Op 2 september 2021 heeft WhatsApp Ireland Ltc (“Whatsapp”) een boete van €225 miljoen opgelegd gekregen van de Ierse privacytoezichthouder, de Data Protection Commission (“DPC”), wegens het niet voldoen aan de transparantieverplichtingen uit de Algemene Verordening Gegevensbescherming (“AVG”). Deze boete werd door de DPC opgelegd na een grensoverschrijdend onderzoek naar Whatsapp dat onder haar leiding met diverse andere Europese privacytoezichthouders werd uitgevoerd. Toen deze Europese toezichthouders het aanvankelijk onderling niet eens konden worden over een te nemen besluit, moest een beoordeling door het Europees Comité voor gegevensbescherming (“EDPB”) uitkomst bieden. Met inachtneming van het bindende besluit van de EDPB dat volgde, kwam de DPC uiteindelijk tot het opleggen van deze astronomische boete.
Grensoverschrijdend onderzoek
Al in 2018 werd een onderzoek naar naleving van de privacywetgeving in Europa door Whatsapp gestart. Dit onderzoek werd uitgevoerd onder leiding van de DPC, omdat Whatsapp haar hoofdvestiging in Ierland heeft. Aanvankelijk resulteerden de bevindingen van de DPC in een ontwerpbesluit waarin de DPC een boete voorstelde tussen de €30 en €50 miljoen. De AVG kent een zogenaamd samenwerkings- en consistentiemechanisme bij grensoverschrijdende onderzoeken, op grond waarvan andere betrokken Europese toezichthouders in het onderzoek naar Whatsapp werden betrokken en om hun reactie op een ontwerpbesluit werden gevraagd. Acht van deze betrokken Europese privacytoezichthouders bleken bezwaren te hebben tegen het door de DPC voorgestelde besluit. Toen binnen het samenwerkingsmechanisme door de betrokken toezichthouders geen consensus kon worden bereikt over een te nemen besluit, werd de zaak uiteindelijk doorverwezen naar de EDPB voor een bindend besluit. Een dergelijke doorverwijzing heeft onder de AVG tot gevolg dat een officiële geschillenbeslechtingsprocedure wordt gestart, waarin de EDPB aan de leidende toezichthouder een bindend oordeel geeft over het te nemen besluit. In deze kwestie heeft de EDPB de DPC op 28 juli 2021 opgedragen haar voorgestelde besluit te verduidelijken en de voorgestelde boete opnieuw te beoordelen (meer specifiek: te verhogen), met in achtneming van verschillende genoemde elementen in het besluit van de EDBP.
Boetebesluit
De DPC bleef in het uiteindelijke boetebesluit van 2 september 2021 bij het oordeel dat WhatsApp in overtreding is, omdat ze data op een onrechtmatige wijze deelt met andere ondernemingen binnen het Facebook-concern. Daarnaast werd geoordeeld dat WhatsApp onvoldoende duidelijk is geweest in de informatieverstrekking en de transparantie van die informatie over hoe data wordt verwerkt ten aanzien van zowel gebruikers als niet-gebruikers van de dienst van WhatsApp. Het verwijt betreft meer concreet onder andere contactgegevens van niet-gebruikers, die door WhatsApp werden verzameld via toegang tot de adresboeken van WhatsApp-gebruikers, waarbij Whatsapp als verwerkingsverantwoordelijke handelde.
Opgelegde sancties
De boete die Whatsapp werd opgelegd is de hoogste AVG-boete die ooit door de DPC is opgelegd en tevens de op één na hoogste boete die ooit door enige Europese privacytoezichthouder is opgelegd. Het boetebedrag van €225 miljoen kan als volgt worden opgesplitst:
- €90 miljoen voor het schenden van het transparantiebeginsel (artikel 5(1)(a) AVG);
- €30 miljoen wegens niet-naleving van de AVG-verplichtingen om betrokkenen te informeren (artikel 12 AVG);
- €30 miljoen voor het schenden van de transparantieverplichtingen betreffende persoonsgegevens die rechtstreeks bij de betrokkenen worden verzameld (artikel 13 AVG);
- €75 miljoen voor het schenden van de transparantieverplichtingen betreffende persoonsgegevens die niet van betrokkenen zijn verkregen (artikel 14 AVG).
Naast de oplegging van een administratieve boete heeft WhatsApp een berisping opgelegd gekregen. Ook kreeg WhatsApp een officieel bevel opgelegd, om haar verwerkingsactiviteiten in overeenstemming te brengen met de voorschriften. Onder Nederlands recht kan dit worden vergeleken met een bestuurlijke last.
WhatsApp heeft aangekondigd tegen dit besluit in beroep te gaan.
