GDPR: Het Europese Hof van Justitie waarschuwt…

Yves Van Couter, Stephanie De Smet & Garance Dekeyser
In haar arrest van 5 juni 2018 had het Europese Hof van Justitie een duidelijke boodschap voor de eigenaars van Facebook Fan Pagina’s: door uw keuze om het sociale netwerk van Facebook te gebruiken voor marketingactiviteiten, bent u samen met Facebook mede verantwoordelijk voor het verwerken van persoonsgegevens van de bezoekers van uw Fan Pagina. Dit arrest heeft er voor gezorgd dat een aantal bedrijven de drastische beslissing genomen hebben om hun Facebook Fan pagina’s af te sluiten. Anderen worstelen ermee om een pragmatische oplossing te vinden voor deze nieuwe (gezamenlijke) verantwoordelijkheid.

Een Duitse organisatie bood educatieve diensten aan via een Facebook Fan Pagina en verkreeg statistieken door Facebook Insights. De Facebook Insights dienst werkt als volgt: door middel van cookies verzamelt Facebook persoonsgegevens over de bezoekers van een Fan Pagina, Facebook analyseert vervolgens deze informatie en creëert anonieme statistieken voor de beheerder van de Fan Pagina. Op basis van deze informatie kan de beheerder van de pagina vervolgens ook aan Facebook vragen om doelgerichte advertenties te plaatsen.
De Duitse organisatie had zelf geen toegang tot de persoonsgegevens van de bezoekers van haar Fan Pagina, alleen Facebook had deze informatie. Toch stelde de Duitse Gegevensbeschermingsautoriteit (equivalent van de Belgische Privacy Commissie of de Nederlandse Autoriteit Persoonsgegevens) dat noch de Duitse organisatie, noch Facebook de bezoekers op de hoogte bracht van de verwerking van hun persoonsgegevens. De Autoriteit beval vervolgens de de-activatie van de Fan Pagina. Dit werd door de Fan Pagina beheerder betwist die argumenteerde dat dat het geen “verwerkingsverantwoordelijke” was in de zin van de privacywetgeving (GDPR) en dat de Autoriteit alleen kon maar vaststellen dat Facebook zelf haar wettelijke verplichtingen niet nakwam. De Duitse rechtbanken verwezen de zaak door naar het Hof van Justitie.
Europees Hof van Justitie bevestigt de wettelijke verantwoordelijkheid van eigenaars van Facebook Fan Pagina’s
De belangrijkste vraag die aan het Hof van Justitie werd voorgelegd, was of de houder van een Fan Pagina op sociale media ook de wettelijke verplichtingen heeft van een “verantwoordelijke” in de zin van de privacywetgeving, rekening gehouden met het feit dat deze houders zelf geen toegang krijgen tot enige persoonsgegevens. Via de Facebook Insights tool krijgen zij alleen anonieme statistieken.
Het Hof van Justitie bevestigde de opvatting van de Duitse Gegevensbeschermingsautoriteit:
• De beheerder van een Fan Pagina die wordt gehost op een sociaal netwerk (Facebook), creëert door het maken van zo’n pagina, de mogelijkheid om cookies te plaatsen op het apparaat van een bezoeker van de Fan Pagina;
• Aangezien de beheerder van de Fan Pagina de parameters bepaalt en hierdoor de verwerking van persoonsgegevens beïnvloedt (met behulp van filters die beschikbaar zijn op Facebook, kan de beheerder bepaalde criteria selecteren als basis voor de gemaakte statistieken), draagt de beheerder bij tot de vaststelling van de doeleinden en de middelen voor het verwerken van persoonsgegevens; en
• het feit dat de beheerder geen toegang heeft tot de persoonsgegevens zelf belet niet dat hij een “gezamenlijke verantwoordelijke” is, samen met Facebook.
“Gezamenlijke” verantwoordelijkheid is geen “gelijke” verantwoordelijkheid
Het Hof van Justitie heeft nu duidelijk gemaakt dat beheerders van een Fan Pagina die het door Facebook gehoste platform gebruiken om te genieten van de door Facebook aangeboden bijhorende diensten, mede verantwoordelijk zijn met Facebook voor de naleving van de GDPR wat de verwerking van gegevens van de bezoekers van de Fan Pagina betreft. Dit heeft er al voor gezorgd dat een aantal bedrijven hun Fan Pagina’s hebben verwijderd, simpelweg omdat zij de wettelijke GDPR verantwoordelijkheid niet met Facebook willen delen.
Aan de andere kant laat het Hof van Justitie wel wat ademruimte voor de eigenaars van een Fan Pagina, en verduidelijkt zij dat het bestaan van een “gezamenlijke” verantwoordelijkheid niet noodzakelijk een “gelijke” verantwoordelijkheid impliceert. De beheerders en Facebook zullen immers in verschillende stadia van de verwerkingsactiviteit en in verschillende mate betrokken zijn, zodat de mate van verantwoordelijkheid van ieder moet worden beoordeeld met de inachtneming van alle relevante criteria.
Disclaimers
Welke impact deze rechtspraak op lange termijn in de praktijk zal hebben is natuurlijk nog af te wachten. In de tussentijd zijn Fan Pagina beheerders wel begonnen met het plaatsen van bijkomende ‘disclaimers’ op hun Fan Pagina om te voldoen aan hun transparantieverplichting als “gezamenlijke verantwoordelijke” en ook Facebook heeft een herziening van haar algemene voorwaarden aangekondigd om tegemoet te komen aan het scenario van de gezamenlijke verantwoordelijkheid.
De auteurs Yves Van Couter, Stephanie De Smet en Garance Dekeyser zijn alle werkzaam bij Loyens & Loeff Advocaten in Brussel bij Litigations en Risk Management, respectievelijk als Partner, Senior Associate en Associate.