2022
Sanctie voor massale verwerking van Twitter-gegevens in verband met de affaire Benalla voor politieke profilering
De GBA heeft vandaag een boete opgelegd aan een ngo die strijd voert tegen desinformatie (2.700 EUR) en aan een van haar onderzoekers (1.200 EUR) wegens inbreuken op de AVG die zijn gepleegd in het kader van een onderzoek naar de politieke oorsprong van tweets in verband met de "affaire Benalla". De sancties hebben niet alleen betrekking op de politieke profilering van de auteurs van de geanalyseerde tweets, maar ook op de publicatie van verschillende bestanden die de ruwe, soms gevoelige gegevens van het onderzoek bevatten.
Een beslissing genomen in samenwerking met de CNIL
In 2018 publiceert de ngo een analyse om de mogelijke politieke oorsprong vast te stellen van tweets die circuleren over een bijzondere levendige polemiek in Frankrijk, "de affaire Benalla". Het gaat om onthullingen in de krant Le Monde over usurpatie van de functie van politieambtenaar door een naaste medewerker van de President van de Franse Republiek.
De Gegevensbeschermingsautoriteit (GBA) en haar Franse tegenhanger, de CNIL, hebben toen in totaal meer dan 200 klachten ontvangen over:
- enerzijds het hergebruik van persoonsgegevens van 55.000 Twitter-accounts om de studie uit te voeren (waarbij meer dan 3.300 accounts politiek waren geclassificeerd);
- anderzijds de online publicatie van bestanden met de ruwe gegevens van de studie.
De AVG (Algemene Verordening Gegevensbescherming) bepaalt dat de autoriteit van het land waar de organisatie is gevestigd, verantwoordelijk voor het dossier is. De GBA heeft daarom haar beslissing als leidende autoriteit opgesteld, in samenwerking met de CNIL, de enige zogenaamde "betrokken" autoriteit in deze zaak.
Hergebruik van gegevens die beschikbaar zijn op een sociaal netwerk
Het feit dat persoonsgegevens openbaar beschikbaar zijn op sociale netwerken betekent niet dat zij de bescherming van de AVG verliezen.
De GBA is van mening dat de ngo vrijgesteld was van haar verplichting om de personen individueel in te lichten over de voor de studie verwerkte persoonsgegevens, omdat dit de studie en de publicatie ervan achteraf in gevaar had kunnen brengen, maar vindt daarentegen dat de publicatie van gevoelige gegevens die voor de studie zijn gebruikt en niet naar behoren gepseudonymiseerd waren, geen rechtsgrond had wegens de onevenredige schending van de rechten van de auteurs van de betrokken tweets. Hun toestemming was ook vereist voor de publicatie van dergelijke niet-gepseudonymiseerde gevoelige gegevens.
Studie om de politieke oorsprong van "tweets" te profileren
De voor de studie verantwoordelijke personen voerden aan dat de studie een journalistiek karakter had.
Voor de GBA maakte de zogenaamde journalistieke uitzondering het voor de ngo mogelijk om als verwerkingsverantwoordelijke, werkend in de journalistieke sfeer, de studie uit te voeren om die te publiceren en deel te nemen aan het publiek debat over de affaire-Benalla, zonder vooraf individueel alle in artikel 14 van de AVG bedoelde informatie te verstrekken.
Publicaties van ruwe gegevens uit Twitter-accounts
In het kader van de betwisting van de integriteit van hun werk, hebben de onderzoeker die de studie heeft uitgevoerd en de ngo, bestanden met ruwe gegevens online beschikbaar gesteld, zonder minimale beveiligingsmaatregelen te treffen zoals bijvoorbeeld het pseudonimiseren van de gegevens of het beperken van de toegang tot de bestanden.
Hoewel er ongetwijfeld geen kwade bedoelingen waren, heeft deze publicatie ervoor gezorgd dat de betrokkenen het risico liepen gediscrimineerd of in diskrediet te worden gebracht door de niet-geanonimiseerde politieke profilering. De bestanden bevatten bovendien ook informatie over de religieuze overtuiging, de ethnische afkomst en de seksuele gerichtheid van de personen van wie de accounts waren geanalyseerd.
De verwerkingsverantwoordelijken zijn dus verschillende verplichtingen uit hoofde van de AVG niet nagekomen, zoals de rechtmatigheid van de verwerking, transparantie ten aanzien van de betrokkenen en gegevensbeveiliging. De afweging geval per geval tussen het recht op journalistieke vrijheid van meningsuiting (bijdrage aan een debat van algemeen belang) en het recht op gegevensbescherming (impact van de publicatie) was bovendien niet mogelijk gezien het zeer grote aantal betrokken Twitter-accounts (55.000).
De sancties
De GBA heeft dan ook besloten de ngo een boete van 2.700 EUR en de onderzoeker een boete van 1.200 EUR op te leggen, en een berisping uit te spreken. De beslissing houdt rekening met het feit dat de respectieve verweerders een kleine niet-gouvernementele organisatie zonder winstoogmerk en een natuurlijke persoon zijn.
Hielke Hijmans, voorzitter van de Geschillenkamer: "De regels inzake de bescherming van persoonsgegevens zijn ingevoerd om mensen te beschermen. De naleving ervan is dus van essentieel belang in de context van het op grote schaal verzamelen van gegevens voor politieke profilering, en van de publicatie ervan, die nadelige gevolgen kan hebben voor individuen. Wij vinden het uiteraard legitiem om te willen bijdragen tot het openbaar debat over de verspreiding van (des)informatie, maar het was mogelijk geweest, en zelfs noodzakelijk, om dat te doen op een manier die minder inbreuk maakte op de privacy van mensen."
David Stevens, voorzitter van de GBA: " In deze beslissing bevestigt onze Geschillenkamer andermaal dat ook publieke beschikbare gegevens onder de bescherming van de AVG vallen (en dus ons toezicht). Het is dus niet omdat je iets publiek hebt gedeeld, dat je zomaar elk later hergebruik moet aanvaarden.”