De Belgische Gegevensbeschermingsautoriteit (GBA) kan wel degelijk - onder bepaalde voorwaarden - juridische stappen zetten tegen Facebook omdat het bedrijf de Europese regels schendt. Dat heeft het Europees Hof van Justitie dinsdag geoordeeld.

De rechters in Luxemburg moesten zich over een prejudiciële vraag van het Brusselse hof van beroep buigen. Dat behandelt een zaak die de GBA in 2015 aanspande tegen Facebook. Ze verzet zich tegen de manier waarop het bedrijf zonder toestemming cookies plaatste bij Belgische internetgebruikers en de manier waarop Facebook gebruikersgegevens verzamelde via social plug-ins en pixels op websites van derden.

Facebook werpt echter op dat de Belgische GBA sinds de invoering van de Europese gegevensbeschermingsverordening (AVG) in 2018 niet langer bevoegd is om dergelijke gerechtelijke procedures te voeren. Volgens Facebook kan dat enkel nog gebeuren door de gegevensbeschermingsautoriteit waar Facebook zijn hoofdvestiging heeft in de EU, met name in Ierland.

Onder voorwaarden

Volgens de rechter kan een nationale toezichthoudende autoriteit onder bepaalde voorwaarden haar bevoegdheid uitoefenen om elke vermeende inbreuk op de AVG ter kennis te brengen van de gerechtelijke autoriteiten van een lidstaat, ook al is zij niet de leidende autoriteit voor die verwerking.

In zijn precisering over die voorwaarden verwijst het Hof naar het eenloketmechanisme in het geval van een grensoverschrijdende verwerking, waarbij een verdeling van de bevoegdheden tussen de leidende en de nationale toezichthouders is afgesproken. Een besluit dat het bedrijf de Europese regels overtreedt, is in principe de bevoegdheid van de Ierse autoriteiten. De bevoegdheid voor nationale autoriteiten vormt op dat vlak een uitzondering. 

Wel kan de toezichthoudende autoriteit zich niet onttrekken aan “een noodzakelijke dialoog en een loyale en doeltreffende samenwerking” met de andere nationale toezichthouders. Elk relevant en gemotiveerd bezwaar van een van deze autoriteiten heeft tot gevolg dat de vaststelling van het ontwerpbesluit van de leidende toezichthoudende autoriteit op zijn minst tijdelijk wordt geblokkeerd.

Het Hof erkent echter ook de rechtstreekse werking van een bepaling van de AVG op basis waarvan elke lidstaat bij wet bepaalt dat zijn toezichthoudende autoriteit bevoegd is om met inbreuken op deze verordening naar de rechter  te stappen. Een dergelijke autoriteit kan zich op deze bepaling beroepen om een vordering tegen particulieren in te leiden of voort te zetten, ook al is zij niet specifiek omgezet in de wetgeving van de betrokken lidstaat.

“Een goede zaak”

De GBA stelt in een reactie tevreden te zijn over het genuanceerde oordeel. “Voor de bescherming van de privacy van de burgers en de geharmoniseerde toepassing van de AVG is dit arrest een goede zaak”, verklaart voorzitter David Stevens. “Wij zijn er altijd van overtuigd geweest dat het belangrijk is dat de autoriteiten de mogelijkheid behouden om namens de gebruikers op te treden.” De GBA zal het arrest nu grondig analyseren om een beter inzicht te krijgen in de precieze gevolgen voor de huidige zaak die voor het Brusselse hof van beroep loopt.

Ook Facebook reageert tevreden. “Wij zijn verheugd dat het Europees Hof van Justitie de waarde en principes van het one-stop-shopsysteem (eenloketmechanisme, red.) en de rol van de belangrijkste toezichthoudende autoriteit opnieuw heeft bevestigd. De uitspraak van vandaag bevestigt dat de bevoegdheid van andere autoriteiten om van dit beginsel af te wijken, beperkt is tot de in de GDPR omschreven uitzonderlijke omstandigheden. Wij zijn het ermee eens dat dit beginsel essentieel is voor een efficiënte en consequente toepassing van de GDPR in de hele EU”, klinkt het in een statement.