Drie onderscheiden Facebook aanbevelingen van Privacycommissie

Privacycommissie 13 mei 0215, IEFbe 1411 ; aanbeveling 04/2015 (Facebook, gebruikers en social plug ins)
Persbericht. In het bijzonder wil de Commissie waken over de bescherming van de burger, de betrokkene. Zij richt zich tot de verantwoordelijken voor de verwerking, de uitvoerders of verwerkers, de aanbieders van diensten en producten en de betrokkenen zelf. Daarom is deze aanbeveling gericht en uitgesplitst in drie onderscheiden aanbevelingen naar verschillende bestemmelingen:
1. De Facebook groep zelf;
2. De gebruikers van internet in het algemeen, zowel de niet-gebruikers van Facebook als de gebruikers;
3. Diegenen die op de een of andere wijze diensten of producten van Facebook gebruiken en aanbieden op webpagina's, onder meer de plug-ins

Deze eerste aanbeveling gaat in op de voor de hand liggende problematieken. Ten overstaan van Facebook focust zij op de preliminaire kwesties zoals het toepasselijke recht en de bevoegde jurisdictie, op de medewerkingsplicht bestaande uit het al dan niet effectief beantwoorden van de vragen van de Commissie en de eerste bevindingen betreffende de tracking door onder meer social plug-ins en cookies. (...) De Commissie voor de bescherming van de persoonlijke levenssfeer, op grond van de haar verleende bevoegdheid, opdracht en het Belgische en EU recht, veveelt aan :
Aan Facebook:

• Facebook moet volledige transparantie bieden over het gebruik van cookies. Facebook dient voor elke cookie afzonderlijk de inhoud (zoals unieke identificatoren, taalinstellingen enz.) en het doel (zoals advertenties, veiligheid enz.) te specifiëren. Deze omschrijvingen moeten steeds up-to-date worden gehouden en op gemakkelijk toegankelijke wijze aangeboden worden aan de gebruikers van zijn diensten.
• Facebook dient af te zien van het systematisch plaatsen van langdurige en uniek identificerende cookies bij niet-gebruikers van Facebook, alsook van elke inzameling en gebruik van gegevens door middel van cookies en social plug-ins tenzij zij daartoe de ondubbelzinnige en specifieke toestemming via opt-in van de betrokkenen bekomt en in de mate dat dit strikt noodzakelijk is voor legitieme doeleinden. Zowel gedeactiveerde als afgemelde gebruikers dienen hierbij gelijkgesteld te worden met niet-gebruikers.

• Facebook dient af te zien van de verzameling en het gebruik van gegevens van gebruikers van Facebook door middel van cookies en social plug-ins behoudens wanneer (en enkel in de mate dat) dit strikt noodzakelijk is voor een door de gebruiker uitdrukkelijk gevraagde dienst of tenzij zij daartoe de ondubbelzinnige en, specifieke toestemming via opt-in van de betrokkenen bekomt. Werken met een opt-out levert immers geen ondubbelzinnige toestemming op.
• Facebook dient haar aanbod van integratiemogelijkheden van social plug-ins te beperken tot privacyvriendelijke varianten die voldoen aan de eisen inzake gegevensbescherming. Meer in het bijzonder beveelt de Commissie betreffende het ontwerp van social plug-ins aan dat:
  0  De loutere aanwezigheid van een social plug-in op een externe website niet leidt tot de overdracht van gegevens naar Facebook. De Commissie verwijst daarbij als voorbeeld naar het concept van de “Social Share Privacy” tool, waarbij gegevens pas naar het betrokkene sociale netwerk worden verstuurd nadat de gebruiker door middel van een klik ondubbelzinnig te kennen heeft gegeven dat hij gebruik wil maken van de sociale netwerkknop. Andere oplossingen, zoals een integratie via een URL/link die tot maart 2015 door Facebook als integratiemogelijkheid werd aangeboden, worden daarbij evenwel niet uitgesloten.
  0   Indien het laden van (niet-gepersonaliseerde) inhoud vanop de servers van Facebook vereist is, er geen cookies worden verzonden naar Facebook. Indien personalisatie noodzakelijk is, er slechts gebruik gemaakt wordt van sessiecookies.
  o De verzending van cookies die door Facebook gebruikt worden in het kader van beveiliging (zoals de “datr” cookie), beperkt wordt tot het aanmelden bij Facebook of op pagina’s binnen het domein van facebook.com (maar niet op webpagina’s van derde partijen met social plug-ins).
• Facebook dient haar gebruikersinterface zodanig aan te passen dat zij de ondubbelzinnige en specifieke toestemming verkrijgt van haar gebruikers door middel van een opt-in voor enige verzameling en aanwending van informatie bekomen door middel van cookies, in het bijzonder voor advertentiedoeleinden.

Aan eigenaars van websites

• Met betrekking tot eigenaars of uitbaters van websites die gebruik wensen te maken van de door Facebook aangeboden social plug-ins, verwijst de Commissie naar haar aanbeveling uit eigen beweging over het gebruik van cookies.58 Daarin stipuleert zij dat de eigenaar de bezoeker van zijn website behoorlijk dient in te lichten en zijn specifieke toestemming dient te verkrijgen voor cookies en andere metabestanden waarvan hij mogelijk het hergebruik niet beheerst. De Commissie verwijst daarbij onder meer naar sociale netwerken en beveelt aan dat sociale netwerknoppen pas geactiveerd worden nadat de specifieke toestemming werd verkregen van de gebruiker. De huidige integratiemogelijkheden van social plug-ins aangeboden door Facebook voldoen hier echter niet aan. De Commissie beveelt daarom aan om gebruik te maken van instrumenten zoals “Social Share Privacy” (https://panzi.github.io/SocialSharePrivacy/) als een manier om de toestemming te verkrijgen van de gebruiker. Door gebruik te maken van een instrument als “Social Share Privacy” maken plug-ins van derde partijen pas een verbinding met de third-party servers (en worden er bijgevolg pas gegevens verstuurd naar derde partijen) nadat de gebruiker de social plug-in heeft aangeklikt.

Aan eindgebruikers

• Internetgebruikers die zich willen beschermen tegen tracking van Facebook door middel van social plug-ins, worden geadviseerd gebruik te maken van browser add-ons die tracking blokkeren. Voorbeelden van dergelijke browser add-ons zijn:
• Privacy Badger (https://www.eff.org/privacybadger)
• Ghostery (https://www.ghostery.com)
• Disconnect (https://disconnect.me/disconnect)
• Internetgebruikers kunnen zich eveneens beschermen door gebruik te maken van de incognito of “private nagivation”-modus die recente versies van de meest courante browsers (Internet Explorer, Firefox, Chrome, Safari, enz.) als functionaliteit aanbieden. Deze functie dwingt de browser om sporen van uw surfgedrag (cookies, historiek, enz.) te wissen nadat het venster wordt gesloten en beschermt u aldus om door Facebook of anderen gevolgd te worden59 .
• Gebruikers van Facebook kunnen zich uitschrijven voor tracking in het kader van gerichte advertenties door Facebook via de opt-out website van de European Interactive Digital Advertising Alliance (www.youronlinechoices.eu). Het dient echter opgemerkt te worden dat Facebook momenteel ook nadat gebruikers zich hebben uitgeschreven voor gerichte advertenties, dezelfde informatie blijft verzamelenover de bezoeken van gebruikers aan externe websites. Facebook belooft evenwel niet langer gebruik te maken van deze informatie voor advertentiedoeleinden. Gebruikers die zich tevens willen beschermen tegen de inzameling van deze informatie worden daarom geadviseerd om daarnaast ook gebruik te maken van de incognito-modus van hun browser of één van de bovenvermelde browser add-ons te gebruiken.