WhatsApp, er is bijna geen enkele Nederlander meer die de populaire Amerikaanse app niet gebruikt. De Autoriteit Persoonsgegevens (AP) zat de populaire messaging app echter op de hielen nadat bleek uit haar onderzoek dat WhatsApp in strijd met de Wet bescherming persoonsgegevens (Wbp) handelde, nu zij géén Nederlandse vertegenwoordiger had aangesteld.
WhatsApp was het met dit besluit van de AP niet eens, en stelde beroep in bij de Rechtbank te Den Haag. Deze oordeelde op 22 november 2016dat de AP in haar gelijk stond. WhatsApp dient dan ook alsnog een Nederlandse vertegenwoordiger aan te stellen.
Ondanks dat WhatsApp een Amerikaans bedrijf is, zonder vestiging of server in Europa, dient deze wel aan de Wbp te voldoen. Dit op grond van artikel 4 lid 2 Wbp waarin is bepaald dat de Wbp van toepassing is op alle gegevensverwerkingen waarbij gebruik wordt gemaakt van “al dan niet geautomatiseerde middelen die zich in Nederland bevinden”.
Onder deze ‘geautomatiseerde middelen’ vallen, op grond van Opinie 02/2013 van de Artikel 29-werkgroep eveneens smartphones. Hetgeen wordt bevestigd in de onderhavige uitspraak van de Rechtbank Den Haag.
In haar besluit van 3 november 2015 stelde de AP dat door WhatsApp in strijd werd gehandeld met de Wbp, en specifiek met artikel 4 lid 3 Wbp. In dit artikel is bepaald dat het een verantwoordelijke, die geen vestiging heeft in de Europese Unie, is verboden om persoonsgegevens te verwerken;
“tenzij hij in Nederland een persoon of instantie aanwijst die namens hem handelt overeenkomstig de bepalingen van deze wet”.
WhatsApp voerde bij de Rechtbank Den Haag tegen dit besluit onder meer aan dat zij enkel persoonsgegevens ‘doorvoert’ en er dus geen sprake is van verwerking van persoonsgegevens, hetgeen een uitzondering vormt op bovengenoemd artikel. De Rechtbank veegde dit argument echter resoluut van tafel.
Op het moment dat een telefoongebruiker WhatsApp gaat gebruiken, krijgt WhatsApp automatisch toegang tot de telefoonnummers van alle contacten die op de telefoon zijn opgeslagen. Dit kunnen zowel telefoonnummers zijn van andere gebruikers van WhatsApp, als van niet-gebruikers. WhatsApp slaat vervolgens al deze telefoonnummers op haar Amerikaanse servers op, en vergelijkt de nummers van niet-gebruikers met nummers van gebruikers van WhatsApp. Deze vergelijking is volgens de Rechtbank wel degelijk aan te merken als gegevensverwerking. Van enkele ‘doorvoer’ van persoonsgegevens door WhatsApp is dan ook geen sprake.
Een andere grond waarop WhatsApp haar betoog stoelde was dat zij geen Nederlandse vertegenwoordiger hoefde aan te stellen, aangezien zij reeds anticipeerde op de aankomende Privacyverordening. In de Privacyverordening, welke vanaf 25 mei 2018 van toepassing is, is namelijk bepaald dat er door een bedrijf, gevestigd buiten Europa, slechts één Europese vertegenwoordiger hoeft te worden aangesteld. Aangezien WhatsApp echter niet kon aantonen dat zij reeds een andere vertegenwoordiger binnen Europa had aangewezen, ging ook dit beroep niet op.
De door de AP aan WhatsApp opgelegde last onder dwangsom, van €10.000 per dag dat de overtreding voortduurt met een maximum van €1.000.000, is dan ook door de Haagse Rechtbank in stand gelaten.
ICTRecht Academy
