De Belgische Gegevensbeschermingsautoriteit (GBA) heeft enkele jaren geleden een procedure opgestart tegen Facebook voor de Belgische rechter wegens vermeende inbreuken op de Belgische en Europese wetgeving inzake gegevensbescherming. Facebook zou op onrechtmatige wijze informatie over het private surfgedrag van internetgebruikers in België verzamelen door middel van technologieën als ‘cookies’ en ‘social plug-ins’ en ‘pixels’. De verzamelde informatie wordt vervolgens gebruikt om het surfgedrag van de gebruikers te profileren en hen op basis daarvan gerichte reclame te tonen. Dit alles gebeurt zonder de betrokkenen naar behoren te informeren of hun geldige toestemming te verkrijgen. Deze praktijken zouden bovendien toegepast worden ongeacht of de betrokken persoon zich al dan niet heeft aangesloten bij het sociale netwerk van Facebook.
Vooraleer uitspraak te doen over de grond van de zaak heeft het hof van beroep te Brussel een prejudiciële vraag voorgelegd aan het Hof van Justitie die in hoofdzaak verband houdt met het ‘one stop shop’-principe of het ‘één loket-principe’ dat ingevoerd werd door de Algemene Verordening Gegevensbescherming (AVG). De procedure van de GBA tegen Facebook werd opgestart vóór de inwerkingtreding van deze verordening.
De AVG voorziet in een nieuw samenwerkingsmechanisme tussen de Europese gegevensbeschermingsautoriteiten, met name het één loketmechanisme. Dit mechanisme voorziet dat de autoriteit van het land waar de hoofdvestiging van de betrokken onderneming zich bevindt (voor Facebook Ierland) bevoegd is om sanctionerend op te treden, de zgn. leidinggevende toezichthoudende autoriteit inzake de verwerking. De vraag rijst of dit ‘één loket-principe’ kan doorgetrokken naar de vraag welke nationale gegevensbeschermingsautoriteit een gerechtelijke procedure kan opstarten bij grensoverschrijdende verwerking van gegevens. De kernvraag in de procedure voor het Hof van Justitie betreft dan ook de vraag of de Belgische GBA de gerechtelijke procedure tegen Facebook nog wel kan voorzetten nadat de AVG in werking is getreden, gelet op het feit dat de Ierse Data Protection Commission de leidinggevende toezichthoudende autoriteit is.
De Advocaat-Generaal stelt dat de lokale toezichthouder – die niet de leidinggevende toezichthouder is – slechts in welbepaalde, door de verordening uitdrukkelijk omschreven gevallen, bevoegdheid heeft om een gerechtelijke procedure in te stellen tegen de betrokken onderneming die grensoverschrijdend actief is. Zo wordt ondermeer verwezen naar de verwerking van gegevens door overheidsinstanties of bij dringende gevallen die een dringende lokale interventie noodzaken. De Advocaat-generaal wijst erop dat het systeem van loyale samenwerking tussen de nationale gegevensbeschermingsautoriteiten dat door de verordening werd ingesteld ten allen tijde moet gewaarborgd blijven. Het nuttig effect van het één loket-principe zou verloren gaan bij een algemene bevoegdheid voor alle nationale autoriteiten zodra het laakbare gedrag verbonden is met het eigen grondgebied. Lokale autoriteiten zijn slechts in uitzonderlijke gevallen bevoegd om gerechtelijk op te treden wanneer de hoofdvestiging van de betrokken entiteit zich niet op haar grondgebied bevindt, ook al gaat het om inbreuken die hun grondgebied betreffen.
Het is nu aan het Hof van Justitie om een bindend oordeel te vellen over het voorgelegde twistpunt. Het advies van de Advocaat-Generaal is immers niet bindend en het Hof kan een afwijkende beslissing nemen.
Hoewel de prejudiciële vraag enkel betrekking heeft op procedurele aspecten, zal de beslissing van het Hof van Justitie niettemin een invloed kunnen hebben op de concrete invulling van de regels inzake gegevensbescherming die mede vorm wordt gegeven door de nationale gegevensbeschermingsautoriteiten.
Het Monard Law Privacy Team
