David vs. Goliath: CBP legt Google privacy dwangsom op van ongeveer 3,5 minuut winst per dag

Het College Bescherming Persoonsgegevens heeft in een persbericht vandaag bekend gemaakt dat zij Google een last onder dwangsom heeft opgelegd wegens overtreding van de privacywet. De last kan oplopen tot maximaal 15 miljoen euro. De vraag is of deze last in verhouding tot de winst van Google staat.

Lange voorgeschiedenis

Google staat al lange tijd in de belangstelling bij de Eurpese privacytoezichthouders. Dit heeft alles te maken met de wijziging van het privacybeleid van ondertussen ongeveer alweer bijna drie jaar geleden. Dit nieuwe beleid heeft tot heel wat acties van verschillende privacytoezichthouders geleid. Op dit weblog vindt u hiervan een aardig overzicht.

CBP grijpt nu in en legt dwangsom op

Het College Bescherming Persoonsgegevens zet nu de vele correspondentie om in steviger daden en legt een last onder dwangsom op. Concreet zijn er drie maatregelen die Google volgens het CBP moet nemen:

1. Toestemming vragen voor het combineren van persoonsgegevens;


2. Beter informeren dat YouTube onderdeel is van Google;


3. Een beter privacystatement hanteren.

Ad. 1. Toestemming vragen

Het CBP stelt zich op het standpunt dat voor het combineren van gegevens van de gebruiker toestemming nodig is. Het CBP onderbouwt dit met de stelling dat deze gegevensverwerkingen "niet voorzienbaar zijn voor de betrokkene" en een grote "impact op de persoonlijke levenssfeer" hebben. Dit brengt volgens het CBP met zich mee dat een andere grondslag voor de gegevensverwerking, zoals gerechtvaardigd belang, niet mogelijk is. Dat standpunt is niet alleen voor Google een relevant gegeven, maar ook voor alle andere bedrijven die aan (online) marketing, big data of andere technieken doen waarbij persoonsgegevens worden gecombineerd.

Ad. 2. Informeren over YouTube

Het CBP stelt vast dat in het privacybeleid van Google niet staat vermeld dat dit beleid ook van toepassing is op YouTube. Het is daarmee voor gebruikers van YouTube volgens het CBP ook niet duidelijk dat gegevens over het gebruik van YouTube worden gecombineerd met andere Google toepassingen. Het CBP sommeert Google dan ook op (1) op de Nederlandse website te vermelden dat Google achter YouTube zit en (2) in de eerste laag van het privacystatement te vermelden dat het beleid van toepassing is op YouTube.

Ad. 3. Beter privacystatement hanteren

Het privacystatement van Google schiet volgens het CBP schromelijk tekort. Meer concreet wordt Google bevolen om de volgende informatie in het statement op te nemen:

1. er moet worden vermeld dat gegevens die dankzij Google Analytics worden verkregen worden gecombineerd met andere gegevens;


2. er moet worden vermeld dat gegevens uit Google+ profielen gebruikt kunnen worden in advertenties, ook buiten de kringen van de persoon zelf;


3. er moet worden vermeld dat Google de inhoud van al het verkeer, inclusief Gmail verkeer, monitort om gebruikers relevante productfuncties te kunnen geven;


4. Google dient op een pagina die binnen maximaal twee muisklikken is te vinden meer in detail uitleggen wat zij met MAC-adressen, UUID's, versnellingsmeters en (geo-)locatiegegevens doet.

Ook deze eisen zijn interessant voor meer partijen dan Google alleen. Het CBP geeft namelijk met deze eisen een meer concrete invulling wat er moet worden verstaan onder "nadere informatie voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen" uit artikel 33 lid 3 Wbp. Het blijkt nu, overigens niet zo verrassend, dat het CBP de lat ten aanzien van informatieverstrekking hoog legt.

Last onder dwangsom kost minder dan 3,5 minuut winst

Het CBP legt voor ieder van de hiervoor genoemde drie punten een last onder dwangsom op van maximaal 20.000 euro per dag, oplopend tot maximaal 5 miljoen euro. Totaal kan Google dus 60.000 per dag of maximaal 15 miljoen euro verbeuren, als de last niet wordt nageleefd.

15 miljoen euro lijkt wellicht een fors bedrag; ter relativering het volgende. Volgens haar eigen cijfers heeft Google in het laatste kwartaal een netto winst geboekt van 2,813 miljard dollar. Dat bedrag is verdiend in 92 dagen of 132.480 minuten. Dit betekent dat Google het afgelopen kwartaal per minuut een winst boekte van 21233,39 dollar. Bij de huidige koers is dat ruim 17 duizend euro per minuut. Met andere woorden: in het ergste geval is Google per dag ongeveer de winst kwijt die zij 3,5 minuut verdient.

Het is de vraag waar Google onder die omstandigheden voor kiest: toegeven aan het CBP, of genoegen nemen met een iets lagere winst. Of natuurlijk, en dat is juridisch meest interessant (mede vanwege de vele open normen in de wet), het dwangsombesluit aanvechten. We houden de kwestie in de gaten.