Juristen: Google schendt de wet met gebruik userdata


Bron
:
Computerworld
Gepubliceerd
:
11 november 2013
Auteur
:
René Schoemaker
Het verwerken van persoonlijke data van gebruikers in advertorials en advertenties door Google is zeer waarschijnlijk in overtreding van het portretrecht en mogelijk ook van de Wet bescherming persoonsgegevens. Dat zeggen juristen.

Google is vandaag gestart met het gebruik van namen, foto’s en reacties van gebruikers in advertenties, niet alleen op Google’s eigen pagina’s maar ook via het wereldwijd gebruikte advertentienetwerk.

Het gaat daarbij vooral om endorsements, advertentie-achtige uittingen waarbij een gebruiker een bepaald product of dienst aanprijst. Het Google-advertentienetwerk beslaat meer dan twee miljoen sites en heeft een potentieel bereik van een miljard mensen.

Met grote waarschijnlijkheid tegen de wet

Maar het gebruik van namen, foto’s en andere persoonlijke data van gebruikers van Google+ in advertenties en advertorials is naar grote waarschijnlijkheid tegen de wet. Ten eerste is het gebruik van foto’s al in tegenspraak met het portretrecht, maar daarnaast heeft Google+ door het gebruik van opt-out waarschijnlijk de Wet bescherming persoonsgegevens geschonden.

Twee juristen die door Webwereld zijn gevraagd naar hun professionele mening over de eenzijdige verandering van de gebruikersvoorwaarden door Google, zijn het eens over de grote waarschijnlijkheid van die overtredingen. Of er daadwerkelijk wetsregels zijn overtreden, is wel aan de rechter, zo houden zij een juridische slag om de arm.

Portretrecht: gebruiker staat sterk

Over het portretrecht zijn de twee, Christiaan Albertink Thijm (bureau Brandeis) en Thomas van Essen (SOLV), het eens. “Bij het gebruik van foto’s voor reclamedoeleinden is het altijd belangrijk je daartegen te verzetten. En de jurisprudentie tot nu toe is daar duidelijk in het voordeel van de gebruiker geweest”, zegt Thijm. “Opt-in is daarin de enige weg voor Google.”

Van Essen: “Betrokkenen zouden zich kunnen verzetten tegen het gebruik van hun portret in advertenties. Ze moeten dan een redelijk belang kunnen aantonen. Verder zouden zij, als ze auteursrechthebbenden zijn ten aanzien van de profielfoto, kunnen proberen de openbaarmaking daarvan in een advertentie te verbieden.”

Handelswijze Google neigt naar wetsovertreding

Lastiger ligt het met de Wet bescherming persoonsgegevens, vinden beiden, alhoewel de handelswijze van Google tot nu toe neigt naar het overtreden van diverse aspecten in die wet. Daarbij gaat het vooral om de handelswijze van Google naar de gebruikers toe. Van Essen zet eerst even de aspecten van de wet op een rijtje:

De Wet bescherming persoonsgegevens (Wbp) bepaalt dat persoonsgegevens alleen verzameld mogen worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (art 7 Wbp). Persoonsgegevens mogen niet verder verwerkt worden dan voor deze doeleinden (art 9 Wbp).

Degene om wiens persoonsgegevens het gaat (de betrokkene) moet van deze doeleinden op de hoogte worden gesteld (art 33 en 34 Wbp). Er rust dus een informatieplicht op de partij die persoonsgegevens verzamelt.

Daarnaast moet de verwerking van persoonsgegevens gebaseerd zijn op één van de zes in artikel 8 Wbp opgenomen grondslagen. Indien een verwerking aan geen van deze voorwaarden voldoet, is deze niet toegestaan. De meest voorkomende wettelijke grondslagen zijn ondubbelzinnige toestemming (8a Wbp), noodzaak voor de uitvoering van een overeenkomst (8b Wbp) of een gerechtvaardigd belang (8f Wbp).

Datagebruik anders dan eerst is verteld

Volgens Van Essen kan Google niet volhouden dat het de gegevens van de gebruikers niet anders gaat gebruiken dan het doel waarvoor de gegevens zijn verkregen, zeker als het gaat om foto’s. “Het hangt af van de omstandigheden van het geval. Er moet een afweging worden gemaakt. In dit geval lijkt mij lastig vol te houden dat het gebruik van foto’s in licentie verenigbaar is met het oorspronkelijke doel van verwerking.”

Van Essen vervolgt: “Voor zover ik kan beoordelen, is er bij de oorspronkelijke verstrekking van gegevens aan Google, bijvoorbeeld in het kader van een Google+-profiel, aan de betrokkenen niet medegedeeld dat de gegevens voor de advertentiedoeleinden gebruikt zouden worden. Het feit dat Google de service voorwaarden op dit punt aanpast, duidt daar ook op.”

Informatieplicht: wel voldoende of juist niet?

Vervolgens is er nog de informatieplicht. Daaraan lijkt voldoende te zijn voldaan, zegt Van Essen. Via onder meer een advertentie op de Google-homepage en via het berichtensysteem op het Google+-netwerk, dat herkenbaar is aan de bel/klok aan de rechterbovenkant van de pagina’s, zijn gebruikers geïnformeerd. Ook is daarover een e-mail gestuurd. Niettemin vindt Thijm het nog onvoldoende. “Ik vind het nog onvoldoende transparant.”

Thijm wijst ook op de “ondubbelzinnige toestemming” die in zijn ogen van kracht moet zijn voordat Google de gegevens mag gebruiken voor doelen anders dan waarvoor die gegevens zijn vergaard. Daarin wordt hij gesteund door Van Essen. Een opt-out is geen vorm van ondubbelzinnige toestemming. “De afwezigheid van enig handelen kan niet als toestemming worden gezien”, zegt hij, doelend op opt-out.

Dit is overigens ook wat het College Bescherming Persoonsgegevens vindt: “Opt out is niet gelijk aan toestemming. Het uitblijven van een reactie is dus niet gelijk aan het geven van toestemming", zei het CBP eerder in een beschouwing rond de cookiebepaling.

Wiens belang gaat voor: Google of de gebruiker?

Heikel punt van twijfel is nog wel het begrip “gerechtvaardigd belang”: weegt het commerciële belang van Google op tegen het privacybelang van de gebruiker. “En wat voor voordeel heeft de gebruiker hierbij?”, vraagt Thijm zich retorisch af, om dan toch in te koppen: “In dit geval geen enkele. De gebruiker is hierin zelfs zwaar in het nadeel bij Google.” Van Essen: “Uiteindelijk zal een rechter moeten oordelen of hier sprake van is, maar ik kan me voorstellen dat in dit geval het privacybelang van de betrokkene zwaarder weegt dan het commerciële belang van Google om de persoonsgegevens zonder toestemming te verwerken.”

Het College bescherming Persoonsgegevens houdt zich op de vlakte over de kwestie. Op vragen van Webwereld zegt een woordvoerder van het CBP dat een onderzoek naar een aanpassing van de gebruikersvoorwaarden van anderhalf jaar geleden nog loopt. Samen met vijf andere toezichthouders wordt bekeken of de consolidatie van de gebruiksvoorwaarden door Google wel voldoet aan de privacywetgeving. “In het kader van dat onderzoek kunnen we niet ingaan op deze nieuwe kwestie. Maar het lopende onderzoek gaat juist over deze materie inderdaad.”

Google geeft algemene reactie

Google heeft op vragen van Webwereld vooralsnog een algemene reactie. “We respecteren de keuzes die je hebt gemaakt in de oude situatie. Dat betekent dat als je ons al eerder hebt aangegeven dat je niet wil dat je +1’s opduiken in advertenties, niets van je andere gedeelde endorsements in advertenties zullen verschijnen.”

“We hebben gebruikers op verschillende manieren op de hoogte gesteld, met een interstitial (soort advertentie, red) op de homepage van Google, via de zoekresultaten en via het Google+-notificatiesysteem. We denken dat onze update van de Terms of Service een positieve stap is in het verduidelijken van belangrijke privacy- en beveiligingsonderdelen voor onze gebruikers, en zijn volledig in overeenstemming met de wet.”