Googles knieval voor privacywaakhonden

Binnenkort zal Google onder druk van de Europese privacywaakhonden aan gebruikers van de Google Analytics-dienst een aparte bewerkersovereenkomst aanbieden, zo meldt Webwereld vandaag. In Duitsland bestond deze mogelijkheid al langer, maar in onder andere Nederland stelde Google zich tot nu toe op het standpunt dat een bewerkersovereenkomst niet nodig was, omdat de gegevens die met Google Analytics verwerkt werden, geen persoonsgegevens zouden zijn in de zin van de Privacyrichtlijn.

Hoe zat het ook al weer?
De Wbp, de Nederlandse implementatie van Richtlijn 95/46/EG, stelt eisen aan de verwerking van persoonsgegevens. De Wbp kent twee partijen op wie verplichtingen rusten: de verantwoordelijke en de bewerker. De verantwoordelijke is de partij die het doel en de middelen voor de gegevensverwerking vaststelt. In het kader van het gebruik van Google Analytics is dit het bedrijf achter de website. De bewerker is de partij die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt. Op grond van artikel 14 Wbp moet de verantwoordelijke met de bewerker een aparte bewerkersovereenkomst sluiten, waarin de verplichtingen van de bewerker met betrekking tot beveiliging en geheimhouding van de persoonsgegevens staan beschreven.

Verweer Google
De Wbp is echter alleen van toepassing wanneer sprake is van een verwerking vanpersoonsgegevens, dat wil zeggen gegevens betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Google redeneerde consequent dat IP-adressen geen persoonsgegevens zijn. Ten onrechte, zo meent onder andere de Artikel 29 Werkgroep (tegenwoordig, want eerder stelde de Werkgroep zich op het standpunt dat IP-adressen soms wel, en soms geen persoonsgegevens zijn).

TP Vision
Recent oordeelde het College Bescherming Persoonsgegevens dat TP Vision, een aanbieder van smart-tv, de verplichting had om een bewerkersovereenkomst met Google te sluiten ten aanzien van het gebruik door TP Vision van Google Analytics. Het feit dat Google per email had laten weten geen bewerkersovereenkomst af te willen sluiten, deed aan die verplichting niets af.

Dit oordeel illustreert dat de verplichting om een bewerkersovereenkomst af te sluiten, rust op de verantwoordelijke. Die kan zich er niet achter verschuilen dat zijn bewerker onwillig is. De Duitse toezichthouder had Google overigens in 2011 al zo ver gekregen dat het de optie bood om bewerkersovereenkomsten te sluiten.


Micha Schimmel is Paralegal bij SOLV Advocaten en is gespecialiseerd in Internet-, ICT- en IP-regelgeving.

Dit artikel verscheen op 7 oktober 2013 op de blog van SOLV en is met toestemming op ISP Today gepubliceerd. Gebruikte bronnen: webwereld.nl.

Over Micha Schimmel

Micha Schimmel is Paralegal bij SOLV Advocaten en is gespecialiseerd in Internet-, ICT- en IP-regelgeving.