Sociale media en verwerkingsverantwoordelijkheid: tijd voor actie?

Ja. Beheer je als ondernemer een zakelijke Facebook-pagina of plaats je social plug-ins (zoals de ‘vind ik leuk’-knop) op je website, dan ben je in de meeste gevallen samen met het platform mede-verwerkingsverantwoordelijke onder de AVG. Dat betekent dat je bezoekers vooraf moet informeren, waar nodig geldige toestemming moet vragen en de onderlinge rolverdeling met het platform moet vastleggen. Het Europese Hof van Justitie bevestigde dit in twee belangrijke uitspraken. In dit artikel lees je wat die gedeelde verantwoordelijkheid concreet inhoudt, welke risico’s je loopt en welke stappen je nu kunt zetten.

Wat betekent verwerkingsverantwoordelijkheid op sociale media?

Een verwerkingsverantwoordelijke is volgens de AVG degene die het doel en de middelen van een gegevensverwerking bepaalt. Bij sociale media ligt dat genuanceerder dan veel ondernemers denken. Zodra jij een zakelijke Facebook-pagina beheert of een social plug-in op je site plaatst, draag je doorgaans mede-verantwoordelijkheid voor de persoonsgegevens die daarbij worden verzameld. Je bent dan niet slechts een onschuldige gebruiker van het platform.

De kern: door bewust te kiezen voor het platform of de knop, maak je de gegevensverzameling mede mogelijk. Daarmee bepaal je een deel van het ‘doel en de middelen’, en kom je binnen de reikwijdte van de AVG.

Gezamenlijke verantwoordelijkheid is geen gelijke verantwoordelijkheid

Belangrijk om te onthouden: gezamenlijke verwerkingsverantwoordelijkheid betekent niet automatisch dat jij en het platform precies even veel verplichtingen of aansprakelijkheid dragen. De verantwoordelijkheid is doorgaans beperkt tot dat deel van de verwerking waarin jij daadwerkelijk invloed hebt. Onder de AVG moeten gezamenlijke verwerkingsverantwoordelijken hun onderlinge taken bovendien in een onderlinge regeling vastleggen.

Je Facebook-pagina: gedeelde verantwoordelijkheid bevestigd

In de zaak rond een zogeheten fanpage (Wirtschaftsakademie Schleswig-Holstein, uitspraak van 5 juni 2018) moest het Hof van Justitie van de Europese Unie beoordelen of de beheerder van zo’n pagina, naast het platform zelf, verwerkingsverantwoordelijke is. Facebook plaatst cookies om informatie te verzamelen over bezoekers van de pagina, ongeacht of zij een account hebben. Die informatie wordt vervolgens via statistiekfuncties (zoals Facebook Insights) aan de paginabeheerder beschikbaar gesteld, terwijl bezoekers daar niet altijd van op de hoogte worden gebracht.

Het Hof oordeelde dat zowel het platform als de beheerder van de pagina verwerkingsverantwoordelijkheid draagt. Door te kiezen voor het platform geef je het immers de mogelijkheid om via cookies gegevens te verzamelen. Het feit dat je met je pagina ook bezoekers aantrekt die nog geen band met het platform hebben, weegt daarbij mee.

Social plug-ins op je website: ook jij bent medeverantwoordelijk

Je kent de ‘vind ik leuk’-knop wel: het duimpje waarmee bezoekers zich vanaf jouw website met je pagina verbinden. Een lastig duimpje, want ook zonder dat iemand erop klikt, kunnen het IP-adres en gegevens over de browser van de bezoeker al naar het platform worden doorgestuurd.

In de zaak Fashion ID (uitspraak van 29 juli 2019) oordeelde het Hof van Justitie dat een websitebeheerder die zo’n social plug-in inbouwt, samen met het platform verwerkingsverantwoordelijke is. Die verantwoordelijkheid is wel begrensd: zij geldt voor de fase van het verzamelen en doorsturen van de gegevens via de knop, waar de websitebeheerder daadwerkelijk invloed op heeft. Voor wat het platform daarna met de gegevens doet, ben je in beginsel niet verantwoordelijk. Het Hof benadrukte ook dat het niet uitmaakt dat je als ondernemer zelf geen toegang hebt tot die gegevens.

Concreet betekent dit dat je bezoekers vooraf moet informeren en dat eventuele toestemming moet zijn gegeven voordat de gegevens via de plug-in worden doorgestuurd.

Wat zijn de gevolgen voor jou als ondernemer?

Uit deze uitspraken volgt dat ook beheerders van zakelijke pagina’s en websites met social plug-ins zich aan de AVG moeten houden. In de praktijk komt dat neer op een aantal terugkerende verplichtingen:

• Informeren: leg in een duidelijke privacyverklaring uit welke gegevens via je pagina en plug-ins worden verzameld en met welk doel.
• Toestemming: vraag waar dat nodig is geldige, voorafgaande toestemming, bijvoorbeeld via een correcte cookiebanner, voordat gegevens worden doorgestuurd.
• Afspraken vastleggen: leg de onderlinge rolverdeling met het platform en met andere partijen schriftelijk vast.
• Vastleggen wat je doet: houd bij welke verwerkingen plaatsvinden, zodat je kunt aantonen dat je je verplichtingen serieus neemt.

Niet voldoen kan leiden tot klachten van bezoekers en tot optreden door de toezichthouder, de Autoriteit Persoonsgegevens. Reputatieschade en handhaving zijn reele risico’s, zeker nu het onderwerp privacy steeds zichtbaarder is.

Wat kun je nu praktisch doen?

1. Breng in kaart welke social plug-ins en trackingscripts er op je website staan.
2. Controleer of je cookiebanner gegevens pas doorstuurt na toestemming, en niet al daarvoor.
3. Werk je privacyverklaring en cookieverklaring bij zodat ze de actuele situatie beschrijven.
4. Leg de afspraken met je verwerkers en samenwerkingspartners vast in een verwerkersovereenkomst.
5. Houd je verwerkingen bij in een AVG-verwerkingsregister.

Veelgestelde vragen

Ben ik verantwoordelijk voor de cookies die Facebook op mijn pagina plaatst?

Volgens het Hof van Justitie draag je als beheerder van een zakelijke pagina mede-verwerkingsverantwoordelijkheid voor de gegevens die via die pagina worden verzameld. Je verantwoordelijkheid is wel beperkt tot het deel waarop jij invloed hebt; de toezichthouder kijkt naar de feitelijke situatie.

Mag ik de ‘vind ik leuk’-knop nog op mijn website plaatsen?

Dat mag, maar dan moet je de bezoeker vooraf informeren en, waar nodig, toestemming vragen voordat gegevens via de knop worden doorgestuurd. Een veelgebruikte oplossing is de plug-in pas te laden nadat de bezoeker toestemming heeft gegeven.

Wat is het verschil tussen een verwerkingsverantwoordelijke en een verwerker?

Een verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. Een verwerker verwerkt gegevens uitsluitend in opdracht van een ander. Bij social plug-ins en zakelijke pagina’s gaat het om gezamenlijke verwerkingsverantwoordelijkheid, niet om een verwerkersrelatie.

Welke documenten heb ik minimaal nodig om aan de AVG te voldoen?

Voor de meeste ondernemers gaat het om een privacyverklaring, een cookieverklaring, waar van toepassing een verwerkersovereenkomst en een verwerkingsregister. Welke documenten precies nodig zijn, hangt af van je situatie.

Geldt dit ook voor andere platforms dan Facebook?

Het beginsel is breder dan Facebook alleen. Ook bij zakelijke pagina’s en plug-ins van andere sociale media die op vergelijkbare wijze bezoekersgegevens verzamelen, kun je mede-verwerkingsverantwoordelijke zijn. Per platform en per situatie kan de precieze rolverdeling verschillen.

Kan de Autoriteit Persoonsgegevens optreden tegen mijn bedrijf?

Ja. De Autoriteit Persoonsgegevens houdt toezicht op naleving van de AVG en kan handhavend optreden. Aantoonbaar je best doen om aan je verplichtingen te voldoen, verkleint dat risico aanzienlijk.

Tijd voor actie: laat je AVG-positie controleren

Gebruik jij social plug-ins of beheer je zakelijke pagina’s en twijfel je of je aan de AVG voldoet? Dan is het verstandig je situatie te laten beoordelen. Bekijk onze expertise op het gebied van privacy en gegevensbescherming, of regel de juiste documenten zoals een verwerkersovereenkomst en een cookieverklaring.

Wil je weten waar jij staat? Plan een vrijblijvende intake in en bespreek je situatie met een van onze juristen.