Zaak van burgerrechtenorganisatie tegen Privacy Shield ketst af bij EU-rechter

Het Gerecht, onderdeel van het EU-Hof, heeft bepaald dat de Ierse burgerrechtenorganisatie DRI niet ontvankelijk is in een zaak tegen de Privacy Shield-regeling. De organisatie diende ongeveer een jaar geleden een klacht in om de overeenkomst ongeldig te verklaren.

De redenering van het Gerecht is dat DRI geen belanghebbende is, omdat de organisatie geen actie kan uitvoeren in de naam van zijn leden of het algemene publiek. Het Gerecht ondersteunt die conclusie door te schrijven dat DRI niet heeft aangetoond privacyzaken te mogen aanspannen in naam van zijn leden en dat de organisatie niet aangemerkt kan worden als een vereniging. Ook kan DRI geen zaak beginnen in zijn eigen naam.

Daarover zegt het Gerecht dat persoonsgegevens geen betrekking kunnen hebben op de organisatie, omdat die geen natuurlijk persoon is. Het feit dat DRI persoonsgegevens van zijn leden verwerkt, verandert ook niets aan de conclusie van het Gerecht. Frederik Zuiderveen Borgesius, onderzoeker aan het Amsterdamse IViR, legt aan Tweakers uit: "Het lijkt erop dat DRI hier tegen een procedurele hobbel is aangelopen. Volgens het Gerecht is DRI niet direct in zijn belang getroffen."

Het was DRI in 2014 wel gelukt om de Europese richtlijn over de bewaarplicht ongeldig te laten verklaren. Volgens Zuiderveen Borgesius lukte het daar wel omdat de organisatie het destijds via een nationale procedure heeft aangepakt, waarbij de rechter vragen heeft gesteld aan het Europese Hof. In het huidige geval wendde DRI zich direct tot het Gerecht, dat onderdeel is van het Europese Hof van Justitie. "Dit neemt niet weg dat DRI mogelijk alsnog de nationale route kan bewandelen", aldus de onderzoeker. Er loopt nog een tweede zaak tegen Privacy Shield, aangespannen door de Franse burgerrechtenorganisatie La Quadrature du Net. Volgens Zuiderveen Borgesius is er een kans dat deze over dezelfde drempel zal struikelen.

Privacy Shield is de opvolger van de zogenaamde Safe Harbour-regeling, die na een rechtszaak van de Oostenrijker Max Schrems in 2015 ongeldig is verklaard door het EU-Hof. De huidige regeling laat Amerikaanse bedrijven persoonsgegevens van EU-burgers in de VS opslaan na een zelfcertificeringsproces. Schrems is kritisch over het Privacy Shield en heeft onlangs een eigen organisatie opgericht die zich richt op het aanpakken van de bedrijven die privacyregels schenden. De organisatie, genaamd Noyb, zamelt momenteel geld in.

Reacties (40)

Nogal gezocht, het lijkt alsof de rechters blij waren dat ze onder deze kwestie uit konden komen.

Dit is niet vreemd hoor, belanghebbenheid aantonen is stap 1 bij bezwaar maken tegen besluiten. Dit ligt aan de basis van het bestuursrecht.

Ik ben een echte leek op het gebied van rechten, maar het klinkt in mijn oren erg vreemd. Ze komen met een valide punt, iets waar een rechterlijk besluit over genomen moet worden. Dan kan je dat toch niet zomaar afwimpelen op een manier als dit? Mijn eerste gedachte was in ieder geval vergelijkbaar met die van Morgan4321: "lekker makkelijke manier om hier onderuit te komen"

Ik werk zelf heel veel met bestuursrecht en het belanghebbenheid is echt heel belangrijk daarin. Dit is ook wel nodig omdat anders iemand in Maastricht die tegen extra wegen is, bezwaar zou kunnen indienen tegen de aanleg van een weg in Friesland. Nu hoeft dat bezwaar niet inhoudelijk beoordeeld te worden omdat kan worden gezegd dat zo iemand geen belanghebbende is. Rechtspersonen (verenigingen, stichtingen, ect.) moeten kunnen aantonen dat zij namens andere spreken (of dat hun missie is het beschermen van, in dit geval, privacy). In dit geval lijkt het er op dat DRI heeft proberen aan te tonen dat zij namens hun leden spreken, maar dit niet voldoende aannemelijk heeft kunnen maken. Het had best kunnen zijn dat als zij het op een andere manier hadden geprobeerd (b.v. door een stichting op te richten met als doel privacy schendingen aan te pakken ) zij wel als belanghebbende waren aangemerkt. Let op, in de meeste gevallen is een stichting oprichten met het doel om alleen maar to procederen niet genoeg om belanghebbende te worden. Je moet ook daadwerkelijk activiteiten uitvoeren die dat doel ondersteunen. Dit geld in ieder geval voor ons Nederlands recht.

[Reactie gewijzigd door AWitteveen op 29 november 2017 18:38]

Het probleem zit hier:

Digital Rights Ireland is a not-for-profit company incorporated under Irish law which has as its essential object the defence of individual internet freedoms.

In that regard, the applicant claims, on the one hand, to represent the interests of its members and supporters and, on the other hand, to act in the public interest on the basis of provisions of EU law which have opened the possibility of bringing an actio popularis in the public interest.

First of all, as the Commission argues, without being contradicted by the applicant, it must be stated that the applicant is not an association and cannot, therefore, rely on the case-law relating to the admissibility of actions brought by associations in the name of their members.

In any event, in so far as the applicant claims to be bringing the present action in the name of its members and supporters, it must be noted that it does not demonstrate that it has been empowered to bring legal actions in the name and on behalf of those members and supporters with a view to protecting their personal data.

Daarna komen nog een hoop jurdische verwijzingen waaruit blijkt dat privacy shield gaat over "the protection of natural persons with regard to the processing of personal data and on the free movement of such data".

Ik heb dat stukje over "without being argued" ook even onderstreept want dat is zeker belangrijk. DRI heeft blijkbaar geen tegen argumenten ingebracht. Tja, dan houdt het wel heel snel op, misschien zagen ze zelf al snel in dat ze een foutje hebben gemaakt en hebben ze ervoor gekozen om de zaak uit te laten sterven.

Om te beginnen is DRI blijkbaar een non-profit. Misschien een technisch verschil tussen Ierse en EU wetten, misschien dat ze in Ierland een non-profit zien als een vereniging, ik weet het niet. Maar onder EU wetten zijn ze geen vereniging, dus tja, jammer.

Ze claimen dat ze onderhandelaar zijn voor hun leden en opkomen voor het algemeen belang, maar ze zijn een non-profit en daarom hebben ze geen statuten en kunnen ze geen mandaat hebben van hun leden. In een non-profit heeft het bestuur het voor het zeggen, niet de leden. Als ze als onderhandelaar willen optreden voor hun leden dan moeten ze de mensen "individually identified by reason of the impact" en dat kunnen ze niet doen.

Tweede deel, dat ze opkomen voor het algemeen belang. Daarop wordt gezegd dat het gaat om natuurlijke personen en persoonlijke data, daarom heeft een non-profit geen belang in het geheel.

Of die mensen moet nu allemaal individueel een procedure starten of ze moeten een vereniging oprichten specifiek (moet in de statuten staan) met als doel om een procedure te starten. Zaak is dan wel dat ze allemaal individueel zichzelf in de procedure identificeren en aantonen dat ze belang hebben in het geheel. Elk natuurlijk persoon heeft een belang in dit, dus dat zal niet zo moeilijk zijn, maar een specifieke en goed onderbouwde reden noemen doet het altijd goed in dit soort procedures.

In dat geval kan DRI nog enige invloed hebben via een amicus curiae gericht aan het gerecht. Voor de rest is deze uitspraak wel te begrijpen, DRI heeft hier niks te zoeken. De hele uitspraak is eigenlijk ook een nette manier om te zeggen: "Hey DRI, gaat je allemaal geen zak aan maat, dikke doei!"

[Reactie gewijzigd door SizzLorr op 30 november 2017 07:46]

maar ze zijn een non-profit en daarom hebben ze geen statuten en kunnen ze geen mandaat hebben van hun leden. In een non-profit heeft het bestuur het voor het zeggen, niet de leden.

Is dat per definitie zo??? Hebben de leden niets te zeggen? Hoe zit dat met een bedrijf dan, je kunt net zogoed zeggen dat aandeelhouders en eigenaars niets te zeggen hebben, de board is in charge... Maar de board moet toch verantwoording afleggen aan de leden of eigenaars?!?

Er is een reden waarom veel van dat soort organisaties "board-only" zijn. De regels omtrent membership decision-making zijn complex en het is veilig om te zeggen dat leden geen directe invloed hebben op de non-profit. De leden kunnen een bestuur, raden en commissies aanwijzen, de leden kunnen het dagelijks bestuur niet direct afzetten en hebben ook niet de mogelijkheden om het bestuur direct te bevragen. Een non-profit werkt niet uit het belang van haar leden, maar uit haar eigen belang. De leden kunnen geen mandaat afgeven en de organisatie kan ook niet optreden uit het belang van haar leden. De leden hebben het niet voor het zeggen, ze hebben wel indirect invloed op de koers en hebben mogelijkheden om een inbrengen te doen, meer niet.

Een vereniging vertegenwoordigd de belangen van haar leden en de leden hebben directe invloed op de koers. Dit kunnen ze doen via de statuten, HHR, ALV's (bestuur dwingen) of zelfs door het bestuur af te zetten.

Daar zit een subtiel verschil wat een wereld van verschil maakt, kort samengevat een non-profit is er voor zijn eigen belang en een vereniging is er voor het belang van haar leden. Je haalt nou een hoop rechtsvormen door elkaar, er is natuurlijk een reden waarom al die rechtsvormen bestaan. Dat je spreekt over "eigenaren" vertelt mij dat jij niet zo goed bekend bent met al die rechtsvormen, er is een reden waarom we spreken over een "entiteit" en "rechtspersoon vs natuurlijk persoon".

[Reactie gewijzigd door SizzLorr op 1 december 2017 05:25]

Interessant, dank voor de info, ik weet hier inderdaad geen fluit van ;-)

Als ik een klacht indien bij de Belastingdienst dat @PizZa_CalZone teveel belasting betaalt. Dan vraagt de Belastingdienst ook, "Meneer, misschien heeft u een valide punt, maar waar bemoeit u zich mee?".

Iets dergelijks geldt hier ook. Het maakt niet per se uit hoe/of je punt valide is, je moet wel direct belanghebbende zijn.

ze zijn toch belanghebbende omdat ze lid zijn van de EU?

Zo kun je het zien maar rechter ziet het anders.
Misschien had een individueel persoon beter de zaak aanhanging kunnen maken. Dan ben je een prive persoon en personen genieten vaak andere bescherming dan bedrijven of organisaties.
Neem bijv consumentenrecht voor leveringen dat anders is als dat je als bedrijf iets koopt.

Prima, rechterlijke bescherming is anders voor bedrijven dan voor personen. Maar of je nu een organisatie, bedrijf, instelling of individu bent. Dit privacyshield beleid heeft invloed op iedereen die binnen de EU gevestigd is. Een op privacy gerichte organisatie heeft geen belang? Mag een multinational of een MKB dan ook geen rechtzaak aanspannen met betrekking tot dit onderwerp?

Maargoed misschien moet ik het niet willen om het rechtsysteem te proberen te begrijpen. Ik ga wel weer aan de knoppen van m'n servers draaien.

[Reactie gewijzigd door PizZa_CalZone op 29 november 2017 17:30]

Weet er te weinig van af maar zou zo maar kunnen dat privacy bescherming voor burgers strenger is als voor bedrijven.

Rechters hechten waarde aan juiste manier van procesvoeren, evenals wie het doet en hoe. Fout omschrijving in een aanklacht kan al gevolgen hebben, seponeren. Hier heeft men dus als organisatie de verkeerd vorm gekozen.

wat basis beginselen bij article 27 https://www.law.cornell.edu/ucc/1/1-201

En dat is dus niet het geval. Het Privacy Shield handelt over de privacy van natuurlijke personen. DRI is geen natuurlijke persoon en is dus niet rechtstreeks getroffen door deze overeenkomst. DRI heeft ook niet het recht om namens alle burgers van de EU te spreken en heeft niet kunnen aantonen dat zij het recht hebben om te spreken in naam van hun leden (iets wat heel eenvoudig te regelen zou zijn maar de procedure sowieso naar af stuurt). Procedures en procedure fouten werken in 2 richtingen. Ze moeten alle partijen beschermen.

Nee. De EU heeft 28 leden en 550 miljoen burgers. De DRI is geen lid en geen burger.

De rechters hebben zelfs aangegeven hoe DRI het wel zou moeten doen dus dat lijkt me niet.
De juristen van DRI hebben gewoon een verkeerde inschatting gemaakt over hoe de rechtbank de zaak zou horen. Dat komt wel vaker voor.

kunnen de juristen van DRI nu nogmaals een zaak aanspannen als zij aannemelijk maken dat ze Belanghebbende zijn?

Het Gerecht ondersteunt die conclusie door te schrijven dat DRI niet heeft aangetoond privacyzaken te mogen aanspannen in naam van zijn leden en dat de organisatie niet aangemerkt kan worden als een vereniging. Ook kan DRI geen zaak beginnen in zijn eigen naam.

Meerder zaken dus.

DRI heeft niet aangetoond zaken te mogen aanspannen in naam van zijn leden.
De organisatie wordt niet aangemerkt als vereniging.
DRI geen zaak beginnen in eigen naam.

De vraag is als DRI zich omvormt tot een vereniging misschien dan mag men dan uit naar van de leden wel een zaak aanspannen.

Jammere is natuurlijk dat we 1 jaar verder zijn, verloren tijd dus.

Ja, ze kunnen een nieuwe zaak aanspannen, maar vergeet niet dat je dan eigenlijk een jaar verloren hebt en de advocaten zijn ook niet gratis.

Tof dat Europese recht.

Een belangenorganisatie voor privacy.. die niet mag opkomen voor de privacy van Europese burgers..

In het Nederlands recht werk het net zo, je kan alleen bezwaar maken als je belang bij de zaak hebt of aan toont dat je voor belanghebbenden opkomt.

Toch ergens ook wel begrijpelijk: die europese burgers hebben nergens aangegeven dat die organisatie voor *hun* belang mag opkomen. Ze vertegenwoordigen dus niemand. Als 'men' nou lid zou kunnen worden van die organisatie, dan pas kan je stellen dat ze een groep mensen vertegenwoordigen.

Nu zouden ze dus voor privacy van europese burgers (waar ik bij hoor) op komen, terwijl ik het wellicht helemaal niet met hun standpunten eens ben.

In het artikel staat dat DRI leden heeft, en dat zijn voornamelijk of alleen Europese burgers lijkt mij.

DRI heeft afaik geen leden, het is een "limited company" en op hun website is ook geen enkele mogelijkheid om lid te worden, je kunt alleen doneren..

...maar er staat ook:
"... dat DRI niet heeft aangetoond privacyzaken te mogen aanspannen in naam van zijn leden"
... dus ik gok dat dan bij een lidmaatschap je ook gelijk een verklaring moet afgeven dat die organisatie in jouw naam een zaak mag aanspannen.

Ik denk dat inderdaad in dit geval het DRI en algemene organisatie is met leden. Maar niet specifiek een organisatie die namens hun in dit geval mag optreden.

Daarvoor moet je meer naar een organisatie kijken zoals die was opgericht tegen de Staatsloterij, die was opgericht voor de aanklacht en als je daar lid van werd gaf je hun toestemming om namens jou die aanklacht in te dienen.

In het algemeen heeft een vereniging een jaarvergadering. Daarin kan bij meerderheid van stemmen besloten worden. Zo'n besluit geeft de vereniging vervolgens het recht om namens alle leden rechtzaken aan te spannen.

Maar zoals gezegd is de DRI geen vereniging. Er zijn geen leden die gestemd hebben.

Ah ja, ik verwoorde het best ongelukkig maar zo iets dergelijks bedoelde ik inderdaad. Je kan wel een vereniging met leden hebben - bijvoorbeeld een vereniging die het niet eens is met staatsloterij-regels ofzo - maar pas als je expliciet van de leden toestemming hebt om namens hun een zaak aan te spannen zal het ontvankelijk zijn.

Dus we zijn & waren het eens - enkel wist jij het een stuk beter te verwoorden. :-)

Wel jammer dat zo'n DRI-organisatie zich dat niet vooral had gerealiseerd, zou toch verwachten dat je op dat niveau wel de juridische expertise erbij hebt om dat soort basisproblemen te voorkomen. Of wellicht wisten ze dat vooraf wel, wilden ze enkel wat aandacht trekken...

Heb ik ooit gezegd dat de AFM ofzo wel voor mijn rechten moet opkomen? Zo vaak komen toch organisaties voor rechten op zonder dat er mensen om gevraagd hebben?

Overheidsorganisatie, dus democratisch proces heeft besloten dat de AFM er moet komen voor mijn rechten.

de AFM is een overheidsorgaan, dat is wat anders dan een private organisatie

Geen probleem toch. Dat gaat die Oostenrijker die de voorganger van Privacy Shield torpedeerde gewoon zelf een aanklacht indienen.

We moeten niet vergeten dat recht iets anders is dan rechtvaardigheid. Verder is het recht "wetten" bedacht door de winnaar "baas" van dat moment. Nu staat bijvoorbeeld in de wet dat er een dividend belasting is van 15% bij multinationals, straks staat er in de wet dat dit 0% is. De Amerikaanse aandeelhouder moet echter nog steeds 15% + 15% belasting betalen. Nederland betaald dus indirect mee aan de muur tussen de USA en Mexico (1,4 miljard Euro per jaar).

Dat is het probleem met class-actions in België - dat kan nu maar alleen door een bepaald soort maffiosi - die zelf lidgelden opstrijken. Misschien helpt het als we ons bij mr. Schrems aansluiten - die heeft net een organisatie opgestart - en op één dag had die al 60000€ binnen aan funding.

Daarover zegt het Gerecht dat persoonsgegevens geen betrekking kunnen hebben op de organisatie, omdat die geen natuurlijk persoon is.

Deze uitspraak kan dan wel eens hele grote gevolgen hebben voor de nieuwe GDPR wetgeving die eraan komt.
Daar gaat het juist over dat persoonsgegevens wel degelijk betrekking hebben op organisaties ondanks dat ze geen natuurlijk persoon zijn.
Ik ben niet juridisch onderlegd maar mijn boerenverstand zegt dat deze uitspraak klinkt als een bommetje onder de GDPR wetgeving.

Of ze houden zich aan de regels die we met zijn allen hebben afgesproken. Zoals anderen ook al aangaven, je moet belanghebbende zijn.

De wet is de wet en procedures moeten gerespecteerd worden. Ik zal dadelijk eens naar de belastingdienst bellen om te melden dat Fijinees belastingen aan het ontduiken is. Volgens jouw redenering mogen ze je dan direct komen controleren ook al heb ik helemaal niet met je belastingsaangifte te maken.