EDPB adviezen: bindend of slechts indicatief?

Inleiding

Op 29 april 2025 heeft het Gerecht van de Europese Unie een uitspraak gedaan in de zaak T-319/24, waarin technologiegigant Meta Platforms Inc. een beroep had ingesteld tegen het Advies 08/2024 over geldige toestemming in het kader van door grote onlineplatforms toegepaste “consent or pay”-modellen van de European Data Protection Board (EDPB). Deze uitspraak verduidelijkt de juridische status van EDPB-adviezen.

Als advocatenkantoor in privacyrecht en gegevensbescherming analyseren we voor u de kern van deze uitspraak en de praktische implicaties voor ondernemingen of overheidsinstanties die persoonsgegevens verwerken.

Achtergrond van de zaak

De zaak draait om het “consent or pay”-businessmodel dat Meta heeft geïmplementeerd. Bij dit model worden gebruikers voor een tweeledigee keuze gesteld: ofwel instemmen met gedragsgerichte advertenties (en daarmee de verwerking van hun persoonsgegevens) en gratis toegang tot een dienst, ofwel betalen voor toegang tot de dienst zonder dergelijke advertenties.

De EDPB publiceerde Advies 8/2024 waarin werd gesteld dat een dergelijk model zelden voldoet aan de AVG-standaard van “vrijelijke verlening van toestemming”. Meta vocht deze opinie aan bij het Gerecht omdat het bedrijf meende dat het avies haar businessmodel rechtstreeks viseerde en aanzienlijke financiële schade zou veroorzaken.

De uitspraak van het Gerecht

In zijn beschikking van 29 april 2025 heeft het Gerecht van de EU Meta’s verzoek tot nietigverklaring van dit Advies verworpen. De kernredenering van het Gerecht:

1. EDPB-adviezen uitgevaardigd onder artikel 64(2) van de AVG hebben geen bindende rechtsgevolgen
2. Dergelijke adviezen bieden slechts richtsnoeren en evaluatiecriteria voor nationale toezichthoudende autoriteiten
3. Deze autoriteiten blijven vrij om hun eigen beslissingen te nemen
4. Zonder een concrete beslissing van een toezichthoudende autoriteit is er geen rechtstreekse juridische verandering voor Meta

Opvallend is de expliciete formulering van het Gerecht in paragraaf 28 dat het hier gaat om “adviezen waaraan geen bijzonder gezag wordt toegekend“. Een opmerkelijke kwalificatie door het Gerecht voor een instrument dat in de praktijk grote invloed heeft.

Het Gerecht oordeelde dat Meta’s beroep niet-ontvankelijk was op grond van artikel 263 VWEU, dat uitsluitend toelaat handelingen met rechtsgevolgen aan te vechten.

De vordering tot schadevergoeding

Naast nietigverklaring van het Advies vorderde Meta ook schadevergoeding op grond van artikel 268 VWEU. Meta beweerde dat het Advies zou leiden tot een daling van advertentie-inkomsten en gebruikersabonnementen. Ook deze vordering werd afgewezen omdat:

1. De beweerde schade als hypothetisch werd beschouwd
2. Het oorzakelijk verband niet bewezen was
3. Geen enkele toezichthoudende autoriteit Meta had opgedragen haar model te wijzigen

Juridische analyse en implicaties

De paradox van “Soft Law” in de EU

Deze uitspraak onderstreept een fundamentele spanning in het EU-recht waarbij toezichthouders met eigen instructies proberen om wetgeving in een bepaalde richting te sturen. Hoewel de EDPB zich kan verschuilen achter de formele “niet-bindende” aard van haar autoriteit, oefent zij in de praktijk grote macht uit. Haar formeel niet-bindende richtsnoeren (“soft law”) oefenen in de praktijk vaak een belangrijke invloed uit

De EDPB-adviezen krijgen hun de facto gezag uit twee bronnen:

1. Hun formele verankering in de AVG
2. De realiteit dat ondernemingen en overheidsinstanties ze vaak volgen uit voorzorg vanuit de reflex dat het is veiliger om de EDPB-lijn te volgen dan er tegen in te gaan

Dit creëert een systemisch probleem: instrumenten die officieel geen bindende rechtsgevolgen hebben, maar in werkelijkheid marktbeslissingen en toezichtspraktijken sturen, onttrekken zich aan directe rechterlijke controle.

Van EDPB naar GBA en VTC: dezelfde problematiek?

Deze redenering kan evenzeer worden doorgetrokken naar de aanbevelingen van de Belgische Gegevensbeschermingsautoriteit (GBA). De GBA publiceert regelmatig aanbevelingen en adviezen die formeel niet-bindend zijn, maar in de praktijk evenzeer als normatief worden beschouwd door Belgische ondernemingen en overheidsinstanties. Hetzelfde kan gezegd worden over richtlijnen en adviezen van de Vlaamse Toezichtcommissie (VTC).

Deze aanbevelingen en adviezen van de GBA en VTC, net als de EDPB-adviezen, bestaan in een juridisch schemergebied: ze zijn geen wetgeving of formele besluiten, maar hebben wel een sturende werking in de markt. Ondernemingen en overheidsinstanties volgen ze op uit voorzichtigheid, om sancties of negatieve publiciteit te vermijden.

Volgens dezelfde logica als die van het Gerecht in de Meta-zaak, kunnen ook de aanbevelingen en adviezen van de GBA of VTC niet rechtstreeks aanvechtbaar zijn bij de Belgische administratieve rechters. Een onderneming of overheidsinstantie zou dan eerst moeten wachten op een concrete handhavingsactie die gebaseerd is op een dergelijke aanbeveling of advies, voordat juridische toetsing mogelijk wordt. Dit creëert eenzelfde juridische onzekerheid op nationaal niveau.

Bredere implicaties voor EU-Regulering

De uitspraak heeft potentiële gevolgen die verder gaan dan alleen het gegevensbeschermingsrecht. Deze redenering van het Gerecht kan ook van toepassing zijn op richtsnoeren onder andere EU-verordeningen, zoals de recent aangenomen AI Act. De vraag rijst of en hoe ‘soft law’ instrumenten, die steeds belangrijker worden in de complexe technologische regelgeving, onderworpen kunnen worden aan juridische toetsing.

Toekomstige rechtsontwikkelingen

Er zijn sterke aanwijzingen dat deze zaak nog niet is afgerond:

1. Een hoger beroep bij het Hof van Justitie van de EU lijkt waarschijnlijk
2. Een recente conclusie van de Advocaat-Generaal in een zaak tussen Whatsapp en de EDPB, suggereert dat bindende beslissingen van de EDPB die door een nationale toezichthoudende autoriteit moeten gevolgd worden, wel aanvechtbaar zijn
3. Er moet worden nagedacht over een manier om om adviezen van de EDPB en nationale toezichthoudende autoriteiten in de toekomst rechtstreeks aanvechtbaar te maken – een noodzakelijke en mogelijke stap naar meer controle en evenwicht

Praktische gevolgen voor “Consent or Pay”-modellen

Voor ondernemingen die “consent or pay”-modellen hanteren of overwegen, creëert deze uitspraak een onzekere juridische situatie:

1. Het EDPB-advies, hoewel juridisch “zonder bijzonder gezag”, zal waarschijnlijk de besluitvorming van nationale toezichthouders inclusief de GBA beïnvloeden
2. Toezichthouders zullen deze richtsnoeren in de praktijk gewoon toepassen, ondanks hun formeel niet-bindende status
3. Een definitief juridisch oordeel over de verenigbaarheid met de AVG zal pas komen na concrete handhavingsacties

Advies voor ondernemingen en overheidsinstanties

Gezien deze complexe juridische situatie adviseren wij:

1. EDPB-adviezen alsook die van de GBA of de VTC niet te onderschatten ondanks hun formeel niet-bindende karakter
2. De spanningen te begrijpen tussen formele niet-bindendheid en praktische invloed
3. Proactief juridisch advies in te winnen bij datamodellen die mogelijk op gespannen voet staan met deze richtsnoeren
4. Compliance-strategieën te ontwikkelen die rekening houden met de waarschijnlijke interpretatie van de AVG door toezichthouders
5. De ontwikkelingen rond eventuele hogere beroepen en handhavingsacties nauwlettend te volgen

Conclusie: een grotere vraag voor de digitale economie

Deze zaak raakt in elk geval aan een fundamentele vraag voor de gehele digitale economie: hoe kan regulering transparanter en toetsbaar worden vormgegeven? De huidige situatie, waarin niet-bindende richtsnoeren grote invloed hebben maar zich onttrekken aan rechterlijke controle, is onbevredigend voor alle betrokkenen.

Deze ontwikkeling betreft niet alleen Meta, maar de gehele digitale economie. We moeten ons de vraag stellen hoe regulering transparanter en toetsbaar kan worden vormgegeven. Dit geldt zowel op Europees niveau via de EDPB als op nationaal niveau via autoriteiten zoals de GBA en de VTC.

De uitspraak van het Gerecht is mogelijk niet het einde van dit verhaal, maar eerder een hoofdstuk in een langere juridische ontwikkeling rond de vraag hoe EU-regulering en nationale implementatie van de digitale economie vorm moet krijgen.