De Europese privacytoezichthouders, verenigd in de Artikel 29-werkgroep (WP29), schrijven in een reactie tevreden te zijn over het voorstel van de Europese Commissie om de ePrivacy richtlijn om te zetten in een meer verplichtende ePrivacy verordening. Dit zorgt ervoor dat in de hele EU dezelfde regels gelden en biedt duidelijkheid aan zowel organisaties als toezichthouders. Verder vinden zij het positief dat er is gekozen voor brede verboden en smalle uitzonderingen, zo laat de Nederlandse privacytoezichthouder Autoriteit Persoonsgegevens weten.
Striktere regulering OTT-aanbieders
Ook vinden zij het goed dat de verordening niet alleen geldt voor traditionele operators, maar even zeer voor aanbieders van over-the-top (OTT) communicatie. Dat betekent dat er striktere regulering gaat gelden voor communicatieaanbieders zoals Skype (Microsoft) en Facebook (Facebook Messenger, Whatsapp).
Al vorig jaar werd duidelijk dat de EC neigde naar een strengere invulling van deze regulering, door bepaalde delen ervan door te trekken naar elke communicatieaanbieder. Telecomoperators zien dit als positief, zo ontstaat er een meer level playing field. De OTT-aanbieders, verenigd in de CCIA, ziet een striktere regulering als in tegenspraak met de wens van de EC om tot een single digital market te komen.
Ondermijnen AVG
De vier zorgen werden benoemd in een opinie die de toezichthouders vorige week tijdens hun vergadering hebben aangenomen. Het gaat om bepalingen in het voorstel die het niveau van bescherming van persoonsgegevens ondermijnen, zoals dat is geregeld in de Algemene Verordening Gegevensbescherming (AVG) – ook bekend als de General Data Protection Regulation - die vorig jaar is aangenomen en vanaf 25 mei 2018 geldt. De toezichthouders roepen de Europese wetgever op het voorstel voor de ePrivacyverordening op deze punten aan te passen:
- Voorwaarden voor volgen mensen via hun mobiel
- Verwerking gevoelige gegevens
- Verbieden cookiemuren
- Privacy by default
Voorwaarden voor mobiel volgen
De privacytoezichthouders benadrukken dat de bepalingen in de ePrivacyverordening voor het volgen van mensen via hun mobiele apparaat in lijn moeten zijn met de AVG. Die stelt dat deze manier van volgen alleen toegestaan is als mensen toestemming geven of als de gegevens worden geanonimiseerd. Om hier een beroep op te kunnen doen, moeten partijen aan vier voorwaarden voldoen:
- De gegevens worden alleen voor statistische doeleinden verzameld,
- Het volgen moet beperkt wordt in tijd en ruimte tot die gegevens die strikt noodzakelijk zijn voor dit doel
- De gegevens worden verwijderd of direct geanonimiseerd
- Er zijn effectieve opt-out mogelijkheden.
De voorgestelde ePrivacyverordening geeft echter de indruk dat organisaties gegevens van mobiele apparaten mogen verzamelen om de locatie van mensen te volgen, bijvoorbeeld door WiFi- of bluetoothtracking, zonder de toestemming van betrokkenen. Organisaties die deze gegevens verzamelen, zouden kunnen volstaan met het informeren van mensen en door hen erop te wijzen dat zij hun apparaat uit kunnen zetten als ze niet willen worden gevolgd.
De toezichthouders vragen de Europese Commissie om te bevorderen dat er een technische standaard voor mobiele apparaten wordt ontwikkeld waarmee mensen automatisch kunnen aangeven dat zij niet op deze manier willen worden gevolgd.
Gevoelige gegevens
Zowel de inhoud van communicatie als de metadata (verkeers- en locatiegegevens) zijn gegevens van zeer gevoelige aard, en verdienen hetzelfde hoge beschermingsniveau. Het uitgangspunt in de ePrivacyverordening moet zijn dat het verboden is om zowel metadata als de inhoud van berichten te verwerken zonder de toestemming van alle gebruikers (zenders én ontvangers).
Providers zouden wel diensten moeten kunnen aanbieden waar de gebruiker expliciet zelf om verzoekt, zoals zoekfunctionaliteiten in iemands eigen mail en diensten die tekst omzetten in gesproken taal. Er zou een huishoudelijke uitzondering opgenomen moeten worden in de Verordening voor het verwerken van inhoud en metadata voor dergelijk persoonlijk gebruik.
Cookiemuren
De ePrivacyverordening zou cookiemuren moeten verbieden als een manier om toestemming van gebruikers te krijgen. Het gaat dan om ‘take it or leave it’ keuzes die gebruikers dwingen om toestemming te geven om gevolgd te worden als ze toegang willen krijgen tot een bepaalde dienst.
Privacy by default
Apparaten en software zouden privacy-vriendelijke standaardinstellingen moeten bevatten. Ze moeten bij installatie heldere keuzemogelijkheden bieden om deze instellingen te bevestigen of te veranderen. De instellingsmogelijkheden moeten gedurende het gebruik makkelijk toegankelijk zijn. In de AVG is een bewuste keuze gemaakt voor de introductie van de principes ‘privacy by design’ en ‘privacy by default’.
Het voorstel voor de ePrivacyverordening ondermijnt deze principes als het gaat om communicatiegegevens en het verwerken van gegevens van apparaten. Gebruikers zouden in de gelegenheid moeten worden gesteld om specifieke toestemming te geven via de instellingen van hun browser. De privacy voorkeuren van gebruikers moeten niet beperkt zijn tot derde partijen, en ook niet tot cookies. De privacytoezichthouders bevelen met klem aan om naleving van de Do Not Track standaard wettelijk te verplichten.
