Rechtbank van Rome vernietigt boete van 15 miljoen euro van Garante aan OpenAI op grond van rechtsmacht

Op 18 maart 2026 vernietigde het Hof van Rome volledig het besluit van de Italiaanse gegevensbeschermingsautoriteit tegen OpenAI: een boete van €15 miljoen en een bevel waarbij het bedrijf verplicht werd een zes maanden durende publieke voorlichtingscampagne te voeren over hoe ChatGPT wordt getraind op persoonsgegevens. Het hof stelde niet vast dat OpenAI aan de AVG had voldaan. Het stelde vast dat de Garante — de Autorità Garante per la Protezione dei Dati Personali — niet langer de autoriteit was die bevoegd was om te beslissen. De grondslag was jurisdictie — een punt dat het hof die dag niet toelichtte en dat pas duidelijk werd toen de volledige motivering op 28 mei 2026 werd gepubliceerd — en het kwam neer op een datum: de Ierse Data Protection Commission had op 15 februari 2024 OpenAI Ireland Ltd erkend als de enige vestiging van het bedrijf in de Europese Economische Ruimte, acht en een halve maand vóór de definitieve beslissing van de Garante, en volgens het one-stop-shopmechanisme van de AVG had het dossier toen al in Dublin moeten liggen. Reuters berichtte op 19 maart 2026 over de uitspraak en merkte op dat het hof destijds geen toelichting gaf; de Garante wilde geen commentaar geven. De ernstgraad, de betrouwbaarheidsbeoordeling en de volledige bronnenlijst van dit dossier staan in het Orca AI Incident Archive, samen met de andere Europese regelgevende vermeldingen die eromheen zijn opgenomen.

Wat nietig werd verklaard, en wat de rechtbank niet zei

De beslissing in kwestie is die van de Garante: provvedimento n. 755 van 2 november 2024, gepubliceerd op 20 december 2024. Daarin werd vastgesteld dat OpenAI had nagelaten de autoriteit in kennis te stellen van een in maart 2023 opgetreden inbreuk op persoonsgegevens, dat zij persoonsgegevens van gebruikers had verwerkt om ChatGPT te trainen zonder eerst een adequate rechtsgrond te bepalen, dat zij de transparantie- en informatieverplichtingen van de AVG had geschonden, en dat zij geen enkel leeftijdsverificatiemechanisme had ingesteld, met als gevolg — in de woorden van de Garante — dat kinderen onder de 13 jaar het risico liepen te worden blootgesteld aan antwoorden die niet passend waren voor hun ontwikkelingsfase.

Het bedrag van €15 miljoen was, volgens de Garante zelf, berekend "mede rekening houdend met de coöperatieve houding van het bedrijf". Het ongebruikelijkere deel van de beslissing was de tweede opdracht. Door voor het eerst artikel 166(7) van de Italiaanse Privacycode te gebruiken, verplichtte de autoriteit tot een zes maanden durende institutionele campagne op radio, televisie, in kranten en op internet, waarvan de inhoud in overleg met de autoriteit moest worden vastgesteld, gericht op zowel gebruikers als niet-gebruikers van ChatGPT, en waarin werd uitgelegd hoe hun gegevens voor training werden verzameld en hoe zij bezwaar konden maken, hun gegevens konden rectificeren of wissen.

Op 18 maart 2026 vernietigde de rechter die beslissing in haar geheel. Die dag gaf hij geen motivering. De Garante ontving het vonnis op 19 maart, en de volledige gronden werden pas openbaar op 28 mei 2026, zoals Theodore Christakis en Giulio Monga vastleggen in de European Law Blog. De reactie van OpenAI, verstrekt aan Reuters, was dat het de beslissing toejuichte, "altijd toegewijd is geweest aan het respecteren van de privacy van gebruikers" en ernaar uitkeek om meer Italianen, bedrijven en de samenleving te helpen profiteren van AI. De Garante wilde geen commentaar geven.

Drie weken, daarna acht en een halve maand

De chronologie is de zaak. De Garante opende haar sanctioneringsprocedure op 26 januari 2024. Op 15 februari 2024 — ongeveer drie weken later — erkende de Ierse Data Protection Commission OpenAI Ireland Ltd formeel als OpenAI's enige vestiging in de EER. De Garante nam haar definitieve beslissing op 2 november 2024, ongeveer acht en een halve maand na die erkenning.

Dat onderscheid tussen oprichting en erkenning is van belang. OpenAI Ireland Ltd is op 24 maart 2023 opgericht, maar "single establishment" is een autonoom begrip in het EU-recht inzake gegevensbescherming, dat afhangt van de daadwerkelijke en reële uitoefening van activiteiten via stabiele regelingen; de twee data hoeven niet samen te vallen. Wat op 15 februari 2024 veranderde, was niet het bestaan van een Ierse vennootschap, maar de erkenning ervan voor doeleinden van de one-stop-shop.

Artikel 56, lid 1, van de AVG verleent de toezichthoudende autoriteit van de hoofdvestiging of enige vestiging van de verwerkingsverantwoordelijke exclusieve bevoegdheid over grensoverschrijdende verwerking, als leidende autoriteit. De Rechtbank van Rome baseerde zich op Advies 8/2019 van de Europese Raad voor gegevensbescherming, en met name op punt 4.3.2 daarvan over het tot stand brengen van een hoofdvestiging of enige vestiging, of de verplaatsing daarvan uit een derde land naar de EER, terwijl er al administratieve procedures lopen. Volgens die lezing kan de bevoegdheid op elk moment totdat een definitieve beslissing is vastgesteld overgaan naar de nieuwe leidende autoriteit, en moet elke lopende procedure daarmee worden overgedragen.

De Garante had het probleem voorzien en het dossier opgesplitst. In haar persbericht van december 2024 staat dat, omdat OpenAI tijdens het onderzoek haar Europese hoofdkantoor in Ierland had gevestigd, de autoriteit "de procedurestukken heeft doorgezonden naar de Ierse gegevensbeschermingsautoriteit (DPC), die krachtens de AVG leidende toezichthoudende autoriteit werd om verder onderzoek te doen naar eventuele lopende inbreuken die niet vóór de opening van het Europese hoofdkantoor waren afgehandeld". Deze kwalificatie is van de Garante zelf: zij behield wat zij als afgerond beschouwde en stuurde door wat zij als voortdurend beschouwde. De rechter oordeelde dat die opsplitsing niet voor haar openstond.

Het woord waarop het vonnis draaide

Vrijwel het hele geschil komt neer op punt 16 van Advies 8/2019, waarin staat dat de in het Advies onderzochte vragen "voornamelijk betrekking hebben op inbreuken van voortdurende of continue aard". De Garante las daarin een beperking: de overdrachtslogica was ontworpen voor voortdurende inbreuken en kon geen betrekking hebben op gedrag dat al was voltooid voordat er enige EER-vestiging bestond. OpenAI las "voornamelijk" als beschrijvend en niet als uitsluitend. De rechter gaf OpenAI gelijk en oordeelde dat "voornamelijk" het soort zaak aanduidt waarin de vraag zich het vaakst voordoet en niet uitsluit dat dezelfde logica geldt voor voltooide inbreuken waarbij de procedure nog loopt en er nog geen definitieve beslissing is genomen.

De terugvaloptie van de Garante was het beginsel van het Italiaanse burgerlijk wetboek van tempus regit actum — dat het recht dat op dat moment van kracht is, geldt. De rechter verwierp dit op grond van de feiten: dit was een opeenvolging van feiten, niet van wetten. Het beslissende moment is, volgens de redenering van het vonnis, noch de datum van de inbreuk, noch de datum waarop het onderzoek werd geopend, maar de datum waarop de definitieve beslissing werd genomen. Na dat moment ligt de bevoegdheid vast.

Aan de merites werd nooit toegekomen.

De rechter verklaarde de eerste beroepsgrond gegrond — onbevoegdheid — en merkte alle overige beroepsgronden als 'absorptie' aan. Hij deed geen uitspraak over de rechtsgrondslag voor training, over transparantie, over leeftijdsverificatie of over de te late melding van het datalek. Over de vraag of €15 miljoen evenredig was, werd niets gezegd. Die vragen blijven formeel onbeantwoord.

Dat is het punt dat in de berichtgeving het gemakkelijkst over het hoofd wordt gezien. Zoals het Italiaanse kantoor Rödl & Partner het in een notitie van juni 2026 formuleerde, mag de uitspraak „niet worden gelezen als een inhoudelijk groen licht voor de praktijken van OpenAI: het is slechts een overdracht van bevoegdheid aan de bevoegde toezichthoudende autoriteit”. De vermelding in het archief registreert geen reële schade voor dit incident, wat in overeenstemming is met een zaak die draaide om wie mag beslissen, en niet om een vastgestelde schade aan geïdentificeerde personen.

Of het bestand een thuis heeft in Dublin

Het meest wezenlijke bezwaar tegen de uitspraak is dat de autoriteit waaraan de zaak wordt overgedragen mogelijk ook niet in staat is de zaak te beslissen. Christakis en Monga betogen in de European Law Blog van 4 juni 2026 onder de titel "Establish, Then Escape?" dat de lezing van het Hof een handhavingsleemte oplevert in plaats van een verplaatsing van de zaak. Hun concrete voorbeeld is de datalekmelding. Het datalek deed zich voor op 20 maart 2023 en de meldplicht bij de Garante moest 72 uur later zijn vervuld, toen OpenAI geen EU-vestiging had en OpenAI Ireland Ltd nog niet was opgericht. De Garante merkte die inbreuk aan als voltooid en hield deze voor zichzelf; volgens de redenering van het Hof komt de gehele beslissing, met inbegrip van dat verwijt, te vervallen. De auteurs betogen dat het moeilijk valt in te zien hoe de Ierse autoriteit, wier bevoegdheid dateert van na en voortvloeit uit een vestiging die nog niet bestond toen de verplichting ontstond, een melding die aan de Garante verschuldigd was met betrekking tot Italiaanse betrokkenen zou kunnen beoordelen.

Zij zijn zorgvuldig over de grenzen van dat betoog, en dat zou de lezer ook moeten zijn. Zij vermelden de tegengestelde stelling — dat de AVG één instrument voor de hele Unie is, zodat welke autoriteit dan ook die leidende autoriteit wordt, deze kan handhaven ongeacht wanneer de feiten zich hebben voorgedaan — en noemen de vraag betwistbaar. Zij merken op dat zij niet op de hoogte zijn van enige eerdere nationale rechterlijke uitspraak waarin onderdeel 4.3.2 van Advies 8/2019 wordt toegepast, dat dit een vonnis in eerste aanleg van een enkelvoudige rechter is, en dat de reikwijdte van artikel 56 ten aanzien van gedrag vóór vestiging hun veeleer onzeker dan duidelijk lijkt. Hun aanbeveling is een prejudiciële verwijzing naar het Hof van Justitie krachtens artikel 267 VWEU.

De handhavingsleemte is niet alleen een doctrinaire voorspelling. Theodore Christakis noteerde, schrijvend op het Cross-Border Data Forum daags na de uitspraak, dat geen enkele andere Europese gegevensbeschermingsautoriteit een definitieve handhavingsbeslissing heeft gepubliceerd over GDPR-schendingen uit de ChatGPT-lanceringsperiode van november 2022 tot maart 2023, en dat het ChatGPT-taskforcerapport van de EDPB van mei 2024 slechts voorlopige standpunten bevatte. Daarmee is de enige definitieve GDPR-handhavingsbeslissing die Europa gedurende de lanceringsperiode van generatieve AI heeft voortgebracht, nu vernietigd.

Wat is er na 18 maart veranderd?

De boete was al opgeschort. Op 21 maart 2025 schorste dezelfde rechtbank de werking van de sanctie op tot aan het vonnis, op voorwaarde van een garantie — een cauzione, ofwel een borgsom, in Altalex' weergave van de beschikking. Die opschorting raakte de zaak ten gronde niet, en de nietigverklaring een jaar later evenmin.

De Garante heeft de zaak niet zozeer uit zijn register verwijderd als wel terzijde gelegd. De persberichtpagina over beslissing 755 bevat nu een kennisgeving dat de beslissing "tijdelijk van de website van de Garante is verwijderd" naar aanleiding van uitspraak nr. 4153/2026. Dat woord is van de autoriteit zelf: tijdelijk.

Wat de hogere voorziening betreft, zijn de bronnen consistent maar onvolledig. Christakis en Monga merken op dat de Garante nog beroep kan aantekenen bij de Corte di Cassazione. Het Cross-Border Data Forum noteerde op 19 maart 2026 dat de autoriteit, omdat de motivering nog niet was vrijgegeven, destijds niet kon zeggen of zij dat zou doen. In de voor dit artikel geraadpleegde bronnen vonden wij sindsdien geen bericht van een indiening, en geen definitieve beslissing van de Irish Data Protection Commission over het overgedragen dossier. Geen van beide afwezigheden is een bewijs dat er niets is gebeurd; beide betekenen dat de uitkomst nog niet is afgesloten.

Gevestigd, beargumenteerd en open

• Vastgesteld: dat arrest nr. 4153/2026 van 18 maart 2026 beslissing nr. 755 van 2 november 2024 in haar geheel heeft vernietigd, waardoor een boete van €15 miljoen en een bevel tot een mediacampagne van zes maanden zijn komen te vervallen; dat het beschikkende gedeelte die dag zonder motivering is voorgelezen; en dat de gepubliceerde motivering berust op de one-stop-shop, de erkenning door de DPC van OpenAI Ireland Ltd op 15 februari 2024, en EDPB-advies 8/2019.

• Betoogd: of een lopend dossier naar behoren kan worden overgedragen aan een autoriteit waarvan de bevoegdheid dateert van na het gedrag in kwestie. De rechter oordeelde van wel; Christakis en Monga stellen dat die lezing het gedrag vóór de vestiging onafdwingbaar laat en willen dat het Hof van Justitie beslist; Rödl & Partner en ICT Legal Consulting beschrijven het arrest daarentegen als een verduidelijking van hoe de one-stopshop van toepassing is op een wijziging van vestiging midden in de procedure.

• Open:of de Garante de zaak aan de Corte di Cassazione voorlegt, of een rechterlijke instantie deze naar Luxemburg verwijst, en of de Ierse autoriteit ooit een beslissing neemt over het deel van het dossier dat zij heeft ontvangen.

De €15 miljoen is weg. De vraag die de zaak opwierp — wie in Europa een aanbieder van generatieve AI voor de periode voordat deze een Europese vestiging had, aan de AVG kan houden — is simpelweg op een ander bureau beland.