Steekproef ACM: veel online diensten houden zich nog niet aan DSA

Veel aanbieders van online diensten voldoen nog niet aan de Digital Services Act of de Platform-to-Businessverordening, zegt de Nederlandse toezichthouder ACM. De ACM kan echter nog niet optreden, omdat de Nederlandse wetgeving nog niet is aangepast.

De Autoriteit Consument en Markt deed een steekproef onder vijftig verschillende aanbieders van online diensten, waarbij de toezichthouder keek naar 'de naleving van een selectie van verplichtingen' uit de P2B en de DSA. Bij de DSA keek de ACM of aanbieders van online platforms en marktplaatsen een contactpunt hebben voor afnemers en autoriteiten. De toezichthouder onderzocht ook of deze platforms of diensten in hun algemene voorwaarden informatie geven over hun contentmoderatie en of ze afnemers de mogelijkheid bieden om illegale content te melden.

Uit deze steekproef bleek dat het contactpunt voor afnemers niet altijd voldoet aan de DSA-eisen. Afnemers kunnen 'in een aantal gevallen' niet zelf kiezen hoe ze met de aanbieder van het platform of de dienst in contact kunnen komen. Daarnaast is informatie over contentmoderatie niet altijd goed vindbaar in de algemene voorwaarden, of bevatten deze voorwaarden niet alle verplichte informatie. Bij sommige aanbieders bleek het uit de steekproef ook niet mogelijk om illegale content te melden, of is dit meldingssysteem niet goed vindbaar.

Voor de P2B onderzocht de ACM of de algemene voorwaarden van online platforms eenvoudig beschikbaar zijn voor bedrijven. Uit de steekproef blijkt volgens de toezichthouder dat dit niet altijd het geval is, of dat deze niet genoeg informatie bevat. "Daarbij gaat het bijvoorbeeld om informatie over het beperken van accounts, de volgorde van zoekresultaten en het interne klachtenafhandelingssysteem", schrijft de ACM.

De DSA is sinds februari dit jaar actief. De P2B-verordening trad in 2020 in werking. Deze laatste verordening bevat onder meer regels over transparantie van online diensten, de volgorde van zoekresultaten en geschillenbeslechting, terwijl de DSA bijvoorbeeld gaat over klachtenprocessen en voorspelbare banprocessen.

Hoewel beide verordeningen al actief zijn, zijn de Nederlandse implementatiewetten nog niet in werking getreden. De ACM kan daardoor nog niet handhaven. De toezichthouder verwacht dit begin volgend jaar wel te kunnen doen. "Dat we formeel nog niet kunnen handhaven, betekent niet dat we als ACM stilzitten", zegt ACM-bestuursvoorzitter Martijn Snoep. Daarom ondernam de toezichthouder de steekproef. "We willen een signaal afgeven aan alle aanbieders van online diensten: zorg dat je zo snel mogelijk de boel op orde krijgt."

Reacties (32)

[FrankSpin]

Ik sta dubbel tegenover alle nieuwe regelgeving omtrent online diensten. Aan de ene kant is het goed dat je als burger beschermd wordt en dat je privacy gewaarborgd wordt. Aan de andere kant is het bijna onmogelijk om als startup een online dienst aan te bieden. Je moet aan zoveel regelgeving voldoen dat je enorme juridische kosten moet maken om überhaupt te weten waaraan je moet voldoen. Deze kosten zijn voor bestaande grote spelers te dragen, maar voor nieuwkomers niet. Dit zorgt uiteindelijk voor minder innovatie en minder concurrentie.

[Verwijderd]

Het zou me ook niet verbazen als de grote tech bedrijven lobbyisten hebben om maar dergelijke regelgevingen op te stellen. Kleine spelers hebben daardoor geen enkele kans om nog iets nieuws op te zetten als ze tig mensen moeten aanmenen voor juridische zaken, helpdesks, privacy zaken, en dan nog verplichte technische zaken zoals evt upload filters

[Frame164]

De dingen die je noemt zouden ook voor startups die een product of dienst gaan leveren gewoon standaard moeten zijn. Waarom zou een startup zich niet aan privacyregels hoeven te houden?

[The Zep Man]

Aan de andere kant is het bijna onmogelijk om als startup een online dienst aan te bieden.

Een startup is niet onderhevig aan de DMA en DSA. Zodra een platform groot genoeg wordt om daar wel aan onderhevig te zijn kan je niet meer spreken van een startup.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 13:31]

[R4gnax]

Iets preciezer: ook startups zijn onderhevig aan zeker de DSA, maar deze bevat wel op een aantal fronten vrijwaardingen voor zaken waar kleine ondernemingen zich dan niet aan hoeven houden.

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:31]

[Datastream]

Dat is nou precies wat grote tech bedrijven willen van regulatie.

[Zoop]

Sterker nog, die kosten kunnen de bestaande grote spelers dragen door voorlopig de regels zo lang mogelijk aan hun laars te lappen. Die kunnen wel een risico lopen, zeker als bekend is dat handhaving nog amper een ding is. Als er dan toch een boete volgt, is dat vaak minder dan de omzet, dus boeie.

Als je als startup met zoiets gepakt wordt kan je vaak wel opdoeken.

[T-men]

Tja, de redenatie is simpel: "het is nog geen wet, dus ik hoef er nog niet aan te voldoen. Doe ik het wel, dan kost het me geld. Conclusie: uitstellen tot het niet anders kan."
En dan gebruikt de ACM belastinggeld om onderzoek te doen naar de vraag of open deuren open kunnen....

[R4gnax]

Het is al wel wet.

De DSA is een verordening en niet een richtlijn.
Verordeningen zijn direct wet in de gehele Europese Unie.

De ACM kan echter nog geen boetes opleggen, omdat zij nog niet officieel via een Nederlandse implementatiewet aangesteld zijn als de toezichthouder inzake de DSA met boetebevoegdheid.
Maat het staat de ACM vrij om alvast alle gevallen op schrift te gaan zetten, en zodra die bevoegdheid er wel is, boetes uit te schrijven. De feiten zijn nl. gepleegd toen ze al wederrechtelijk waren, en er zit vanuit de DSA geen verjaring op de boetemogelijkheid.

[swhnld]

De uitdaging om te voldoen aan deze nieuwe EU regelgevingen, zit hem in de vertaling naar de lokale wetgeving, en de eigen dingetjes die landen ermee doen. Dus stel als bedrijf pas je alles aan, en voldoet tot de letter aan de EU regelgeving, en vervolgens voegt de lokale wetgeving iets toe, of implementeerd een strengere variant, dan mag je nog een keer investeren om weer te voldoen. En we hebben met bijvoorbeeld de GDPR gezien dat er echt verschillen zitten in de implementatie door Polen, Duitsland, Frankrijk en Nederland om maar een voorbeeld te geven.

Maar goed, de DSA is hot op dit moment, dus logisch dat iemand bovenin de ACM zegt, daar moeten wij ook iets mee, we hebben capaciteit te over, laten we er vast iets mee doen nu we er nog niets mee kunnen, het is een nuttige besteding van belastinggeld.

[R4gnax]

De GDPR en de DSA (en DMA) worden niet geimplementeerd.
Het zijn verordeningen, en niet richtlijnen. Verordeningen zijn zelf direct wet in de gehele EU.

De implementatiewetten in deze gaan over zaken zoals hoe de nationale toezichtsautoriteit die deze verordeningen vereisen van de lidstaten, ingericht wordt.

Ten hoogste bestaat er een verschil in interpretatie van wat er in de verordening staat, door de verschillende toezichthoudende autoriteiten van de verschillende lidstaten. Maar de lidstaten houden er zeer zeker niet hun eigen wetgeving in deze op na.

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:31]

[swhnld]

Dus de implementatiewetten op nationaal niveau krijgt andere interpretaties per land, afhankelijk van de toezichthouder. Dus in de praktijk betekend dat als bedrijf wat in meerdere landen gevestigd is toch dat je met meerdere varianten van dezelfde regelgeving rekening moet houden. Je kunt niet zeggen als Nederlands bedrijf met een vestiging in Frankrijk en een miljoen data subjecten, tegen de toezichthouder, je kunt dit wel willen maar dikke middelvinger, ik houd me alleen aan de exacte EU verordening.

[R4gnax]

Nee. Jij hebt de klok horen luiden, maar weet niet waar de klepel hangt.

De implementatiewetten gaan enkel over detailinvulling zoals welke autoriteit er door een lidstaat opgetuigd wordt om volgens de verordening te handhaven; waar zij budget vandaan halen; hoe hun bestuur samengesteld wordt; etc. etc.

De implementatiewetten gaan helemaal niet over wat bedrijven volgens de verordening wel of niet mogen doen, of waar ze zich aan moeten houden. Daar gaat de verordening zelf over. Het zijn de nationale toezichtshouders die de verordening verschillend interpreteren. Niet de implementatiewetten.

Bij de AVG/GDPR is gepoogd dit verschil in interpretatie af te dekken, doordat er een overkoepelend orgaan boven alle individuele handhavende autoriteiten is - de European Data Protection Board (EDPB), die bij conflicterende interpretaties een knoop door kan hakken en kan oordelen: zo wordt het geinterpreteerd, waarna alle lidstatelijke handhavende autoriteiten bij wet zoals in de AVG/GDPR vastgelegd verplicht zijn om één lijn te vormen en diezelfde interpretatie te hanteren.

Die extra stok achter de deur moeten de DMA en DSA ontberen.

Je kunt niet zeggen als Nederlands bedrijf met een vestiging in Frankrijk en een miljoen data subjecten, tegen de toezichthouder, je kunt dit wel willen maar dikke middelvinger, ik houd me alleen aan de exacte EU verordening.

En juist dat kun je verkapt dus wel. Dan teken je beroep aan tegen een boete en vecht je indien nodig door tot aan de hogere gerechtshoven van Frankrijk, die daarna prejudiciële vragen aan het EU hooggerechtshof moeten gaan stellen, waarna de EU beslist of de Franse interpretatie hout snijdt of onzin is.

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:31]

[swhnld]

Ok, dus voor GDPR is er een overkoepelend orgaan wat zorgt dat verschillende interpretaties rechtgetrokken kunnen worden (blijkbaar zijn die er wel en is een centraal orgaan nodig geacht), maar bij de andere wetten zijn die centrale organen er niet. Maar toch zijn ze exact hetzelfde centraal als lokaal, althans dat moeten ze zijn.

Resultaat, doe je zaken met een bedrijf over de grens krijg je te maken met de lokale interpretatie van de toezichthouder zoals geïnterpreteerd door de jurist van het bedrijf waar je zaken mee doet, wat met je eigen jurist ook weer afgestemd moet worden zoals geïnterpreteerd door de toezichthouder hier. En dat moeilijk gemaakt door verschillende interpretaties in de vertaling van de documenten.

Het wordt hoog tijd die lokale wetgeving af te schaffen op deze punten en dit centraal te regelen. Een gemeente of provincie hoeft ook geen vertaling te maken van de AVG of WBNI, waarom moet de landelijke overheid dat wel met de GDPR of de NIS. En ja, het zit nu eenmaal zo in de verdragen, maar laat ze die herzien, en gelijk de EU bij meerderheid bestuurbaar maken in plaats van een veto voor elke lidstaat om de rest mee te chanteren en besluitvorming te traineren. Het kan gewoon beter.

[R4gnax]

Er is geen landelijke vertaling, enkel een verschilling in interpretatie van de wetgeving zelf die reeds centraal is - als EU verordening.

Wat nodig is, is dat er iets aan arbitrage tussen handhavende autoriteiten is om, net zoals bij de GDPR, te zorgen dat zij op één lijn gaan zitten.

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:31]

[mjtdevries]

Volgens mij begrijp je niet wat swhnld bedoelt.

De GDPR heeft minimale wettelijke eisen voor de Europese landen gedefinieerd.
Maar landen kunnen daar voor zichzelf wel extra eisen aan toevoegen.

De AVG is vrijwel identiek aan de GPDR. Maar bv Finland en Norwegen zijn een stuk strenger. En dat is waar swhnld op doelt.
Dus in Nederland weet je op dit moment nog niet waar je aan moet voldoen. Dat kan strenger worden dan je denkt. En dat heeft dan wellicht ook invloed op de wijze waarop je je systemen configureert.

[R4gnax]

De AVG is vrijwel identiek aan de GPDR.

Nee. De AVG is de GDPR.

Waar jij op doelt is de bijhorende implementatiewet AVG, waarin inderdaad een paar extra zaken geregeld kunnen worden en ook daadwerkelijk geregeld zijn - zoals bijv. additionele maatregelen omtrent de verwerking van het nationaal identiteitsbewijs. Maar wat hierin precies gedaan kan worden is strikt afgebakend door de AVG/GDPR en er kan niets in gedaan worden wat met het bepaalde uit de verordening zelf, strijdig is.

En dat is waar swhnld op doelt.

Waar swhnld op doelde is dat Nederland andere wetgeving zou kunnen implementeren die strenger of minder streng zou zijn dan andere lidstaten, maar dat is in het geval van de DSA helemaal niet het geval omdat de DSA die mogelijkheid op al die vlakken niet open laat.
Het enige wat er zou kunnen gebeuren is dat de Nederlandse handhavende autoriteit de centraal geldende verordening van de DSA strenger of minder streng zou interpreteren tijdens beleidsuitvoering dan de handhavende autoriteiten van andere landen.

En dat is iets heel anders dan dat Nederland er afwijkende wetten op zou nahouden.
Bijv. omdat zodra er verduidelijking zou ontstaan over hoe zaken geinterpreteerd zouden moeten worden, via prejudiciële vragen aan het hooggerechtshof van de EU - want dat is de enige instantie die officieel de wetgeving op EU niveau mag interpreteren, dit ook onmiddelijk en met terugwerkende kracht overal van toepassing is. Daar hoeven dan niet alsnog lokale wetten voor aangepast te worden. En het is dan ook 'altijd al zo geweest.'

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:31]

[mjtdevries]

Ja ik doel op de implementatiewet. Omdat de topic over implementatiewetten ging. Swhnld had het heel duidelijk over implementatiewetten en dat die per land strenger kunnen zijn dan de europese baseline en dat er dus verschillen zijn afhankelijk van het land waarin je opereert.

De wetgeving voor privacy is in Finland daadwerkelijk strenger dan Nederland, maar de GDPR baseline is wel gelijk.
En dat is dus iets [i[heel anders[/i] dan interpretatie verschillen.

Fijn dat je aangeeft dat dat bij DSA niet het geval zal zijn. Maar dat maakt Swhnld's ervaring met GDPR niet minder waar.

Beetje jammer dat je zo vijandig naar iedereen reageert.

[T-Forever]

"We willen een signaal afgeven aan alle aanbieders van online diensten: zorg dat je zo snel mogelijk de boel op orde krijgt."

Helaas werkt de wereld van geld niet als je slecht gedrag beloond. En geen wetten invoeren zodat je niet kunt bestraffen is hetzelfde als slecht gedrag belonen. Zo heeft heeft Nederland implementatie wetten wel vaker naast zich neer gelegd met de hoop er toch mee weg te komen bij de EC om een uitzonderingspositie te bemachtigen. Tijdelijk toch minder te hoeven investeren, meer winst te maken.
Zoals bij het Stikstof geneuzel bv, wat ook al jaren eraan zat te komen.

[eriksl]

"stikstofgeneuzel". Ik zal verstandig zijn en even op m'n lip bijten.

Los daarvan. Heeft de ACM nou echt niks beters te doen? Volgens mij lopen ze over met zaken van bedrijven die stelselmatig gewetenloos consumenten poten uitdraaien, het grootste deel van de websites denken zich nog steeds te kunnen onttrekken aan cookie-wetgeving door het de gebruiker schier onmogelijk te maken de tracking cookies te weigeren en dan nog zoiets als de reizen-prijzen, waar de aanbieders nog steeds erg creatief blijken te zijn met je achteraf nog een berg kosten in rekening te brengen, ondanks dat dat niet mag.

Laten ze alsjeblieft dáár eens goed werk van maken.

[Meemzeh]

Valt Valve ook onder wetgeving van de DSA? Iets met een lijst van grootste digitale aanbieders ofzo, of wat was het?

[R4gnax]

Valve valt met Steam sowieso onder de definitie van een online platform en valt niet onder de uitzondering van een kleine onderneming. Daarmee moeten ze zich sowieso aan de beginselen inzake moderatie houden.

Als dat is waar je op doelt: nee, dat doen ze momenteel inderdaad niet.

Waar op de Steam community forums door moderators ingegrepen wordt en content verwijderd wordt, en de plaatser daarvan een waarschuwing of verbanning aan de broek krijgt, krijgt deze geen accurate en complete informatie over de exacte dienstvoorwaarden die overtreden zouden zijn; en geen motivatie waarom die voorwaarden overtreden zouden zijn.

Als men bij Steam's online support een ticket aanmaakt om in beroep te gaan, loopt dat negen van de tien keer uit op een voorgebakken en verder nietszeggend standaardantwoord dat de beslissing die door de moderator genomen was, correct was; dat er verder niet op de kwestie ingegaan zal worden; en dat toch er over door blijven gaan, zal resulteren in het de gebruiker weigeren van de mogelijkheid om verdere support tickets aan te maken.

Dat is het geval als je een waarschuwing of ban krijgt, want moderatoren kunnen ook geplaatste inhoud verwijderen zonder dat je daarvan op de hoogte gesteld wordt - en dat gebeurt ook geregeld.


Ook is het zo dat de moderatieregels vaag en ruim opgesteld zijn, zonder concrete voorbeelden, en dat er weinig houvast gegeven wordt in de zin van wat dan wel of niet toelaatbaar zou zijn. Wat concreet mag en niet mag, verschuift ook met de waan van de dag en wordt ook op historisch geplaatste inhoud toegepast. Zo werden een tijdje terug hele hordes game guides van het platform afgeschopt en kregen de accounts die deze geplaatst hadden waarschuwingen, omdat het opeens niet meer mocht om off-site links in guides te plaatsen.

En het is ook zo dat naast Valve's eigen moderatoren de uitgevers voor games hun eigen moderatoren aan kunnen stellen voor de subsecties van de forums die voor hun games bedoeld zijn, waarbij Valve toestaat dat de uitgevers hun eigen additionele regels kunnen hanteren. Die dan natuurlijk weer helemaal nergens gedocumenteerd staan.

Naast de onduidelijkheid die dit bewerkstelligt, geeft het de uitgever ook de mogelijkheid om triviaal censuur toe te passen. Het komt geregeld voor dat mensen een permanente verbanning opgelegd krijgen vanuit een door de uitgever aangestelde moderator, met als reden "niet constructief" als ze zich negatief uiten over bepaalde aspecten van een game - maakt niet uit of ze dat dan bot of perfect beleefd doen.

In die zin is er dan dus ook sprake van vooringenomenheid; belangenverstrengeling; en vanuit het perspectief van een niet beter wetende eindgebruiker, willekeur.


Ik hoop vurig dat Valve GI-fucking-GANTISCH aan het gas zullen gaan.
Dat verdienen ze in deze, want ze hebben er gewoon een teringbende van gemaakt en het totaal laten verslonzen. Verantwoordelijkheidsbesef nul-komma-nul.

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:31]

[djack]

Regelgeving is goed en leuk maar waarom houden we niet al die crap uit China tegen? We weten dat het rommel is, tegen dumping prijzen onze legale winkels de das om doet maar toch laten we winkels als Temu of Shein of weet ik veel wat toe... Ook als consument onze eigen fout omdat we graag voor goedkope brol gaan ...
En ondertussen vallen kijken we naar onze eigen online platformen (die ook in orde moeten zijn hoor)

Prio zou eerst rommel van buiten de EU moeten zijn en dan rustig naar de grote EU bedrijven kijken om zo op nationaal niveau daar ook wat regels te krijgen.

[R4gnax]

Alle dienstverleners die online platformen aan EU ingezetenen aanbieden zijn onderhevig aan de DMA en DSA. Dit is niet gelimiteerd tot enkel diensten die gezeteld zijn in de EU of ook daadwerkelijk Europees zijn.

[Jan-Will3m]

Voor jou info de ACM is geen bedrijf.
De ACM is een zelfstandig bestuursorgaan en hoort bij de Rijksoverheid maar maakt geen deel uit van een ministerie.

https://www.acm.nl/nl/org...egelgeving-en-toelichting

[zordaz]

Dat is wel heel makkelijk... Een lobbyclub en bedrijf zijn ACM allebei sowieso niet. Er valt verder genoeg op ACM aan te merken, maar ze roepen ook al jaren dat ze er vooral taken bijkrijgen zonder dat er passende capaciteitsuitbreiding van de organisatie mogelijk is. Daarnaast past dit bericht eerder bij hun signalerende rol dan hun handhavende.

[kodak]

Acm is een toezichthouder, die ziet toe op het naleven van specifieke wetten. Zoals je in het nieuws kan lezen hebben de volksvertegenwoordigers die de wetgeving aanpassen en aannemen nog geen wetgeving gegeven. Dan kan een toezichthouder daar moeilijk gaan handhaven. In plaats daarvan maken ze nu duidelijk dat bedrijven niet klaar zijn voor de wet en de verplichtingen die de DSA stelt.

[sambalbaj]

De ACM heeft ook een signalerende functie.
Zie dit gewoon als een signaal naar de branche zelf en ook naar de politiek.

[wildhagen]

Dat is natuurlijk onzin.

De ACM handhaaft wel degelijk, met enige regelmaat leggen ze bedrijven boetes op, delen waarschuwingen etc uit.

De ACM is echter wel gebonden aan de wetgeving. Als een bedrijf zich aan de wet houdt, kan de ACM ook niet zo gek veel meer. Als je dan vind dat er iets tegen moet worden gedaan moet je niet bij de ACM klagen, dat is de verkeerde partij. ACM maakt het beleid niet, die voeren alleen toezicht uit. Het beleid wordt bepaald door de regering in Den Haag, dáár moet je dus zijn met je klachten.

Plus dat ook de ACM niet overal tegelijk kan zijn, net als alle andere instanties heeft ook de ACM te maken met een gebrek aan zowel middelen (financien) als personeel, waardoor ze prioriteiten moeten stellen, en soms dingen langer blijven liggen dan wenselijk is.

[kodak]

Je gaat op geen enkele opmerking in om suggestief te kunnen doen. Wat is er volgens jou niet onafhankelijk of hoe is dit lobbyen als ze duidelijk maken dat de bedrijven niet aan de verplichtingen vanuit de EU voldoen?