De timing is voor Nederlands niet helemaal gelukkig, maar donderdag 12 februari sloot in Brussel de termijn voor het reageren op een EDPB voorstel dat moet zorgen dat er online om minder (persoons-)gegevens wordt gevraagd.
Het vraagstuk is waarschijnlijk net zo oud als internet. Hoeveel informatie mag je vragen, kun je vragen en hoe voorkom je dat er misbruik van wordt gemaakt. De EDPB (European Data Protection Board) heeft de taak gekregen te zorgen voor richtsnoeren of aanbevelingen voor de zogenaamde verwerkingsverantwoordelijken in de e-commerce sector.
Wat is EDPB?
EDPB is de paraplu organisatie van alle EU AVG toezichthouders en de instanties van Europese landen die nauw samenwerken met de EU maar geen lid zijn (Noorwegen, IJsland, Liechtenstein en Zwitserland). Verwerkingsverantwoordelijken is wel duidelijk. E-commerce sector is minder duidelijk, maar dat heeft wel betrekking op B2C en B2B.
Verplicht
EDPB constateert dat het ondertussen gangbaar is dat op e-commerce websites gebruikers vaak verplicht worden een online account aan te maken. Zonder account is er geen toegang tot aanbiedingen of mogelijkheid goederen en diensten te kopen.
Verwerkingsverantwoordelijken rechtvaardigen het verplicht stellen van het aanmaken van een account doorgaans om verschillende redenen. Denk aan het uitvoeren van een verkoop, het mogelijk maken van het abonneren op diensten. Maar ook het verlenen van toegang tot exclusieve aanbiedingen aan hun gebruikers of het vergemakkelijken van het operationele beheer van bestellingen.
Verwerkingsverantwoordelijken in de e-commerce sector kunnen een commercieel belang hebben om gebruikers te verplichten een account aan te maken. Het EDPB ziet dat het aanmaken van een account betrokkenen kan blootstellen aan extra risico’s.
In een concept richtsnoer doet het daarom aanbevelingen aan de verwerkingsverantwoordelijken over de voorwaarden waaronder zij hun gebruikers rechtmatig kunnen verplichten om een account aan te maken.
Verplicht account slecht beperkt toegestaan
Dat klinkt als een net en vriendelijk gebaar, echter na analyse van verschillende gebruikssituaties heeft EDPB vastgesteld dat het opleggen van de verplichting om een online gebruikersaccount aan te maken alleen gerechtvaardigd kan zijn voor een zeer beperkt – zij het niet uitputtend – aantal doeleinden, zoals het aanbieden van een abonnementsdienst of het verlenen van toegang tot exclusieve aanbiedingen.
Gast account
In verschillende andere gebruikssituaties die in de aanbevelingen expliciet benoemd worden voldoet het verplichten van het aanmaken van een account op e-commerce websites echter niet aan de voorwaarden voor rechtmatige verwerking. In al die gevallen moet een e-commerce partij de mogelijkheid bieden als “gast” te bestellen.
Toezicht in de lidstaten
Tot donderdag kon iedereen in de EEA reageren op de conceptversie. Vanaf vandaag gaat men aan de slag om daar een definitieve versie van te maken. Wat er daarna gebeurt, kan de lezer wel raden. De nationale toezichthouders kunnen zwaaiend met dat document op een vriendelijke, edoch dwingende wijze iedere e-commerce partij verzoeken zijn werkwijze aan te passen.
Dat kan gebeuren op basis van steekproeven, maar ook naar aanleiding van klachten. En voor alle duidelijkheid: ook zakelijke e-commerce websites moeten zich aan de regels houden, want elke ZZP’er en kleine ondernemer is wat dat betreft gelijk aan een consument.
