Antwoord schriftelijke vragen : Antwoord op vragen van de leden Van Nispen en Alkaya over het bericht dat Facebook tieners betaalde om hen te kunnen bespioneren

Antwoord van Minister Dekker (Rechtsbescherming) (ontvangen 12 maart 2019). Zie ook
Aanhangsel Handelingen, vergaderjaar 2018–2019, nr. 1712.

Vraag 1

Kent u het bericht «Facebook betaalde tieners om ze te «bespioneren'»?1

Antwoord 1

Ja, ik heb van het bericht kennisgenomen.

Vraag 2

Weet u of ook Nederlandse jongeren de app van Facebook Research hebben gedownload?
Zo ja, hoeveel? Zo nee, waarom niet?

Antwoord 2

Facebook heeft laten weten dat alleen mensen benaderd zijn in de Verenigde Staten
en in India. Omdat het hier gaat om gegevensverwerkingen gericht op mensen in de Verenigde
Staten en India is de Algemene Verordening gegevensbescherming (AVG) niet van toepassing.

Nederlanders die op dat moment in de VS of India verbleven, kunnen gebruik gemaakt
hebben van de Facebook Research app. Er kan daarom niet geheel worden uitgesloten
dat Nederlanders vanuit die landen van deze app gebruik hebben gemaakt. Maar ook in
dat geval is de AVG niet van toepassing. De app is niet in de appstore in Nederland
te verkrijgen, maar Facebook stelt toch niet geheel te kunnen uitsluiten dat de app
te downloaden is geweest voor enkele Nederlanders in de EU. In dit geval is de AVG
wel van toepassing.

Vraag 3, 4 en 5

Vindt u het wenselijk dat Facebook jongeren benadert (zelfs minderjarigen) om al hun
gegevens te kunnen bekijken tegen een vergoeding? Denkt u dat jongeren een voldoende
afgewogen beslissing kunnen nemen over dergelijke zaken en dat zij daarover voldoende
zijn geïnformeerd door Facebook?

Was het handelen van Facebook in dit geval in lijn met de Algemene verordening gegevensbescherming
en de toenmalige Wet bescherming persoonsgegevens? Wist de Autoriteit Persoonsgegevens
van dit handelen van Facebook af? Zo ja, heeft zij hier toestemming voor gegeven?
Zo nee, waarom niet?

Heeft de Autoriteit Persoonsgegevens voldoende capaciteit om dergelijk handelen van
een bedrijf als Facebook te kunnen controleren? Zo ja, gebeurt dit ook? Zo nee, welke
maatregelen gaat u treffen om deze controlefunctie van de Autoriteit Persoonsgegevens
te versterken?

Antwoord 3, 4 en 5

Mocht de dienst toch aangeboden zijn in de EU, dan is de AVG van toepassing. In dat
geval geldt op grond van artikel 8 AVG, voor zover het minderjarigen jonger dan 16
jaar betreft, dat de verwerking van persoonsgegevens slechts rechtmatig is, indien
en voor zover toestemming of machtiging tot toestemming in dit verband wordt verleend
door de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt. Daarnaast
stelt de AVG specifieke eisen aan de manier waarop de toestemming wordt gevraagd.
Zo moet de gegeven toestemming vrijelijk zijn gegeven, op ondubbelzinnige wijze, specifiek
voor de gegevensverwerking en moet deze toestemming zijn gebaseerd op de juiste informatie.
Bovendien dient de toestemming zonder voorwaarden en te allen tijde te kunnen worden
ingetrokken. Facebook heeft een informatieplicht om precies te duiden aan de betrokkene
die toestemming geeft, waar deze toestemming precies voor wordt gegeven, welke gegevens
er worden verwerkt, naar welke (derden) partijen gegevens worden verstrekt en met
welk doel. Zonder goede informatie is de toestemming niet rechtsgeldig. Wanneer de
toestemming op de juiste wijze wordt verkregen, wordt er door de betrokkene uit eigen
overweging voor de verwerking van zijn of haar persoonsgegevens gekozen.

In het geval dat de AVG van toepassing is en Facebook handelt daarbij in strijd met
AVG, dan is de privacy toezichthouder van Ierland de leidende toezichthouder om eventuele
onderzoekshandelingen uit te voeren. Het hoofkantoor van Facebook in de EU is namelijk
in Ierland gevestigd. Nederlanders kunnen altijd een klacht indienen bij de Autoriteit
persoonsgegevens (AP). De AP kan zich dan als betrokken toezichthouder melden en meewerken
aan een eventueel onderzoek. Zij is een onafhankelijke toezichthouder die op dit punt
haar eigen beslissingen neemt.

Ik vind het niet wenselijk dat Facebook mensen tegen betaling om al hun gegevens vraagt,
omdat niet is te overzien wat de mogelijkheden zijn die deze dataverstrekking biedt
of welke combinaties van data er kunnen worden gemaakt. Daarmee lijkt deze verwerking
in onvoldoende mate te voldoen aan het vereiste dat de toestemming betrekking moet
hebben op een verwerking die voldoende specifiek is en waarover betrokkene voldoende
is geïnformeerd. Het oordeel of de verwerking daardoor onrechtmatig is, komt zoals
eerder vermeld evenwel toe aan de betrokken toezichthouder.