De Federal Trade Commission (FTC), toezichthouder voor onder meer consumentenrechten, heeft YouTube en Google een boete opgelegd vanwege schending van de privacy van kinderen. Deze boete is drie keer hoger dan de hoogste privacyboete die Google ooit eerder kreeg. De Verenigde Staten heeft wat betreft privacybescherming niet de beste reputatie, maar geeft met deze recordboete van 170 miljoen dollar een sterk signaal af dat het de bescherming van de privacyrechten van kinderen serieus neemt. Zou een dergelijke boete in Nederland ook opgelegd kunnen worden?
Sommige (commerciële) gebruikers van YouTube verdienen geld aan hun kanalen en video’s door behavioral advertising toe te staan, ook wel gepersonaliseerde reclame genoemd. Hiervoor plaatst YouTube onder meer tracking cookies. Dit zijn kleine tekstbestandjes die op het apparaat van de kijker geplaatst worden en hun surfgedrag volgen.
YouTube deed dit ook bij video’s die gericht waren op kinderen. Ook deze kijkers, veelal jongere kinderen, werden gevolgd, zonder hun ouders hierover duidelijk te informeren of hen toestemming te vragen.
De FTC is belast met het toezicht op de Amerikaanse Children’s Online Privacy Protection Act (COPPA). De COPPA bepaalt dat websites en online diensten gericht op kinderen alleen gegevens mogen verwerken van kinderen tot 13 jaar wanneer zij hiervoor toestemming hebben van hun wettelijk vertegenwoordigers en deze hierover hebben geïnformeerd. Bijvoorbeeld bij het plaatsen van tracking cookies. Volgens de FTC geldt deze verplichting rechtstreeks voor makers van content. Bedrijven als YouTube, die de content niet beheren maar wel advertenties verzorgen en cookies plaatsen, hoeven alleen te voldoen aan de COPPA-verplichtingen als zij weten dat de content gericht is op kinderen.
De FTC stelt vast dat YouTube deze wetenschap heeft. Nu zij toch tracking cookies plaatste bij content gericht op kinderen, zonder ouders hierover te informeren of toestemming te vragen, heeft YouTube de COPPA overtreden. Omdat YouTube een dochterbedrijf is van Google en beide bedrijven invloed uitoefenen op het platform, houdt de FTC beide verantwoordelijk voor deze overtreding.
Uiteindelijk wordt met Google en YouTube overeengekomen dat zij de FTC 136 miljoen dollar boete moeten betalen en de staat New York 34 miljoen dollar schadevergoeding. Daarnaast moet er voldaan worden aan enkele andere voorwaarden. YouTube moet kanaalbeheerders op de hoogte brengen van mogelijke COPPA-verplichtingen en een systeem ontwikkelen waarmee deze beheerders content gericht op kinderen moeten markeren, zodat er voldaan kan worden aan de COPPA. Tot slot moeten YouTubemedewerkers die met kanaalbeheerders te maken hebben jaarlijks training krijgen over de COPPA. De komende jaren wordt streng gecontroleerd of aan deze verplichtingen wordt voldaan.
In Nederland hebben we geen COPPA, maar wel artikel 11.7a Telecommunicatiewet (Tw): de cookiebepaling. Daarnaast is de AVG van toepassing als er bij cookies persoonsgegevens worden verwerkt. Iedere organisatie die tracking cookies plaatst of uitleest, zoals YouTube, moet voldoen aan de cookiebepaling en de AVG.
Voor het plaatsen van tracking cookies moet altijd toestemming worden gevraagd. Het gaat hierbij om toestemming in de zin van de AVG. Wanneer een online dienst rechtstreeks aan kinderen wordt aangeboden en de gegevensverwerking op toestemming is gebaseerd, is toestemming van een wettelijk vertegenwoordiger van een kind tot 16 jaar verplicht. Ook in Nederland moet YouTube wettelijke vertegenwoordigers van kinderen dus toestemming vragen. Er moeten, rekening houdend met de beschikbare technologie, redelijke inspanningen verricht worden om te controleren of deze toestemming is gegeven. Dat kan bijvoorbeeld door een e-mail te sturen naar de wettelijk vertegenwoordiger of deze te vragen een kleine overboeking te doen.
De Autoriteit Consument en Markt (ACM) en de Autoriteit Persoonsgegevens (AP) zijn allebei bevoegd de cookieregels te handhaven. De ACM mag boetes opleggen tot € 900.000,- of 1% van de omzet van de onderneming indien dat meer is. De AP zelfs tot 10 miljoen euro of maximaal 2% van de wereldwijde jaaromzet van een onderneming. De boetebeleidsregels van de AP wijzen er echter op dat boetes boven de 1 miljoen euro enkel voorbehouden zijn aan bijzondere of extreme gevallen.
Aanbieders van online diensten gericht op kinderen onder de 16 jaar moeten in Nederland voor het plaatsen van tracking cookies toestemming hebben van de wettelijk vertegenwoordigers. In Amerika ligt de leeftijdsgrens zelfs op 13 jaar. In Nederland is het niet nodig dat de partij die de cookies plaatst daadwerkelijk weet dat de website of dienst gericht is op kinderen, terwijl dat in de Verenigde Staten soms wel vereist is. Verder kunnen er in beide landen hoge boetes worden opgelegd, al kan de FTC per keer dat er geen toestemming is gevraagd een boete opleggen, terwijl er in Nederland voor het handelen van YouTube slechts één keer de maximale boete opgelegd kan worden. Ook lijken extreem hoge boetes door de AP in Nederland een uitzondering te zijn.
Wanneer een website of online dienst zich richt op kinderen, doet deze er dus goed aan om op de juiste manier toestemming te vragen. Wij helpen u graag bij het inrichten van uw dienstverlening zodat op rechtmatige wijze toestemming wordt verkregen.
