PRIVACY
Privacywetgeving in de public cloud:
hoe zit dat? Facebook heeft in het verleden naar de seksuele geaardheid van gebruikers gevraagd en op basis van deze informatie gerichte advertenties getoond. Volgens de spelregels van de Nederlandse privacywetgeving is dit niet toegestaan. Maar wat als het Europese hoofdkantoor en datacenters in Ierland staan? Geldt de Nederlandse wetgeving dan nog wel? De Nederlandse privacywetgeving lijkt in de meeste gevallen duidelijk: iedere in Nederland gevestigde organisatie moet zich aan de spelregels houden. Bij publieke clouddiensten met servers over de grens ontstaat echter een ingewikkelde situatie. Welke privacyspelregels gelden in de public cloud?
Bijzondere persoonsgegevens Facebook mag volgens de Autoriteit Persoonsgegevens (AP) niet zomaar data vragen over de seksuele voorkeur van gebruikers. Het gaat hierbij namelijk om bijzondere persoonsgegevens. 10 | JUNI 2018 | NR. 2 | INFOSECURITY MAGAZINE
Deze mogen alleen onder zeer strikte voorwaarden worden verwerkt. Het tonen van gerichte advertenties is daar in ieder geval niet een van. Facebook verweerde zich: het Europese hoofdkantoor en de datacenters staan in Ierland, buiten het bereik van de Nederlandse wetgeving. De AP zou dus helemaal geen recht van spreken hebben. Volgens de AP speelde de Nederlandse vestiging van het bedrijf echter een rol in het geheel, door Nederlandse bedrijven te adviseren over de advertentiemogelijkheden op het sociale netwerk. De kwestie heeft volgens de AP dus wel degelijk een Nederlands tintje.
Belangrijkste spelregels Het laatste woord over de kwestie is nog niet gezegd. Wel is duidelijk dat privacywetgeving in de cloud niet altijd vanzelfsprekend is en jurisdictie absoluut een rol speelt. Daar dient u serieus rekening mee te houden als een cloudprovider namens u persoonsgegevens van uw klanten bewerkt. Gelukkig zijn er ook een aantal ‘harde’ afspraken
