Onlangs schreef een lezer van dit blog dat hij bij Whatsapp bezwaar had gemaakt tegen verwerking van zijn persoonsgegevens en van Whatsapp de volgende reactie kreeg:

Bedankt voor je bericht.
Beantwoord dit bericht met de volgende informatie, zodat wij je bezwaar kunnen beoordelen:
– Tegen welke gegevensverwerking je bezwaar maakt. Jouw recht om bezwaar te maken is van toepassing wanneer wij legitieme belangen hebben om je gegevens te verwerken.
– Wat de impact van de verwerking van WhatsApp op jou is (zoals welke rechten en vrijheden volgens jou worden beïnvloed door de verwerking, en waarom).
– Eventuele aanvullende informatie die volgens jou voor ons nuttig is voor de beoordeling van je bezwaar (optioneel).
We kunnen je om meer gegevens vragen als je verzoek onvolledig is.
Met vriendelijke groet,
WhatsApp Privacy Operations

Ik heb de lezer volgende teruggeschreven:

In whatsapp heb ik me tot nu toe niet verdiept. Als het goed is lezen ze je app berichten niet (maar of dat echt zo is…). Mijn grootste bezwaar is dat ze het adresboek van gebruikers stelen en gebruiken om wereldwijd relaties in beeld te brengen. Dat betekent:

1. Ze krijgen persoonsgegevens van mensen in het adresboek die geen toestemming hebben gegeven en [a] dus niet door Meta c.s. verwerkt mogen worden; [b] voorts zien ze dat je een relatie hebt met de onder [a] genoemde mensen.

2. [a] Ze zien ook gegevens van mensen die whatsapp wel gebruiken (dus dan mag whatsapp die gegevens hebben) en [b] dat jij een relatie met de onder [a] genoemde mensen hebt.

Ik ben van mening dat 1. volledig illegaal is en dat 2 [b] ook illegaal is. Het gaat Meta c.s. niets aan met wie jij in welke frequentie contact hebt.

Zie over adresboeken ook dit blog. Wat de Belgische privacy autoriteit hier beslist is ook van toepassing op Meta c.s. Helaas gaat die uitspraak niet over het in beeld brengen van relaties. Ik vind dat dit nooit kan bij een messaging dienst.

Op basis van het bovenstaande zou ik bezwaar maken en zeggen dat de belangenafweging in jouw voordeel is (in kaart brengen relaties) en in het belang van de derden in jouw adresboek. (Zie over de drie criteria bij gerechtvaardigd belang ook dit blog en bekijk mijn andere berichten.)

De lezer laat mij weten het volgende aan whatsapp te hebben geschreven (grijs zijn de vragen van whatsapp en blauw zijn de antwoorden van de lezer):

Beantwoord dit bericht met de volgende informatie, zodat wij je bezwaar kunnen beoordelen:

– Tegen welke gegevensverwerking je bezwaar maakt. Jouw recht om bezwaar te maken is van toepassing wanneer wij legitieme belangen hebben om je gegevens te verwerken.
Mijn grootste bezwaar is dat Whatsapp het adresboek van gebruikers uitleest en persoonsgegevens buit maakt (steelt) en gebruikt om wereldwijd relaties in beeld te brengen. Dit betekent:
1. Whatsapp krijgt persoonsgegevens van mensen in mijn adresboek die geen toestemming hebben gegeven en [a] dus niet door Meta c.s. verwerkt mogen worden; [b] voorts ziet Whatsapp dat je een relatie hebt met de onder [a] genoemde mensen.
2. [a] Whatsapp ziet ook persoonsgegevens van mensen die whatsapp wel gebruiken en [b] dat ik een relatie met de onder [a] genoemde mensen hebt.
Ik ben van mening dat 1. volledig illegaal is en dat 2 [b] ook illegaal is. Het gaat Meta c.s. niets aan met wie ik in welke frequentie contact hebt.
Daarnaast maak ik bezwaar tegen verwerking van mijn gegevens door Meta/Whatsapp met betrekking tot:
* Business intelligence and analytics.
* Om informatie te bewaren en te delen met anderen
* Om veiligheid, integriteit en beveiliging te bevorderen

– Wat de impact van de verwerking van WhatsApp op jou is (zoals welke rechten en vrijheden volgens jou worden beïnvloed door de verwerking, en waarom).
Zie hierboven en https://ellentimmer.com/2020/06/14/adresboekjatten-3/
De belangenafweging valt in mijn voordeel uit (in kaart brengen relaties) en in het belang van de derden in jouw adresboek. Mijn persoonlijke belangen wegen zwaarder dan de door Meta/Whatsapp vastgestelde gerechtvaardigde belangen. Ik wil gewoon whatsapp kunnen blijven gebruiken zonder dat Whatsapp data graait m.b.t. mijn persoonsgegevens en mijn relaties en daar segmentatie en profilering op toepast.

De argumenten van whatsapp

Daar krijgt de lezer van whatsapp dit antwoord op:

Bedankt voor je bericht. Zo te zien maak je bezwaar tegen het verwerken van je persoonlijke gegevens op grond van de bepalingen van de verordening inzake gegevensbescherming.

Met de functie Uploaden van contacten openen en uploaden we meestal dagelijks de telefoonnummers in de adresboeken van gebruikers. Dit hangt af van verschillende factoren, waaronder hoe vaak iemand WhatsApp gebruikt. Meer informatie over de functie Uploaden van contacten vind je hier (https://faq.whatsapp.com/general/contacts/about-contact-upload). Als deze contacten nog geen WhatsApp gebruiken, beheren we deze informatie zodanig voor je dat niet-gebruikers van WhatsApp niet kunnen worden geïdentificeerd.

We bewaren deze telefoonnummers niet en verwerken ze alleen op dat moment om cryptografische hashwaarden te maken zodat we deze contacten op efficiëntere wijze aan WhatsApp-gebruikers kunnen koppelen als ze WhatsApp gaan gebruiken.

Omdat WhatsApp geen persoonlijke gegevens over niet-gebruikers opslaat, is er geen sprake van een gegevensverwerkingsactiviteit waartegen je bezwaar kunt maken. We hebben je bezwaar beoordeeld en vastgesteld dat, voor zover er volgens de verordening inzake gegevensbescherming een relevante juridische basis voor bezwaar is, we dwingende en legitieme gronden hebben voor de verwerking waar je bezwaar tegen maakt.

We hebben je verzoek beoordeeld en het lijkt erop dat je bezwaar maakt tegen de verwerking van persoonlijke gegevens waarvoor WhatsApp legitieme belangen heeft.

We hebben je bezwaar tegen de verwerking van je gegevens voor de onderstaande doelen beoordeeld:
– We verwerken je gegevens voor bedrijfskennis- en analysedoeleinden, en gebruiken deze gegevens om zakelijke inzichten te krijgen en nauwkeurig rapporten over het aantal gebruikers op te stellen. De verzameling van deze gegevens is bijvoorbeeld nodig om nauwkeurige rapporten aan regelgevende instanties te kunnen verstrekken.
– We bewaren en delen je gegevens met derde partijen, waaronder wetshandhavingsinstanties, en zodat we op juridische verzoeken kunnen reageren. We wegen je rechten altijd zorgvuldig af tegen de belangen van de derde partijen die je gegevens ontvangen.
– We bewaren en delen je gegevens om juridisch advies in te winnen of om onszelf te beschermen bij procesvoering en andere geschillen. Deze verwerking is nodig om onze wettelijke rechten te verdedigen of te doen gelden.
– We verwerken je gegevens om onze klantenservice te verbeteren, wat noodzakelijk is om de verwerking (zoals beschreven in ons Privacybeleid) uit te voeren, zodat we op een effectieve en optimale manier kunnen reageren op vragen en twijfels die onze gebruikers hebben.
– We houden gebruikersaccounts veilig en bestrijden bedreigingen, misbruik of inbreuk makende activiteiten op onze diensten om veiligheid, integriteit en bescherming te garanderen. Deze verwerking zorgt er ook voor dat onze diensten conform onze voorwaarden en beleidsregels worden gebruikt.

We hebben vastgesteld dat we dwingende legitieme redenen hebben voor deze verwerking. Dit betekent dat we na beoordeling van je bezwaar een verdere afwegingstest hebben uitgevoerd. Uit deze test concluderen we dat onze dwingende legitieme redenen (of die van anderen) zwaarder wegen dan je bezwaar. Daarom blijven we je gegevens verwerken voor deze doeleinden.

Je hebt het recht om een klacht in te dienen bij de Ierse functionaris voor gegevensbescherming, de hoofdtoezichthouder van WhatsApp (zie http://www.dataprotection.ie). Je hebt ook het recht om contact op te nemen met je lokale autoriteit voor gegevensbescherming en om een vordering voor de rechtbank te brengen.

Met vriendelijke groet,
WhatsApp Privacy Operations

Opvallend is dat whatsapp zegt dat zij de persoonsgegevens van niet-whatsapp gebruikers niet zouden verwerken, anders dan “cryptografische hashwaarden te maken zodat we deze contacten op efficiëntere wijze aan WhatsApp-gebruikers kunnen koppelen als ze WhatsApp gaan gebruiken“, wat mij gewoon verwerking lijkt. Er zouden geen persoonlijke gegevens van niet-gebruikers worden opgeslagen. Ik ben benieuwd of dit door een onafhankelijke toezichthouder technisch is getoetst.

De gegevens van whatsapp gebruikers worden wel verwerkt, onder meer “om zakelijke inzichten te krijgen” (wat ook de onderlinge relaties zal omvatten); waarom een gebruiker dat goed zou moeten vinden wordt niet uitgelegd. Alle persoonsgegevens van gebruikers worden volgens het antwoord gedeeld “met derde partijen, waaronder wetshandhavingsinstanties“, kennelijk zonder juridische noodzaak. Dat is bizar. Ook de andere elementen van de ‘onderbouwing’ rammelen.

De zogenaamde onderbouwing door whatsapp ziet er hoogst twijfelachtig uit.

Tot slot

Ik ben benieuwd of er lezers zijn die wel eens dieper zijn gedoken in de gegevensverwerking door advertentiebedrijf Meta/Facebook, voor zover het whatsapp betreft en hoor graag jullie ervaringen.

Aanvulling 5 augustus 2023
Whatsapp beweert de aanpak te hebben gewijzigd, lees We’re updating our Privacy Policy for people in the European Region. Er is door noyb gereageerd met Meta apparently switches to consent for behavioral ads after five years of litigation.
Zie ook het bericht in VPN Gids Meta: ‘We hebben ‘intentie’ om grondslag voor gerichte advertenties te veranderen’ en Euractiv WhatsApp shifts legal basis for processing personal data in Europe.