De Franse privacytoezichthouder CNIL heeft in 2019 een boete van 50 miljoen euro opgelegd aan Google wegens het schenden van de privacyregels uit de Algemene Verordening Gegevensbescherming (AVG). De zoekmachinegigant Google ging in beroep tegen deze boete. Deze boete is terecht opgelegd, aldus de Franse Raad van State in een recente uitspraak.
Waar ging de zaak over?
Volgens CNIL informeert Google zijn gebruikers onder meer niet goed genoeg over welke informatie zij van hen opslaat. Ook zijn deze gegevens te lastig toegankelijk. Zo kunnen gebruikers moeilijk achterhalen welke persoonlijke data Google van hen bewaart, stelde de Franse privacywaakhond.
Volgens de CNIL is het proces waarmee Google om toestemming vraagt \”buitensporig verspreid\” over meerdere pagina\’s. Ook moeten gebruikers te vaak op knoppen en links klikken om goed geïnformeerd te worden. Dat is in strijd met de Europese privacyregels die in Nederland de AVG (Algemene verordening Gegevensbescherming) heet.
De zaak was aangespannen door door twee Franse organisaties die opkomen voor privacy. 12.000 mensen hadden zich achter de aanklacht geschaard. Volgens CNIL overtreedt Google op meerdere vlakken de wet. “Essentiële informatie (…) is te veel verspreid over verschillende documenten”, schrijft de waakhond in een persbericht.
Het gaat dan om waarom en hoe lang gegevens van de zoekmachine gebruikers worden opgeslagen, en hoe Google die inzet voor gepersonaliseerde advertenties. Mensen die deze informatie willen inzien, moeten volgens CNIL soms vijf of zes keer klikken. Bovendien zou Google te vaag en te algemeen omschrijven wat het precies bewaart. Dit is de hoofdreden dat de twee organisaties klacht tegen Google hebben ingediend.
Google gaat volledig de mist in
Volgens CNIL schiet Google tekort in de informatievoorziening over het verwerken en opslaan van gegevens voor gerichte advertenties. Dit geldt ook voor het verkrijgen van een geldige toestemming. CNIL hierover: \”Essentiële informatie, zoals het doel van de dataverwerking, de bewaartermijn van data en de soorten persoonlijke data die voor gepersonaliseerde advertenties worden gebruikt, zijn buitensporig over verschillende documenten verspreid, met knoppen en links die voor aanvullende informatie moeten worden aangeklikt. De relevante informatie is alleen na verschillende stappen toegankelijk, waarbij soms vijf tot zes acties nodig zijn.\”
Daarnaast stelt de internetgigant over een juridische basis te beschikken voor het verwerken van gegevens voor gerichte advertenties. De Franse privacy toezichthouder hierover: \”Google stelt dat het toestemming van gebruikers verkrijgt voor het verwerken van data voor gepersonaliseerde advertenties. Deze toestemming is echter voor twee redenen niet geldig.\” De eerste reden is, dat gebruikers niet voldoende door Google worden geïnformeerd. Zo is de informatie over de dataverwerkingen over verschillende documenten verspreid. Dit zorgt ervoor dat de gebruiker niet in staat is om de omvang van de dataverwerkingen te beseffen. Ook stelt CNIL dat de verzamelde toestemming niet \”specifiek\” noch \”ondubbelzinnig\” is.
De Franse privacywaakhond gaat verder over de werkwijze van Google. Als er een account wordt aangemaakt kan de gebruiker wel verschillende opties over het account aanpassen. Echter, het is niet mogelijk om de weergave van gepersonaliseerde advertenties in het eerste scherm in te stellen. Daarnaast staat het weergeven van gepersonaliseerde advertenties bij de uitgebreidere opties standaard geselecteerd. Verder moet een gebruiker bij het aanmaken van een account zijn toestemming geven voor alle dataverwerkingen door Google. Dit is niet specifiek. Daarmee is Google in overtreding van de AVG, aldus CNIL.
Eerste hoge AVG-boete in tegen Big Tech
Dit is de eerste keer dat de CNIL de nieuwe boetebevoegdheid van de AVG heeft ingezet. De hoogte van het bedrag werd volgens CNIL gerechtvaardigd door de ernst van de overtreding van de AVG. Verder bevestigt de Franse Raad van State dat de hoogte van de boete proportioneel is, gezien de ernst van de overtredingen. Deze wetgeving is bedoeld om gebruikers meer controle en bescherming te geven over wat er met hun data gebeurt.
De boete voor Google is tot nu toe de hoogste die in Europa onder de AVG is uitgedeeld. Onder de AVG kunnen autoriteiten bedrijven boetes opleggen die tot 4 procent van de omzet bedragen. Bij een strikte toepassing van de AVG zou Google een boete van 6,44 miljard euro ontvangen. Het bedrag staat echter niet in verhouding tot de omzet van Alphabet, die vorig jaar de 161 miljard dollar passeerde.
Voorkom boetes
Voorkomen is beter dan genezen. Al helemaal als de boetes een gat in uw financiën kan slaan. Samen met u kijken wij graag hoe wij uw privacymanagement kunnen vormgeven. Dit bespaart u financiële tegenvallers, reputatieschade en verlies van data. Neem vandaag nog gerust contact met ons op.