noyb heeft een overwinning behaald tegen YouTube, het videoplatform van Google. Na vijf en een half jaar heeft de Oostenrijkse autoriteit voor gegevensbescherming (DSB) eindelijk een beslissing genomen die de kant kiest van noyb - en heeft YouTube bevolen om te voldoen aan het verzoek van de klager om toegang te krijgen in overeenstemming met artikel 15 GDPR. Tot nu toe hield het bedrijf een grote hoeveelheid gegevens achter, waaronder informatie over het doel van de verwerking, opslagperioden, ontvangers van de gegevens en de gebruikte tracking cookies.
- Besluit van de Oostenrijkse gegevensbeschermingsautoriteit (DE)
- Oorspronkelijke noyb klacht tegen YouTube
Acht klachten, geen enkel bedrijf voldeed volledig. In januari 2019, noyb acht klachten ingediend tegen een reeks streamingproviders zoals Amazon, Apple Music, Spotify, Netflix - en natuurlijk YouTube. Al deze bedrijven hebben op de een of andere manier niet adequaat gereageerd op de toegangsverzoeken van gebruikers onder artikel 15 GDPR. Volgens het recht op toegang zijn bedrijven verplicht om gebruikers een kopie van hun persoonlijke gegevens te verstrekken, evenals aanvullende informatie over de verwerking, zoals details over de bronnen en ontvangers van de gegevens, het doel waarvoor de gegevens worden verwerkt en de bewaarperiode.
Martin Baumann, advocaat gegevensbescherming bij noyb: "Het is absurd dat een miljardenbedrijf als Google liever een langdurige juridische procedure aanspant dan een gebruiker toegang te geven tot zijn persoonlijke gegevens. Hoewel de autoriteit pas na enkele jaren een overtreding vaststelde, heeft Google het voldoen aan een verzoek om toegang meer dan een half decennium met succes uitgesteld. Dit brengt niet alleen aanzienlijke kosten met zich mee voor NGO's die door donaties worden gefinancierd, zoals noyb, maar berooft de betrokkenen ook van hun grondrechten."
Vijf en een half jaar voor een duidelijke zaak. De zaak tegen YouTube (en dus ook tegen Google) was eenvoudig en had eenvoudig beslist moeten worden. Het bedrijf had slechts een fractie van de gegevens die het verwerkt over de klager verstrekt en informatie achtergehouden over het doel van de verwerking, de opslagperioden, de ontvangers van de gegevens en de gebruikte tracking cookies. Toch duurde het vijf en een half jaar voordat de Oostenrijkse gegevensbeschermingsautoriteit (DSB) uiteindelijk een beslissing nam - en Google beval om de klager volledige toegang tot zijn gegevens te geven.
Meerdere pogingen om de procedure te vertragen. Google is zich terdege bewust van de handhavingstekorten in Ierland en probeerde (uiteindelijk zonder succes) aan te voeren dat de Ierse toezichthoudende autoriteit bevoegd is om deze zaak te behandelen. Dit alleen al heeft de zaak enorm vertraagd. Bovendien beweerde Google dat het verzoek om toegang van de klager niet nauwkeurig genoeg was, ook al had hij specifiek de gegevens opgesomd die hij wilde ontvangen en bestaat er geen verplichting om een verzoek om toegang te specificeren.
Martin Baumann, advocaat gegevensbescherming bij noyb: "Het indienen van een verzoek om toegang moet betrokkenen in staat stellen om andere rechten uit te oefenen, zoals het recht op wissen of rectificatie, door hen informatie te geven waarmee ze de rechtmatigheid van de verwerkingsactiviteit kunnen beoordelen. Als het meer dan 5 jaar duurt om toegang te krijgen, wordt het onmogelijk om andere rechten van betrokkenen uit te oefenen."
Verzoeken om toegang moeten volledig worden beantwoord. Deze beslissing heeft ook gevolgen voor gebruikers van andere platforms. In zijn beslissing heeft de DSB nogmaals duidelijk gemaakt dat bedrijven verzoeken om toegang volledig en in een gemakkelijk toegankelijke vorm moeten beantwoorden. Google verwees de klager onrechtmatig naar verschillende online tools om zijn gegevens te downloaden, evenals naar het privacybeleid van YouTube, dat uiteraard geen gepersonaliseerde informatie bevat over de gegevens die over hem worden verwerkt. Google heeft nu vier weken de tijd om aan de beslissing te voldoen, maar heeft ook de mogelijkheid om hiertegen in beroep te gaan - en een rechtmatig antwoord op het verzoek om toegang van de betrokkene verder uit te stellen.
Martin Baumann, advocaat gegevensbescherming bij noyb: "Voor de verwerking verantwoordelijken moeten niet het voorbeeld van Google volgen als het gaat om het verlenen van toegang tot hun gegevens aan gebruikers. Als een verzoek om toegang niet wordt ingewilligd, kan dit leiden tot boetes en schadeclaims van betrokkenen."
