Motivering van het transversale karakter van de schriftelijke vraag: zowel de federale als de gewestelijke overheden hebben belang bij de naleving van de regels van de Europese algemene verordening inzake gegevensbescherming (GDPR) en bij het vermijden dat door het misbruik van deze regels afbreuk wordt gedaan aan het anti-discriminatiebeleid van de verschillende overheden.

Uit een onderzoek van de Noorse Consumentenraad blijkt dat de verschillende populaire apps, waaronder ook datingapps Tinder en Grindr, persoonlijke gegevens met derde partijen delen om individuele consumentenprofielen op te stellen van de gebruikers. Deze zouden volgens de studie niet enkel gebruikt worden om reclame te personaliseren maar ook om te discrimineren, te manipuleren en uit te buiten.

De datingapp Grindr bijvoorbeeld zou volgens het onderzoek GPS-gegevens, het IP-adres, leeftijd en geslacht delen.

In mei 2018 ging de Europese algemene verordening inzake gegevensbescherming (GDPR) van kracht. Toch worden consumenten vandaag dus nog steeds online gevolgd en geprofileerd, en hebben zij geen enkele mogelijkheid om te weten welke entiteiten hun gegevens verwerken en hoe zij deze kunnen tegenhouden.

1) Hoe reageert u op de Noorse onderzoeksresultaten waaruit blijkt dat populaire apps, die ook in België populair zijn, de GDPR-regels schenden – en dit niet enkel voor commerciële doeleinden maar ook mogelijks om te discrimineren, te manipuleren en uit te buiten?

2) Zijn er gelijkaardige onderzoeken gebeurd in België, of zijn er gegevens beschikbaar voor ons land? Indien niet, is verder onderzoek hiertoe aangewezen?

3) Heeft u zicht op de reikwijdte van dit probleem? Zijn er reeds gevallen van schendingen in België gekend?

4) Op welke manier kan u Belgische gebruikers van apps beschermen tegen het illegaal delen van persoonsgegevens van consumenten?

1) De studie van de Noorse Consumentenraad toont aan dat de gebruikers van bepaalde applicaties (apps) geen keuze hebben om de algemene voorwaarde te weigeren, dat die apps invasieve technieken voor gegevensdeling gebruiken, dat de gebruikers om de gezichtsherkenningstechnieken te weigeren een lange procedure moeten volgen en dat dat alles onverenigbaar zou zijn met de GDPR en in het bijzonder met de verplichting van privacy by design.

Ik wil uiteraard dat elke app in overeenstemming met de GDPR is en dat eenieders gegevens worden beschermd. Het is echter veeleer de taak van de Gegevensbeschermingsautoriteit om zich uit te spreken over de vraag of bepaalde apps al dan niet in overeenstemming met de GDPR zijn en de bevoegdheden die haar werden toegekend op grond van de GDPR ten volle te benutten om onderzoeken in te stellen en straffen op te leggen indien nodig.

2) & 3) De Gegevensbeschermingsautoriteit heeft mij meegedeeld dat er thans een gelijkaardige zaak aanhangig is bij de geschillenkamer. De Gegevensbeschermingsautoriteit wijst er eveneens op dat tal van apps worden beheerd door firma’s die hun hoofdvestiging in Ierland hebben en dat op grond van de regels van het een-loketmechanisme die door de GDPR werden ingevoerd de Ierse gegevensbeschermingsautoriteit de leidende toezichthoudende autoriteit is om een onderzoek te voeren naar die firma’s, aangezien de Belgische Gegevensbeschermingsautoriteit enkel tussenkomt indien bij haar een klacht wordt ingediend of indien de Ierse gegevensbeschermingsautoriteit haar vraagt een onderzoek te voeren.

4) De betrokkenen die vinden dat hun recht op bescherming van de gegevens werd geschonden, kunnen kosteloos klacht indienen bij de Gegevensbeschermingsautoriteit per brief of via e-mail.

Overeenkomstig de wet tot oprichting van de Gegevensbeschermingsautoriteit wordt de klacht eerst behandeld door de eerstelijnsdienst die streeft naar bemiddeling met de verwerkingsverantwoordelijke.

Indien geen overeenstemming wordt bereikt, zendt de eerstelijnsdienst de klacht over naar de geschillenkamer die de inspectiedienst kan belasten met het onderzoek naar de verwerkingen van de gegevens die worden uitgevoerd door de verwerkingsverantwoordelijke. Nadat de partijen zijn gehoord, oordeelt de geschillenkamer of er al dan niet sprake is van een misdrijf, alsook over de aard ervan en het eventuele bedrag van de straffen.

Zoals reeds vermeld, kan de Gegevensbeschermingsautoriteit uiteraard eveneens uit eigen beweging onderzoeken instellen teneinde de rechten van de gebruikers van de apps te beschermen.