Online privacy van kinderen schiet tekort

16/04/'21 - De Consumentenbond stelt in een rapport dat de huidige wet- en regelgeving onvoldoende bescherming biedt voor de privacy van kinderen online. Met het rapport doet de Consumentenbond een dringende oproep aan de Autoriteit Persoonsgegevens tot het ondernemen van actie. In deze blog bespreken we waarom de Algemene Verordening Gegevensbescherming (hierna: ‘AVG’) volgens het rapport aanvullende regels behoeft om de gaten dicht te timmeren die de huidige wet- en regelgeving nu lijkt te vertonen. Daarnaast verschaft de blog een aantal maatregelen die organisaties kunnen treffen om tot die tijd zoveel mogelijk de privacy van kinderen te respecteren. 

Uit het onderzoek, uitgevoerd in opdracht van de Consumentenbond, blijkt onder meer dat organisaties persoonsgegevens van kinderen gebruiken om profielen op te stellen om hen vervolgens te benaderen met gepersonaliseerde advertenties, oftewel voor commerciële doeleinden. Dit is in strijd met aanvullende wettelijke bescherming. Ook toonde het rapport aan dat bepaalde organisaties kinderen niet beschermen tegen ongepaste inhoud en dat de gevraagde ouderlijke toestemming in de praktijk makkelijk valt te omzeilen.  

Privacybescherming van kinderen 

De Europese privacywet, de AVG, regelt de privacybescherming van het kind op het internet. Kinderen hebben in principe dezelfde privacyrechten als volwassenen. Maar omdat kinderen zich minder bewust zijn van de risico’s, gevolgen van hun gedrag en minder op de hoogte zijn van hun privacyrechten, krijgen zij vanuit de wet aanvullende bescherming. Daarnaast bepaalt het Verdrag inzake de rechten van het kind dat een kind recht heeft op bescherming van zijn of haar privéleven.  

Online privacy 

Maar hoe waarborgt het internet de privacy van kinderen in de praktijk? Kinderen jonger dan 16 jaar hebben de toestemming van hun ouders of degene met het ouderlijk gezag nodig voordat zij gebruik kunnen maken van een dienst op het internet. Alleen dan kan een organisatie persoonsgegevens van kinderen rechtmatig verwerken. Voor het ontvangen van deze toestemming geldt voor organisaties slechts een wettelijke ‘inspanningsverplichting’ om te verifiëren of de toestemming daadwerkelijk door iemand met het ouderlijk gezag is verstrekt. 

Waar liggen de gebreken?  

Ondanks dat de AVG wel duidelijk is over dat kinderen bescherming dienen te krijgen tegen het opstellen van profielen met hun persoonsgegevens, stelt de wet geen concrete eisen aan de wijze waarop organisaties kinderen deze bescherming dienen te bieden. De bepalingen in de AVG vermelden enkel het verkrijgen van ouderlijke toestemming en het verstrekken van informatie in kindvriendelijke en begrijpelijke taal. Over nadere definities of invulling spreekt de wet niet. 

Ook de European Data Protection Board (hierna: ‘EDPB’) constateert dat de AVG niet bepaalt op welke wijze de organisatie ouderlijke toestemming dient te controleren. Daar voegt de EDPB aan toe dat een organisatie kan volstaan met een controle door het verkrijgen van bijvoorbeeld de contactgegevens van de ouder. Het is voor organisaties echter niet inzichtelijk of daadwerkelijk de ouder toestemming verleent namens het kind. Daarnaast zijn organisaties alleen verplicht om informatie te verstrekken over welke persoonsgegevens zij verzamelen en hoe zij deze verwerken.  

Bovendien kunnen kinderen onder de 16 jaar hun privacyrechten niet zelfstandig uitoefenen, maar kunnen zij enkel via een ouder bijvoorbeeld een inzageverzoek indienen, of hun gegevens laten wissen. Dit beperkt de mogelijkheid voor kinderen om zelf enige inspraak te hebben in de wijze waarop zij hun persoonsgegevens bij de betreffende organisatie beheren. 

Kinderen hebben recht op (betere) online privacy 

De oproep van de Consumentenbond is helder: de specifieke wettelijke bescherming van kinderen op het internet tegen het gebruik en misbruik van persoonsgegevens vereist aanscherping en aanvulling. Kinderen hebben, net als volwassenen, het recht op toereikende bescherming online. En zoals de wet het nu voorschrijft, zelfs aanvullende bescherming.  

Gelet op het feit dat kinderen een kwetsbare groep vormen, dient een organisatie aanvullende maatregelen te treffen bij de verwerking van persoonsgegevens van kinderen onder de 16 jaar om hun online privacy te waarborgen. Voorbeelden hiervan kunnen zijn het hanteren van multimedia om het privacybeleid zo kindvriendelijk mogelijk over te brengen of het beschikbaar stellen van een privacy hulplijn aan kinderen en ouders waar zij met al hun vragen terecht kunnen. Ook het verrichten van een zogenaamde ‘Data Protection Impact Assessment’, kortweg ‘DPIA’, op de verwerkingen waar de persoonsgegevens van kinderen bij betrokken zijn kan ondersteunen om de risico’s inzichtelijk te maken en risicobeperkende maatregelen vast te stellen.