WhatsApp moet vertegenwoordiger aanwijzen in Nederland

De Rechtbank Den Haag heeft op 22 november 2016 geoordeeld dat WhatsApp op grond van de Wet bescherming persoonsgegevens (Wbp) in Nederland een officiële vertegenwoordiger moet aanwijzen. Deze uitspraak volgt nadat WhatsApp in beroep was gegaan tegen een last onder dwangsom die aan haar was opgelegd door de Autoriteit Persoonsgegevens. Waar draaide deze zaak om en wanneer moet een buiten de EU gevestigd bedrijf een officiële vertegenwoordiger aanwijzen?

Zienswijze Autoriteit Persoonsgegevens

Volgens de Autoriteit Persoonsgegevens (AP) verwerkt WhatsApp persoonsgegevens van zowel gebruikers als zogenaamde non-users. De app verkrijgt toegang tot de contactenlijst van de gebruiker, stuurt alle nummers op deze lijst door naar haar servers in de Verenigde Staten en vergelijkt de nummers met haar user tabel. Op deze user tabel staan de telefoonnummers van alle gebruikers van WhatsApp. De nummers van non-users worden door WhatsApp vervolgens versleuteld opgeslagen.

De toezichthouder legde een last onder dwangsom van €10.000 per dag met een maximum van €1 miljoen op aan WhatsApp, omdat deze laatste volgens de AP in strijd handelt met art. 4 lid 3 van de Wbp. Uit dat artikel volgt dat een buiten de EU gevestigde verantwoordelijke (Whatsapp) een vertegenwoordiger in Nederland moet aanstellen, indien zij gebruikmaakt van ‘al dan niet geautomatiseerde middelen die zich in Nederland bevinden’. Zo is het bijvoorbeeld voor betrokkenen mogelijk om hun rechten uit te oefenen jegens de verantwoordelijke. WhatsApp stapte naar aanleiding van de sanctie van de privacywaakhond naar de bestuursrechter. Daar voerde zij onder meer aan dat WhatsApp de persoonsgegevens niet in de EU verwerkt, maar slechts doorvoert naar de Verenigde Staten.

Oordeel bestuursrechter

De rechtbank volgt echter de toezichthouder door te overwegen dat WhatsApp persoonsgegevens van Nederlandse gebruikers verwerkt en niet slechts doorvoert naar de VS. Volgens de rechtbank verzamelt WhatsApp de telefoonnummers namelijk op Nederlandse telefoons en stuurt zij deze door naar de Verenigde Staten, alwaar zij de nummers vergelijkt met haar user tabel. Het verzamelen en doorsturen vindt derhalve plaats door middel van ‘geautomatiseerde middelen die zich in Nederland bevinden’, namelijk de smartphones van de Nederlandse gebruikers. Nu WhatsApp de persoonsgegevens niet uitsluitend doorvoert naar de VS, dient zij in Nederland een officiële vertegenwoordiger aan te wijzen. De bestuursrechter ging eveneens niet mee in het verweer van WhatsApp dat ingevolge de aankomende Algemene Verordening Gegevensbescherming, die vanaf 25 mei 2018 van toepassing is, een buiten de EU gevestigde onderneming één vertegenwoordiger voor de gehele unie mag aanwijzen. WhatsApp heeft op dit moment namelijk in geen enkele lidstaat van de EU een vertegenwoordiger aangewezen.

Het besluit van de Autoriteit Persoonsgegevens met de last onder dwangsom blijft staan. Het is nog onduidelijk of WhatsApp in hoger beroep gaat. Voor nu lijkt het er in ieder geval op dat WhatsApp en andere buiten de EU gevestigde organisaties die onder de reikwijdte van de Wbp vallen zo spoedig mogelijk officiële vertegenwoordigers aan moeten wijzen. In elk geval als zij nog geen officiële vertegenwoordiger in de EU hebben aangewezen.

Wilt u meer weten over het aanwijzen van een officiële vertegenwoordiger of over de aankomende Algemene verordening gegevensbescherming? Neem dan gerust contact met ons op!