Massaclaims tegen privacy-inbreuken: wat is de impact op dataprotectie en compliance?

Collectieve acties zijn volgens de Stichting Take Back Your Privacy (TBYP) een belangrijke manier om organisaties onder druk te zetten om de privacyregels na te leven. “Met een massaclaim helpen we mensen met een klein financieel belang om hun recht te behalen in een zaak van groot ethisch belang”, zegt Ben Baldwin van TBYP, een van de partners van het Dataprotectie en Privacy Congres 2023 van Outvie.  

Collectieve acties

Belangenorganisaties en stichtingen kunnen sinds 2020 met de Wet afwikkeling massaschade in collectieve actie (WAMCA) namens een groep gedupeerden een rechtszaak starten om collectieve schadevergoeding te eisen. Er lopen inmiddels zaken tegen onder meer Google, Facebook, Amazon en TikTok. 

De collectieve actie tegen TikTok is de eerste zaak van de stichting Take Back Your Privacy (TBYP), een non-profitorganisatie die zich inzet voor het recht op privacy en de bescherming van persoonsgegevens. TBYP, een van de partners van het Dataprotectie & Privacy Congres 2023 van Outvie, is gespecialiseerd in rechtszaken tegen partijen die vermoedelijk de privacy van kinderen en andere kwetsbare groepen in Nederland te schenden. 

Een schadevergoeding voor een privacyschending  

“Het maatschappelijke doel staat voor ons voorop. Onze inzet is niet om TikTok te verbieden, maar om te zorgen dat ze zich aan de privacyregels houden”, zegt Ben Baldwin, secretaris van de raad van bestuur van TBYP. Baldwin werkte jarenlang als General Counsel en advocaat en geeft nu leiding aan een juridische afdeling. Hij is sinds de oprichting van de stichting in 2021 nauw betrokken bij de acties. “TikTok verzamelt al jarenlang illegaal persoonsgegevens van gebruikers, die worden verwerkt voor onder andere het ontwikkelen van algoritmen en advertenties. Alles wat een kind op TikTok zet, kan te pas en te onpas worden gebruikt voor commerciële doelen. Zo’n vercommercialisering van een gezicht, uiterlijk en expressie van een kind is heftig.”  

“Een privacyschending veroorzaakt immateriële schade”, voegt Baldwin toe. “Met onze collectieve actie, die we met ondersteuning van de Consumentenbond zijn gestart, willen we ervoor zorgen dat TikTok stopt met onrechtmatig handelen, alle illegaal verzamelde persoonsgegevens verwijdert en een schadevergoeding betaalt.” TBYP gaat uit van een totale schadevergoeding van minimaal twee miljard euro, waarmee elk gedupeerd kind een vast bedrag krijgt. Volgens onderzoek zijn ongeveer anderhalf miljoen kinderen door TikTok gedupeerd.  

Privacy van kwetsbare groepen 

De massaclaim tegen TikTok is een eerste uitwerking van de missie van TBYP om in actie te komen tegen misbruik van persoonsgegevens van kwetsbare groepen. “We moeten als stichting scherpe keuzes maken in de zaken die we oppakken. We stellen daarom steeds de vraag: waar veroorzaakt een inbreuk op privacy de meeste pijn? We denken allereerst aan kinderen, maar ook aan mensen die om andere redenen kwetsbaar zijn. Bijvoorbeeld mensen die in een instelling verblijven, mensen die afhankelijk zijn van apps en app-groepen voor het oplossen van persoonlijke problemen, en aan mensen die vatbaar zijn voor nepnieuws.” TBYP initieert collectieve acties tegen grote organisaties, en deelt kennis met onder andere studenten die werken aan onderzoeken. De actie tegen TikTok wordt gesteund door diverse belangenorganisaties, waaronder Defence for Children en Privacy First. 

Hoe verloopt de uitvoering van een massaclaim? TBYP start met een signaal van een mogelijk privacy-inbreuk, vertelt Baldwin. “We ontdekken zelf een risico, of we worden erover getipt. Dan gaat het bestuur heel secuur kijken of er sprake is van een serieus risico. In eerste instantie nemen we dan contact op met de partij die ervan wordt verdacht de regels te overtreden. Als overleg niets oplevert, dan gaan we verder met het voorbereiden van een claim, onder meer om financiers te vinden.”  

“Een belangrijk verschil tussen onze werkwijze en de aanpak van organisaties zoals Privacy First en de Consumentenbond is dat wij geen beroep doen op vaste donateurs of leden”, vertelt Baldwin. “We willen voorkomen dat we gezien worden als een geldmachine. Voor elke concrete zaak zoeken we een financier, die het risico draagt maar zich niet inhoudelijk bemoeit met ons werk. Verder willen we gedupeerden niet vooraf een fee vragen. Juist omdat het vaak gaat om mensen in een kwetsbare positie. Een zaakspecifieke financier stelt ons in staat om steeds de juiste steun te mobiliseren. Met onze acties zijn grote bedragen gemoeid, en de tegenpartijen hebben veel geld voor juridische specialisten. Om daartegen voldoende tegenwicht te bieden, hebben wij natuurlijk topadvocaten nodig.”   

Massaclaims als drukmiddel 

“Privacytoezichthouders in heel Europa zijn onderbezet en ze kunnen de vele risico’s van regelovertredingen daardoor niet goed bijbenen. Als een toezichthouder niet vaak een sanctie oplegt, of alleen een relatief lage boete uitdeelt, dan is een rechtszaak het enige effectieve pressiemiddel”, zegt Baldwin over de betekenis van massaclaims voor de naleving van de privacywetgeving. “Een individu kan een civiele zaak starten. Maar de schadevergoeding die je dan ontvangt, weegt niet op tegen de kosten voor de procedure en de inspanningen die je daarvoor moet leveren. Bovendien maakt een schadevergoeding van een paar honderd euro meestal geen indruk op de wetsovertreder.” 

Een collectieve actie creëert de dreiging van een forse schadeclaim. Zo’n financieel drukmiddel is een belangrijk mechanisme om wetsovertreders in beweging te zetten om privacy-inbreuken stop te zetten en persoonsgegevens voortaan goed te beschermen, aldus Baldwin. “Met een massaclaim helpen we mensen met een klein financieel belang om hun recht te behalen in een zaak van groot ethisch belang. Voor TikTok zijn kinderen die dansjes doen en liedjes zingen simpelweg klanten die je advertenties wilt voorschotelen. Maar wat vinden we er als ouders van dat de beelden van onze kinderen – zonder dat we daar toestemming voor hebben gegeven – tot in de lengte der dagen worden bewaard en worden gebruikt voor machine learning en gezichtsherkenning – en wie weet voor wat allemaal nog meer?”  

De toekomst van massaclaims 

Collectieve acties zijn een relatief laagdrempelige manier om juridische procedures te voeren. Sinds de invoering van de WAMCA zijn er enkele tientallen massaclaims gestart, waarvan een handvol gaat over de bescherming van persoonsgegevens. Baldwin denkt dat het aantal massaclaims tegen privacy-inbreuken in de toekomst langzaam toeneemt. “Een belangrijke factor daarbij is het succes van de lopende claims, zoals de zaak van de Data Privacy Stichting tegen Facebook. Tot nu toe zijn er in Nederland sowieso nog nauwelijks massaclaims met succes doorlopen, alleen in niches zoals sjoemeldiesel en vliegreizen. De zaken tegen privacyschendingen lopen allemaal nog.”  

Baldwin verwacht geen stortvloed aan massaclaims. “In Nederland is niet zo’n sterke traditie van schadeclaims als in landen zoals Duitsland en de Verenigde Staten. De organisatie van een collectieve actie is bovendien veel en complex werk – dat doe je er niet even als een hobby bij. Maar als professionele stichting – met bestuursleden die werkzaam zijn als onder andere universitair docent en Chief Risk Officer – is TBYP er zeker klaar voor.”