Verplichtingen voor het inzetten van sociale media

03/07/2024 – Sociale media helpen organisaties om hun diensten of producten onder de aandacht te brengen bij hun doelgroep. De inzet van sociale media brengt echter verschillende risico’s voor betrokkenen met zich mee. Gebruikt uw organisatie ook sociale media voor marketing- of communicatiedoeleinden? In deze blog worden de verplichtingen hiervoor uiteengezet. 

Privacy implicaties  

Hoewel u sociale media kunt gebruiken voor uw eigen doeleinden, hebben de platforms ook eigen belangen bij het verwerken van persoonsgegevens. Zij gebruiken persoonsgegevens bijvoorbeeld om producten en diensten van het platform af te stemmen op de voorkeuren van hun gebruikers. Sociale media platforms doen dit door verbanden te leggen tussen persoonsgegevens. In sommige gevallen kan dit leiden tot de verwerking van gevoelige, of zelfs bijzondere persoonsgegevens. Doordat het vaak niet duidelijk is wat het platform precies met de persoonsgegevens van uw doelgroep of personeel doet, ontstaat het risico dat uw organisatie grip verliest op deze persoonsgegevens. Grip op persoonsgegevens is van belang om te kunnen voldoen aan de verplichtingen die volgen uit de Algemene Verordening Gegevensbescherming ('AVG'). Bijvoorbeeld bij het beantwoorden van verzoeken van betrokkenen. 

Verplichtingen en vereisten 

Aangezien het inzetten van sociale media voor marketingdoeleinden risico’s met zich meebrengt, gelden er op grond van de AVG verschillende verplichtingen en vereisten voor het gebruik daarvan. Deze verplichtingen zijn recent specifiek onderstreept door de Autoriteit Persoonsgegevens (‘AP’) in een advies over de inzet van sociale media door een onderwijsinstelling. Eerder adviseerde de AP al over het gebruik van sociale media door de overheid. Hieruit volgen onder meer de volgende verplichtingen voor organisaties:  

Grondslag  
Voor elke verwerking van persoonsgegevens is het vereist om een grondslag te hebben. Als organisatie moet u zelf beoordelen welke grondslag u heeft voor het verwerken van persoonsgegevens. Hierbij moet onderscheid worden gemaakt tussen de verschillende soorten gegevensverwerkingen. Als u bijvoorbeeld content maakt met foto’s en video’s van personen, kunt u kiezen om toestemming aan deze personen te vragen als grondslag voor het plaatsen van de content. Als u de persoonsgegevens van uw doelgroep verwerkt nadat de content op het platform is geplaatst, kan gerechtvaardigd belang een passende grondslag zijn. Zorg ervoor dat u hier van tevoren goed over heeft nagedacht, zodat u de vereiste toestemming kunt vragen of gerechtvaardigd belang toets kunt uitvoeren en documenteren.  

(Gezamenlijke) verwerkingsverantwoordelijkheid 
Het moet duidelijk zijn welke partij verantwoordelijk is voor de naleving van de AVG. Hierbij is het mogelijk dat uw organisatie en het sociale media platform in verschillende stadia en in verschillende mate betrokken zijn bij de gegevensverwerking. Het is daarom nodig om per concreet geval te beoordelen wie verantwoordelijk is voor welk deel van de gegevensverwerking. Het kan daarom vereist zijn om afspraken te maken met het sociale media platform in de vorm van een onderlinge regeling.  

Na het uploaden van content op een sociale media platform heeft het platform vaak zelf ook belangen bij de verwerking. De gegevens worden vaak door het platform voor andere doeleinden verwerkt dan die van belang zijn voor uw organisatie. Ook daarom is het zaak om goede afspraken te maken over waar de verantwoordelijkheid van de ene partij overgaat op die van de andere partij en voor welk deel de partijen eventueel gezamenlijk verantwoordelijk zijn. Het uitvoeren van een Data Protection Impact Assessment (‘DPIA’) kan helpen om dit in kaart te brengen. 

Transparantie 
Als verwerkingsverantwoordelijke is uw organisatie verplicht om de betrokkene(n) te informeren over de gegevensverwerking. Hiervoor is het nodig om goed inzicht te hebben in welke verwerkingen er precies plaatsvinden. Dat geldt ook voor de verwerkingen die worden uitgevoerd door het sociale media platform; met name wanneer u als gezamenlijke verwerkingsverantwoordelijken kwalificeert voor de verwerking. Meestal wordt er geïnformeerd in de vorm van een privacyverklaring. Het is echter de vraag of informeren op uw eigen website voldoende is om aan het transparantiebeginsel te voldoen, nu de verwerking plaatsvindt op het platform.   

Onder sociale media gebruikers vallen ook kinderen. Het verwerken van persoonsgegevens van kinderen vereist aanvullende bescherming, omdat kinderen zich in de regel minder bewust zijn van risico’s en gevolgen van het delen van persoonsgegevens. Betreft transparantie brengt dit de verplichting mee dat informatie over de gegevensverwerking gemakkelijk toegankelijk en in duidelijke en eenvoudige taal beschikbaar moet worden gesteld.  

Doorgifte 
Sociale media platforms zijn vaak gevestigd buiten de Europese Economische Ruimte (‘EER’). Hierdoor is het mogelijk dat persoonsgegevens van uw doelgroep en personeel worden doorgegeven aan een zogenaamd derde land. U moet als organisatie nagaan of u een rechtsgeldig doorgiftemechanisme heeft om de persoonsgegevens door te geven naar het betreffende sociale media platform, indien deze is gevestigd buiten de EER. Het kan in dit verband nodig zijn om aanvullende maatregelen te treffen, zoals het sluiten van Standard Contract Clauses en/of het uitvoeren van een Data Transfer Impact Assessment (‘DTIA’). 

Bewaartermijnen 
Uit de AVG volgt een opslagbeperking. Dit houdt in dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk is. Vaak heeft een organisatie geen inzicht in hoelang persoonsgegevens worden bewaard door een sociale media platform. De AP adviseert in dat geval om de bewaartermijnen en naleving daarvan contractueel met het sociale media platform vast te leggen en te controleren op de naleving hiervan. 

Conclusie 

Samengevat is het met name van belang dat duidelijke afspraken worden gemaakt met een sociale media platform over wat er met de gegevens van uw doelgroep en personeel gebeurt. In de praktijk kan het echter lastig zijn om met grote sociale media platforms afspraken te maken, vooral als u een kleine organisatie bent. Afhankelijk van de omstandigheden van het geval kan het beter zijn om het sociale media platform niet te gebruiken. Heeft u hulp nodig bij het beoordelen of u een sociale media platform kan inzetten of het naleven van de verplichtingen uit de AVG? Neem dan gerust contact op met Considerati.