Franse autoriteit beboet Google opnieuw

De Commission Nationale de L’Informatique et des Libertés (CNIL), de Franse tegenhanger van de Autoriteit Persoonsgegevens, heeft op 10 december jl. voor de tweede keer fors uitgehaald naar Google voor het overtreden van de Europese Algemene Verordening Gegevensbescherming (GDPR-AVG in Nederlands) door het plaatsen van cookies zonder toestemming van de websitebezoeker en het geven van onduidelijke informatie.

In 2019 legde CNIL Google voor een soortgelijke overtreding 50 miljoen boete op. Het beroep van Google bij de Franse rechter daartegen mocht niet baten. Op 19 juni 2020 gaf het Franse Gerechtshof de Franse privacy toezichthouder gelijk en bleef de boete staan op 50 miljoen.

Kennelijk heeft Google er weinig van geleerd. De Franse waakhond beet zich vast en voerde, dit keer ook bij Amazon, online onderzoek uit van medio december 2019 tot medio mei 2020. En wat bleek? Google Fr plaatste soms automatisch cookies op de computer van een bezoeker zonder dat daar enige handeling of toestemming voor nodig was, en gebruikte cookies voor advertentiedoeleinden. Amazon Fr, nog niet eerder voorwerp van onderzoek, bleek hetzelfde te doen. In beide gevallen dus een duidelijke inbreuk op de GDPR.

Voor serieovertreder Google betekende dit een verdubbeling van de boete: van de eerste 50 miljoen nu naar 60 miljoen voor het moederbedrijf en 40 miljoen voor Google Ireland die Europa bestiert. Amazon Europa kwam er tot nu toe vanaf met 35 miljoen.

Daarmee bleef de Franse toezichthouder Europees recordhouder boetes voor overtreding van de privacy verordening. Om een idee te geven; de hoogste boete tot nu toe die de AP heeft uitgedeeld staat op €725.000 voor het verplichten van werknemers tot het geven van vingerafdrukken.

Blijft het daarmee een Franse aangelegenheid? Verre van! De nationale toezichthouders zijn Europese organen en stemmen hun beleid op elkaar af. Mocht Google NL een soortgelijke inbreuk maken op de privacywetgeving dan telt de uitspraak van de Franse toezichthouder wel degelijk mee, zeker zolang het Europees Hof er niet anders over heeft geoordeeld. Je kunt zeggen dat CNIL een voorhoederol speelt door zo stevig de strijd aan te gaan met giga-platforms als Google en Amazon. Uitwijken naar een land met een mildere toezichthouder zal niet baten, want ook een Nederlandse rechter zal zich rekenschap geven van de uitspraken van zijn Franse collegae, nu de bedoeling van de Europese Verordening is om de privacyregels te harmoniseren. Nederlandse websitebezoekers van Google e.a. kunnen zich bij een soortgelijke overtreding dus wel degelijk op de uitspraak van de Franse toezichthouder beroepen.