Tag: Toestemming

Het combineren van persoonsgegevens door Google sinds de invoering van hun herziene privacyvoorwaarden is in strijd met de Nederlandse privacywet, de Wbp. Dat concludeerde privacytoezichthouder Cbp vorige week. Google koppelt persoonsgegevens van internetgebruikers die via allerlei verschillende Google-diensten worden verkregen, zonder de gebruikers daarover vooraf goed te informeren en zonder daarvoor vervolgens toestemming te vragen. En nee, in je privacyverklaring zeggen dat je iets doet is niet hetzelfde als “informeren en toestemming vragen”.

Het grote probleem met de sinds juni 2012 samengevoegde privacyverklaring is dat ‘ie veel te vaag is. Dat hebben alle sites, en het is ergens ook logisch want je kunt moeilijk tot in detail uitleggen wat je allemaal precies doet. Laat staan op een manier die iedereen begrijpt en op een moment dat het niemand ook maar één iota interesseert wat je allemaal doet. Het fundamentele probleem met de privacywet is dan ook de gedachte “leg het mensen uit en dan kunnen ze een geïnformeerde vrijwillige toestemming geven of weigeren, waarmee er geen probleem meer kan zijn”.

Bijzonder puntje bij Google is dat in hun privacyverklaring heel vaak het woord ‘kan’ valt. Ze zeggen daarover zelf:

Dat Google vaak woorden gebruikt als ‘kan’ is onvermijdelijk, omdat daadwerkelijke verwerking afhankelijk is van meerdere factoren, zoals of de gebruiker een bepaalde Google-dienst gebruikt.

Dat geloof ik graag maar het kán (haha) natuurlijk ook betekenen dat Google diverse varianten en invullingen gaat geven die heel anders kunnen (haha) werken of uitpakken dan de gebruiker verwacht. En dat is nou net niet de bedoeling van de Wbp: je moet niet zeggen wat er kán gebeuren maar wat er zál gebeuren. Specifiek, en in voldoende detail om mijn moeder te laten begrijpen wat dat inhoudt. En wat je niet uitlegt dat mag je niet doen. Nee, dat doet niemand en mijn moeder wíl dat ook helemaal niet lezen. Die wil gewoon dat Google zich netjes gedraagt.

Ook het verweer van Google dat zij geen persoonsgegevens verzamelen, wordt afgewezen. Google maakt profielen en voegt informatie samen. Zodra je genoeg informatie in een profiel hebt om één persoon uniek te onderscheiden van andere personen, is dat profiel een persoonsgegeven. Het doet er niet toe of ze weten hoe je heet, waar je woont of wat je e-mailadres is. Oh wacht:

We don’t need you to type at all. We know where you are. We know where you’ve been. We can more or less know what you’re thinking about.

Een quote van Google-directeur Schmidt, met ambtelijk sarcasme geciteerd in het Cbp rapport. Google weet alles van ons, zo zeggen ze zelf. Dús weten ze onze persoonsgegevens.

Ja mooi. Maar eh je geeft toch toestemming voor al dat verwerken door Google te gebruiken? Dat staat overal in de privacyvoorwaarden en in van die handige wegklikbalkjes. Maar nee, dat is niet het soort toestemming dat de privacywet op het oog heeft. Je moet het apart vragen en je moet op antwoord wachten. En eigenlijk ook een ‘nee’ als antwoord accepteren, als ik dit goed lees:

Weliswaar kan ondubbelzinnige toestemming ook verkregen worden uit een actieve handeling, maar alleen als de gebruiker een (vrije, specifieke en geïnformeerde) keuze heeft kunnen maken om in te stemmen of te weigeren, en dat is niet het geval. Google verkrijgt evenmin ondubbelzinnige toestemming via aanvaarding van haar servicevoorwaarden of het gebruik blijven maken van haar open diensten.

“Hoi wij gaan cookies zetten en u tracken, dat vindt u goed anders moet u deze site maar verlaten” en een ok-knop is dus géén toestemming. Dat wordt dus een leuke bij dat cookiewetswijzigingsvoorstel.

Sluit je dan misschien een contract met Google door hun site te gebruiken? Immers je mag persoonsgegevens gebruiken voor een goede uitvoering daarvan. Nou, niet voor mensen die gewoon langssurfen en de zoekmachine gebruiken. Die wéten niet eens dat ze een overeenkomst sluiten, laat staan onder de Servicevoorwaarden. Dus nee, een linkje onderaan met je algemene voorwaarden (of disclaimer, for that matter) gaat je dus niet helpen.

Plus, zelfs al bouw je een constructie waarbij je wél mensen bindt aan een overeenkomst en rechtsgeldig de voorwaarden elektronisch ter hand stelt, dan nog mag je die persoonsgegevens alleen gebruiken als dat noodzakelijk is voor die overeenkomst. Dus daarmee krijg je echt niet al dat geprofileer en getarget gerechtvaardigd.

De eigen dringende noodzaak gaat hem ook niet worden: waar dat bij Street View nog de escape, hier niet want alles werkt met cookies en daar had je nou eenmaal toestemming voor nodig.

Maar stel ze gaan naar een cookieloos Google, dan nog: je moet dan wel, ahem, een dringende noodzaak hebben. En wat is die noodzaak dan om Youtube en Google en al die andere diensten te bundelen en één profiel op te bouwen? Ja, dat je gericht kunt adverteren maar daarbij zul je echt meer rekening moeten houden met de privacy. En dat is dan niet alleen een opt-out per dienst of het aanreiken van tools, maar een eigen afweging of het nou echt wel nodig is om zo diep inbreuk te maken op de privacy van zoekers, Mappers en andere Googledienstgebruikers.

Uiteraard herkent Google zich niet in de kritiek en wordt een stofwolk aan marketingpraat (verwijzen naar vage Europese regels, spreken van gebruikerservaring, het woord ‘engageren’) gebruikt om om het punt heen te dansen. En het zal bij dansen blijven: ik zie niet hoe het Cbp effectief een maatregel kan opleggen die erg genoeg is om Google fundamenteel anders te laten werken. Wat jammer is, want dit is een van de stevigste rapporten die ons Cbp in lange tijd heeft opgesteld.

Arnoud