Website eigenaren medeverantwoordelijk voor verspreiding privégegevens

Op 29 juli heeft het Europese Hof uitspraak gedaan over het verzamelen van gegevens via bijvoorbeeld Facebook like-knoppen. De website-eigenaren worden door het Hof medeverantwoordelijk geacht voor het beschikbaar maken van privégegevens door het gebruik van dergelijke plugins. Het Hof heeft hiermee besloten eerdere adviezen (uit december 2018) daadwerkelijk te bekrachtigen.

Hoe worden deze gegevens verspreid?

Een Facebook like-knop is een zogenaamde “remote include”. Een stukje techniek wat, vanaf de servers van Facebook, op afstand ingeladen wordt door een heel klein scriptje. Hierdoor ziet de gebruiker van de website de like-knop en kan deze hier op klikken zonder de website te verlaten. Deze techniek is erg eenvoudig en wordt enorm veel gebruikt en toegepast zonder dat de eindgebruiker op de hoogte is van wat zij bij Facebook achterlaten. Wat de gebruiker echter niet weet is dat er een veelvoud van metadata meegezonden wordt naar de servers van (in dit voorbeeld) Facebook. 

En Facebook is niet de enige partij die deze techniek gebruikt om haar producten te ondersteunen of vergemakkelijken. Denk hierbij ook aan advertentieplatformen van Telegraaf / Nu.nl etc, of Google Analytics en de (extern ingeladen) lettertypes van Google Fonts. De wijze waarop het web werkt zorgt ervoor dat er bij elke remote-include metadata gegevens van de gebruiker wordt meegestuurd, denk hierbij aan het type browser, IP-adres en andersoortige gegevens zoals bijvoorbeeld cookies. (En cookies kunnen op hun beurt weer gegevens bevatten over wie jij bent of wat je online gedrag is).

Wat betekent dit nu in het Nederlands?

Het is eigenlijk heel simpel; het inladen van remote includes kan niet zonder het delen van metadata van je gebruikers. Als website-eigenaar moet je, bij het gebruik van deze includes, de verantwoordelijkheid aanvaarden aldus het Hof.

Is dit altijd een probleem?

Als OpenGemeenten zijn wij kritisch op het gebruik van remote includes en wegen wij per geval de risico’s af tegen de waarde van de dienst. Indien het mogelijk is een remote include te voorkomen, doen wij dit. Wij adviseren dan ook voorzichtig en kritisch te zijn rondom dit onderwerp.

Wel een remote-include
Een voorlees-functie op de website is een hele kostbare aangelegenheid om zelf te ontwikkelen en te onderhouden conform de steeds veranderende richtlijnen als het gaat om toegankelijkheid. Wij adviseren in deze dan ook om de risico’s van een remote include technisch te accepteren en middels contracten/verwerkersovereenkomsten de risico’s te minimaliseren. 

Geen remote-include
Een cookie-bar implementatie. Een cookie-bar is een stukje techniek die het voor de eindgebruiker inzichtelijk maakt wat voor type cookies er gebruikt worden en geeft ze het recht om bijvoorbeeld wel of geen gebruik te maken van marketing cookies. Deze techniek is relatief eenvoudig te maken/verkrijgen om zelfstandig in je website te implementeren.  Het is dus niet nodig om dit als Clouddienst af te nemen.

Conclusie

Wees kritisch op de diensten die je van externe aanbieders wenst te gebruiken. Wees je bewust dat wanneer je gebruik maakt van dergelijk plugins dat er altijd (privé)gegevens uitgewisseld worden en dat jij hier mede-verantwoordelijk voor bent.  

Accepteer, bij het gebruik van deze plugins, de risico’s of verklein je risico’s door een contract of verwerkersovereenkomst af te sluiten met de aanbieder. En voeg, indien mogelijk, functionaliteiten aan je eigen website toe in plaats van deze extern af te nemen.