Facebook schendt privacyrecht

Het bekende sociale netwerk Facebook maakt zich schuldig aan het overtreden van de privacywetgeving. De Autoriteit Persoonsgegevens (AP, de nationale toezichthouder op het gebied van privacy en databeveiliging, red.) komt met deze conclusie na een onderzoek naar de verwerking de persoonsgegevens van een kleine 10 miljoen Nederlandse gebruikers van het sociale netwerk. De overtredingen van Facebook zijn gerelateerd aan onvolledige informatievoorziening aan betrokkenen en het onrechtmatige gebruik van zogeheten ‘bijzondere categorieën’ persoonsgegevens voor marketingdoeleinden.

Bijzondere categorieën persoonsgegevens zijn een speciale soort persoonsgegevens, die als extreem gevoelig gelden. Om deze reden zijn de voorwaarden om deze persoonsgegevens te verzamelen en verwerken strenger dan bij ‘gewone’ persoonsgegevens. Voorbeelden van bijzondere categorieën zijn gegevens over iemands ras, seksuele geaardheid, geloofsovertuiging of medische geschiedenis. De reden waarom deze persoonsgegevens aan een strenger regime zijn onderworpen, is dat het lekken van bijzondere categorieën persoonsgegevens de reële kans met zich meebrengen dat een betrokkene wordt onderworpen aan hoon, uitsluiting of sociale afkeur. In sommige gevallen kan ook geweld een gevolg zijn van het lekken van bijzondere categorieën persoonsgegevens.

In de praktijk komt het (onrechtmatig) verzamelen en verwerken van bijzondere categorieën op grote schaal voor. Het makkelijkste voorbeeld is de kopie van uw paspoort of identiteitsbewijs dat hotels maken wanneer u incheckt. Een paspoortkopie bevat een foto, en die foto geeft informatie over uw ras en/of etniciteit. Zodra een baliemedewerker de kopie in een publiekelijk toegankelijke papierbak deponeert, kan al sprake zijn van een ernstig datalek, dat zowel moet worden gemeld aan de AP als aan de betrokkene. Indien het hotel dit niet doet, bestaat de kans op een fikse boete, die vanaf 25 mei 2018 kan oplopen tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet.

Overigens is het gebruik van bijzondere categorieën persoonsgegevens niet verboden. Verantwoordelijken kunnen zeer legitieme redenen hebben om bijzondere categorieën te verwerken. Het is echter wel zaak hier een gedegen rechtsgrond voor te hebben. Deze rechtsgrond staat niet altijd gelijk aan toestemming, dat is slechts één van vele verwerkingsgrondslagen die bestaan voor de verwerking van bijzondere categorieën persoonsgegevens.

Wat verder van belang is, is dat u betrokkenen te allen tijde juist informeert. Privacyverklaringen hoeven (en mogen) niet lang, ingewikkeld en onleesbaar zijn. Het is juist de bedoeling dat deze worden gesteld in duidelijke taal, die algemeen begrijpelijk is. Het is tegelijkertijd wel van belang dat een privacyverklaring volledig en juist is. Het is daarom aan te raden om een privacyverklaring te laten opstellen door een deskundige op het gebied van privacy én op het gebied van communicatie.

Wilt u weten of u persoonsgegevens legitiem verwerkt? Heeft u moeilijkheden met een privacyverklaring? Wilt u hulp bij het voorkomen van datalekken? Certafin biedt u alle oplossingen onder een dak. Neem vandaag nog vrijblijvend contact op met Certafin.