Het Hof van Justitie van de Europese Unie heeft op 29 juli 2019 een arrest gewezen over het gebruik van social plug-ins op websites, zoals de welbekende “Like”-knop van Facebook. Via social plug-ins kunnen bezoekers van een website de content gemakkelijk delen op social media platforms.

Het gebruik van social plug-ins heeft echter een keerzijde. Bij gebruik van social plug-ins worden namelijk grote hoeveelheden persoonlijke gegevens van de bezoekers van een website gedeeld met de aanbieder van de plug-in. Deze doorzending vindt vaak plaats zonder dat de bezoeker zich hiervan bewust is en ongeacht of de bezoeker lid is van het social media platform in kwestie of de plug-in heeft aangeklikt. De bezoeker van de website kan hierdoor niet meer inschatten welke data met welk social media platform worden gedeeld en wat het platform met de ontvangen data doet. In het arrest Fashion ID schept het Hof van Justitie duidelijkheid over de verplichtingen van (beheerders van) websites die gebruik maken van social plug-ins.

Beheerder van de website is verwerkingsverantwoordelijke

Het Hof van Justitie komt tot de conclusie dat zowel de beheerder van een website die social plug-ins plaatst als de aanbieder van het social media platform waarnaar verwezen wordt, moeten worden aangemerkt als verwerkingsverantwoordelijken in de zin van de Algemene verordening gegevensbescherming (AVG). De partijen zijn gezamenlijk verantwoordelijk voor het verzekeren van een doeltreffende en volledige bescherming van de persoonsgegevens van de bezoekers van de website.

De gedeelde verantwoordelijkheid van partijen leidt er volgens het Hof niet automatisch toe dat partijen ook een gelijkwaardige verantwoordelijkheid hebben voor de verwerking van persoonsgegevens. De verantwoordelijkheid van een partij geldt slechts voor zover deze partij ook daadwerkelijk het doel en de middelen van een bepaalde verwerking vaststelt, oftewel voor zover een partij invloed heeft op de verwerking. Op het moment dat de gegevens eenmaal zijn doorgezonden naar het social media platform en de beheerder van de website geen zicht meer heeft op wat er daarna met de persoonsgegevens gebeurt, vervalt de verantwoordelijkheid van de beheerder.

Verplichtingen van de verwerkingsverantwoordelijke

Het feit dat de beheerder van een website die social plug-ins plaatst moet worden aangemerkt als verwerkingsverantwoordelijke, brengt bepaalde verplichtingen met zich mee. Op grond van de AVG dient een verwerkingsverantwoordelijke bijvoorbeeld aan de betrokkene toestemming te vragen voor de verwerking van persoonsgegevens en de betrokkene te informeren over de wijze van verwerking. Dit laatste gebeurt in een privacy- en cookieverklaring. Het Hof van Justitie heeft geoordeeld dat ook de informatie aan en de toestemming van betrokkenen slechts hoeven te zien op de verwerkingen waarop de beheerder van een website invloed heeft. Voor wat betreft de verwerking van persoonsgegevens nadat de gegevens zijn doorgezonden aan het social media platform, kan worden verwezen naar de privacy- en cookieverklaring van het platform in kwestie.

Conclusie

Uit het voorgaande volgt dat u als beheerder van een website waarop social plug-ins worden geplaatst rekening moet houden met uw verplichtingen als verwerkingsverantwoordelijke. Dit betekent onder meer dat u ervoor moet zorgen dat uw privacy- en cookieverklaring op orde is. Is dit niet het geval, dan handelt u mogelijk in strijd met de AVG.

Heeft u vragen over het plaatsen van social plug-ins op uw website of over de privacy- en cookieverklaring in het algemeen? Neem dan contact op met een van onze specialisten van Team Privacy. Wij helpen u graag op weg.