Op 8 augustus 2024 heeft de Autoriteit Persoonsgegevens (AP) een normbrief laten bezorgen bij 8vance. (een deel van) De aanleiding voor het versturen van deze normbrief was een formele klacht (en een tip) die ik op 13 maart 2024 online bij de AP had ingediend. En normbrief van de AP? Dat is een handhavingsinstrument waarmee de AP een organisatie wijst op de wettelijke normen van de AVG. Het doel is om een geconstateerde of dreigende overtreding laagdrempelig te beëindigen zonder direct een formele boete op te leggen. Hieronder kan je de volledige inhoud van deze normbrief tot je nemen:

De Autoriteit Persoonsgegevens (AP) is de Nederlandse toezichthouder op de Algemene Verordening Gegevensbescherming (AVG). De AVG regelt onder welke voorwaarden persoonsgegevens mogen worden verwerkt. De AVG geldt ook voor het verzamelen van persoonsgegevens middels scraping en geldt dus ook voor uw organisatie. In deze brief vragen wij uw aandacht voor de recent gepubliceerde handreiking van de AP over dit onderwerp.

Handreiking scraping voor private partijen

De afgelopen tijd is er steeds meer aandacht voor grootschalige verzamelingen van persoonsgegevens die bedrijven kunnen aanleggen. Zij kunnen onder meer aan deze gegevens komen door het (openbare) internet af te gaan en op zoek te gaan naar persoonsgegevens van burgers. Dit kan zowel gericht als ongericht plaatsvinden.

Wanneer er geautomatiseerd informatie van het internet wordt verzameld valt dit onder scraping. Als daarbij (ook) persoonsgegevens worden verzameld, wat vaak het geval zal zijn, moet u voldoen aan de AVG. Ook al zijn de door u verzamelde persoonsgegevens openbaar toegankelijk op het internet.

Om u hierbij te helpen heeft de AP de ‘Handreiking scraping door particulieren en private organisaties‘, welke te vinden is op de website van de AP: AP scraping bijna altijd illegaal. In deze handreiking kunt u onder andere meer lezen over de grondslag waar u een beroep kunt doen (of juist niet kunt doen) als u gebruik maakt van scraping. En wanneer u bijzondere persoonsgegevens wel of niet mag verwerken.

Wat verwachten we van u?

Volgens uw website maakt u gebruik van scraping. Gelet op de recente publicatie van de handreiking willen wij u vragen of uw verwerkingen middels scraping nogmaals legen het licht te houden. Heeft u gelet op de handvatten die de AP biedt in de handreiking. inderdaad wel rekening gehouden met alle relevante omstandigheden? En zorgt u er voor dat u geen bijzondere persoonsgegevens verwerkt?

Blijkt dat u geen grondslag heeft om persoonsgegevens te mogen verwerken met scraping? Of verwerkt u bijzondere persoonsgegevens terwijl u hier geen uitzonderingsgrond voor heeft? Dan zult u al deze verwerkingen moet staken.

Gelet op de grote impact die scraping kan hebben op de privacy van een groot aantal betrokkenen als de verwerking niet goed is ingeregeld vindt de AP het van belang om u actief te wijzen op deze handreiking. Zij sluit ook niet uit dat zij in de toekomst bij u navraag zal doen naar de acties die u heeft ondernomen naar aanleiding van de hiervoor genoemde handreiking. Of om eventuele andere maatregelen te nemen als blijkt dat uw verwerking niet voldoet aan de AVG.

Afsluitend

Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd. Mocht u nog vragen hebben naar aanleiding van deze brief, dan kunt u contact opnemen met mij.

Een kopie van deze brief wordt gestuurd aan uw Functionaris Gegevensbescherming.

Een in vriendelijke taal gestelde ondubbelzinnige waarschuwing van de toezichthouder…

Reactie van 8vance
Tenminste, voor de goede verstaander. Want wat zegt 8vance, bij monde van haar CEO Han Stoffels, over deze brief?:

8vance heeft nooit een waarschuwing of formele normstelling van de Autoriteit Persoonsgegevens ontvangen en is door de AP ook niet verzocht om de scraping van persoonsgegevens te staken. Zoals de AP ook in haar jaarverslagen toelicht, voert zij regelmatig thema- of sectorgerichte campagnes waarbij organisaties informatieve brieven kunnen ontvangen om hen te attenderen op of nader te informeren over relevante normen, wet- en regelgeving. 8vance heeft enkel een dergelijke informatiebrief ontvangen zoals vele andere data bedrijven. Naar aanleiding van deze brief hebben wij contact opgenomen met de AP en is ons bevestigd dat de brief uitsluitend ter informatie was verstrekt in verband met de publicatie van een nieuwe handreiking. Niet elk contact met de AP is dus een waarschuwing of formele normstelling, ik hoop dat dit onderscheid duidelijk is. we hebben heel goed contact met de AP overigens.

De eerste zin bevat twee punten die tegengesteld zijn aan het feit dat een normbrief door 8vance is ontvangen en dat de normbrief verlangt de verwerking van persoonsgegevens te stoppen. De normbrief is wel ontvangen (aangetekend); en de normbrief bevat een nadrukkelijke waarschuwing en een formele normstelling (staken verwerking persoonsgegevens). Het resterende deel van de reactie is fluff.

Natuurlijk ga ik contact opnemen met de AP over de mededeling dat 8vance contact heeft opgenomen en dat de AP zou hebben aangegeven dat de brief zuiver informatief van aard was.

Wordt vervolgd.

Nog wat broodnodige achtergrondinformatie:

https://recruitmentmatters.nl/2024/03/12/8vance-en-de-avg-geen-match-made-in-heaven-proloog/

https://recruitmentmatters.nl/2024/03/13/8vance-en-de-avg-geen-match-made-in-heaven-deel-1/

https://recruitmentmatters.nl/2024/03/13/8vance-en-de-avg-geen-match-made-in-heaven-deel-2