6 februari 2012

Het chrome van Google wordt gladder per 1 maart 2012

Google gaat haar privacybeleid aanpassen. Vanaf 1 maart 2012 is het nieuwe beleid van toepassing. Bij het wijzigen van privacybeleid doen ondernemingen er verstandig aan om ervoor te zorgen dat veranderingen niet extreem overkomen. Men wil voorkomen dat de aanpassingen gebruikers afschrikt of veel media-aandacht trekt. Een recent voorbeeld was het netwerkbedrijf LinkedIn dat onder grote kritiek van gebruikers boog en haar aanpassingen in het privacybeleid moest bijstellen.

Privacybeleid moet voldoen aan regelgeving
Privacybeleid is belangrijk voor zowel gebruikers als ondernemingen, omdat het grenzen stelt aan de schijnbaar onbeperkte mogelijkheden voor ondernemingen om data te verzamelen, te gebruiken en uit te winnen. Om de uitwassen tegen te gaan bestaat er in Nederland veel regelgeving, waaronder de Wet bescherming persoonsgegevens (Wbp). Wanneer bedrijven zich niet aan de regels houden kan, naar al gelang de situatie, worden opgetreden door het College bescherming persoonsgegevens (Cbp) of de Onafhankelijke Post en Telecommunicatie Autoriteit (OPTA); zij mogen forse boetes opleggen. Ook de daarbij horende imagoschade is voor veel bedrijven reden om ervoor te zorgen dat het privacybeleid in orde is. De Nederlandse wet- en regelgeving op het gebied van privacy wordt vooral in Europa bepaald. De Europese Commissie is druk bezig met de ontwikkeling van nieuwe regelgeving en liet recent weten:

"Data protection is highly relevant for consumers and businesses regardless of borders. It therefore needs to be addressed at the European level, through high, common European standards with global appeal. […] We both believe that as a result of this reform process, consumers in Europe should see their data strongly protected, regardless of the EU country they live in and regardless of the country in which companies, which process their personal data, are established.”

“We both believe that companies who direct their services to European consumers should be subject to EU data protection laws. Otherwise, they should not be able to do business on our internal market. This also applies to social networks with users in the EU. We have to make sure that they comply with EU law and that EU law is enforced, even if it is based in a third country and even if its data are stored in a 'cloud'.”

Uit dit citaat blijkt dat er meer in het spel is dan de bescherming van gebruikers: het gaat ook om bescherming van de Europese markt en Europese principes ten opzichte van de rest van de wereld, met name de Amerikaanse hegemonie. De Europese regelgeving beschermt burgers beter inzake privacy dan de Amerikaanse regelgeving (Safe Harbor) maar beperkt daardoor ook (buitenlandse) bedrijven in sterkere mate. Google voldoet wel aan Safe Harbor, maar of het gewijzigde privacybeleid voldoet - of moet voldoen - aan de Europese en Nederlandse regelgeving is onduidelijk.

Overigens geeft Google als primaire reden voor het wijzigen van het beleid niet aan haar gebruikers beter te willen beschermen, maar het aantal verschillende privacyregelingen te verminderen, de teksten te vereenvoudigen en begrijpelijker te maken. Zie ook de verklaring van Google zelf op dit blog en de officiële website. Het vereenvoudigen is naar mijn mening wel gelukt, maar begrijpelijker (transparanter) wordt het echter niet. Eerder het tegenovergestelde.

Google’s nieuwe privacybeleid
Wat is heeft Google nu precies veranderd? Hierbij enkele noemenswaardige aanpassingen.

1. Transparantie inzake het combineren van gegevens
Google wijst nu duidelijk op het feit dat Google de enorme hoeveelheid verzamelde informatie en verkeersgegevens combineert. En er is veel te combineren: uw gebruik van de zoekmachine, e-mails via Gmail, en na inloggen de bekeken filmpjes via YouTube, om enkele voorbeelden te noemen.

"We kunnen de gegevens die u voor uw account verstrekt, combineren met gegevens van andere Google-services of gegevens van derden om u beter van dienst te kunnen zijn en de kwaliteit van onze services te verbeteren. Voor bepaalde services heeft u de mogelijkheid om aan te geven dat u niet wilt dat dergelijke gegevens worden gecombineerd."

Google biedt dus in door Google te bepalen gevallen – maar niet alle diensten - een opt-out. Als deze optie niet voldoende is voor gebruikers, of niet geboden wordt door Google is de enige mogelijkheid om te stoppen met gebruikmaking van Google. Of zo’n opt-out voldoet aan de toepasselijke regelgeving is een interessante vraag waar velen, waaronder het College Bescherming Persoonsgegevens zich ongetwijfeld de komende tijd over zullen buigen. Maar welke regelgeving is van toepassing?

2. Locatiegegevens worden “automatisch opgeslagen”
Het nieuwe privacybeleid is “gladder” omdat Google de toepasselijkheid van Nederlandse en Europese wet- en regelgeving tot een minimum lijkt te willen beperken. Stond in de oude voorwaarden nog dat Google bijvoorbeeld locatiegegevens “gebruikt en verwerkt”, waardoor de Nederlandse privacyregelgeving van toepassing zou zijn, in de nieuwe voorwaarden “slaat” Google deze alleen nog maar “op”.

Oud privacybeleid:

“Wanneer u een locatieservice van Google gebruikt, kunnen we gegevens verzamelen en verwerken over uw daadwerkelijke locatie, zoals GPS-signalen die worden verzonden door een mobiel apparaat.”

Nieuw privacybeleid:

“wanneer u Google-services via een browser, toepassing of andere client opent, slaan onze servers automatisch bepaalde informatie op. Deze serverlogbestanden bevatten mogelijk gegevens als uw webverzoek, uw interactie met een service, uw IP-adres, browsertype, browsertaal, de datum en tijd van uw verzoek en een of meer cookies waaraan uw browser of uw account kan worden herkend.”

Verzameling van dit type gegevens komt meer voor dan u wellicht denkt. Ik geef twee voorbeelden. Ten eerste is Google de bedenker en eigenaar van Android: het populaire besturingssysteem dat de mobiele telefoonmarkt in korte tijd heeft veroverd. Daarnaast ontstond in Duitsland veel commotie toen bleek dat Google bij haar dienst “streetview” gegevens van lokale netwerken opsloeg. Is “automatisch opslaan” hetzelfde als verzamelen en verwerken?

3. Verwerking vind plaats in de Verenigde Staten en andere landen
Op diverse plekken wordt het eerder onduidelijker wat er precies gebeurt met de gegevens van gebruiker door bepalingen zoals “Als we deze gegevens gebruiken”. Over het moment, de intensiteit en over welke gegevens het precies gaat, laat Google de gebruiker in het duister.

"Google verwerkt persoonlijke gegevens op onze servers in de Verenigde Staten en in andere landen. In bepaalde gevallen verwerken we persoonlijke gegevens buiten uw eigen land."

Welke andere landen Google in gedachten heeft is niet bekend zodat gebruikers, juristen en overheden maar moeten gissen naar welk recht precies van toepassing is naast het Amerikaanse recht. Wel is nu duidelijker dat Google gegevens niet meer “wereldwijd” verwerkt, maar in de Verenigde Staten en andere landen. Dus niet meer overal en dus misschien niet in Nederland. Hoewel er geruchten zijn dat het datacentrum TCN bij de Eemshaven Google als grote klant zou hebben. Maar worden daar dan wel gegevens verzameld of verwerkt? Met het nieuwe beleid is dit minder duidelijk.

4. Gepaste beveiligingsmaatregelen
Ook ten aanzien van beveiliging toont Google zich niet erg transparant. Zo is de verklaring geschrapt dat Google bij  “veel van haar diensten” gebruikmaakt van Secure Sockets Layer (SSL). SSL is een encryptieprotocol dat meer veilige en vertrouwelijke communicatie en verzending van gegevens moet bieden. Hiermee is zeker niet gezegd dat Google haar diensten niet beveiligt.

Het nieuwe beleid van Google stelt:

We treffen gepaste beveiligingsmaatregelen als bescherming tegen ongeoorloofde toegang tot of ongeoorloofde aanpassing, openbaarmaking of vernietiging van gegevens.

Het nieuwe beleid is wel stelliger, maar een transparante onderbouwing ontbreekt. Met andere woorden: waaruit deze bescherming precies bestaat is niet bekend en dat is jammer. Bedrijven hoeven bij beveiliging geen volledige openheid over concrete normen te geven, maar een indicatie is wel zeer wenselijk. Google zou bijvoorbeeld kunnen aangeven of ze voldoen aan een standaard voor informatiebeveiliging, zoals ISO-27001. Wanneer bedrijven zakelijk gebruik willen maken van Google’s diensten is dit soort informatie wel essentieel om te kunnen bepalen of de aangeboden diensten wel veilig genoeg zijn. In het bijzonder wanneer bedrijven zelf duidelijkheid aan hun klanten moeten verschaffen.

Informatie
Privacybeleid maken en bijstellen is geen sinecure. Wanneer u meer informatie wilt over privacybeleid of over het verantwoord omgaan met gegevens neem dan contact op met de privacyadvocaten van WiseMen.

Advocaat Reinaert Wolff
Tel. 070 – 381 92 81 | info@wisemen.nl



ARCHIEF

Interesse in onze dienstverlening?

e-mail

sandra@wisemen.nl

sandra@wisemen.nl

of bel

070 - 381.92.81

070 - 381.92.81


© 2011 - WiseMen Advocaten

Sitemap|Disclaimer