In juli heeft het Europees Hof van Justitie uitspraak gedaan in de zaak Fashion ID vs Verbraucherzentrale, beter bekend als de zaak over de Facebook like-knop. Een van de belangrijkste punten in deze zaak gaat over de vraag of een websitebeheerder die de like-knop gebruikt en Facebook kunnen worden beschouwd als gezamenlijke verwerkingsverantwoordelijken.
Het Hof vindt dat er in zulke gevallen sprake is van een gezamenlijke verantwoordelijkheid bij de verzameling en overdracht van persoonlijke gegevens. Wat zijn de gevolgen van deze uitspraak voor Awin en onze publishers en adverteerders als gezamenlijke verwerkingsverantwoordelijken?
De 'verwerkingsverantwoordelijke'
De 'verwerkingsverantwoordelijke' verwijst naar de entiteit die alleen of met anderen het doel en de middelen bepaalt van de gegevensverwerking. De verwerkingsverantwoordelijke wijst de verantwoordelijkheden toe aan degenen die belangrijke beslissingen nemen over de verwerking van persoonlijke gegevens. Het gaat hier niet zozeer om technische controle maar meer om beslissingsbevoegdheden. In het geval van de Facebook-rechtszaak heeft het Hof geconcludeerd dat 'verwerkingsverantwoordelijke' ruim moet worden geïnterpreteerd. Hiermee wordt het doel van de bepaling, namelijk een effectieve en volledige bescherming van de gegevens van de betrokkenen gewaarborgd.
Awin heeft als verwerkingsverantwoordelijke een logistieke rol, omdat we transacties bijhouden, opvragen en verwerken in rapporten. Daarnaast spelen we een belangrijke rol bij de bescherming van de rechten van de betrokkenen.
De doelen en middelen bepalen voor gezamenlijke verwerking
We spreken van gezamenlijke verwerking als twee of meer verwerkingsverantwoordelijken gezamenlijk de doelen en middelen van de verwerking bepalen.
Als een websitebeheerder de Facebook like-knop heeft geïmplementeerd, kan Facebook persoonlijke gegevens van bezoekers van de betreffende website verzamelen. Op deze manier heeft de websitebeheerder samen met Facebook bepaald wat de doelen en middelen zijn voor het verzamelen en uitwisselen van de bezoekersgegevens.
We kunnen parallellen trekken met Awins positie, waarbij trackinggegevens (die beschouwd worden als persoonlijke gegevens) via sites van publishers en adverteerders worden verzameld en met trackingtechnologiën worden verzonden naar Awin. Het Hof vindt dat onze adverteerders en publishers samen met Awin bepalen wat het doel en de middelen zijn voor het verwerken van de bezoekersgegevens van de betreffende sites.
De uitspraak staat op één lijn met de manier waarop Awin samen met adverteerders en publishers de gezamenlijke verwerking uitvoert van trackinggegevens die via de trackingcode in advertentielinks worden verzameld.
Het Hof benoemde dat zelfs een websitebeheerder die geen toegang heeft tot persoonlijke gegevens beschouwd kan worden als een verwerkingsverantwoordelijke. In het geval van Awin betekent dit dat hoewel
onze publishers en adverteerders geen toegang hebben tot alle verzamelde trackinggegevens, deze wel kunnen worden beschouwd als gezamenlijke verwerkingsverantwoordelijke met Awin.
Ook als een websitebeheerder geen toegang heeft tot de gegevens die worden verwerkt, kan de beheerder toch worden beschouwd als verwerkingsverantwoordelijke.
Omdat de verwerking vervolgens alleen door Facebook werd uitgevoerd, bepaalde het Hof dat de websitebeheerder niet kan worden beschouwd als verwerkingsverantwoordelijke. De beheerder kan immers niet het doel en de middelen bepalen van de gegevensverwerking nadat de gegevens zijn verzonden naar Facebook.
Deze situatie verschilt van die van Awin. Adverteerders en publishers hebben net als Awin economische belangen bij de verwerking van trackinggegevens nadat deze zijn verzameld en doorgeven. Dit resulteert samen met de manier waarop transacties worden gerapporteerd en gebruikt door adverteerders en publishers in een gezamenlijke verwerking gedurende het hele proces.
De zaak verschilt van Awins situatie op verschillende punten. Bij Awin hebben alle partijen belang bij de gegevensverwerking en komen de gegevens na verwerking weer terug bij de betrokken partijen.
Een opmerking over gezamenlijke aansprakelijkheid
Ook benadrukt het Hof dat de mate van aansprakelijkheid bij een gezamenlijke verwerking bepaald wordt aan de hand van bepaalde omstandigheden. De partijen zijn vaak in verschillende fases en in verschillende mate betrokken bij het gegevensverwerkingsproces. Hierdoor is het dus niet zo dat alle partijen even veel verantwoordelijkheid dragen voor de gezamenlijke verwerking. Dit komt overeen met onze bestaande richtlijnen en aanpak bij de samenwerking met onze adverteerders en publishers.
Gezamenlijke verwerking betekent niet automatisch dat iedereen evenveel verantwoordelijkheid heeft.
Conclusie
In de laatste uitspraak van het Hof worden verschillende zaken benoemd die belangrijk zijn voor de manier waarop wij als affiliatenetwerk diensten aanbieden en gegevens verwerken. Tot voor kort was er maar weinig informatie beschikbaar op dit gebied. Affiliatebedrijven voerden vaak hun eigen beleid, wat regelmatig leidde tot verwarring en discussies tussen adverteerders, publishers en netwerken. Wij zijn daarom blij met de uitspraak van het Hof. Alles is nu een stuk duidelijker geworden.
