Klagen over WhatsApp kan binnenkort gewoon in Nederland
Het Amerikaanse bedrijf WhatsApp Inc. verloor op 22 november 2016 de rechtszaak die zij had aangespannen tegen de Autoriteit Persoonsgegevens nadat deze een sanctiebesluit aan WhatsApp had opgelegd. WhatsApp had volgens de Autoriteit Persoonsgegevens de Wet bescherming persoonsgegevens overtreden, nu zij van haar Nederlandse gebruikers op Nederlandse smartphones wél persoonsgegevens verwerkt (en niet enkel doorvoert), en daarbij geen Nederlandse ‘vertegenwoordiger’ heeft aangewezen. Zo’n vertegenwoordiger zou het voor de Nederlandse consument (WhatsApp-gebruiker in dit geval) makkelijker moeten maken om klachten en schadeclaims in te dienen over de gegevensverwerking.
Wat doet WhatsApp? Bij het installeren van de app moet de gebruiker toegang geven tot zijn/haar adresboekgegevens. WhatsApp slaat deze adresboekgegevens op, op een Amerikaanse server, en “matcht” deze gegevens van gebruikers onderling. Aanvankelijk deed zij dat ook met de adresgegevens van niet-gebruikers - die automatisch ook opgeslagen werden nu de gebruiker toestemming geeft tot zijn/haar gehele adressenbestand - maar WhatsApp zou toegezegd hebben dat niet meer te zullen doen.
De Wet bescherming persoonsgegevens bepaalt onder andere: “Deze wet is van toepassing op de verwerking van persoonsgegevens door of ten behoeve van een verantwoordelijke die geen vestiging heeft in de Europese Unie, waarbij gebruik wordt gemaakt van al dan niet geautomatiseerde middelen die zich in Nederland bevinden, tenzij deze middelen slechts worden gebruikt voor de doorvoer van persoonsgegevens.” Veel Amerikaanse bedrijven vinden dat ze niet onder Europese en/of Nederlandse wetgeving vallen, nu hun servers toch in Amerika staan en daar de persoonsgegevens worden verwerkt in plaats van in Nederland/Europa. De Haagse rechter legt de wet echter zo uit dat in dit geval de Nederlandse smartphones van WhatsApp-gebruikers ook vallen onder “al dan niet geautomatiseerde middelen die zich in Nederland bevinden” nu WhatsApp meer doet dan het enkel doorvoeren van gegevens.
WhatsApp moet dus alsnog een Nederlandse vertegenwoordiger aanstellen, op straffe van een dwangsom van EUR 10.000 per dag. Het verweer van WhatsApp dat onder toekomstige privacywetgeving (de Privacyverordening) slechts één vertegenwoordiger voor heel Europa zou hoeven worden aangewezen gaat niet op, omdat niet is gebleken dat er door WhatsApp in een andere EU-lidstaat al een vertegenwoordiger is aangewezen. Evenmin ging haar verweer op dat het onmogelijk was gebleken een geschikte partij te vinden die deze verantwoordelijkheid op zich wilde nemen.
Hieruit volgt dat vanaf nu iedere app-exploitant die gegevens van zijn/haar gebruikers verzamelt en naar de VS stuurt, zich verplicht in Nederland moet laten vertegenwoordigen.
Moïra Truijens