AVG voor niet-EU-organisaties

Op het eerste gezicht lijkt dat een goede zaak: met een vertegenwoordiger kunnen EU-burgers makkelijker een organisatie buiten de EU aanspreken (die hun gegevens verwerkt) en daarmee hun rechten onder de AVG tegenover deze organisatie uitoefenen. Voordat deze verplichting bestaat, moet de AVG natuurlijk wel van toepassing zijn. Organisaties buiten de EU kunnen ook onder de AVG vallen op basis van art. 3 lid 2 AVG. De AP motiveert die vraag in het boetebesluit erg summier. Dat roept de vraag op of bijna ieder bedrijf buiten de EU onder de AVG valt. En als dat het geval is, wat is de beoordelingsvrijheid is van de AP daarbij?

Boetebesluit Locatedfamily.com

LocateFamily biedt een platform via haar website aan voor iedereen die op zoek is naar bekenden die zij uit het oog zijn verloren. Zij publiceert contactgegevens van personen, zoals NAW-gegevens, naam, adres, woonplaats en soms ook een telefoonnummer op haar platform. De website is zowel binnen als buiten de EU gratis toegankelijk voor het publiek en men hoeft geen lid te worden of een account aan te maken. Het publiek is er over het algemeen niet van op de hoogte dat hun gegevens hier beschikbaar worden gesteld door LocateFamily.²

De AP ontving vanaf 28 mei 2018 tot 25 juli 2019 19 klachten uit Nederland over LocateFamily, vanwege het niet (adequaat) reageren op verwijderverzoeken van Nederlanders met betrekking tot persoonsgegevens en het ontbreken van een vertegenwoordiger in de EU. Ook andere Europese toezichthouders hebben klachten ontvangen over de website van hun ingezetenen.

Op vragen van de AP antwoordde LocateFamily dat zij niet is gevestigd in de EU en geen vertegenwoordiger heeft aangesteld, omdat zij geen zakelijke relaties in de EU heeft en daar ook geen goederen of diensten aanbiedt.

Op basis van het technisch onderzoek van de AP, waaruit bleek dat de webhost van de website zich in Canada bevond, vermoedt de AP dat LocateFamiliy daar gevestigd is. De AP is daarop een internationale samenwerking met Enforcement subgroup van European Data Protection Board (hierna: EDPB) aangegaan en heeft contact gehad met de Office of the Privacy Commissioner van Canada (de Canadese privacy toezichthouder). Intussen heeft LocateFamily het verzoek tot het verwijderen van persoonsgegevens deels gehonoreerd voor een aantal landen (Ierland, Frankrijk en Nederland), maar nog steeds geen vertegenwoordiger aangesteld.

Toen LocateFamily niet reageerde op het voornemen op handhaving, heeft de AP haar de boete opgelegd van 525.000 euro, vanwege het ontbreken van een vertegenwoordiger in de EU van 25 mei 2018 t/m 10 december 2020. Daarnaast legt zij een dwangsom op: als niet binnen 12 weken na dagtekening een vertegenwoordiger aanstelt, dient zij 20.000 euro voor iedere 2 weken tot een max van 120.000 euro te betalen.

AVG van toepassing op organisaties buiten de EU

Volgens de AP verwerkt LocateFamily persoonsgegevens onder de AVG. Is de AVG hier van toepassing?

Territoriaal toepassingsgebied AVG

In beginsel is de AVG alleen geldig in de Europese Unie. Doordat gegevensverwerkingen vaak internationaal plaatsvinden, kan de AVG ook van toepassing zijn als de verwerkingsverantwoordelijke of verwerker buiten de Europese Unie is gevestigd, maar zich richt op betrokkenen in de EU.³

Op grond van art. 3 lid 2 AVG is dit het geval als deze: a) goederen en diensten aanbiedt aan betrokkenen in de EU, ongeacht of hiervoor betaald moet worden of b) wanneer het gedrag van betrokkenen wordt gemonitord, voor zover dit in de EU plaatsvindt). Dit laatste is bijvoorbeeld het geval als mensen op het internet worden gevolgd door het opstellen van profielen.⁴

Deze vaststelling wordt door de EDPB ook wel de twee-staps-toets genoemd: eerst moet er gekeken worden of er sprake is van ‘gerichtheid’: de verwerking van persoonsgegevens moet zich richten op betrokkenen in de EU.⁵ Daarna moet er geoordeeld worden of er sprake is van het aanbieden van goederen of diensten of het monitoren van betrokkenen.

Aanbieden van goederen en of diensten aan betrokkenen in de EU

Van het aanbieden van goederen aan betrokkenen in de EU is sprake als de verwerkingsverantwoordelijke of verwerker ‘klaarblijkelijk voornemens is geweest’ dit te doen. Daarvoor worden volgens de AVG ⁶ de volgende indicatoren genoemd: de toegankelijkheid van een website in de EU, de taal waarin gecommuniceerd wordt met de betrokkene, het hanteren van de euro als valuta in transacties en het vermelden van klanten in de EU. Dat de website van een verwerkingsverantwoordelijke toegankelijk is voor betrokkenen uit de EU of een taal die in het algemeen gebruikt wordt, is op zichzelf niet voldoende om dat voornemen vast te stellen.

Volgens het EDPB zijn bovenstaande elementen in overeenstemming met de jurisprudentie van het Hof van Justitie van de EU ⁷ bij het bepalen welke rechter bevoegd is in de EU bij consumentenzaken.⁸ Om te bepalen of een ondernemer zijn commerciële activiteiten richt op een lidstaat waar de consument woont, moet deze hebben geuit dat hij commerciële betrekkingen wil aanknopen met deze consumenten. Daarnaast destilleert het EDPB nog negen andere omstandigheden, waaronder het noemen van ten minste één lidstaat van de EU, het betalen van een zoekmachine om EU-burgers makkelijke toegang te verlenen tot de website, het opstellen van marketing- en reclamecampagnes gericht tot een lidstaat of het gebruik van een andere taal of munteenheid dan die uit het land van de ondernemer. Met alle opgesomde factoren dient rekening te worden gehouden. Daarnaast moet het gaan om activiteiten die bewust – dus niet onbedoeld of incidenteel – zijn gericht op personen in de EU.⁹

Onderbouwing AP

De AP oordeelt  dat LocateFamiliy persoonsgegevens verwerkt,⁹ omdat  Locatefamily haar diensten heeft aangeboden zowel in Nederland als in acht andere EU-landen en omdat er bij meerdere EU-toezichthouders klachten zijn binnengekomen.”¹⁰

Omdat LocateFamily zelf aangeeft niet in de EU gevestigd te zijn én dat geen goederen of diensten aan te bieden aan burgers in de EU, is de vraag of de summiere onderbouwing van de AP die hierboven voldoende is om dit verweer te weerleggen.

Makkelijk

De AP neemt in dit geval vrij gemakkelijk aan dat diensten worden aangeboden in de EU en dat daarmee de AVG van toepassing is. Het simpele feit dat een EU burger ‘bij’ een buitenlandse website kan betekent niet dat de AVG van toepassing is, evenals het feit dat de AP klachten van Nederlandse burgers krijgt. Het had meer richtlijnen voor de praktijk gegeven  de AP in haar boetebesluit meer was ingegaan op wanneer de AVG van toepassing is op het leveren van gratis diensten door een organisatie buiten de EU. Zeker  als de betrokken onderneming zelf stelt dat zij dat niet doet. Niet iedere organisatie buiten de EU valt onder de AVG. Het zou ondernemers meer richtlijnen geven met een sterkere onderbouwing, wanneer een gratis dienst die aangeboden wordt buiten de EU, valt onder de reikwijdte van de AVG.