Google riskeert dwangsom bij niet verkrijgen toestemming voor gegevensverwerking vóór eind december 2015

Eind 2014 heeft het College Bescherming Persoonsgegevens (CBP) Google een last onder dwangsom opgelegd met een maximum van 15 miljoen euro vanwege het schenden van de Wet bescherming persoonsgegevens (Wbp). Zie hierover ons eerdere artikel. In een persbericht van 9 juli 2015 bericht het CBP dat Google naar aanleiding van de last onder dwangsom haar privacybeleid heeft aangepast, maar nog niet alle overtredingen heeft beëindigd.  

Het CBP heeft de last onder dwangsom opgelegd omdat Google onder andere persoonsgegevens van gebruikers combineert voor het tonen van gepersonaliseerde advertenties. Dit deed Google zonder wettelijke grondslag en zonder haar gebruikers hierover te informeren. Het CBP heeft in de last onder dwangsom een aantal eisen aan Google gesteld om deze overtreding van de privacyregelgeving te beëindigen.

Door het aanpassen van de informatie in haar privacybeleid en door te vermelden dat YouTube een Google dienst is, heeft Google inmiddels een aantal maatregelen getroffen om te voorkomen dat zij dwangsommen verbeurt. Ook vraagt Google nieuwe gebruikers die een Google-account aanmaken om toestemming voor het combineren van hun persoonsgegevens.

Google heeft echter nog niet voldaan aan de eis om ondubbelzinnige toestemming van haar gebruikers te verkrijgen voor de verwerking van hun persoonsgegevens. In het bezwaar dat Google heeft ingesteld tegen het besluit van het CBP om de last onder dwangsom op te leggen, stelt Google onder andere dat de verplichting om ondubbelzinnige toestemming te verkrijgen onevenredig zou zijn gelet op de betrokken belangen. Volgens Google is het niet in alle gevallen mogelijk om vast te stellen of een gebruiker wel of geen toestemming heeft verleend voor de gegevensverwerking. Daarnaast is Google van mening dat de termijn waarbinnen zij de vereiste toestemming zou moeten hebben gekregen, te kort is.

In het besluit op bezwaar heeft het CBP de bezwaren van Google tegen het vereiste van het verkrijgen van toestemming afgewezen, omdat uit de Wbp volgt dat toestemming van de gebruikers alleen een grond voor de verwerking van persoonsgegevens oplevert, indien deze daadwerkelijk is verkregen. Het enkele vragen van toestemming is daarom onvoldoende. Het CBP heeft wel de termijn waarbinnen Google van haar gebruikers toestemming moet hebben verkregen verlengd tot eind december 2015. Indien dit niet gebeurt zal Google dwangsommen verbeuren die kunnen oplopen tot maximaal 5 miljoen euro.