Kort geding tegen Salesforce: bewaringsgebod toegewezen, klantgegevens moeten worden verstrekt

Vzr. Rb. Amsterdam 2 mei 2025, IT 4856; ECLI:NL:RBAMS:2025:2936 (Eiseres tegen Salesforce). Eiseres voert een collectieve actie op grond van de Wet afwikkeling massaschade in collectieve actie (WAMCA) tegen onder meer Salesforce wegens vermeend onrechtmatige verwerking van persoonsgegevens via haar softwareproduct Audience Studio. Volgens eiseres heeft Salesforce in strijd met de Algemene Verordening Gegevensbescherming en Telecommunicatiewet third-party cookies (“_kuid_”) geplaatst op randapparatuur van internetgebruikers en zo persoonsgegevens verwerkt. De rechtbank verklaarde eiseres eerst niet-ontvankelijk, maar het hof vernietigde dit oordeel bij het tussenarrest van 24 september 2024. Salesforce stelde daarop cassatie in, eiseres volgde met een incidenteel cassatieberoep. De bodemprocedure is aangehouden in afwachting van de uitkomst bij de Hoge Raad, met schriftelijke toelichtingen gepland op 27 juni 2025. Eiseres vreest dat bewijs verloren gaat nu Audience Studio per februari 2024 is beëindigd. In dit kort geding vordert zij daarom dat Salesforce relevante gegevens, zoals cookie ID’s en daaraan gekoppelde informatie, bewaart en opgave doet van mogelijk gemigreerde data naar andere diensten. Subsidiair vordert zij de benoeming van een deskundige om de Salesforce’s handelwijze te onderzoeken en een opgave van (voormalige) Nederlandse klanten die gebruikmaakten van Audience Studio.

Salesforce stelt dat zij geen persoonsgegevens heeft verwerkt of in bezit heeft gehad, en geen gegevens heeft verwerkt voor eigen commerciële doeleinden. Via Audience Studio konden klanten zelf bepalen welke gegevens werden verwerkt en voor welk doeleinde, zonder dat Salesforce toegang of inzicht had. Zij stelt daarom geen verwerkingsverantwoordelijke te zijn. De voorzieningenrechter constateert dat de feitelijke gegevensverwerking in dit kort geding niet kan worden vastgesteld. Het beschikken over persoonsgegevens hangt bovendien niet af van de juridische kwalificatie als verwerkingsverantwoordelijke. Ook indien alleen klanten de gegevens hebben verwerkt, sluit dit niet uit dat Salesforce feitelijk toegang had tot cookie ID’s en bijbehorende data. Uit Salesforce’ eigen verklaringen volgt dat zij in ieder geval tijdelijk over klantgegevens heeft beschikt. Zo stelt zij dat “alle resterende data van haar klanten” binnen 120 dagen na beëindiging van Audience Studio zijn verwijderd, zonder te specificeren om welke gegevens het ging. De voorzieningenrechter acht het problematisch dat Salesforce tijdens de regiezitting van 5 augustus 2024, waar het veiligstellen van bewijs aan de orde was, niet heeft gemeld dat deze data reeds waren verwijderd. Terwijl zij verklaarde slechts een ‘pakhuis’ te zijn, zonder kennis van de inhoud, was het pakhuis feitelijk al leeg. De voorzieningenrechter rekent het Salesforce aan dat zij niet transparant is geweest over de beëindiging van Audience Studio en de dataverwijdering. Wegens de informatie-asymmetrie tussen partijen had Salesforce transparanter moeten zijn over de beëindiging van Audience Studio, de te verwijderen gegevens en haar omgang met mogelijk bewijsmateriaal. Gelet op het risico dat nog beschikbare gegevens alsnog worden verwijderd en de belangen van eiseres bij bewijsbehoud, wijst de voorzieningenrechter het gebod tot bewaring van gegevens toe, op straffe van een dwangsom. De voorzieningenrechter verwerpt het beroep van Salesforce op niet-ontvankelijkheid van eiseres, omdat ook onder het nieuwe bewijsrecht, net als onder het oude, een inzagevordering in kort geding mogelijk blijft tijdens een lopende bodemprocedure.

De vorderingen tot inzage in migratie naar andere Salesforce-producten en in de doeleinden van de cookies die Salesforce plaatst, worden afgewezen wegens onvoldoende belang. Wel wijst de voorzieningenrechter de vordering tot de verstrekking van klantgegevens toe. Nu Salesforce stelt zelf geen verwerkingsverantwoordelijke te zijn, maar haar klanten, heeft eiseres belang bij het achterhalen van de daadwerkelijke verwerkers. Dat Salesforce geen inzicht in de gegevensverwerking heeft gehad en tegelijkertijd weigert te onthullen wie haar klanten zijn, acht de rechter in strijd met de maatschappelijke zorgvuldigheid. Het verweer dat deze informatie vertrouwelijk of bedrijfsgevoelig zou zijn, is onvoldoende onderbouwd. Een verzoek tot benoeming van een deskundige wordt afgewezen, omdat dit afbreuk zou doen aan de regiefunctie van de bodemrechter in de WAMCA-procedure. Het risico van verwijdering van relevante gegevens is voldoende ondervangen met het toegewezen bewaringgebod.

4.9. Gelet op de grote informatie-asymetrie tussen partijen, en gelet op de mogelijke vergaande gevolgen van het verwijderen van gegevens, terwijl een bodemprocedure aanhangig is die draait om al dan niet bij Salesforce opgeslagen persoonsgegevens, had het op de weg van Salesforce gelegen om klip en klaar te communiceren over de beëindiging van haar dienst Audience Studio, over de te verwijderen gegevens, en over de vraag hoe zij omgaat met het bewaren van bewijs gedurende de bodemprocedure. Nu Salesforce deze transparantie en duidelijkheid niet heeft betracht in de aanloop naar beëindiging van Audience Studio, noch tijdens de regiezitting, noch in de gevoerde correspondentie daarna en ook niet tijdens dit kort geding, bestaat er een aanzienlijk risico dat, voor zover Salesforce nog beschikt over (een backup van) Cookie ID’s en/of aanverwante informatie, meer gegevens zullen worden verwijderd. Daarin wordt aanleiding gezien om het gevorderde gebod tot het bewaren van de verwerkte gegevens met betrekking tot de achterban van [eiseres] voor de duur van de WAMCA-procedure toe te wijzen. Als prikkel tot nakoming zal aan dit gebod een dwangsom worden verbonden, zoals hierna zal worden vermeld. Salesforce zal geen gegevens mogen verwijderen die onder het gebod vallen. Het gebod geldt niet voor gegevens waarover zij niet beschikt: die kan zij immers niet bewaren.