LinkedIn krijgt boete van €310 miljoen: 3 belangrijke AVG-lessen voor organisaties
Op 24 oktober 2024 publiceerde de Ierse gegevensbeschermingsautoriteit, de Data Protection Commission (DPC), haar besluit om LinkedIn een boete van €310 miljoen op te leggen wegens meerdere overtredingen van de AVG. De overtredingen hielden verband met de verwerking van persoonsgegevens voor gedragsanalyse en gerichte advertenties.
Maar wat zijn de belangrijkste lessen uit deze beslissing voor organisaties die niet actief zijn als groot socialmediaplatform?
De AVG-overtredingen: een overzicht
De DPC concludeerde dat LinkedIn de artikelen 5, 6, 13 en 14 van de AVG had overtreden.
Artikel 5, lid 1, onder a – beginsel van behoorlijkheid
Dit beginsel is van toepassing op alle verwerkingen van persoonsgegevens onder de AVG en omvat behoorlijkheid, rechtmatigheid en transparantie. Wanneer niet wordt voldaan aan de eisen van rechtmatigheid en transparantie, kan ook niet worden gesproken van een behoorlijke verwerking.
Artikel 6, lid 1 – rechtmatigheid van de verwerking
Volgens de DPC beschikte LinkedIn niet over een geldige rechtsgrond voor de betreffende verwerkingen. LinkedIn had geprobeerd de volgende rechtsgronden te gebruiken:
Toestemming (artikel 6, lid 1, onder a): de toestemming werd onvoldoende geacht, omdat deze niet vrijelijk was gegeven, niet voldoende geïnformeerd of specifiek was en evenmin ondubbelzinnig kon worden beschouwd.
Gerechtvaardigd belang (artikel 6, lid 1, onder f): deze rechtsgrond werd onvoldoende geacht, omdat de rechten en vrijheden van de betrokkenen zwaarder wogen dan de belangen van LinkedIn.
Noodzakelijk voor de uitvoering van een overeenkomst (artikel 6, lid 1, onder b): de exacte motivering waarom deze rechtsgrond onvoldoende werd geacht, is niet gepubliceerd. Het ligt echter niet voor de hand dat gedragsmonitoring en gerichte advertenties noodzakelijk zijn voor de uitvoering van de overeenkomst met LinkedIn-gebruikers. In combinatie met het gebrek aan transparantie is begrijpelijk waarom de DPC ook deze rechtsgrond ontoereikend achtte.
Artikelen 13 en 14 – transparantie
LinkedIn had betrokkenen niet correct geïnformeerd over de rechtsgronden waarop de betreffende verwerkingen waren gebaseerd.
3 belangrijke lessen uit de LinkedIn-boete
Voor veel organisaties lijken boetes die voortkomen uit complexe gegevensverwerkingen door grote socialmediabedrijven wellicht weinig relevant. Toch bevat deze zaak enkele belangrijke lessen die breder toepasbaar zijn.
1. Bepaal een duidelijke rechtsgrond voor iedere verwerking
Organisaties moeten zorgvuldig vaststellen op welke rechtsgrond een verwerking is gebaseerd en erop toezien dat aan alle voorwaarden voor die rechtsgrond wordt voldaan.
Het is belangrijk om niet pas achteraf te zoeken naar een passende juridische grondslag, maar deze al bij het ontwerpen van de verwerking vast te stellen en te documenteren.
2. Vertrouw niet te snel op gerechtvaardigd belang
Organisaties moeten voorkomen dat een onduidelijke verwerking automatisch wordt gebaseerd op het gerechtvaardigd belang.
Wanneer persoonsgegevens op deze rechtsgrond worden verwerkt, is het belangrijk om een Legitimate Interest Assessment (LIA) uit te voeren. Daarbij moet worden beoordeeld of er daadwerkelijk sprake is van een gerechtvaardigd belang, of de verwerking noodzakelijk is om dat belang te realiseren en of de belangen, rechten en vrijheden van betrokkenen niet zwaarder wegen.
Een LIA helpt organisaties om deze afweging gestructureerd te maken en te documenteren.
3. Pas privacy by design en privacy by default toe bij nieuwe processen
Bij het ontwikkelen van nieuwe operationele processen moeten organisaties vanaf het begin rekening houden met de privacygevolgen van nieuwe gegevensverwerkingen. Dit sluit aan bij het beginsel van privacy by design en privacy by default.
Door privacyaspecten al in een vroeg stadium mee te nemen, kunnen organisaties onder meer tijdig bepalen welke rechtsgrond van toepassing is, welke persoonsgegevens daadwerkelijk noodzakelijk zijn en welke technische en organisatorische maatregelen nodig zijn.
Daarnaast moet de relevante privacyverklaring worden aangepast wanneer nieuwe verwerkingen worden geïntroduceerd.
Conclusie
De boete voor LinkedIn laat zien dat het kiezen van een rechtsgrond meer vereist dan alleen het aanwijzen van een artikel uit de AVG. Organisaties moeten kunnen aantonen waarom een bepaalde rechtsgrond passend is, aan welke voorwaarden wordt voldaan en hoe betrokkenen hierover transparant worden geïnformeerd.
Door rechtsgronden vroegtijdig te beoordelen, gerechtvaardigd belang zorgvuldig te onderbouwen en privacy by design en privacy by default toe te passen, kunnen organisaties veel van deze risico’s beperken.
