Oostenrijks hof vraagt EU-hof of Facebook met gebruikersdata GDPR ‘ondermijnt’

| AE 12801 | Ondernemingsvrijheid, Privacy | 9 reacties

Het Oostenrijkse Hooggerechtshof heeft het Hof van Justitie van de Europese Unie gevraagd of Facebook juridisch gezien wel gebruikersdata mag verwerken. Dat las ik bij Tweakers. De vraag draait om het verschil tussen toestemming en een contract als grondslag om persoonsgegevens te mogen verwerken. Sinds de AVG van kracht is, houdt Facebook namelijk vol dat mensen bij hen een dienst met gepersonaliseerde advertenties bestellen (als in: een daartoe strekkende overeenkomst sluiten) zodat je het niet over toestemming hoeft te hebben. Eh, wat.

De vragen van het Hof komen (hoe kan het ook anders) uit een rechtszaak die de privacyvoorvechters van None Of Your Business hebben aangespannen. NOYB verzet zich op alle mogelijke manieren tegen de Amerikaanse dataplundering van Facebook en consorten, en dan is dit een logische stap.

Facebook had in het verleden altijd gezegd dat het zich beriep op toestemming. Maar sinds de AVG is toestemming een heikele, zo niet onmogelijke grond om mee te werken: toestemming kan op ieder moment worden ingetrokken en dat mag geen vervelende consequenties hebben. Logisch dus dat de Facebook-juristen al snel bedachten dat je beter op uitvoering overeenkomst kon gaan zitten, want dat is niet zomaar intrekbaar. Besteld is besteld, zeg maar.

De vraag is alleen: wát is er dan besteld. Waren dat die advertenties (graag met een onsje extra personalisatie en hee wat leuk, de doorverkoop voor militaire gezichtsherkenning is afgeprijsd, doe maar) of was dat de communicatiedienst, het kunnen chatten en lezen wat mijn vrienden online doen? Mijn idee was altijd het laatste, maar omdat de Facebook-juristen zo nadrukkelijk hameren op het eerste, moeten we daar een juridische discussie over gaan voeren.

Het Oostenrijkse Hof citeert allereerst een berg literatuur die hier vrij negatief over is: Facebook is steeds het standaardvoorbeeld van een dienst met het niet-essentiële aspect van advertenties erbij. Dat helpt niet voor de beeldvorming, zullen we maar zeggen. En dan concludeert men:

The objective purpose of the contract is decisive for the definition of “necessary” in the sense of Art. 6(1)(b) of the GDPR. Artificially or unilaterally imposed services cannot be subsumed under this. The necessity of data processing for the performance of a contract depends on whether there is a direct factual connection between the intended data processing and the specific purpose of the legal obligation. … The fact that the purposes of the processing are covered by contractual clauses formulated by the provider does not automatically mean that the processing is necessary for the performance of the contract.
Dat laatste is denk ik de kern: dat een partij zegt dát het hoort bij de dienst, maakt het nog niet écht noodzakelijk voor de dienst. Daarvoor is een objectieve toets nodig. Alleen: hoe ziet die toets eruit, en hoe veel speelruimte mag je daar dienstverleners in gunnen? Is bijvoorbeeld bij WhatsApp het noodzakelijk dat iedereen mijn profielfoto ziet, of is enkel de door mij ingevulde naam noodzakelijk om te tonen aan contacten? Of ook dat niet?

Tijd dus om de hoogste Europese rechter hier een uitspraak over te laten doen. Helaas duurt dat altijd wel een dik jaar.

Arnoud

Mag Facebook optreden tegen gemeenten met nepprofielen?

| AE 12787 | Regulering | 21 reacties

Een lezer vroeg me:

In mei leerden we dat diverse gemeenten met nep-profielen actief zijn op sociale netwerken om burgers te volgen. Veel socialmedia hanteren echter een ‘real-name policy’ waarbij in de voorwaarden staat dat je je echte naam moet gebruiken. Hoe zit dat nu juridisch? Is de gemeente dan strafbaar (valsheid in geschrifte), is bewijs om die reden uit te sluiten en mag Facebook de accounts van die ambtenaren blokkeren?
Het maakte nogal wat los toen we in mei erachter kwamen dat gemeenten burgers volgen op sociale media en daarbij zelfs onder nepnamen (niet als opsporingsambtenaar herkenbaar) opereerde. Of dat legaal was, blijft voor mij de vraag. Gemeentes opereren namelijk niet onder het wetboek van strafrecht maar onder de Algemene wet bestuursrecht, en die lijkt meer ruimte te bieden.

Dat gezegd hebbende, natuurlijk overtreedt zo’n gemeente de regels van Facebook als ze een account maken dat niet op de eigen naam van de betreffende werknemer/ambtenaar aangemaakt is. Facebook mag dus dat account sluiten, en hoeft geen rekening te houden met de opsporingsbelangen van de gemeente. De Albert Heijn mag ook een volgauto van de sociale dienst van haar parkeerterrein wegsturen wanneer Janny daar btw fraude komt plegen, pardon boodschappen komt doen met gekregen geld.

Strafbaar is het niet om gebruiksregels te overtreden. Facebook bepaalt niet wat strafbaar is natuurlijk. In theorie zou Facebook de gemeente mogen aanklagen voor wanprestatie (in een civiele procedure dus) en schadevergoeding eisen, maar die schade lijkt me nihil. Want het is geen valsheid in geschrifte om een account op valse naam aan te maken. Voor dat misdrijf gaat het erom dat je iets vervalst dat bedoeld is als bewijsstuk (een diploma, een creditcard, een ondertekend contract), en dat is het account niet.

Als burger kun je hier echter niets mee. Het is iets tussen Facebook en de gemeente wat die dienstverlener doet met de nepaccounts van die ambtenaren. Jij kunt daar zeg maar geen rechten aan ontlenen, en het tast ook de bruikbaarheid van de constateringen (wat jij dus zei of deed op Facebook) in het geheel niet aan.

Arnoud

Duitse privacywaakhond verbiedt Facebook om WhatsApp-data te gebruiken

| AE 12663 | Ondernemingsvrijheid, Regulering | 11 reacties

De Hamburgse privacytoezichthouder heeft Facebook verboden om WhatsApp-data van Duitse gebruikers voor eigen doeleinden te gebruiken. Dat meldde Tweakers afgelopen vrijdag. Het besluit van de Hamburgse commissaris met de onuitsprekelijke afkorting HmbBfDI heeft te maken met de gewijzigde gebruiksvoorwaarden van WhatsApp, die een dergelijke koppeling zouden autoriseren. Tegelijk was bij de overname van WhatsApp door Facebook nadrukkelijk gezegd dat dit in Europa niet mocht gebeuren. Dus hoe zit dit nou?

‘Je kunt niet volledig gebruikmaken van WhatsApp totdat je de updates aanvaardt. Voor een korte periode kun je nog wel oproepen en meldingen ontvangen, maar je kunt geen berichten lezen of verzenden via de app.’ Dat dreigt WhatsApp dus al een tijdje om mensen zo ver te krijgen de nieuwe voorwaarden van hun dienst te accepteren. Deel dan gewoon mee dat je de voorwaarden aangepast hebt, denk ik dan; op deze manier toestemming afdwingen is in geen enkel rechtsstelsel bindend. Maar goed.

Het probleem is natuurlijk dat WhatsApp sinds haar oprichting altijd zei dat ze nooit persoonsgegevens aan anderen zou geven, en dat na de overname door Facebook dit altijd in de lucht hing, door voorlichters met mooie praatjes weg werd gebagatelliseerd en er dan nu toch komt. (Ik ga geen moeite doen de babbelzinnen over gebruikservaring op te zoeken, we weten allemaal dat het gaat om de extra profileringsdata.)

Onderdeel van de goedkeuring van de overname van WhatsApp door Facebook was de aanname dat de twee diensten niet gecombineerd zouden zijn. Dat kon ook niet, aldus Facebook, vanwege fundamentele technische redenen. Dat bleek in 2017 toch anders te liggen, reden voor de EU om 110 miljoen boete op te leggen en het nogmaals te verbieden. En op papier klopt het ook; WhatsApp zal in Europa gewoon blijven werken zoals het deed en geen data delen.

Ja, zeggen ze. Precies. Want dat is waar de ophef vandaan komt. Waarom moet ik akkoord gaan met nieuwe voorwaarden als er niets verandert voor mij? Wat probeert men alsnog stiekem af te dwingen met zo’n enorm chantage-machtsmiddel? Ik snap best dat mensen zich daar zorgen over maken. Goede stap dus dat de HmbBfDI (AP is toch makkelijker) expliciet een verbod oplegt, hoewel ik niet kan vinden of er meteen een dwangsom of boete bij hangt.

Uiteraard zegt WhatsApp dan dat dit besluit berust op een misverstand en dat men gewoon doorgaat omdat er niets aan de hand is. Als er niets aan de hand was, dan zou een normaal bedrijf zeggen “We houden ons keurig aan dat verbod want dit gingen we helemaal niet doen”. Dus ik blijf skeptisch.

Arnoud

Facebook en Gucci klagen samen verkoper van nepspullen aan

| AE 12641 | Intellectuele rechten | 6 reacties

Facebook heeft een rechtszaak aangespannen tegen een verkoper van namaakspullen, las ik bij Tweakers. Facebook werkt daarbij samen met modehuis Gucci, de partij wiens producten nagemaakt werden door deze verkoper. Nu komt handel in namaak al vele decennia voor, ook met Facebook of Instagram als platform, dus het verbaast in zoverre niet dat er een… Lees verder

Facebook gaat de half miljard getroffen gebruikers niet informeren over datalek, nee die snapte ik ook niet

| AE 12609 | Privacy | 12 reacties

Facebook gaat de bijna 533 miljoen gebruikers van wie de data onlangs op een hackersforum is geplaatst, niet actief informeren over het datalek. Dat meldde Tweakers vorige week. Het platform zegt niet zeker te weten welke gebruikers ingelicht zouden moeten worden en dat de informatie toch openbaar online staat. Dat voelt een tikje absurd; de… Lees verder

Kan Europa antitrustonderzoek beginnen als bedrijven uit EU verdwijnen?

| AE 12529 | Ondernemingsvrijheid | 39 reacties

Eurocommissaris Margrethe Vestager zegt dat Europa nieuwe antitrustonderzoeken kan beginnen naar bigtechbedrijven als die dreigen van de Europese markt te verdwijnen. Dat meldde Tweakers vorige week. Vestager reageert daarmee op de controverse in Australië: het land wil dat Facebook en Google de portemonnee trekken; dat moet de Australische media-industrie helpen. Daarop besloot Facebook de nieuwsvoorziening… Lees verder

Toezichtsraad: Facebook moet vier onterecht verwijderde berichten herstellen

| AE 12488 | Informatiemaatschappij, Uitingsvrijheid | 19 reacties

Een onafhankelijke toezichtsraad van Facebook heeft in zijn eerste vijf in behandeling genomen zaken geoordeeld dat Facebook vier keer een foute beslissing maakte door berichten van zijn sociale media te verwijderen. Dat meldde Nu.nl onlangs. Gebruikers kunnen bij de toezichtsraad aankloppen als zij vinden dat Facebook actie onderneemt die indruist tegen de vrijheid van meningsuiting en… Lees verder

Facebook moet 3,83 miljoen euro betalen aan ontwikkelaar wegens kopiëren Nearby

| AE 12443 | Intellectuele rechten | 6 reacties

Een Italiaanse rechtbank heeft in hoger beroep bepaald dat Facebook 3,83 miljoen euro moet betalen aan de Italiaanse softwareontwikkelaar Business Competence. Dat las ik bij Tweakers. Een Italiaanse rechtbank vonniste dat de dienst het auteursrecht op een app (genaamd Faround) heeft geschonden door haar eigen concurrerende dienst. Opmerkelijk aspect: dat lijkt met name het geval te… Lees verder

Facebook mag pagina’s offline halen die in strijd zijn met haar eigen COVID-19 beleid.

| AE 12274 | Uitingsvrijheid | 18 reacties

Facebook mag pagina’s offline halen die in strijd zijn met haar eigen COVID-19 beleid, las ik bij Rechtspraak.nl. Dat is gek, want Youtube mocht laatst juist niet bepaalde video’s offline halen omdat ze in strijd waren met haar eigen regels. De betreffende Facebook-regels dateren uit januari. Sinds die tijd “werkt Facebook samen met wereldwijde organisaties zoals… Lees verder

Ho stop, datakluizen gaan niets doen aan Facebook en consorten

| AE 12127 | Ondernemingsvrijheid | 24 reacties

Geef gebruikers controle over hun persoonlijke data, om daarmee de te grote macht van grote technologiebedrijven terug te dringen, las ik in NRC voor mijn vakantie. Het huidige model van omgaan met data is niet geschikt om de techbedrijven te bedwingen, zo betoogt daar professor Ruben Verborgh. Zijn betoog lijkt vooral te gaan over het… Lees verder