Stichting Take Back Your Privacy

Naar aanleiding van een bericht van de NOS dat Chinese TikTok medewerkers toegang krijgen tot persoonsgegevens van Europese TikTok gebruikers, hebben verschillende kamerleden hierover vragen aan het kabinet gesteld. Staatssecretaris Van Huffelen heeft deze vragen, mede namens de minister voor Rechtsbescherming, beantwoord.

De kernboodschap van deze antwoorden is als volgt:

Onduidelijkheid over hoeveelheid minderjarige TikTok-gebruikers – De staatssecretaris heeft bij TikTok nagevraagd hoeveel minderjarige TikTok-gebruikers er in Nederland zijn, maar TikTok weigert om deze informatie te verstrekken. De staatssecretaris merkt op dat de juistheid van de opgegeven leeftijd niet door TikTok wordt geverifieerd en dat Brits onderzoek heeft uitgewezen dat veel kinderen een social media-account voor volwassenen hebben.

Doorgifte van persoonsgegevens naar China in strijd met de AVG is “absoluut onacceptabel” – TikTok is ook gevraagd om opheldering te geven over de vraag welke medewerkers toegang hebben tot welke gegevens, maar ook op deze vraag wilde TikTok geen antwoord geven. Het kabinet vindt het “absoluut onacceptabel” wanneer persoonsgegevens van Nederlandse gebruikers van TikTok – dat zijn met name kinderen – onrechtmatig in handen van de Chinese overheid komen.

Staatssecretaris gaat gesprek aan met TikTok – Er staat op 6 december 2022 een gesprek gepland met TikTok waarbij de uitgangspunten van de privacybescherming bij TikTok onder de aandacht zullen worden gebracht.

De Stichting Take Back Your Privacy heeft een eerste succes geboekt in haar collectieve actie tegen TikTok. De Nederlandse rechter stelt vast dat zij bevoegd is om over de claims van de Stichting tegen TikTok te oordelen.

Vonnis: Stichting krijgt gelijk

In het vonnis van 9 november 2022 heeft de rechtbank Amsterdam de Stichting op alle punten in het gelijk gesteld:

Nederlandse rechter is bevoegd. TikTok had betoogd dat de Nederlandse rechter niet over de claims van de Stichting zou mogen oordelen omdat, kort gezegd, TikTok niet in Nederland is gevestigd. Dit verweer is door de rechtbank van tafel geveegd. In lijn met wat de Stichting betoogde, oordeelt de rechtbank Amsterdam dat zij bevoegd is om over alle vorderingen van de Stichting op TikTok te oordelen.

Prejudiciële vragen zijn onnodig. De rechtbank wijst het verzoek van TikTok van de hand om prejudiciële vragen te stellen aan het Europese Hof van Justitie. De rechtbank oordeelt dat deze vragen onnodig zijn.

Procedure wordt niet aangehouden. De poging van TikTok om vertraging te veroorzaken via een aanhouding faalt. De rechtbank stelt vast dat een aanhouding in strijd is met de goede procesorde. Er is geen goede reden de zaak nu te pauzeren.

Geen tussentijds hoger beroep. TikToks verzoek om nu hoger beroep in te stellen is afgewezen door de rechtbank.

Al met al betekent dit dat de procedure nu verder gaat, ondanks TikToks verwoede pogingen om de zaak te vertragen. Dit is goed nieuws voor de kinderen wiens rechten nog steeds elke dag worden geschonden door TikTok. Friederike van der Jagt, voorzitter van Stichting Take Back Your Privacy, zegt over het vonnis: “Wij zijn blij met deze eerste overwinning. Het is ontzettend belangrijk dat de rechter bereid is de zaak te beoordelen, want TikTok zal moeten stoppen met haar onrechtmatige praktijken. Kinderen moeten in de toekomst veilig gebruik kunnen maken van TikTok.”

Volgende stappen

De vervolgstap is dat nu de tweede fase van de procedure van start gaat. Dat wil zeggen dat de rechtbank gaat beoordelen welke stichtingen ontvankelijk zijn. De rechtbank zal dan een exclusieve belangenbehartiger aanwijzen uit de groep van ontvankelijke eisers. Meer concreet:

Op 21 december 2022 moet de Stichting een akte nemen waarin het uiteenzet waarom zij als exclusieve belangenbehartiger moet worden benoemd.
Op 1 februari 2023 moet TikTok vervolgens een conclusie van antwoord indienen, waarin zij zich uitlaat over (i) de ontvankelijkheid van de stichtingen, (ii) toepasselijk recht en (iii) benoeming exclusieve belangenbehartiger.
Daarna zal een zitting plaatsvinden en volgt een vonnis van de rechtbank.

Aanmelden

De Stichting Take Back Your Privacy en haar samenwerkingspartner de Consumentenbond roepen consumenten op de actie te steunen en zich aan te melden. Dat geldt met name voor (ouders van) kinderen die in Nederland TikTok of de voorloper van TikTok, musical.ly, hebben gebruikt sinds 25 mei 2018. Aanmelden kan hier en is gratis.

Zie hier voor de officiële persverklaring van de Stichting Take Back Your Privacy en de Consumentenbond.

In een persverklaring van TikTok over haar nieuwe privacybeleid voor Europa maakt TikTok duidelijk dat Europese gebruikersgegevens toegankelijk (zullen) zijn buiten Europa, o.a. in China. Medewerkers van TikTok kunnen vanuit Brazilië, Canada, China, Israël, Japan, Maleisië, de Filipijnen, Singapore, Zuid-Korea en de Verenigde Staten op afstand bij Europese gebruikersgegevens.

Daarnaast bevestigt TikTok dat op dit moment Europese gebruikersgegevens niet in Europa worden opgeslagen, maar in de VS en Singapore.

Dat TikTok persoonsgegevens van gebruikers toegankelijk maakt en opslaat buiten de EU is problematisch. Landen buiten de EU bieden niet hetzelfde privacybeschermingsniveau en voor dergelijke doorgiftes gelden strenge eisen, waar TikTok niet aan lijkt te voldoen. Stichting Take Back Your Privacy heeft daarom ook in haar dagvaarding uiteengezet dat TikTok onrechtmatig handelt door de persoonsgegevens van Europese TikTok-gebruikers buiten de EU te verwerken.

Je kunt je (kind) nog altijd aansluiten bij de actie die wij samen met de Consumentenbond tegen TikTok voeren. Klik hier voor meer informatie en om je aan te melden.

De privacybescherming van kinderen is ook een politiek thema. Stichting Take Back Your Privacy sprak met Marieke Koekkoek, Tweede Kamerlid voor de pan-Europese partij Volt. Volt noemt onderwijs en digitalisering sleutelelementen van de 21e eeuw. Mevrouw Koekkoek heeft een juridische achtergrond en kreeg onder meer als onderzoeker en advocaat te maken met privacygerelateerde vraagstukken. TBYP vroeg haar naar haar inzet voor de privacyrechten van Nederlanders, en meer specifiek Nederlandse kinderen. Ook komt de TikTok-actie van TBYP aan bod.

1. Waarom bent u zich gaan inzetten voor de privacyrechten van Nederlanders? Was er een concrete aanleiding?

Als onderzoeker heb ik gewerkt aan het vraagstuk omtrent rechtsmacht en privacyregels, waarna ik me als advocaat in opleiding bezig heb gehouden met privacy en IP-gerelateerde vragen. Ik wist dus al iets van het belang van privacy rechten en de uitdagingen voordat ik als Kamerlid begon. Het baart me zorgen dat we digitalisering (en alle regels die daarbij horen) vaak zien als iets technisch, iets waar we normaal niks mee te maken hebben. Hierdoor krijgen (onder andere) bedrijven veel ruimte om de regels te bepalen, iets wat we normaal gesproken in de samenleving aan een democratisch gekozen overheid overlaten. Het is voor mij evident dat de rechten die je hebt in de fysieke wereld ook in de digitale wereld moeten gelden. Tegelijkertijd moeten we ervoor zorgen dat we niet uit onbegrip te voorzichtig zijn, en dit ons tegenhoudt om dingen te doen die levens verbeteren. Dat vind ik de uitdaging als Kamerlid: om die balans te vinden en in wetgeving terug te laten komen.

2. Kunt u iets vertellen over wat u doet als Kamerlid in de strijd voor een veiliger internet voor kinderen?

Volt wil dat kinderen op school les krijgen in digitale vaardigheid én weerbaarheid. In Finland gingen ze ons al voor. De vrijheid van informatie op het internet is een groot goed, maar net zoals we kinderen leren wat goede bronnen zijn wanneer ze een werkstuk of paper schrijven, moeten we er ook voor zorgen dat ze weten wat ze wel en niet moeten geloven op het internet.
Daarnaast willen we een goede implementatie in Nederland van de Europese Digital Services Act om het verspreiden van desinformatie tegen te gaan. En werken we aan een verplicht algoritmeregister voor overheidsinstanties, zodat duidelijk is op basis waarvan selectiekeuzes gemaakt worden. Meer transparantie en begrijpelijke informatie over het gebruik van algoritmes online zou ook nuttig zijn (zoals op sociale media). Daarbij willen we ons ook inzetten voor een verbod op micro-targeting, waarbij je dus niet specifieke persoonsgerichte reclame mag sturen. Zeker niet als het om kinderen gaat.

3. Kan de overheid meer doen om kinderen te beschermen in het digitale domein?

Zeker. Zo zouden we graag zien dat de overheid de Code voor Kinderrechten implementeert en actief informeert wat de rechten en mogelijkheden zijn voor jongeren. Ook zou (een deel van) de Code omgezet kunnen worden in juridisch afdwingbare regelgeving. Het is goed als we minder afhankelijk zijn van zelf- en co-regulering voor grote platforms, met name als het om kinderen gaat. En de handhaving van huidige wet- en regelgeving (zoals toezicht van AP op de AVG) moeten we versterken. Dat betekent niet per se meer geld, maar wel betere besteding van de middelen en een focus op de terreinen waar veel misgaat of waar de risico’s groot zijn. Anders is het een tandeloze tijger, die AVG.

4. Heeft u zelf wel eens te maken gehad met een schending van uw privacy?

Dat komt sinds ik Kamerlid ben regelmatig voor. Er wordt van alles geroepen en beweerd over Kamerleden, en natuurlijk krijg ik ook een goede dosis bedreigingen en verwensingen binnen. Dat lijkt tegenwoordig de standaard te zijn bij dit werk. Met name Twitter is hierin een ontregelend medium. Ik neem dan ook verschillende voorzorgsmaatregelen, zodat mijn adres onvindbaar is, mijn kinderen online niet-traceerbaar zijn en mijn bewegingen niet ver van tevoren bekend zijn (als ik naar een evenement ga). Op het moment dat je privacy onder druk komt te staan wordt pas duidelijk hoe belangrijk het is om bepaalde gegevens voor jezelf te kunnen houden.

5. Wat zou u Take Back Your Privacy en de Consumentenbond willen adviseren in hun actie tegen de privacy- en consumentenrechtschendingen door TikTok?

Niet opgeven. Strategisch procederen werkt! Denk bijvoorbeeld aan de Urgenda-zaak. Activeer ook de samenleving en politiek. In de strijd voor digitale vrijheid en veiligheid moeten we allemaal samenwerken.

De Britse privacywaakhond, de Information Commissioner’s Office (ICO), heeft aangekondigd dat het mogelijk TikTok een boete van 27 miljoen pond zal opleggen wegens het schenden van de Britse privacyregels. De ICO is van mening dat TikTok de privacy van haar minderjarige gebruikers niet beschermt.

Hoewel de boete nog niet definitief is, heeft de ICO TikTok Inc en TikTok Information Technologies UK Limited een ‘notice of intent‘ gestuurd, waarin de mogelijke boete wordt toegelicht.

De specifieke beschuldigingen zijn dat TikTok mogelijk:

de gegevens van kinderen onder de 13 jaar heeft verwerkt zonder de vereiste ouderlijke toestemming,
haar gebruikers niet op een bondige, transparante en gemakkelijk te begrijpen wijze heeft geïnformeerd, en
bijzondere persoonsgegevens heeft verwerkt, zonder dat daarvoor een geldige rechtsgrond bestaat.

Deze verwijten maken ook deel uit van de zaak die Stichting Take Back Your Privacy (TBYP) tegen TikTok heeft aangespannen. TikTok schiet ook tekort in de bescherming van de privacy van Nederlandse kinderen bij het gebruik van het TikTok-platform. TBYP is verheugd dat deze aantijgingen ook zullen worden ondersteund door bevindingen van de Britse toezichthouder.

U kunt zich nog steeds aansluiten bij de actie van TBYP via de volgende link.

Het Financieele Dagblad (“FD”) bericht dat de Nederlands overheid niet langer TikTok gebruikt voor reclames en campagnes. De reden is dat de overheid zich zorgen maakt over de naleving van de privacyregels door TikTok.

Het besluit over TikTok bleek recent bij een nieuwe campagne van het ministerie van Financiën om jongeren te wijzen op de risico’s van cryptomunten. De uitingen zijn wel te zien bij Snapchat, YouTube en Twitch, maar niet op TikTok, zo meldt het FD.

Lees hier het artikel van het FD, waarin ook de claim van Stichting Take Back Your Privacy wordt genoemd.

TikTok heeft meer dan twintig privacyzaken (class actions) in de Verenigde Staten geschikt.

In deze privacyzaken werd TikTok verweten de Amerikaanse privacywetgeving aan haar laars te hebben gelapt door zonder toestemming en heimelijk privé-informatie van Amerikaanse TikTok-gebruikers te verzamelen en te delen met derde partijen (waaronder Facebook en Google) om daar geld aan te verdienen. Voorbeelden van persoonsgegevens die door TikTok in de app werden verzameld zijn biometrische gegevens (zoals een gezichtsscan), geolocatie en video’s die via de app waren opgenomen maar vervolgens niet publiek waren gemaakt (en dus niet ‘bewaard’ of ‘gedeeld’).

Naast de schadevergoeding die TikTok gaat betalen (USD 92 miljoen), zal TikTok diverse wijzigingen doorvoeren voor haar Amerikaanse gebruikers. Zo zal TikTok niet langer:

de app gebruiken om biometrische informatie van een gebruiker te verzamelen of op te slaan;
de app gebruiken om geolocatie of GPS-gegevens te verzamelen;
de app gebruiken om gebruikersgegevens naar buiten de Verenigde Staten te verzenden;
gebruikersgegevens opslaan in databases buiten de Verenigde Staten;
door gebruikers gegenereerde content uploaden naar de servers van de app voordat de gebruiker deze opslaat of publiceert.

Indien TikTok deze activiteiten toch wil uitvoeren, moet zij dit uitdrukkelijk vermelden in haar privacybeleid.

TBYP is van mening dat TikTok deze wijzigingen (aangepast op de Europese privacywetgeving) niet alleen zou moeten doorvoeren voor haar Amerikaanse gebruikers, maar ook voor de Nederlandse gebruikers en zeker voor minderjarigen. TBYP is in Nederland in samenwerking met de Consumentenbond een actie gestart tegen TikTok wegens het overtreden van de privacy- en consumentenregels. Je kunt je hier nog altijd bij aansluiten! Klik hier voor meer informatie en om je aan te melden.

De Italiaanse privacytoezichthouder (Garante per la protezione dei dati personali, “GPDP”) heeft een duidelijke boodschap voor TikTok: het gebruiken van persoonsgegevens van gebruikers voor profilering en gepersonaliseerde advertenties mag alleen met toestemming van de TikTok-gebruiker.

TikTok kondigde recentelijk wijzigingen van haar privacybeleid aan. Zij informeerde haar gebruikers dat personen ouder dan 18 jaar vanaf 13 juli 2022 “gepersonaliseerde” advertenties zouden ontvangen. Deze personalisatie vindt plaats op basis van het profileren van het gedrag van gebruikers tijdens hun gebruik van TikTok. De grondslag voor die verwerking van persoonsgegevens zou volgens TikTok niet langer de toestemming van de gebruiker zelf zijn, maar vaag omschreven “gerechtvaardigde belangen” van Tik Tok en haar partners.

De GPDP concludeert nu dat de wijziging van de rechtsgrondslag onverenigbaar is met de Europese privacyregels. Hierin wordt uitdrukkelijk bepaald dat hiervoor toestemming van de gebruiker nodig is. Ook de gebrekkige bescherming van de minderjarige gebruikers baart de GPDP ernstige zorgen. Volgens de GPDP heeft TikTok problemen met het op de juiste wijze vaststellen van de leeftijd van de gebruiker. Hierdoor bestaat het risico dat “gepersonaliseerde” advertenties met ongeschikte inhoud worden getoond aan zeer jonge gebruikers.

TikTok heeft inmiddels aangegeven dat de uitrol van het deel van het aangepaste privacybeleid dat ziet op de gepersonaliseerde advertenties, voorlopig wordt uitgesteld.

Het volledige persbericht van de GPDP is hier (in het Engels) te lezen. Het standpunt van de GPDP sluit aan bij de procedure die TBYP tegen TikTok voert. Op 10 oktober 2022 vindt de eerste zitting in deze procedure plaats. U kunt uw kind nog aanmelden voor onze actie via de website van de Consumentenbond.

Uit een Amerikaans onderzoek blijkt dat TikTok de (persoons)gegevens die zijn verzameld van Amerikaanse gebruikers, toegankelijk zijn (geweest) voor TikTok’s moederbedrijf (ByteDance) in China. Uit verschillende audio opnames blijkt dat werknemers van ByteDance in China toegang hadden tot deze gegevens, hoewel TikTok dit eerder nog ontkende. Volgens TikTok zouden de door TikTok in Amerika verzamelde gegevens het land niet verlaten, maar dit blijkt nu toch het geval te zijn geweest. Dat ByteDance in China inzage had in deze gegevens van Amerikaanse TikTok gebruikers, is door TikTok bevestigd in een brief aan Amerikaanse senatoren.

De gegevens omvatten zowel de persoonsgegevens van Amerikaanse gebruikers, zoals hun telefoonnummer en geboortedatum, alsook welke video’s zij uploaden of bekijken. Hierdoor bestaat de mogelijkheid dat de Chinese overheid inzage heeft verkregen in gevoelige informatie van Amerikanen, wat uiteraard volstrekt onwenselijk is. Of ook de gegevens van Europese TikTok-gebruikers toegankelijk zijn in China is nog onduidelijk maar in een van de audio opnames wordt gezegd dat “alles in China wordt gezien”.

TBYP heeft in haar dagvaarding aan de kaak gesteld dat TikTok ten onrechte persoonsgegevens doorgeeft aan derde landen, waaronder China. Dit alarmerende onderzoek laat zien dat de zorgen van TBYP nog steeds actueel zijn.