Rechtbank verwerpt vrijwel alle ontvankelijkheidsverweren in collectieve DSA-procedure tegen X Corp c.s.

Rb. Amsterdam 27 mei 2026, IT&Recht 5343; ECLI:NL:RBAMS:2026:6440 (SOMI tegen X Corp c.s). In deze zaak tussen belangenorganisatie SOMI (Stichting Onderzoek Marktinformatie) en X Corp c.s. (X Corp, XIUC en Twitter Netherlands) draait het om de ontvankelijkheid van een collectieve actie over onder meer gestelde AVG-schendingen, datalekken, ongeoorloofde microtargeting en schending van verplichtingen uit de Digital Services Act (DSA). SOMI vertegenwoordigt ruim 51.000 deelnemers en zegt op te komen voor ongeveer acht miljoen Nederlandse gebruikers van het X-platform. De rechtbank verklaart zich internationaal en relatief bevoegd, ook ten aanzien van de buitenlandse vennootschappen binnen het X-concern. Volgens X Corp c.s. voldoet SOMI niet aan de ontvankelijkheidseisen van de WAMCA. Ook stellen zij dat verschillende onderdelen van de vorderingen op voorhand geen kans van slagen hebben. De rechtbank volgt die verweren vrijwel niet en wijst ook de verzoeken om de procedure aan te houden af. Alleen over het waarborgvereiste wil de rechtbank meer informatie, in het bijzonder over de financiering van de procedure en de vraag of de zeggenschap daarover daadwerkelijk bij SOMI ligt. De rechtbank kent daarbij veel gewicht toe aan het feit dat SOMI eerder is aangewezen als representatieve organisatie voor grensoverschrijdende collectieve vorderingen. Daarom gaat zij ervan uit dat SOMI aan de eisen voldoet waarop die aanwijzing is gebaseerd, tenzij nieuwe feiten of omstandigheden aanleiding geven daar anders over te oordelen. Volgens de rechtbank hebben X Corp c.s. daarvoor op de meeste punten onvoldoende aangevoerd. Dat geldt ook voor de bezwaren tegen de governance van SOMI. De rechtbank twijfelt niet aan het ontbreken van een winstoogmerk bij de bestuurders, de inspraakmogelijkheden voor deelnemers, de transparantie van de website, de onafhankelijkheid van de financiering of de deskundigheid van het bestuur en de raad van toezicht. Ook het feit dat SOMI gebruikmaakt van diensten van ondernemingen die zijn gelieerd aan haar bestuurder betekent volgens de rechtbank niet dat de belangen van de achterban onvoldoende zijn gewaarborgd. De resterende twijfel gaat vooral over de complexe financieringsstructuur met schenkingen en certificaten en de vraag of SOMI daarin de zeggenschap over de procedure behoudt. Daarom moet SOMI alsnog onderbouwen dat zij over voldoende financiële middelen beschikt en dat de zeggenschap over de procedure daadwerkelijk bij haar ligt. Pas daarna beslist de rechtbank of ook aan het waarborgvereiste van artikel 3:305a BW is voldaan.

De rechtbank oordeelt vervolgens dat een collectieve procedure in dit geval efficiënter en effectiever is dan afzonderlijke procedures. De vorderingen hebben betrekking op een grote groep gebruikers van het X-platform en draaien grotendeels om dezelfde feitelijke en juridische vragen. Onder voorbehoud van de aanvullende toelichting over de financiering en de zeggenschap wijst de rechtbank SOMI aan als exclusieve belangenbehartiger in de zin van de WAMCA. Ook het verweer dat de vorderingen op voorhand geen kans van slagen hebben, slaagt niet. Volgens X Corp c.s. kan alleen XIUC als aanbieder van het platform onder de DSA worden aangesproken. De rechtbank volgt dat standpunt niet. Dat de Europese Commissie in een handhavingsbesluit andere groepsvennootschappen als aanbieder heeft aangemerkt, sluit niet uit dat ook X Corp als aanbieder kan worden beschouwd. De DSA is bovendien nog relatief nieuw en er bestaat nog weinig duidelijkheid over de vraag welke entiteiten binnen een concern als aanbieder kunnen worden aangemerkt. Ook het standpunt dat de artikelen 34 en 35 DSA geen individuele rechten scheppen, leidt niet tot afwijzing van de vorderingen. Omdat hierover nog geen rechtspraak bestaat, kan de rechtbank in deze fase niet aannemen dat de daarop gebaseerde vorderingen geen kans van slagen hebben. Verder verwerpt de rechtbank het beroep van X Corp c.s. op de hostingvrijstelling van artikel 6 DSA. Die bepaling beschermt aanbieders van hostingdiensten tegen aansprakelijkheid voor door gebruikers opgeslagen informatie als aan de wettelijke voorwaarden is voldaan. SOMI verwijt X Corp c.s. echter niet de inhoud van berichten van gebruikers, maar dat zij hun eigen verplichtingen uit de DSA niet nakomen, waaronder de verplichting systeemrisico's te beoordelen en te beperken. Daarom staat artikel 6 DSA niet aan de vorderingen in de weg. Ook het verweer over de zogenoemde 200M-dataset slaagt niet. Volgens X Corp c.s. bestaat deze dataset uitsluitend uit openbaar beschikbare gegevens die via scraping zijn verzameld. SOMI stelt dat de dataset ook niet-openbare persoonsgegevens bevat. De rechtbank vindt dat hierover eerst meer duidelijkheid moet komen en dat mogelijk bewijs moet worden geleverd. Daarom kan zij in deze fase niet oordelen dat dit onderdeel van de vorderingen op voorhand geen kans van slagen heeft. De rechtbank komt tot de conclusie dat de vorderingen van SOMI niet op voorhand kansloos zijn en dat aan vrijwel alle ontvankelijkheidseisen is voldaan. Alleen over het waarborgvereiste moet SOMI nog meer informatie geven over de financiering van de procedure en de zeggenschap daarover. Tot die tijd blijft SOMI aangewezen als exclusieve belangenbehartiger. Iedere verdere beslissing houdt de rechtbank aan.

6.82. De Europese Commissie heeft op 5 december 2025 een boete van € 120 miljoen opgelegd aan XIUC, X Holdings Corp., X.AI Holdings Corp. en [naam 7] wegens schending van (artikelen 25 lid 1, 39 en 40 lid 12 van) de DSA. De Europese Commissie heeft in het besluit onder meer overwogen dat uit de omstandigheid dat XIUC de geadresseerde is van het eerdere besluit waarin het X-platform is aangewezen als een Very Large Online Platform (VLOP) in de zin van artikel 33 DSA, niet kan worden afgeleid dat alleen XIUC kan worden aangesproken onder de DSA. Het begrip aanbieder (‘provider’) in de zin van de DSA verwijst volgens de Europese Commissie naar “any economic unit engaged in the provision of intermediary services, irrespective of its legal status or structure, which may consist of several legal entities constituting a single economic unit or even a controlling shareholder and those entities” (overweging 49). Volgens de Europese Commissie is X Holdings Corp. “the ultimate legal entity controlling TIUC” en [naam 7] “the natural person ultimately controlling the group of companies to which TIUC and X Holding Corp. belong” (overweging 12 van het besluit). De Europese Commissie heeft daarom X Holdings Corp. (en haar aandeelhouder X.AI Holdings Corp.) en [naam 7] samen met XIUC aangemerkt als “the provider of X in the Union”. Dit oordeel betekent echter niet zonder meer dat op X Corp geen verplichtingen uit de DSA rusten en dat zij niet ook als aanbieder van het X-platform kan worden beschouwd. X Corp is immers de dochtermaatschappij van X Holdings Corp. en de moedermaatschappij van XIUC, zodat zij (in elk geval op papier) invloed op XIUC lijkt te kunnen uitoefenen, en behoort tot dezelfde economische eenheid als XIUC. De discussie bij de Europese Commissie ging met name over de positie van [naam 7] onder de DSA en niet over die van X Corp (zie overwegingen 54 tot en met 63 van het besluit). SOMI wijst er terecht op dat de DSA relatief nieuw is en dat er daarom nog beperkte duiding is over de vraag welke entiteiten binnen een concern kunnen worden aangesproken onder de DSA. Het besluit van de Europese Commissie is bovendien nog niet onherroepelijk, omdat hiertegen beroep is ingesteld bij het Hof van Justitie EU. Onder die omstandigheden kan niet worden aangenomen dat de op de DSA gebaseerde vorderingen van SOMI tegen X Corp summierlijk ondeugdelijk zijn, laat staan op het moment dat de procedure aanhangig werd gemaakt (wat ruim vóór het besluit van de Europese Commissie was).

6.83. De door X Corp c.s. aangehaalde uitspraak van deze rechtbank maakt dat niet anders. In deze (kort geding) zaak oordeelde de rechtbank dat twee entiteiten behorend tot het Meta-concern niet als aanbieder van een platform in de zin van de DSA konden worden aangemerkt vanwege hun rol en werkzaamheden binnen het Meta-concern. Dit oordeel van de voorzieningenrechter kan niet één op één worden toegepast op de situatie bij X Corp c.s. en vergt een feitelijke beoordeling waarvoor nader onderzoek nodig is en waarbij ook factoren als zeggenschap en economische gebondenheid een rol kunnen spelen. Die factoren zijn in de Bits of Freedom/Meta-zaak niet beoordeeld.

6.84. Partijen verschillen van mening over de vraag of artikelen 34 en 35 van de DSA directe werking hebben (SOMI meent van wel, maar X Corp c.s. betwisten dat). Uit de stellingen van partijen leidt de rechtbank af dat deze vraag nog niet eerder is beantwoord in de jurisprudentie. Reeds hierom kan de rechtbank in deze fase van de procedure er niet zonder meer van uitgaan dat X Corp c.s. gelijk hebben en dat de vordering van SOMI op dit punt niet deugt.

6.85. Op grond van artikel 6 DSA is een aanbieder van een tussenhandeldienst die content van gebruikers opslaat en verspreidt (een hostingdienst), niet aansprakelijk voor de opgeslagen informatie als hij aan bepaalde voorwaarden voldoet. Voorwaarden zijn dat de aanbieder zich beperkt tot het neutraal aanbieden van de hostingdienst, geen kennis heeft van de illegale inhoud en prompt optreedt tegen illegale inhoud zodra hij daarvan op de hoogte is. De vrijstelling van aansprakelijkheid is niet bedoeld om eigen verplichtingen niet na te hoeven komen, maar alleen om te zorgen dat partijen niet verantwoordelijk worden gehouden voor content die ondanks dat zij hun verplichtingen nakomen via hun platform wordt verspreid. In dit geval verwijt SOMI X Corp c.s. juist dat zij hun eigen verplichtingen niet nakomen. De rechtbank volgt X Corp c.s. daarom niet in hun stelling dat de vordering van SOMI tot schadevergoeding als gevolg van hate speech gelet op artikel 6 DSA summierlijk ondeugdelijk is. Daarbij komt dat het verwijt van SOMI aan X Corp c.s. groter is dan hate speech. Hate speech is volgens SOMI slechts één van de systeemrisico’s die X Corp c.s. op grond van artikelen 34 en 35 DSA dienen te beoordelen en te beperken. SOMI stelt zich op het standpunt dat X Corp c.s. met betrekking tot alle systeemrisico’s niet aan hun verplichtingen voldoen.

6.86. SOMI komt in deze procedure op voor de personen van wie de persoonsgegevens voorkomen in de gelekte datasets. Zij onderscheidt vier datalekken op het X-platform. Zij stelt dat het vierde datalek bestaat uit de gegevens van meer dan 200 miljoen X-gebruikers (de 200M-dataset) en een subset is van de dataset van meer dan 400 miljoen X-gebruikers uit het derde datalek (de 400M-dataset). X Corp c.s. stellen dat op voorhand duidelijk is dat de vorderingen die betrekking hebben op de 200M-dataset geen kans van slagen hebben. Volgens X Corp c.s. heeft deze dataset namelijk geen verband met het eerste datalek (de API-bug) of een andere kwetsbaarheid in de systemen, maar is het waarschijnlijk een verzameling van informatie die reeds online beschikbaar was via diverse andere online bronnen en die van het internet is ‘gescrapet’ en samengevoegd tot de 200M-dataset. SOMI betwist dit en voert daartoe aan dat uit nader onderzoek is gebleken dat de 200M-dataset en de 400M-dataset gegevens bevatten die niet publiekelijk beschikbaar waren. Om te kunnen beoordelen wie gelijk heeft, is nader debat tussen partijen vereist en wellicht zelfs bewijslevering. Daartoe dient de inhoudelijke fase van deze procedure. De rechtbank volgt X Corp c.s. daarom niet in hun stelling dat de op de 200M-dataset gebaseerde vordering van SOMI op het eerste gezicht al geen enkele kans van slagen heeft.