WhatsApp moet vertegenwoordiger in Nederland aanwijzen, hoe nu verder?

Whatsapp is volop in het nieuws de laatste tijd. Eind oktober berichtten wij nog over de waarschuwingsbrief van de Artikel 29-werkgroep aan het adres van WhatsApp. Gisteren bleek uit een persbericht van de rechtbank Den Haag dat WhatsApp een procedure tegen de Nederlandse privacy toezichthouder, de Autoriteit Persoonsgegevens (AP), heeft verloren en gehouden is om een officiële vertegenwoordiger aan te stellen om zo te voldoen aan de Wet Bescherming Persoonsgegevens (Wbp). Als WhatApp geen vertegenwoordiger aanwijst dan krijgt het bedrijf een dwangsom van EUR 10.000 per dag met een maximum van 1 miljoen Euro opgelegd.

Wat ging er aan vooraf?

In 2013 was WhatsApp al door de toezichthouder op de vingers getikt wegens het overtreden van de privacywetgeving. De AP (destijds nog het College Bescherming Persoonsgegevens – CBP) had een onderzoek ingesteld omdat WhatsApp via de app op smartphones in Nederland persoonsgegevens verwerkte van zogenaamde non-users. WhatsApp verlangt namelijk van haar gebruikers toegang tot het hele elektronische contactenboek, inclusief contactgegevens van contacten die geen gebruik maken van WhatsApp. De mobiele nummers worden vervolgens door WhatsApp vergeleken met de zogenoemde user tabel op haar servers in de VS. De mobiele nummers van deze non-users worden in versleutelde vorm op de servers van WhatsApp opgeslagen.

Volgens de AP voldoet de verwerking van de persoonsgegevens van de non-users aan de vereisten van de Wbp. Gevolg hiervan is dat WhatsApp een vertegenwoordiger binnen Nederland moest aanwijzen anders handelt zij in strijd met artikel 4 lid 3 Wbp. De toezichthouder legde een last onder dwangsom op. WhatsApp was het hier niet mee eens en tekende bezwaar aan.

In november 2015 concludeerde de toezichthouder dat WhatsApp diverse wijzigingen had doorgevoerd die de bescherming van de privacy van de non-users ten goede kwam, maar WhatsApp weigerde een vertegenwoordiger aan te stellen. WhatsApp heeft vervolgens weer beroep aangetekend bij de rechtbank.

Wat valt op aan de uitspraak?

Enkel doorvoer?

WhatsApp voert aan dat van verwerking in Nederland geen sprake en dat zij niet kan worden gekwalificeerd als verantwoordelijke die geautomatiseerde middelen in Nederland gebruik die worden ingezet voor meer dan alleen doorvoer van gegevens van non-users. Het bedrijf heeft geen personeel in Nederland en maakt alleen gebruik van servers in de VS.

De rechtbank gaat niet mee in dit verhaal. De rechtbank oordeelt allereerst dat WhatsApp bij het verwerken van persoonsgegevens gebruik maakt van geautomatiseerde middelen in Nederland.  WhatsApp verwerkt namelijk de gegevens van haar Nederlandse gebruikers via de app die zich bevindt op Nederlandse smartphones. Daarnaast is de rechtbank van oordeel dat van alleen doorvoer van gegevens geen sprake is. De Artikel 29-werkgroep heeft in een advies benadrukt dat met doorvoer enkel wordt gedoeld op middelen die uitsluitend worden gebruikt voor ‘de eenvoudige overdracht van punt tot punt’, waarbij kan worden gedacht aan kabel en postdiensten. WhatsApp vergelijkt echter de telefoonnummers op haar eigen server, waardoor geen sprake kan zijn van enkel doorvoer.

Onmogelijkheid om vertegenwoordiger aan te stellen

WhatsApp voert aan dat de toezichthouder ten onrechte van haar verlangt dat zij een vertegenwoordiger in Nederland aanstelt. WhatsApp gebruikt hierbij als argument dat de toezichthouder haar onvoldoende ruimte heeft gelaten om de anticiperen op de toekomstige Privacyverordening waarin is bepaald dat slechts één vertegenwoordiger binnen de EUR hoeft te worden aangewezen. Maar omdat niet is gebleken dat WhatsApp in een andere Europese lidstaat inmiddels een vertegenwoordiger heeft aangewezen, oordeelt de rechtbank dat geen concreet zicht op legalisatie van de bestaande situatie bestaat.

Daarnaast voert WhatsApp ook nog aan dat het voor haar onmogelijk is om een vertegenwoordiger aan te stellen omdat geen enkele commerciële partij te vinden is die de risico’s op boetes en dwangsommen op zich wil nemen. De rechtbank legt dit verweer naast zich neer en oordeelt dat deze stelling van WhatApp niet met zich mee kan brengen de Nederlandse privacywetgeving naast zich neer te leggen.

Gevolgen?

WhatsApp kan binnen zes weken nog hoger beroep instellen bij de afdeling bestuursrechtspraak van de Raad van State.

Meer interessant is echter de vraag of wat deze uitspraak nu betekent voor andere houders van (buitenlandse) apps die grootschalig gebruik maken van persoonsgegevens op Nederlandse smartphones. Moeten dergelijke applicaties nu ook een Nederlandse vertegenwoordiger gaan aanstellen? De AP wilde op deze vraag niet verder ingaan. Wij denken dat dit mogelijk wel het geval kan zijn, als op grote schaal door een buitenlandse partij persoonsgegevens van Nederlanders op Nederlandse smartphones worden verwerkt en niet enkel sprake is van doorvoer. Het aanstellen van een vertegenwoordiger in Nederland (of in ieder geval in een Europese lidstaat) is dan wel te adviseren.

Op de hoogte blijven?

Schrijf je in en ontvang de laatste nieuwsupdates, artikelen, blogs en evenement notificaties.