Op bijna elke website bestaan links naar andere websites. Wanneer een bezoeker op een link klikt, worden noodzakelijkerwijs persoonsgegevens overgedragen. Is dat een probleem voor de privacy? Hoe zit het met doelen van links in onzekere derde landen als de VS?
Inleiding
Een link of een verlinking is een hyperlink, die op HTML-pagina's mogelijk is. Een HTML-pagina is dat, wat veel mensen onder de term "webpagina" begrijpen. HTML staat voor HyperText Markup Language.
In HTML zijn er zogenaamde Tags. Een Tag is een instructie. Een Tag regelt de uiterlijk of het gedrag van tekst. Met de tag <b> kan bijvoorbeeld vetgedrukte tekst voor een tekstpassage worden geactiveerd. De tag <a> definieert in plaats daarvan een link. Voorbeeld van een linkdefinitie:
<a href="https://www.ein-linkziel.de">Klik hier om naar de andere website te gaan</a>
De tag wordt gedefinieerd door een linkdoel, dus een doeladres (URL) en een met de a-tag omgeven tekst. Klikt de gebruiker op de tekst, wordt het doeladres aangevraagd.
Gegevensoverdracht bij klikken op een link
Eerst wanneer een gebruiker van zichzelf op een link klikt, vindt er een gegevensoverdracht plaats. Eerst dan vindt dus een gegevensverzameling plaats. Een gegevensverzameling ligt voor, zodra op basis van een aanbod van een verantwoordelijke gegevens bij de aanbieder of een derde ontvangen en feitelijk tot kennis kunnen komen.
Een verantwoordelijke is in het geval van een externe link de Linkgever, dus degene die verantwoordelijk is voor de website waarop de externe link staat.
De bij het klikken op een link overgedragen gegevens zijn technisch noodzakelijk en door het Internet Protocool TCP bepaald. TCP staat voor Transmission Control Protocol.
De overgebrachte gegevens bevatten de IP-adres van de gebruiker. De IP-adres als netwerkadres is een persoonsgebonden waarde. Dit hebben het EHRM en het Duits Hoge Regericht vastgesteld. Dat geldt zelfs voor dynamische IP-adressen, dus die die regelmatig worden herverkocht. Ook al krijgt een gebruiker elke dag van zijn internetdienstverlener een nieuwe IP-adres toegewezen, dan wordt deze als persoonsgebonden beschouwd.
Bij elk klikken op een externe link worden persoonsgegevens aan een derde overgedragen
Consequenties van het internetprotocol TCP
Gegevensverwerking bij doelstelling
De linkgever is niet verantwoordelijk voor de gegevensverwerking die het doel van de link zelfstandig uitvoert. Dat zou anders zijn als er een instructie door de linkgever what. Ook een gezamenlijke verantwoordelijkheid tussen linkgever en linkdoel, die kan ontstaan door een overeenkomst, is een andere zaak.
Het doel van de link is dus zelf verantwoordelijk voor het verwerken van de gegevens die het op basis van een klik op de externe link op de website van de linkgever ontvangt.
Doelwit in veilig buitenland
In een veilig buitenland is op officiële en formeel niveau in ieder geval een gelijkwaardig niveau van bescherming van de persoonlijke levenssfeer geregeld, vergelijkbaar met de DSGVO.
Als het linkdoel zich in een veilig derde land bevindt, is de linkgever alleen verantwoordelijk voor de gegevensoverdracht en de gegevensinwinning die hij zelf heeft aangezocht. De gegevensoverdracht is technisch noodzakelijk. Hiervoor kan niemand verantwoordelijk zijn. Er mag wel een verantwoordelijkheid aanwezig zijn. Om niets verantwoordelijk te zijn, is feitelijk hetzelfde als niet verantwoordelijk te zijn.
De gegevensverzameling bij het linkdoel mag alleen plaatsvinden in zoverre dit op grond van de DSGVO is toegestaan. Bijvoorbeeld kan het linkdoel maatregelen treffen om de systemen te beveiligen tegen hackers, maar niet de registratie van IP-adressen voor marketingdoeleinden. Hiervoor is het linkdoel verantwoordelijk.
In dit geval is de linkgever feitelijk niet aansprakelijk op grond van de overdracht van gegevens noch op grond van de verzameling van gegevens.
Er is feitelijk geen verantwoordelijkheid voor een linkgever bij linkdoelen in veilige derde landen.
Doelwit in onzekere derde land
Een complexere beschouwing is nodig bij linkdoelen in onzekere derde landen. De VS zijn en blijven een onzeker derde land, zolang de Amerikaanse Cloud Act in zijn huidige vorm van kracht is. Daaraan verandert ook elke vaststelling van de EU niets. Helaas heeft de EU onze grondrechten verkocht door weer eens een puur politiek gemotiveerd gegeven overeenkomst over gegevensbescherming, genaamd Data Privacy Framework (DPF), met de VS te sluiten. Het DPF is gebaseerd op een Executive Order van de Amerikaanse president, die elke keer kan worden ingetrokken. Onafhankelijk daarvan worden EU-burgers niet voldoende goed beschermd tegen spionage door de VS. De kroon wordt hierop gezet doordat een orgaan in de VS als rechter wordt aangeduid, maar geen ordentelijke rechter is, maar een toneelbühne. Onafhankelijk daarvan moet worden nagegaan welke derde landen in het spel komen wanneer een dienstverlener met gegevens wordt bevoorraad. Vooral bij Google worden vaak vele andere derden uit andere derde landen betrokken, waarvoor vaak geen passend besluit bestaat.
Artikel 44 van de Algemene Verordening Gegevensbescherming definieert algemene beginselen voor gegevensoverdracht. Deze beginselen betekenen dat een overdracht van persoonsgegevens,"die al verwerkt zijn of na hun overdracht in een derde land of internationale organisatie zullen worden verwerkt“ alleen onder bepaalde omstandigheden is toegestaan.
De gegevensuitwisseling naar de VS is alleen na voorafgaande toestemming van een betrokken persoon toegestaan. Een verwerking van de overgezonden gegevens bij de bron heeft nog niet plaatsgevonden.
Uit dit volgt meerdere vragen bij externe links.
Klikt een gebruiker op zo'n link, heeft hij dan toestemming gegeven? Een toestemming is volgens Artikel 4 Nr. 11 DSGVO "iedere vrijwillige voor het bepaalde geval, in geïnformeerde en onmiskenbare vorm afgegeven verklaring of andere duidelijke bevestigende handeling waarbij de betrokken persoon begrijpt dat hij akkoord is met de verwerking van zijn persoonsgegevens".
Een klassieke toestemming, zoals je die van zogenaamde Cookie Popups kent, is anders geregeld. Daar klik je op Akkoord of Weigeren. Een weigering is daar idealiter net zo makkelijk mogelijk als een akkoord. Een toestemming bij het klikken op een link ligt naar mijn mening voor, wanneer de gebruiker hiervoor eerder what geïnformeerd. Want een toestemming vereist hier een klik, een weigering daarentegen geen klik, dus niet meer moeite, maar zelfs minder.
Een informatie aan de gebruiker kan alleen plaatsvinden als een externe link op die manier herkenbaar is. Veel websites stellen interne en externe links gelijkwaardig voor. Dit volstaat naar mijn mening niet om de gebruiker te informeren. Omdat de gebruiker uit angst, een externe link aan te klikken, misschien helemaal geen link meer zal klikken. Dit zou hoogstens door duidelijke linkteksten kunnen worden hersteld of door een algemene aankondiging dat geen externe links worden gebruikt en dat deze geen gegevensoverdracht in onzekere derde landen betekenen.
Klikt een gebruiker op een link die naar de VS verwijst, zullen dan volgens artikel 44 DSGVO gegevens na overdracht naar de VS verwerkt worden? Yes, want al vindt er met het verzamelen van gegevens reeds een verwerking plaats. Het verzamelen van gegevens vindt vrijwel altijd plaats wanneer een website wordt opgeroepen (tenzij de oproep naar de website wordt geblokkeerd of niet doorgaat om andere zeldzame redenen, bijvoorbeeld door een verbinding te verliezen).
Waar landen de gegevens bij het klikken op een link?
De vraag wanneer een gegevensoverdracht naar een onzekere derde land plaatsvindt, hangt af van wie de ontvanger is. Op het internet is dit niet zo eenvoudig te beantwoorden.
De weg van de data is gekenmerkt door een start- en eindpunt. Het startpunt is het browsertype van de bezoeker van een website. Het eindpunt is de server waarnaar de aanvraag van de gebruiker gericht is, in ons geval de server die het linkdoel vertegenwoordigt.
Voor het gemiddelde geval is er maar één server waarop een website, dus een doel van een link, zich bevindt. Niet zelden vindt men echter een lastverdeling plaats. Vooral grotere bedrijven als Google maken gebruik hiervan. Maar ook webpagina's van Duitse online winkels gebruiken vaak bij het voorkomen van storingen een lastverdeling, bijvoorbeeld via een Content Delivery Network (CDN) zoals Cloudflare.
Wat is het doel?
Bij een lastverdeling kan de Domain Name Service (DNS) verantwoordelijk zijn voor het bepalen welke server daadwerkelijk wordt geraadpleegd. De DNS kan zelfs door de gebruiker worden ingesteld. Verschillende DNS kunnen theoretisch verschillende doel-servers teruggeven voor een aanvraag naar één en dezelfde adres, op hetzelfde moment.
Verder is het niet onverantwoordelijk dat alleen het land waar een server staat, relevant is voor de vraag of bijvoorbeeld de Amerikaanse geheime dienst daarop toegang heeft. Integendeel moet de hele organisatiestructuur in ogenschouw worden genomen. Een filiaal van een Amerikaanse centrale dat in Duitsland zit en waarvan de centrale het bevel geeft, kan naar mijn mening ook door Amerikaanse autoriteiten opgeroepen worden om gegevens af te geven. Ofwel overtreedt dan de centrale het Amerikaanse of Europees recht. Ik zou wedden dat inheemse bedrijven liever nationale wetten naleven dan uitladersche stellingen of personen tevreden te stellen.
Kortom: Ze weten vaak niet waar de gegevens terecht komen als ze van een link afkomen. Als de verantwoordelijke van een website hiervan kennis heeft, dan is het logisch om te denken dat hij ook verantwoordelijk is voor het doorsturen naar het doel van de link.
Doelwit verdraaien
Maar dat is nog niet alles: Stel dat u een link naar de website X maakt. De server hiervoor staat in Duitsland en de eigenaar is een Duitse onderneming. Tot nu toe is alles goed. Maar dan kan de eigenaar van de website besluiten om zijn domeinnaam op te geven, waarna iemand anders zich daarvan meester kan maken. Of de eigenaar beslist om de website X naar de website Y te leiden. Y kan op elke server staan.
Zodra de linkgever erft dat een nieuw doel voorligt, kan voor hem een verantwoordelijkheid ontstaan.
De weg naar het doel
Daarbij rijst de vraag welke route de gegevens afleggen van startpunt naar eindpunt. Gaan de gegevens door een Amerikaanse knooppunt, dan is het mogelijk dat ze worden opgepikt door een Amerikaanse inlichtingendienst. Deze vraag rijst ook voor links die verwijzen naar een pagina van de website die net bezocht werd. In zoverre kan deze vraag mijns inziens (tot nader order) als irrelevant worden beschouwd, omdat ze te ver reikt.
Hier geldt naar mijn mening dat de kennis over de weg van de linkbron naar het doel van de link door de linkgever voor hem een verantwoordelijkheid zou kunnen betekenen voor de route van de gegevens.
Hoe groot kan de verantwoordelijkheid worden?
Eerst moet vastgesteld worden dat de linkgever geen gegevens uit een klik op een link bij zich verzamelt. De situatie waarin dit wel het geval zou zijn, wordt hier niet verder behandeld omdat het dan om een handeling zou gaan die door de linkgever zelf zou moeten worden aangerekend.
De gegevensverwerking bij het linkdoel ligt niet in de verantwoordelijkheid van de linkgever. Hij zou alleen dan mogelijk zelfstandig of gezamenlijk verantwoordelijk zijn als de gegevensverwerking bij het linkdoel ook uit eigenbelang van de linkgever plaatsvond of een contractuele relatie tussen linkgever en linkdoel bestond.
Op websites moeten externe links herkenbaar en hun risico's genoemd zijn.
Mijn aanbeveling
De overdracht van gegevens naar een onzekere derde land is aanvankelijk te wijten aan de linkgever als verantwoordelijke. De verantwoordelijkheid kan volgens mij alleen worden verminderd of uitgeschakeld door de gebruiker voor het klikken op een externe link te laten weten welke risico's ermee verbonden zijn.
Als de linkgever op de hoogte is van kritische omstandigheden, ontstaan er naar mijn mening nog meer vragen over verantwoordelijkheid.
De verantwoordelijke achtte externe links niet correct aan of informeerde de gebruiker niet voldoende over mogelijke risico's, hij is dus verantwoordelijk voor de privacyproblemen die kunnen ontstaan door het overdragen van gegevens naar onzekere derde landen.
Overige verantwoordelijkheden
Naast privacyvraagstukken rijzen ook inhoudelijke en auteursrechtelijke vragen bij verwijzingen naar derden.
Een linkgever is verantwoordelijk voor het verwijderen van een link zodra hij kennis heeft genomen van illegale inhoud bij de linkdoelstelling. Dit heeft niets met gegevensbescherming te maken en wordt hierom niet verder behandeld.
Ook worden hier geen gevallen verder onderzocht waarin de linkgever contact heeft met het linkdoel, bijvoorbeeld via een contract.
Conclusie
Een verantwoordelijkheid voor externe links die naar websites verwijzen die in veilige derde landen liggen, kan bijna uitgesloten worden. Maar er bestaat een klein restrisico vanwege de mogelijkheid dat het linkdoel op een nieuw doel doorverwijst. Ook kan een dochteronderneming van een Amerikaanse moeder toegerekend worden, waardoor de locatie van het echte linkdoel niet meer alleen bepalend is.
Naast de vragen die de DSGVO oproept, is mij een bepaling in het Telemediengesetz opgevallen. Deze heeft een zekere explosieve kracht.
Artikel 13, lid 5 van de TMG luidt:
De doorverwijzing naar een andere dienstenleverancier moet aan de gebruiker worden aangegeven.
Artikel 13, lid 5 van de TMG
In hoeverre het TMG wordt verdrongen door de DSGVO moet nauwkeurig worden onderzocht. Is het wetsgever erin geslaagd om Europese voorschriften te implementeren, dan kan ervan uitgegaan worden dat een met Europees recht conform interpretatie van het TMG moet worden gehanteerd. Dit is in ieder geval beslist in de uitspraak van het Bundesgerichtshof (BGH) over Planet 49 voor artikel 15 lid 3 TMG. Die voorschrifte uit het TMG dient volgens artikel 5 lid 3 ePrivacy Richtlijn te worden geïnterpreteerd. Hieruit ontstaat een toestemmingsvereiste volgens de richtlijn, die in het TMG helemaal niet wordt genoemd.
In zoverrekening vermoed ik dat artikel 13 TMG in ieder geval gedeeltelijk door de AVG wordt vervangen. Hierdoor hoeft de doorverwijzing naar een andere dienstverlener niet noodzakelijkerwijs expliciet te worden aangegeven. Om die redenen is dit echter zeer aan te bevelen of kan het zelfs indirect voortvloeien. Ook mogelijk is dat alleen een deel van artikel 13 TMG door de AVG wordt vervangen, maar niet artikel 5. Dit klinkt voor mij in ieder geval realistisch, omdat een strengere Duitse regeling geen tegenstelling vormt met de Europese AVG.
My name is Klaus Meffert. I have a doctorate in computer science and have been working professionally and practically with information technology for over 30 years. I also work as an expert in IT & data protection. I achieve my results by looking at technology and law. This seems absolutely essential to me when it comes to digital data protection. My company, IT Logic GmbH, also offers consulting and development of optimized and secure AI solutions.
