Veelgestelde vragen

Deze zaak heeft betrekking op één van de grootste onrechtmatige gegevensverwerkingen in de geschiedenis van het internet. Het gaat om de verwerking van persoonsgegevens van praktisch alle Nederlandse internetgebruikers. De schending vond dagelijks op grote schaal plaats.

Oracle en Salesforce verzamelden en verwerkten de gegevens van Nederlandse internetgebruikers zonder rechtmatige grondslag. Hiermee schonden zij stelselmatig de Algemene Verordening Gegevensbescherming (AVG) en andere wetten. Dat deden zij door gedetailleerde profielen van internetgebruikers op te stellen en te onderhouden, onder meer door gegevens te verzamelen via cookies die zonder geldige toestemming werden geplaatst, en deze profielen commercieel te exploiteren voor het targeten van advertenties.

Door het handelen van Oracle en Salesforce hebben de circa tien miljoen Nederlandse internetgebruikers die The Privacy Collective (“TPC’’)  vertegenwoordigt schade geleden, onder meer door verlies van controle over hun persoonsgegevens.

TPCheeft een verklaring voor recht gevorderd dat de handelwijze van Oracle en Salesforce in strijd is met onder meer de AVG, fundamentele rechtenen de Telecommunicatiewet en dat Oracle en Salesforce hoofdelijk aansprakelijk zijn voor de daaruit voortvloeiende schade. Daarnaast heeft zij gevorderd dat Oracle en Salesforce worden veroordeeld tot de vergoeding van de schade, ter hoogte van €500 per persoon per gedaagde partij. Ook heeft TPC gevorderd dat Oracle en Salesforce worden veroordeeld in de vergoeding van de volledige proceskosten en buitengerechtelijke kosten. Tot slot heeft TPC gevorderd dat Oracle en Salesforce bepaalde informatie moet verstrekken.

Volgens Oracle en Salesforce zouden zij deonrechtmatige handelwijze inmiddels hebben beëindigd. TPC hoort daar in het verloop van de procedure graag meer over.

Een belangrijk argument om juist deze twee partijen in rechte aan te spreken is de omvang en impact van hun onrechtmatige handelingen in Nederland.

Onderzoek laat zien dat uit een geselecteerde lijst van 100 websites die door Nederlandse internetgebruikers veel bezocht werden, 25 websites cookies van Oracle plaatsten en 31 websites cookies van Salesforce plaatsten. Via de cookies op deze websites verzamelden de concerns gegevens over vrijwel iedere Nederlander die regelmatig het internet bezocht.

Tegelijkertijd opereerden ze veelal achter de schermen. Iedereen kent Google en Facebook, maar deze bedrijven zijn minder bekend, terwijl zij dagelijks op ongekende wijze handelden in onze persoonsgegevens. Er zijn al veel klachten ingediend bij toezichthouders over de ad-tech industrie, maar er gebeurt te weinig met die klachten.

TPC is een non-profit organisatie die strijdt voor eerlijke en adequate vergoedingen voor mensen van wie de privacy online geschonden is. Samen met privacy-experts, een betrokken achterban en partnerorganisaties, binnen en buiten Nederland. TPC heeft zelf geen financieel belang bij de vorderingen die zij instelt in de juridische procedures.

De stichting wordt gefinancierd door Innsworth Capital Limited, een procesfinancier gevestigd in Jersey.

De procesfinancier krijgt daarvoor een redelijke vergoeding als de door de stichting gevoerde procedure succesvol is. De commissie van de procesfinancier is afhankelijk van de mate van succes en loopt af van 25% naar 15% naar 10% van de toegekende schadevergoeding. Het percentage neemt dus af naarmate de omvang van de schadevergoeding groter wordt. De uiteindelijke vergoeding is redelijk en adequaat gelet op de risico’s die door de procesfinancier worden gedragen. De commissie die aan de procesfinancier moet worden betaald, zal het bedrag dat beschikbaar is voor de Gedupeerden verminderen, tenzij de kosten van de Stichting (inclusief de commissie die de procesfinancier heeft bedongen voor de financiering) zijn aanvullend door Oracle en Salesforce zullen moeten worden betaald.

In het Verantwoordingsdocument mei 2026 dat op deze site te vinden is op de pagina Governance wordt de relatie tussen de stichting en de procesfinancier nader toegelicht.

Daarnaast heeft TPC, mede ten behoeve van het voeren van de juridische procedure tegen Salesforce en Oracle, in maart 2023 een significante donatie ontvangen van Luminate Strategic Initiatives. Een mogelijke vergoeding aan Luminate Strategic Initiatives waarvoor TPC zich zal inspannen, komt alleen aan de orde in geval van succesvolle afronding van de procedure en gaat niet ten koste van de schadevergoeding aan de gedupeerden.

Het gaat hier om 10 miljoen gedupeerden. In een class action kan een grote groep mensen zich verenigen op grond van dezelfde vordering en zich laten vertegenwoordigen door een specifieke partij, zoals in dit geval een stichting. TPC is de eerste partij in Nederland die een collectieve actie is gestart op basis van een inbreuk op de AVG.

TPC verzoekt Nederlandse internetgebruikers hun steun te betuigen voor de stichting en de procedure die zij voert via haar website. Dat helpt bij het aantonen van het belang van de door de stichting gevoerde procedure en om rechtstreeks te communiceren, in aanvulling op de website.

Er wordt geen financiële bijdrage gevraagd van de Nederlandse internetgebruikers. Indien een schadevergoeding wordt toegekend, zal er wel een commissie aan de procesfinancier moeten worden betaald, die in mindering op de aan de internetgebruikers te betalen schadevergoeding wordt gebracht, tenzij de rechtbank beslist dat Oracle en Salesforce daarvoor een aanvullend bedrag moeten betalen.

De wijze waarop een eventuele schadevergoeding zal worden uitgekeerd, zal op een later moment door de rechtbank worden vastgesteld.

De schade wordt begroot op € 500 per persoon per gedaagde. Voor een individu is die schade veelal te klein om te vorderen. In een collectieve actie is het wel mogelijk om voor iedereen een  schadebedrag te vorderen.

Wij hebben praktische handleidingen gemaakt waarmee individuele internetgebruikers kunnen onderzoeken of er Oracle en / of Salesforce cookies aanwezig zijn op hun apparaten. Deze handleiding (Supporter’sHandbook) is te raadplegen onder de kop ‘Documenten‘ op de site.

Wij zijn zeer actief op het gebied van bescherming van persoonsgegevens, in de media, op social media, door deel te nemen aan congressen, en sommige van onze bestuurders staan bijna dagelijks in de collegezaal om thema’s zoals deze te doceren en te bespreken.

Daarnaast onderhouden wij als stichting regelmatig en intensief contact met privacy organisaties in binnen- en buitenland, waarbij duizenden mensen zijn aangesloten die geven om hun privacy.

Verder doen wij opiniepeilingen onder Nederlandse internetgebruikers, over thema’s die in deze zaak centraal staan. Alle inzichten die we zo opdoen, nemen wij mee bij onze besluitvorming. Op belangrijke momenten zullen we bovendien panels van Nederlandse internetgebruikers raadplegen.

Heb je specifieke punten die je onder onze aandacht wilt brengen? Mail ons dan op [email protected].

Het doel van TPC luidt zoals dat in de statuten is verwoord. De statuten zijn vindbaar op de pagina Documenten op deze site. Kort gezegd komt het doel erop neer dat de Stichting zich inzet voor de behartiging en de bescherming van de privacy belangen van met name Nederlandse internetgebruikers.

TPC streeft haar doel onder meer na door campagne te voeren, (technisch) onderzoek te (laten) doen naar de privacyaspecten bij de grootschalige verzameling en verwerking van persoonsgegevens van internetgebruikers en naar de partijen die daarin een rol spelen, zoals Oracle en Salesforce, en onderzoek te doen naar samenwerkingsverbanden met andere organisaties.

De gegevensverzameling door Oracle en Salesforce begon met het plaatsen van een cookie op de randapparatuur van internetgebruikers. Het ging dan om cookies uitgerust met een unieke identificator waarmee internetgebruikers van elkaar werden onderscheiden.

De via de cookies verzamelde informatie wordt verrijkt met informatie uit andere bronnen, zodat een zo volledig mogelijk overzicht ontstaat van de karaktereigenschappen en interesses van een persoon. De unieke identificatoren worden uitgewisseld met andere commerciële partijen en aan elkaar gekoppeld. Dit proces wordt cookie syncing genoemd. Oracle en Salesforce maakten op zeer grote schaal gebruik van dit proces.

Op het plaatsen van cookies zijn belangrijke regels van toepassing. Eén daarvan is dat de consument toestemming moet geven. Die toestemming kan hij alleen rechtsgeldig geven als hij goed geïnformeerd wordt. Dat gebeurde hier niet. Bijna niemand wist dat er een schaduwprofiel van hem bestond dat hij dagelijks onderwerp was van een veilingproces.

Niemand was zich ervan bewust dat zijn gegevens in dat veilingproces met duizenden partijen werden gedeeld.

Een meerderheid van de internetgebruikers wil niet dat zijn of haar persoonlijke informatie door de ad-tech industrie wordt gebruikt. Het is echter vrijwel onmogelijk daar iets tegen te doen.

Als een internetgebruiker het gebruik van zijn gegevens door deze partijen wil beperken dan zal hij de instellingen van alle browsers op elk apparaat dat hij gebruikt, moeten wijzigen. De gebruiker moet dan bijvoorbeeld instellen dat third party cookies geweigerd worden.
Wanneer de gebruiker instelt dat ook first party cookies geweigerd worden, zullen veel websites niet meer goed of helemaal niet meer functioneren. De gebruiker kan in de browser ook instellen dat naar elke partij die gegevens opvraagt een zogenaamd do not track verzoek wordt verzonden. De gebruiker geeft daarmee dat hij niet getrackt wil worden.
Deze functie wordt echter door browsers niet technisch afgedwongen.

Browserinstellingen voorkomen niet andere tracking technologieën. De gebruiker zal op elke bezochte website en in elke gebruikte app in de informatie over cookies op zoek moeten gaan naar de optie om cookies en vergelijkbare technieken te weigeren. Dat kan zelden door het aanklikken van ‘weigeren’. Gezien het aantal websites en apps dat een gemiddelde Nederlander dagelijks gebruikt, is dat onbegonnen werk. Bovendien vraagt lang niet elke website/app op de juiste manier om toestemming. Het zorgt ervoor dat er regelmatig cookies geplaatst worden zonder dat de internetgebruiker dat door heeft.

Een DMP is een dienst gericht op het verzamelen en combineren van persoonsgegevens van internetgebruikers om bezoekers van websites specifieke, op het individu gerichte advertenties aan te kunnen bieden. Door de grote hoeveelheid gegevens die over internetgebruikers worden verzameld en de (geautomatiseerde) analyses die daaraan worden toegevoegd, creëren DMP’s een indringend en zeer persoonlijk beeld van het online leven van individuele personen.

Online advertenties zoals advertenties op websites worden meestal geëxploiteerd via RTB. Daarbij wordt advertentieruimte op bijvoorbeeld een website real time ‐ op het moment dat een persoon een website bezoekt ‐ geveild. Dit gebeurt volledig geautomatiseerd en DMP’s zijn hierbij onmisbaar. Een DMP stelt adverteerders in staat om op basis van specifieke informatie te bieden op advertentieruimte.

Het gebruik van persoonlijke informatie is niet de enige mogelijkheid om marketingcampagnes te optimaliseren. Zo kunnen advertenties ook worden getoond op basis van de inhoud van de content waar de advertentie bij wordt geplaatst, het zogenaamde contextueel adverteren genoemd. De New York Times is naar aanleiding van de AVG overgestapt op deze vorm van adverteren en haar inkomsten uit advertenties stijgen nog steeds.