Μια απόφαση με ιδιαίτερη σημασία για το μέλλον των συλλογικών αξιώσεων αποζημίωσης λόγω παραβιάσεων προσωπικών δεδομένων εξέδωσε το Ανώτατο Δικαστήριο της Ολλανδίας (Hoge Raad der Nederlanden), στην πολύκροτη υπόθεση The Privacy Collective κατά Oracle και Salesforce.
Με την απόφαση ECLI:NL:HR:2026:1198, το Ανώτατο Δικαστήριο εξέτασε τις προϋποθέσεις υπό τις οποίες ένας φορέας συλλογικής εκπροσώπησης μπορεί να κινηθεί δικαστικά για λογαριασμό ενός εξαιρετικά μεγάλου αριθμού χρηστών του διαδικτύου που υποστηρίζεται ότι υπέστησαν παραβίαση των δικαιωμάτων τους στην ιδιωτικότητα και στην προστασία προσωπικών δεδομένων.
Η διαφορά έχει εντυπωσιακές διαστάσεις. Η The Privacy Collective – TPC ισχυρίζεται ότι Oracle και Salesforce επεξεργάζονταν δεδομένα περίπου 10 εκατομμυρίων Ολλανδών χρηστών του διαδικτύου, μέσω τεχνολογιών που συνδέονται με cookies, δημιουργία προφίλ χρηστών και στοχευμένη διαδικτυακή διαφήμιση.
Η TPC επιδιώκει μεταξύ άλλων την αναγνώριση παραβιάσεων του GDPR και άλλων θεμελιωδών δικαιωμάτων και διεκδικεί αποζημίωση που αντιστοιχεί, σύμφωνα με τα δικόγραφά της, σε €500 ανά χρήστη, με αξιώσεις δισεκατομμυρίων ευρώ κατά των δύο εταιρειών.
Oracle και Salesforce αμφισβητούν τόσο τους πραγματικούς όσο και τους νομικούς ισχυρισμούς της TPC. Μεταξύ άλλων, έχουν αμφισβητήσει τον τρόπο με τον οποίο περιγράφεται ο ρόλος τους στην επεξεργασία δεδομένων και στη διαδικασία της στοχευμένης διαφήμισης.
Το Ανώτατο Δικαστήριο, ωστόσο, δεν κλήθηκε σε αυτή τη φάση να αποφασίσει αν Oracle και Salesforce παραβίασαν πράγματι τον GDPR.
Το κρίσιμο ζήτημα είναι προηγούμενο και δικονομικό: εάν η The Privacy Collective πληροί τις προϋποθέσεις ώστε να εκπροσωπήσει συλλογικά την κατηγορία των προσώπων για τα οποία ισχυρίζεται ότι ενεργεί.
Η απαίτηση της «αντιπροσωπευτικότητας»
Στον πυρήνα της υπόθεσης βρίσκεται η ολλανδική νομοθεσία WAMCA – Wet afwikkeling massaschade in collectieve actie, η οποία επιτρέπει, υπό συγκεκριμένους όρους, τη διεκδίκηση συλλογικής αποζημίωσης.
Ένα από τα βασικά ζητήματα είναι η λεγόμενη αντιπροσωπευτικότητα του φορέα που ασκεί την αγωγή: πρέπει δηλαδή να υπάρχει επαρκής σύνδεση και πραγματική εκπροσώπηση της ομάδας για λογαριασμό της οποίας ζητείται δικαστική προστασία.
Σε πρώτο βαθμό, το Δικαστήριο του Άμστερνταμ είχε απορρίψει ως απαράδεκτη τη συλλογική αγωγή, κρίνοντας ότι η TPC δεν είχε αποδείξει επαρκώς ότι εκπροσωπεί σημαντικό μέρος των προσώπων των οποίων τα συμφέροντα επικαλείται.
Ακολούθησε διαφορετική προσέγγιση από το Εφετείο του Άμστερνταμ και στη συνέχεια προσφυγή της Oracle και της Salesforce στο Hoge Raad.
GDPR και συλλογική δικαστική προστασία
Η υπόθεση παρουσιάζει ιδιαίτερο ευρωπαϊκό ενδιαφέρον επειδή βρίσκεται στο σημείο συνάντησης μεταξύ του ολλανδικού συστήματος συλλογικών αγωγών και του άρθρου 80 GDPR, που προβλέπει τη δυνατότητα εκπροσώπησης υποκειμένων δεδομένων από οργανώσεις υπό συγκεκριμένες προϋποθέσεις.
Το ζήτημα είναι κρίσιμο. Μία μεμονωμένη παραβίαση προσωπικών δεδομένων μπορεί να έχει σχετικά μικρή οικονομική αξία για κάθε χρήστη. Όταν όμως η ίδια πρακτική επηρεάζει εκατομμύρια ανθρώπους, η συλλογική αγωγή μπορεί να μετατρέψει μια διάχυτη προσβολή της ιδιωτικότητας σε αξίωση δισεκατομμυρίων ευρώ.
Γι’ αυτό η υπόθεση Oracle/Salesforce μπορεί να αποκτήσει σημασία και πέρα από την Ολλανδία: αφορά ουσιαστικά το κατά πόσο και με ποιες εγγυήσεις μπορούν οι παραβιάσεις του GDPR να αποτελέσουν αντικείμενο μαζικών αποζημιωτικών αξιώσεων στην Ευρώπη.
Σημαντικό είναι επίσης ότι το Hoge Raad δεν αποφαίνεται επί της ουσίας των καταγγελλόμενων πρακτικών. Δεν διαπιστώνει δηλαδή ότι Oracle ή Salesforce παραβίασαν τον GDPR. Η δικαστική διαμάχη για την ουσία των αξιώσεων εξακολουθεί να βρίσκεται μπροστά.
Οι πρωτογενείς πηγές
Hoge Raad der Nederlanden, ECLI:NL:HR:2026:1198 – The Privacy Collective / Oracle & Salesforce.
Πλήρες κείμενο της απόφασης στο επίσημο Rechtspraak
Ιδιαίτερα χρήσιμη για τους νομικούς αναγνώστες είναι και η αναλυτική εισήγηση της Advocate General R.H. de Bock, ECLI:NL:PHR:2026:129, η οποία εξετάζει διεξοδικά τη WAMCA, τις προϋποθέσεις αντιπροσωπευτικότητας και τη σχέση τους με τον GDPR.
