De Article 29 Data Protection Working Party heeft vorige week een bezorgde brief verstuurd naar Whatsapp in het kader van de recente ‘update’ van haart privacybeleid. In de brief verzoekt de werkgroep Whatsapp te stoppen met het delen van data met haar moederbedrijf Facebook, tot het moment waarop gepaste bescherming aan de betrokkenen kan worden geboden.
Wat was er ook alweer aan de hand? In augustus heeft Whatsapp haar privacybeleid grondig aangepast. Waar iedereen al lang voor vreesde werd daarmee dan toch werkelijkheid: Whatsapp, dat zich eerder uitdrukkelijk presenteerde als voorvechter van privacy (door o.a. alle correspondentie via de app te versleutelen), gaat gegevens die door haar applicatie stromen uitwisselen met haar moederbedrijf Facebook.
Wel was het mogelijk om deze gegevensdeling tegen te gaan door middel van een opt out via de instellingen op je mobiele telefoon. Deze opt out hield in dat Whatsapp standaard zo stond ingesteld dat gegevens uit de app werden gekoppeld aan die van Facebook, waarbij je een maand de tijd had om deze koppeling ‘uit te schakelen’. Privacy-rechtelijk zijn hier uiteraard de nodige vraagtekens bij te plaatsen, en dat is dan ook de reden dat we hier meerdere malen over hebben geblogd.
Het was wachten op het antwoord van de verschillende privacy-waakhonden die actief zijn in Europa. De Duitse ‘Hamburg Commissioner for Data Protection and Freedom of Information’ beet het spits af door een ‘administrative order’ uit te vaardigen aan Facebook, waarin de voornoemde dataverzameling van Duitse Whatsapp-gebruikers door Facebook werd verboden. Hiertegen is Facebook inmiddels in beroep gegaan, met als argumenten dat ‘niemand de berichten kan lezen’ en dat Ierse privacyregels van toepassing zijn aangezien Facebook in Ierland gevestigd is – niet erg steekhoudende argumenten als je het mij vraagt.
Nu heeft dus ook de werkgroep van zich laten horen. In een bondige brief van twee pagina’s (.pdf) stelt de werkgroep dat zij ‘serious concerns’ heeft over de vraag of betrokkenen wel toestemming hebben gegeven voor het delen van de data tussen de twee bedrijven, evenals over de (afwezigheid van) controlemechanismen voor betrokkenen en de gevolgen die de datadeling heeft voor betrokkenen die niet zijn aangesloten bij Facebook.
De werkgroep stelt gezamenlijk op te gaan treden tegen Facebook en een sub-werkgroep op te zetten om ervoor te zorgen dat Europese privacyregelgeving wordt gewaarborgd. Hierop vraagt de werkgroep het een en ander aan informatie van Facebook; zo wil het weten welke data zij verzamelt, waaruit die data wordt verzameld, en aan wie deze data wordt verstrekt, om zo gedegen onderzoek te kunnen doen naar Facebook. Tot die tijd verzoekt de werkgroep Facebook dringend om te stoppen met de datadeling.
Zelf ben ik zeer benieuwd óf Facebook iets gaat doen met deze brief, en zo ja, wat er dan gaat gebeuren. Hopelijk ziet Facebook in dat zij niet helemaal zuiver heeft gehandeld en deelt zij ons binnenkort mee dat een verkeerde inschatting is gemaakt. Doet zij dit niet, dan lonkt een ware privacy-oorlog in Europa. Dat gaat ongetwijfeld voor interessante rechtspraak zorgen.
