Berichten

Safe Harbor biedt niet genoeg privacybescherming: wat nu?

Op 6 oktober 2015 verklaarde het Europese Hof van Justitie de zogenaamde “Safe Harbor regeling” ongeldig. De Safe Harbor regeling zorgt ervoor dat persoonsgegevens van Europese burgers kunnen worden doorgegeven naar de Verenigde Staten.

Wat is het Safe Harbor Programma?

In principe geldt er een verbod om persoonsgegevens naar buiten Europa (officieel: de “Europese Economische Ruimte”) door te geven naar een land waar geen “passend beschermingsniveau” voor de privacy is. In Amerika is er niet een dergelijke passend beschermingsniveau.

De Europese Commissie heeft al enige tijd geleden in samenwerking met de US Department of Commerce een zelf-certificeringsprogramma opgezet waardoor Amerikaanse bedrijven die zich aan bepaalde basis principes houden toch gegevens van Europese burgers kunnen ontvangen. Dit is het Safe Harbor programma. Binnen dat programma, is de gedachte, is er dus wel een “passend beschermingsniveau”. Veel bedrijven maken hier gebruik van. Niet alleen bedrijven die clouddiensten aanbieden aan Europese burgers, zoals Google, Facebook, Microsoft en Amazon maar ook multinationals die hun hoofdkantoor in de VS hebben en gegevens van Europese werknemers in de VS hosten en verwerken.

Maar door de onthullingen van de NSA-praktijken door Edward Snowden is duidelijk geworden dat het Safe Harbor programma geen bescherming biedt tegen de “snuffelpraktijken” van Amerikaanse overheidsinstanties. Interessant detail daarbij is dat Amerikaanse burgers wél een bepaalde mate van bescherming genieten maar Europese burgers niet omdat zij als niet-Amerikaanse burgers geen beroep kunnen doen op de Amerikaanse wetgeving.

Wat nu?

Wat betekent het oordeel van het Hof voor bedrijven die gegevens van Europese burgers doorgeven naar de Verenigde Staten? In feite heeft het oordeel tot gevolg dat de gegevens niet meer mogen worden doorgegeven op basis van het Safe Harbor programma.

Er is een belangrijk alternatief voor handen en dat is het sluiten van een zogenaamd “Model contract voor doorgifte” van de Europese Commissie. Als een dergelijk contract wordt gesloten met de ontvanger van de gegevens, wordt er geacht een “passend beschermingsniveau” te zijn.

Het is echter nog te bezien of ook die modelcontracten de toets van het Europese Hof van Justitie kunnen doorstaan. Want ook die bieden geen volledige bescherming tegen het inzien of opvragen van gegevens door lokale overheidsinstanties. Hoewel in het contract wel dezelfde “toets” wordt voorgeschreven als die we in Europa hebben voor toegang door overheidsinstanties, moet nog maar blijken of lokale overheidsinstanties daar ook zo over denken. We weten dat de Amerikaanse overheidsinstanties dat in ieder geval niet doen.

Desondanks ziet het er op dit moment naar uit dat het sluiten van een modelcontract tussen de Europese “gegevensexporteur” en de Amerikaanse “gegevensimporteur” het realistische alternatief is om de gegevens op een geldige manier naar de Verenigde Staten door te geven. Tenzij het gaat om doorgifte binnen een concern dat zogenaamde “Binding Corporate Rules” heeft, dan kan doorgifte op basis daarvan geschieden.

Het is wachten hoe de Europese Commissie en de nationale toezichthouders op het arrest van het Hof zullen reageren, en of er overleg met de Verenigde Staten zal volgen om te zien hoe doorgifte wel mogelijk kan worden gemaakt. Want dat het arrest belangrijke consequenties voor de trans-Atlantische economie heeft, dat is wel duidelijk.

Vergeet mij toch maar liever wel

Het “Google arrest” van het Europese Hof van Justitie (Hof van Justitie EU 13 mei 2014, zaaknummer C-131/12) deed vorig jaar veel stof opwaaien. Doordat het Hof van Justitie vaststelde dat het “recht om vergeten te worden” ook geldt voor zoekmachines was de angst dat de informatievrijheid in het geding zou komen en er “internetcensuur” zou ontstaan.

Container kwestie

Dat Google niet alle resultaten “censureert” blijkt onder meer uit een recent vonnis van de rechtbank Amsterdam. Het ging in dit geval over een partner van accountantskantoor KPMG dat een geschil had met zijn aannemer die zijn woonhuis had verbouwd. De partner had een rekening van 200.000 euro niet betaald omdat hij ontevreden was over het schilderwerk. Vervolgens verving de aannemer de sloten van het huis waardoor de partner en zijn gezin langere tijd in “containers” bij het huis moesten wonen.

De Telegraaf pikte het geschil op en vervolgens werd dit min of meer breed uitgemeten in een aantal andere (landelijke) media. Natuurlijk kwamen daardoor allerlei artikelen naar voren in de Google resultaten als de naam van de man werd ingetoetst. De man vroeg daarom om de links naar de artikelen te verwijderen. De man stelde bij de rechter dat het geschil twee en half jaar oud was, dat zijn gezin regelmatig met de kwestie werd geconfronteerd en dat het slecht was voor zijn professionele profiel en carrière.

De rechter gaat hier niet in mee.

Relevantie zoekresultaten

Opvallend is dan dat de rechter zegt dat het bij de toepassing van het zogenoemde ‘verwijderingsrecht’ vooral gaat om de relevantie van de gevonden zoekresultaten, en niet zozeer om de vraag of de inhoud van (in dit geval) de gevonden artikelen zelf ontoereikend, irrelevant of bovenmatig is. Als de man wilde dat de artikelen werden verwijderd dan had hij dat moeten verzoeken op grond van onrechtmatige perspublicatie want het verwijderingsrecht is niet bedoeld om onwegevallige maar niet onrechtmatige artikelen aan het zich van het publiek te onttrekken, aldus de rechter.

Dit is volgens mij in strijd met het oordeel van het Hof van Justitie dat het recht op verwijdering ook bestaat als de artikelen zelf rechtmatig zijn (r.o. 88 arrest). Het Hof zei dit omdat de media zich vaak kunnen beroepen op een wettelijke uitzondering voor het verwerken van persoonsgegevens. Zoekmachines kunnen dat dus juist niet want zij bedrijven geen journalistiek.

Daarnaast: als de inhoud van de artikelen niet relevant is bij de beoordeling of de resultaten relevant zijn, hoe kan dan worden beoordeeld of die resultaten nog relevant zijn? Dat lijkt mij niet juist.

Google en rechter: te grote nieuwswaarde om te verwijderen

Vervolgens gaat de rechter wel ín op de inhoud van de artikelen. Google heeft allerlei redenen aangevoerd waarom de artikelen nieuwswaarde hebben en de resultaten niet zouden moeten worden aangepast. Zij zegt onder andere dat de artikelen verband houden met de discussie over de financiële moraal van topmannen uit het bedrijfsleven, waartoe eiser kan worden gerekend als partner bij KPMG – er staat alleen niet vast dat deze partner ook betrokken was bij de KPMG fraude. En omdat de artikelen zijn verschenen in diverse nationale media vond Google dat het kennelijk zo veel nieuwswaarde had dat de resultaten niet moesten worden verwijderd. Ook zegt Google dat de artikelen nog relevant zijn omdat ze stammen uit de periode 2012-2014. Terzijde: er is volgens mij niet veel nieuwswaarde nodig om in de Telegraaf te worden genoemd en de artikelen hebben meer weg van leedvermaak dan daadwerkelijke nieuwswaarde.

De rechter volgt de argumenten van Google en zegt dat, hoewel het goed voorstelbaar is dat eiser het onprettig vindt om steeds door kennissen of zakelijke contacten te worden geconfronteerd met de ‘container-kwestie’, dit niet opweegt tegen “het recht van Google op informatievrijheid”. Daarbij speelt voor de rechter een rol dat niet valt in te zien dat de genoemde artikelen, zoals de man stelt, onnodig diffamerend zijn voor hem. Dat hij een geschil had met een aannemer, zoals de verschillende media berichten, zegt niets over zijn verwijtbaarheid. Ook valt niet in te zien dat het feit dat de man langer dan nodig in een noodwoning met containers heeft moeten wonen diffamerend is voor hem, “hij woonde daar immers al maanden”.

Doorstaat het oordeel de toets van het Google arrest?

Hoewel het oordeel van de rechter niet verrassend is, mede gezien de storm van kritiek na het Google arrest omdat het internet gecensureerd zou worden maar ook wel door de manier waarop de KPMG-partner in de media neer wordt gezet (als een “rode bretels drager” die veel geld uit geeft), denk ik niet dat het in dit geval de toets van het Google-arrest van het Hof van Justitie zal doorstaan.

Wat vooral opvallend is, is dat de rechter de volgende algemene overweging maakt, die ook al eerder in een uitspraak van de Amsterdamse rechter terugkwam:

“Allereerst wordt overwogen dat terughoudendheid is geboden bij het opleggen van beperkingen aan de werking van een zoekmachine als Google Search. Zoekmachines als Google Search vervullen immers een belangrijke maatschappelijke functie. De functie van catalogus, die de zoekmachine in feite is, zou ernstig worden belemmerd indien strenge beperkingen aan de werking ervan zou worden opgelegd en daarmee zou de zoekmachine aan geloofwaardigheid inboeten. Het ‘verwijderingsrecht’is een uitzondering op het algemene uitgangspunt op het recht van Google Inc op informatievrijheid, waaraan strenge eisen worden gesteld.”

Dit staat volgens mij lijnrecht tegenover de interpretatie die het Hof van Justitie in het Google arrest aan de afweging van de belangen geeft.

Het Hof stelde daarin eerst vast dat Google zoekresultaten de persoonlijke levenssfeer ernstig kunnen aantasten omdat daardoor op eenvoudige wijze wereldwijd een min of meer gedetailleerd profiel van een persoon kan worden verkregen. Dit wordt nog versterkt door de rol die zoekmachines spelen in de moderne maatschappij. Gelet op de potentiële ernst van de inmenging moet worden vastgesteld dat zij niet kan worden gerechtvaardigd door louter het economisch belang dat de exploitant van een dergelijke zoekmachine bij deze verwerking heeft.

Maar, omdat de verwijdering van de koppelingen uit de resultatenlijst, naargelang van de betrokken informatie, gevolgen kan hebben voor het gerechtvaardigde belang van de internetgebruikers die potentieel toegang daartoe willen krijgen (het Hof van Justitie zegt hier niet het “grondrecht” op “informatievrijheid” van internetgebruikers of van Google), moet worden gezocht naar een juist evenwicht tussen dat belang en het recht op eerbiediging van de persoonlijke levenssfeer.

Van belang is dat het Hof vervolgens vaststelt dat in de regel het recht op eerbiediging van de levenssfeer voorrang heeft boven de belangen van internetgebruikers en in bijzondere gevallen daar een uitzondering voor kan worden gemaakt. Of dat het geval is zal afhangen van de aard van de betrokken informatie en de gevoeligheid ervan voor het privéleven van de betrokkene en van het belang dat het publiek erbij heeft om over deze informatie te beschikken, wat met name wordt bepaald door de rol die deze persoon in het openbare leven speelt.

Het uitgangspunt is dus eerbiediging van de persoonlijke levenssfeer en daarop kan een uitzondering op worden gemaakt in het belang van het publiek op toegang tot de informatie. De rechtbank draait dit dus om en zegt dat “het recht van Google op informatievrijheid” als uitgangspunt geldt waar bovendien “strenge eisen” aan worden gesteld (niet duidelijk is wat die eisen dan zijn) en – in feite – de eerbiediging van de persoonlijke levenssfeer als uitzondering geldt.

Persoonlijke mening

Als je in dit geval de impact bekijkt op de privé-sfeer van de KPMG-partner en van zijn familie en op zijn professionele leven: het gaat om een privé-geschil dat niet relevant is voor zijn professionele leven, het is min of meer toevallig dat er in die periode een affaire was rond het kantoor waar hij partner is (maar waar hij kennelijk niet betrokken bij was) en het is inderdaad niet bepaald bevordelijk voor je professionele profiel als dit soort artikelen naar voren komen wanneer klanten je naam intoetsen – dan lijkt mij die impact vele malen groter dan het belang van het publiek om iets te weten over een eigenlijk oninteressante privékwestie van een KPMG partner, dat al twee en half jaar eerder is opgelost. Bovendien kunnen mensen die wel geïnteresseerd zijn in de kwestie de artikelen via Google vinden met zoekwoorden als “KPMG-partner” en “container” (probeer het maar eens) dus de informatievrijheid komt daardoor naar mijn mening niet in het geding.

Hyperlinken: wat mag nou wel en wat niet?

Mag hyperlinken naar een auteursrechtelijk beschermd werk (zoals beschermde artikelen, foto´s of video´s) nu wel of niet?

Het Hof van Justitie deed daarover een belangrijke uitspraak op 13 februari 2014 in de zaak Svensson / Retriever.

Uit die uitspraak komt het volgende naar voren:

1.⇥Hyperlinken naar publiek toegankelijke website mag

Het is toegestaan om op de eigen website een hyperlink te plaatsen naar een door de auteursrechthebbende geplaatst auteursrechtelijk beschermd werk op een andere website, wanneer die website vrij toegankelijk is voor het internetpubliek. Datzelfde geldt voor embedded links naar die vrij toegankelijke website.

Wanneer de auteursrechthebbende het werk zelf vrij toegankelijk maakt op een bepaalde website, dan mag worden aangenomen dat hij daarmee de bedoeling heeft gehad om het werk aan alle bezoekers van die website beschikbaar te maken. Dat geldt dan dus ook voor gebruikers die via een op een andere website geplaatste hyperlink op die website terecht komen.

Bijvoorbeeld (embedded) linken naar een publiekelijk beschikbaar filmpje op Youtube filmpje mag.

2.⇥Hyperlinken naar website voor abonnees mag niet

Het is niet toegestaan om een hyperlink te plaatsen naar een auteursrechtelijk beschermd werk op een andere website wanneer die website niet vrij toegankelijk is voor het publiek. Hyperlinken kan dus niet naar auteursrechtelijk beschermde werken die bijvoorbeeld alleen voor (betaalde) abonnees toegankelijk zijn. In dat geval kan er namelijk niet van uit worden gegaan dat de auteursrechthebbende de bedoeling had om het werk aan alle gebruikers van diens website te tonen, alleen aan de abonnees. Voor hyperlinks naar dat soort werken is de toestemming van de auteursrechthebbende nodig.

In feite zou het dan gaan om werken die door omzeiling van beschermingsmaatregelen (“illegale” kopieën dus) aan het publiek ter beschikking worden gesteld. Dit betekent bijvoorbeeld dat (embedded) linken naar een illegale kopie van een Netflix film niet mag.

3.⇥Mag hyperlinken naar een op een andere website “doorgeplaatst” werk?

De vraag is of het is toegestaan om een hyperlink te plaatsen naar een auteursrechtelijk beschermd werk dat één-op-één is doorgeplaatst van de oorspronkelijke, publiekelijk toegankelijke website waarop het was geplaatst naar een andere website. Ik ga er daarbij van uit dat er niet een (wettelijke) uitzondering geldt waaronder wel mag worden doorgeplaatst, zoals in het kader van citeren en ook dat de rechthebbende geen toestemming heeft gegeven voor het doorplaatsen.

Het Hof laat zich hier niet met zoveel woorden over uit. Toch denk ik dat het mogelijk is om die vraag met behulp van het arrest te beantwoorden. Tot die conclusie komt ik als volgt.

Hyperlinken mag niet bij bereiken van nieuw publiek

Voor hyperlinken naar een beschermd werk is volgens het Hof alléén toestemming van de rechthebbende nodig als daarmee een nieuw publiek wordt bereikt. Voor de vraag wanneer met het hyperlinken een nieuw publiek wordt bereikt is beslissend of de auteursrechthebbende dat publiek voor ogen had toen hij het betreffende werk publiceerde.

Geen nieuw publiek bij linken naar site oorspronkelijke mededeling

In de zaak die tot het arrest leidde stelde het Hof vast dat daar geen sprake was van een nieuw publiek. Het ging daar om hyperlinks naar de website waarop de werken met toestemming van de auteursrechthebbende waren geplaatst. De doelgroep van die plaatsing bestond volgens het Hof uit alle potentiële bezoekers van die website.

Wanneer alle gebruikers van de website waarop de hyperlinks staan, rechtstreeks toegang hebben tot de werken “op de website waarop deze oorspronkelijk werden medegedeeld”, dan moeten de gebruikers van de website waarop de hyperlinks staan worden beschouwd als mogelijke ontvangers van de website waarop ze oorspronkelijk werden medegedeeld. Zij zijn en onderdeel van het publiek dat door de houders van het auteursrecht in aanmerking werd genomen toen zij toestemming verleenden voor de oorspronkelijke mededeling.

Dat betekent niet alle websites waarop de werken staan

Naar mijn mening is van belang dat het Hof vaststelt dat de doelgroep van de oorspronkelijke mededeling op de website bestond uit alle potentiele bezoekers van die website. Naar mijn mening kan hieruit dus niet zonder meer worden afgeleid dat dit ook geldt voor andere websites waarop de werken zijn doorgeplaatst, dus niet die “waarop het oorspronkelijk werd medegedeeld”.

Andere websites: nieuw publiek?

Er is naar mijn mening zeker wat voor te zeggen dat wanneer de auteursrechthebbende werken op een publiekelijk toegankelijke website plaatst of laat plaatsen, het publiek dat hij daarbij in aanmerking neemt bestaat uit bezoekers van die website, en niet ook op bezoekers van andere websites waarop dat werk staat, tenzij blijkt dat die bedoeling wel bestond.

Als bijvoorbeeld RTL op de eigen website een publiekelijk toegankelijk filmpje plaatst, is daarmee dan gezegd dat ze voor ogen had dat het filmpje (niet op basis van toegestane uitzonderingen) wordt gekopieerd en doorgeplaatst naar een andere website, zoals Youtube? Dat lijkt mij niet. Voor het linken naar dat soort websites zou dan de toestemming van de auteursrechthebbende nodig zijn.