta Platforms Ireland Ltd. (hoofdvestiging in de EU: eerste verweerster) en Meta Platforms Inc. (moederonderneming met zetel in de Verenigde Staten: tweede verweerster) met betrekking tot feiten gepleegd voor 25 mei 2018, dit is dus nog onder gelding van Richtlijn 95/46/EG. Eiseres voert aan dat het Hof van Justitie in zijn arrest Facebook Ireland e.a. van 15 juni 2021

(1)immers heeft geoordeeld dat artikel 58, lid 5, AVG in die zin moet worden uitgelegd dat – voor zover er sprake is van één van de uitzonderingssituaties op het “één-loketmechanisme” en dus op de algemene competentie van de leidende toezichthoudende autoriteit – de uitoefening van de bevoegdheid van een andere toezichthoudende autoriteit van een lidstaat om voor een rechterlijke instantie van die lidstaat een vordering in te stellen wegens inbreuken op de AVG, niet afhankelijk wordt gesteld van de voorwaarde dat de vordering wordt ingesteld tegen een verwerkingsverantwoordelijke met een hoofdvestiging of een andere vestiging op het grondgebied van de lidstaat van die autoriteit (r.o. 79 en 84). Hieruit volgt dat de toezichthoudende autoriteit de vordering zowel kan instellen tegen een vestiging in haar eigen lidstaat als tegen de hoofdvestiging in een andere lidstaat. Eiseres voert aan dat artikel 28, lid 3, Richtlijn 95/46/EG, dat de toezichthoudende autoriteit de bevoegdheid verleent om in rechte op te treden wegens inbreuken op de nationale omzettingsbepalingen van Richtlijn 95/46/EG, analoog aan artikel 58, lid 5, AVG moet worden uitgelegd. Deze rechtsopvatting lijkt evenwel in strijd te zijn met de duidelijke rechtspraak van het Hof van Justitie in ULD t. Wirtschaftsakademie, C-210/16, van 5 juni 2018 en Weltimmo, C-230/14, van 1 oktober 2015. Deze arresten betreffen specifiek de toepassing van artikel 28, lid 3, Richtlijn 95/46/EG, in een situatie pre AVG. Het Hof van Justitie maakt in die arresten eerst uit welk nationaal recht op de betrokken gegevensverwerking van toepassing is. Het Hof van Justitie legt artikel 28, lid 3, van de richtlijn immers zo uit dat, als het recht van een bepaalde lidstaat van toepassing is, dit automatisch alle bevoegdheden om op te treden impliceert van de toezichthouder van diezelfde lidstaat

(2). Krachtens artikel 4, lid 1, Richtlijn 95/46/EG is het nationale recht van toepassing wanneer

(1)de verwerkingsverantwoordelijke over een vestiging beschikt op het grondgebied van die lidstaat en

(2)de verwerking wordt verricht in het kader van de activiteiten van die vestiging. Het Hof van Justitie oordeelt dat de nationale toezichthoudende autoriteit dan haar bevoegdheid mag uitoefenen jegens die vestiging gesitueerd op het grondgebied van de lidstaat van de autoriteit

(3). Het Hof van Justitie oordeelt in Wirtschaftsakademie dat, hoewel Facebook Ireland Ltd. de exclusieve verantwoordelijkheid draagt voor de verwerkingsactiviteiten, deze toch worden geacht onlosmakelijk verbonden te zijn met de activiteiten van de nationale vestiging van Facebook, in casu Facebook Germany. Een sociaal netwerk als Facebook genereert immers een groot deel van zijn inkomsten door middel van de via dat netwerk verspreide advertenties en de vestiging van Facebook in Duitsland heeft tot doel te zorgen voor de promotie en de verkoop van advertentieruimte die de door Facebook geboden diensten rendabel te maken (r.o. 60). Het Hof van Justitie besluit dan ook dat de verwerking wordt verricht in het kader van de activiteiten van Facebook Germany, zodat de Duitse toezichthoudende autoriteit bevoegd is om de Duitse wetgeving op die verwerking toe te passen ten aanzien van Facebook Germany (r.o. 61 en 62). Op grond van dit arrest van het Hof van Justitie lijkt het voor een nationale toezichthoudende autoriteit niet mogelijk te zijn om, naast de nationale vestiging in het kader van de activiteiten waarvan de verwerking plaatsvindt (zoals in Wirtschaftsakademie Facebook Germany of in de voorliggende zaak Facebook Belgium), de hoofdvestiging in een andere lidstaat (Meta Platforms Ireland Ltd.) of zelfs in een derde staat (Meta Platforms Inc., met zetel in de VS) “mee in het bad te nemen” en de vordering mee tegen hen te richten. Het Hof van Justitie lijkt de territoriale werkingssfeer van de bevoegdheden van de nationale toezichthoudende autoriteiten om krachtens artikel 28, lid 3, Richtlijn 95/46/EG op te treden wegens een inbreuk op het nationale recht ter uitvoering van Richtlijn 95/46/EG namelijk strikt uit te leggen ratione personae. Die bevoegdheden lijken uitsluitend te kunnen worden uitgeoefend jegens de vestiging van de verwerkingsverantwoordelijke die zich op het grondgebied van de lidstaat van de autoriteit bevindt

(4). In Wirtschaftsakademie lijkt het Hof van Justitie aldus de eerste piste te hebben gevolgd die advocaat-generaal Bot had aangereikt in zijn conclusie bij dit arrest. De advocaat-generaal opperde immers dat, “wat de vraag betreft welke entiteit de adressaat is van een maatregel van de nationale toezichthoudende autoriteit, de eerste oplossing erin bestaat om, na een strikte uitlegging van de territoriale werkingssfeer van de bevoegdheden om in te grijpen waarover de toezichthoudende autoriteiten beschikken, aan te nemen dat zij deze bevoegdheden uitsluitend kunnen uitoefenen jegens de vestiging van de voor de verwerking verantwoordelijke die zich bevindt op het grondgebied van de lidstaat waartoe zij behoren.” Indien deze vestiging (zoals Facebook Germany) niet de voor de verwerking verantwoordelijke zelf is en dus niet zelf gevolg kan geven aan een verzoek van de toezichthoudende autoriteit om een gegevensverwerking te beëindigen, moet deze vestiging dit verzoek doorgeven aan de voor de verwerking verantwoordelijke opdat laatstgenoemde het verzoek kan uitvoeren (punten 122 en 123). Het Hof van Justitie lijkt de tweede piste (en de voorkeur) van de advocaat-generaal daarentegen niet te hebben gevolgd. Hierin had de advocaat-generaal een ruimere territoriale werkingssfeer van de bevoegdheden van een nationale toezichthoudende autoriteit bepleit. Hij meende namelijk dat wanneer het nationale recht van de lidstaat waartoe de toezichthoudende autoriteit behoort, van toepassing is op een gegevensverwerking omdat deze wordt verricht in het kader van activiteiten van een vestiging van de verwerkingsverantwoordelijke in de lidstaat van de autoriteit, deze toezichthoudende autoriteit haar vordering rechtstreeks zou mogen richten tegen de voor de verwerking verantwoordelijke, ook al is die in een andere lidstaat of in een derde staat gevestigd (punten 124-128). Dit is evenwel niet de piste waarvoor het Hof van Justitie gekozen heeft in het arrest Wirtschaftsakademie. Volledigheidshalve moet de voorliggende situatie, waarin het recht van de lidstaat van de toezichthouder van toepassing is op de verwerking, doordat deze plaatsvindt in het kader van de activiteiten van een vestiging in die lidstaat (Facebook Germany in Wirtschaftsakademie of in casu Facebook Belgium), worden afgegrensd ten overstaan van de situatie waarin het recht van een andere lidstaat dan die van de aangezochte toezichthouder van toepassing is op een verwerking, doordat die plaatsvindt binnen de activiteiten van een vestiging gelegen in een andere lidstaat. Het Hof van Justitie heeft deze hypothese onderzocht in het antwoord op de tweede prejudiciële vraag in Weltimmo: stel dat een onderneming wordt geacht over een vestiging te beschikken in een andere lidstaat (Slowakije), die activiteiten ontplooit in het kader waarvan persoonsgegevens worden verwerkt, zodat het Slowaaks recht op die verwerking van toepassing is, krachtens art. 4, lid 1, Richtlijn 95/46/EG, maar dat de verwerkingsactiviteiten gericht zijn op adverteerders van onroerend goed gelegen in Hongarije, die, krachtens art. 28, lid 4, van de richtlijn, een verzoek tot bescherming indienen bij de Hongaarse toezichthoudende autoriteit (Weltimmo, r.o. 42-45). Het Hof van Justitie oordeelt in Weltimmo dat de territoriale toepassing van de bevoegdheden van elke toezichthoudende autoriteit wordt bevestigd in artikel 28, lid 6, Richtlijn 95/46/EG. Dit artikel bepaalt dat elke toezichthoudende autoriteit, ongeacht welk nationaal recht van toepassing is, op het grondgebied van haar eigen lidstaat bevoegd is de haar overeenkomstig artikel 28, lid 3, van de richtlijn verleende bevoegdheden uit te oefenen. Lid 6 bepaalt ook dat elke autoriteit door een autoriteit van een andere lidstaat kan worden verzocht haar bevoegdheden uit te oefenen en dat de toezichthoudende autoriteiten onderling samenwerken voor zover dit nodig is voor de uitvoering van hun taken, met name door de uitwisseling van alle nuttige inlichtingen (r.o. 52). Het Hof van Justitie legt dit artikel 28, lid 6, van de richtlijn in Weltimmo in die zin uit dat de toezichthoudende autoriteit van een lidstaat, waarbij natuurlijke personen krachtens artikel 28, lid 4, van de richtlijn een klacht hebben ingediend over de verwerking van hun persoonsgegevens, die klacht ongeacht het toepasselijke recht kan onderzoeken, dus zelfs als het recht dat op de betrokken verwerking van toepassing is, dat van een andere lidstaat is (r.o. 54). Het Hof van Justitie benadrukt evenwel dat de bevoegdheden van die autoriteit in dat geval niet noodzakelijk alle bevoegdheden omvatten die haar in overeenstemming met het recht van de lidstaat waartoe zij behoort, zijn toegekend (r.o. 55). Aldus kan die autoriteit, wanneer zij tot de conclusie komt dat het recht van een andere lidstaat van toepassing is (in casu Slowakije), geen sancties opleggen buiten het grondgebied van de lidstaat waartoe zij behoort (in casu Hongarije). Zij dient dan, krachtens artikel 28, lid 6, van de richtlijn, aan de toezichthoudende autoriteit van die andere lidstaat (Slowakije) te vragen om een mogelijke schending van dat recht vast te stellen en desgevallend sancties op te leggen (r.o. 57). Het Hof van Justitie steunt deze redenering op de “eisen die voortvloeien uit de territoriale soevereiniteit van de betrokken lidstaat, het legaliteitsbeginsel en het begrip rechtsstaat, waaruit volgt dat de sanctiebevoegdheid in beginsel niet kan worden uitgeoefend buiten de wettelijke grenzen waarbinnen een bestuursautoriteit gemachtigd is om, met eerbiediging van het recht van de lidstaat waartoe zij behoort, op te treden” (r.o. 56). Het Hof van Justitie besluit dat wanneer het recht dat van toepassing is op de verwerking niet het recht van de lidstaat van de toezichthouder is maar dat van een andere lidstaat, die autoriteit haar “werkelijke bevoegdheden om in te grijpen die haar in overeenstemming met artikel 28, lid 3, van de richtlijn zijn toegekend, slechts op het grondgebied van de lidstaat waartoe zij behoort kan uitoefenen” en dat zij op grond van het recht van die lidstaat geen sancties kan opleggen aan een verwerkingsverantwoordelijke die niet op dat grondgebied is gevestigd, maar zij ingevolge artikel 28, lid 6, van de richtlijn aan de toezichthoudende autoriteit van de lidstaat waarvan het recht van toepassing is, moet vragen om in te grijpen (r.o. 60). Bijgevolg volgt uit Weltimmo dat, wanneer het recht van een andere lidstaat dan die van de aangezochte autoriteit van toepassing is op een verwerking door een vestiging gelegen in die andere lidstaat, die autoriteit op het grondgebied van haar eigen lidstaat, krachtens artikel 28, leden 3 en 6, Richtlijn 95/46/EG onderzoeksbevoegdheden kan uitoefenen op het grondgebied van haar eigen lidstaat, maar zij niet sanctionerend kan optreden op het grondgebied van de andere lidstaat. Uit Wirtschaftsakademie volgt dat, wanneer het recht van de lidstaat van de toezichthoudende autoriteit wél van toepassing is op een verwerking door een vestiging gelegen in de lidstaat van die autoriteit, zij op het grondgebied van haar lidstaat alle bevoegdheden kan uitoefenen jegens die vestiging, krachtens artikel 28, lid 3, richtlijn, met inbegrip van de bevoegdheid om in rechte op te treden om maatregelen af te dwingen. Zij kan die bevoegdheid dan niet uitoefenen jegens de (hoofd)vestiging van de verwerkingsverantwoordelijke in een andere lidstaat, waarop het recht van de lidstaat van de toezichthouder niet van toepassing is. Zoals het Hof van Justitie in Weltimmo heeft bevestigd, volgt uit de territoriale soevereiniteit van een lidstaat immers dat de sanctiebevoegdheid – of dus de bevoegdheid om in rechte op te treden om maatregelen af te dwingen – slechts kan worden uitgeoefend op het grondgebied van de eigen lidstaat. Ook in de commentaren in de rechtsleer wordt erkend dat de nationale toezichthouder geen grensoverschrijdende bevoegdheden heeft

(5). In het licht van bovenstaande analyse lijkt het eerste onderdeel mij dan ook naar recht te falen. Anders dan de eiseres aanvoert, kan artikel 28, lid 3, Richtlijn 95/46/EG, zoals omgezet door artikel 32, § 3, Wet Verwerking Persoonsgegevens 1992, niet zo worden uitgelegd dat een toezichthoudende autoriteit van een lidstaat bevoegd is om voor een rechterlijke instantie van die lidstaat op te treden wegens een inbreuk op ter uitvoering van de richtlijn vastgestelde nationale bepalingen, zowel tegen de hoofdvestiging van de verwerkingsverantwoordelijke als tegen een andere vestiging, zonder dat vereist is dat de verwerkingsverantwoordelijke een hoofdvestiging of een andere vestiging op het grondgebied van de lidstaat van de autoriteit heeft. Tweede onderdeel. 8. In het eerste cassatiemiddel, tweede onderdeel, voert eiseres aan dat het hof van beroep zich niet zonder rechtsmacht had mogen verklaren om uitspraak te doen over de vordering van eiseres tegen Meta Platforms Ireland Ltd. (eerste verweerster) en Meta Platforms Inc. (tweede verweerster) met betrekking tot feiten gepleegd ná 25 mei 2018, dit is na de inwerkingtreding van de AVG. Het hof van beroep stelt eerst vast dat verweersters aanvoerden dat het “één-loketmechanisme” enkel de uitzondering van artikel 56, lid 2, AVG toelaat en dat die hier niet van toepassing is

(6). Vervolgens oordeelt het hof van beroep dat eiseres sowieso niet bevoegd is om, krachtens artikel 58, lid 5, AVG, tegen eerste en tweede verweerster een vordering in te stellen met betrekking tot een grensoverschrijdende gegevensverwerking wegens een inbreuk op de verordening, omdat sinds de inwerkingtreding van de AVG enkel de leidende toezichthoudende autoriteit (in Ierland) hiertoe bevoegd is

(7). Op grond hiervan besluit het hof van beroep dat het geen rechtsmacht heeft om over die vordering te oordelen. Het tweede onderdeel dat tegen dit oordeel opkomt, lijkt mij gegrond te zijn. In zijn arrest van 15 juni 2021, C-645/19, Facebook Ireland e.a. oordeelt het Hof van Justitie, als antwoord op de eerste prejudiciële vraag, immers dat een toezichthoudende autoriteit van een lidstaat die niet de leidende toezichthoudende autoriteit is, uitzonderlijk wél bij een rechterlijke instantie van die lidstaat een vordering kan instellen, krachtens artikel 58, lid 5, AVG, voor zover er sprake is van één van de uitzonderingssituaties waarin de toezichthoudende autoriteit de competentie heeft om een besluit te nemen waarin wordt vastgesteld dat een verwerking strijdig is met de verordening (opgesomd in r.o. 58, 59 e.v. en 71 van het arrest, met name: een gegevensverwerking met enkel gevolgen in de lidstaat van de autoriteit (artikel 56, lid 2, AVG); voorlopige maatregelen (artikel 66 AVG); beslissing van leidende toezichthoudende autoriteit om de zaak niet te behandelen (artikel 56, lid 5, AVG) of niet ingaan door leidende toezichthoudende autoriteit op verzoek om wederzijdse bijstand zoals uiteengezet in r.o. 71 e.v.). Het Hof van Justitie stelt in dit verband vast dat eiseres de Ierse leidende toezichthouder om wederzijdse bijstand heeft gevraagd, welk verzoek onbeantwoord is gebleven (r.o. 74). Het is volgens het Hof van Justitie aan de verwijzende rechter om te beoordelen of de competentieverdelingsregels correct zijn toegepast en een uitzondering op de hoofdregel van toepassing is (r.o. 73). Als antwoord op de tweede prejudiciële vraag oordeelt het Hof van Justitie dat, wanneer een dergelijke uitzondering op de hoofdregel van het “één-loketmechanisme” van toepassing is, de uitoefening van de bevoegdheid van een toezichthoudende autoriteit van een lidstaat die niet de leidende toezichthoudende autoriteit is om in die lidstaat een vordering in rechte in te stellen, krachtens artikel 58, lid 5, AVG, niet vereist dat de in rechte gedaagde verwerkingsverantwoordelijke of verwerker die de grensoverschrijdende verwerking verricht, over een hoofdvestiging of een andere vestiging op het grondgebied van die lidstaat beschikt (r.o. 79 en 84). Voorwaarde is evenwel dat de bevoegdheid van de toezichthoudende autoriteit binnen het territoriale toepassingsgebied van de verordening valt (r.o. 80). Het Hof van Justitie herinnert eraan dat artikel 3 AVG, dat het territoriale toepassingsgebied van de verordening regelt, in lid 1, bepaalt dat deze verordening van toepassing is op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker van de Unie, ongeacht of de verwerking in de Unie plaatsvindt (r.o. 81). Het Hof van Justitie oordeelt dat hieruit volgt dat, overeenkomstig artikel 3, lid 1, AVG, het territoriale toepassingsgebied van deze verordening, onder voorbehoud van de gevallen in leden 2 en 3, wordt bepaald aan de hand van de voorwaarde dat de verwerkingsverantwoordelijke of de verwerker die de grensoverschrijdende verwerking verricht, over een vestiging op het grondgebied van de Unie beschikt (r.o. 83). Uit dit arrest volgt naar ik meen kennelijk dat een toezichthoudende autoriteit van een lidstaat die niet de leidende toezichthoudende autoriteit is, wanneer een van de uitzonderingen op het “één-loketmechanisme” van toepassing is, krachtens artikel 58, lid 5, AVG, voor de rechterlijke instanties van die lidstaat zowel een vordering kan instellen tegen een vestiging van de verwerkingsverantwoordelijke in de eigen lidstaat van die autoriteit als tegen de hoofdvestiging van de verwerkingsverantwoordelijke of de verwerker die de grensoverschrijdende verwerking verricht, in een andere lidstaat, zolang de verwerking plaatsvindt in het kader van de activiteiten van die vestiging, gelegen in de Unie, zodat de Verordening territoriaal van toepassing is, overeenkomstig artikel 3, lid 1, AVG

(8). De reden waarom een nationale toezichthoudende autoriteit onder de AVG wél haar vordering kan instellen tegen de hoofdvestiging in een andere lidstaat, zonder dat vereist is dat de verantwoordelijke over een hoofdvestiging of een andere vestiging beschikt in de eigen lidstaat van de autoriteit, in tegenstelling tot de regeling onder Richtlijn 95/46/EG (zie antwoord op het eerste middel, eerste onderdeel), lijkt te zijn dat de verordening een ruimer territoriaal toepassingsgebied heeft dan de nationale omzettingsbepalingen van Richtlijn 95/46/EG. Zoals gezegd, kan een nationale toezichthoudende autoriteit de correcte toepassing van de nationale bepalingen ter uitvoering van de richtlijn slechts afdwingen ten aanzien van een vestiging in de lidstaat van die autoriteit, die activiteiten ontplooit in het kader waarvan de verwerking plaatsvindt, overeenkomstig artikel 4, lid 1, a), richtlijn. Artikel 3, lid 1, AVG bepaalt daarentegen dat de verordening van toepassing is op de verwerking van persoonsgegevens die plaatsvindt “in het kader van activiteiten van een vestiging van een verwerkingsverantwoordelijke in de Unie.” De bevoegdheid van een toezichthoudende autoriteit van een lidstaat om, krachtens artikel 58, lid 5, AVG, in die lidstaat in rechte op te treden wegens een inbreuk op de verordening, lijkt dus territoriaal een ruimere werkingssfeer te hebben dan haar bevoegdheid om, krachtens artikel 28, lid 3, Richtlijn 95/46/EG, in die lidstaat in rechte op te treden wegens een inbreuk op de nationale bepalingen ter uitvoering van de richtlijn. Krachtens artikel 58, lid 5, AVG kan de toezichthoudende autoriteit van een lidstaat haar bevoegdheden immers uitoefenen – en dus de correcte toepassing van de verordening afdwingen – jegens een vestiging in haar eigen lidstaat of de hoofdvestiging in een andere lidstaat, zodra de verwerking binnen het territoriale toepassingsgebied van de verordening valt. Dit is het geval wanneer die vestiging in de Unie gelegen is en de verwerking plaatsvindt in het kader van de activiteiten van die vestiging, overeenkomstig artikel 3, lid 1, AVG (Facebook Ireland e.a., r.o. 79-83). Er moet worden opgemerkt dat het antwoord op de derde prejudiciële vraag na grondige lezing niet behulpzaam lijkt te zijn bij het antwoord op de thans voorliggende rechtsvraag of een nationale toezichthoudende autoriteit die niet de leidende toezichthoudende autoriteit is, in het geval van een uitzondering op het “één-loketmechanisme”, bevoegd is om, krachtens art. 58, lid 5, AVG een vordering in rechte in te stellen wegens een inbreuk op de verordening, niet enkel tegen de vestiging van de verwerkingsverantwoordelijke in haar eigen lidstaat maar ook tegen de hoofdvestiging van de verwerkingsverantwoordelijke in een andere lidstaat. Het hof van beroep had, als verwijzende rechter, de derde prejudiciële vraag weliswaar ruim geformuleerd. Volgens het Hof van Justitie wenst de verwijzende rechter immers in wezen te vernemen of artikel 58, lid 5, AVG “aldus moet worden uitgelegd dat in geval van grensoverschrijdende verwerking van gegevens, de uitoefening van de bevoegdheid van een toezichthoudende autoriteit van een lidstaat die niet de leidende toezichthoudende autoriteit is (…) om in rechte op te treden tegen elke vermeende inbreuk op de verordening, vereist dat de betrokken toezichthoudende autoriteit haar rechtsvordering richt tegen een hoofdvestiging van de verwerkingsverantwoordelijke of tegen de vestiging die zich in haar eigen lidstaat bevindt” (r.o. 85). In zijn antwoord op deze prejudiciële vraag heeft het Hof van Justitie de draagwijdte van deze vraag evenwel verengd. Het Hof van Justitie oordeelt immers dat uit de verwijzingsbeslissing blijkt dat deze vraag wordt opgeworpen in het kader van het debat tussen partijen over de vraag of de verwijzende rechter bevoegd is om de stakingsvordering te onderzoeken voor zover deze is ingesteld tegen Facebook Belgium, gelet op het feit dat de maatschappelijke zetel van de Facebookgroep binnen de Unie in Ierland is gevestigd en Facebook Ireland als enige verantwoordelijk is voor het verzamelen en verwerken van persoonsgegevens voor het gehele grondgebied van de Unie, en de vestiging in België voornamelijk is opgericht om de groep in staat te stellen betrekkingen te onderhouden met de instellingen van de Unie en om de reclame- en marketingactiviteiten van de Facebookgroep die bestemd zijn voor in België wonende personen te bevorderen (r.o. 86). Het Hof van Justitie past vervolgens zijn rechtspraak in Wirtschaftsakademie toe en oordeelt, volgens dezelfde redenering als in dat arrest (r.o. 89-94), dat de activiteiten van Facebook Belgium worden geacht onlosmakelijk verbonden te zijn met de verwerking van persoonsgegevens waarvoor Facebook Ireland voor wat betreft het grondgebied van de Unie verantwoordelijk is. Bijgevolg moet een dergelijke verwerking volgens het Hof van Justitie worden geacht te zijn verricht in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke in de zin van artikel 3, lid 1, van verordening 2016/679 (r.o. 95). Het Hof van Justitie besluit dat de bevoegdheid van een toezichthoudende autoriteit van een lidstaat die niet de leidende toezichthoudende autoriteit is om in rechte op te treden tegen een vermeende inbreuk op de verordening, krachtens art. 58, lid 5, AVG, “zowel kan worden uitgeoefend ten aanzien van de hoofdvestiging van de verwerkingsverantwoordelijke in de lidstaat van die autoriteit als ten aanzien van een andere vestiging van die verantwoordelijke, mits de rechtsvordering betrekking heeft op gegevensverwerking die plaatsvindt in het kader van de activiteiten van die vestiging” (r.o. 96). De Franstalige versie van deze overweging luidt dat voornoemde bevoegdheid kan worden uitgeoefend: “tant à l’égard de l’établissement principal du responsable du traitement qui se trouve dans l’État membre dont relève cette autorité qu’à l’égard d’un autre établissement de ce responsable, pour autant que l’action en justice vise un traitement de données effectué dans le cadre des activités de cet établissement.” Het antwoord heeft dus geen betrekking op de hoofdvestiging van de verwerkingsverantwoordelijke in een andere lidstaat (waarop de prejudiciële vraag zelf wel betrekking had), maar wel op een hoofdvestiging die gelegen zou zijn in de lidstaat waaronder de toezichthoudende autoriteit ressorteert (in casu: België). In die lidstaat kan die autoriteit haar vordering volgens het Hof van Justitie niet enkel instellen tegen een hoofdvestiging van de verwerkingsverantwoordelijke die zich aldaar zou bevinden, maar ook tegen een andere vestiging (in casu Facebook Belgium), “indien de verwerking plaatsvindt in het kader van de activiteiten van die vestiging.” Het Hof trekt de ruime interpretatie die het in Wirtschaftsakademie aan die voorwaarde geeft, door post AVG. Ook na de inwerkingtreding van de AVG kan een andere dan de leidende toezichthoudende autoriteit – indien een uitzondering op het “één-loketmechanisme” van toepassing is – een vordering instellen tegen een vestiging van de verwerkingsverantwoordelijke in haar eigen lidstaat (Facebook Belgium), ook al ligt de exclusieve verantwoordelijkheid voor de gegevensverwerking bij de hoofdvestiging in een andere lidstaat (Meta Platforms Ireland Ltd.), indien de activiteiten van die nationale vestiging onlosmakelijk verbonden zijn met die van de hoofdvestiging (zie de nagenoeg identieke overwegingen in Wirtschaftsakademie, r.o. 56-61 en in Facebook Ireland e.a., r.o. 91-95). Het antwoord op de thans voorliggende rechtsvraag of een toezichthoudende autoriteit van een lidstaat die niet de leidende toezichthoudende autoriteit is – indien één van de uitzonderingssituaties op het “één-loketmechanisme” van toepassing is – haar vordering in rechte krachtens artikel 58, lid 5, AVG tegen de hoofdvestiging van de verwerkingsverantwoordelijke in een andere lidstaat mag instellen, blijkt evenwel mijns inziens reeds afdoende uit het antwoord van het Hof van Justitie op de tweede prejudiciële vraag. Het Hof van Justitie oordeelt, zoals vermeld, dat het voor de uitoefening van de bevoegdheid van de toezichthoudende autoriteit om voor een rechterlijke instantie in haar lidstaat een vordering in te stellen, niet vereist is dat de in rechte gedaagde verwerkingsverantwoordelijke over een hoofdvestiging of een andere vestiging op het grondgebied van die lidstaat beschikt (r.o. 84). Volgens het Hof van Justitie is artikel 58, lid 5, AVG ruim geformuleerd en specificeert deze bepaling niet tegen welke entiteiten de toezichthoudende autoriteiten een rechtsvordering zouden moeten of kunnen instellen wegens een inbreuk op de verordening (r.o. 79 en 88; zie ook de conclusie van advocaat-generaal Bobek bij het arrest, punt 150). Nu de vordering in rechte van een toezichthoudende autoriteit niet noodzakelijk gericht moet zijn tegen een hoofdvestiging of een andere vestiging van de verwerkingsverantwoordelijke in de lidstaat van die autoriteit, vloeit hieruit noodzakelijkerwijze voort dat zij ook gericht kan worden tegen een (hoofd)vestiging in een andere lidstaat. Zoals aangegeven, zijn de enige voorwaarden dat die vestiging gelegen is op het grondgebied van de Unie en dat de verwerking waarop de vordering betrekking heeft, plaatsvindt in het kader van de activiteiten van die vestiging, conform art. 3, lid 1, AVG, zodat de verordening territoriaal van toepassing is (r.o. 79-83). Uit bovenstaande analyse volgt dat, indien een van de uitzonderingssituaties op het “één-loketmechanisme” voorhanden is, de bevoegdheid van een toezichthoudende autoriteit van een lidstaat die niet de leidende toezichthoudende autoriteit is om, krachtens art. 58, lid 5, AVG, voor een rechterlijke instantie van die lidstaat een vordering in te stellen wegens een inbreuk op de verordening, tegen een vestiging in die lidstaat, noodzakelijkerwijze verbonden (“gelinkt”) is met haar bevoegdheid om voor een rechterlijke instantie in die lidstaat een vordering in te stellen tegen de hoofdvestiging van de verwerkingsverantwoordelijke in een andere lidstaat. De toezichthoudende autoriteit kan haar bevoegdheid om in rechte op te treden dan uitoefenen, zowel tegen de vestiging in haar eigen lidstaat als tegen de hoofdvestiging in een andere lidstaat. De rechterlijke instantie van de lidstaat van de toezichthoudende autoriteit, bij wie die autoriteit de vordering heeft ingesteld, zal noodzakelijkerwijs rechtsmacht hebben om die vordering te beoordelen, zowel jegens de vestiging in de eigen lidstaat als jegens de hoofdvestiging in de andere lidstaat. Deze verbondenheid van de bevoegdheid van de nationale toezichthoudende autoriteit ten aanzien van een vestiging van de verwerkingsverantwoordelijke in haar eigen lidstaat en ten aanzien van een hoofdvestiging in een andere lidstaat, post AVG, blijkt naar ik meen ook duidelijk uit de conclusie van advocaat-generaal Bobek bij het Facebook Ireland e.a. arrest. De advocaat-generaal benadrukt immers dat “in het geval van grensoverschrijdende gegevensverwerking, de reikwijdte van de aan een toezichthoudende autoriteit toegekende bevoegdheden en de wijze waarop die bevoegdheden moeten worden uitgeoefend, niet afhangen van het antwoord op de vraag of de verwerkingsverantwoordelijke dan wel de verwerker, die zijn hoofdvestiging in een andere lidstaat heeft, ook een vestiging heeft in de lidstaat van die autoriteit” (punt 143). Daarnaast merkt hij op dat ontkennend moet worden geantwoord op de vraag of het antwoord op de eerste vraag (met betrekking tot het bestaan van een uitzondering op het “één-loketmechanisme”) anders luidt naargelang de nationale toezichthoudende autoriteit de rechtsvordering instelt tegen de hoofdvestiging van de verwerkingsverantwoordelijke dan wel tegen de vestiging in haar eigen lidstaat (punten 147-148). Hij verduidelijkt dat “de competentie van de toezichthoudende autoriteit om op te treden niet afhangt van het antwoord op de vraag of de rechtsvordering wordt ingesteld tegen de hoofdvestiging van de verwerkingsverantwoordelijke dan wel tegen de vestiging in haar eigen lidstaat” (punt 149). De advocaat-generaal besluit dat het nieuwe “één-loketmechanisme” noodzakelijkerwijs inhoudt dat een toezichthoudende autoriteit ook kan optreden tegen vestigingen in het buitenland (punt 155). Bijgevolg lijkt het niet mogelijk te zijn voor een nationale rechter om enerzijds te oordelen dat de uitzonderingssituaties op het “één-loketmechanisme” niet van toepassing zijn met betrekking tot de hoofdvestiging van de verwerkingsverantwoordelijke in een andere lidstaat (in casu eerste verweerster), zodat een andere dan de leidende toezichthoudende autoriteit sowieso niet bevoegd is om in rechte op te treden jegens die hoofdvestiging en de rechter geen rechtsmacht heeft om over die vordering te oordelen, en, anderzijds, dat die uitzonderingssituaties wél gelden met betrekking tot een vestiging van de verwerkingsverantwoordelijke in de eigen lidstaat (in casu derde verweerster), zodat een andere dan de leidende toezichthoudende autoriteit ten aanzien van die vestiging wél een vordering zou mogen instellen en de rechter wel rechtsmacht zou hebben om hierover te oordelen. In het bestreden arrest lijken de appelrechters de verbondenheid tussen de mogelijke bevoegdheid van de eiseres ten aanzien van Meta Platforms Ireland Ltd. (eerste verweerster) en ten aanzien van Facebook Belgium (derde verweerster) post AVG echter ten onrechte door te knippen. Zij oordelen immers enerzijds dat eiseres sowieso niet bevoegd is om in rechte op te treden ten aanzien van eerste verweerster, nu post AVG uitsluitend de leidende toezichthoudende autoriteit hiertoe algemeen competent is. Anderzijds stellen zij, met betrekking tot de bevoegdheid van eiseres ten aanzien van derde verweerster, de prejudiciële vraag aan het Hof van Justitie of een toezichthoudende autoriteit van een lidstaat die niet de leidende toezichthoudende autoriteit is, uitzonderlijk haar bevoegdheid om in rechte op te treden krachtens art. 58, lid 5, AVG kan uitoefenen met betrekking tot een grensoverschrijdende gegevensverwerking. De appelrechters lijken dus aan te nemen dat de eiseres sowieso niet bevoegd is ten aanzien van eerste verweerster, terwijl zij de mogelijkheid openlaten dat eiseres uitzonderlijk wél bevoegd is ten aanzien van derde verweerster. Dit vermochten zij mijns inziens niet te doen: als eiseres bevoegd is om in rechte op te treden ten aanzien van derde verweerster, in een van de uitzonderingssituaties op het “één-loketmechanisme”, is zij dit automatisch ook ten aanzien van eerste verweerster. Ik meen dat de appelrechters hun beslissing tot afwijzing van hun rechtsmacht ten aanzien van eerste verweerster, op de grond dat eiseres post AVG sowieso niet bevoegd was om een vordering in te stellen tegen eerste verweerster, dan ook niet naar recht verantwoorden. De appelrechters lijken hun rechtsmacht wel terecht te hebben afgewezen om uitspraak te doen over de vordering van eiseres tegen de moederonderneming Meta Platforms Inc. ( tweede verweerster), met zetel in de Verenigde Staten. De gegevensverwerking door deze in een derde staat gelegen moederonderneming lijkt immers buiten het territoriale toepassingsgebied van de Verordening te vallen: zij vindt niet plaats in het kader van de activiteiten van een verwerkingsverantwoordelijke in de Unie, in de zin van art. 3, lid 1, AVG. Evenmin houdt de verwerking door deze niet in de Unie gevestigde verwerkingsverantwoordelijke verband met het aanbieden van goederen of diensten aan betrokkenen in de Unie of het monitoren van hun gedrag, in de zin van art. 3, lid 2, AVG. De appelrechters stellen immers vast dat de tweede verweerster de Facebook-dienst aanbiedt aan internetgebruikers in de VS en Canada. Tweede middel 9. In het tweede middel voert eiseres aan dat het hof van beroep haar vordering tegen Facebook Belgium (derde verweerster) met betrekking tot feiten gepleegd vóór 25 mei 2018 niet onontvankelijk had mogen verklaren wegens gebrek aan belang, doordat haar vorderingsrecht op grond van artikel 32, § 3, Wet Verwerking Persoonsgegevens 1992, dat de omzetting vormt van artikel 28, lid 3, Richtlijn 95/46/EG, zou zijn uitgedoofd ten gevolge van de opheffing van dit artikel met ingang van 25 mei 2018, krachtens de artikelen 109 en 110 Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit. Het middel steunt op het antwoord op de vierde prejudiciële vraag in het arrest van het Hof van Justitie van 15 juni 2021, Facebook Ireland e.a.. Het is volgens mij opnieuw gegrond. Het Hof van Justitie oordeelt immers, met betrekking de toepasselijke procedureregels, dat “de verordening geen enkele overgangsbepaling noch enige andere regel bevat m.b.t. de status van gerechtelijke procedures die zijn ingeleid voordat zij van toepassing was en die nog aanhangig waren op de datum waarop zij van toepassing is geworden. In het bijzonder bevat deze verordening geen enkele bepaling op grond waarvan deze tot gevolg heeft dat alle op 25 mei 2018 aanhangige procedures betreffende vermeende inbreuken op de in richtlijn 95/46 neergelegde regels op de verwerking van persoonsgegevens worden beëindigd, ook al blijven de gedragingen die dergelijke vermeende inbreuken opleveren na die datum voortduren” (r.o. 101). Het Hof oordeelt bovendien dat een vordering van een toezichthoudende autoriteit van een lidstaat ingesteld wegens inbreuken begaan vóór de inwerkingtreding van de AVG “vanuit het oogpunt van het Unierecht kan worden voortgezet op grond van het bepaalde in richtlijn 95/46, die van toepassing blijft op inbreuken die zijn begaan tot de datum van intrekking ervan, te weten 25 mei 2018” en dat een vordering ingesteld wegens na die datum begane inbreuken “krachtens artikel 58, lid 5, van verordening 2016/679 uitsluitend kan worden ingesteld op voorwaarde dat zij een situatie betreft waarin deze verordening, bij wijze van uitzondering, een toezichthoudende autoriteit van een lidstaat die niet de leidende toezichthoudende autoriteit is, de competentie verleent om een besluit te nemen waarbij wordt vastgesteld dat de betrokken verwerking inbreuk maakt op de verordening, en de in die verordening neergelegde procedures worden gevolgd” (r.o. 104). Hieruit volgt mijns inziens dat, wat de procedureregels betreft, voor vorderingen die zijn ingesteld wegens inbreuken gepleegd vóór 25 mei 2018, de bepalingen van Richtlijn 95/46/EG van toepassing blijven, waaronder art. 28, lid 3, AVG, dat aan een nationale toezichthoudende autoriteit de bevoegdheid verleent om in rechte op te treden wegens inbreuken op de nationale omzettingsbepalingen van de richtlijn. Voor vorderingen ingesteld wegens inbreuken gepleegd na 25 mei 2018, gelden daarentegen de nieuwe procedureregels vervat in de AVG m.b.t. de algemene competentie van de leidende toezichthoudende autoriteit. Het Hof van Justitie doet daarnaast ook uitspraak met betrekking tot de toepasselijke materiële rechtsregels. Het Hof oordeelt immers in r.o. 104 dat “een rechtsvordering vanuit het oogpunt van het Unierecht kan worden voortgezet op grond van het bepaalde in richtlijn 95/46, die van toepassing blijft op inbreuken die zijn begaan tot de datum van intrekking ervan, te weten 25 mei 2018”. Deze overweging houdt in dat ook de materiële regels van de richtlijn van toepassing blijven op inbreuken begaan tot de datum van intrekking ervan. Hieruit volgt dat voor inbreuken gepleegd vóór de inwerkingtreding van de AVG, de materiële rechtsregels van Richtlijn 95/46/EG gelden, terwijl voor inbreuken gepleegd na de inwerkingtreding van de AVG de materiële regels van die verordening gelden. De procedureregels en de materiële regels lijken dus niet losgekoppeld te kunnen worden: voor vorderingen ingesteld wegens inbreuken gepleegd vóór 25 mei 2018 blijven de bepalingen van Richtlijn 95/46/EG en de nationale omzettingsbepalingen gelden, zodat die vorderingen op basis van die bepalingen ook na de inwerkingtreding van de AVG kunnen worden voortgezet, terwijl voor vorderingen ingesteld wegens inbreuken gepleegd na 25 mei 2018 de bepalingen van de verordening gelden. Uit dit arrest lijkt dus kennelijk voort te vloeien dat wanneer de eiseres een vordering heeft ingesteld krachtens artikel 32, § 3, Wet Verwerking Persoonsgegevens 1992, dat artikel 28, lid 3, Richtlijn 95/46/EG omzet in het Belgisch recht, wegens inbreuken gepleegd vóór de inwerkingtreding van de AVG op 25 mei 2018, zij die vordering na de inwerkingtreding van deze verordening kan voortzetten krachtens de bepalingen van de richtlijn en de nationale omzettingsbepalingen, die van toepassing blijven op deze inbreuken. De appelrechters overwegen weliswaar mijns inziens terecht dat het belang van de eiser bij het instellen van de vordering wordt beoordeeld op het tijdstip van het instellen van de vordering en voorhanden moet blijven gedurende het gehele geding. Valt het belang in de loop van het geding weg, dan moet de rechter vaststellen dat de vordering zonder voorwerp is geworden

(9). Ten gevolge van het besproken arrest van het Hof van Justitie kan het vorderingsrecht zelf, met betrekking tot inbreuken begaan vóór de inwerkingtreding van de AVG, echter uitsluitend worden beoordeeld op het tijdstip van het instellen van de vordering (dit is vóór de inwerkingtreding van de verordening op 25 mei 2018). Eens dit vorderingsrecht bestaat, kan dit niet uitdoven louter ten gevolge van de inwerkingtreding van een nieuwe regelgeving, die slechts geldt voor inbreuken die na die inwerkingtreding worden gepleegd. Indien dit vorderingsrecht zou uitdoven, zou met betrekking tot de inbreuken gepleegd vóór 25 mei 2018 namelijk een “zone de non droit” gelden: deze zouden na de inwerkingtreding van de nieuwe regelgeving kunnen ontsnappen aan enig toezicht of enige beteugeling

(10). Nu het vorderingsrecht niet uitdooft, blijft het belang bij het instellen en voortzetten van de vordering op grond van de oude regelgeving vóór 25 mei 2018 wel degelijk bestaan gedurende het gehele geding, conform de voormelde procesrechtelijke regel. Door te oordelen dat het vorderingsrecht van eiseres op grond van artikel 32, § 3, Wet Verwerking Persoonsgegevens 1992, dat de omzetting vormt van artikel 28, lid 3, Richtlijn 95/46/EG, is uitgedoofd na de inwerkingtreding van de AVG, zodat eiseres geen belang meer heeft om haar vordering met betrekking tot de inbreuken gepleegd vóór de inwerkingtreding van de AVG voort te zetten en die vordering zonder voorwerp is geworden, verantwoorden de appelrechters hun beslissing mijns inziens dus niet naar recht. Er moet worden opgemerkt dat de appelrechters hun oordeel ook steunen op de reden dat artikel 112 Wet Persoonsgegevens 1992 niet als basis kan dienen om de procedure voort te zetten met betrekking tot inbreuken gepleegd vóór 25 mei

1. Dit artikel bepaalt enkel met betrekking tot klachten ingediend bij de Commissie voor de bescherming van de persoonlijke levenssfeer dat de nieuwe procedureregels niet van toepassing zijn op klachten die nog hangend zijn bij de GBA op het ogenblik van de inwerkingtreding van deze wet en dat die klachten of verzoeken door de GBA, als rechtsopvolger van de Commissie, verder worden afgehandeld volgens de procedure van toepassing vóór de inwerkingtreding van deze wet. Deze oplossing kan volgens de appelrechters niet worden doorgetrokken naar vorderingen die namens de Commissie zouden zijn ingesteld tegen derden. Uit het bestaan van een wettelijke overgangsregeling met betrekking tot klachten ingediend bij de Commissie, kan echter niet zonder meer a contrario worden afgeleid dat, bij afwezigheid van een uitdrukkelijke overgangsregeling met betrekking tot vorderingen die namens de Commissie worden ingesteld tegen derden, op die vorderingen wél onmiddellijk de nieuwe procedureregels van toepassing zouden zijn en die vorderingen niet zouden kunnen worden voortgezet op basis van de oude regels. Deze redenering is mijns inziens duidelijk in strijd met het arrest van het Hof van Justitie van 15 juni
2. Ten slotte kan de vraag rijzen wat het praktisch gevolg is van de voortzetting van de vordering van de GBA tegen derde verweerster met betrekking tot feiten gepleegd vóór 25 mei 2018, op grond van de artikelen 28, lid 3, Richtlijn 95/46/EG en 32, § 3, Wet Verwerking Persoonsgegevens
3. De vordering strekt er immers toe de staking te horen bevelen van de litigieuze praktijken inzake gegevensverzameling ten aanzien van elke internetgebruiker op het Belgisch grondgebied en de vernietiging van reeds verkregen persoonsgegevens van elke internetgebruiker op het Belgisch grondgebied. Deze litigieuze praktijken betreffen in wezen doorlopende gedragingen, die volgens eiseres vóór 25 mei 2018 inbreuken vormen op Richtlijn 95/46/EG en de omzettingsbepalingen in de Wet Verwerking Persoonsgegevens 1992 en na 25 mei 2018 op de AVG. Ook nu eiseres haar vordering met betrekking tot de inbreuken begaan vóór 25 mei 2018 tegen derde verweerster kan voortzetten, zal die vordering op zichzelf er evenwel niet toe kunnen leiden dat het hof van beroep de staking van deze oude inbreuken kan bevelen, aangezien dit een maatregel ad futurum is. Hierdoor zou het hof van beroep namelijk impliciet mee oordelen over de vermeende inbreuken gepleegd na 25 mei 2018 (het gaat om dezelfde praktijken). Het hof van beroep zal de staking van deze praktijken bijgevolg slechts kunnen bevelen wanneer het oordeelt dat

(1)de eiseres ook met betrekking tot inbreuken begaan na 25 mei 2018 uitzonderlijk bevoegd is om in rechte op te treden tegen eerste en derde verweerster – als uitzondering op het “één-loketmechanisme” (zie supra) – zodat het hof van beroep over de rechtsmacht beschikt om die vordering te beoordelen en

(2)de praktijken effectief een inbreuk vormen op Richtlijn 95/46/EG (pre AVG) en op de verordening (post AVG). Het hof van beroep zal dan naar het geheel van de feiten kunnen kijken: naar de feiten gepleegd vóór en na 25 mei

1. Maar ook wanneer het hof van beroep oordeelt dat eiseres met betrekking tot de feiten gepleegd na 25 mei 2018 niet bevoegd is om een vordering in te stellen tegen eerste en derde verweerster, zodat het hof geen rechtsmacht heeft om die vordering te beoordelen, heeft de voortzetting van de vordering tegen derde verweerster met betrekking tot de feiten gepleegd vóór 25 mei 2018 in elk geval nog nut. Ten eerste kan het hof van beroep de inbreuken op Richtlijn 95/46/EG en de Wet Verwerking Persoonsgegevens 1992 (de oude regelgeving) vaststellen. Dit zou private klagers ertoe kunnen aanzetten om een schadevergoeding te vorderen van derde verweerster. Bovendien zou eiseres die beslissing overmaken aan de toezichthoudende autoriteit in Ierland, volgens de regels van onderlinge samenwerking, wat de druk op die autoriteit (die met betrekking tot de feiten post AVG de leidende toezichthoudende autoriteit is) zou kunnen opvoeren. Ten tweede kan het hof van beroep nog steeds de vernietiging bevelen van gegevens van internetgebruikers die ten gevolge van de inbreuken gepleegd vóór 25 mei 2018 nog bewaard zouden zijn. Verzending, na gedeeltelijke vernietiging, naar het hof van beroep van Brussel, anders samengesteld.
2. Krachtens artikel 108 Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit staat tegen beslissingen van de geschillenkamer van de GBA beroep open bij het Marktenhof. Ten gevolge van die bepaling is dus enkel het Marktenhof (een sectie binnen het hof van beroep te Brussel) bevoegd om kennis te nemen van een beroep tegen een administratieve beslissing van de GBA, in het kader van een objectief contentieux. Het Marktenhof is immers opgericht bij wet van 25 december 2016 met de bedoeling om alle bijzondere, exclusieve bevoegdheden, voornamelijk inzake gereguleerde marktzaken, te centraliseren. Dit betreft in het bijzonder beroepen tegen administratieve beslissingen van bepaalde sectorregulatoren (zoals de Mededingingsautoriteit, de FSMA, het BIPT, de CREG) en, sinds de Wet van 3 december 2017, dus ook van de GBA. Uit deze exclusieve bevoegdheid van het Marktenhof vloeit voort dat, wanneer het Hof van Cassatie een arrest van dit hof vernietigt, de zaak noodzakelijk opnieuw naar dit hof moet worden verwezen, weliswaar anders samengesteld. Het komt mij voor dat in casu de specifieke regel van artikel 108 Wet van 3 december 2017 echter niet van toepassing is. Het bestreden arrest werd immers niet door het Marktenhof geveld in het kader van een beroep door een verwerker of verwerkingsverantwoordelijke tegen een administratieve beslissing van de GBA. Dit arrest werd daarentegen geveld door de 18N kamer van het hof van beroep te Brussel (burgerlijke zaken) in het kader van een gewone procedure waarin de GBA (als opvolgster van de voorzitter van de Privacycommissie) als partij optrad tegen de verwerkingsverantwoordelijke (de Meta Platforms entiteiten), ingesteld op grond van artikel 32, § 3, Wet Verwerking Persoonsgegevens
3. Dit artikel bepaalt dat “de voorzitter van de Commissie ieder geschil aangaande de toepassing van deze wet en haar uitvoeringsmaatregelen aan de rechtbank van eerste aanleg kan voorleggen.” Thans bepaalt artikel 6 Wet van 3 december 2017 dat “de Gegevensbeschermingsautoriteit bevoegd is inbreuken op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens ter kennis te brengen van de gerechtelijke autoriteiten en, waar passend, een rechtsvordering in te stellen teneinde deze grondbeginselen te doen naleven”. In dit kader lijken de gewone procedureregels te gelden (bij gebrek aan een specifieke regelgeving: artikel 2 Gerechtelijk Wetboek). Dit betekent dat het Hof, na vernietiging van het bestreden arrest, de zaak in principe naar een ander hof van beroep (Antwerpen of Gent) zal verwijzen. Dit is ook wat eiseres vraagt in haar voorziening. Ik meen dat het in dit concrete geval echter wenselijk is dat éénzelfde rechterlijke instantie zou kunnen beoordelen of een van de uitzonderingssituaties op het “één-loketmechanisme” voorhanden is, op grond waarvan eiseres bevoegd is om in rechte op te treden, zowel tegen eerste als tegen derde verweerster. Om die reden meen ik dat het de voorkeur verdient de zaak naar het hof van beroep te Brussel te verwijzen, anders samengesteld. Dit is naar ik meen mogelijk op grond van art. 1110 Ger.W., dat bepaalt: “in geval van vernietiging verwijst het Hof van Cassatie, indien daartoe aanleiding bestaat, de zaak, hetzij naar het gerecht in hoogste feitelijke aanleg van dezelfde rang als datgene dat de bestreden beslissing gewezen heeft, hetzij naar hetzelfde gerecht, anders samengesteld”. Conclusie: Vernietiging van het bestreden arrest in zoverre het hof van beroep, inzake de feiten die gepleegd werden na 25 mei 2018, zijn rechtsmacht afwijst om te oordelen over de vordering van eiseres tegen eerste verweerster en, inzake de feiten gepleegd vóór 25 mei 2018, de vordering van eiseres tegen derde verweerster niet-ontvankelijk verklaart wegens gebrek aan belang, met verwijzing van de aldus beperkte zaak naar het hof van beroep van Brussel, anders samengesteld. ___________________________________________

(1)HvJ 15 juni 2021 (Grote kamer), C-645/19, Facebook Ireland e.a., ECLI:EU:C:2021:483.

(2)HvJ 1 oktober 2015, C-230/14, Weltimmo, r.o. 51, ECLI:EU:C:2015:639; HvJ 5 juni 2018, C-210/16, Uld t. Wirtschaftsakademie , r.o. 52, ECLI:EU:C:2018:388; E. CLOOTS, “Het fanpagina-arrest van het Hof van Justitie: een nieuwe streep door de rekening van Facebook” (noot onder HvJ 5 juni 2018, C-210/16), AM 2018-19, 90).

(3)Wirtschaftsakademie, r.o. 52-53 en 64; zie ook: Weltimmo, r.o. 19-41.

(4)Bevestigend in de commentaren in de rechtsleer: N. BONTJE en E. LACHNIT, “Inzicht in Facebook Insights: over verantwoordelijkheid en bevoegdheid. De zaak Wirtschaftsakademie nader bekeken”, Mediaforum 2018, 128; J. GROFFE, “Libres propos autour de l’arrêt Wirtschaftsakademie Schleswig-Holstein rendu par la Cour de justice de l’Union européenne le 5 juin 2018”, Ent. & L. 2018/6, 443.

(5)R. CHAVANNES, D. VERHULST en A. STRIJBOS, “Kroniek technologie en recht 2015-2016”, NJB 2016/1822, 2655; G. VAN CALSTER, “Internet en extraterritorialiteit. Tijd voor een reset na Schrems, Google Spain, Facebook e.a.”, Tijdschrift@ipr 2016, 186-187: de bevoegdheid om sanctionerend op te treden is begrensd door de fysieke grenzen van de betrokken lidstaat.

(6)Zie bestreden arrest, p. 86, nr. 1.3.2.1.8.

(7)Bestreden arrest, p. 88.

(8)Zie in die zin ook de recente analyses van het arrest van het Hof van Justitie in de Nederlandse rechtsleer: X, “Facebook Ireland e.a., HvJ EU 15 juni 2021, zaak C-645/19, BjU 2021; S.R.P. BASTIAANS en F. BUSKERMOLEN, “Privacy. Hoofdregel one-stop-shop-mechanisme AVG voor handhaving door nationale toezichthouders”, AB 2022/2, nr. 10.

(9)Cass. 29 mei 2015, AR C.13.0615.N, AC 2015, nr. 356 ECLI:BE:CASS:2015:ARR.20150529.4; P. VANLERSBERGHE, “Art. 17 Ger.W.” in Gerechtelijk recht. Artikelsgewijze commentaar met overzicht van rechtspraak en rechtsleer, Mechelen, Kluwer 2002, nrs. 13-14.

(10)In die zin ook: N. MICHAIL, “Les cookies ne sont pas encore cuits, ou comment Facebook échappe à l’Autorité de protection des données” (noot onder Brussel 8 mei 2019), TBH 2020, 100, nr. 40. PDF document ECLI:BE:CASS:2023:CONC.20230310.1N.6 Gerelateerde publicatie(s) Vonnis/arrest: ECLI:BE:CASS:2023:ARR.20230310.1N.6 citeert: ECLI:BE:CASS:2015:ARR.20150529.4 ECLI:EU:C:2015:639 ECLI:EU:C:2018:388 ECLI:EU:C:2021:483 Print deze pagina Afdrukformaat S M L XL Nieuwe JUPORTAL-zoekopdracht Sluit Tab <div