Facebook Insights: Beheerder pagina mede-verantwoordelijk voor de privacy

Het Europese Hof van Justitie heeft op 5 juni 2018 een uitspraak gedaan  in een Duitse zaak omtrent privacy op een pagina van Facebook.

Wat was er aan de hand
Een Duits bedrijf werd door de Duitse privacywaakhond (bij ons de Autoriteit Persoonsgegevens) bevolen hun Facebookpagina offline te halen. Er was namelijk niet aan de bezoekers gemeld dat de paginabeheerder met door Facebook geplaatste cookies bezoekersgegevens verwerkte. Het Duitse bedrijf spande een zaak aan met de stelling dat Facebook hiervoor verantwoordelijk was.

Facebook Insights
Facebook plaats cookies door het gebruik van Facebook Insights. Deze cookies blijven zonder actieve verwijdering twee jaar actief en hebben als doel enerzijds het advertentiesysteem van Facebook verbeteren en anderzijds releverante content aan kunnen bieden voor beheerders.

(Zoals blijkt uit het aan het Hof overgelegde dossier, worden de gegevensverwerkingen die in het hoofdgeding aan de orde zijn hoofdzakelijk uitgevoerd door het plaatsen, door Facebook, op de computer of op ieder ander apparaat van de personen die de fanpagina hebben bezocht, van cookies die tot doel hebben informatie op de webbrowsers op te slaan en gedurende twee jaar actief blijven indien ze niet worden gewist. Uit het dossier komt tevens naar voren dat Facebook, in de praktijk, de informatie die in cookies is opgeslagen met name ontvangt, opslaat en verwerkt bij het bezoek van een persoon aan „de Facebook-[diensten], waaronder [de] website en apps [van Facebook] of als [iemand] andere websites en apps bezoekt die gebruikmaken van Facebook-[diensten]”. Daarenboven kunnen ook andere entiteiten, zoals partners van Facebook of zelfs derden, „cookies op de Facebook-[diensten] gebruiken om [rechtstreeks aan dit sociale netwerk] en de bedrijven die adverteren op Facebook [diensten] te verlenen”.
Deze verwerkingen van persoonsgegevens hebben met name tot doel om enerzijds Facebook in staat te stellen het advertentiesysteem dat zij via haar netwerk verspreidt te verbeteren en anderzijds de beheerder van de fanpagina in staat te stellen om met het oog op het beheer van de promotie voor zijn activiteit statistieken te verkrijgen die Facebook aan de hand van bezoeken aan deze pagina heeft opgesteld, waardoor hij bijvoorbeeld te weten kan komen wat het profiel is van de bezoekers die zijn fanpagina appreciëren of zijn applicaties gebruiken, zodat hij hun relevantere content kan aanbieden en functiemogelijkheden kan ontwikkelen die hen mogelijk meer interesseren.)

Verwerkingsverantwoordelijke
 De verwerkingsverantwoordelijke is degene die het doel en de middelen van de verwerking bepaalt. Dit kan echter betrekking hebben op meerdere deelnemers, waardoor meerdere personen verantwoordelijk kunnen zijn voor een verwerking.

Facebook
Het staat in de zaak niet ter discussie dat Facebook het doel en de middelen bepaalt en daarmee verwerkingsverantwoordelijke is.

(In het onderhavige geval moeten Facebook Inc. en, wat de Unie betreft, Facebook Ireland worden beschouwd als degenen die primair het doel van en de middelen voor de verwerking van de persoonsgegevens van de Facebookgebruikers en van de personen die de fanpagina’s op Facebook bezoeken vaststellen en dus onder het begrip „voor de verwerking verantwoordelijke” in de zin van artikel 2, onder d), van richtlijn 95/46 vallen, hetgeen in deze zaak niet wordt betwijfeld.)

Paginabeheerder
Met het maken van een Facebookpagina sluit je een overeenkomst met Facebook, waarmee je Facebook toestemming geeft, of in ieder geval de mogelijkheid biedt, deze cookies te plaatsen. De beheerder van een pagina kan met filters en instellingen vaststellen welke statistieken moeten worden opgesteld en is daardoor mede-verantwoordelijk. De beheerder kiest hiermee namelijk ook het doel van de verwerking. Gezamenlijke verantwoordelijkheid betekent echter geen gelijkwaardige verantwoordelijkheid.

(Deze beheerder kan, met behulp van filters die hem door Facebook ter beschikking worden gesteld, criteria vaststellen aan de hand waarvan deze statistieken moeten worden opgesteld en zelfs de categorieën personen aanwijzen wier persoonsgegevens door Facebook zullen worden geëxploiteerd. Dientengevolge draagt de beheerder van een fanpagina op Facebook bij aan de verwerking van persoonsgegevens van de bezoekers van zijn pagina.’
In deze omstandigheden moet worden geoordeeld dat de beheerder van een fanpagina op Facebook, zoals Wirtschaftsakademie, door het vastleggen van instellingen naargelang van, met name, zijn doelpubliek en van doelstellingen voor het beheer of de promotie van zijn activiteiten, deelneemt aan de vaststelling van het doel van en de middelen voor de verwerking van de persoonsgegevens van de bezoekers van zijn fanpagina. Hiervoor moet deze beheerder, in casu, worden aangemerkt als verantwoordelijke binnen de Unie, gezamenlijk met Facebook Ireland, voor deze verwerking, in de zin van artikel 2, onder d), van richtlijn 95/46.)

Geanonimiseerd
De gegevens worden geanonimiseerd doorgegeven aan de beheerder van de pagina, maar dat doet niets af aan het feit dat de verwerking plaatsvindt en de cookies worden geplaatst bij de bezoeker.

Oplossing
Facebook Insights uitschakelen oftewel Facebook geen toestemming geven de cookies te plaatsen. Op het moment van schrijven hebben wij helaas nog niet achterhaald hoe je dit kunt doen, maar zodra wij dat weten zullen we dit artikel natuurlijk updaten. Tot die tijd is het dus van belang je bezoekers te informeren over deze verwerking. Je doet dat door de verwerking in je privacyverklaring en cookiestatement op te nemen. Dit privacybeleid kun je vervolgens uploaden op je Facebookpagina (pagina – info – privacybeleid uploaden).

(De volledige uitspraak is terug te vinden onder jurisprudentie nummer  ECLI:EU:C:2018:388)