'Facebook bespioneert ook niet-gebruikers'

David tegen Goliath, dat is het beeld bij de rechtszaak van de Belgische Privacycommissie tegen Facebook. Een landje van 11 miljoen inwoners tegen een sociaal netwerk met 1,3 miljard gebruikers. Een privacywaakhond met vijftig medewerkers tegen een internetgigant met 8.348 fte. Het logge instrument van de rechtspraak tegen de snelle evolutie van de technologie.

'Tja, David en Goliath, altijd leuk om Bijbelse proporties toegemeten te krijgen', zegt Willem Debeuckelaere (61), voorzitter van de Belgische Commissie voor de Bescherming van de Persoonlijke Levenssfeer, kortweg de Privacycommissie. 'Zeker aangezien we uit de Bijbel weten dat David wint. Maar ik zou dat beeld toch willen nuanceren. Wij zijn niet zo nietig, want wij staan niet alleen.'

Facebook maakte zich begin dit jaar verdacht bij privacy-voorvechters, toen de Amerikaanse moloch in zijn nieuwe gebruiksvoorwaarden liet weten persoonsgegevens te zullen bijhouden met het oog op gerichte advertenties. De Belgische Privacycommissie liet de werkwijze van Facebook meteen onderzoeken en stuitte op flagrante schendingen van de privacyregels. De strijd was geopend.

'Wat me het meest tegen de borst stuitte, is dat niet-gebruikers van Facebook ook getracked en getraced worden', zegt Debeuckelaere, die zelf geen profiel heeft op de socialenetwerksite. 'Zodra je een keer op een Facebookpagina belandt, krijg je een soort signaal mee. Kom je daarna op andere websites met een 'vind ik leuk'-knop, dan word je via dat signaal getraceerd.

'De website van de Volkskrant heeft vast ook zo'n 'like'-knop, wat dus betekent dat Facebook kan zien wat de bezoekers op de website van de Volkskrant lezen. De meeste eigenaren van websites weten dat niet, ze beseffen niet dat ze hun bezoekers meesleuren in dat volgsysteem. Facebook geeft daar nergens informatie over, laat staan dat ze de vraag stellen: bent u het hiermee eens?

Monopoliebedrijf

'Eigenlijk is dat een vorm van hacken. Ik ben maar een arme jurist, maar ik kan het niet anders noemen. Je dringt binnen in een informaticasysteem en je bespioneert en volgt mensen. Facebook zegt wel: dat is per ongeluk, we doen helemaal niets met die gegevens. Maar dan zeggen wij: wel, stop er dan mee.'

De Privacycommissie riep Facebook op het matje en eiste dat de nieuwe gebruiksvoorwaarden teruggedraaid zouden worden. Na maandenlange gesprekken die niets opleverden, stapte de Privacycommissie afgelopen donderdag naar de rechter. De Belgische toezichthouder eist een dwangsom van 250.000 euro voor elke dag dat Facebook doorgaat met het volgen van niet-gebruikers.

Voor alle duidelijkheid: Debeuckelaere is niet tegen Facebook. 'Mijn kinderen zitten op Facebook, mijn vrouw zit erop, het is een knap product. Maar het is ook een monopoliebedrijf. Jongeren voelen een grote sociale dwang om op Facebook te zitten. Als je er niet aan meedoet, is het alsof je niet bestaat. Dat brengt ook een verantwoordelijkheid met zich mee.'

Zelfs over gerichte advertenties oordeelt Debeuckelaere mild. 'Ik kijk soms zelf op Amazon welke boeken mij worden aangeraden, op basis van mijn eerdere aankoopgedrag. Zo'n gerichte reclame kan soms prettig zijn, zolang je maar zelf kunt beslissen welke websites je mogen volgen. Niet wanneer het je ongemerkt wordt opgedrongen en je niet weet wat er met je gegevens gebeurt.'

Want, zegt Debeuckelaere, wie garandeert dat Facebook het bij gerichte advertenties houdt en al die persoonsgegevens in de toekomst niet voor andere doeleinden gebruikt? 'Dankzij Edward Snowden weten we dat de NSA die gegevens kan opvragen. Bedenk ook: over tien tot twintig jaar heeft Facebook over alle politici ongelofelijk veel data. Dat is toch behoorlijk angstaanjagend.

'De Oostenrijkse Facebookcriticus Max Schrems heeft nu al aangetoond dat hij van elke internetgebruiker een nauwkeurig profiel kan maken: tijdsbesteding, geldbesteding, religie, doorzettingsvermogen, enzovoort. Interessant voor een bedrijf dat sollicitanten moet beoordelen. Wie zegt dat, als de kwartaalcijfers eens tegenvallen, Facebook daar niets mee doet?'

Ierse jurisdictie

Redenen genoeg dus voor de Belgen om tegen Facebook in het verweer te gaan. Maar niet alleen, niet als een kleine David. De 28 nationale privacywaakhonden in Europa overleggen maandelijks over grote dossiers en verdelen het werk. Bij een soortgelijke zaak tegen Google in 2012 leidde Frankrijk een groep van acht landen. Tegen Facebook werken nu vijf landen samen, waaronder Nederland.

'Ere wie ere toekomt: Nederland tekende als eerste verzet aan', zegt Debeuckelaere. 'Daarna sloten België en Duitsland zich aan, en wat later Frankrijk en Spanje. Italië twijfelt nog.'

Oostenrijkse zaak

De grootste luis in de pels van Facebook is de Oostenrijkse rechtenstudent Max Schrems (27). Hij procedeert al jaren tegen de Amerikaanse gigant, onder meer via een vorig jaar gestarte collectieve rechtszaak waarin hij met 25 duizend Facebook-gebruikers 500 dollar schadevergoeding eist wegens privacyschendingen. Daarnaast buigt het Europese Hof van Justitie zich, door Schrems gedwongen, over de vraag of Facebook illegaal data heeft overgedragen aan de NSA in de VS. Daarmee zou de zogeheten Safe Harbour-regeling overtreden zijn. Een eerste uitspraak werd deze week verwacht, maar die is uitgesteld.

In Nederland dwong het College Bescherming Persoonsgegevens (CBP) Facebook met een dwangsom tot medewerking, en loopt de interne procedure nog. De Belgische Privacycommissie kan zelf geen dwangsommen opleggen, en ging dus sneller naar de rechter.

Facebook zelf vindt dat het in België, Nederland of andere landen geen verantwoording hoeft af te leggen. Het Amerikaanse miljardenbedrijf heeft zijn Europese hoofdzetel in Ierland en erkent enkel de Ierse jurisdictie. Niet toevallig is Ierland het enige land in Europa waar de privacywaakhond geen problemen ziet in de nieuwe gebruiksvoorwaarden.

Op Europees niveau wordt nog dit jaar een nieuwe privacywet verwacht, die de nationale verschillen moet opheffen en een gulden middenweg moet vinden tussen privacy en economie. In de laatste plannen is sprake van een overkoepelende Europese privacywaakhond, die bij conflicten de knoop kan doorhakken. Het gaat niet zover als Debeuckelaere zou willen, maar: 'Het gaat de goede kant op.'

Recht om vergeten te worden

Kom bij Debeuckelaere dus niet aan met 'privacy is dood'. Integendeel, hij is optimistisch. 'Het is een constant gevecht, maar we zijn zeker niet bij voorbaat verloren. We hebben Google na een jarenlange strijd aan banden kunnen leggen met Europese wetgeving en nu is er het 'recht om vergeten te worden'. Die zaak vormt ook een juridische basis om nu tegen Facebook in te gaan.'

Ook de internetbedrijven zelf beginnen zich te roeren. Na een aantal rechtszaken is Google akkoord gegaan om zich in elk Europees land aan de nationale privacyregels te houden. Debeuckelaere: 'Google zegt nu ook aan ons: hé, jullie gaan nu toch ook de anderen aanpakken? Als wij in Europa niet zomaar persoonsgegevens mogen verwerken, dan laten jullie die andere struikrovers toch niet rondlopen?'