İzleme çerezlerinin geçerli rıza olmadan yerleştirilmesi

ECLI:NL:GHAMS:2023:2971 text/xml public 2025-03-22T09:33:41 2023-12-06 Raad voor de Rechtspraak nl Gerechtshof Amsterdam 2023-12-05 200.333.812/01 Uitspraak Hoger beroep NL Amsterdam Civiel recht

Rechtspraak.nl Computerrecht 2024/62 met annotatie van V.I. Laan, M. Poulus UDH:IR/18329 met annotatie van Mr. H.W. Roerdink

http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:GHAMS:2023:2971 text/html public 2024-01-04T10:09:30 2024-01-04 Raad voor de Rechtspraak nl ECLI:NL:GHAMS:2023:2971 Gerechtshof Amsterdam , 05-12-2023 / 200.333.812/01

-

GERECHTSHOF AMSTERDAM

afdeling civiel recht en belastingrecht, team I

zaaknummer : 200.333.812/01 SKG

zaak-/rolnummer rechtbank Amsterdam : C/13/739403 KG ZA 23/829

arrest van de meervoudige burgerlijke kamer van 5 december 2023

inzake

1 CRITEO B.V.,

gevestigd te Amsterdam,

2. CRITEO S.A. ,

gevestigd te Parijs (Frankrijk),

appellanten,

advocaat: mr. C. Jeloschek te Amsterdam,

tegen

[geïntimeerde],

wonende te [woonplaats],

geïntimeerde,

advocaat: mr. M.H.L. Hemmer te Rotterdam.

1 De zaak in het kort

Een particulier spreekt Criteo aan wegens het gebruiken van tracking cookies zonder dat toestemming is gegeven voor het verwerken van zijn persoonsgegevens. Criteo is door de voorzieningenrechter veroordeeld tot het per onmiddellijk staken van het plaatsen van zulke cookies, op straffe van een dwangsom. Daarnaast heeft de voorzieningenrechter vier geboden geformuleerd omtrent de informatievoorziening aan de betrokkene, ook op straffe van een dwangsom. Criteo heeft hoger beroep ingesteld omdat zij naar eigen zeggen, kort samengevat, alle mogelijke maatregelen heeft genomen maar haar partner-websites niet kan weerhouden van het plaatsen van tracking cookies. De zaak is met spoed behandeld.

2 Het geding in hoger beroep

Partijen worden hierna Criteo (appellanten tezamen) dan wel Criteo BV en Criteo SA en [geïntimeerde] genoemd.

Criteo is bij dagvaarding van 30 oktober 2023 in hoger beroep gekomen van een vonnis van de voorzieningenrechter in de rechtbank Amsterdam van 18 oktober 2023, in kort geding onder bovenvermeld zaak-/rolnummer gewezen tussen [geïntimeerde] als eiser en Criteo BV en Criteo SA als gedaagden.

Partijen hebben daarna de volgende stukken ingediend:

- de appeldagvaarding met daarin opgenomen de grieven, met producties;

- memorie van antwoord aan de zijde van [geïntimeerde], met producties.

Partijen hebben de zaak ter zitting van 9 november 2023 mondeling toegelicht, Criteo door mr. mr. Jeloschek, voornoemd en [geïntimeerde] door mr. Hemmer, voornoemd, ieder aan de hand van pleitnotities die zijn overgelegd. Beide partijen hebben nog producties in het geding gebracht.

Ten slotte is arrest gevraagd.

Criteo heeft geconcludeerd dat het hof het bestreden vonnis zal vernietigen en alsnog de vordering van [geïntimeerde] zal afwijzen, met, uitvoerbaar bij voorraad, veroordeling van [geïntimeerde] in de kosten van het geding in beide instanties.

[geïntimeerde] heeft geconcludeerd dat het hof, uitvoerbaar bij voorraad, de grieven van Criteo zal verwerpen, het hoger beroep van Criteo ongegrond zal verklaren en het bestreden vonnis zal bekrachtigen, met veroordeling van Criteo in de kosten van het geding in beide instanties met nakosten en rente.

3 Feiten

De voorzieningenrechter heeft in het vonnis onder 2.1 tot en met 2.12 de feiten opgesomd die hij bij de beoordeling van de zaak tot uitgangspunt heeft genomen. Deze feiten zijn niet in geschil en dienen derhalve ook het hof als uitgangspunt. Samengevat en waar nodig aangevuld met andere feiten die volgen uit niet weersproken stellingen van partijen dan wel de niet (voldoende) bestreden inhoud van producties waarnaar zij ter staving van hun stellingen verwijzen, komen de feiten neer op het volgende.

3.1

[geïntimeerde] is een Nederlandse natuurlijke persoon. Criteo SA en Criteo BV zijn rechtspersonen die deel uitmaken van het Criteo-concern, een wereldwijd technologiebedrijf in de media- en entertainmentbranche, met hoofdkantoor in Parijs. Criteo SA is genoteerd aan de Amerikaanse beurs Nasdaq. Criteo houdt zich onder andere bezig met consultancy, software en services met betrekking tot digitale marketing, media advertising, real time advertentie-veilingen en is een belangrijke internationale speler in de Adtech-industrie.

3.2.

Criteo plaatst, via websites van derden, zogeheten tracking cookies (waaronder in ieder geval de zogenaamde “uid” cookie) op computers en/of andere mobiele apparaten. Tracking cookies bevatten een uniek ID, een willekeurige lijst van karakters, die wordt toegewezen aan de browser van een bepaalde websitebezoeker. Bij iedere website die een link heeft met Criteo en die met die browser wordt bezocht, wordt dezelfde tracking cookie uitgelezen. Doel is om surfgedrag, interesses en/of andere gegevens van internetgebruikers te verzamelen en te analyseren voor commerciële doeleinden. Over de uid cookie staat op de website van Criteo:

“ Verzamelt gegevens met betrekking tot de bezoeken van de gebruiker aan de website, zoals het aantal bezoeken, de gemiddelde tijd die op de website is doorgebracht en welke pagina's zijn geladen, met het doel om gerichte advertenties weer te geven ” en dat de vervaltermijn 1 jaar is.

3.3. Criteo gebruikt de tracking cookies voor ‘targeted advertising’, het afstemmen van advertenties op individuele gebruikers. Dat gebeurt door het opstellen van gebruikersprofielen en het herkennen van gebruikers als zij het internet bezoeken. Binnen een fractie van een seconde wordt dankzij het Real Time Bidding (RTB)-Systeem een internetgebruiker herkend en een op de betreffende gebruiker afgestemde advertentie getoond. Tracking cookies spelen daarbij een essentiële rol.

3.4. Op 15 juni 2023 heeft de Commission Nationale de Informatique et des Libertés (CNIL), de Franse privacy-toezichthouder, een boete van € 40.000.000,- opgelegd aan Criteo SA voor overtreding van verschillende bepalingen van de Algemene verordening gegevensbescherming (AVG). Volgens het persbericht van de CNIL was dit “ in particular for failing to verify that the persons from whom it processed data had given their consent ”. In dat bericht staat ook dat de CNIL haar beslissing heeft voorgelegd aan de andere 29 Europese toezichthouders, aangezien zij alle betrokken waren bij deze “cross-border case”, en dat zij hun goedkeuring hebben gegeven.

3.5 Bij brieven van 8 augustus 2023 heeft de advocaat van [geïntimeerde] aan Criteo SA (in het Engels) en Criteo BV (in het Nederlands) geschreven dat Criteo

- tracking cookies (in ieder geval de uid cookie) via websites van derden plaatst op devices van [geïntimeerde] zonder diens toestemming, en

- de daarmee verkregen persoonsgegevens van [geïntimeerde] verwerkt, eveneens zonder zijn toestemming,

- en daarmee handelt in strijd met artikel 11.7a lid 1 Telecommunicatiewet (Tw) en artikelen 5 lid 1 onder a, 6 lid 1, 7, 13 en 14 AVG. Een en ander is toegespitst op vier met name genoemde websites.

Voorts heeft hij een informatieverzoek als bedoeld in art. 12 lid 3 AVG gedaan.

3.6. Bij e-mail van 30 augustus 2023 heeft de advocaat van Criteo, samengevat, geantwoord dat de vier genoemde websites worden beheerd door klanten van Criteo; het is hun verantwoordelijkheid om toestemming te verkrijgen. Criteo verplicht hen hier contractueel toe. Criteo kan bij haar vele klanten niet individueel controleren of zij deze verplichting nakomen, maar Criteo treedt meteen op als zij bekend wordt met een inbreuk en dat heeft zij nu ook gedaan met betrekking tot de vier genoemde websites. [geïntimeerde] kan ongewenste cookies verwijderen door zijn browser instellingen aan te passen en/of een “opt-out” in te stellen voor Criteo-cookies, een en ander volgens de meegezonden instructies.

3.7. Bij e-mail van 8 september 2023 heeft Criteo de termijn voor het reageren op de informatie- en inzageverzoeken van 8 augustus 2023 verlengd onder verwijzing naar artikel 12 lid 3 AVG, aldus tot 8 november 2023.

3.8.

Namens Criteo SA “and its affiliates and subsidiaries” heeft haar advocaat op 2 oktober 2023 aan de advocaat van [geïntimeerde] de volgende reactie op de sommaties 2) tot en met 6) uit de brief van 8 augustus 2023 gemaild:

“2) (i) Confirmed that Criteo SA is a data controller.

(ii) All processing activities conducted by Criteo for the purpose of providing its services.

(iii) Criteo SA acts as the data controller for the entire Criteo group.

3) The data export in the attached excel sheet (Appendix 1) contains the personal data in Criteo's systems relating to the communicated cookie ID. In addition, the attached data description table (Appendix 2) explains the contents of the data export. To be clear, if a table in Appendix 1 is empty this means that Criteo does not process any such personal data relating to the communicated cookie ID .

4) (i) Criteo has passed on the data of the communicated cookie ID to its legal advisors at [bedrijf] (…) and will do so if necessary to courts, if they are relevant to legal proceedings.

In accordance with article 15 (1) of the GDPR [General Data Protection Regulation = AVG, opm. hof], the categories of recipients of personal data are:

-Supply-side platforms

-Data platforms

-Partners allowing us to match several identifiers

-Partners allowing us to fight against fraud

-Partners allowing us to locate you inaccurately

-Partners of Criteo's clients

-Our subsidiaries and affiliates

-Any recipient necessary to comply with legal, regulatory, judicial or administrative obligations

(ii) The personal data in Criteo's systems related to the communicated cookie ID is included in Appendix 1.

5) Criteo has deleted the communicated cookie ID from its system, so that Criteo can no longer assign any data to the communicated cookie ID and will also no longer collect any data on the communicated cookie ID in the future. Appendix 1 itself will, however, continue to be stored outside the Criteo system until the legal claim related to it has ended.

6) Criteo is notifying the recipients mentioned in the report dated September 1, 2023 that was provided as part of [geïntimeerde] 's legal claim against Criteo (…), in order to enable them to erase personal data related to the communicated cookie ID.

Conclusion

Criteo considers to have fulfilled the above requests to exercise data subject rights in accordance with the GDPR .”

3.9 Criteo heeft, naar eigen zeggen, ongeveer 21.000 partners, onder wie resellers .

4 Beoordeling

4.1 In eerste aanleg vorderde [geïntimeerde], kort samengevat, een gebod aan Criteo om het plaatsen van tracking cookies op zijn computer en apparaten te staken en diverse geboden die zien op informatieverstrekking en -verwijdering. De voorzieningenrechter heeft de vorderingen vrijwel geheel toegewezen. Criteo komt daartegen met vier ongenummerde en acht genummerde grieven op.

4.2

De ongenummerde grieven zien op tekortschietende motivering door de voorzieningenrechter, het niet bespreken van de stellingen van Criteo, het toekennen van teveel waarde aan het deskundigenbericht van [geïntimeerde] en het negeren van de realiteit zoals die ter zitting in eerste aanleg door Criteo is geschetst.

Deze grieven falen alle reeds omdat de vorderingen en verweren in dit hoger beroep geheel opnieuw worden beoordeeld. De inhoudelijke bezwaren zullen hierna, voor zoveel nodig, behandeld worden.

4.3 Grieven 1-3 zien op het gebod tot het staken van de plaatsing van tracking cookies. Grieven 4 en 5 zien op de informatieverstrekking. Grief 6 behandelt het spoedeisend belang, grief 7 de belangenafweging en grief 8 de positie van Criteo BV.

Het staken van de plaatsing van tracking cookies

4.4 Grief 6 ziet op het spoedeisend belang en dient dus als eerste besproken te worden. De grief faalt, omdat de spoedeisendheid voortvloeit uit de aard van dit deel van de vordering. De vordering ziet immers op het beëindigen van onrechtmatige gedragingen, namelijk het plaatsen van tracking cookies zonder dat daarvoor toestemming is verleend. Dat levert aantasting van een grondrecht van [geïntimeerde] op. Criteo negeert met haar stellingen artikel 1 alsmede de eerste considerans van de AVG, waaruit blijkt dat de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens een grondrecht is en dat krachtens art. 8 lid 1 van het Handvest en art. 16 lid 1 VWEU eenieder recht heeft op bescherming van zijn persoonsgegevens. Uit Criteo’s eigen stellingen vloeit verder voort dat het voortduren en/of herhalen van deze of een vergelijkbare onrechtmatige daad concreet te vrezen valt.

4.5 Voor zover Criteo niet alleen het spoedeisend belang maar tevens elk belang betwist omdat een eind is gemaakt aan de onrechtmatige daad van de aanvankelijk genoemde vier websites miskent zij, dat de omstandigheid dat een bepaalde onrechtmatige daad is beëindigd niet het belang wegneemt bij een vordering die ertoe strekt dat een nieuwe onrechtmatige daad, voortvloeiend uit dezelfde werkwijze van Criteo, achterwege blijft. Anders dan Criteo leest het hof in de vordering van [geïntimeerde] geen wens tot het verbieden van tracking cookies in het algemeen en/of het algeheel verbieden van het fenomeen targeted advertising . De vorderingen zien onmiskenbaar op het zonder de vereiste toestemming van [geïntimeerde] plaatsen van tracking cookies. Of/dat ook anderen gebaat zijn bij een beslissing in deze zaak doet voor het vereiste belang niet ter zake, evenmin als de eventuele financiering van deze procedure door derden.

4.6 Tussen partijen staat vast dat tracking cookies, met/bestaande uit een uid die is gekoppeld aan [geïntimeerde], door websites die worden beheerd door partners van Criteo zijn geplaatst zonder dat [geïntimeerde] daartoe toestemming had gegeven. Het gaat daarbij enerzijds om gevallen waar het plaatsen vooraf gaat aan de cookie-banner , dus gevallen waarin nog geen toestemming is gegeven, en anderzijds om gevallen waar die toestemming expliciet was geweigerd. Op zichzelf staat tussen partijen ook vast dat dit in strijd is met de AVG als het gaat om persoonsgegevens. Anders dan Criteo meent doet niet ter zake hoe vaak dat precies is voorgevallen en evenmin of het gaat om de vier websites die [geïntimeerde] aanvankelijk heeft genoemd (zie 3.5), om de 39 websites die hij daarna heeft genoemd of om nog andere websites. Het gaat erom dat in strijd met de AVG en dus jegens [geïntimeerde] onrechtmatig is gehandeld en dat een grote kans bestaat op herhaling, nu deze schending rechtstreeks verband houdt met de wijze waarop Criteo haar bedrijf heeft ingericht.

4.7 Het verweer van Criteo dat van het delen van persoonsgegevens niet is gebleken is onvoldoende onderbouwd tegenover de toegelichte stellingen van [geïntimeerde] die met stukken, met name screen-prints en rapporten van [naam], zijn onderbouwd. Voor zover Criteo bezwaar heeft tegen het gebruik van de door [geïntimeerde] overgelegde rapporten van [naam], omdat die niet kunnen strekken tot bewijs en voor bewijslevering in kort geding geen ruimte is, miskent zij de wijze waarop partijen in kort geding hun stellingen dienen te onderbouwen en het daarop te baseren aannemelijkheidsoordeel van de rechter. Het hof licht dit toe.

Criteo stelt terecht dat deze procedure zich niet leent voor bewijslevering. [geïntimeerde] kan echter wel stellen, toelichten en onderbouwen dat hij ondervindt dat zonder zijn toestemming tracking cookies worden geplaatst en daarmee zijn persoonsgegevens worden verwerkt/verspreid. Dat heeft hij ook gedaan, onder meer met de rapporten van [naam]. Nu Criteo daartegenover niet meer doet dan stellen dat zij een en ander niet weet en niet kan controleren heeft zij de aannemelijkheid van de juistheid van die stellingen van [geïntimeerde] niet aangetast.

4.8

Van een website als Vitakruid of Viata, die diverse producten op het gebied van gezondheid aanbiedt, is zeer aannemelijk dat de daar achtergelaten en dus via de uid verspreide informatie mede bijzondere persoonsgegevens in de zin van de AVG bevat. Ten aanzien van andere websites gedreven door partners van Criteo is in algemene zin eveneens voldoende aannemelijk dat deze informatie persoonsgegevens bevat. De omschrijving van persoonsgegevens in de AVG is immers ruim. Ook als geen naam of adres van [geïntimeerde] bekend wordt is de kans op het onrechtmatig verwerken van persoonsgegevens voldoende reëel, omdat sommige van de 21.000 partners van Criteo blijkbaar zonder toestemming tracking cookies plaatsen. Criteo heeft wel gesteld dat haar partners geen persoonsgegevens verwerken, maar zij heeft dat niet onderbouwd en gelet op het bovenstaande verwerpt het hof die stelling als onaannemelijk.

In dit kort geding is daarmee voldoende aannemelijk geworden dat inderdaad tracking cookies zijn geplaatst en persoonsgegevens van [geïntimeerde] in strijd met de AVG zijn (verspreid en) verwerkt.

4.9 De kern van het standpunt van Criteo is, dat zij niet verantwoordelijk kan worden gehouden voor die onrechtmatige daad van haar partners, dat zij gepaste maatregelen heeft genomen om die te voorkomen dan wel te beëindigen en dat het voor haar niet mogelijk is om daar in alle gevallen een einde aan te maken. [geïntimeerde] zelf kan dat volgens Criteo echter wel. Hij kan zijn browserinstellingen zo configureren dat tracking cookies integraal worden geweigerd en hij kan gebruik maken van een opt-out cookie waarmee specifiek de cookies van Criteo worden geweigerd.

Moet [geïntimeerde] zelf actie ondernemen

4.10 Om met dat laatste te beginnen - ook als het juist is dat [geïntimeerde] nieuw te plaatsen tracking cookies op de aangegeven wijze kan tegenhouden hoeft hij dat niet te doen. De Uniewetgever heeft immers gekozen voor een opt-in en niet voor een opt-out systeem. Dat is logisch, nu het hier in de kern gaat om de vraag of marktpartijen om commerciële redenen inbreuk mogen maken op een grondrecht. Slechts in een geval waarin die weigering tot het nemen van maatregelen aan de zijde van de natuurlijke persoon volstrekt onredelijk zou zijn zouden daaraan consequenties verbonden kunnen worden. [geïntimeerde] heeft toegelicht dat hij die methodes niet wenst toe te passen, niet alleen om principiële maar ook om praktische redenen, bijvoorbeeld omdat hij die acties dan dagelijks moet herhalen. Dat volstaat in kort geding, en is zeker niet volstrekt onredelijk.

Contractuele uitbesteding

4.11 Het is niet verboden en evenmin onredelijk dat Criteo niet zelf aan [geïntimeerde] vraagt om toestemming, maar dat aan haar partners overlaat, nu zij degenen zijn die de websites exploiteren die door [geïntimeerde] worden bezocht. Het hof acht voldoende aannemelijk dat Criteo bij aanvang van de relatie met haar partners ( onboarding) een overeenkomst sluit waarin is opgenomen dat die partners de AVG-regels zullen naleven, het verkrijgen van toestemming daaronder begrepen. Voorts is aannemelijk dat Criteo optreedt als zij erop gewezen wordt dat haar partners zich aan die verplichting niet houden en bij herhaald uitblijven van een (adequate) reactie de contractuele relatie beëindigt. Kennelijk heeft zij dat ook aan CNIL naar tevredenheid aangetoond, nadat zij de boete van € 40 miljoen had betaald. [geïntimeerde] heeft deze stellingen ook niet of nauwelijks betwist. Daarmee is voldoende aannemelijk dat Criteo iets doet om haar verplichtingen na te komen; daarmee is echter niet gezegd dat die inspanningen voldoende zijn.

4.12 Vast staat, dat Criteo en haar partner die een door [geïntimeerde] bezochte of te bezoeken website exploiteert zijn aan te merken als gezamenlijk verwerkingsverantwoordelijken in de zin van art. 26 AVG. Uit art. 26 lid 3 AVG vloeit voort dat het [geïntimeerde] vrij staat om (alleen) Criteo aan te spreken om zijn rechten uit hoofde van de AVG uit te oefenen.

Hij behoeft in een dergelijke procedure, in dit geval deze procedure, geen genoegen te nemen met de procedurele maatregelen die Criteo, met haar partners, heeft getroffen en die -kennelijk- voor de publieke toezichthouder CNIL voldoende waren. Daaraan doen de door Criteo aangehaalde EDPB Guidelines on the concepts of controller and processor in the GDPR niet af. Het gaat hier om regels die vooral zijn bedoeld voor de controlemogelijkheden van de toezichthouder, zoals Criteo zelf ook aangeeft. De tekst van art. 26 lid 3 AVG geeft geen aanknopingspunt voor de beperkte lezing van de rechten van de betrokken natuurlijke persoon die Criteo verdedigt. Daar wordt immers een doeltreffende voorziening in rechte jegens elke verwerkingsverantwoordelijke opengesteld voor de betrokkene die van mening is dat zijn rechten uit hoofde van de AVG geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan de AVG voldoet, zoals een verwerking zonder voorafgaande uitdrukkelijke toestemming.

[geïntimeerde] heeft in dit geval aannemelijk gemaakt dat ondanks de door Criteo getroffen maatregelen het toch meermaals is gebeurd dat zijn persoonsgegevens zijn verwerkt zonder dat [geïntimeerde] daarvoor toestemming had gegeven. Kennelijk werkt het systeem dat Criteo heeft opgezet dus niet naar behoren. Weliswaar hebben twee van de partners van Criteo naar aanleiding van de aanmaning van Criteo de tracking cookies verwijderd, maar de anderen niet, althans niet allemaal. De ultieme sanctie waarover Criteo beschikt, het opzeggen van de contractuele relatie, heeft voor [geïntimeerde] kennelijk onvoldoende positieve effecten.

Tegen die achtergrond heeft de voorzieningenrechter terecht gemeend dat een gebod als onder 5.1 van het bestreden vonnis op zijn plaats is.

4.13 Hoewel Criteo gelijk heeft waar zij stelt dat de rechter geen geboden, versterkt met een dwangsom, dient op te leggen als de adressant daaraan onmogelijk kan voldoen is die onmogelijkheid in dit geval onvoldoende aannemelijk gemaakt. De mogelijkheid tot het plaatsen van een tracking cookie -in de vorm van een regel Javascript- wordt immers, naar Criteo zelf heeft gesteld en toegelicht, door Criteo beschikbaar gesteld aan haar partners op een aangegeven plaats op het internet. Criteo heeft betoogd dat, als de tracking cookie eenmaal door haar partner is gekoppeld aan [geïntimeerde] (op de websites van die partner), Criteo daaraan niets meer kan doen. Niet toegelicht is echter dat -of waarom- het onmogelijk is om de mogelijkheid tot het plaatsen van een tracking cookie slechts beschikbaar te stellen aan partners die feitelijk kunnen aantonen dat zij over de vereiste toestemming beschikken voordat zij tracking cookies plaatsen. Dat dit een afwijking zou inhouden van Criteo’s gebruikelijke werkwijze en mogelijk onhandig of bezwaarlijk is is zeker denkbaar, maar dat valt niet gelijk te stellen aan onmogelijk. Op dit moment zijn dan ook niet zodanig evidente executieproblemen te verwachten dat van het gebod om die reden moet worden afgezien. Dat is niet anders nu dit arrest mogelijk in Frankrijk tenuitvoergelegd moet worden, nu Frankrijk net als Nederland lid is van de Europese Unie, tenuitvoerlegging dus in beginsel zonder meer mogelijk is en Criteo geen nadere argumenten in dit verband heeft genoemd.

Wat betreft het element gestaakt houden heeft [geïntimeerde] aannemelijk gemaakt dat controle op de naleving van de toestemmingsregels door de partners snel en tamelijk eenvoudig mogelijk is; Criteo betwist dat, maar onderbouwt die betwisting niet behoorlijk. Ook hier geldt dat onmogelijkheid om na te komen niet aannemelijk is geworden.

4.14 Een belangenafweging valt in het voordeel van [geïntimeerde] uit. Het is niet vereist dat [geïntimeerde] een financieel nadeel door de onrechtmatige verwerking van zijn persoonsgegevens aannemelijk maakt; de aard van het geschonden belang brengt mee dat daaraan grote waarde toekomt. De commerciële belangen van Criteo, die in staat moet worden geacht haar bedrijfsvoering zo in te richten dat zij aan de AVG voldoet, wegen minder zwaar. Dat Duitse gerechten, in het kader van een op wezenlijke punten afwijkende procedure, tot een andere afweging komen doet daaraan niet af.

Het vonnis wordt op deze punten dus bekrachtigd jegens Criteo SA.

Criteo BV

4.15 Criteo heeft, met verwijzing naar haar bericht aan [geïntimeerde] van september 2023, gesteld dat binnen de groep waartoe zij behoort slechts Criteo SA als verwerkingsverantwoordelijke is aangewezen. [geïntimeerde] wijst erop dat Criteo BV de entiteit is die de overeenkomst met de partners sluit, maar dat is op zichzelf, in het systeem van de AVG, geen relevante omstandigheid. Het gaat om de entiteit die de gegevens verwerkt. Nu geen behoorlijke onderbouwing is gegeven van de status van Criteo BV als verwerkingsverantwoordelijke is de vordering jegens haar niet toewijsbaar, zodat grief 8 slaagt.

Het verzoek om inzage in gegevens

4.16 Het verzoek tot gegevensverstrekking ex artikel 15 en 17 AVG dateert van 8 augustus 2023, waarna Criteo op basis van art. 12 lid 3 AVG heeft aangegeven de reactietermijn met twee maanden te zullen verlengen. Dat wil zeggen dat ten tijde van het uitbrengen van de dagvaarding in eerste aanleg de termijn nog niet verlopen was. Op het door Criteo op 2 oktober 2023 gegeven antwoord op dat verzoek heeft [geïntimeerde] ter zitting van de voorzieningenrechter op 4 oktober 2023 gereageerd. Kennelijk hebben partijen dat antwoord als een definitief antwoord beschouwd, ongeveer een maand voor de uiterste datum. Dat antwoord, net als het verzoek, ziet dan op de oorspronkelijk genoemde vier websites. Tegen die achtergrond valt niet in te zien welk spoedeisend belang [geïntimeerde] in eerste aanleg bij zijn vordering op dat punt had. Bij gebreke van een spoedeisend belang op dat moment had de voorzieningenrechter aan een inhoudelijke behandeling niet kunnen toekomen. De verdere stellingen over en weer behoeven dus geen bespreking. Het hof is overigens, ten overvloede, voorshands van oordeel dat dit antwoord voldoende is, gelet op het arrest van het HvJEU van 12 januari 2023 (C154/21). Nu Criteo niet kan uitsluiten dat de gegevens met alle partijen uit haar partnerlijst kunnen worden gedeeld kon zij volstaan met die alle te noemen.

Dat betekent, dat het vonnis niet in stand kan blijven waar het gaat om de veroordelingen 5.2 tot en met 5.5.

Slotsom en kosten

4.17

De grieven falen waar het gaat om het gebod onder 5.1 van het bestreden vonnis –behoudens waar het gaat om de toewijzing daarvan jegens Criteo BV - en slagen waar het gaat om de andere geboden. Bij nadere bespreking van de grieven bestaat geen belang terwijl dit kort geding zich voor bewijslevering niet leent. Het vonnis waarvan beroep wordt inhoudelijk deels bekrachtigd, maar om misverstand te voorkomen zal het hof het vonnis vernietigen en het dictum opnieuw formuleren. Dat doet vanzelfsprekend niet af aan het eventueel verbeurd zijn van dwangsommen waar het gaat om het materieel bekrachtigde, maar opnieuw geformuleerde deel van het dictum van het bestreden vonnis.

Criteo SA zal als grotendeels in het ongelijk gestelde partij worden verwezen in de kosten van het geding in beide instanties. Nu niet aannemelijk is dat Criteo BV eigen proceskosten heeft gemaakt worden die begroot op nihil.

5 Beslissing

Het hof:

vernietigt het vonnis waarvan beroep

en opnieuw rechtdoende:

5.1 gebiedt Criteo SA het onrechtmatig handelen per ommegaande te (doen) staken en gestaakt te (doen) houden door niet langer, al dan niet via third-party websites, tracking cookies op de computer en/of apparaten van [geïntimeerde] te (doen) plaatsen alvorens [geïntimeerde] rechtsgeldige toestemming heeft gegeven voor het plaatsen van deze tracking cookies, op straffe van een dwangsom van € 250 per dag of dagdeel dat tracking cookies worden of blijven geplaatst na betekening van dit arrest, tot een maximum van € 25.000;

5.2 veroordeelt Criteo SA in de proceskosten, aan de zijde van [geïntimeerde] in eerste aanleg begroot op € 2.065,42, en in hoger beroep op € 343 aan verschotten en € 3.549 voor salaris en op € 163,- voor nasalaris, te vermeerderen met € 85,- voor nasalaris en de kosten van het betekeningsexploot ingeval betekening van dit arrest plaatsvindt, te vermeerderen met de wettelijke rente, indien niet binnen veertien dagen na dit arrest dan wel het verschuldigd worden van de nakosten aan de kostenveroordeling is voldaan;

5.3 veroordeelt [geïntimeerde] in de kosten van Criteo BV, begroot op nihil;

5.4 verklaart deze veroordelingen uitvoerbaar bij voorraad;

5.5 wijst af het meer of anders gevorderde.

Dit arrest is gewezen door mrs. P.F.G.T. Hofmeijer-Rutten, L. Alwin en D. Kingma en door de rolraadsheer in het openbaar uitgesproken op 5 december 2023.