Privacy Nieuws
Websites met een likeknop van Facebook zijn volgens het Europees Hof van Justitie verantwoordelijk voor het doorsturen van persoonsgegevens naar het sociale netwerk.
Het Europese Hof deed een verstrekkende uitspraak in een zaak tegen de Duitse webshop Fashion ID van Peek & Cloppenburg.
Op de site FashionID.de is een likebutton van Facebook geplaatst. Hiermee kunnen gebruikers ervoor kiezen Fashion ID op Facebook te volgen.
Maar de like button zorgt er meteen ook voor dat op de achtergrond aan Facebook wordt doorgegeven welke internetgebruikers op een websitepagina zijn geweest.
Facebook gebruikt de informatie om bijvoorbeeld een profiel samen te stellen waarmee op basis van het surfgedrag van klanten doelgericht advertenties kunnen worden getoond.
Volgens de aanklagers gebeurde dit bij Fashion ID zonder dat gebruikers vooraf om toestemming werden gevraagd.
Volgens het Europees Hof van Justitie is in dit geval zowel Fashion ID als Facebook verantwoordelijk voor de gegevensverzameling.
De Duitse site zou zijn gebruikers daarom ook duidelijk moeten vertellen dat gegevens met het sociale netwerk worden gedeeld.
Het arrest van het Hof wordt gedeeld met het Duitse gerechtshof, dat een oordeel in de zaak zal vellen. De Europese uitspraak kan echter gevolgen hebben voor toekomstige zaken bij Europese rechtbanken.
Consequenties voor meer Europese sites
Het oordeel kan ook consequenties hebben voor andere websites die likeknoppen voor Facebook tonen. De uitspraak kan ertoe leiden dat sites explicieter toestemming moeten vragen voor het tonen van een likeknop, net zoals er nu toestemming nodig is om cookies te plaatsen en persoonsgegevens te verwerken. De knop valt immers onder gegevensverwerking.
Websites zijn volgens het Hof alleen verantwoordelijk voor het doorsturen van persoonsgegevens naar Facebook. Als het sociale netwerk die data eenmaal in handen heeft, dan kan een site niet verantwoordelijk worden gehouden voor wat er vervolgens mee gebeurt.
Privacy Nieuws
Websites met een likeknop van Facebook zijn volgens het Europees Hof van Justitie verantwoordelijk voor het doorsturen van persoonsgegevens naar het sociale netwerk.
Het Europese Hof deed een verstrekkende uitspraak in een zaak tegen de Duitse webshop Fashion ID van Peek & Cloppenburg.
Op de site FashionID.de is een likebutton van Facebook geplaatst. Hiermee kunnen gebruikers ervoor kiezen Fashion ID op Facebook te volgen.
Maar de like button zorgt er meteen ook voor dat op de achtergrond aan Facebook wordt doorgegeven welke internetgebruikers op een websitepagina zijn geweest.
Facebook gebruikt de informatie om bijvoorbeeld een profiel samen te stellen waarmee op basis van het surfgedrag van klanten doelgericht advertenties kunnen worden getoond.
Volgens de aanklagers gebeurde dit bij Fashion ID zonder dat gebruikers vooraf om toestemming werden gevraagd.
Volgens het Europees Hof van Justitie is in dit geval zowel Fashion ID als Facebook verantwoordelijk voor de gegevensverzameling.
De Duitse site zou zijn gebruikers daarom ook duidelijk moeten vertellen dat gegevens met het sociale netwerk worden gedeeld.
Het arrest van het Hof wordt gedeeld met het Duitse gerechtshof, dat een oordeel in de zaak zal vellen. De Europese uitspraak kan echter gevolgen hebben voor toekomstige zaken bij Europese rechtbanken.
Consequenties voor meer Europese sites
Het oordeel kan ook consequenties hebben voor andere websites die likeknoppen voor Facebook tonen. De uitspraak kan ertoe leiden dat sites explicieter toestemming moeten vragen voor het tonen van een likeknop, net zoals er nu toestemming nodig is om cookies te plaatsen en persoonsgegevens te verwerken. De knop valt immers onder gegevensverwerking.
Websites zijn volgens het Hof alleen verantwoordelijk voor het doorsturen van persoonsgegevens naar Facebook. Als het sociale netwerk die data eenmaal in handen heeft, dan kan een site niet verantwoordelijk worden gehouden voor wat er vervolgens mee gebeurt.
Privacy Nieuws
Het Duitse Bundesgerichtshof (BGH) heeft geoordeeld (VI ZR 225/17) dat klanttevredenheidsonderzoeken per e-mail over het algemeen verboden zijn. De hoogste Duitse rechter verwijst daarbij naar de Europese privacywetgeving.
Wat betekent die Duitse uitspraak voor Nederlandse ondernemers?
De basisgedachte achter de Europese privacyregelgeving is dat in heel Europa in principe dezelfde privacyregels gelden.
Dat impliceert dat jurisprudentie die elders in de EU ontstaat ook impact zou kunnen hebben op uitspraken van Nederlandse rechters en de Autoriteit Persoonsgegevens in soortgelijke zaken.
Voorzitter Aleid Wolfsen van de Autoriteit Persoonsgegevens zegt dat Europese toezichthouders regelmatig bij elkaar komen om nieuwe toelichtingen op de wet uit te werken in zogenaamde guidelines (richtlijnen).
Het zou denkbaar kunnen zijn dat er een Europese richtlijn komt over klanttevredenheidsonderzoek.
Zo lang die er niet is is het interessant om de Duitse jurisprudentie over klanttevredenheidsonderzoek te analyseren. Ook in het kader van de nieuwe veel bekritiseerde Europese e-privacywet die binnenkort naast de AVG nog meer Europese privacyregels toevoegt.
De zaak
Een Duits bedrijf verkocht goederen via Amazon en stuurde via e-mail de factuur naar de koper. In die e-mail schreef het bedrijf:
“Dames en heren, bijgevoegd uw factuur in PDF-formaat. Bedankt voor het kopen van dit artikel van ons. Wij zijn een jong bedrijf en daarom afhankelijk van goede ratings. Als u tevreden bent over onze service, vragen wij u daarom om ons een 5-sterrenscore te geven voor uw aankoop.
Als er iets mis is met het geleverde artikel of onze service, vragen wij u vriendelijk contact met ons op te nemen. Dan kunnen we het probleem oplossen. Voor de beoordeling: log gewoon in via de volgende link en geef een positieve 5-sterrenbeoordeling (…).”
De koper vond dat de verkoper via deze e-mail ongeoorloofde reclame meestuurde. Hij vond dat de verkoper alleen de factuur had mogen sturen. Het verzoek om een positieve beoordeling zou inbreuk op zijn privacy zijn.
Marketeers worden gek als ze te maken krijgen met klanten die exact naar de regels van de wet willen worden behandeld. Gaat dit niet te ver?
De aanklacht werd in eerste instantie in Duitsland verworpen door zowel de lokale rechtbank als het hof van beroep, aangezien zij geen enkele vordering tot voorlopige maatregelen op grond van §§ 1004, 823 (1) BGB zagen. Het Hof van Beroep heeft echter een beroep bij het BGH toegestaan, dat nu uitspraak heeft gedaan.
Het besluit van de BGH
De BGH verklaart dat:
- een klanttevredenheidsonderzoek valt onder het begrip (directe) reclame
- het gebruik van e-mail voor reclamedoeleinden zonder toestemming van de eiser in beginsel een inbreuk vormt op zijn beschermde privésfeer en dus op zijn algemene persoonlijkheidsrecht
Hoewel de levering van de factuur op zich geen reclame is, vormt het deel van de e-mail waarin om een evaluatie werd gevraagd volgens de Duitse rechter wel degelijk reclame.
En als we de Algemene Verordening Gegevensbescherming erbij pakken wordt al snel duidelijk waarom.
De ondernemer heeft de adresgegevens alleen gekregen om de factuur te verzenden. Er is geen toestemming gevraagd of verkregen om het e-mailadres ook voor andere specifiek genoemde doeleinden – zoals klanttevredenheidonderzoek – te gebruiken. Volgens de AVG, die in Duitsland afgekort wordt als DSGVO, is dat verplicht.
De betekenis van de Duitse uitspraak
Volgens eerdere Duitse jurisprudentie was het al moeilijk om zonder toestemming klanttevredenheidsonderzoeken via e-mail te rechtvaardigen.
De BGH benadrukt met haar jurisdictie nu dat er geen klanttevredenheidsbeoordelingen mogen worden opgenomen in anderszins legitieme e-mails aan de klant.
Met andere woorden, voor de beoordeling van de klanttevredenheid en de verzending van nieuwsbrieven is een duidelijke toestemming vereist.
Is klanttevredenheidsonderzoek per e-mail nu verboden?
Nee. Als bij het afsluiten van de koopovereenkomst netjes seperaat toestemming wordt gevraagd om het e-mailadres ook eenmalig voor klanttevredenheidsonderzoek te mogen gebruiken – en die toestemming gegeven wordt – mag het onderzoek nog steeds gedaan worden.
Deze richtlijnen gelden ook in Nederland. Voor de invoering van de AVG waren deze regels ook al van kracht.
Privacy Nieuws
Op vrijwel elke site zie je ze. Social Media buttons die bezoekers stimuleren om de pagina die ze bezoeken via Facebook, Twitter, LinkedIn, Pinterest of Whatsapp te delen. Als ze dat doen levert het gratis reclame op voor de website.
Wat veel mensen en eigenaars van websites niet beseffen is dat deze knoppen voortdurend op de achtergrond monitoren hoeveel bezoek de site krijgt, wanneer, wat er gelezen wordt en vooral ook door wie. En deze informatie wordt door social media kanalen als Facebook commercieel verwerkt. Jouw online gedrag wordt verkocht.
Zelfs als jij geen account hebt bij Facebook of Twitter weten deze bedrijven op welke sites jij geweest bent.
In Duitsland is er daarom al een paar jaar een discussie gaande over de rechtmatigheid van de like-buttons.
Is het monitoren van bezoekers nog wel toegestaan binnen de privacywetgeving?
De Verbraucherzentrale NRW, een consumentenorganisatie in de Duitse deelstaat Noordrijn Westfalen, spande een paar jaar geleden een rechtszaak aan tegen Fashion ID GmbH & Co, een onderneming van de Peek & Cloppenburg KG groep die ook modezaken in Nederland heeft.
Peek & Cloppenburg moet Facebook Like-button verwijderen
De Verbraucherzentrale NRW vindt dat het modebedrijf de Like-button van Facebook van zijn website moet verwijderen. Met deze button worden gegevens over het surfgedrag van elke gebruiker aan Facebook doorgegeven.
Dit is in strijd met (oude) eveneens Europese wetgeving op het gebied van gegevensbescherming en dus concurrentiebeperkend, meent de Verbraucherzentrale NRW.
Europese impact Duitse discussie over Like buttons
Die Duitse discussie heeft mede door de nieuwe Europese privacywet ook Europese impact.
Het Hooggerechtshof van Düsseldorf (OLG) heeft naar aanleiding van de aanklacht tegen Peek & Cloppenburg zes vragen gesteld aan het Hof van Justitie van de Europese Unie (EHvJ) over de toelaatbaarheid van de Facebook Like Button op grond van de wetgeving inzake gegevensbescherming (beslissing van 19.01.2017, ref. I-20 U 40/16).
Verregaande consequenties
Het Europese Hof van Justitie doet naar verwachting voor eind 2018 een uitspraak die verregaande consequenties kan hebben.
Het Europese Hof van Justitie moet nu feitelijk duidelijk maken of website-exploitanten de Facebook-Like-button kunnen integreren op een manier die voldoet aan de Algemene Verordenimg Gegevensbescherming (AVG).
Omdat de vragen in 2017 zijn gesteld zijn ze nog steeds gebaseerd op de oude gegevensbeschermingsrichtlijn 95/46/EG en nog niet op de nieuwe Europese privacywetgeving die sinds 25 mei 2018 van toepassing is.
Het besluit zal echter waarschijnlijk grotendeels van toepassing zijn op de huidige rechtssituatie, omdat het AVG ook overeenkomstige bepalingen bevat over de verhouding tot nationale normen, aansprakelijkheid voor gegevensbescherming en de verplichting om informatie te verstrekken.
Besluit zal van invloed zijn op alle social plugins
Het besluit zal van invloed zijn op alle social plugins. Want de knoppen van Google, Twitter en Pinterest werken volgens een vergelijkbaar principe.
Wanneer je websites met Facebook Like buttons bezoekt, worden bezoekersgegevens (zoals het IP-adres) meteen op de achtergrond automatisch doorgegeven aan Facebook. Er wordt op jouw computer een cookie geplaatst die door Facebook reclamedoeleinden wordt gebruikt. Je krijgt op basis van deze gegevens reclame te zien die precies bij jou past.
En dat gebeurt zelfs als je geen account hebt bij Facebook.
Gebruikers hoeven niet eens geregistreerd te zijn bij de social mediatycoon Facebook om gegevens door te geven. In de praktijk kunnen geregistreerde IP-adressen met behulp van de cookies worden herkend en anonieme gebruikersprofielen worden aangemaakt.
Als de gebruikers al zijn ingelogd op deze netwerken, is het altijd mogelijk om precies te traceren welke internetpagina’s door deze gebruikers zijn bezocht. Het resultaat is de facto monitoring van gebruikers in het netwerk.
De arrondisementsrechtbank in Düsseldorf bepaalde op 9 september 2016 al dat de Facebook Like button in strijd is met oude en nieuwe privacywetgeving.
Het IP-adres van de bezoekers van websites wordt zonder uitdrukkelijke toestemming van de gebruiker aan Facebook doorgegeven.
P & C ging vervolgens tegen het arrest in beroep. en de zaak werd doorverwezen naar Hooggerechtshof van Düsseldorf (OLG).
Dit hooggerechtshof heeft de procedure in 2017 opgeschort om vragen voor een prejudiciële beslissing aan het Europese Hof van Justitie voor te leggen.
De vragen die het Hof van Justitie moet beantwoorden
In de eerste plaats moet het Europese hof antwoord geven op de vraag of de Verbraucherzentrale NRW zelfs een procesrecht had.
Als het EHJ deze vraag bevestigend beantwoordt, zal het vervolgens moeten verduidelijken of een bedrijf dat de Facebook-Like button op zijn website opneemt, “verantwoordelijk” is in de zin van Europese gegevensbescherming, hoewel het de overdracht van de gegevens zelf niet kan beïnvloeden. Dit is met name relevant omdat aan de verantwoordelijkheid een aantal gegevensbeschermings- en aansprakelijkheidsrisico’s verbonden is.
Is de beheerder van een website aansprakelijk wegens nalatigheid?
Mocht het Europees Hof van Justitie deze vraag ontkennend beantwoorden, dan is Hooggerechtshof van Düsseldorf van mening dat de beheerder van de webpagina ook aansprakelijk kan worden gesteld bij nalatigheid. Daarom zou het graag van het Europees Hof van Justitie willen weten of dit überhaupt mogelijk is en of de Europese regels inzake gegevensbescherming hier definitief zijn.
Indien een of andere vorm van aansprakelijkheid wordt overwogen, rijst de vraag of de gegevens rechtmatig zijn verwerkt. Hiervoor heeft de verantwoordelijke persoon (Facebook en/of de beheerder van de website) een verantwoording op grond van de privacywet.
Wie is er verantwoordelijk? Facebook of websitebeheerder?
Het Hooggerechtshof zou in dit verband graag willen weten wie verantwoordelijk is voor rechtvaardiging van doorgifte op grond van de gegevensbeschermingswetgeving: de website-exploitant of op Facebook? Wiens “rechtmatig belang” bij de doorgifte van gegevens relevant zou zijn? Wie zou toestemming van de gebruiker moeten krijgen?
Tot slot zou een andere controversiële kwestie kunnen worden opgelost: Moet de website-exploitant zijn gebruikers informeren over de datatransmissie, hoewel hij niet weet wat Facebook met de verzonden gegevens doet?
Vanwege de onzekere juridische situatie is het volgens Duitse juristen op dit moment niet aan te raden om de Facebook Like knop direct op te nemen. Het advies van de Duitse advocaten is gelet op de Europese regelgeving ook van belang in Nederland.
