De Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) heeft een bevel uitgevaardigd dat Facebook Ireland Ltd voorlopig verbiedt persoonsgegevens van WhatsApp te verwerken als dit voor eigen doeleinden gebeurt. Dat bevel gaat per direct in. Dit gebeurt in het kader van de urgentieprocedure van de Algemene Verordening Gegevensbescherming (AVG), die voorziet in het nemen van maatregelen met een beperkte geldigheidsduur op het betreffende grondgebied. Het verbod duurt in ieder geval drie maanden. De waakhond startte de procedure om dit bevel uit te voeren vorige maand.
Achtergrond van de procedure is het verzoek aan alle WhatsApp-gebruikers om voor 15 mei akkoord te gaan met de nieuwe gebruiks- en privacyvoorwaarden. Dit betekent dat WhatsApp uitgebreide bevoegdheden kan krijgen om gegevens over te dragen aan Facebook. De voorwaarden zorgen ervoor dat WhatsApp en Facebook gebruikersdata met elkaar kunnen uitwisselen. In eerste instantie zouden die al in februari ingaan, maar Facebook besloot de update na ophef uit te stellen tot 15 mei.
Facebook en WhatsApp zouden zich niet houden aan AVG
Volgens de HmbBfDI zouden WhatsApp en Facebook zich op twee punten niet houden aan de AVG. Ten eerste zou WhatsApp geen duidelijke opt-in voor de dataverzameling bieden. Ten tweede zouden de bedrijven niet duidelijk maken waarvoor het verzamelen van de persoonlijke data voor nodig is. Dit zijn allebei voorwaarden om te voldoen aan de AVG.
"Het bevel is bedoeld om de rechten en vrijheden te beschermen van de vele miljoenen gebruikers in heel Duitsland die akkoord gaan met de gebruiksvoorwaarden", aldus Johannes Caspar, de Hamburgse commissaris voor gegevensbescherming en vrijheid van informatie. "Het is belangrijk om nadelen en schade in verband met een dergelijke black box-procedure te voorkomen." Hij heeft het daarbij onder meer over het Cambridge Analytica-schandaal en het recente datalek bij Facebook, waarbij meer dan 500 miljoen gebruikers getroffen werden.
Vanwege de beperkte duur van het bevel in de noodprocedure, zal de HmbBfDI deze zaak voorleggen aan het European Data Protection Board (EDPB) om een bindende beslissing op Europees niveau af te dwingen.
