- WhatsApp lanceert nieuwe privacyvoorwaarden
- HmbBfDI: ‘Nieuwe voorwaarden zijn vaag en onduidelijk’
- Instemming nieuwe voorwaarden is in strijd met AVG
- ‘Niet-transparante voorwaarden voor verregaande gegevensoverdracht’
- Verbod slechts voor drie maanden geldig
- WhatsApp gaat verder met verkrijgen toestemming
De Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) verbiedt WhatsApp om gebruikersdata van Duitse gebruikers te delen met Facebook. De nieuwe privacyvoorwaarden van WhatsApp zijn niet duidelijk genoeg, en voldoet daarom niet aan de Europese privacywetgeving. De chatapplicatie zegt dat de uitspraak gebaseerd is op een misverstand.
Dat schrijft de HmbBfDI in een persbericht. Het verbod gaat per direct in en geldt voor geheel Duitsland.
WhatsApp lanceert nieuwe privacyvoorwaarden
Het draait om de nieuwe privacyvoorwaarden die WhatsApp in januari bekendmaakte. Daarin schreef de chatdienst dat het gebruikersdata met Facebook wilde delen om haar dienstverlening te verbeteren. Het ging onder meer om apparaatgegevens, locatiegegevens, IP-adressen en contactinformatie. Aanvankelijk eiste WhatsApp dat gebruikers vóór 8 februari instemden met de nieuwe voorwaarden. Zo niet, dan dreigde het platform om accounts te verwijderen.
Het nieuws veroorzaakte heel wat commotie. Gebruikers vonden dat WhatsApp hen geen keuze gaf en wel moesten instemmen met de nieuwe privacyvoorwaarden. De chatapp zegt dat dit nooit de bedoeling is geweest en besloot om de deadline op te schuiven naar 15 mei. Het platform zou deze tijd gebruiken om ‘verwarring en misinformatie’ weg te nemen.
HmbBfDI: ‘Nieuwe voorwaarden zijn vaag en onduidelijk’
De privacytoezichthouder in de Duitse deelstaat Hamburg is niet te spreken over de vernieuwde voorwaarden. Zo staat er volgens de HmbBfDI in dat Facebook het recht heeft om data van dochterondernemingen te verzamelen. Er staat geen woord in over een rechtmatig belang om deze gegevens te verwerken. Tevens laat het sociale medium duidelijk blijken dat het interesse heeft in data van jongeren. Een paragraaf over dat WhatsApp geen data deelt met Facebook, is bovendien weggelaten uit de definitieve tekst.
Facebook heeft altijd gezegd dat er voor Europese gebruikers niets gaat veranderen. De Algemene Verordening Gegevensbescherming (AVG) verbiedt immers datadeling tussen moeder- en dochterbedrijven. Volgens de HmbBfDI is Facebook hier vaag en onduidelijk over.
Instemming nieuwe voorwaarden is in strijd met AVG
Facebook heeft weliswaar gezegd dat het WhatsApp-data van Europese gebruikers niet gaat verzamelen, heeft de Duitse toezichthouder hier zijn twijfels over. De bepalingen over het delen van data tussen beide platforms zijn verdeeld over de privacyvoorwaarden. Daarnaast zijn deze onduidelijkheid en is het onbekend welke voorwaarden voor Europese gebruikers gelden en welke niet. Bovendien is de inhoud misleidend en bevat hij ‘aanzienlijke tegenstrijdigheden’. “Zelfs na grondige analyse is het niet duidelijk welke gevolgen de toestemming heeft voor de gebruikers”, zo schrijft de HmbBfDI.
Een ander heikel punt voor de Duitse toezichthouder is de wijze waarop WhatsApp toestemming probeert te verkrijgen. Gebruikers die niet vóór 15 mei instemmen met de nieuwe voorwaarden, kunnen na enkele weken niet langer gebruikmaken van alle functionaliteiten. In het begin kunnen ze niet nieuwe berichten lezen of versturen. Een paar weken later ontvangen gebruikers niet langer notificaties, berichten of videogesprekken meer. Tot slot worden inactieve accounts na 120 dagen automatisch verwijderd. De HmbBfDI stelt dat hier geen sprake is van ‘vrijelijke instemming’, wat echter wel verplicht is volgens de Europese privacyregels.
‘Niet-transparante voorwaarden voor verregaande gegevensoverdracht’
Voor de Duitse toezichthouder is het kristalhelder: er is geen grondslag voor Facebook om persoonsgegevens van WhatsApp-gebruikers te verzamelen voor haar eigen doel. Het bedrijf kan zich ook niet beroepen op een ‘prevalerend rechtmatig belang’ om WhatsApp-data te verwerken, omdat de rechten en vrijheden van gebruikers zwaarder wegen. Tot slot wordt toestemming niet op een vrijelijke en geïnformeerde wijze verkregen. Dat geldt in het bijzonder voor jongeren. “Om deze redenen kan toestemming op grond van de wetgeving inzake gegevensbescherming niet worden beschouwd als een juridische grondslag”, aldus de HmbBfDI.
Volgens de toezichthouder hebben de privacyvoorwaarden maar één doel voor ogen: om de nauwe band tussen Facebook en WhatsApp verder te verstevigen zodat Facebook de gegevens van WhatsApp-gebruikers op ieder moment kan gebruiken voor haar eigen doeleinden. “Gebruikers worden door WhatsApp geconfronteerd met niet-transparante voorwaarden voor verregaande gegevensoverdracht”, zo schrijft de privacywaakhond. De instantie vreest dat datadeling onder de nieuwe voorwaarden alsnog stapsgewijs ingevoerd kan worden in de toekomst, als gebruikers hier nu mee instemmen.
Verbod slechts voor drie maanden geldig
De HmbBfDI concludeert dat de aanpak en vereisten van Facebook en WhatsApp niet voldoen aan de AVG. Het verbod om data van 60 miljoen WhatsApp-gebruikers in Duitsland te verzamelen gaat dan ook per direct in. Bovendien geldt het verbod voor heel Duitsland. Johannes Caspar, commissaris bij de toezichthouder uit Hamburg, zegt dat hij met het verbod een de rechten en vrijheden van miljoenen gebruikers wil beschermen en een ‘black box procedure’ wil voorkomen. “Dit heeft betrekking op de grondrechten en ook de mogelijkheid om profilering te gebruiken om kiezersbeslissingen te beïnvloeden en zo democratische besluitvormingsprocessen”, zo stelt Caspar, doelend op de Russische inmenging bij de Amerikaanse presidentsverkiezingen van 2016.
Het verbod dat via een spoedprocedure is verkregen, geldt slechts voor drie maanden. De komende maanden zal de HmbBfDI de zaak daarom voorleggen aan de European Data Protection Board (EDPB). Zo wil de toezichthouder een bindend besluit op Europees niveau mogelijk maken.
WhatsApp gaat verder met verkrijgen toestemming
Een woordvoerder van WhatsApp zegt tegenover Euronews dat de uitspraak gebaseerd is op een misverstand. “Aangezien de beweringen van de HmbBfDI onjuist zijn, zal het bevel geen invloed hebben op de verdere uitrol van de update. We blijven ons volledig inzetten voor het leveren van veilige en privécommunicatie voor iedereen”, aldus de woordvoerder.
