Social media platforms: over vrijheid en
verantwoordelijkheid
Welke verantwoordelijkheid heeft een social media platform om bij een verzoek tot verwijdering van user-generated content artikel 85 en 17 lid 3 sub a AVG toe te passen om de vrijheid van meningsuiting op het platform te waarborgen?
Masterscriptie Informatierecht Céline Martens 12436852
celinemartens@live.nl
Scriptiebegeleider: Dr. J. Ausloos Inleverdatum finale versie: 6 januari 2020
Abstract
In deze scriptie is onderzocht welke verantwoordelijkheid een social media platform heeft om bij een verzoek tot verwijdering van user-generated content artikel 85 en 17 lid 3 sub a AVG toe te passen om de vrijheid van meningsuiting op het platform te waarborgen. In de maatschappij heerst namelijk het idee dat social media platforms geen goede bescherming zouden bieden aan zowel het recht op privacy en gegevensbescherming, als het recht op vrijheid van meningsuiting. Dit roept vragen over de verwerkingsverantwoordelijkheid van social media platforms op.
Uit de analyse van rechtspraak van het HvJ en rechtswetenschappelijke literatuur volgt een ‘fase-georiënteerde’ benadering ten aanzien van verwerkingsverantwoordelijkheid. Op basis van deze benadering kan een social media platform verwerkingsverantwoordelijke voor verwerkingen door de gebruiker van het platform zijn als het platform van die verwerking op de hoogte wordt gesteld. Verwerkingsverantwoordelijkheid van een social media platform zou kunnen leiden tot overmatige verwijdering van user-generated content en daardoor negatieve gevolgen kunnen hebben voor het recht op vrijheid van meningsuiting van de gebruikers. Artikel 85 en 17 lid 3 sub a AVG dienen het recht op privacy en gegevensbescherming in overeenstemming te brengen met het recht op vrijheid van meningsuiting. Uit rechtspraak van het HvJ en EHRM volgt dat met name de verwerking van persoonsgegevens door een gebruiker van een social media platform beschermd kan worden op grond van deze twee bepalingen. Een social media platform is belangrijk voor het recht op vrijheid van meningsuiting van internetgebruikers om informatie te delen en te ontvangen. Op basis van dat belang en een recente uitspraak van het HvJ over de beoordeling van verwijderingsverzoeken door zoekmachines is geconcludeerd dat social media platforms een verantwoordelijkheid hebben om het recht op vrijheid van meningsuiting van de gebruikers van het platform te beschermen.
Social media platforms hebben bij kennisneming van een verzoek tot verwijdering van user-generated content de verantwoordelijkheid om een evenwichtige afweging te maken tussen de betrokken belangen. Artikel 85 en 17 lid 3 sub a AVG dienen hierbij door het social media platform als verwerkingsverantwoordelijke te worden toegepast om het recht op vrijheid van meningsuiting op het platform te waarborgen. Het verdient aanbeveling dat er richtlijnen
komen voor social media platforms om hen te helpen bij het inrichten van een beleid dat zorgt voor een efficiënte en uniforme bescherming van de betrokken belangen.
Inhoudsopgave
Lijst van afkortingen………....5
1. Inleiding………...……...………..
………..6
2.Verwerkingsverantwoordelijkheid van gebruikers op social media platforms……...10
2.1 Verwerkingen van user-generated content op social media platforms……….10
2.1.1 User-generated content en de AVG...……….…. …….10
2.1.2 Verwerkingsverantwoordelijkheid op social media platforms..……...….. …….11
2.2 Verantwoordelijkheid van de gebruiker voor user-generated content……..……… 12
2.2.1 Huishoudexceptie ...….………. …..13
2.2.2 Rechtmatige grondslag………...………….. 14
2.2.3 Rechten van betrokkenen: het recht op vergetelheid…...………. ………….15
2.4 Deelconclusie……….……….…...……. 16
3. Verwerkingsverantwoordelijkheid van social media platforms………..……… 17
3.1 Verwerkingen met user-generated content………..……… 17
3.2 Mate van verwerkingsverantwoordelijkheid
3.3 Toepassing verwerkingsverantwoordelijkheid social media platform……….21
3.3.1 Rechtmatigheid van de verwerking……….………..……… 21
3.3.2 Het recht op vergetelheid en praktische nadelen…...……… 22
3.3.2 Verwerkingsverantwoordelijkheid in de praktijk………. ……….23
3.4 Deelconclusie……….………. 24
4. Bescherming van uitingen op grond van artikel 85 en 17 lid 3 sub a AVG..………….. 26
4.1 De AVG en de relevante grondrechten.……….. 26
4.2 Toepassing van artikel 85 AVG………..……….……… 27
4.2.1 De journalistieke exceptie in de rechtspraak...………..………… 28
4.2.2 Toepassing op uitingen van gebruikers………..………. ………..29
4.2.3 Toepassing op uitingen van social media platforms………..……… 30
4.2.1 Toepassing van artikel 17 lid 3 sub a AVG….……….……… 31
4.3.1 Toepassing op uitingen van gebruikers……….……… 32
4.3.2 Toepassing op uitingen van social media platforms………….……… 32
4.4 Deelconclusie………..…… 33
5. Social media platforms en bescherming vrijheid van meningsuiting gebruikers…..… 34
5.1 Belang voor de vrijheid van meningsuiting online…. ……….34
5.2 Verantwoordelijkheid voor bescherming vrijheid van meningsuiting gebruiker….36
5.2.1 Censuur……….38 5.2.2 Gevolgen verantwoordelijkheid voor rechten van betrokkenen... ……….39 5.4. Deelconclusie………. 40 6. Conclusie………....….. 41 Literatuurlijst……….……….43
Lijst van afkortingen
AVG Algemene Verordening Gegevensbescherming EDPD European Data Protection Board
EDPS European Data Protection Supervisor EHRM Europees Hof voor de Rechten van de Mens EVRM Europees Verdrag voor de Rechten van de Mens
EU Europese Unie
Handvest Handvest van de Grondrechten van de Europese Unie
HvJ Hof van Justitie van de Europese Unie/Europese Gemeenschappen Werkgroep 29 Artikel 29 Werkgroep
UAVG Uitvoeringswet Algemene Verordening Gegevensbescherming VWEU Verdrag betreffende de Werking van de Europese Unie
1. Inleiding
De verwerking van persoonsgegevens op social media platforms houdt de maatschappij al een aantal jaar bezig. Met het oog op de AVG1 die op 25 mei 2018 van toepassing werd, de
aanhoudende populariteit van Facebook en Instagram en de opkomst van nieuwe social media platforms als TikTok is dit onderwerp ook vandaag de dag nog actueel. Aan de ene kant maakt het publiek zich zorgen over de bescherming van hun privacy en persoonsgegevens op dergelijke platforms. Aan de andere kant zijn echter ook zorgen over de bescherming van het recht op vrijheid van meningsuiting op social media platforms. De angst bestaat namelijk dat social media platforms te snel inhoud die gebruikers hebben gedeeld, ofwel user-generated content, van het platform verwijderen.2
De AVG poogt een oplossing te geven voor de vrees dat digitale platforms, waaronder social media platforms, onvoldoende bescherming bieden aan het recht op privacy en gegevensbescherming enerzijds en anderzijds de zorg dat deze platforms het recht op vrijheid van meningsuiting teveel beperken.3 De AVG is van toepassing bij de verwerking van
persoonsgegevens en beschermt de grondrechten en fundamentele vrijheden van natuurlijke personen, met name hun recht op bescherming van persoonsgegevens.4 Onder
bovengenoemde grondrechten en fundamentele vrijheden vallen ook het recht op privacy5 en
het recht op vrijheid van meningsuiting6.
Op een social media platform spelen bovengenoemde grondrechten een belangrijke rol. Bij user-generated content komt het vaak voor dat gebruikers persoonsgegevens van anderen delen in de vorm van foto’s of video’s. Betrokkenen zullen het niet altijd eens zijn met deze verwerking van hun persoonsgegevens en kunnen dit in strijd achten met hun recht op privacy en gegevensbescherming. De AVG vereist dat zij een effectieve manier hebben om hun
1 Verordening (EU) 2016/679. 2 Otto, NU.nl 6 december 2019.
3 Mededeling COM(2012)9 van de Europese Commissie, p.2;
Voorstel voor een Verordening COM(2012)11 van het Europees Parlement en de Raad, p. 2. 4 Artikel 1 lid 2 AVG; artikel 8 Handvest.
5 Artikel 7 Handvest en artikel 8 EVRM. 6 Artikel 11 Handvest en artikel 10 EVRM.
rechten uit te oefenen en bijvoorbeeld verwijdering van deze gegevens te verzoeken.7 Degene
die verantwoordelijk is voor de verwerking van user-generated content moet deze content vervolgens verwijderen. Deze verplichting bestaat echter niet als de user-generated content van belang is voor de uitoefening van het recht op vrijheid van meningsuiting op het social media platform. De AVG kent verschillende bepalingen op grond waarvan bij een verwijderingsverzoek een beroep kan worden gedaan op het recht op vrijheid van vrijheid van meningsuiting, waaronder artikel 85 en 17 lid 3 sub a AVG.8 De vraag is echter of het social
media platform een bepaalde verantwoordelijkheid heeft om het recht op privacy en gegevensbescherming van de betrokkene af te wegen tegen de vrijheid van meningsuiting op het platform.
Het antwoord op deze vraag is van verschillende factoren afhankelijk. Hierbij dient onder meer gedacht te worden aan de rol van het social media platform ten aanzien van user-generated content en het feit dat uit de AVG en de rechtspraak van het HvJ nog niet duidelijk blijkt of het social media platform hiervoor kwalificeert als verwerkingsverantwoordelijke. Ook is het belangrijk om verschillende soorten uitingen op social media platforms te onderscheiden. Uitingen op het platform komen niet alleen van de gebruikers zelf, maar ook van het social media platform in de manier waarop zij informatie aan de gebruikers en derden laten zien. De mate van verwerkingsverantwoordelijkheid van social media platforms voor user-generated content en de mate van bescherming die het recht op vrijheid van meningsuiting aan verschillende uitingen biedt zijn van invloed op de toepassing van artikel 85 en 17 lid 3 sub a AVG. Afhankelijk van de verwerkingsverantwoordelijkheid van een social media platform en de bescherming op grond van het recht op vrijheid van meningsuiting die aan de uitingen op het platform moet worden geboden, moet een social media platform zorg dragen voor de bescherming van het recht op vrijheid van meningsuiting. In deze scriptie wordt onderzocht of een social media platform hiervoor verantwoordelijk is. De volgende vraag staat ter beantwoording centraal:
“Welke verantwoordelijkheid heeft een social media platform om bij een verzoek tot verwijdering van user-generated content artikel 85 en 17 lid 3 sub a AVG toe te passen om de vrijheid van meningsuiting op het platform te waarborgen?”
7 Ov. 59 en artikel 17 AVG.
8 Artikel 23 lid 1 sub i AVG biedt deze mogelijkheid ook, maar ziet niet enkel op het beschermen van het recht op vrijheid van meningsuiting. Artikel 85 en 17 lid 3 sub a AVG zien hier wel expliciet op, waardoor artikel 23 lid 1 sub i AVG in dit onderzoek achterwege blijft.
Bovenstaande onderzoeksvraag is evaluerend van aard en sluit aan bij het onderzoek. In deze scriptie worden namelijk onder andere de AVG en de rechtspraak over het recht op privacy en gegevensbescherming en het recht op vrijheid van meningsuiting geëvalueerd. Uit deze evaluatie vormt een uitkomst op grond waarvan kan worden beargumenteerd of, en zo ja welke, verantwoordelijkheid social media platforms hebben om het recht op vrijheid van meningsuiting op het platform te waarborgen.
Om dit te onderzoeken is deze scriptie in twee delen opgedeeld. Het eerste deel focust op de verwerkingsverantwoordelijkheid bij het recht op vergetelheid van betrokkenen op grond van de AVG. Het eerste hoofdstuk van deze scriptie gaat hierbij in op de toepassing van de AVG op user-generated content, waarbij met name wordt ingegaan op het delen van foto’s of video’s, en de verantwoordelijkheid van de gebruiker bij de verwerking van persoonsgegevens. Het hoofdstuk daarna bespreekt de verwerkingsverantwoordelijkheid van het social media platform ten aanzien van user-generated content en gaat in op de verdeling van verantwoordelijkheid tussen de gebruiker en het social media platform.
Het tweede deel van deze scriptie behandelt de afweging tussen het recht op privacy en gegevensbescherming van betrokkenen enerzijds en het recht op vrijheid van meningsuiting op het social media platform anderzijds. Dit deel vangt aan met het derde hoofdstuk, waarin een onderscheid tussen uitingen van de gebruiker en van het social media platform wordt gemaakt. Uit de toepassing van de afweging tussen het recht op privacy en gegevensbescherming en het recht op vrijheid van meningsuiting op grond van artikel 85 en 17 lid 3 sub a AVG moet blijken in welke mate deze uitingen door het recht op vrijheid van meningsuiting worden beschermd. Het vierde hoofdstuk behandelt het belang van social media platforms als forum voor het uitoefenen van het recht op vrijheid van meningsuiting en de verantwoordelijkheid om vrijheid van meningsuiting van gebruikers te beschermen.
Het onderzoek dat moet leiden tot beantwoording van de hoofdvraag kwalificeert als evaluerend en juridisch-dogmatisch onderzoek en zal worden uitgevoerd aan de hand van de evaluatie van rechtswetenschappelijke literatuur, jurisprudentie van het HvJ, EHRM en de Nederlandse rechter en officiële publicaties. Ook speelt mijn eigen analyse op grond van de literatuur een rol. Aangezien op grond van de AVG nog niet veel relevante rechtspraak
bestaat, zal mijn onderzoek zich grotendeels baseren op rechtspraak over de Privacyrichtlijn9,
die door de AVG is vervangen.
Deel 1
2. Verwerkingsverantwoordelijkheid van gebruikers op social media platforms
Dit hoofdstuk behandelt de verantwoordelijkheid van gebruikers die informatie op social media platforms plaatsen en hiermee persoonsgegevens van anderen verwerken. User-generated content ontstaat bij de gebruiker die het initiatief neemt om berichten met een door de gebruiker samengestelde inhoud op een social media platform te plaatsen. Dit hoofdstuk licht toe hoe de AVG van toepassing is op user-generated content en wat de verantwoordelijkheid van de gebruiker met betrekking tot het uploaden van user-generated content is.
2.1 Verwerkingen van user-generated content op social media platforms
Kenmerkend voor social media platforms is dat zij niet direct invloed hebben op de publicatie van informatie door gebruikers op hun platforms.10 Een social media platform is namelijk een
platform waarop gebruikers hun eigen materiaal delen met derden, waarbij het platform tussen de gebruiker en derden in staat. Het eigen materiaal dat gebruikers delen wordt ook wel 'user-generated content' genoemd. Gebruikers delen op social media platforms materiaal dat niet alleen over henzelf gaat, maar dat ook persoonsgegevens van derden kan bevatten.11 Dit is
vaak het geval bij het delen van foto's of videobeelden. Relevante social media platforms voor het delen van foto's of korte video's zijn bijvoorbeeld Facebook, Instagram en TikTok. Naast user-generated content verwerken verwerken social media platforms ook nog andere persoonsgegevens van gebruikers voor bijvoorbeeld het maken van een profiel over de gebruiker en zijn/haar gedrag.12
2.1.1 User-generated content en de AVG
Zoals in de inleiding reeds vermeld, gaat deze scriptie met name in op user-generated content in de vorm van foto’s of video’s. Foto's of video's die op social media platforms gedeeld worden kunnen namelijk informatie over geïdentificeerde of identificeerbare natuurlijke personen, ofwel persoonsgegevens bevatten.13 Op de verwerking14 van persoonsgegevens is de
10 Erdos, International Journal of Law and Information Technology 2018/26, p.192. 11 Erdos, International Journal of Law and Information Technology 2018/26, p.192. 12 Alsenoy, van, e.a. KU Leuven, CiTiP 2014/02, p.20.
13 Artikel 4 sub 1 en 2 AVG en FRA 2018, p. 97.
AVG van toepassing. 15 Uit de rechtspraak van het HvJ blijkt dat het plaatsen van
persoonsgegevens op een website als een verwerking van persoonsgegevens moet worden aangemerkt.16 De AVG is dus van toepassing als de user-generated content die een gebruiker
op een social media platform plaatst, persoonsgegevens van derden bevat. Dit heeft tot gevolg dat de betrokkene dan ten aanzien van deze geplaatste content zijn rechten op grond van hoofdstuk III AVG kan inroepen.17 De bepalingen met betrekking tot de rechten van
betrokkenen zijn in de AVG, ten opzichte van de Privacyrichtlijn, uitgebreid en versterkt om, met het oog op de ontwikkelingen online, individuen effectievere controle over hun persoonsgegevens te bieden.18 Dit betekent dat de verwerkingsverantwoordelijke de rechten
van betrokkenen moet respecteren en ervoor moet zorgen dat zij deze rechten effectief kunnen uitoefenen. 19
Eén van deze rechten van betrokkenen is het recht op vergetelheid in artikel 17 AVG. Alhoewel het recht op vergetelheid al onder de Privacyrichtlijn door het HvJ expliciet was erkend in het arrest Google Spain20, is dit recht in de AVG een stuk specifieker omschreven.
Op basis van het recht op vergetelheid kunnen betrokkenen bij de verwerkingsverantwoordelijke een verzoek tot wissing van hun gegevens indienen.
2.1.2 Verwerkingsverantwoordelijkheid op social media platforms
Over verwerkingsverantwoordelijkheid op social media platforms bestaat echter discussie.21
De verdeling van verantwoordelijkheid voor de verwerking van persoonsgegevens ten aanzien van user-generated content op social media platforms kent namelijk verschillende benaderingen. Deze zullen in het volgende hoofdstuk nader aan bod komen. Het is van belang dat voor individuen duidelijk is naar welke actoren zij toe moeten stappen om hun rechten uit te kunnen oefenen, temeer omdat één van de doelstellingen van de AVG is om individuen meer autonomie over hun persoonsgegevens te bieden.22 Bij de verdeling van
verantwoordelijkheid bij de verwerking van persoonsgegevens in user-generated content op
15 Artikel 1 lid 1 en 4 sub 2 AVG.
16 HvJ EG 6 november 2003, 101/01, ECLI:EU:C:2003:596 (Lindqvist), r.o. 25; HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317 (Google Spain), r.o. 97; HvJ EU 14 februari 2019, C–345/17,
ECLI:EU:C:2019:122 (Buivids), r.o. 37. 17 Artikel 12-22 AVG.
18 Mededeling COM(2012)9 van de Europese Commissie, p.2;
Voorstel voor een Verordening COM(2012)11 van het Europees Parlement en de Raad, p. 2. 19 Artikel 24 AVG; FRA 2018, p. 206.
20 HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317 (Google Spain), r.o. 88. 21 Alsenoy, van 2016, p. 253-255.
22 Mededeling COM(2012)9 van de Europese Commissie, p. 4-6; Voorstel voor een Verordening COM(2012)11 van het Europees Parlement en de Raad, p. 8-12.
social media platforms zijn in elk geval twee relevante23 partijen betrokken, die beiden
persoonsgegevens verwerken: de gebruiker die de user-generated content uploadt en het social media platform.24 De mate waarin de gebruiker en het social media platform
verwerkingsverantwoordelijke zijn ten aanzien van user-generated content wordt aan de hand van de volgende omstandigheden getoetst:
Een private gebruiker van een social media platform plaatst een foto of video waarbij andere personen in beeld zijn gebracht. Deze personen zijn geïdentificeerd of identificeerbaar. Het delen van de foto of video op het social media platform is hierdoor een verwerking van persoonsgegevens.25 De gebruiker heeft geen toestemming van de betrokkene, maar vindt dat
hij een gerechtvaardigd belang heeft om de foto te delen.26 Een betrokkene van wie de
gedeelde foto of video persoonsgegevens bevat wil echter dat de verwerking van het platform verwijderd wordt, omdat hij/zij vindt dat de gebruiker die de informatie gedeeld heeft, geen rechtmatige grondslag had om dit te doen. De betrokkene kan bij de betreffende gebruiker zijn rechten echter niet uitoefenen en wil daarom een verwijderingsverzoek indienen bij het social media platform.
In de volgende paragraaf komt de verantwoordelijkheid van de gebruiker bij het plaatsen van user-generated content aan bod, waarbij tevens de begrippen "rechtmatige grondslag" en "gerechtvaardigd belang" worden toegelicht.
2.2 Verantwoordelijkheid van de gebruiker voor user-generated content
Bij de verwerking van persoonsgegevens is degene die beslist over het doel en de middelen van de verwerking de verwerkingsverantwoordelijke.27 De mate van autonomie hierbij is van
belang voor de kwalificatie als verwerkingsverantwoordelijke en moet aan de hand van de feitelijke omstandigheden getoetst worden.28 Naast de door een social media platform
gevraagde informatie voor het maken van een profiel van de gebruiker, bepaalt de gebruiker in ieder geval zelfstandig waarom hij/zij bepaalde informatie op het social media platform met anderen deelt. Dit is het doel van de verwerking, bijvoorbeeld sociale interactie, zelfexpressie
23 Uiteraard kunnen er nog andere verwerkingsverantwoordelijken of verwerkers in het spel zijn, zoals "cookie trackers" of "data brokers", zie ook: Alsenoy, van 2016, p. 339-351. Ook met het oog op het tweede deel van het onderzoek over de vrijheid van meningsuiting vallen deze partijen niet binnen het bereik van deze scriptie. 24 Zie ook: Werkgroep 29 Opinion WP 169, p.21.
25 Artikel 4 sub 1 en 2 AVG. 26 Artikel 6 lid 1 sub f AVG. 27 Artikel 4 sub 7 AVG.
etc.29 De autonomie van een gebruiker is echter een stuk minder bij het bepalen van de
middelen voor de verwerking van persoonsgegevens op een social media platform. Het gaat hierbij om de technische en organisatorische middelen voor de verwerking.30 Op de
technische manier van verwerking op een social media platform hebben gebruikers vaak nauwelijks invloed, aangezien het platform dit zelf bepaalt. Gebruikers hebben echter wel invloed op de organisatorische manier van verwerking, waarbij zij bepalen welke informatie, en daarmee welke persoonsgegevens zij delen.31 Een gebruiker beslist immers zelf van wie
hij/zij foto's of video's deelt op een social media platform. Kortom, een gebruiker bepaalt zelf over het doel en de middelen voor informatie die hij/zij op een social media platform uploadt. Voor user-generated content op een social media platform die persoonsgegevens bevat, kan de gebruiker dus in beginsel worden aangemerkt als de verwerkingsverantwoordelijke.
2.2.1 Huishoudexceptie
Werkgroep 29, de voorloper32 van het Europees Comité voor gegevensbescherming EDPB33,
heeft in haar opinie over sociale netwerken en verwerkingsverantwoordelijkheid op social media platforms gesteld dat verwerkingen van gebruikers normaal gesproken onder de zogenaamde huishoudexceptie vallen, waardoor gebruikers niet verwerkingsverantwoordelijk zijn.34 Uit HvJ Lindqvist volgt daarentegen dat deze exceptie niet van toepassing is als de
persoonsgegevens met een onbeperkt aantal personen worden gedeeld.35 Hierdoor was men in
de literatuur van mening dat de huishoudexceptie al vrij snel niet van toepassing zou zijn op de gebruiker van een social media platform, aangezien op dergelijke platforms sprake kan zijn van een onbeperkte toegang. In HvJ Buivids lijkt het HvJ dit inderdaad te bevestigen. Uit deze uitspraak volgt namelijk dat als een gebruiker een video op YouTube deelt waarmee persoonsgegevens zonder toegangsbeperking online toegankelijk worden gemaakt, deze gebruiker in ieder geval niet van de huishoudexceptie profiteert.36 Hieruit zou meer in het
algemeen afgeleid kunnen worden dat het plaatsen van user-generated content op een social
29 Alsenoy, van, e.a. KU Leuven, CiTiP 2014/02, p.25. 30 Werkgroep 29 Opinion WP 169, p. 14.
31 Alsenoy, van, e.a. KU Leuven, CiTiP 2014/02, p.25; Alsenoy, van 2016, p. 253-255.
32 Ondanks dat de EDPB Werkgroep 29 heeft vervangen, blijven de opinies van Werkgroep 29 nog relevant. Zie ook: Vaal & Laan, IR 2019/5, p.150.
33 De EDPB is ingesteld op grond van artikel 68 AVG en bestaat uit de Europese toezichthouder voor gegevensbescherming (EDPS) en vertegenwoordigers van nationale gegevensbeschermingsautoriteiten. 34 Werkgroep 29 Opinion WP 163, p. 5. De huishoudexceptie staat in de AVG in artikel 2 lid 2 sub c en de eventuele toepassing van de uitzondering voor activiteiten door een gebruiker op een social media platform wordt ook genoemd in overweging 18.
35 HvJ EG 6 november 2003, C-101/01, ECLI:EU:C:2003:596 (Lindqvist), r.o. 47.
36 HvJ EU 14 februari 2019, C–345/17, ECLI:EU:C:2019:122 (Buivids), r.o. 41-43; Erdos, Europeanlawblog.eu 2019.
media platform inderdaad niet zonder meer verwerkingsverantwoordelijkheid van de gebruiker wegneemt en dat derhalve de huishoudexceptie niet van toepassing is. Zelfs als gebruikers gedeelde informatie alleen toegankelijk zouden maken voor "vrienden", dan is de kans groot dat informatie via connecties bij een groter publiek dan aanvankelijk bedoeld terecht komt.37 Dit zou betekenen dat ook in een dergelijke situatie de huishoudexceptie niet
van toepassing kan zijn en de gebruiker als verwerkingsverantwoordelijke dient te worden aangemerkt.
2.2.2 Rechtmatige grondslag
In bovenstaande paragraaf is uiteengezet dat de verwerking van persoonsgegevens door de gebruiker van een social media platform vaak geen persoonlijke of huishoudelijke activiteit is. De beginselen van de AVG zijn in dat geval van toepassing op deze gebruiker. Als verwerkingsverantwoordelijke moet de gebruiker er op grond van artikel 5 AVG voor zorgen dat de verwerking van persoonsgegevens rechtmatig, behoorlijk en transparant is.38 Daarnaast
dient de verwerking van persoonsgegevens op grond van artikel 6 AVG een rechtmatige grondslag te hebben. Alhoewel artikel 6 AVG zes verschillende verwerkingsgrondslagen kent, lijkt een gebruiker zich slechts op toestemming en gerechtvaardigd belang te kunnen beroepen.39 Uit onderzoek is bovendien gebleken dat gebruikers niet altijd toestemming
vragen aan degene van wie zij persoonsgegevens willen verwerken.40 Als een gebruiker geen
toestemming vraagt of geen toestemming krijgt, kan het hebben van een gerechtvaardigd belang van de gebruiker voor het plaatsen van bepaalde inhoud ook als rechtmatige grondslag dienen bij de verwerking van persoonsgegevens.41 Het hebben van een gerechtvaardigd belang
is daarom ook relevant met betrekking tot de verwerking door een gebruiker. Deze grondslag vereist een belangenafweging van (i) verwerking voor de belangen van de verwerkingsverantwoordelijke of derde partijen en de (ii) noodzakelijkheid van de verwerking voor dit belang tegen (iii) belangen of de rechten en vrijheden van de betrokkene.42 Een
37 Alsenoy, van, e.a. 2015/01, p.7.
38 Artikel 5 AVG en FRA 2018, p.134. Hiernaast zijn er nog meer beginselen waar
verwerkingsverantwoordelijken zorg voor moeten dragen. Deze worden echter vanwege de specifieke relevantie van de rechtmatigheid van de verwerking en het recht op vergetelheid niet behandeld, zie ook: FRA 2018, p.115-134.
39 Artikel 6 lid 1 sub a en f AVG en Alsenoy, van 2016, p.365-366. 40 Helberger & Van Hoboken CRi 2010/4, p.102.
41 Artikel 6 lid 1 sub f AVG. Dit onderzoek gaat ervan uit dat het delen van een foto of video niet per definitie een verwerking van bijzondere persoonsgegevens als in artikel 9 AVG is, maar in beginsel verwerking van normale persoonsgegevens die onder artikel 6 AVG valt, zie ook Wilbrink & Poulus, PenI 2019/1, p.4-5, AVG, ov. 51 en Autoriteit Persoonsgegevens 2016, p. 26. Een uitgebreidere bespreking hiervan valt buiten het bereik van deze scriptie.
gerechtvaardigd belang van de gebruiker of van derden kan bijvoorbeeld het recht op vrijheid van meningsuiting zijn, waaronder het recht van de gebruiker om zich te uiten of het recht van derden om informatie te ontvangen.43 De gebruiker moet afwegen of het verwerken van de
persoonsgegevens van de betrokkene noodzakelijk is voor het belang van de vrijheid van meningsuiting of dat dit belang ook op een meer terughoudende manier bereikt kan worden waarbij de gebruiker geen persoonsgegevens van een betrokkene verwerkt.44 De belangen,
rechten en vrijheden van betrokkenen moeten in dit kader ruim geïnterpreteerd worden.45 Het
belang van de betrokkene hangt af van de mate waarin de betrokkene mag verwachten dat zijn persoonsgegevens worden verwerkt.46 Hiervan kan bijvoorbeeld sprake zijn als de betrokkene
weet dat er beelden van hem zijn gemaakt en dat een gebruiker voornemens is deze beelden te delen op een social media platform. Als de gebruiker concludeert dat zijn gerechtvaardigd belang zwaarder weegt dan het belang van de betrokkene op privacy en gegevensbescherming, dan heeft de gebruiker een rechtmatige grondslag voor de verwerking. 2.2.3 Rechten van betrokkenen: het recht op vergetelheid
Naast het feit dat de gebruiker een rechtmatige grondslag voor de verwerking van persoonsgegevens moet hebben, moet de gebruiker er als verwerkingsverantwoordelijke ook voor zorgen dat de betrokkene effectief zijn/haar rechten kan uitoefenen ten aanzien van de verwerking van persoonsgegevens. Zo heeft een betrokkene op basis van het recht op vergetelheid in artikel 17 AVG op meerdere gronden recht op wissing van zijn/haar persoonsgegevens als de betrokkene hiertoe een verzoek indient bij de verwerkingsverantwoordelijke. Deze moet de persoonsgegevens wissen als aan één van de voorwaarden in artikel 17 lid 1 AVG voldaan is. Aangezien het in de praktijk vaak voorkomt dat een gebruiker van een social media platform zonder toestemming persoonsgegevens van een derde verwerkt, is met name de voorwaarde onder artikel 17 lid 1 sub d AVG van belang: de persoonsgegevens zijn onrechtmatig verwerkt.47 Als de gebruiker persoonsgegevens
verwerkt zonder toestemming en vervolgens een verwijderingsverzoek gebaseerd op deze grondslag krijgt, moet de gebruiker dus opnieuw toetsen of hij/zij de persoonsgegevens op grond van gerechtvaardigd belang heeft mogen verwerken en of de verwerking nog steeds noodzakelijk is met betrekking tot dit belang. Hoewel toetsing aan de hand van de situatie na de verwerking plaatsvindt, zal deze toetsing door de private gebruiker waarschijnlijk geen
43 Werkgroep 29 Opinion WP 217, p. 25. 44 Werkgroep 29 Opinion WP 217, p. 29. 45 Werkgroep 29 Opinion WP 217, p. 29-30. 46 AVG, ov. 47.
andere uitkomst hebben dan de toetsing ten tijde van de verwerking.48 De vraag is echter of
het zinvol en effectief is voor de uitoefening van het recht van de betrokkene als deze afweging bij een verwerkingsverantwoordelijke, private gebruiker ligt. De gebruiker zal namelijk waarschijnlijk niet voldoende objectief zijn als deze zijn/haar belangen afweegt tegen de belangen van de betrokkene. Als betrokkenen uitsluitend bij de gebruiker zouden kunnen aankloppen om hun rechten uit te oefenen, dan zou dit ongunstige gevolgen kunnen hebben voor de controle en autonomie van individuen over hun persoonsgegevens.49 In het
volgende hoofdstuk komt daarom de verwerkingsverantwoordelijkheid van het social media platform aan bod, bij wie de betrokkene eventueel ook een beroep op zijn/haar rechten ten aanzien van user-generated content kan doen.
2.3 Deelconclusie
Bij het uploaden van user-generated content op een social media platform in de vorm van foto's of video's kan het voorkomen dat persoonsgegevens van derden worden verwerkt. De gebruiker is in beginsel degene die het doel en de middelen voor deze verwerking vaststelt en is dus verwerkingsverantwoordelijke. Als verwerkingsverantwoordelijke zal de gebruiker ervoor moeten zorgen dat hij/zij een rechtmatige grondslag heeft voor de verwerking en dat de betrokkene zijn rechten, meer specifiek het recht op vergetelheid, effectief kan uitoefenen. Het valt echter te betwisten of een private gebruiker bij het beoordelen van een verwijderingsverzoek een objectief oordeel kan vellen over de rechtmatigheid van de door hem/haar geïnitieerde verwerking.
3. Verwerkingsverantwoordelijkheid van social media platforms
Uit het vorige hoofdstuk blijkt dat een gebruiker in beginsel verwerkingsverantwoordelijke is bij het plaatsen van foto's of video's op social media platforms. In het kader van de effectieve
48 Ausloos 2018, p.212-213.
49 Zie ook: Concl. A-G M. Bobek, ECLI:EU:C:2018:1039, bij HvJ EU 29 juli 2019, C-40/17 (Fashion ID), § 73 en 92; Vaal & Laan, IR 2019/5, p.159.
uitoefening van de rechten van de betrokkene is het echter van belang om ook de verwerkingsverantwoordelijkheid van een social media platform ten aanzien van user-generated content te onderzoeken. Dit hoofdstuk behandelt eerst de verwerkingen van persoonsgegevens met betrekking tot user-generated content door een social media platform. Daarna wordt de reikwijdte van de verwerkingsverantwoordelijkheid van het social media platform besproken, waaronder de verdeling van verantwoordelijkheden tussen de gebruiker en het platform. Ook besteedt dit hoofdstuk aandacht aan de verantwoordelijkheid die een social media platform in de praktijk op zich neemt.
3.1 Verwerkingen met user-generated content
Hoewel een gebruiker in eerste instantie persoonsgegevens verwerkt door een foto of video op een social media platform te plaatsen, initieert een platform zelf ook verwerkingen met betrekking tot deze inhoud.50 In principe is het namelijk zo dat een social media platform de
activiteit van gebruikers op het platform ondersteunt. Als een gebruiker besluit een bericht op social media te plaatsen verzorgt het platform het template en doet het bijvoorbeeld suggesties voor het toevoegen van emoticons of filters aan een foto of video.51 Hiermee stelt het social
media platform in zekere zin ook middelen voor de verwerking vast op het moment dat een gebruiker besluit bepaalde informatie te delen. De gebruiker bepaalt echter individueel welke persoonsgegevens er in user-generated content worden verwerkt. Hier heeft een social media platform op voorhand geen invloed op, waardoor het niet het doel van de verwerking vaststelt.
Na het delen van inhoud door een gebruiker bepaalt het social media platform onder andere de
manier waarop andere gebruikers dit bericht te zien krijgen door de geüploade content te organiseren en combineren, waardoor deze beter toegankelijk is voor de gebruikers.52
Hieronder valt ook het indexeren van de content voor de zoekfunctie van een social media platform.53 Facebook verzamelt en analyseert bijvoorbeeld de inhoud die gebruikers uploaden
met het doel om gebruikers op basis van hun gedeelde informatie bepaalde aanbevelingen te doen en berichten op een voor de gebruiker zo interessant mogelijke manier weer te geven.54
50 Erdos, International Journal of Law and Information Technology 2018/26, p.214.
51 Viola de Azevedo Cunha, Marin & Sartor International Data Privacy Law 2012/2, p.51; Gegevensbeleid Facebook, ‘What kinds of information do we collect?' https://www.facebook.com/privacy/explanation/. 52 Erdos, International Journal of Law and Information Technology 2018/26, p.214.
53 Viola de Azevedo Cunha, Marin & Sartor International Data Privacy Law 2012/2, p.51.
54 Verzamelen, analyseren en indexeren van persoonsgegevens zijn allemaal verwerkingen, zie ook: HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317 (Google Spain), r.o. 28.
Dit geldt ook voor Instagram.55 Hiermee bepaalt een social media platform de middelen voor
de verwerking van user-generated content, nadat een gebruiker informatie heeft gedeeld. Ook heeft een social media platform hierbij een duidelijk doel, namelijk het ter beschikking stellen van een sociale netwerkdienst op zo’n manier dat hier inkomsten mee worden gegenereerd.56
Aangezien een social media platform bij user-generated content na het delen van foto’s of video’s door een gebruiker ook voor verschillende verwerkingen hiervan het doel en de middelen vaststelt, kwalificeert het platform ten opzichte hiervan in beginsel als verwerkingsverantwoordelijke.57 Kortom, voor de initiële verwerking van user-generated
content door een gebruiker is een social media platform in beginsel niet verantwoordelijk. Het platform is wel verantwoordelijk voor latere verwerkingen met user-generated content. 3.2 Mate van verwerkingsverantwoordelijkheid van het social media platform
Uit bovenstaande paragraaf is gebleken dat zowel de gebruiker als het social media platform verwerkingsverantwoordelijke zijn bij de verschillende verwerkingen van user-generated content op het platform. Uit artikel 26 AVG volgt dat verwerkingsverantwoordelijken ook gezamenlijk verantwoordelijk kunnen zijn voor de verwerking van persoonsgegevens. Over gezamenlijke verantwoordelijkheid is in HvJ Wirtschaftsakademie ten aanzien van gezamenlijke verantwoordelijkheid van de beheerder van een Facebookpagina en Facebook zelf, bepaald dat het bestaan van een gezamenlijke verantwoordelijkheid niet noodzakelijkerwijs betekent dat die verantwoordelijkheid ook gelijkwaardig is.58 Uit HvJ Jehova’s getuigen volgt daarnaast dat bij de beoordeling van de verwerkingsverantwoordelijkheid van deelnemers die bij de verwerking betrokken zijn, rekening moet worden gehouden met alle omstandigheden van het geval.59 Deze uitspraken
van het HvJ kenden in de literatuur al navolging. Alhoewel sommige auteurs vinden dat social media platforms in het geheel niet verantwoordelijk zijn voor user-generated content, beargumenteren andere auteurs dat verwerkingsverantwoordelijken voor verschillende fasen van de verwerking in verschillende mate verantwoordelijk zijn.60 Ook Werkgroep 29 moedigt
deze ‘fase-georiënteerde’ benadering aan.61
55 Gegevensbeleid Facebook, ‘What kinds of information do we collect?'; ‘How do we use this information?’
https://www.facebook.com/privacy/explanation/. Instagram is onderdeel van Facebook. 56 Alsenoy, van, e.a. KU Leuven, CiTiP 2014/02, p.22.
57 Zoals Werkgroep 29 al bepaalde, zie: Werkgroep 29 Opinion WP 163, p.5; Werkgroep 29 Opinion WP 169, p.21.
58 HvJ EU 5 juni 2018, C-210/16, ECLI:EU:C:2018:388 (Wirtschaftakademie), r.o. 43. 59 HvJ EU 10 juli 2018, C-25/17, ECLI:EU:C:2018:551 (Jehova’s getuigen), r.o. 66. 60 Alsenoy, van 2016, p.353-354.
Daarnaast zijn er ook auteurs die pleiten voor een benadering waarbij het social media platform pas nadat het op de hoogte is gesteld van een verwerking door een gebruiker als verwerkingsverantwoordelijke voor die verwerking moet worden aangemerkt. Een social media platform zou in dat geval pas verwerkingsverantwoordelijke zijn als het platform door middel van een notificatie wetenschap heeft van de verwerking.62
Verwerkingsverantwoordelijkheid van het social media platform als gevolg van wetenschap van een onrechtmatige verwerking zou in die zin praktisch overeenkomen met de erkende vrijwaring van aansprakelijkheid voor een hostingprovider die geen weet heeft van een onrechtmatige gedraging op basis van de e-Commercerichtlijn63.64
Naar mijn mening zou een combinatie van de ‘fase-georiënteerde’ benadering en de benadering waarbij wetenschap vereist is, gevolgd moeten worden bij het bepalen van de verwerkingsverantwoordelijkheid van een social media platform ten aanzien van user-generated content. Hiermee wordt aangesloten bij Wirtschaftsakademie, en Jehova’s getuigen op grond waarvan het vereiste van wetenschap een van de in genoemde omstandigheden geval kan zijn waarop verwerkingsverantwoordelijkheid beoordeeld moet worden.65 Wat betreft
social media platforms kan voor een dergelijke benadering ook steun worden gevonden in de uitspraken HvJ Google Spain en GC e.a./CNIL inzake de verwerkingsverantwoordelijkheid van een zoekmachine bij een verzoek tot verwijdering van zoekresultaten. In deze uitspraken heeft het HvJ bepaald dat een zoekmachine niet verantwoordelijk is voor het feit dat een derde op een webpagina persoonsgegevens verwerkt, maar dat de zoekmachine verantwoordelijk is voor het indexeren en tonen van een link naar die pagina.66 Dit sluit aan bij de
‘fase-georiënteerde benadering. Bovendien geldt de verantwoordelijkheid pas bij de beoordeling van de verwerking naar aanleiding van een verzoek dat door de betrokkene is ingediend.67 Dit
sluit aan bij het vereiste van wetenschap voor verwerkingsverantwoordelijkheid. Met betrekking tot bovengenoemde arresten dient opgemerkt te worden dat een zoekmachine feitelijk anders in elkaar zit dan een social media platform. Een belangrijk verschil is dat de verwerking van user-generated content op een social media platform enkel op dat platform
62 Alsenoy, van 2016, p.355.
63 Richtlijn 2000/31/EG van het Europees Parlement en de Raad van 8 juni 2000.
64 Het valt niet binnen de reikwijdte van deze scriptie om hier dieper op in te gaan. Zie ook: Alsenoy, van, e.a. 2015/01, p.20.
65 HvJ EU 10 juli 2018, C-25/17, ECLI:EU:C:2018:551 (Jehova’s getuigen), r.o. 66.
66 HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317 (Google Spain), r.o. 80 en HvJ EU 24 september 2019, C-136/17, ECLI:EU:C:2019:773 (GC e.a./CNIL), r.o. 46.
plaatsvindt, terwijl bij een zoekmachine de verwerking op de oorspronkelijke webpagina én in de zoekmachine plaatsvindt. Echter, aan de andere kant zijn zowel een zoekmachine, als een social media platform bij user-generated content afhankelijk van de eerste publicatie van informatie door een derde waarop zij later zelf bewerkingen loslaten. Desalniettemin kunnen de uitspraken van het HvJ over de gefaseerde verantwoordelijkheid van zoekmachines en hun verwerkingsverantwoordelijkheid vanaf het moment van kennisgeving, geschikt zijn om de voorgestelde benadering ten aanzien van de verwerkingsverantwoordelijkheid van social media platforms te ondersteunen.
Een parallelle toepassing68 van Google/Spain en GC e.a./CNIL op social media platforms zou
betekenen dat een social media platform in eerste instantie niet verantwoordelijk is voor onrechtmatige verwerkingen op het platform die zijn geïnitieerd door gebruikers. Hier is de gebruiker in beginsel verantwoordelijk voor.69 Deze toepassing komt overeen met de
‘fase-georiënteerde’ benadering die het HvJ in Fashion ID hanteert. Uit deze uitspraak van het HvJ volgt namelijk dat de verwerking van persoonsgegevens kan bestaan uit meerdere bewerkingen, die betrekking hebben op verschillende fasen waarin een verwerking van persoonsgegevens kan plaatsvinden.70 Het social media platform is op grond hiervan dus wel
verantwoordelijk voor zelf ondernomen latere verwerkingen met betrekking tot user-generated content nadat deze op het platform geplaatst is. Voor deze verwerkingen is de gebruiker niet verantwoordelijk.71
Een social media platform zou echter ook als verwerkingsverantwoordelijke ten aanzien van user-generated content moeten kwalificeren als het door middel van een verwijderingsverzoek op de hoogte is gesteld van de (eventueel onrechtmatige) verwerking van persoonsgegevens door een gebruiker. Overeenkomstig GC e.a./CNIL is wetenschap dan de reden voor verwerkingsverantwoordelijkheid.72 Dit heeft tot gevolg dat betrokkenen ook bij het social
media platform hun recht op vergetelheid moeten kunnen inroepen, waarop het platform dit verwijderingsverzoek moet beoordelen, omdat het hier na kennisgeving verantwoordelijk voor is geworden.
68 Een parallelle toepassing van rechtspraak over zoekmachines op overwegingen over social media platforms is op grond van de literatuur geoorloofd, zie ook: Alsenoy, van, e.a. 2015/01, p.21.
69 Zie ook: Erdos, International Journal of Law and Information Technology 2018/26, p.214. 70 HvJ EU 29 juli 2019, C-40/17, ECLI:EU:C:2019:629 (Fashion ID), r.o. 72.
71 Zie ook: HvJ EU 29 juli 2019, C-40/17, ECLI:EU:C:2019:629 (Fashion ID), r.o. 101. 72 HvJ EU 24 september 2019, C-136/17, ECLI:EU:C:2019:773 (GC e.a./CNIL), r.o. 47.
3.3 Toepassing verwerkingsverantwoordelijk social media platform
In bovenstaande paragraaf is gesteld dat het social media platform verwerkingsverantwoordelijke is voor user-generated content door latere verwerking hiervan en eventuele kennisgeving van deze verwerking. Dit brengt onder andere met zich mee dat het social media platform voor deze verwerkingen een rechtmatige grondslag moet kunnen aantonen en dat betrokkenen hun rechten bij het social media platform kunnen inroepen, zoals in paragraaf 2.2.2 en 2.2.3 met betrekking tot gebruikers van een social media platform besproken is. De paragrafen hierna gaan dieper in op de praktische gevolgen van verwerkingsverantwoordelijkheid van een social media platform wat betreft de beoordelening van de rechtmatigheid van de verwerking en verwijderingsverzoeken. Ook de verantwoordelijkheid die een social media platform in de praktijk op zich neemt komt aan bod.
3.3.1 Rechtmatigheid van de verwerking
Voor de verwerkingen waar het social media platform verantwoordelijk is, zoals de verwerkingen met berichten die door een gebruiker zijn geplaatst, dient het social media platform ook een rechtmatige grondslag op grond van artikel 6 AVG te hebben. Hiervoor is het social media platform echter in eerste instantie afhankelijk van de gebruiker, die op diens beurt verantwoordelijk is voor de grondslag voor de initiële verwerking van user-generated content. Werkgroep 29 raadt social media platforms daarom aan om duidelijke richtlijnen voor gebruikers opstellen, waarin zij waarschuwen voor eventuele inbreuken op het recht op privacy van betrokkenen wanneer zij persoonsgegevens van deze betrokkenen in hun berichten verwerken.73
Buiten het feit dat het social media platform de gebruiker op weg zou moeten helpen bij het rechtmatig verwerken van persoonsgegevens, moet het als verwerkingsverantwoordelijke ook een rechtmatige grondslag hebben voor de eigen verwerking.74 Aangezien een social media
platform bij de verwerking van user-generated content zelf niet in contact staat met de betrokkene, is het vragen van toestemming geen realistische grondslag. De meest voor de hand liggende grondslag waar het social media platform zich op zou kunnen beroepen is gerechtvaardigd belang.75 Zo bestaat het gerechtvaardigd belang van bijvoorbeeld Facebook
73 Werkgroep 29 Opinion WP 163, p.7. Zie ook: Alsenoy, van 2016, p.366; Erdos, International Journal of Law
and Information Technology 2018/26, p.214; Helberger & Van Hoboken CRi 2010/4, p.106-107.
74 Werkgroep 29 Opinion WP 163, p.8; HvJ EU 29 juli 2019, C-40/17, ECLI:EU:C:2019:629 (Fashion ID), r.o. 101.
volgens het platform zelf onder andere uit het creëren en leveren van producten en functies die mensen in staat stellen zich te uiten, te communiceren en in contact te komen met elkaar.76
Of deze grondslag in de praktijk voldoende is om de verwerking van persoonsgegevens van de betrokkene te rechtvaardigen is echter de vraag. Hierop zal dieper worden ingegaan in deel 2 van deze scriptie, waarin de focus ligt op de afweging tussen bovengenoemde verschillende belangen.
3.3.2 Het recht op vergetelheid en praktische nadelen
Verwerkingsverantwoordelijkheid van een social media platform ten opzichte van bepaalde verwerkingen met betrekking tot user-generated content heeft tot gevolg dat betrokkenen niet alleen bij de gebruiker, maar ook bij het social media platform een verwijderingsverzoek kunnen indienen.77 Werkgroep 29 raadt daarom aan dat social media platforms zorgen voor
een effectieve manier voor betrokkenen om hun rechten te kunnen uitoefenen, bijvoorbeeld door middel van verwijderingsmechanismen.78
Als de betrokkene een verwijderingsverzoek indient bij een social media platform en dit verzoek baseert op onrechtmatige gegevensverwerking, dan zal het social media platform moeten afwegen of de gebruiker bij het uploaden van de gegevens een rechtmatige grondslag voor de verwerking had en of het platform zelf een rechtmatige grondslag voor de verwerking heeft.79 In de praktijk zal het voor een social media platform heel lastig zijn om na te gaan of
de gebruiker een rechtmatige grondslag voor de verwerking had. Hoeveel gebruikers zijn in staat om te bewijzen dat zij toestemming of een gerechtvaardigd belang hebben om persoonsgegevens van een derde te verwerken? Door deze onzekerheid bestaat het risico dat social media platforms de informatie vanwege de mogelijke onrechtmatigheid van de verwerking direct moeten verwijderen, omdat zij het tegendeel niet zullen kunnen bewijzen. Daarbij komt dat een social media platform, alvorens te voldoen aan een verwijderingsverzoek, niet altijd de verplichting zal kunnen nakomen om de uploadende gebruiker op de hoogte te stellen van het verzoek, waardoor zijn/haar uploadt onterecht verwijderd wordt. De gebruiker heeft in dergelijke situaties niet de mogelijkheid gehad de
76 Facebook ‘Legal Bases’, https://www.facebook.com/about/privacy/legal_bases. 77 Artikel 17 lid 1 AVG.
78 Werkgroep 29 Opinion WP 163, p.11. 79 Artikel 17 lid 1 sub d AVG.
verwerking te verdedigen.80 Bovenstaande kan negatieve gevolgen hebben voor het recht op
vrijheid van meningsuiting.81
De ‘fase-georiënteerde’ benadering vindt aansluiting bij de opvatting van het HvJ dat het begrip verwerkingsverantwoordelijke ruim moet worden uitgelegd om “een doeltreffende en
volledige bescherming van de betrokkenen te verzekeren”.82 De keerzijde hiervan is echter dat
deze benadering, zoals hiervoor beschreven, ook rechtsonzekerheid voor betrokkenen en gebruikers kan meebrengen over de beoordeling van verwijderingsverzoeken.83 In deel 2 van
deze scriptie komt het recht op vrijheid van meningsuiting als uitzondering op het recht op vergetelheid aan bod en wordt onderzocht of een beroep op het recht op vrijheid van meningsuiting door het social media platform deze negatieve gevolgen kan inperken.
3.3.3 Verwerkingsverantwoordelijkheid in de praktijk
In tegenstelling tot een aantal jaar geleden, toen social media platforms hun verplichtingen voor hun rol bij de verwerking van persoonsgegevens met betrekking tot user-generated content nog niet erkenden, lijken zij nu wel gehoor te geven aan deze verantwoordelijkheid. 84
Op Facebook bestaat bijvoorbeeld de mogelijkheid om als betrokkene een verwijderingsverzoek in te dienen ten aanzien van persoonsgegevens die een gebruiker heeft verwerkt.85 Ook heeft Facebook speciale voorwaarden voor de gezamenlijke
verwerkingsverantwoordelijkheid met gebruikers die een specifieke Facebook-pagina beheren. Hierin geeft Facebook richtlijnen over hoe deze gebruikers met hun verantwoordelijkheid om moeten gaan en erkennen zij gezamenlijke verwerkingsverantwoordelijkheid bij verzoeken van betrokkenen op grond van artikel 26 AVG.86 Deze gedragingen lijken erop te wijzen dat in ieder geval Facebook en Instagram hun
verantwoordelijkheid erkennen en zorg dragen voor onder andere de effectieve uitoefening van de rechten van betrokken.
3.4 Deelconclusie
80 Artikel 17 lid 2 AVG; Alsenoy, van, e.a. 2015/01, p.15-16. 81 Alsenoy, van 2016, p.378.
82 HvJ EU 13 mei 2014, 131/12, ECLI:EU:C:2014:317 (Google Spain), r.o. 35; HvJ EU 29 juli 2019, C-40/17, ECLI:EU:C:2019:629 (Fashion ID), r.o. 66.
83 Mahieu & Van Hoboken, Europeanlawblog.eu 2019. 84 Helberger & Van Hoboken CRi 2010/4, p.108-109.
85 Facebook, ‘Een Privacyprobleem rapporteren’, https://www.facebook.com/help/contact/259518714718624. 86 Facebook, ‘Page Controller Addendum’, https://www.facebook.com/legal/terms/page_controller_addendum.
Naast de gebruiker is ook een social media platform verwerkingsverantwoordelijk voor de verwerking van user-generated content op het platform. Het social media platform onderneemt verwerkingen met geüploade inhoud en is met de gebruiker gezamenlijk verwerkingsverantwoordelijke. Op grond van de ‘fase-georiënteerde’ benadering voor verwerkingsverantwoordelijkheid is de gebruiker verantwoordelijk voor de initiële verwerking van user-generated content en het social media platform voor latere verwerkingen hiervan. Uit jurisprudentie van het HvJ over zoekmachines zou geconcludeerd kunnen worden dat een social media platform bij kennisgeving van de verwerking, ook verantwoordelijk is voor de initiële verwerking van de gebruiker op het platform. Het gevolg hiervan is dat een social media platform ook geconfronteerd wordt met de verwerkingsgrondslag van de gebruiker bij het beoordelen van een verwijderingsverzoek. Dit kan leiden tot een overmatige verwijdering van berichten op het platform, waardoor het recht op vrijheid van meningsuiting op social media platforms wordt aangetast. Uit de voorwaarden van bijvoorbeeld Facebook blijkt dat social media platforms meer dan vroeger maatregelen nemen om te voldoen aan hun verantwoordelijkheid. Met betrekking tot die verantwoordelijkheid wordt in deel 2 het recht op vrijheid van meningsuiting op een social media platform besproken.
Deel 2
4. Bescherming van uitingen op grond van artikel 85 en 17 lid 3 sub a AVG
Uit deel 1 is gebleken dat een social media platform bij kennisgeving van een (onrechtmatige) verwerking van user-generated content op het platform, verwerkingsverantwoordelijke voor deze verwerking kan zijn. Die kennisgeving kan bestaan uit een verwijderingsverzoek van een
betrokkene voor user-generated content. Een verwijderingsverzoek op grond van artikel 17 AVG hoeft echter niet ingewilligd te worden door de verwerkingsverantwoordelijke als de betreffende verwerking van belang is voor het recht op vrijheid van meningsuiting. Artikel 85 en 17 lid 3 sub a AVG kunnen beide als grondslag dienen voor de weigering van een verwijderingsverzoek. Dit hoofdstuk onderzoekt hoe op grond van artikel 85 en 17 lid 3 sub a AVG de belangenafweging plaatsvindt tussen het recht op privacy en gegevensbescherming en het recht op vrijheid van meningsuiting. Uit de toepassing van deze belangenafweging moet blijken of de uitingen van een gebruiker van een social media platform en social media platforms beschermd kunnen worden op basis van deze artikelen.
4.1 AVG en de relevante grondrechten
De AVG is van toepassing bij de verwerking van persoonsgegevens en beschermt de grondrechten en fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.87 De AVG is hiermee als secundair instrument een
belichaming van de grondrechten die tot uitdrukking komen in het Handvest.88 Een conflict
tussen deze grondrechten, zoals tussen het recht op privacy en gegevensbescherming als in respectievelijk artikel 7 en 8 Handvest en het recht op vrijheid van meningsuiting als in artikel 11 Handvest, wordt opgelost op basis van artikel 52 lid 1 Handvest. Als een conflict voortkomt uit de verwerking van persoonsgegevens kan de AVG als grondslag dienen om dit conflict op te lossen, bijvoorbeeld op grond van artikel 85 of 17 lid 3 sub a AVG.
Artikel 52 lid 3 Handvest bepaalt dat de inhoud van de rechten van het Handvest hetzelfde zijn als de rechten in het EVRM als deze daarmee corresponderen.89 Dit betekent dat het recht
op vrijheid van meningsuiting in artikel 10 EVRM correspondeert met artikel 11 Handvest. Hetzelfde geldt voor het recht op privacy in artikel 8 EVRM dat in ieder geval correspondeert met artikel 7 Handvest. Het recht op gegevensbescherming in artikel 8 Handvest correspondeert volgens het EHRM met het recht op informationele privacy dat onder artikel 8 EVRM valt, als persoonsgegevens op zo’n manier worden verwerkt dat de verwerking een inbreuk kan vormen op het recht op privacy.90 Voor het recht op privacy en
87 Artikel 1 AVG. 88 FRA 2018, p. 27-28.
89 Note from the Praesidium: Subject: Draft Charter of Fundamental Rights of the European Union—Text of the
explanations relating to the complete text of the Charter as set out in CHARTE 4487/00 CONVENT 50, CHARTE 4473/00 CONVENT 49, Brussels, 11 oktober 2000.
90 González Fuster 2014, p. 98-100; EHRM 26 maart 1987, ECLI:CE:ECHR:1987:0326JUD000924881 (Leander/Zweden), § 48; EHRM 2 augustus 1984, ECLI:CE:ECHR:1984:0802JUD000869179,
gegevensbescherming en het recht op vrijheid van meningsuiting, zijn dus zowel de rechtspraak van het EHRM als het HvJ relevant.91 In de uitspraken van het HvJ wordt
rekening gehouden met de rechtspraak van het EHRM in haar arresten92, maar het HvJ mag
alleen aan het Handvest toetsen.93
4.2 Toepassing van artikel 85 AVG
Artikel 85 AVG voorziet in de mogelijkheid voor lidstaten om de beginselen uit de AVG, waaronder het recht op vergetelheid, uit te zonderen als een verwerking van persoonsgegevens noodzakelijk is voor het uitoefenen van het recht op vrijheid van meningsuiting, daaronder begrepen de verwerking voor journalistieke doeleinden.94 De
lidstaten dienen zelf hun nationale wet in overeenstemming te brengen met artikel 85 AVG, ofwel de journalistieke exceptie. Lidstaten hebben dus enige mate van vrijheid bij het opmaken van de balans tussen recht op privacy en gegevensbescherming en het recht op vrijheid van meningsuiting, binnen de in lid 2 bepaalde grenzen.
Artikel 85 AVG is inhoudelijk nagenoeg hetzelfde als het corresponderende artikel 9 Privacyrichtlijn, behalve dat de journalistieke exceptie onder de Privacyrichtlijn gold voor verwerkingen voor uitsluitend journalistieke doeleinden. Het feit dat het woord uitsluitend niet is overgenomen in artikel 85 AVG zou een verruiming van de journalistieke exceptie kunnen betekenen.95 Hoe het HvJ de journalistieke exceptie in artikel 85 AVG precies
beoordeelt is nog niet bekend. De uitleg van het HvJ over artikel 9 Privacyrichtlijn illustreert echter ook goed hoe een belangenafweging tussen het recht op privacy en gegevensbescherming en het recht op vrijheid van meningsuiting op grond van artikel 85 AVG zou moeten worden gemaakt. Aangezien de lidstaten de journalistieke exceptie verschillend hebben geïnterpreteerd is het van belang de toepassing hiervan ook te toetsen aan nationale wetgeving.96
4.2.1 De journalistieke exceptie in de rechtspraak
(Satamedia), § 137. 91 FRA 2018, p. 35-37.
92 HvJ EU 4 mei 2016, C-547/14, ECLI:EU:C:2016:325 (Philip Morris Brands e.a.), r.o. 147.
93 HvJ EU 3 september 2015, C-398/13 P, ECLI:EU:C:2015:535 (Inuit Tapiriit Kanatami e.a./Commissie), r.o. 46.
94 En de verwerking ten behoeve van academische, artistieke of literaire uitdrukkingsvormen.
95 McGonagle 2019, p. 4. De met artikel 85 AVG corresponderende overweging 153 vermeldt daarentegen: de verwerking enkel voor journalistieke doeleinden.
In Satamedia heeft het HvJ bepaald dat het publiceren van openbare belastinggegevens kan kwalificeren als een journalistieke activiteit indien zij de bekendmaking aan het publiek van informatie, meningen of ideeën tot doel hebben. Het medium waarmee de informatie verspreid wordt of enig winstoogmerk van degene die de informatie verspreidt is hierbij niet van belang.97 Het EHRM heeft later ook uitspraak gedaan in Satamedia en oordeelde dat de
bijdrage van een publicatie aan het publieke debat bepalend is voor een succesvol beroep op de journalistieke exceptie.98 Op grond van beide uitspraken houdt het criterium “een
mededeling aan het publiek” in dat de betreffende verwerking van persoonsgegevens het doel moet hebben om een bijdrage te leveren aan het publieke debat.99 Voor gebruikers op social
media platforms betekent dit, in overeenstemming met andere rechtspraak van het EHRM over de uitlegging van het recht op vrijheid van meningsuiting in artikel 10 EVRM, dat “door gebruikers ontplooide expressieve activiteiten op internet een ongekend platform
bieden voor de uitoefening van de vrijheid van meningsuiting”.100 Hierbij is het goed mogelijk
dat gebruikers op social media platforms de sociale functie van het platform gebruiken om een bijdrage te leveren aan het publieke debat door middel van de verspreiding van nieuws en informatie.101
Het HvJ bevestigde later in Buivids dat user-generated content van een gebruiker kan kwalificeren als een verwerking voor journalistieke doeleinden. Volgens het HvJ maakt het in beginsel niet uit dat een gebruiker geen professioneel journalist is en dat de beelden via het online platform YouTube zijn verspreid. Het overdrachtsmedium is namelijk niet relevant voor een beroep op de journalistieke exceptie.102 Echter, niet alle informatie die op het internet
is geplaatst kan onder de journalistieke exceptie vallen.103 De toepassing van de journalistieke
exceptie vereist derhalve een afweging tussen het recht op privacy en het recht op vrijheid van meningsuiting en moet nodig blijken om deze twee rechten te verzoenen.104 Het HvJ merkt in Buivids op dat lidstaten hierbij rekening moeten houden met de criteria voor deze
belangenafweging die zijn ontwikkeld in de rechtspraak van het EHRM.105 Deze criteria
97 HvJ EG 16 december 2008, C-73/07, ECLI:EU:C:2008:727 (Satamedia), r.o. 59-61. 98 EHRM 27 juni 2017, ECLI:CE:ECHR:2017:0627JUD000093113 (Satamedia), § 169. 99 Erdos, Common Market Law Review 2015/52, p. 131.
100 Concl. A-G E. Sharpston ECLI:EU:C:2018:780, bij HvJ EU 14 februari 2019, C–345/17 (Buivids), r.o. 52; EHRM 16 juni 2015, ECLI:CE:ECHR:2015:0616JUD006456909 (Delfi v. Estland), § 110.
101 EHRM 8 november 2016, ECLI:CE:ECHR:2016:1108JUD001803011 (Magyar Helsinki
Bizottsag/Hongarije (MHB)) § 166 en 168.
102 HvJ EU 14 februari 2019, C–345/17, ECLI:EU:C:2019:122 (Buivids), r.o. 55-57. 103 HvJ EU 14 februari 2019, C–345/17, ECLI:EU:C:2019:122 (Buivids), r.o. 58. 104 HvJ EU 14 februari 2019, C–345/17, ECLI:EU:C:2019:122 (Buivids), r.o. 63. 105 Ibid. r.o. 62.
volgen onder andere uit EHRM Axel Springer, Von Hannover II en Satamedia.106 Het oordeelt
in Buivids op grond van deze criteria dat de publicatie van de video op YouTube moet worden getoetst aan: (i) de bijdrage die de video levert aan het publieke debat, (ii) de bekendheid van de betrokken persoon (iii) het eerdere gedrag van de betrokken persoon (iv) het onderwerp, de inhoud, de vorm en de feitelijke basis van de video en (v) de wijze waarop en de omstandigheden waarin de video is verkregen. De verwerkingsverantwoordelijke kan daarnaast ook maatregelen met betrekking tot de verwerking nemen om de inbreuk op het recht op privacy van de betrokkene af te zwakken.107
Aangezien artikel 85 AVG beoordelingsruimte laat aan de lidstaten over de toepassing van de journalistieke exceptie op de beginselen van de AVG en het HvJ in Google/CNIL het belang van deze beoordelingsruimte heeft bevestigd, is de interpretatie van de journalistieke exceptie op nationaal niveau ook relevant.108 In de Nederlandse UAVG is bepaald dat het recht op
vergetelheid niet van toepassing is op persoonsgegevens die voor journalistieke doeleinden worden verwerkt.109 Uit een uitspraak van de Rechtbank Amsterdam over de publicatie van
een foto van de partner van een bekende Nederlander volgt dat het feit dat een publicatie slechts entertainmentnieuws is, niet aan een beroep op de journalistieke exceptie in de weg staat. Entertainmentnieuws heeft volgens de rechtbank namelijk, zij het in geringe mate, nieuwswaarde en kan daarom het publieke debat dienen.110
4.2.2 Toepassing op uitingen van gebruikers
In overeenstemming met de rechtspraak van het EHRM bevestigt het HvJ in Buivids dat uitingen van gebruikers op social media platforms in belangrijke mate een bijdrage kunnen leveren aan het publieke debat. Omdat veel user-generated content echter alledaags van aard is, zal deze content in die gevallen minder bescherming genieten op grond van het recht op vrijheid van meningsuiting en niet altijd onder de journalistieke exceptie vallen.111 De
uitzondering in artikel 85 AVG moet bovendien binnen de grenzen van het strikt noodzakelijke blijven, wil het een beperking op het recht op privacy en gegevensbescherming
106EHRM 7 februari 2012, ECLI:CE:ECHR:2012:0207JUD003995408 (Axel Springer/Duitsland), § 96-108, EHRM 7 februari 2012, ECLI:CE:ECHR:2012:0207JUD004066008 (Von Hannover II/Duitsland), § 108-113 en EHRM 27 juni 2017, ECLI:CE:ECHR:2017:0627JUD000093113 (Satamedia), § 165.
107 HvJ EU 14 februari 2019, C–345/17, ECLI:EU:C:2019:122 (Buivids), r.o. 66.
108 HvJ EU 24 september 2019, C- 507/17, ECLI:EU:C:2019:772 (Google/CNIL), r.o. 67. 109 Artikel 43 lid 2 sub a UAVG.
110 Rechtbank Amsterdam 12 oktober 2018, ECLI:NL:RBAMS:2018:7397 (Oudkerk/Sanoma), r.o. 4.8 en 4.13; Harten, IR 2019/1, p. 28.
111 Leerssen, Journal of Intellectual Property, Information Technology and Electronic Commerce Law 2015/6, p. 102.
rechtvaardigen.112 De bijdrage op een social media platform van een gebruiker in Nederland
van een foto113 van een bekende persoon met uitsluitend het doel entertainmentnieuws te
verspreiden zou onder de journalistieke exceptie kunnen vallen. Hierbij is echter van belang dat de verwerking van de persoonsgegevens van de betrokkene noodzakelijk is voor het genoemde doel en dat dit doel niet op een meer terughoudende manier bereikt kan worden.114
4.2.3 Toepassing op uitingen van social media platforms
Uit de rechtspraak van het HvJ volgt dat zoekmachines voor hun economische belang bij het indexeren en tonen van zoekresultaten geen beroep op de journalistieke exceptie kunnen doen.115 Op grond van deze rechtspraak lijkt geconcludeerd te kunnen worden dat de eigen
uitingen van een social media platform die bestaan in verwerkingen met betrekking tot user-generated content, in beginsel niet in aanmerking komen voor een beroep op de journalistieke exceptie.116 Uit onderzoek naar de uitleg van de journalistieke exceptie in de lidstaten blijkt
ook dat veel nationale gegevensbeschermingsautoriteiten social media platforms een beroep hierop niet toekennen.117
In de rechtspraak van het HvJ en het EHRM wordt het belang van social media platforms erkend voor recht op vrijheid van informatie van eindgebruikers om informatie te ontvangen.118 Dit belang wordt in het volgende hoofdstuk over de verantwoordelijkheid van
social media platforms voor de bescherming van de vrijheid van meningsuiting van gebruikers besproken.
4.3 Toepassing van artikel 17 lid 3 sub a AVG
Artikel 17 lid 3 sub a AVG is een geharmoniseerde bepaling119 die voorziet in een
uitzondering op het recht op vergetelheid en zet het recht op verwijdering van een betrokkene opzij “voor zover de verwerking van persoonsgegevens nodig is voor het uitoefenen van het
112 HvJ EU 14 februari 2019, C–345/17, ECLI:EU:C:2019:122 (Buivids), r.o. 64; artikel 85 lid 2 AVG; Ausloos 2018, p.154.
113 Een foto op een social media platform kan in principe een journalistiek doel dienen, zie ook: OSCE Guidelines 2013, p. 142.
114 EDPS 2017, p. 9.
115 HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317 (Google Spain), r.o. 81en 85; HvJ EU 24 september 2019, C-136/17, ECLI:EU:C:2019:773 (GC e.a./CNIL), r.o. 53.
116 Zie ook: Dommering NJ 2019/434. p.7185. 117 Erdos, European Law Review 2015/40. 118 Hoboken, van e.a. 2019, p.36.
