Bye Bye Facebook = Bye Bye Facebookgegevens?

Er is veel gezegd en geschreven over Facebook. Wellicht waren de gebeurtenissen voor u reden om gehoor te geven aan de Bye Bye Facebook-oproep van Arjan Lubach. Maar als u werkelijk tot een van degenen behoort die de daad bij het woord voegden en besloot Facebook vaarwel te zeggen, wil dat nog niet zeggen dat u vanaf nu voor het bedrijf een onbekende bent. 

Wat betekent uw vertrek eigenlijk voor alle gegevens die u in de loop der tijd met het bedrijf deelde, anderen over u op Facebook hebben gezet en het platform aanvullend zoal over u te weten is gekomen, onder meer door nadere analyse van uw gedrag? De gebeurtenissen vormen een mooie aanleiding om te kijken welk instrumentarium de nieuwe Europese Verordening Gegevensbescherming u vanaf mei biedt om van sociale media als Facebook af te komen. Terzijde, maar niet voor nu: overheidsorganisaties, andere publieke instanties en bedrijven zouden zich evenzeer op hun Facebook-toekomst moeten beraden. Om talloze redenen zal Bye Bye Facebook hier helaas een (nog) grotere uitdaging zijn dan voor particulieren.

Stel dat Bye Bye Facebook voor u impliceert dat u het platform niet alleen de rug toe keert, maar ook uw gegevens gewist wilt hebben. De huidige Wet Bescherming Persoonsgegevens (Wbp) – kent reeds het recht om persoonsgegevens te laten verwijderen. Dit recht is echter niet absoluut, en kan dus slechts onder bepaalde voorwaarden worden ingeroepen. Het komt betrokkenen in ieder geval wel toe als de persoonsgegevens niet meer nodig zijn voor de doelen waarvoor deze zijn verzameld of verwerkt. Ook is het recht van toepassing als de betrokkene diens toestemming voor de verwerking intrekt. In de praktijk betekent het dat Facebook in diverse gevallen zal moeten wissen en wel zonder onredelijke vertraging.

Maar daarmee zwerven de gegevens natuurlijk nog steeds overal rond omdat Facebook gegevens doorverstrekt, zo toont de kwestie met Cambridge Analytica. Het nieuwe regime beoogt hier wat aan te doen en introduceert in art. 17 het recht op vergetelheid. Onder de Verordening kunnen we van Facebook verlangen dat het feit dat een beroep is gedaan op het recht op verwijdering ook wordt gemeld aan derden die de gegevens eerder hebben ontvangen. Maar ook nu is dit recht niet absoluut. Verwerkers zijn slechts verplicht – rekening houdend met de stand van de techniek – tot het nemen van redelijke maatregelen om deze derden te informeren. En echt doorbijten doet de nieuwe bepaling ook niet, nu met geen woord wordt gerept over de consequenties van en daarmee aansprakelijkheid voor het niet-nakomen van deze verplichting. Dit is precies waar het in de kwestie met Cambridge Analytica spaak op liep. Het bedrijf bevestigde aan Facebook dat zij de data zou wissen, maar Facebook had dat niet gecontroleerd.

Stel dat u met Bye Bye Facebook het sociale netwerk de rug toekeert, maar uw zorgvuldig opgebouwde online profiel niet zomaar kwijt wilt. Gelukkig biedt de Verordening de helpende hand. Artikel 20 maakt het – onder de noemer van ‘dataportabiliteit’ – mogelijk om uw profiel mee te nemen naar een ander platform. En we hoeven gelukkig geen genoegen te nemen met de archaïsche vormen waarmee bedrijven op dit moment consumenten zoet houden als een verzoek om inzage wordt gedaan (zoals het toesturen van een onoverzichtelijk pak papier met prints of een cd met bestanden). Dataportabiliteit onder de Verordening betekent dat consumenten het recht hebben om de gegevens in een gestructureerde, gangbare en machineleesbare vorm te ontvangen. Kortom, ze zouden relatief eenvoudig van het ene naar het andere platform mee te nemen moeten zijn.

Maar wederom kent het recht tal van beperkingen. Zo geldt dataportabiliteit uitsluitend voor ‘door de betrokkene verstrekte gegevens’. De Artikel 29-Werkgroep (de EU werkgroep gevormd door de voorzitters van de nationale toezichthouders) interpreteert dit criterium ruim.1 Het gaat niet alleen om actief door de consument verstrekte gegevens, maar ook ‘passief verstrekte’ gegevens. Dit zijn dan persoonsgegevens die betrekking hebben op activiteiten van de betrokkene (bijvoorbeeld geregistreerde ‘Likes’, zoekgedrag, ingestelde voorkeuren). Of een voorbeeld buiten Facebook: uw belhistorie bij een telecomaanbieder. Buiten het bereik van dataportabiliteit – gegeven het criterium ‘verstrekt door’ – vallen gegevens die op basis van nadere analyse van uw gedrag door de verantwoordelijke zijn gegenereerd. Met andere woorden, een door Facebook toegekende ‘reputatiescore’ op basis van uw online gedrag (bijvoorbeeld op een online marktplaats) krijgt u niet mee met een beroep op dataportabiliteit.

Belangrijk is te beseffen dat het overbrengen van de gegevens van bijvoorbeeld Facebook naar een ander platform niet automatisch betekent dat Facebook die gegevens dan dient te verwijderen. Helaas kent de Verordening geen bepaling die de verwerker verplicht om de gegevens van degene die niet langer gebruik maakt van de diensten direct uit de systemen te verwijderen. Uiteindelijk zal een bedrijf dat niet langer een relatie onderhoudt met een digitale klant de gegevens moeten verwijderen omdat er geen grondslag aanwezig is voor de verwerking, maar in de praktijk zullen weinig bedrijven de noodzaak voelen om het systeem direct op te schonen. Wel kan een consument daartoe zelf een poging doen en een beroep doen op het eerdergenoemde recht op verwijderen.

Al met al: wie van Facebook af wil zal zich de nodige moeite moeten getroosten. En dan nog biedt de aankomende Verordening het bedrijf de nodige ruimte om ons niet echt gedag te hoeven zeggen.

 

Dit Vooraf is verschenen in NJB 2018/748, afl. 16. 

 

  1. De Nederlandse vertaling van de betreffende richtlijnen is te vinden op: https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/richtlijnen_dataportabiliteit.pdf
Corien Prins

Naam auteur: Corien Prins
Geschreven op: 16 april 2018

Hoogleraar Recht en Informatisering aan de Universiteit van Tilburg

Reageer op dit artikel
















Even geduld a.u.b.

Reacties

Frits Jansen schreef op :
Wie Facebook de rug toekeert krijgt voortaan weer massa's reclame die niet op de ontvanger zijn toegesneden.
En wie Cambridge Analytica vervloekt riskeert lastig te worden gevallen met meningen die de eigen mening niet bevestigen maar daar tegenin gaan, wat natuurlijk heel irritant is voor iemand die juist op zoek is naar bevestiging.
De reclamebranche zal naar een andere uitweg zoeken, indachtig de "wet van behoud van irritatie".



Lees en doorzoek het NJB online in Navigator

Inloggen

Agenda

Afbeelding

Ontmoet vakgenoten en bespreek actuele onderwerpen in de LinkedIn-groep van het Nederlands Juristenblad.

 

 

U maakt gebruik van een verouderde browser

Het gebruik van een verouderde browser maakt uw computer onveilig en tevens ongeschikt voor het optimaal raadplegen van deze website.

De website van het NJB - Nederlands Juristenblad is namelijk geoptimaliseerd voor een nieuwere versie van uw browser.
In de meeste gevallen waarin het fout gaat, betreft dit het gebruik van de Internet Explorer browserversie 7 of 8.
Deze website is geoptimaliseerd voor Internet Explorer 9 en hoger, Google Chrome, Safari en Firefox.

Bekijk hier of er een nieuwere versie van uw browser beschikbaar is.