Franse privacywaakhond geeft WhatsApp maand om datatransfers op orde te krijgen

De Franse privacytoezichthouder Cnil heeft WhatsApp een maand de tijd gegeven om zijn datatransfers naar moederbedrijf Facebook volgens de wet te laten verlopen. Pas als het bedrijf niet aan het verzoek voldoet, kan de toezichthouder sancties opleggen.

De waakhond schrijft in een bericht op zijn website dat hij onderzoek heeft uitgevoerd, waaruit blijkt dat Facebook de persoonsgegevens van 10 miljoen Fransen nooit voor het doel van gerichte advertenties heeft verwerkt, maar dat het bedrijf alsnog de Franse wet heeft geschonden. Zo zou er geen geldige wettelijke reden aanwezig zijn voor het verwerken van de gegevens. Volgens de waakhond zou dat eigenlijk alleen op basis van toestemming moeten gebeuren, maar dat gebeurt momenteel niet omdat die toestemming niet specifiek genoeg is en niet vrij wordt gegeven.

De beslissing om WhatsApp een ultimatum te stellen is bovendien ingegeven door het feit dat het bedrijf geen volledige meewerking zou verlenen aan de toezichthouder. De organisatie vroeg WhatsApp om een voorbeeld van de gegevens van Fransen die het met Facebook deelt. Dat weigerde het bedrijf, omdat die gegevens zich in VS bevinden waardoor ze onder Amerikaans recht zouden vallen. De waakhond schrijft verder dat de huidige mededeling aan WhatsApp openbaar is gemaakt om 'het hoogste niveau aan transparantie te bereiken en de aandacht te vestigen op de noodzaak dat mensen hun gegevens onder controle moeten houden'.

WhatsApp maakte vorig jaar in augustus bekend dat het gegevens ging delen met zijn moederbedrijf Facebook. Het bedrijf WhatsApp stopte ongeveer een jaar geleden met het delen van gegevens voor advertentiedoeleinden en vriendschapsverzoeken, nadat het gezamenlijke orgaan van Europese privacytoezichthouders, de Artikel 29-werkgroep, daar eerst om had gevraagd. Die werkgroep zei onlangs dat het delen van gegevens niet door kan gaan, omdat WhatsApp in de tussentijd nog geen tevredenstellende maatregelen heeft genomen.

Reacties (27)

Ik weet niet hoe dit in Frankrijk was, maar hier hebben zowel Facebook als de media in mijn ogen bij de overname toch groots bekend gemaakt dat de data wel gebruikt zou worden maar niet voor reclame doeleinden.

In mijn beleving gingen ze dat juist niet doen.
Volgens de wet moet de gebruiker expliciet "consent" geven en moet er exact aangegeven worden welke gegevens worden verzameld/doorgestuurd en waarvoor ze gebruikt worden.

Ze hebben dan ook toestemming gevraagd of dit gebruikt mocht worden voor reclame doeleinden. Hier was dus zo'n ophef over. Als je dat vinkje niet had aangevinkt gaf je alsnog toestemming (wat er ook bij stond) om je informatie met facebook te delen voor andere doeleinden dan reclame.

Ik heb nooit een vinkje gezien? Er zal een actieve actie van de gebruiker benodigd zijn, het mag niet zo zijn dat het vergeten van het aanvinken van een vinkje leidt tot het geven van toestemming. Ook moet het doel (purpose) of doelen duidelijk en expliciet aangegeven worden. Ik weet niet hoe is aangegeven, maar termen als "andere doeleinden dan reclame" zullen niet duidelijk genoeg zijn.

Elke bestaande gebruiker kreeg daar een melding van hoor. In de vorm van een soort van pop-up als je WhatsApp opende. Bestaande gebruikers konden de opt-out alleen de eerste maand konden doen. Als je het per ongeluk had geaccepteerd, kon je het dus zelfs nog uitzetten via de privacy instellingen . Als ik het mij goed herinner konden nieuwe gebruikers eenmalig kiezen bij het begin, maar na die maand konden nieuwe gebruikers de opt-out niet meer doen.

Zie ook hier:

• nieuws: WhatsApp gaat data delen met Facebook
• https://www.androidcentra...ens-01.jpeg?itok=StScfrK8
• https://faq.whatsapp.com/general/26000016

Het gaat om een optie, die gebruikers in de eerste maand kunnen uitzetten.

[Reactie gewijzigd door AnonymousWP op 19 december 2017 09:24]

Dus wat ik er nu van begrijp is dat als Facebook de opt-out optie weer terug zet is het groten deels opgelost. Dan alleen nog het probleem van de data die ze all in handen hebben

Dat zou inderdaad een optie (no pun intended) kunnen zijn. Een opt-in zou nog mooier zijn geweest, maar ja, wat verwacht je van grote bedrijven? Alle doorsnee-gebruikers rotzooien sowieso niet al te snel aan instellingen. De tweakers en geeks weten wat het is, dus zetten de optie ook niet aan. Dan heb je dus eigenlijk niemand die het aanzet. Klinkt heel mooi natuurlijk, maar is geen wenselijke en realistische verwachting.

Maar ja, als de optie bij gebruikers expres niet wordt aangezet zegt het eigenlijk al genoeg vind ik.

Standaard opt-out zou best moeten kunnen zolang een opt-in beloond wordt. Denk aan ontgrendeling van bijvoorbeeld bepaalde features die een opt-out niet heeft.

En hoe zit het nou als je nooit zo’n pop-up gehad hebt?

Dan ben je dat of vergeten of een nieuwe gebruiker, inmiddels zit het namelijk in de AV opgenomen.

In mijn beleving gingen ze dat juist niet doen.
Volgens de wet moet de gebruiker expliciet "consent" geven en moet er exact aangegeven worden welke gegevens worden verzameld/doorgestuurd en waarvoor ze gebruikt worden.

Inderdaad, GDPR vereist alle personen die persoonlijk identificieerbare data verzamelen over burgers op EU grondgebied, of data verwerken op EU grondgebied, de explicitete toestemming moeten vragen in een niet mis te verstane boodschap. De persoon in kwestie (data subject) moet actief deze toestemming geven (een opt-out box is niet genoeg). Ook moet de reden voor het bewaren van data (lawful purpose) klaar en duidelijk vermeld worden.

De GDPR is er gekomen doordat techbedrijven, met sociale media op kop, een loopje namen met de vroegere DPD-regels die in de jaren negentig opgesteld zijn. Mede door deze arrogante houding tov de privacy van EU-burgers, is GDPR veel verder gegaan en is het de EU menens om deze af te dwingen. Dit komt mede omdat in de EU, privacy beschermd is als een grondrecht. De (meestal) Amerikaanse bedrijven, waar privacy een kwantificeerbaar product is, kunnen dus niet zomaar dat grondrecht verwaarlozen, toch niet als ze in de EU zaken willen doen.

Het is dus niet verwonderlijk dat de Franse waakhond al streng optreedt (en waarschijnlijk facebook en whatsapp met de harde arm des wets zullen laten kennis maken) als ze nét het omgekeerde doen dan er van hun verwacht wordt inzake privacy bescherming (nl het niet respecteren van privacy als een grondrecht). En terecht dat er niet mee gesold mag worden.

Dan heb je deze saga niet goed gevolgd denk ik. Facebook gaf bij de overname duidelijk aan aan de EU dat het 'technisch niet mogelijk was' om data van accounts te gaan koppelen. Net daarvoor hebben ze een boete van 110 miljoen euro gekregen.
Zie:
https://tweakers.net/nieu...ij-overname-whatsapp.html

Toch heeft het erbij gestaan toen het vinkje aangevinkt kon worden. Ondanks dat ik niet blij ben met het delen was ik wel blij dat het er tenminste in normale taal bij stond.

dat het 'technisch niet mogelijk was' om data van accounts te gaan koppelen

Wat een uiterste onzin eigenlijk. Als ze een telnr. in een FB-account hebben, dan kunnen ze de koppeling met WhatsApp al maken. Dan nog maar te zwijgen over de overeenkomst in vrienden op beide platforms. Technisch niet mogelijk, right.

zowel Facebook als de media in mijn ogen bij de overname toch groots bekend gemaakt dat de data wel gebruikt zou worden maar niet voor reclame doeleinden.

Dit is dan ook powerplay. De Franse autoriteiten geven volmondig toe dat ze eigenlijk geen idee hebben wat WhatsApp nu precies aan gegevens verzameld. Ze erkennen ook dat het niet voor reclame gebruikt wordt. Maar toch weten ze zeker dat er gegevens verzameld worden waarvoor er geen geldige wettelijke reden aanwezig is. Dat is natuurlijk onzin.

De Franse autoriteiten zijn echter al een jaar of twee bezig met een juridisch touwtrek over wie bevoegdheid heeft. Het gaat de Franse authoriteiten er vooral om dat WhatApp meent dat de Fransen geheel géén bevoegdheid heeft, en elk land, maar specifiek Frankrijk, kan dat natuurlijk nooit accepteren.

Ik herhaal mijn pleidooi maar weer dat nu net dit soort zaken Europees geregeld moeten worden. Dat zal voor landern als Frankrik even slikken zijn, dat ze iets minder bevoegdheid hebben, maar voorkomt anderzijds dat je zo'n chaos krijgt aan individuele eisen per EU land. Ook is het makkelijker en duidelijker om eenmalig een afspraak te maken met een bedijf als WhatsApp wat wnu wel en niet gewenst is, en wat er nu wel en niet precies verzameld wordt.

'voor andere doeleinden dan reclame' en 'omdat die gegevens zich in VS bevinden' bezorgen me samen toch wel wat buikpijn.

'voor andere doeleinden dan reclame' en 'omdat die gegevens zich in VS bevinden' bezorgen me samen toch wel wat buikpijn.

Zoiets schreeuwt gewoon om wetgeving die eist dat gegevens die Europese burgers beschrijven binnen de EU verwerkt moeten worden om te kunnen zorgen dat Europese privacy en andere wetgeving van kracht blijft. Rusland heeft ook zulke wetgeving. Wie op de Europese markt aanwezig wil zijn moet dat ook vanaf Europese bodem doen onder Europese wetgeving en in Europa daar belasting over betalen.

Wat natuurlijk ook vreemd is dat Facebook en WhatsApp zo te zien helemaal niets doen om dit van tevoren te bewerkstelligen. Microsoft en Google doen hun best om europese data binnen europa te houden en verweren zich in rechtszaken tegen de US:
nieuws: Microsoft: Europeanen moeten data op eigen continent kunnen opslaan
nieuws: Microsoft en Google klagen overheid VS aan om dataverzoeken
nieuws: Microsoft weigert overheid VS in Europa opgeslagen mail te geven

Ondertussen bij Facebook:
nieuws: 'Veel bedrijven delen klantbestanden met Facebook zonder toestemming'...
nieuws: Autoriteit Persoonsgegevens: Facebook overtreedt privacywet - update
nieuws: Spaanse privacywaakhond legt Facebook boete van 1,2 miljoen euro op
nieuws: Europese privacy-autoriteiten zetten vraagtekens bij Facebooks emotie...
nieuws: Oculus: gebruikers hoeven zich geen zorgen te maken over privacy
nieuws: Facebook sleept twee Big Brother-awards in België in de wacht
nieuws: Belgische politie waarschuwt voor gebruik nieuwe Facebook-reactieknoppen
nieuws: Gerucht: Facebook ontwikkelt censuurtool om Chinese markt te mogen be...

Maar goed, wat wil je met zo'n CEO....

[Reactie gewijzigd door dycell op 19 december 2017 11:46]

Deze was je wellicht bij Microsoft vergeten te vermelden:
nieuws: Autoriteit Persoonsgegevens: Microsoft overtreedt privacywet

het schreeuwt om nog wel meer dingen dan alleen dat, maar agree

Zoiets schreeuwt gewoon om wetgeving die eist dat gegevens die Europese burgers beschrijven binnen de EU verwerkt moeten worden om te kunnen zorgen dat Europese privacy en andere wetgeving van kracht blijft.

Klopt, maar daar zijn Frankrijk en andere lidstaten nu net tegen. En dat is het probleem. Franrkijk wil perse alles in eigen hand houden, en geen bevoegdheid overhevelen naar de EU. Immers als er EU wetgeving is, betekent dat ook dat Frankrijk niet zelf andere varianten (soepeler of strenger of gewoon net wat anders) kan doen.

Men blijft de eigen koningrijkjes beschermen en schiet zo ironisch genoeg zichzelf in de voet, want dan lopen bedrijven als WhatsApp weg met de individuele lidstaten.

Ik vraag mij af: in die drie maanden dat Facebook data wel deelde met WhatsApp hadden ze toch alles al kunnen correleren? Dat gaan ze niet meer terugdraaien, dan rest alleen nog maar een boete.

Heel makkelijk, ze zeggen dat ze de data verwijderen. Niemand die kan controleren of dat ook daadwerkelijk gebeurt.

Nog primairer: niemand weet wat WhatsApp nu eigenlijk verzameld.

De stelling dat WhatsApp data verwijdert is niet te bewijzen of te ontkennen,w ant men weet niet wat voor data er is verzameld. De stelling - zoals de Fransen maken - dat er gegevens verzameld worden zonder gerechterlijke grondslag is ook hilarish, want men geeft toe dat ook zij geen idee hebben wta er wel of niet verzameld wordt.

Dit is dan ook powerplay. Men stelt gewoon dat de wet overtreden wordt, en hoopt dat WhatsApp sidderend van angst openheid geeft. Ik denk echter van niet, want WhatsApp heeft geen aanwezigheid daar en heeft al vaker bewezen niet van dat soort zaken onder de indruk te zijn. Wellicht/waarschijnlijk dat men het via het Facebook kantoor in Frankrijk dan gaat proberen, waarna er wel wat openheid zal komen omdat het moederbedrijf geen zin heeft in dit soort conflicten.

Toch een best scherpe handeling van een club met de naam seniel

En dan te bedenken dat de eigenaar van WhatsApp nog voor de overname een blog post had gemaakt heb whatsapp.org waarin hij expliciet aangaf nooit data te gaan delen met Facebook.

Ik kan het artikel zo niet vinden. Misschien dat een andere Tweaker er nog een screen van heeft.
Ik zoek nog even verder.

Edit: Dit komt in de buurt maar is niet het artikel wat ik bedoelde: https://blog.whatsapp.com/529/Een-aantal-zaken-rechtzetten

[Reactie gewijzigd door odiw op 19 december 2017 23:15]