Een belangrijke uitspraak van het Europees Hof van Justitie. De rechtbank heeft bepaald dat nationale toezichthouders onder bepaalde voorwaarden zelf onderzoek mogen uitvoeren als ze menen dat een bedrijf de Algemene Verordening Gegevensbescherming (AVG) overtreedt. Ze hoeven niet langer af te wachten tot de privacywaakhond ingrijpt van het land waar het bedrijf zijn hoofdkantoor heeft gevestigd.
Dat staat in het vonnis van het Europees Hof van Justitie.
België wil optreden tegen ‘buitensporige’ manier van data verzamelen door Facebook
Voor het begin van de zaak moeten we terug naar september 2015. De voorzitter van de Belgische Commissie voor de bescherming van de persoonlijke levenssfeer (ook wel de Privacycommissie genoemd) zei dat Facebook zich schuldig maakte aan privacyinbreuk van Belgische internetgebruikers wegens het verzamelen en gebruiken van informatie over hun surfgedrag via technologieën als cookies, social plug-ins en de Facebook pixel.
Door de invoering van de AVG in mei 2018, nam de Gegevensbeschermingsautoriteit (GBA), de Belgische tegenhanger van de Autoriteit Persoonsgegevens, het stokje over van de Privacycommissie. Die eiste eveneens dat Facebook stopt met de ‘buitensporige’ manier van het volgen van Belgische internetgebruikers.
Advocaten van het sociale netwerk betoogden dat de Belgische toezichthouder niet bevoegd was om een procedure tegen het bedrijf te starten. Het éénloketsysteem bepaalt namelijk dat alleen de nationale toezichthouder van het land waar het hoofdkantoor van het bedrijf is gevestigd, handhavend mag optreden. Alleen de Ierse Data Protection Commission (DPC) zou dus een onderzoek mogen starten naar de vermeende privacyinbreuk.
Facebook kan zich niet langer achter Ierse toezichthouder verschuilen
Het Europees Hof van Justitie maakte dinsdag gehakt van het argument van Facebook. Het Hof stelt dat de ‘leidende toezichthouder’ (de toezichthouder van het land waar het hoofdkantoor staat) onder bepaalde voorwaarden niet de ‘leidende autoriteit’ hoeft te zijn die een overtreding van de AVG onderzoekt. Als de DPC bijvoorbeeld zich onttrekt aan “een noodzakelijke dialoog en een loyale en doeltreffende samenwerking met de andere betrokken toezichthoudende autoriteiten”, mogen andere nationale toezichthouders onderzoek uitvoeren zonder de Ierse privacywaakhond. Artikel 56 lid 1 en artikel 60 lid 7 van de AVG schetsen de voorwaarden van internationale samenwerking tussen nationale toezichthouders.
De uitspraak houdt niet in dat toezichthouders op eigen houtje onderzoeken mogen instellen naar vermeende privacyovertredingen van internationaal opererende techbedrijven. Ze moeten nog steeds eerst aankloppen bij de toezichthouder van het land waar het hoofdkantoor is gevestigd. Als dat niets oplevert, kan de toezichthouder de zaak voor de nationale rechter brengen.
GBA is ‘verheugd’ met de uitspraak van het Hof
Hielke Hijmans, voorzitter van de Geschillencommissie van de GBA, zegt ‘verheugd’ te zijn met de uitspraak van het Europees Hof van Justitie. Hij benadrukt dat het éénloketsysteem ‘van cruciaal belang’ blijft voor de bescherming van Europese burgers.
David Stevens, voorzitter van de GBA, is eveneens blij met het ‘genuanceerde oordeel’ van het Hof. “Wij zijn vooral verheugd over de ruime interpretatie van de bevoegdheden van nationale toezichthouders (zoals de GBA). We vinden het ook belangrijk dat het Hof benadrukt dat er steeds door alle toezichthouders loyaal en constructief moet worden samengewerkt. Voor de bescherming van de privacy van de burgers en de geharmoniseerde toepassing van de AVG is dit arrest dus een goede zaak. Wij zijn er altijd van overtuigd geweest dat het belangrijk is dat de autoriteiten de mogelijkheid behouden om namens de gebruikers op te treden. Uiteraard moeten daarbij steeds de voorwaarden van de AVG worden nageleefd”
