WhatsApp heeft van de Ierse privacytoezichthouder een AVG-boete van 5,5 miljoen euro gekregen omdat het geen wettelijke grond had om persoonsgegevens te verwerken. De berichtendienst krijgt zes maanden de tijd om op dit punt wel aan de AVG te voldoen.
De boete van de Data Protection Commission lijkt veel op de boete van 390 miljoen euro die moederbedrijf Meta eerder dit jaar kreeg voor Facebook en Instagram. Ook in het geval van WhatsApp claimde het bedrijf persoonsgegevens te mogen verwerken, omdat het hiervoor een contract met gebruikers had afgesloten. Meta gebruikt die persoonsgegevens voor gepersonaliseerde advertenties op bijvoorbeeld Facebook.
De Ierse toezichthouder heeft, na druk van de European Data Protection Board, besloten dat WhatsApp de contractuele verwerkingsgrond niet mag gebruiken. WhatsApp stelt dat het verwerken van persoonsgegevens noodzakelijk is om de dienst te kunnen verbeteren en de veiligheid te kunnen vergroten. De EDPB is het hier niet mee eens en zegt dat WhatsApp geen persoonsgegevens hoeft te verwerken om de berichtendienst te kunnen aanbieden, waardoor het bedrijf de contractuele verwerkingsgrond niet mag gebruiken.
Net als bij de eerdere Facebook- en Instagram-boete van 390 miljoen euro vond de DPC dat Meta de contractuele verwerkingsgrond wel mag gebruiken voor WhatsApp. Het besluit van de EDPB is echter bindend. Daarom krijgt WhatsApp een boete van 5,5 miljoen euro en moet het binnen zes maanden aan de AVG voldoen. WhatsApp zou er bijvoorbeeld voor kunnen kiezen om toestemming te vragen aan gebruikers. Meta zegt het niet eens te zijn met de boete en in beroep te gaan.
De DPC legt wel een ander deel van EDPB's oordeel naast zich neer. De EDPB wil namelijk dat de DPC een nieuw onderzoek start naar alle dataverwerkingen van WhatsApp om erachter te komen of de app ook op andere manieren de AVG overtreedt. De Board, een overkoepelende organisatie van Europese privacytoezichthouders, eiste eerder al bij de boete voor Instagram en Facebook dat DPC aanvullend onderzoek doet bij deze twee sociale media. Ook in het geval van WhatsApp zegt de DPC dat de EDPB niet het recht heeft om dergelijk onderzoek van een Europese toezichthouder te eisen. De Ierse toezichthouder spreekt dan ook nogmaals over een stap naar het Hof van Justitie van de Europese Unie.
De DPC onderzocht WhatsApps dataverzameling al na een klacht van noyb, een privacyorganisatie die door activist Max Schrems is opgericht. Noyb zegt dat de Ierse toezichthouder met de uitspraak en het negeren van het bevel van de EDPB Meta vrij spel geeft om persoonsgegevens te verwerken voor advertentiedoeleinden, ook al zou dit onder de AVG niet op deze manier mogen.