‘Betalen’ met persoonsgegevens: hoe zit dat?
Is een gratis account op Spotify wel zo “gratis” en hoe zit het met het openen van een account in een applicatie? Voordat je gebruik kan maken van deze diensten moet er eerst een account worden aangemaakt, waarbij je vaak onder meer jouw e-mailadres, geboortedatum en geslacht moet invullen. Dit betreffen persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming (‘AVG’). Digitale inhoud (zoals games en applicaties) of digitale diensten (zoals streaming) worden regelmatig geleverd zonder dat een consument daarvoor geld betaalt, maar in ruil daarvoor wel zijn persoonsgegevens verstrekt. Welke mogelijkheden en rechten heeft een consument in zo’n geval?
Op 20 mei 2019 zijn er twee nieuwe Europese richtlijnen vastgesteld: de richtlijn verkoop goederen (2019/771) en de richtlijn levering digitale inhoud (2019/770). Deze richtlijnen en de implementatie in (onder meer) boek 7 van het Burgerlijk Wetboek (‘BW’) hebben wij besproken in een eerder artikel, zie hier.
In dit artikel staan wij stil bij de rol van persoonsgegevens in het consumentenrecht. De bescherming van persoonsgegevens is een grondrecht. Tot voor kort was er wettelijk niets vastgelegd over het bedrijfsmodel waarbij persoonsgegevens als “betaalmiddel” worden gebruikt bij het aangaan van een overeenkomst. Dit terwijl zulke bedrijfsmodellen in een aanzienlijk deel van de markt worden ingezet bij het aanbieden van onder meer applicaties en streamingdiensten.
What’s new?
Naast een prijs in geld of een digitale weergave in waarde (zoals e-coupons), kan een digitale inhoud of dienst nu ook aan een consument worden geleverd in ruil voor persoonsgegevens. Persoonsgegevens kunnen onder meer zijn een naam, e-mailadres en geboortedatum. Wanneer de consument persoonsgegevens verstrekt voor bijvoorbeeld een applicatie of streamingdienst, dan valt dit onder het toepassingsbereik van het nieuwe consumentenrecht (in titel 1aa Boek 7 BW).
De persoonsgegevens kunnen aan een handelaar – bijvoorbeeld de verkoper of aanbieder – worden verstrekt op het moment dat een overeenkomst wordt gesloten of op een later tijdstip, zoals wanneer de consument toestemming geeft aan de handelaar om zijn foto’s of posts te gebruiken voor reclamedoeleinden.
Met de erkenning van persoonsgegevens als betaalmiddel wordt de consument bij de levering van digitale inhoud of diensten dezelfde bescherming geboden als wanneer hij de digitale inhoud of dienst zou aanschaffen tegen een prijs in geld. Dit betekent dat wanneer een consument in dit soort gevallen zijn persoonsgegevens verstrekt aan de handelaar, hij ook recht heeft op een deugdelijk product én aanspraak kan maken op bijvoorbeeld het recht op updates. Wij verwijzen naar ons eerdere artikel, zie hier.
Toestemming nodig van de consument
Het gebruik van de persoonsgegevens voor de digitale inhoud of diensten blijft, los van de nieuwe richtlijnen, ook gewoon beschermd door de AVG. Dit brengt met zich mee dat van een rechtmatig gebruik van de persoonsgegevens pas sprake is wanneer een handelaar zich kan beroepen op één van de zes grondslagen, zoals opgesomd in de AVG. Een voorbeeld van zo’n grondslag is toestemming of het uitvoeren van een wettelijke verplichting.
Wanneer sprake is van een overeenkomst waarbij bijvoorbeeld een applicatie of streamingdienst wordt geleverd aan een consument in ruil voor persoonsgegevens, moet op basis van het nieuwe consumentenrecht steeds sprake zijn van toestemming van de consument. De inbreng van de consument in de overeenkomst bestaat namelijk uit toestemming om zijn persoonsgegevens te mogen verzamelen.
Deze toestemming dient te voldoen aan de voorwaarden uit de AVG. Zo moet de toestemming door de consument zijn gegeven via een duidelijke en actieve handeling, waaruit blijkt dat de consument “vrijelijk, specifiek, geïnformeerd en ondubbelzinnig” heeft ingestemd met het gebruik van de persoonsgegevens. Het bedrijf dat de persoonsgegevens wil hebben, moet vervolgens kunnen aantonen dat de toestemming van de consument voldoet aan deze voorwaarden en ook moet de toestemming altijd (en gratis) weer ingetrokken kunnen worden. Concreet betekent dit bijvoorbeeld dat de consument zelf een vakje moet aanvinken met “ja, ik geef toestemming voor het gebruik van mijn persoonsgegevens in ruil voor de streamingdienst voor het volgende doel [bijvoorbeeld het analyseren van de voorkeuren binnen de dienst]”. Het vakje mag niet al op voorhand aangevinkt zijn en de consument moet ook echt begrijpen waarvoor hij toestemming geeft.
Toestemming intrekken
Wanneer de consument zijn toestemming weer intrekt en er ook geen geld of bijvoorbeeld e-coupon is betaald, dan is de consument niet langer gebonden aan de overeenkomst. Ook wanneer de consument ervoor kiest de overeenkomst actief te ontbinden, brengt dit gelijktijdig met zich mee dat de toestemming voor de gegevensverwerking wordt ingetrokken. De toestemming was namelijk de inbreng van de consument.
Wanneer dit gebeurt, kan de consument niet verwachten dat hij nog toegang houdt tot de digitale inhoud of dienst. Maar ook het bedrijf dat de digitale inhoud of dienst aanbiedt, dient in die gevallen direct te stoppen met het gebruik van de persoonsgegevens van de consument, tenzij er een andere grondslag aanwezig is of indien er geld is betaald.
Dat de handelaar de persoonsgegevens van de consument niet meer mag gebruiken, betekent ook dat derden die de persoonsgegevens via de handelaar hebben ontvangen deze niet langer mogen gebruiken. Alle partijen dienen de persoonsgegevens in dat geval te wissen of te anonimiseren. Uiteraard kan de consument hier ook altijd expliciet om verzoeken nu de rechten onder de AVG onverminderd gelden.
Wanneer is dit nieuwe consumentenrecht niet van toepassing?
In bepaalde situaties is het nieuwe consumentenrecht niet van toepassing. Zo is het bijvoorbeeld niet van toepassing indien de door de consument verstrekte persoonsgegevens uitsluitend worden gebruikt om te voldoen aan wettelijke vereisten, zoals het bestrijden van het witwassen van geld of terrorisme.
Ook wanneer een bedrijf de persoonsgegevens écht alleen gebruikt om de digitale inhoud of dienst te kunnen leveren en daarmee een overeenkomst uit te voeren, geldt het nieuwe consumentenrecht niet. In die gevallen worden de persoonsgegevens namelijk niet ingeruild voor een digitale inhoud of dienst, maar enkel gebruikt voor de levering. Hierbij is wel van belang dat het bedrijf de persoonsgegevens niet stiekem toch gebruikt voor andere (commerciële) doeleinden. Dit zal echter wel vaak het geval zijn bij het aanbieden van bijvoorbeeld “gratis” streamingdiensten. Het verdienmodel is tenslotte dat deze bedrijven op basis van de persoonsgegevens kostbare data kunnen genereren, zoals voorkeursprofielen. Is het doel de persoonsgegevens te gebruiken voor méér dan alleen de levering, dan dient toestemming te worden gevraagd en geldt het nieuwe consumentenrecht.
Het nieuwe consumentenrecht is ook niet van toepassing als een bedrijf slechts metagegevens verzamelt, zoals informatie over het apparaat van de consument, of wanneer de persoonsgegevens uitsluitend worden verwerkt om de beveiliging of interoperabiliteit van software te verbeteren (en de consument hier geen geld of bijvoorbeeld e-coupon voor betaalt). Tot slot is het ook niet van toepassing indien de consument – zonder een overeenkomst te hebben gesloten – alleen reclame ontvangt over toegang tot een digitale inhoud of dienst, bijvoorbeeld na aanmelding voor een nieuwsbrief. Op deze handelingen is uiteraard wel de AVG en de Telecommunicatiewet van toepassing.
Heeft u nadere vragen over het nieuwe consumentenrecht in combinatie met persoonsgegevens? Neem dan contact op met één van onze specialisten.
Interessante artikelen voor u
Heeft u vragen of wilt u een afspraak maken?
