Opinie

Niemand leest de privacyvoorwaarden, Google misbruikt dat

Het Google-privacybeleid is net een polis. Niemand leest het en daarvan wordt handig gebruik gemaakt.

Rijen servers in het Google datacenter in Georgia. Beeld EPA

Zowel Google als WhatsApp besloten afgelopen zomer tot een aanpassing van de privacyvoorwaarden, met mogelijk grote gevolgen voor de gebruikers. De aanpassing werd in beide gevallen doorgevoerd onder het mom van 'verbetering van de dienstverlening' en zal de meeste gebruikers niet zijn opgevallen, laat staan dat deze de inhoud hebben begrepen.

In de voorwaarden van WhatsApp staat nu dat het bedrijf persoonsgegevens van gebruikers kan delen met moederbedrijf Facebook. De CEO van WhatsApp ontving vorige week een brief van de Europese privacytoezichthouders (de 'Artikel 29-Werkgroep') waarin wordt gemaand het delen van gegevens te stoppen. Het bedrijf moet eerst ophelderen welke gegevens worden gedeeld, met wie en waarvoor deze worden gebruikt. Daar kwam nog bij dat WhatsApp hiermee een privacybelofte verbreekt die bij de overname van het bedrijf door Facebook werd gedaan. Ook lijkt geen sprake van een geldige toestemming voor het delen van de gegevens; gebruikers kunnen zich alleen via een opt-out afmelden.

Heeft ook Google te vrezen voor een handhaving? Gelet op de inhoud van de brief aan WhatsApp is dit geen vreemde gedachte, want ook Google kan een gebrek aan transparantie worden verweten.

Bij Google gaat het om een aanpassing in het privacybeleid waardoor persoonsgegevens die zijn verzameld door Google gekoppeld kunnen worden aan de database van DoubleClick, een bedrijf dat in 2007 door Google werd gekocht. Met de cookietechnologie van DoubleClick wordt het surfgedrag van internetgebruikers massaal gemonitord. Waar eerst stond dat Google géén persoonsgegevens combineert met DoubleClick cookie- informatie, staat nu dat Google activiteit op andere sites en apps kan koppelen aan uw persoonlijke informatie 'om de services van Google en de door Google geleverde advertenties te verbeteren.'

Berber Brouwer is advocaat mediarecht.

Het klinkt onschuldig, maar praktisch gevolg lijkt dat persoonsgegevens uit de Google-database (Google-accounts, e-mailinhoud, YouTube, foto's, zoekgeschiedenis en GPS-locatie) kunnen worden gekoppeld aan gegevens over het surfgedrag van gebruikers (informatie over online aankopen) verzameld door DoubleClick. Daardoor kan een nagenoeg volledig profiel worden geschetst van gebruikers en nog gerichter geadverteerd worden.

Desondanks wordt niet uitgelegd welke gegevens aan wie worden geleverd, wat hiermee wordt gedaan en wat de privacy-impact is. Dat de gegevens worden gebruikt voor 'verbetering van Google-services' betekent in wezen dat Google deze overal voor kan gebruiken waar zij dit wenselijk acht in het belang van de dienstverlening. Dat kan ook dienstverlening zijn aan bedrijven die betalen voor advertenties.

Gebruiksvoorwaarden van digitale producten zijn net polisvoorwaarden van een verzekering: bijna niemand leest ze en zij die dit wel doen begrijpen zelden wat er staat. Juist daarvan wordt door bedrijven gebruik gemaakt. De mogelijk grote impact van de wijziging van het Google Privacybeleid was wekenlang niemand opgevallen, totdat nieuwsplatform ProPublica die aan het licht bracht.

Transparantie is een belangrijk principe in het Europese privacyrecht. Onder de nieuwe Europese verordening die in mei 2018 in werking treedt, is de verplichting om in duidelijke en begrijpelijke taal uit te leggen welke persoonsgegevens worden verzameld en waarvoor deze worden gebruikt, nog explicieter gemaakt. Ook moet worden verteld aan wie de gegevens worden doorgegeven.

Een ander belangrijk principe is dat de gegevens niet voor een ander doel gebruikt mogen worden dan het doel waarvoor zij oorspronkelijk zijn verzameld (incompatible use). Dat betekent dat het combineren van gegevens voor nieuwe diensten niet zomaar mogelijk is en in elk geval niet zonder de betrokkenen daarover duidelijk te informeren.

Google zal stellen dat de ophef voor niets is, omdat gebruikers zich kunnen afmelden voor het verzamelen van data over surfgedrag, maar dat is onvoldoende. De meeste gebruikers zijn al akkoord gegaan met het delen van de gegevens. Bij nieuwe gebruikers is het delen van de gegevens de default-instelling. Afmelden is mogelijk, maar de vraag is wat er gebeurt met de reeds verzamelde gegevens. Ook na een verzoek om verwijdering van gegevens houdt Google zich het recht voor 'servicegerelateerde informatie over uw account' te bewaren om 'onze services te verbeteren'.

Ook hierover zal Google opheldering moeten geven. Betekent dit dat mijn gegevens altijd blijven rondzwerven op de servers van Google voor mogelijk toekomstig gebruik? Ik heb geen idee, maar vrees van wel.

Berber Brouwer is advocaat mediarecht.

Meer over

Wilt u belangrijke informatie delen met de Volkskrant?

Tip hier onze journalisten


Op alle verhalen van de Volkskrant rust uiteraard copyright. Linken kan altijd, eventueel met de intro van het stuk erboven.
Wil je tekst overnemen of een video(fragment), foto of illustratie gebruiken, mail dan naar copyright @volkskrant.nl.
© 2019 de Persgroep Nederland B.V. - alle rechten voorbehouden