Vragen en antwoorden over Privacybescherming Microsoft

www.sp.nl

Parlementaire vraag van Erik Meijer (GUE/NGL) aan de Commissie
(04 maart 2002)

Betreft: Het onvrijwillig inzamelen van gegevens van gebruikers door Microsoft ‘.NET Passport’ en maatregelen om hun privacy te beschermen

1. Is de Commissie bekend met de gratis dienst '.NET Passport' van Microsoft, die erop gericht is om consumenten online tijdens een aankoop, een spel, een sollicitatie of een bankboeking voortdurend hun persoonlijke gegevens te laten inzamelen door bijv. een e-mail adres (hotmail), een chatprogramma (MSN Messenger), een winkel (Expedia.com), een veiling (QXL), een community (MSN Communities) of een hotelketen (Hilton.com), wat tot gevolg heeft dat met name door bezitters van een hotmail-adres sluipenderwijze en onopgemerkt een enorme hoeveelheid persoonlijke gegevens wordt afgegeven aan een onbekende?

2. Is het de Commissie tevens bekend dat het niet aanmelden bij '.NET Passport' leidt tot uitsluiting van (diensten) van veel sites, dat uitschrijving niet mogelijk is, dat periodiek alleen verouderde gegevens worden verwijderd en dat de op te geven wachtwoorden van minimaal slechts zes tekens voor een deel gemakkelijk zijn te achterhalen door anderen die zich voordoen als systeembeheerder of veel kennis dragen van woordenboeken?

3. Acht de Commissie het aanvaardbaar dat gebruikers van openbare terminals in universiteiten, bibliotheken en internetcafé's bij niet correct uitloggen hun vertrouwelijke gegevens kunnen overdragen aan een volgende gebruiker; dat bij het verhuren van software per internet (gebruik maken van de servers van Microsoft in plaats van de eigen harde schijf) toegang alleen mogelijk is met '.NET Passport', en dat Microsoft door een feitelijke monopoliepositie in de nabije toekomst een hoge prijs in rekening kan gaan brengen voor thans nog gratis geleverde diensten?

4. Is het opbouwen van een zeer uitgebreide database met persoonsgegevens door een dominant bedrijf legaal? Is '.NET Passport' aangemeld bij de nationale instellingen die toezien op de toepassing van privacy-wetgeving? Bestaat in iedere lidstaat deze verplichting? Geldt zo'n verplichting ook indien de database niet op het grondgebied van een lidstaat van de EU staat?

5. Kunnen nationale of Europese opsporingsdiensten zonder voorafgaande toestemming door de betrokkene of door de rechter beschikken over de ingezamelde gegevens?

6. Ziet u aanleiding tot nadere regelgeving om misbruik door belanghebbenden en ondermijning van geldende privacy-regels op een sluitende wijze onmogelijk te maken?

Antwoord van de heer Bolkestein
namens de Commissie
(7 mei 2002)

1-3. De Commissie is inderdaad op de hoogte van het systeem .NET Passport van Microsoft en van de hieraan toegeschreven mogelijkheden en deelt de bezorgdheid van het geachte Parlementslid over bepaalde aspecten. Zij heeft met spoed en in samenwerking met de nationale gegevensbeschermingsautoriteiten een onderzoek ingesteld om te zien of dit systeem al dan niet in strijd is met de EU-wetgeving inzake gegevensbescherming.

4. Een bedrijf dat in de Europese Unie actief is, valt onder het Gemeenschapsrecht en kan een databank met persoonsgegevens opbouwen, op voorwaarde dat wordt voldaan aan de eisen van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens . De gegevens moeten onder meer voor specifieke en gerechtvaardigde doeleinden worden verkregen en de betrokkene moet in kennis worden gesteld van de identiteit van de voor de verwerking verantwoordelijke, van de doeleinden van de verzameling en van zijn of haar rechten, zoals het recht op toegang tot de eigen persoonsgegevens. Wanneer voor de verwerking toestemming is vereist, moet die volgens de richtlijn op ondubbelzinnige wijze en zonder dwang worden gegeven. De richtlijn bevat ook de verplichting om dergelijke verwerkingen bij de toezichthoudende autoriteit van de betrokken lidstaat aan te melden. In een aantal gevallen kan men echter van de verplichting tot aanmelding worden vrijgesteld. De Commissie kan op het ogenblik nog niet zeggen of deze verwerking in de Gemeenschap is aangemeld.

De vraag of en in hoeverre de richtlijn van toepassing is op een buiten de Europese Unie gevestigde databank (of voor de verwerking verantwoordelijke, om de terminologie van de richtlijn te gebruiken), met name wanneer de gegevens via internet rechtstreeks bij de betrokkenen worden verkregen, is niet eenvoudig en wordt op het ogenblik door de Commissie en de nationale gegevensbeschermingsautoriteiten aan een grondig onderzoek onderworpen. Volgens artikel 4, lid 1, onder c), is de richtlijn van toepassing wanneer een voor de verwerking verantwoordelijke persoon voor de verwerking van persoonsgegevens gebruik maakt van al dan niet geautomatiseerde middelen die zich op het grondgebied van een lidstaat bevinden. Dat betekent dat de richtlijn ten minste in sommige gevallen van toepassing is op voor de verwerking verantwoordelijken buiten de Gemeenschap. Voorts is het mogelijk dat specifieke nationale regels betreffende een derde land waar de voor de verwerking verantwoordelijke is gevestigd van toepassing en binnen dat rechtsgebied uitvoerbaar zijn. Microsoft heeft in dat verband het Amerikaanse ministerie van Handel ervan in kennis gesteld dat het een privacybeleid voert dat in overeenstemming is met de Veiligehavenbeginselen.

5. Op grond van wetgeving kunnen opsporingsdiensten zonder voorafgaande toestemming van de betrokkene of de rechter over de ingezamelde gegevens beschikken, op voorwaarde dat het recht op verweer van de betrokkene wordt geëerbiedigd en dat de beperking van het recht op bescherming van de persoonlijke levenssfeer strikt noodzakelijk is voor het strafrechtelijk onderzoek. De in het kader van dat onderzoek verzamelde informatie mag bovendien alleen worden gebruikt, voor zover dat noodzakelijk is voor dat onderzoek.

6. Overeenkomstig artikel 33 van Richtlijn 95/46/EG gaat de Commissie de toepassing van deze richtlijn na; zij verwacht voor het eind van het jaar hierover verslag uit te brengen. In dit verband zal ook aandacht worden besteed aan ondermijning van de geldende regels.