Hof van beroep Brussel 8 mei 2018

(…)

Op 11 september 2015 dagvaardde de heer W. D. in zijn hoedanigheid van voorzitter van de Belgische Commissie ter bescherming van de Persoonlijke Levenssfeer de vennootschappen FACEBOOK voor de Nederlandstalige rechtbank van eerste aanleg te Brussel.

(…)

De Commissie voor de bescherming van de persoonlijke levenssfeer, gevestigd te 1000 Brussel (…) is vrijwillig tussengekomen.

De bestreden beslissing heeft als volgt geoordeeld:

Werkt het tussenvonnis van 02.11.2017 verder uit,

Verklaart zich internationaal bevoegd om kennis te nemen van de vordering van eiser.

Verklaart de vordering van eiser ontvankelijk.

Verklaart het verzoek tot vrijwillige tussenkomst onontvankelijk. Verklaart de vordering van eiser in de volgende mate gegrond:

Beveelt de volgende maatregelen ten aanzien van de drie verweersters:

A. ten aanzien van elke internetgebruiker op het Belgische grondgebied de staking van:

(1) het plaatsen van de “c_user”, “xs”, “datr”, “sb”, “fr” en “lu” cookie en eender welke andere equivalente cookie met vergelijkbare functionaliteit en aanwending wanneer hij op een webpagina van het Facebook.com-domein of op een website van een derde komt, tenzij hij voorafgaandelijk:

(a) op duidelijke en begrijpelijke wijze volledig en nauwkeurig wordt geïnformeerd over:

de omstandigheden waarin Facebook deze cookies bij hem plaatst en vervolgens inzamelt;

de doeleinden waarvoor Facebook deze cookies aanwendt;

de aard van de gegevens die Facebook inzamelt wanneer hij een website bezoekt die een Facebook social plug-in bevat, zoals het internetadres (URL) van die website;

de ontvangers of categorieën ontvangers van de ingezamelde gegevens;

het bestaan van zijn recht op verzet, toegang en verbetering;

de bewaartermijn van de gegevens die zij via cookies en social plug-ins inzamelt;

(b) op vrije, specifieke en ondubbelzinnige wijze heeft toegestemd met zowel het plaatsen als het gebruik van deze cookies voor zover die niet strikt noodzakelijk zijn voor de uitdrukkelijk door hem gevraagde dienst;

en, als hij zich bij Facebook afmeldde of zich deactiveerde, niet op vrije, specifieke en ondubbelzinnige wijze heeft toegestemd met het voortgezet gebruik van deze cookies;

(c) de mogelijkheid heeft gekregen om de plaatsing van deze cookies, voor zover die niet strikt noodzakelijk zijn voor een uitdrukkelijk door hem gevraagde dienst, te weigeren zonder dat de toegang tot het Facebook.com-domein wordt beperkt of bemoeilijkt;

(2) het inzamelen van de “c_user”, “xs”, “datr”, “sb”, “fr” en “lu”cookie en eender welk andere equivalente cookie met vergelijkbare functionaliteit en aanwending, via Facebook social plug-ins, Facebook-pixels of gelijkaardige technologische middelen op websites van derden op een wijze die overmatig is gelet op de doeleinden van de betrokken cookies, met dien verstande dat:

(a) de systematische in zameling van cookies met een beveiligingsfinaliteit bij bezoeken aan webpagina's die niet tot het Facebook.com-domein behoren, overmatig is wanneer de betrokkene geen Facebook-account heeft of niet is aangemeld, en geen gebruik probeert te maken van de social plug-ins;

(b) de systematische inzameling van cookies met een reclamefinaliteit bij bezoeken aan webpagina's die niet tot het Facebook.com domein behoren, overmatig is wanneer de betrokkene te kennen gegeven heeft dat hij niet wenst dat informatie over zijn surfgedrag aangewend wordt voor reclamedoeleinden;

(c) de systematische inzameling van cookies gebruikt om de identiteit van een Facebookgebruiker te verifiëren of om te registreren of hij ervoor heeft gekozen aangemeld te blijven bij bezoeken aan webpagina's die niet tot het Facebook.com-domein behoren, overmatig is wanneer hij niet is aangemeld noch gebruik probeert te maken van de sociaal plug-ins;

B. ten aanzien van elke internetgebruiker op het Belgische grondgebied, de staking van het verschaffen van informatie die betrokkenen redelijkerwijze zou kunnen misleiden omtrent de werkelijke draagwijdte van de mechanismen die Facebook ter beschikking stelt om het gebruik van cookies door Facebook te beheren;

C. de vernietiging binnen de drie maanden na de betekening van dit vonnis onder het toezicht van een door de partijen aan te stellen ICT-deskundige en op kosten van verweersters, van alle persoonsgegevens van elke internet gebruiker op het Belgische grondgebied die zij verkregen heeft door middel van cookies en social plug-ins op een wijze waarvoor hier boven de staking wordt gevraagd, en te eisen van de derden aan wie zij deze gegevens heeft verstrekt, deze vernietiging binnen diezelfde termijn uit te voeren;

(…)

Bij syntheseconclusie neergelegd (…) vorderen de partijen FACEBOOK:

“Het hoger beroep ontvankelijk en gegrond te verklaren om de grieven hierboven aangehaald en het bestreden vonnis te vernietigen en bijgevolg opnieuw rechtdoende:

- zich zonder rechtsmacht te verklaren ten aanzien van alle drie Appellanten;

- ondergeschikt: de hoofd- en ondergeschikte vorderingen geheel of minstens ten dele ontoelaatbaar, minstens onontvankelijk te verklaren;

- meer ondergeschikt, de volgende prejudiciële vragen naar het Hof van Justitie te verwijzen (…)”

Bij syntheseconclusie (…) de GBA in de hoedanigheid van rechtsopvolgster van de initieel eisende partij te weten:

“Het vonnis a quo te bevestigen als volgt en opnieuw recht doende:

Zich internationaal bevoegd te verklaren om kennis te nemen van de vordering van concluante tegen Facebook Inc., Facebook Ireland en Facebook Belgium;

De vordering van concluante ontvankelijk te verklaren, dan wel minstens over die ontvankelijkheid de volgende prejudiciële vraag aan het Hof van Justitie te stellen (…)”

(…)

De bestreden beslissing heeft de feiten deugdelijk samengevat, het hof maakt zich deze samenvatting eigen:

(…)

Met de huidige procedure beoogt de Privacycommissie een einde te doen stellen aan wat zij onder meer omschrijft als ernstige en grootschalige inbreuken op de privacywetgeving door Facebook, door onder meer dagelijks op onrechtmatige wijze informatie in te zamelen en te gebruiken over het private surfgedrag van miljoenen internetgebruikers in België, door middel van technologieën, zoals “cookies”, “social plug-ins” (“sociale invoegtoepassingen”) en “pixels”.

De vorderingen zijn gericht tegen de drie verweersters gezamenlijk: Facebook Ireland Limited, Facebook, Inc. en de bvba Facebook Belgium.

Facebook Ireland Limited, opgericht in 2008, omschrijft zichzelf als een Ierse vennootschap, die de Facebook-dienst aanbiedt in de Europese Unie alsook elders (buiten Noord-Amerika) in overeenstemming met wat bepaald is in de Facebook Verklaring van Rechten en Verantwoordelijkheden (de “VRV”). Zij omschrijft zichzelf ook als de enige contractspartij van alle Belgische gebruikers en als de enige verantwoordelijke voor de verwerking van alle gegevens ontvangen van EU-ingezetenen, inclusief de gegevens die in deze procedure aan de orde zijn.

Facebook, Inc. omschrijft zichzelf als een Amerikaanse vennootschap die de Facebook-dienst aanbiedt aan internetgebruikers in de Verenigde Staten en Canada.

Facebook Belgium omschrijft zichzelf als bvba naar Belgisch recht met slechts acht werknemers, met als rechtstreekse moederonderneming “Facebook Global Holdings LLC”., overwegend opgericht om steun inzake overheidsbeleid (“public policy”) voor de Facebook-dienst te geven

Voorafgaand aan deze procedure heeft de Privacycommissie tegen verweersters al een procedure in kortgeding gevoerd voor de voorzitter van deze rechtbank, ingeleid bij dagvaarding betekend op 10.06.2015.

(…)

Hiervoor deed zij ook een beroep op de technische expertise van wetenschappelijke onderzoekers van de Katholieke Universiteit Leuven en de Vrije Universiteit Brussel, die in het kader van hun lopende onderzoeksprojecten reeds uitvoerig onderzoek naar Facebook hadden verricht. Op 31.03.2015 maakten zij de recentste versie van hun onderzoeksrapport “From social media service to advertising network. A critical analysis of Facebooks Revised Pollcies and Terms” (…)

Op 13.05.2015 nam de Privacycommissie Aanbeveling nr. 04/2015 aan met betrekking tot de verwerking van persoonsgegevens via Facebook social plug-ins, gericht tot “1) Facebook, 2) de gebruikers van internet en/of Facebook) en 3) de gebruikers en aanbieders van Facebook diensten, inzonderheid social plug ins” (…)

Bij beschikking gewezen op 09.11.2015 oordeelde de voorzitter van deze rechtbank, zetelend in kortgeding, dat hij (internationaal) bevoegd was om van het geschil kennis te nemen, dat de vordering van eiser ontvankelijk was en verklaarde hij de ingestelde stakingsvordering gegrond ten aanzien van alle verweersters

(…)

Bij arrest van 29.06.2016 hervormde het Hof van Beroep te Brussel, 18N kamer, de voormelde beschikking. Het Hof oordeelde dat het geen rechtsmacht had ten overstaan van de vorderingen gericht tegen Facebook Ireland Limited en tegen Facebook Inc., dat het wel rechtsmacht had voor de vordering van de Privacycommissie gericht tegen de bvba Facebook Belgium, maar dat deze vordering ongegrond was in de mate dat die gesteund was op artikel 584. Ger. W., meer geen urgentie was (…)

Facebook implementeerde haar nieuwe cookiebanner en beleid in mei 2016. Voor nietgebruikers van Facebook in België bleven de publieke webpagina's van Facebook ontoegankelijk tot november 2016. De nieuwe cookiebanner en beleid werden evenwel reeds in de andere Europese landen ingevoerd.

In de tussentijd had eiser huidige procedure ten gronde ingeleid met gerechtsdeurwaardesrexploot betekend op 11.09.2015.

In deze procedure viseert de Privacycommissie nog steeds de wijze waarop Facebook het surfgedrag volgt van internetgebruikers, zowel van Facebook accounthouders, als van nietgeregistreerde gebruikers van de Facebookdienst en niet-gebruikers en dit aan de hand van de voormelde “social plug-ins” (“sociale invoegtoepassingen”), cookies en pixels.

(…)

De Privacycommissie wijst erop dat het voormelde kortgeding op drie punten verschilt van de huidige procedure ten gronde:

- het kortgeding ging enkel over registratie door Facebook van het surfgedrag van personen zonder een Facebook-account, terwijl deze procedure ook de registratie van het surfgedrag van mensen met een Facebook-account viseert;

- het kortgeding ging enkel over registratie door Facebook van het surfgedrag via “social plug ins” en de zogeheten “datr”-cookie, terwijl deze procedure ten gronde ook de registratie viseert via andere cookies (nl. de zogeheten “c_user”, “xs”, “datr”, “sb”, “fr” en “lu”-cookies) en via zogeheten “pixels”.

Als op het internet een bepaalde webpagina gecreëerd wordt, publiceert of toont de eigenaar van de website zijn eigen inhoud vanop zijn eigen servers (“First-party” of “eerste-partij” server), maar maakt hij vaak ook inhoud beschikbaar van andere websites die opgeslagen is op de "derde-partij" servers van die websites (“thirdparty” of “derde-partij” server).

Als een gebruiker een webpagina wil inlezen (gekend als http-verzoek) verzendt de browser automatisch bepaalde informatie naar elke “eerste-partij” en “derde-partij” server waarop de verzochte inhoud is opgeslagen. Deze informatie bevat typisch het IP-adres gebruikt door het toestel (PC, laptop, smartphone) om het verzoek over te maken, de URL van de website die de link verschafte naar de eerste-partij website, en alle cookies voordien geplaatst door de website waarnaar de browser een verzoek voor inhoud verzendt (ongeacht “eerste-partij” of “derde-partij”).

Vervolgens stuurt de server van de eerste partij de informatie van de webpagina naar de browser. Die informatie omvat, naast de eerste-partij inhoud van de webpagina, de instructies voor de browser om de derde-partij inhoud te laden die de website ontwikkelaar voor de webpagina heeft gekozen.

De browser van de internetgebruiker neemt die informatie zonder enige tussenkomst of verzoek van derde-partij servers op en stuurt een http-verzoek naar de derde-partij servers voor het bekomen van de inhoud die nodig is om de website verder te laden. Die http-verzoeken bevatten typisch een IP-adres; de URL van de eerste-partij website; het besturingssysteem van de browser; het type van browser, en de cookies (eerder) geplaatst door de derde-partij website vanwaar de browser de derden-inhoud opvraagt.

Facebook “social plug-ins” zijn websitecomponenten (stukjes softwarecode) die Facebook ter beschikking stelt aan ontwikkelaars van externe websites, zoals bijv. de “Vind ik leuk”-knop (of pictogram met een hand met de duim omhoog) of de “Delen”-knop. De social plug-ins laten Facebook-gebruikers toe om de inhoud van een externe website te delen via het sociale netwerk.

Externe websites die een social-plug in hun website integreren, zetten dus een stukje softwarecode van Facebook op hun website. Wanneer iemand een website met zo'n social plugin van Facebook bezoekt, maakt zijn browser automatisch een verbinding met (verzendt een http-verzoek naar) de server van Facebook, waarna de browser van de bezoeker de functionaliteit van de “plug-in” (invoegtoepassing) rechtstreeks laadt van de server van Facebook.

Volgens eiser ontvangt Facebook zodoende automatisch bepaalde informatie over de bezochte website, waaronder het internetadres (de “URL”) van de bezochte webpagina, het IP adres van de bezoeker en het tijdstip van dat bezoek.

Cookies zijn kleine gegevensbestanden die een webserver naar de browser van de bezoeker van die website stuurt en die de browser bewaart voor later gebruik. Een cookie kan bepaalde informatie opslaan. Browsers zijn over het algemeen zo ontworpen dat daarin opgeslagen cookies automatisch doorgestuurd worden naar de webserver die deze heeft verzonden wanneer de browser opnieuw http-verzoeken naar die server stuurt.

De Privacycornmissie voert aan dat uit de tabel “Browser Cookies”, die nu via een “hyperlink” in het cookiebeleid van Facebook geraadpleegd kan worden, blijkt dat Facebook de hier geviseerde cookies gebruikt voor onder meer de volgende doeleinden:

- om de identiteit van Facebook-gebruikers te verifiëren (“c_user” en “xs” cookie);

- voor veiligheid, website- en productintegriteit, om accounts te herstellen en om potentieel aangetaste accounts te identificeren (“datr” cookie) en om aanmeldingen te verifiëren (“sb” cookie);

- om advertenties te tonen, te meten en de relevantie van advertenties te verbeteren (“fr”cookie);

- om te registreren of de Facebook-gebruiker ervoor heeft gekozen aangemeld te blijven (“lu” cookie).

Verweersters lichten toe dat Facebook “datr”-cookies en “sb”-cookies (“secure browser” of veilige browser) plaatst voor beveiligings- en site-integriteitsdoeleinden en dat zij, hoewel dit volgens haar strikt gezien niet nodig is, daarvoor (via de cookiebanner) steeds de toestemming verkrijgt van de internetgebruiker die rechtstreeks interageert met de Facebookdienst. De “datr”-cookie bevat informatie die de browser van een internetgebruiker op een unieke wijze identificeert en blijft gedurende twee jaren op zijn harde schijf staan. De “sb”-cookie bevat een browser “identificator” die volgens Facebook enkel wordt geverifieerd wanneer een “accounthouder” inlogt op zijn account, wat de Facebook-dienst dan toelaat na te gaan of accounthouders deze browser al eerder gebruikt hebben. Deze cookie is volgens Facebook ontworpen om te helpen bij het inlogen authenticatieproces van accounthouders, door te verzekeren dat de browser beveiligd is. De “sb”-cookie wordt op browsers geplaatst op het moment dat een accounthouder voor het eerst inlogt, en heeft een levensduur van twee jaar.

Verweersters lichten ook toe dat Facebook de “c_user”-cookie gebruikt om de identiteit van accounthouders te verifiëren, wanneer zij inloggen op en interageren met de Facebook-dienst, en dat deze cookie eveneens een beveiligingsfunctie heeft. De “c_user”-cookie bevat een unieke numerieke “identificator”, die de Facebook-dienst linkt met de werkelijke accounthouder die is ingelogd, en verhoogt volgens Facebook ook de gebruikersfunctionaliteit en -ervaring. Facebook omschrijft de “xs”-cookie als een bijkomende authenticatie-cookie, die de Facebook-dienst samen met de “c_user”-cookie gebruikt om de authenticiteit van accounthouders na te gaan. Deze cookie bevat een alfanumerieke reeks tekens die verwijzen naar, onder andere·, de sessie “identificator” en de authenticatiewaarde (die door Facebook aan een specifieke sessie wordt toegewezen wanneer die door een accounthouder aangevangen wordt), die daardoor bijkomende opsporings- en beschermingsmogelijkheden biedt. Volgens Facebook worden deze beide cookies alleen in de browser van accounthouders geplaatst wanneer deze zich aanmelden bij de Facebookdienst en uit hun browser verwijderd als ze uitloggen of hun Facebookaccounts deactiveren; zo niet hebben deze cookies een maximale levensduur van 90 dagen vanaf de laatste keer dat de accounthouder geïnterageerd heeft met de Facebook-dienst.

Verder lichten verweersters toe dat Facebook de “lu”-cookie, een bijkomende authenticatiecookie, niet langer gebruikt, omdat de functionaliteiten ervan volledig kunnen worden overgenomen door de “c_user”- en “xs”- cookie. De “c_user”-, “lu”- en “xs”-cookies werden en worden volgens Facebook allemaal uitdrukkelijk vermeld in het cookiebeleid van de Facebookdienst, en accounthouders geven hiervoor expliciet toestemming op het moment dat zij ervoor kiezen zich te registreren bij de Facebook-dienst.

Ten slotte lichten verweersters toe dat Facebook de “fr”-cookie gebruikt voor reclame-, metings en optimalisatiedoeleinden. De cookie bevat een reeks van alfanumerieke tekens toegewezen aan de browser (voor niet-geregistreerde gebrulkers en niet-gebruikers) of de browser en de gebruikers-lD (zgn. “user ID”; voor accounthouders, als zij zijn ingelogd), alsook andere nietidentificerende informatie die betrekking heeft op het gebruik en de werking van deze cookie (bv. het tijdstip waarop de coqkie geplaatst wordt). De “fr”-cookie wordt gebruikt om relevantere advertenties op basis van de activiteiten van de accounthouder of niet-(geregistreerde) gebruiker te sturen (“op interesse gebaseerde” of op online gedrag gerichte reclame). De “fr”-cookie heeft een levensduur van 90 dagen vanaf het moment waarop de niet-(geregistreerde) gebruiker of accounthouder laatst interageerde met de Facebook-dienst of op een derde-part ij website die een Facebook Pixel bevat en toestemde met het plaatsen van cookies), of korter wanneer een gebruiker de cookies voor het einde van die periode van 90 dagen van de browser wist.

Verweersters voeren aan dat de “fr”-cookie uitdrukkelijk wordt vermeld in het Cookiebeleid van de Facebook-dienst en dat accounthouders en niet-geregistreerde gebruikers ook hun expliciete toestemming geven door middel van de cookiebanner (en accounthouders ook op het moment dat zij ervoor kiezen zich te registreren voor de Facebookdienst). Volgens Facebook is het gebruik van de “fr”-cookie, die geplaatst wordt bij het bezoeken van derde-par tij websites die van Facebook pixels gebruik maken, afhankelijk van de voorwaarde dat deze derde partijen volledige informatie verschaffen over en expliciete toestemming verkrijgen voor de plaatsing van Facebookcookies.

Pixels zijn stukjes softwarecode die op een webpagina worden geplaatst om uitbaters van externe websites, in staat te stellen informatie te verzamelen over hun publiek. Anders dan “social plug-ins” is een pixel een voor het blote oog onzichtbaar puntje. Door de Facebook pixel wordt automatisch een verbinding gelegd tussen de internetbrowser van een internetgebruiker en de servers van Facebook en dit op het moment dat de internetgebruiker een webpagina laadt waarop deze pixel staat. Volgens eiser kunnen website-eigenaars aan Facebook vragen om de informatie die zij via pixels inzamelt, te gebruiken voor advertentiedoeleinden (bv. om de bezoekers van hun website nadien gerichte advertenties te tonen op Facebook) of om zogeheten “doelgroepstatistieken” te verkrijgen. Volgens verweersters gebruiken advertentienetwerken en andere online bedrijven pixels algemeen en dagelijks om hen bij te staan bij de metingen en optimalisatie van advertenties, en zijn pixels een zeer belangrijke rol gaan spelen in het online adverteren; pixels werken vaak samen met advertentie-cookies en leggen vast wanneer een bepaalde browser een specifieke pagina bezoekt.

De Privacycommissie wijst erop dat uit het hoger vermelde onderzoeksrapport van 2015 blijkt dat, telkens wanneer iemand die geen accounthouder is, een website van het facebook.com domein bezocht, Facebook automatisch een “datr”-cookie op de harde schijf van die persoon plaatste, zonder dat Facebook de internetgebruiker daarvan actief op de hoogte bracht (Facebook voorzag enkel een grijze hyperlink naar haar cookiebeleid onderaan iedere webpagina). Wanneer die internetgebruiker vervolgens een website bezocht waarop een social plug-in-knop van Facebook staat, dan maakte zijn browser in regel automatisch een verbinding met de server van Facebook om de plug-in op te halen. Als gevolg van die verbinding werd informatie uit Facebooks datr-cookie, die op de harde schijf van de gebruiker opgeslagen werd, doorgestuurd naar de servers van Facebook.

(…)

(…)

Zodra hij een buitenlands aanknopingspunt vaststelt in het geschil, onderzoekt de rechter bij wie de zaak aanhangig is gemaakt, ambtshalve zijn internationale bevoegdheid of rechtsmacht (art. 12 Wetboek van internationaal Privaatrecht - hierna “WIPR”).

Om de internationale rechtsmacht te onderzoeken moet nagegaan worden ten aanzien van wie de gevorderde maatregel gevraagd wordt.

Er moet daarbij desgevallend een onderscheid gemaakt worden tussen de verschillende FACEBOOK entiteiten.

FACEBOOK stelt terecht dat de internationale rechtsmacht moet worden bepaald vooraleer het toepasselijk recht wordt bepaald en dat de internationale rechtsmacht niet kan afgeleid worden van het toepasselijk recht.

Overeenkomstig artikel 2 WIPR regelt deze wet, voor internationale gevallen, de bevoegdheid van de Belgische rechters, de aanwijzing van het toepasselijk recht en de voorwaard en voor de uitwerking in België van buitenlandse rechterlijke beslissingen en authentieke akten in burgerlijke zaken en in handelszaken onder voorbehoud van de toepassing van internationale verdragen, van het recht van de Europese Unie of van bepalingen in bijzondere wetten.

Het hof onderzoek dienvolgens afzonderlijk:

- de rechtsmacht van het hof ten overstaan van FACEBOOK BELGIUM BVBA (1.2.)

- de internationale rechtsmacht van het hof ten overstaan van FACEBOOK IRELAND LIMITED en FACEBOOK INC.

Dit laatste onderzoek wordt opgesplitst tussen de internationale rechtsmacht op basis van algemene beginselen van publiek recht (1.3.2.1.) en de internationale rechtsmacht op grand van supranationale en/of nationale normen (1.3.2.2.).

De GBA stelt:

“De Belgische hoven en rechtbanken kunnen jurisdictie uitoefenen ten aanzien van Facebook Belgium omdat zij steeds jurisdictie hebben ten aanzien van in België gevestigde rechtspersonen, zoals Uw Hof in uw arrest in het kortgeding van 29 juni 2016 terecht oordeelde (…)”

Om de rechtsmacht van het hof ten overstaan van FACEBOOK BELGIUM BVBA te betwisten laat deze partij gelden:

“Facebook Belgium is niet de juiste bestemmeling van deze vordering, en is geheel vreemd aan de betrokken gegevensverwerking (geen 'feitelijke' betrokkenheid)

Zelfs indien Uw Hof, zoals de Rechtbank van Eerste Aanleg, zou oordelen dat Facebook Belgium op één of andere manier ertoe gehouden is om de in de WVP voorziene verplichtingen na te leven in het kader van de litigieuze gegevensverwerking (quod non), dient te worden aangestipt dat Facebook Belgium geen enkele relatie heeft met of controle uitoefent op de betrakken gegevensverwerking, en in ieder geval op geen enkele wijze uitvoering zou kunnen geven aan het beoogde rechtsherstel. Facebook Belgium verwerkte geen persoonsgegevens die het voorwerp van het geding uitmaken en had geen invloed op het gebruik van cookies of pixels door de Facebook-dienst, noch op het Cookiebeleid en de cookiebanner van de Facebook-dienst.

Evenmin was zij actief in de context van de activiteiten van de voor de verwerking verantwoordelijke of een vestiging van de voor de verwerking verantwoordelijke.

Facebook Belgium is bijgevolg geen geëigende verweerster omdat zij volslagen vreemd is aan de litigieuze gegevensverwerking.

Internationale bevoegdheid kan bijgevolg in onderhavige zaak niet worden afgeleid uit een artificiële vordering ingesteld tegen Facebook Belgium door Geïntimeerden: de aanwezigheid van Facebook Belgium in België kan niet worden aangewend als een aanknopingspunt voor het inleiden van een procedure tegen rechtspersonen die gevestigd zijn buiten België en voor het opleggen van extraterritoriale maatregelen die de bevoegdheid van buitenlandse rechtscolleges en de soevereiniteit van andere Staten ondermijnen. (…)

Geïntimeerden vatten hun verweer aan door, zonder enige nuance, te verklaren dat de Belgische Haven en Rechtbanken altijd bevoegd zijn ten opzichte van een Belgische onderneming door te verwijzen naar Uw eigen Arrest in kort geding in hoger beroep.

Deze bewering is kennelijk onjuist, zoals blijkt uit het feit dat Geïntimeerden geen enkele rechtvaardiging (wetgeving, jurisprudentie of zelfs een verwijzing naar hun eigen deskundigen-rapporten) aanbrengen om deze bewering te staven.”

Deze argumentering doet evenwel geen afbreuk aan het gegeven dat een rechtsvordering die,

(1) is ingesteld door een Belgische autoriteit of een in België gevestigde fysieke persoon met de Belgische nationaliteit (thans de GBA die een entiteit is naar Belgisch recht met rechtspersoonlijkheid en met zetel in België en die voorhoudt als rechtsopvolgster op te treden van de vroegere PRIVACY COMMISSIE vertegenwoordigd door haar voorzitter en van de PRIVACY COMMISSIE, zoals deze - zonder rechtspersoonlijkheid -vrijwillig tussengekomen is)

(2) voor Belgische hoven en rechtbanken en

(3) gericht tegen een BVBA naar Belgisch recht ingeschreven bij de KBO in België (FACEBOOK BELGIUM BVBA met KBO 0836.948.464),

geen enkel internationaal kenmerk inhoudt, derwijze dat op dergelijke vordering enkel de regels van het Belgische gerechtelijk recht sensu lato toepasselijk zijn.

Hieruit volgt dat ten overstaan van de BVBA FACEBOOK BELGIUM de Belgische hoven en rechtbanken hoe dan ook rechtsmacht hebben - afgezien van de vraag of de vordering ontvankelijk of gegrond zal zijn (hetgeen hierna wordt onderzocht) -.

Volgens de GBA hebben de Belgische hoven en rechtbanken internationale rechtsmacht op volgende gronden:

(…)

De GBA laat gelden:

“In deze zaak moet de jurisdictie van de Belgische hoven en rechtbanken bepaald worden volgens de bevoegdheidsregels uit het internationaal publiekrecht, niet die uit het internationaal privaatrecht. In deze zaak treedt de Privacycommissie/GBA immers recht handhavend op krachtens haar overheidsgezag (acta iure imperii).

De basisbevoegdheidsregel in het internationaal publiekrecht, meer bepaald het internationaal gewoonterecht, is het territorialiteitsbeginsel. Het houdt in dat een Staat (waaronder zijn hoven en rechtbanken), van rechtswege krachtens zijn soevereiniteit over zijn grondgebied, altijd jurisdictie kan uitoefenen ten aanzien van (1) personen en zaken die zich op het grondgebied van die Staat bevinden,

(2) activiteiten die zich op het grondgebied van die Staat afspelen, en (3) activiteiten die zich in het buitenland voordoen maar effecten hebben op het grondgebied van die Staat (de zgn. effectendoctrine), ook al betreft het activiteiten door buitenlandse entiteiten. Met andere woorden, een Staat (waaronder zijn hoven en rechtbanken) kan altijd jurisdictie uitoefenen over een aangelegenheid als die voldoende substantiële banden met zijn grondgebied heeft.

Onder het territorialiteitsbeginsel wordt de jurisdictie van een Staat gekenmerkt door de "volheid van bevoegdheid". Dit betekent dat het feit dat een Staat altijd jurisdictie kan uitoefenen over personen, zaken en activiteiten op zijn grondgebied en activiteiten die er effecten ressorteren, niet enkel geldt voor de wetgevende en de uitvoerende maar ook voor de rechterlijke macht van die Staat.

Dit geschil heeft ontegensprekelijk substantiële banden met het Belgische grondgebied. In deze zaak kan de Belgische Staat (in casu Uw Hof) krachtens zijn soevereiniteit over het Belgische grondgebied jurisdictie uitoefenen ten aanzien van (1) Facebook Belgium want deze rechtspersoon is gevestigd op het Belgische grondgebied, en (2) de drie appellanten want hun litigieuze activiteiten spelen zich af op het Belgische grondgebied, minstens hebben die activiteiten effecten op het Belgische grondgebied. Bovendien bevinden de geïmpacteerde personen wiens persoonsgegevens door Facebook verwerkt worden en hun geïmpacteerde toestellen (zoals computers en smartphones) zich op het Belgische grondgebied.

Zelfs als de jurisdictie van de Belgische hoven en rechtbanken niet zou volgen uit het voorgaande (quod non), dan kunnen zij in elk geval jurisdictie over deze zaak uitoefenen omdat het Belgische privacyrecht van toepassing is (de WVP tot 25 mei 2018 en art. 129 WEC). Anders dan in privaatrechtelijke zaken leidt in publiekrechtelijke zaken met een grensoverschrijdend karakter de toepasselijkheid van het nationale recht van een Staat immers ipso facto tot de jurisdictie van de rechtbanken van die Staat (en ook alle andere organen van die Staat), zoals de eerste rechter terecht oordeelde.

(…)

In het onmogelijke geval dat Uw Hof zou oordelen dat in deze zaak niet het internationaal publiekrecht maar het internationaal privaatrecht van toepassing zou zijn, zoals Facebook beweert (quod certe non), kan Uw Hof niet anders dan oordelen dat het Belgische Wetboek IPR van toepassing is en dat de Belgische hoven en rechtbanken bevoegd zijn op grand van artikel 96, 2°, a en b of artikel 5, § 1 Wetboek IPR. In het Belgisch recht is een aangelegenheid die verband houdt met internationaal privaatrecht, immers een burgerlijke of handelszaak in de zin van het Wetboek IPR, ook al valt die buiten het toepassingsgebied van een Europese verordening zoals de EEX-Verordening. Zodra een aangelegenheid verband houdt met het internationaal privaatrecht en niet onder een Europese internationaal privaatrechtelijke verordening valt, is het Wetboek IPR van toepassing en moéten de Belgische hoven en rechtbanken het Wetboek IPR toepassen. Een Belgische rechtbank kan niet oordelen dat het internationaal privaatrecht van toepassing is en de zaak buiten het toepassingsgebied van de EEX-Verordening valt, en tezelfdertijd het Wetboek /PR niet toepassen.”

(…)

FACEBOOK IRELAND LIMITED en FACEBOOK INC. laten gelden:

(…)

“Staten kunnen op twee manieren hun overheidsgezag of jus imperii uitoefenen: (1) de toepassing van publiekrecht gericht op de bescherming van de belangen van de Staat door een éénzijdige beslissing aan een partij op te leggen, en (2) de toepassing van publiekrecht gericht op de bescherming van de belangen van privépersonen door tussen te komen in de verhouding bestaande tussen twee privépartijen. (…). In het tweede geval kan publiekrecht toegepast worden via de internationaal publiekrechtelijke concepten van "ordre public" (openbare orde) of "lois de police" (dwingend recht).

Noch het Vonnis, noch Geïntimeerden hebben deze redenering ooit weerlegd. In hun tweede beroepsconclusies, betwisten Geïntimeerden plots dit onderscheid (randnummer 90) en beweren dat er geen reden zou zijn om een onderscheid te maken tussen verschillende soorten uitoefening van overheidsbevoegdheden. Zelfs als dergelijk onderscheid zou gemaakt worden, zou het volgens Geïntimeerden geen onderscheiden regimes van internationale bevoegdheid rechtvaardigen. Zij verwijzen ten titel van voorbeeld naar rechtspraak van het Hof van Justitie op het gebied van het mededingingsrecht. De materie van het mededingingsrecht zou, volgens Geïntimeerden, vergelijkbaar zijn met deze van gegevensbescherming: het zou niet bestaan uit het beschermen van de belangen van de Staat, maar alleen die van consumenten. Dit is ronduit verkeerd: de wetgeving die de vrije mededinging beschermt, evenals de wetgeving die de bescherming van openbare spaargelden organiseert, overstijgen de belangen van de individuele consumenten en spaarders en trachten, respectievelijk, een vrije markt tot stand te brengen, waardoor de werking van de economie in zijn geheel wordt bevorderd, en de bescherming van de spaargelden van het publiek, t.t.z. het vergroten van het vertrouwen in de effectenbeurs en daardoor de financiering van het bedrijfsleven. Gegevensbescherming beperkt zich, integendeel, tot de bescherming van de belangen van privépersonen.”

(…)

De Verordening (EU) 1215/2012 van 12 december 2012 van het Europees Parlement en de Raad betreffende de rechterlijke bevoegdheid, de erkenning en de tenuitvoerlegging van beslissingen in burgerlijke en handelszaken, stelt in artikel 1: “Deze verordening wordt toegepast in burgerlijke en handelszaken, ongeacht de aard van het gerecht.”

De Verordening is niet toepasselijk op acta iure imperii. Ook artikel 5 van het Belgisch WIPR stelt: “§ 1. Behalve in de gevallen waar deze wet anders bepaalt, zijn de Belgische rechters bevoegd indien de verweerder bij de inleiding van de vordering zijn woonplaats af gewone verblijfplaats in België heeft...”.

De Staat kan het ius imperii uitoefenen door de toepassing van publiekrecht gericht op de bescherming van de belangen van de Staat door een éénzijdige beslissing aan een partij op te leggen ofwel door de toepassing van publiekrecht gericht op de bescherming van de belangen van privépersonen en dit door tussen te komen in de verhouding bestaande tussen twee privépartijen.

Daarnaast kan publiekrecht toegepast worden via de internationaal publiekrechtelijke concepten van “ordre public” (openbare orde) of “lois de police” (dwingend recht).

De FACEBOOK entiteiten erkennen dat aan de GBA een aantal (verticale) machten verleend werden zodat een onderscheid moet gemaakt worden tussen enerzijds de verticale overheidsbevoegdheden (uitoefening van quasi-politionele nalevingsbevoegdheden, zoals het uitoefenen van onderzoeksbevoegdheden, de Belgische Staat adviseren in privacyaangelegenheden, het indienen van een strafrechtelijke klacht bij het Openbaar Ministerie) en de horizontale overheidsbevoegdheden anderzijds (zoals het instellen van een burgerlijk geding tegen een private onderneming betreffende de bescherming van particuliere belangen).

Deze aan de GBA toevertrouwde taken, die in België uitgeoefend werden op basis van artikel 32 § 3 WVP zijn er op gericht de private relaties tussen privépersonen en particuliere ondernemingen te organiseren; zij worden niet uitgeoefend ter bescherming van de eigen belangen van de Staat zelf maar teneinde de privacybelangen van particulieren te beschermen tegen een private onderneming, actief in het verkrijgen en verwerken van gegevens.

Overeenkomstig dit artikel kon “onverminderd de bevoegdheid van de gewone hoven en rechtbanken met het oog op de toepassing van de algemene beginselen inzake bescherming van de persoonlijke levenssfeer, [...] de voorzitter van de Commissie ieder geschil aangaande de toepassing van deze wet en haar uitvoeringsmaatregelen aan de rechtbank van eerste aanleg voorleggen.” Deze wet verleent geen ius imperii aan de Privacy Commissie.

Te dezen is de door de GBA ingestelde rechtsvordering (zo wel vóór als na 25 mei 2018) de uitoefening van overheidsgezag op een horizontale wijze en dergelijke rechtsvorderingen worden niet enkel beheerst door algemene gewoonterechtelijke beginselenvan internationaal publiekrecht.

De verwijzing en naar de materie van het mededingingsrecht zijn niet dienstig. De wetgeving die de vrije mededinging beschermt, evenals de wetgeving die de bescherming van openbare spaargelden organiseert, overstijgen de belangen van de individuele consumenten en spaarders. Gegevensbescherming beperkt zich, integendeel, tot de bescherming van de belangen van privépersonen.

De taak van de GBA tot het nemen van “politiemaatregelen in de openbare-ordehandhaving”, moet aldus onderscheiden worden van een handelen dat wordt uitgeoefend op basis van horizontale bevoegdheden gericht op het wijzigen van de privérelatie tussen private partijen om de privacybelangen van de privépersonen te beschermen.

Op deze relaties is het internationaal publiekrecht niet onbeperkt van toepassing. Enkel de begrippen “dwingend recht” (“lois de police”) en “openbare orde” zijn toepasselijk en noch de WVP, noch de Richtlijn, noch de GBA-wet bevatten dwingende bepalingen die een internationale rechtsmacht of bevoegdheid van de Belgische rechtbanken regelen.

De horizontale uitoefening van het overheidsgezag heeft evenwel geen betrekking op burgerlijke zaken of handelszaken en valt daarmee buiten de werkingssfeer van Verordening 2015/2012 hetgeen niet wil zeggen dat dergelijke vordering buiten de werkingssfeer van het internationaal privaatrecht valt.

De rechtsmacht kan niet worden afgeleid van een beweerdelijk “toepasselijke” recht. Zonder internationale bevoegdheid zijn collisieregels van een Staat betekenisloos.

Artikel 4 van de Richtlijn 95/46/EG van 24 oktober 1995 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens luidde als volgt: (…). Dit artikel betrof enkel de problematiek van het toepasselijke recht (zie de titel van het artikel) en het behandelde niet de bevoegdheid van hoven en rechtbanken, en het kon aldus niet dienen als grondslag voor het bepalen van internationale bevoegdheid.

Indien het verwerken van gegevens partijen betrof die zich in meer dan een Lidstaat bevonden, bood de voormalige Richtlijn 95/46/EG bijgevolg geen kader voor extraterritoriale bevoegdheid, maar had zij tot doel te verduidelijken welk nationaal recht van een Lidstaat toepassing zou vinden.

Zelfs indien een overheidsorgaan bevoegd is, betekent dit niet dat de nationale hoven en rechtbanken van die Staat internationale rechtsmacht hebben die alleen kan bestaan op basis van een uitdrukkelijke, ondubbelzinnige wettelijk basis. Er moet, bijgevolg, een rechtsgrondslag zijn die voorziet in internationale rechtsmacht van de Belgische hoven en rechtbanken.

Er is geen gewoonterechtelijke regel van internationaal publiekrecht die de Belgische hoven en rechtbanken rechtstreeks internationale rechtsmacht toekent zonder dat deze eerst door de wetgever van de betrokken Staat wordt toegekend.

De vorderingen betreffen een horizontale uitoefening van staatsgezag en worden bijgevolg niet (in elk geval niet uitsluitend) beheerst door internationaal publiekrecht inzake rechtsmacht. Zelfs het recht van een Staat krachtens (gewoonterechtelijk) internationaal recht om zijn hoven en rechtbanken rechtsmacht te verlenen, houdt nog geen effectieve toekenning van rechtsmacht aan een hof of rechtbank in. Regulerende bevoegdheid van de Staat brengt niet automatisch en van rechtswege de rechtsmacht van de hoven en rechtbanken van die Staat met zich.

Volgens de GBA is het Unierechtelijk doeltreffendheidsbeginsel een autonome grondslag voor de uitoefening van rechtsmacht.

Het Unierechtelijke doeltreffendheidsbeginsel geeft volgens de GBA uitdrukking aan het recht op doeltreffende rechterlijke bescherming van de rechten die de justitiabelen aan het Unierecht ontlenen.

Dat recht is een algemeen Unierechtelijk beginsel en wordt gewaarborgd in artikel 47 van het Handvest van de Grondrechten van de Europese Unie (2012/C 326/02).

Het doeltreffendheidsbeginsel vereist dat de nationale regels inzake bevoegdheid, de uitoefening van de door de Europese rechtsorde verleende rechten niet in de praktijk onmogelijk of uiterst moeilijk mogen maken.

Dit principe impliceert evenwel op generlei wijze dat elke Lidstaat over een internationale rechtsmacht zou beschikken.

Te dezen is het niet betwist dat binnen de Europese Unie de partijen zich kunnen wenden tot de hoven en rechtbanken van de zetel van FACEBOOK IRELAND LIMITED te weten Ierland. Van zodra een rechtsgang in een Europese Lidstaat open staat zijn de waarborgen van voornoemd artikel 47 HGEU afdoende nageleefd te meer nu de GBA niet aannemelijk maakt dat de rechtsingang voor de Ierse rechterlijke organen procedurele ongemakken met zich zouden brengen die de effectieve uitoefening van de Privacy commissie op grand van artikel 28 Richtlijn 95/46/EG waren toebedeeld bemoeilijken in die mate dat zij de individuele grondrechten op bescherming van de persoonlijke levenssfeer en op eerbiediging van het privéleven zouden in gedrang kunnen brengen.

Dit principe moet overigens samen gelezen worden en uitgelegd worden in functie van artikel 11 van het Wetboek IPR (…)

Het louter gegeven dat een vordering zou moeten ingeleid worden in een andere EU lidstaat is geen onmogelijk gegeven en het is al evenmin onredelijk, nu precies het instellen van de vordering in Ierland conform is aan de principes volgens dewelke in dat geval FACEBOOK IRELAND LIMITED door zijn natuurlijke rechter wordt berecht.

Artikel 13 van de Grondwet stelt dat niemand tegen zijn wil kan worden afgetrokken van de rechter die de wet hem toekent.

Deze regel geldt niet alleen ten overstaan van de rechtsmacht van de Belgische hoven en rechtbanken maar ook ten overstaan van de rechtsmacht die door Belgische wetten of door regels van supranationaal recht - die werking hebben in België - worden toegekend.

Het Grondwettelijk Hof oordeelde herhaaldelijk dat artikel 13 van de Grondwet dat aan alle personen die zich in dezelfde toestand bevinden het recht waarborgt om volgens dezelfde regels inzake bevoegdheid en rechtspleging te worden berecht enkel vereist dat een verschil in behandeling in dat opzicht redelijk dient te worden verantwoord

Dit artikel stelt niet dat er enige internationale rechtsmacht aan de Belgische hoven en rechtbanken zou toebedeeld zijn.

Om de burger effectief tegen de uitvoerende macht te beschermen, is wel de voorspelbaarheid vereist van welke rechtbank bevoegd is, zowel in eigen land als internationaal.

Er blijft dus een expliciete wettelijke bepaling vereist om internationale rechtsmacht aan de Belgische hoven en rechtbanken toe te kennen.

De Belgische Grondwet verplicht de Belgische Staat om de vereiste regels met betrekking tot de rechtsmacht en de bevoegdheid van de Belgische hoven en rechtbanken te bepalen, zonder een onderscheid te maken naargelang het gaat om privaat- of publiekrechtelijke situaties, nationaal of internationaal recht, en het komt aan de rechter toe om na te gaan of de wetgever hem rechtsmacht heeft toegekend.

(…)

De rechtspraak van het Grondwettelijk Hof stelt niet dat de regel van artikel 13 Grondwet beperkt zou zijn tot het Belgische grondgebied. Het Hof stelt dat het recht op toegang tot de rechter inhoudsloos zou zijn indien niet voldaan is aan het recht op een eerlijk proces, zoals gewaarborgd bij artikel 6.1 EVRM, bij artikel 14 IVBPR en bij een algemeen rechtsbeginsel en het Hof leidt daaruit enkel af dat bij een toetsing aan artikel 13 GW die waarborgen dienen te worden betrokken.

Er is geen wettelijke grondslag voor een internationale rechtsmacht in de onderhavige zaak en er is geen objectieve grand om deze internationale rechtsmacht te bepalen.

De enkele verwijzing - als rechtsgrond - naar het ius imperii of naar acte iure imperii en naar de algemene principes van de soevereiniteit van de Belgische Staat en het daarbij horende territorialiteitsbeginsel, is niet afdoend opdat de Belgische hoven en rechtbanken rechtsmacht zouden hebben.

Met betrekking tot geschillen waarbij de overheid is opgetreden als een publiekrechtelijk persoon, bekleed met het ius imperii heeft de wetgever voor de vorderingen tegen de overheden een rechtstoegang verleend onder meer via artikel 14 van de gecoördineerde wetten op de Raad van State.

Er is steeds een wettelijke regel gesteld. Het is op de grondslag van een expliciete wettelijke regel, dat de rechtsbescherming van artikel 13 GW juncto artikel 6.1EVRM en artikel 14 IVBPR kan worden gewaarborgd en doeltreffend kan worden beoordeeld.

In tegenstelling tot hetgeen de GBA voorhoudt kunnen de Belgische hoven en rechtbanken geen rechtsmacht uitoefenen krachtens het enkele principe van de soevereiniteit van de Belgische Staat over personen, zaken en activiteiten op het Belgische grondgebied en activiteiten die er effecten ressorteren (territorialiteitsbeginsel).

Zelfs indien in deze zaak de internationale bevoegdheid bepaald zou moeten worden volgens de bevoegdheidsregels uit het internationaal publiekrecht (en niet het internationaal privaatrecht) dan nog is het zo dat een Staat (waaronder zijn hoven en rechtbanken) krachtens zijn soevereiniteit over zijn grondgebied niet altijd rechtsmacht kan uitoefenen over personen, zaken en activiteiten op zijn grondgebied en activiteiten die er effecten ressorteren, wanneer er geen enkele wettelijke bepaling is (in het supranationaal of in het nationaal recht) die deze rechtsmacht verleent.

(…)

Voor de rechtsvordering, in de mate dat zij betrekking heeft op beweerde schendingen die zich voordoen na 25 mei 2018 laten de FACEBOOK entiteiten gelden dat de “one-stop-shop” regel van de AVG autonoom is, van toepassing op grensoverschrijdende gegevensverwerking, en dat deze regel alleen de uitzonderingen bepaald in artikel 56(2) van de AVG toelaat (waarvan in dit geval geen enkele van toepassing is).

Artikel 60 AVG regelt de samenwerking tussen de leidende toezichthoudende autoriteit en de andere betrokken toezichthoud ende autoriteiten. Ook hier is er geen enkele bepaling die de Belgische hoven en rechtbanken rechtsmacht zou toekennen ten aanzien van de entiteiten FACEBOOK IRELAND LIMITED of FACEBOOK INC.

In de mate dat enkel de toezichthoudende autoriteit van de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of verwerker competent is om op te treden als leidende toezichthoudende autoriteit voor de grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker, heeft de GBA sedert het in werking treden van de AVG geen bevoegdheid meer om een rechtsvordering in te stellen en dan ook niet om ze verder te zetten voor wat betreft feiten die zich voordoen na 25 mei 2018.

Ook hier geldt overigens artikel 13 van de Grondwet dat stelt dat niemand tegen zijn wil kan worden afgetrokken van de rechter die de wet hem toekent. Dit is hier exclusief de rechter van de hoofdvestiging.

(…)

Het middel dat voorhoudt dat op grand van voornoemd artikel 28 Richtlijn 95/46/EG het de GBA is die in België de bevoegdheid had om als “toezichthoudende autoriteit” op te treden, is niet dienstig om te bepalen of de Belgische hoven en rechtbanken internationale rechtsmacht hebben.

De omstandigheden dat ingevolge artikel 28, lid 3 Richtlijn 95/46/EG de nationale toezichthoudende autoriteiten de bevoegdheid hebben om in rechte op te treden - in geval van inbreuken op ter uitvoering van de richtlijn vastgestelde nationale bepalingen, of om die inbreuken onder de aandacht van het gerecht te brengen en dat elke toezichthoudende autoriteit bevoegd is, ongeacht welk nationaal recht op de betrokken verwerking van toepassing is, op het grondgebied van haar eigen Lidstaat de haar overeenkomstig lid 3 verleende bevoegdheden uit te oefenen waarbij elke autoriteit door een autoriteit van een andere Lidstaat kan worden verzocht haar bevoegdheden uit te oefenen en de toezichthoudende autoriteiten onderling samen werken voor zover zulks noodzakelijk is voor de uitvoering van hun taken, met name door de uitwisseling van alle nuttige inlichtingen - hebben alle betrekking op de (uitgebreide) bevoegdheden van de “toezichthoudende autoriteit”, maar deze bepaling geeft geen enkele internationale rechtsmacht aan de Belgische hoven en rechtbanken.

Het arrest WELTIMMO van 1 oktober 2015 van het Hof van Justitie besliste als volgt: (…)

Dit arrest laat niet toe de voornoemde Richtlijn aldus uit te leggen als zouden de hoven en rechtbanken van een lidstaat internationale rechtsmacht hebben over een onderneming die gevestigd is in een andere lidstaat.

Het Hof van Justitie stelt dat de toezichthoudende autoriteit (hier de GBA) op grond van het Belgische recht geen sancties kan opleggen aan een verantwoordelijke voor de verwerking van die gegevens die niet op het Belgisch grondgebied is gevestigd. Integendeel zou zij in gevolge artikel 28, lid 6, van die richtlijn aan de toezichthoudende autoriteit van de lidstaat waarvan het recht van toepassing is (te dezen Ierland, alwaar FACEBOOK IRELAND LIMITED gevestigd is), kunnen vragen om in te grijpen.

Dit artikel heeft betrekking op de bevoegdheid van de voorzitter van de toenmalige CBPL. Dit artikel geeft geen internationale rechtsmacht aan de Belgische hoven en rechtbanken.

Los van de vraag of de toenmalige CBPL, in haar hoedanigheid van toezichthoudende overheid over het subjectief recht zou beschikt hebben om prima facie beslissingen te vorderen, geeft voornoemd artikel geen internationale rechtsmacht aan de Belgische hoven en rechtbanken.

De Verordening (EU) 1215/2012 van 12 december 2012 van het Europees Parlement en de Raad betreffende de rechterlijke bevoegdheid, de erkenning en de tenuitvoerlegging van beslissingen in burgerlijke en handelszaken stelt in artikel 1 dat zij wordt toegepast in burgerlijke en handelszaken, ongeacht de aard van het gerecht maar dat zij geen betrekking heeft op fiscale zaken, douanezaken en administratiefrechtelijke zaken, noch op de aansprakelijkheid van de staat wegens een handeling of nalaten in de uitoefening van het openbaar gezag (acta jure imperii).

Of een geschil al dan niet onder het materiële toepassingsveld van de verordening valt, hangt uitsluitend af van het onderwerp van het geding, meer bepaald de rechten die men via het geding beoogt door te zetten of te bewaren.

Een geschil kan niet meer als burgerlijke of handelszaak worden beschouwd wanneer de aard van het geschil of van de rechtsbetrekkingen tussen de partijen buiten het bestek vallen van de voor particulieren geldende regelen van gemeen recht, omdat ze ressorteren onder de uitoefening van de overheidsbevoegdheid.

Met betrekking tot de interpretatie van een gelijkaardige bepaling in artikel 1, eerste lid, van het Verdrag tussen de Lidstaten van de Europese Economische Gemeenschap betreffende de rechterlijke bevoegdheid en de tenuitvoerlegging van beslissingen in burgerlijke en handelszaken, ondertekend te Brussel op 27 september 1968 heeft het Hof van Cassatie 30 overwogen: “Die bepaling zegt uitdrukkelijk dat het (…) inzonderheid gen betrekking (heeft) op fiscale zaken, douanezaken of administratiefrechtelijke zaken zodat de geschillen tussen een particulier en een overheidsinstantie die in de uitoefening van haar publiek macht heeft gehandeld, buiten de draagwijdte van laatstgenoemd verdrag valt.” (Cass. (1e k.) AR C.08.0278.F, 28 mei 2010, Arr.Cass. 2010, 1545; JT 2010, 520, noot M. Traest.)

In het arrest van 14 oktober 1976 (C.J.C.E., LTU / Eurocontrol, 14 octobre 1976, aff. 29/76, EU:C:1976:137.), heeft het Hof van Justitie overwogen (weliswaar andermaal met betrekking tot het Verdrag van 27 september 1968 betreffende de rechterlijke bevoegdheid en de tenuitvoerlegging van beslissingen in burgerlijke en handelszaken): (…)

Uit deze interpretatie volgt dat de geschillen tussen een overheidsinstantie en een particulier, wanneer de overheidsinstantie krachtens overheidsbevoegdheid heeft gehandeld, niet onder het toepassingsgebied van de Europese Verdragen en Verordeningen vallen.

De Verordening 1215/2012/EU verleent dienvolgens geen rechtsmacht aan de Belgische hoven en rechtbanken oordelend als bodemrechter.

Ten onrechte stelt de GBA evenwel dat die autonome betekenis die de begrippen “burgerlijke en handelszaken” in het kader van de EEX-Verordening hebben, niet dezelfde betekenis krijgen in het kader van artikel 2 van het Wetboek IPR om reden dat de voormelde ratio legis voor de autonome communautaire betekenis van die begrippen in het kader van de EEX-Verordening niet zou gelden in het kader van het Belgische Wetboek IPR.

Indien het correct is dat het Hof van Justitie niet bevoegd is om de begrippen uit het Belgisch Wetboek IPR te interpreteren (zoals dat in het arrest Eurocontrol gebeurt met betrekking tot het Verdrag van 27 september 1968 betreffende de rechterlijke bevoegdheid en de tenuitvoerlegging van beslissingen in burgerlijke en handelszaken) dan is er evenwel geen enkele grondslag opdat de begrippen “burgerlijke en handelszaken” in het Belgisch Wetboek IPR “anders” zouden uitgelegd worden. De GBA ontwikkelt geen enkel middel dat een andere uitlegging aantoont, laat staan zou aannemelijk kunnen maken.

De GBA stelt nog dat de Belgische wetgever een “burgerlijke zaak” (in de zin van art. 2 van het Wetboek IPR volgens de Memorie van Toelichting) in het wetboek een definitie wil geven van de termen “internationaal privaatrecht”, dat “deze rechtstak het geheel van de bepalingen omvat die in een Staat, in verband met private situaties van internationale aard in burgerlijke en handelszaken, de volgende materies regelt: de bevoegdheid[...], de aanwijzing van het toepasselijke nationale recht, [...]”, en dat “het wetboek handelt over alle aangelegenheden die verband houden met internationaal privaatrecht”.

Door te trachten voor te houden als zou elke aangelegenheid die verband houdt met internationaal privaatrecht, een burgerlijke of handelszaak in de zin van het Wetboek IPR zijn mits zij niet onder een Europese verordening valt, miskent de GBA de wettelijke bepalingen.

Artikel 5 § 1 WIPR stelt: (…)

Te dezen hebben FACEBOOK IRELAND LIMITED en FACEBOOK IN C. geen verblijfplaats in België.

FACEBOOK BELGIUM BVBA is wel gevestigd in België, doch deze partij werd door de rechtsvoorgangers van de GBA enkel gedagvaard om te betrachten om Facebook Ireland en Facebook Inc. - die woonplaats hebben in het buitenland - aan hun rechter te ont trekken.

Er is geen internationale samenhang in de zin van artikel 9 van het WIPR (…)

Er is te dezen geen gevaar van onverenigbare beslissingen, er is geen samenhang van de vorderingen van de GBA in de mate als deze gericht zijn enerzijds tegen FACEBOOK IRELAND LIMITED - in hoedanigheid van verantwoordelijke voor de gegevensverwerking - en FACEBOOK BELGI UM BVBA - in haar hoedanigheid van partij die de financiering van de sociale netwerksite van Facebook en de litigieuze verwerking van persoonsgegevens mee verzekert.

De vordering tegen FACEBOOK IRELAND LIMITED en FACEBOOK IN C. is niet zo nauw verbonden met de vordering tegen FACEBOOK BELGIUM BVBA dat het wenselijk is om ze samen te behandelen en te berechten, teneinde te voorkomen dat de beslissing en onverenigbaar zouden zijn wanneer de vorderingen afzonderlijk worden berecht.

Er is te dezen evenmin aanleiding tot toepassing van artikel 11 WIPR (“Uitzonderlijke toekenning van internationale bevoegdheid”) GBA brengt geen enkel gegeven bij waaruit zou kunnen blijken dat de rechtspleging in het thuisland van FACEBOOK IRELAND LIMITED (Ierland) niet mogelijk zou zijn of het onredelijk zou zijn zulks te eisen. De mogelijkheid om rechtsvordering en in te stellen binnen de Europese Unie is volstrekt verenigbaar en conform aan artikel 47 HGEU.

De overige artikelen van “afdeling 4. Rechterlijke bevoegdheid” zijn niet relevant in onderhavig geding.

Kortom, de artikel en 5 tot 14 van het genoemde wetboek die de rechterlijke bevoegdheid (lees: de rechtsmacht) van de Belgische hoven en rechtbanken regelen vormen te dezen geen wettelijke grondslag voor de recht smacht van de Belgische hoven en rechtbanken.

(…)

De vordering van de GBA is geen vordering “betreffende een verbintenis uit een onrechtmatige daad”. De verwijzing door de GBA naar deze rechtsgrond is dienvolgens niet dienstig.

Een verbintenis voortvloeiend uit een onrechtmatige daad is een subjectieve schadeclaim die zijn grondslag vindt in het feitelijk gegeven dat de wederpartij een onrechtmatige daad heeft gepleegd. Het is in principe een herstelvordering.

Artikel 7.1. van Verordening (EU) 1215/2012 stelt: (…)

Deze regel is gelijklopend met deze van artikel 96 WIPR.

De rechter van het forum delicti kan kennis nemen van de vordering tot schadevergoeding, maar kan tevens preventief optreden en/of maatregelen bevelen tot het staken van handelingen.

Zoals hiervoor reeds geoordeeld (zie supra nr. 1.3.2.1.1.), is de door de GBA ingestelde rechtsvordering de uitoefening van overheidsgezag op een horizontale wijze en dergelijke rechtsvorderingen hebben geen betrekking op burgerlijke of handelszaken, zodat zij noch onder het toepassingsgebied vallen van Verordening (EU) 1215/2012 noch onder het toepassingsgebied van artikel 96 WIPR.

Het hof stelt vast dat de diverse door de GBA aangehaalde wettelijke grondslagen, andere dan het beweerde algemeen principe van het internationaal publiekrecht, geen rechtsmacht aan de Belgische hoven en rechtbanken verschaften.

Aangezien er noch in het internationaal publiekrecht, noch in het internationaal privaatrecht een rechtsbasis bestaat voor de vordering van de GBA voor de Belgische hoven en rechtbanken tegen FACEBOOK IRELAND LIM ITED en FACEBOOK INC. hebben de Belgische hoven en rechtbanken ten opzichte van die twee buitenlandse vennootschappen, geen internationale rechtsmacht.

De Belgisch hoven en rechtbanken hebben geen internationale rechtsmacht om te oordelen over de vordering(en) van de initieel eisende partijen (zie hiervoor) of van de GBA in de mate dat deze in de plaats zou zijn getreden van de initieel eisende partijen (zie hierna) en in de mate dat deze vorderingen gericht zijn tegen FACEBOOK IRELAND LIMITED en tegen FACEBOOK INC.

(…)

Te dezen werd de vordering van de rechtsvoorgangers van de GBA ingesteld op grond van artikel 32 § 3 van de WVP.

Het hof maakt zich de motieven eigen van het bestreden vonnis waar dit over weegt:

Artikel 32 § 3 van de Wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens bepaalt: (…)

Bijgevolg kan de rechtbank alleen maar vaststellen dat de dagvaarding terecht uitgaat van eiser in zijn hoedanigheid van voorzitter van de Privacycommissie, "nu de wet dit ·uitdrukkelijk zo bepaalt, en dat deze het vereiste belang en hoedanigheid heeft om de vordering in te stellen. De Privacycommissie heeft immerszelf geen rechtspersoonlijkheid en kan volgens de wet niet zelf in rechte optreden, maar wel haar voorzitter. Anders dan verweersters voorhouden, is het niet vereist om in de dagvaarding ook nog bijkomend te vermelden dat de heer D. de vordering “namens” de Privacycommissie instelt; dit zou neerkomen op onnodig formalisme en overbodig zijn gelet op de bewoordingen van de wet.

2.3.

Nu het hof rechtsmacht heeft om de vordering ten overstaan van FACEBOOK BELGIUM BVBA te beoordelen, stelt het hof vast dat de vordering principieel op ontvankelijke wijze kon worden ingesteld (zie evenwel hierna).

(…)

Vermits te dezen de vrijwillige tussenkomst van “de PRIVACYCOMMISSIE”, die over geen rechtspersoonlijkheid beschikte, er enkel toe strekt om te pogen een eventuele onregelmatigheid - van de vordering ingesteld door de voorzitter van de commissie, namens de commissie conform artikel 32 § 3 WVP - te repareren, is deze vrijwillige tussenkomst effectief onontvankelijk.

De niet bestaande entiteit “PRIVACYCOMMISSIE” beschikte niet over het vereiste belang en de vereiste hoedanigheid om een vordering in te stellen.

Om dezelfde motieven is de rechtsopvolging die de GBA stelt ten aanzien van de niet over rechtspersoonlijkheid beschikkende entiteit die zich de COMMISSIE TOT BESCHERMING VAN DE PERSOONL/JKE LEVENSSFEER noemt, niet ontvankelijk.

(…)

De GBA stelt, dat zij in de rechten en plichten van de CBPL (zoals deze geldig vertegenwoordigd was door haar voorzitter), is getreden.

Er wordt niet betwist dat het mandaat van de voorzitter een eind heeft genomen ingevolge artikel 114 GBA-wet.

Artikel 32 § 3 WVP werd opgeheven met ingang van 25 mei 2018 ingevolge de artikelen 109 en 110 van de GBA-Wet.·

Artikel 6 GBA-Wet - dat sinds 25 mei 2018 de opvolger is van artikel 32, § 3 WVP - bepaalt dat de GBA de mogelijkheid blijft behouden om een rechtsgeding in te stellen. Het artikel bepaalt: “De Gegevensbeschermingsautoriteit is bevoegd om inbreuken op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens ter kennis te brengen van de gerechtelijke autoriteiten en, waar passend, een rechtsvordering in te stellen teneinde deze grondbeginselen te doen naleven.”

De vraag stelt zich of de opeenvolging van deze wetgevingen een continuïteit weergeeft, dan wel of tot 24 mei 2018 de CBPL de bevoegdheid bezat om een rechtsgeding in te stellen en vanaf 25 mei 2018 de GBA deze bevoegdheid verkrijgt.

(…)

Artikel 109 van de Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit stelt: “Hoofdstuk VII en hoofdstuk VIIbis van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van de persoonsgegevens worden opgeheven”.

Artikel 32 § 3 WVP behoort tot voornoemd hoofdstuk VII van de wet.

Conform artikel 110 van de wet van 3 december 2017 treedt deze in werking op 25 mei 2018.

Artikel 112 bepaalt: “Hoofdstuk VI is niet van toepassing op klachten of verzoeken die nog hangend zijn bij de Gegevensbeschermingsautoriteit op het ogenblik van de inwerkingtreding van deze wet. De in het eerste lid bedoelde klachten of verzoeken worden door de Gegevensbeschermingsautoriteit, als rechtsopvolger van de Commissie voor de bescherming van de persoonlijke levenssfeer, verder afgehandeld volgens de procedure van toepassing voor de inwerkingtreding van deze wet.”

Voornoemd hoofdstuk VI heeft betrekking op klachten ingediend bij de Privacy commissie en niet op vorderingen die namens de Privacy commissie zouden ingesteld zijn tegen derden.

Daaruit volgt dat effectief, vanaf de datum van in werking treden van de nieuwe wet, het vorderingsrecht dat voorzien was in artikel 32 § 3 WVP uitgedoofd is met als gevolg dat noch de Privacy commissie (vertegenwoordigd door haar Voorzitter zoals de toenmalige wet dat voorschreef) noch de rechtsopvolgster ervan (de GBA) nog het vereiste belang bezit om de vordering tot het handhaven en verder zetten van de op grand van artikel 32 § 3 WVP ingestelde vorderingen uit te oefenen.

Voor de feiten van voor 25 mei 2018 is de vordering zonder voorwerp bij ontstentenis van het vereiste belang in hoofde van de GBA.

(…)

Voorde feiten die dateren vanaf het in werking treden van de wet van 3 december 2017, te weten vanaf 25 mei 2018, geldt een geheel nieuwe rechtspleging.

Klachten kunnen aanleiding geven tot een onderzoek door de inspectiediensten van de GBA.

Wanneer een onderzoek is afgerond kan de zaak voor de geschillenkamer worden gebracht.

Deze kan desgevallend (naast een aantal andere maatregelen die opgesomd zijn in artikel 100 bijvoorbeeld (nr. 15) beslissen "het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven"

Tegen de eventuele beslissingen van de geschillenkamer staat een beroep open bij het Marktenhof (zie art. 108)

De rechtspleging die er in bestaat om te ageren tegen een partij - zoals te de zen de vordering zoals zij was ingesteld door de Privacycommissie - staat als regel, niet meer open.

In het kader van de Europese opvolging en bestrijding van inbreuken op de privacy reglementeringen sensu lato (GDPR) geldt integendeel een nieuwe regel (de zogenaamde “one-stop-shop”).

Eén en ander heeft tot gevolg dat - voor feit en die dateren van “na” 25 rnei 2018 - zich de vraag stelt of de GBA ten overstaan van FACEBOOK BELGIUM BVBA nog wel kan ageren nu FACEBOOK IRELAND LIMITED de gegevensverwerkende entiteit is en omwille van de grondslag dat er vanaf die datum enkel nog, krachtens het “one-stop-shop” beginsel in Ierland kan opgetreden worden door de aldaar gevestigde autoriteit, - minstens volgens een lezing van artikel 56 AVG - enkel de hoven en rechtbanken van dat land over rechtsmacht beschikken (hetgeen tot gevolg zou hebben dat de nationale gegevensbeschermingsautoriteit niet over de vereiste hoedanigheid en belang zou beschikken om vorderingen in te leiden in andere Lidstaten waar de gegevensverwerkende activiteit niet uitgevoerd wordt).

(…)

(…)

FACEBOOK BELGIUM BVBA laat met betrekking tot de toepassing van artikel 58.5 AVG gelden:

“Of het nu over de AVG of de voormalige Richtlijn 95/46/EG gaat, er is niet langer een onafhankelijke gerechtelijke weg in België op basis van artikel 32 § 3 WVP, aangezien deze bepaling werd ingetrokken. Die bepaling werd bovendien niet vervangen door een vergelijkbare of analoge procedure in de meest recente herziening van de Belgische privacywetgeving. De huidige Belgische privacywetgeving voorziet alleen in een administratieve procedure op basis van artikel 95 van de Wet van 3 december 2017, waarbij de Belgische GBA de procedure kan openen, een mededeling van punten van bezwaar kan uitbrengen en een voor de verwerking verantwoordelijke of een verwerker kan beboeten wanneer de autoriteit bevoegd is om op te treden. Zoals hierboven uiteengezet, is de Belgische GBA hoe dan ook niet bevoegd te handelen jegens enige verantwoordelijke voor de verwerking van de Facebook-dienst, die onder de bevoegdheid van de Ierse DPC volt.

Zoals hierboven vermeld, vereist artikel 58, lid 5, van de AVG expliciet dat de Lidstaten voorzien in de nodige hoedanigheid om de toezichthoudende autoriteiten in staat te stellen in rechte op te treden (“[e]lke lidstaat bepaalt bij wet”, en “waar passend”). Zoals uit de lezing hiervan blijkt, heeft deze bepaling geen rechtstreekse werking ten aanzien van particulieren, aangezien deze bepaling niet voldoende volledig, duidelijk, onvoorwaardelijk en precies is. Artikel 58, lid 5, van de AVG wijst erop dat de bevoegdheid om een inbreukprocedure voor de rechter in te stellen door “[de] lidstaat [...] bij wet” moet worden bepaald en dat, zoals werd aangegeven, deze procedure kan variëren naargelang de juridische tradities van de Lidstaten. Daarom moeten de Lidstaten een evaluatie maken van de vraag wanneer het passend is voor hun toezichthoudende autoriteiten om hoedanigheid voor de rechtbanken te hebben. Het zou in strijd met het legaliteitsbeginsel zijn als de toezichthoudende autoriteiten van de Lidstaten zich louter op artikel 58, lid 5, AVG zouden kunnen beroepen om een gerechtelijke procedure voor de bevoegde rechter te brengen en dit tegen particulieren, die aldus onbeschermd zouden blijven tegen de discretionaire tussenkomsten van de Lidstaten. De EU-wetgeving en de rechtspraak beletten de autoriteiten van de Lidstaten om zich te beroepen op EU-wetgeving die niet op nationaal niveau is omgezet (ondanks dat dit vereist is) om vorderingen tegen particulieren in te stellen.

Dit werd verder door Uw Hof bevestigd in de volgende bewoordingen, waarin werd verwezen naar de omzetting en tenuitvoerlegging van Richtlijn 95/46/EG, maar die ook volledig van toepassing zijn op artikel 58, lid 5, van de AVG: 'een regel van internationaal of supranationaal recht bezit directe werking indien hij, zonder enige substantiële interne uitvoeringsmaatregel, kan toegepast worden in de rechtsorde waar deze regel van kracht is'.

Aangezien België een bepaling heeft ingetrokken en geen andere bepaling heeft aangenomen die de GBA in staat stelt om een procedure tegen particuliere partijen in te stellen, heeft de GBA geen enkele hoedanigheid om deze procedure voort te zetten (of om enige procedure in te stellen). Dit was de wil van de Belgische wetgever bij de goedkeuring van de herziening van de Belgische wetgeving inzake gegevensbescherming.

(v) Besluit

Om de hiervoor genoemde redenen, dient Uw Hof de vordering niet-ontvankelijk te verklaren voor zover zij gebaseerd is op feiten die zich na 25 mei 2018 hebben voorgedaan, minstens zijn rechtsmacht, af te wijzen, en de vorderingen van Geïtimeerden op het vlak van de privacywetgeving niet-ontvankelijk, minstens niet-toelaatbaar te verklaren, en in elk geval ongegrond.”

De GBA antwoordt hierop als volgt:

“345. Het totstandkomingsproces van de AVG toont aan dat het aan de nationale wetgever toekomt om de gerechtelijke weg te faciliteren als alternatief voor het administratief optreden van een toezichthoudende autoriteit. De Belgische wetgever heeft aan zijn plicht uit hoofde van artikel 58.5 AVG voldaan: de mogelijkheid voor de GBA om inbreuken ter kennis te brengen van de gerechtelijke autoriteiten en rechtsvorderingen in te stellen, werd ingeschreven in artikel 6 GBA-Wet (…)

Dit artikel bepaalt nergens dat de GBA enkel naar de rechter zou kunnen stappen wanneer zij de enige bevoegde of de leidende toezichthoudende autoriteit zou zijn. Zoals hoger reeds werd aangetoond, noopt ook de AVG niet tot een dergelijke interpretatie van artikel 6 GBA-Wet. Het enige wat artikel 6 GBA-Wet op glasheldere, onweerlegbare wijze vooropstelt, is dat de GBA op het Belgische grondgebied inbreuken op de grondbeginselen van de bescherming van persoonsgegevens ter kennis kan brengen van de gerechtelijke autoriteiten en rechtsvorderingen daaromtrent kan instellen. Daarbij maakt het niet uit of deze grondbeginselen nu zijn opgenomen in de AVG of in andere wetten die de materie in verband met bescherming van de verwerking van persoonsgegevens raken, zoals in artikel 129 WEC. Het valt niet te begrijpen dat Facebook beweert dat artikel 58.5 AVG geen uitvoering gekregen zou hebben in het Belgische recht. De Belgische wetgever had het toch niet nog letterlijker kunnen uitvoeren dan zoals zij het gedaan heeft in artikel 6 GBA-Wet. Het is immers een bijna woordelijke kopie van artikel 58.5 AVG. Dat de GBA voor Uw Hof deze procedure kan voeren voor zowel feiten vóór als vanaf 25 mei 2018, kan op (geen) enkele wijze geloofwaardig in twijfel getrokken worden.

346. De tekst van artikel 6 GBA-Wet illustreert bovendien hoezeer Facebook de bal misslaat wanneer zij probeert een uitleg te geven aan de woorden "waar passend" in artikel 58.5 AVG. Zij houdt daarbij voor dat het al of niet "passend" karakter van het instellen van een rechtsvordering door de Gegevensbeschermingsautoriteit iets te maken zou hebben met het al of niet aanwezig zijn van een leidende toezichthoudende autoriteit. Dat is echter uiteraard geenszins wat die woorden betekenen.

Mocht deze lezing correct zijn (quod certe non), dan had de initiële versie van de Europese Commissie van artikel 58.5 AVG behouden moeten blijven en zou alles omtrent het instellen van rechtsvorderingen door toezichthoudende autoriteiten rechtstreeks in de AVG geregeld geweest zijn. Men heeft er finaal echter voor gekozen om het aan de lidstaten over te laten om in hun nationale recht de mogelijkheid tot het al dan niet instellen van een rechtsvordering door de toezichthoudende autoriteit te voorzien. Het betreft hier dan ook een mogelijkheid die de GBA rechtstreeks ontleent aan het Belgische recht. Verwijzingen naar leidende toezichthoudende autoriteiten en het coherentiemechanisme in de AVG doen hier niet ter zake. Om het met de woorden van de wetgever zelf te zeggen: "Artikel 6 geeft de Gegevensbeschermingsautoriteit een algemene toegang tot de rechter, inclusief de Europese rechter."

De woorden "waar passend" geven enkel aan dat de GBA een discretionaire opportuniteitsbeoordeling kan maken over de zaken die zij zelf wenst te behandelen en welke beter aan de rechtelijke macht worden voorgelegd. Artikel 6 GBA-Wet is de opvolger van artikel 32, § 3 WVP en geeft de GBA dus een gelijkaardige beoordelingsmarge over welke zaken zij aan de rechterlijke macht wenst voor te leggen, zoals de wetgever het uitdrukkelijk stelde: “Zoals artikel 58 § 8 van de AVG het voorschrift, behoudt de Gegevensberschermingsautoriteit de mogelijkheid om het even welke zaak naar de rechterlijke orde te verwijzen”.

Het komt het hof voor dat de verwijzing naar artikel 6 GBA-Wet onvoldoende is. De omstandigheid dat de GBA bevoegd is inbreuk en op de grondbeginselen van de bescherming van de persoonsgegevens ter kennis te brengen van de gerechtelijke autoriteiten en, waar passend, een rechtsvordering in te stellen teneinde deze grondbeginselen te doen naleven, zet nergens, in de nationale wetgeving een principe om als zou de GBA deze rechtsvordering hoe dan ook en steeds voor de Belgische hoven en rechtbanken kunnen instellen, daar waar de algemene regel van het “one-stop-shop” enkel de rechtsvordering voor de rechter van de plaats waar de gegevensverwerking plaatsvindt, voorziet.

Er moet een onderscheid gemaakt worden tussen de mogelijkheid om “een” rechtsvordering in te stellen en de mogelijkheid om “deze rechtsvordering zonder verdere beperkingen of voorwaarden steeds te kunnen instellen voor de Belgische hoven en rechtbanken”.

(…)

In het licht hiervan past het de navolgende prejudiciële vragen te stellen aan het Hof van Justitie:

1) Moeten de artikelen 55.1, 56-58 en 60-66 van verordening 2016/679 van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG, gelezen in samenhang met de artikelen 7, 8 en 47 van het Handvest van de grondrechten van de Europese Unie, in die zin uitgelegd worden dat een toezichthoudende autoriteit die krachtens in uitvoering van artikel 58.5 van deze verordening aangenomen nationale wetgeving de bevoegdheid heeft om tegen inbreuken op deze verordening een rechtsvordering in te stellen bij een rechtbank van haar lidstaat, die bevoegdheid niet kan uitoefenen in verband met een grensoverschrijdende verwerking als zij niet de leidende toezichthoudende autoriteit inzake die grensoverschrijdende verwerking is?

2) Maakt het daarbij een verschil uit als de verwerkingsverantwoordelijke van die grensoverschrijdende verwerking niet in die lidstaat haar hoofdvestiging heeft maar er wel een andere vestiging heeft?

3) Maakt het daarbij een verschil uit of de nationale toezichthoudende autoriteit de rechtsvordering instelt tegen de hoofdvestiging van de verwerkingsverantwoordelijke dan wel tegen de vestiging in haar eigen lidstaat?

4) Maakt het daarbij een verschil uit als de nationale toezichthoudende autoriteit de rechtsvordering reeds ingesteld heeft vóór de datum waarop deze verordening van toepassing geworden is (25 mei 2018)?

5) Ingeval het antwoord op de eerste vraag positief zou zijn, heeft artikel 58, lid 5, van de AVG rechtstreekse werking, zodat een nationale toezichthoudende autoriteit zich op voormeld artikel kan steunen om een gerechtelijke procedure tegen particuliere partijen in te leiden of voort te zetten, zelfs indien artikel 58, lid 5 van de AVG niet specifiek is omgezet in de wetgeving van de Lidstaten, niettegenstaande zulks vereist is?

6) Indien het antwoord op de vorige vragen positief zou zijn, zou het resultaat van dergelijke procedures in de weg kunnen staan van een tegengestelde bevinding van de leidende toezichthoudende autoriteit in het geval dat de leidende toezichthoudende autoriteit dezelfde of soortgelijke grensoverschrijdende verwerkingsactiviteiten onderzoekt overeenkomstig het mechanisme vervat in de artikelen 56 en 60 van de AVG?

Het hof overweegt dat op basis van de door FACEBOOK BELGIUM BVBA gegeven interpretatie, het hof geneigd zou zijn te oordelen dat de “one-stop-shop” een uit sluitende verhaalmogelijkheid daarstelt, doch in de omstandigheid dat het arrest van 5 juni 2018 van het Hof van Justitie overwogen heeft: "dat wanneer een buiten de Europese Unie gevestigde onderneming meerdere vestigingen in verschillende lidstaten heeft, de toezichthoudende autoriteit van een lidstaat bevoegd is tot uitoefening van haar bevoegdheden uit hoofde van artikel 28, lid 3 van deze richtlijn ten aanzien van een vestiging van deze onderneming op het grondgebied van die lidstaat, ook al is deze vestiging, ingevolge de taakverdeling binnen de groep, uitsluitend belast met de verkoop van advertentieruimte en andere marketingactiviteiten op het grondgebied van die lidstaat, en berust de exclusieve verantwoordelijkheid voor de verkrijging en de verwerking van persoonsgegevens, voor het gehele grondgebied van de Europese Unie, bij een vestiging in een andere lidstaat" stelt zich de vraag of deze interpretatie nog geldt ten aanzien van de thans van kracht zijnde AVG (en naar intern recht de GBA-wet).

Nu de Verordening in artikel 58.5 expliciet stelt: “5. Elke lidstaat bepaalt bij wet dat zijn toezichthoudende autoriteit bevoegd is inbreuken op deze verordening ter kennis te brengen van de gerechtelijke autoriteiten en, waar passend, daartegen een rechtsvordering in te stellen of anderszins in rechte op te treden, teneinde de bepalingen van deze verordening te doen naleven”

Vereist deze regel volgens het hof, dat de Lidstaten via een expliciete bepaling implementeren in welke concrete omstandigheden de lokale autoriteit van de Lidstaat een rechtsvordering kan instellen voor de eigen hoven en rechtbanken van de Lidstaat zelf en dit "bovenop" de principes van het “one-stop-shop” principe zoals dat bepaald is in de artikel en 55 en 56 van de AVG.

Het komt het hof voor dat elke toezichthoudende autoriteit (andere dan de toezichthoudende autoriteit van de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke) slechts dan competent is, om een bij haar ingediende klacht of een eventuele inbreuk op deze verordening te behandelen indien het onderwerp van die zaak alleen verband houdt met een vestiging in haar lidstaat of alleen voor betrokkenen in haar lidstaat wezenlijke gevolgen heeft.

(…)

De stelling van de GBA, die inhoudt dat de Privacy Commissie “samen met het BIPT” (nog) bevoegd zou zijn om te ageren tegen beweerde inbreuken op artikel 129 WEC, blijft op haar beurt ondergeschikt aan de beantwoording van de vraag of de GBA - na 25 mei 2018 - nog over een rechtsvordering beschikt voor de Belgische hoven en rechtbanken nu de voornoemde artikelen 55 en volgende van de AVG daarover anders lijken beslist te hebben.

De vraagstelling naar de mogelijkheden tot ageren van de GBA op grand van artikel 129 WEC, is dienvolgens onderhevig aan het antwoord dat zal gegeven worden op de gestelde prejudiciële vragen.

Het hoger beroep is ontvankelijk en grotendeels gegrond, behalve in de mate dat het ertoe strekt dat het hof zich zonder rechtsmacht zou verklaren ten overstaan van FACEBOOK BELGIUM BVBA en dat het de vordering tegen deze geheel onontvankelijk zou verklaren.

Alvorens te oordelen over de hoedanigheid en het belang van de GBA ten overstaan van FACEBOOK BELGIUM BVBA voor feiten die zich voordoen na 25 mei 2018, stelt het hof prejudiciële vragen aan het Hof van Justitie van de Europese Unie.

Het incidenteel hoger beroep van de GBA is ontvankelijk doch ongegrond.