Moet Facebook zich aan de Nederlandse privacyregels houden?

Het internet kent geen grenzen, maar toch kunnen de regels voor internetbedrijven per land behoorlijk verschillen. 

De Europese Unie probeert privacyregels gelijk te trekken, maar ondertussen blijft de vraag: moeten bedrijven als Google en Facebook zich eigenlijk wel aan de Nederlandse regels houden?

Als je in Nederland een fysiek product in de schappen legt, moet je je houden aan de Nederlandse wet. Maar Nederlandse Facebook-gebruikers sturen hun berichten naar een Amerikaans bedrijf met een Europees hoofdkantoor in Ierland, waarvan de servers misschien wel in Engeland staan. Wie heeft daar zeggenschap over?

In 2010 oordeelden de privacytoezichthouders van de 28 EU-lidstaten gezamenlijk dat nationale privacyregels van toepassing zijn als een bedrijf is "gevestigd" in een EU-land. Sindsdien wordt gediscussieerd over wat dat precies betekent. Een kantoor is een vestiging, maar geldt dat ook voor een serverpark? Of is het zelfs genoeg als er bits en bytes van een bedrijf over het grondgebied van een land lopen?

Vorig jaar schepte het Europees Hof van Justitie iets meer duidelijkheid over de kwestie, in de uitspraak die het zogenoemde 'vergeetrecht' voor zoekmachines introduceerde. 

Google had gepleit dat de Spaanse regels niet van toepassing waren, omdat het bedrijf "niet in het kader van de Spaanse vestiging", die alleen advertenties verkoopt, persoonsgegevens verwerkte. Het Hof ging daar niet in mee en zei dat het bedrijf zich aan de nationale en Europese regels moest houden.

Dwangsom

Sindsdien heeft het Nederlandse College bescherming persoonsgegevens (CBP) zowel Facebook als Google een last onder dwangsom opgelegd, omdat zij zich niet aan de Nederlandse privacyregels zouden houden.

In het geval van Google werden klanten niet goed geïnformeerd over het combineren van gegevens uit verschillende diensten om relevante advertenties te tonen. Het CBP wilde onderzoek doen naar een nieuw privacybeleid van Facebook omdat dat commercieel gebruik van privégegevens mogelijk zou kunnen maken.

Google voerde na de actie van het CBP deze week enkele veranderingen door, al blijft de waakhond dreigen met een kleinere dwangsom. Facebook en het CBP hebben hun strijd voorlopig gestaakt terwijl verder onderzoek wordt gedaan.

Ierland

Als het aan Facebook ligt, hoeft het bedrijf echter alleen naar de Ierse toezichthouder te luisteren. Het bedrijf heeft immers zijn Europese hoofdkantoor in Dublin staan. "Facebook heeft er opzettelijk voor gekozen om zichzelf in Europa te vestigen en zich aan Europese databeschermingsregels te houden", zegt privacytopman Stephen Deadman van Facebook.

Bij rechtszaken in onder meer Nederland en België heeft het bedrijf de lokale toezichthouders daarom doorverwezen naar de collega's in Ierland. "We worden al jarenlang grondig gereguleerd door de Ierse toezichthouder", aldus Deadman.

Het CBP ziet dat anders. Bedrijven vallen onder de Nederlandse regels "als er gegevens worden verwerkt op apparatuur die zich in Nederland bevindt, bijvoorbeeld smartphones in het geval van Whatsapp."

“Het standpunt van Facebook is: wij zijn alleen gevestigd in Ierland, dus wij vallen alleen onder de Ierse wet”
Arnoud Engelfriet

De toezichthouder verwijst naar de Nederlandse Wet bescherming persoonsgegevens (Wbp), die ook van toepassing is als niet in Europa gevestigde bedrijven Nederlandse computers gebruiken voor het verwerken van gegevens. Facebook is wél in de EU gevestigd, en lijkt daardoor de Nederlandse wet te ontlopen.

Volgens internetjurist Arnoud Engelfriet moet een in Europa gevestigd bedrijf wel degelijk een Nederlands kantoor hebben om onder de Wbp te vallen. "Het doet er niet echt toe of het een hoofdkantoor is, maar je moet wel echt iets doen in Nederland. Het standpunt van Facebook is: wij zijn alleen gevestigd in Ierland, dus wij vallen alleen onder de Ierse wet."

Nieuwe regels

Om de huidige verwarring weg te nemen, wordt in de Europese Unie gewerkt aan nieuwe regelgeving op het gebied van databescherming. Dat moet zorgen voor strengere regels, maar vooral ook voor een gelijk speelveld in heel Europa.

Centraal concept in de nieuwe regels is de 'one-stop shop', ofwel de mogelijkheid voor bedrijven om voor alle Europese activiteiten onder het toezicht van één enkele waakhond te staan: precies wat Facebook wil.

“Het wordt makkelijker voor bedrijven maar het moet verder geen negatieve consequenties hebben voor burgers”
Inger Sanders

Onder de nieuwe regels kunnen Nederlanders wel met al hun klachten terecht bij het CBP, waar voor bedrijven zonder Nederlandse vestiging nu naar andere Europese toezichthouders moet worden gestapt. De belangrijkste taken komen echter bij de waakhond in het land van het hoofdkantoor te liggen.

"Het wordt makkelijker voor bedrijven maar het moet verder geen negatieve consequenties hebben voor burgers", zegt woordvoerster Inger Sanders van het CBP over de nieuwe regels. Zij vindt dat de hoofdtoezichthouder zich moet gaan gedragen als een "kapitein", die nog wel naar zorgen van andere toezichthouders luistert.

De nieuwe regels hebben niet alleen gevolgen voor grote bedrijven als Facebook. "Wij zijn groot en kunnen wel met deze dingen omgaan", zegt Deadman. "Het echte probleem ligt bij kleine Europese techbedrijven voor wie het een groot voordeel zou zijn om in één land gevestigd te zijn en niet te hoeven denken over 28 verschillende wetten."

Dialoog

In de Europese Raad moeten de EU-lidstaten de details van de nieuwe regels nog bespreken, dus het is onduidelijk wanneer deze precies van kracht worden. Ondertussen blijven veel internetbedrijven zich in hun grijze gebied bevinden.

"Dat we zijn gevestigd in Ierland en ons daar aan de wet houden betekent niet dat we niet luisteren naar toezichthouders in andere delen van de wereld", belooft Deadman van Facebook.

Ook na het aanspannen van een rechtszaak door de Belgische Privacycommissie beloofde Facebook onlangs te blijven luisteren naar de zorgen uit België. Maar dan wel "via een dialoog met Facebook Ierland en met onze toezichthouder, de Irish Data Protection Commissioner." Vrij vertaald: de Belgische wet is voor ons irrelevant.

Meer langere verhalen en achtergronden op NUweekend

Gerelateerde artikelen

Tip de redactie