• 14 aug

    2019

    Verwerkingsverantwoordelijke? vind-ik-leuk!

    Elke social media gebruiker kent ‘m: de vind-ik-leuk-knop. Met het duimpje op Facebook of het hartje op Instagram ‘like’ je het betreffende bericht. Als ondernemer kun je het duimpje van Facebook (hierna: ‘het Duimpje’) ook op je eigen website plaatsen. Als de bezoeker van je website op het Duimpje klikt, maak je (kort gezegd) via Facebook reclame voor jouw product of dienst. Super handig. Maar uit een recente uitspraak van het Europese Hof van Justitie (hierna: ‘EHvJ’) blijkt dat het ‘duim-gebruik’ wel (extra) verantwoordelijkheden met zich meebrengt. Voor de persoonsgegevens die je via het Duimpje verwerkt ben je namelijk verwerkingsverantwoordelijke.

    De casus bij het EHvJ

    Een Duits bedrijf (Fashion ID) plaatste het Duimpje op haar website. Hierdoor werden persoonsgegevens (hierna: ‘de Gegevens’) van de website bezoekers (hierna: ‘de Bezoekers’) doorgestuurd naar Facebook Ireland (hierna: ‘FI’). De Gegevens van de Bezoekers die geen lid waren van Facebook werden ook doorgestuurd. Zonder dat ze daarover werden geĆÆnformeerd. Een consumenten belangen-vereniging (hierna: ‘de Vereniging’) spande een rechtszaak aan tegen Fashion ID. De Vereniging verweet Fashion ID o.a. dat zij handelde in strijd met de privacy van de Bezoekers, omdat zij de Gegevens zonder toestemming van de Bezoekers via haar website doorstuurde naar FI. Deze rechtszaak leidde tot een aantal prejudiciĆ«le vragen aan het EHvJ, waaronder de vraag of Fashion ID was aan te merken als verwerkingsverantwoordelijke.

    Verwerkingsverantwoordelijke

    Volgens de wet is degene die alleen of tezamen met een ander het doel en de middelen van de gegevensverwerking vaststelt aan te merken als verwerkingsverantwoordelijke. Doordat Fashion ID het Duimpje op haar website plaatste, werden de Gegevens van de Bezoekers doorgezonden naar FI. Fashion ID had verder geen zeggenschap over het doel en de middelen van de gegevensverwerking door FI. En ook had zij geen toegang tot de Gegevens. Zodoende had zij geen enkele invloed op wat FI met de Gegevens deed.

    Oordeel van het EHvJ

    En toch oordeelde het EHvJ dat Fashion ID verwerkingsverantwoordelijke was. Het EHvJ vond namelijk dat Fashion ID door het plaatsen van het Duimpje in belangrijke mate invloed uitoefende op de verwerking. Immers, zonder het verzamelen en doorzenden van de Gegevens kon FI de Gegevens (verder) verwerken. Volgens het EHvJ had dit ook tot gevolg dat Fashion ID daardoor ergens in de keten van gegevensverwerking wel aan de vaststelling van het doel en de middelen van de verwerking deelnam. Dat Fashion ID daarbij zelf geen toegang had tot de Gegevens, maakte volgens het EHvJ niet uit. Het EHvJ overwoog:

    “dat Fashion ID het door de integratie van de vind-ik-leukknop van Facebook in haar internetsite, voor Facebook Ireland mogelijk lijkt te hebben gemaakt om persoonsgegevens van de bezoekers van de Fashion ID-internetsite te verkrijgen, waarbij deze mogelijkheid ontstaat zodra die internetsite wordt geraadpleegd.”

    Het EHvJ legt het begrip verwerkingsverantwoordelijke dus ruim uit. Dat doet het EHvJ om een “doeltreffende en volledige bescherming van de betrokkenen te verzekeren“. Dit is in de lijn van het doel van de privacy wetgeving. En past ook bij eerdere uitspraken van het EHvJ, zoals de uitspraak inzake Wirtschaftsakadenie Schleswig-Holstein. Bovendien sluit deze visie aan bij de (eveneens ruime) uitleg van het begrip ‘verwerken’.

    Geen gelijkwaardige verantwoordelijkheid

    De door het EHvJ gegeven uitleg van het begrip verwerkingsverantwoordelijke wil niet zeggen dat Fashion ID ook in dezelfde mate verwerkingsverantwoordelijke is. Volgens het EHvJ leidt het bestaan van een gezamenlijke verantwoordelijkheid namelijk niet noodzakelijk tot een gelijkwaardige verantwoordelijkheid. Verschillende verwerkingsverantwoordelijken kunnen in verschillende stadia van de verwerking en in verschillende mate verantwoordelijk zijn. Daarbij dienen alle relevante omstandigheden te worden meegewogen.

    Conclusie

    De vraag of je als onderneming verwerkingsverantwoordelijke bent, zal (gelet op bovenstaande uitspraak) al snel bevestigend worden beantwoord. Ook als je geen zeggenschap hebt over het doel en middelen van de (gehele keten van) gegevensverwerking. Als je gebruik maakt van het Duimpje of op andere wijze deelneemt aan de verwerking van persoonsgegevens, dan moet je je hiervan bewust zijn. Dit omdat het gebruik van de vind-ik-leuk knop o.a. ook betekent dat je de Bezoekers van de Website moet informeren over het gebruik van de vind-ik-leuk knop. En dat je toestemming moet vragen voor het gebruik van de Gegevens. Doe je dat niet, dan handel je in strijd met de AVG en riskeer je een boete.

    Heb je vragen over dit blog of over wat het onderwerp privacy betekent voor jouw onderneming? Bel of mail ons gerust. We helpen je graag. Ons contactgegevens vind je hier.


Klanten die Doen