Is een Facebook login op je website wel in overeenstemming met de regels die de Autoriteit Persoonsgegevens heeft opgesteld (de AVG-wetgeving)? Veel sites bieden een optie aan bezoekers om via Facebook in te loggen. Is deze Social Login gebruiken voor gebruikers én website beheerders, een verstandige zet?

Recent kwam ik op Facebook een enthousiast artikel tegen van een ontwikkelaar over de Facebook login voor websites. Ik opperde enige bezwaren, maar die werden min-of-meer van tafel geveegd. De verantwoording werd gelegd bij de gebruiker “want, die geeft toestemming er voor” immers?

Natuurlijk heeft het voor beheerders van websites, zeker voor WordPress websites, een aantal voordelen.

Als eerste is daar het feit dat je zelf minder of zelfs geen accounts hoeft te onderhouden. Zeker wanneer je een social plugin afdwingt (bij veel nieuwssites het geval).

Geen emails van mensen dat ze hun wachtwoord kwijt zijn, verzoeken tot verwijdering of inzage in gegevens (AVG) e.d. want: dat is allemaal geregeld bij Facebook immres? En als tweede, ook niet onbelangrijk: eenvoudig te installeren op je website. Bijvoorbeeld de plugin Social Login Lite. Tot slot, nog een groot voordeel, gebruikers hoeven geen (extra) gebruikersnaam en wachtwoord te onthouden. En aangezien het gemak de mens dient,…

TOEGANG TOT DATA VAN FACEBOOK
Daarnaast is er voor de website eigenaren nog een 4e voordeel, dat meestal niet hardop genoemd wordt richting de gebruikers die een Facebook Login gebruiken: als ze die gebruiken, krijg je toegang tot allerlei interessante data van de gebruikers… Zoals Facebook het zelf omschrijft:

Als je je met je Facebook-account aanmeldt bij een website, krijgt die website toegang tot gegevens die je op Facebook hebt toegevoegd. Deze website doet dit om je een sociale en gepersonaliseerde ervaring te bieden. (Facebook).

Met andere woorden: targeting. Iemand bezoekt Uw website, en vervolgens wordt hij of zij tot in lengte van dagen gevolgd en achtervolgd, namens U, door de sociale media met advertenties van Uw bedrijf.

WIE IS DE GEGEVENSVERWERKER?
Wie de regels voor bedrijven, van Facebook, er op naslaat (klik hier) ziet dat er behoorlijk wat haken en ogen aan een simpele “Facebook login” kunnen zitten. Wie is de gegevensbeheerder, wie is de gegevensverwerker? Mag je de gegevens, als website/bedrijf die Facebook je ter beschikking stelt überhaupt gebruiken? Je kunt namelijk toegang krijgen, via een Social Media Login, tot allerlei persoonlijke gegevens van iemand. Inclusief, bijvoorbeeld, zijn of haar vriendenlijst, posts doen op de tijdlijn, etc.

Stel, je hebt een online webwinkel. En je biedt, om mensen het makkelijk te maken (en omdat je ze vanuit marketingoogpunt toch wel een beetje wilt volgen op internet) een Social Login via Facebook of Google. Mag je dan hun vriendenlijst ‘binnenhalen’ van de AVG? Mag je namens hen posts doen op Google+ of Facebook? Argument om dit met “Ja” te beantwoorden is “Ze hebben immers toestemming gegeven”. Dat is juist, mensen geven toestemming voor het gebruik van een Social Login. Maar.. beseffen ze zich welke toegang ze daarmee geven? Daarvoor moet je dan heel heldere voorwaarden communiceren op je website!

GRONDSLAGEN VOOR VERWERKING
De AVG stelt dat er aan minimaal één van de onderstaande grondslagen moet worden voldaan alvorens U de gegevens mag verzamelen en verwerken. U mag alleen ‘gewone’ persoonsgegevens verwerken wanneer u de gegevensverwerking op minimaal 1 van de 6 AVG-grondslagen kunt baseren.

• Toestemming van de betrokken persoon.
• De gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst.
• De gegevensverwerking is noodzakelijk voor het nakomen van een wettelijke verplichting.
• De gegevensverwerking is noodzakelijk ter bescherming van de vitale belangen.
• De gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag.
• De gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen.

U bent zelf verantwoordelijk om te beoordelen of u zich voor een verwerking van persoonsgegevens kunt baseren op één van de 6 grondslagen. Wie niet voldoet aan de voorwaarden loopt het risico een enorme boete te krijgen bij oneigenlijk verzamelen of zelfs gebruiken van (die) gegevens.

ZIJN FACEBOOK GEGEVENS GEWONE PERSOONSGEGEVENS?
Zijn de gegevens welke U via Facebook en Goolge in handen gespeeld krijgt c.q. toegang tot kunt krijgen wel gewone persoonsgegevens?

Zijn de gegevens van een Social Login van Google of Facebook gegevens die U voor een leverancier-klantrelatie nodig hebt? Of voor de login van een Forum of website-registratie (bijvoorbeeld voor een nieuwssite waarmee u via de Google of Facebook-login toegang tot een discussie-optie biedt).

Het is behoorlijk glad ijs naar mijn oordeel. Een Social Media profiel van Google of Facebook bevat al snel bijzondere persoonsgegevens. Bijvoorbeeld iemands etnische gegevens (direct of indirect herleidbaar, via de profielfoto of geboorteland-gegevens bijvoorbeeld). Of iemand deelt iets over zijn of haar medische situatie. Zonder te beseffen dat U daar mogelijk ook toegang tot hebt.. Waar U helemaal niets mee te maken hebt of zelfs maar mág hebben.

UW PRIVACY PROTOCOL
Naast deze te beantwoorden vragen is er natuurlijk ook nog een aangepast privacy-protocol nodig als U wel gebruik wilt maken van een Social Plugin – zie daarvoor de eerdere links naar Facebook als voorbeeld.

WEL OF NIET DOEN?
Er kleven dus de nodige risico’s aan zo’n eenvoudig te installeren en gebruiken plugin c.q. optie voor uw website. De privacy van gebruikers (keten-volgen door U, Facebook en haar adverteerders) wordt al snel geschonden. Hoe zit het met de “AVG-aspecten” als andere adverteerders kunnen zien dat mensen Uw website bezoeken? Of, dat U kunt volgen wat ze op Facebook of Google doen of bij andere websites (voorzover mogelijk)?

Ook maakt U uw website afhankelijk van een 3e partij waarvan de invloed niet bekend is qua data verzamelen en aan anderen verstrekken. Die biedt de dienst daarnaast nu nog gratis aan, maar op een zekere dag kan er worden besloten dat er voor betaald moet worden. Als U uw bedrijfsvoering (via de website) hebt ingericht op Social Logins is er in dat geval sprake van een ‘vendor-lock’.

Tot slot betekent een ‘hack’ van een Facebook of Google account dat er ook oneigenlijke toegang tot Uw site mogelijk is. Als beheerder/eigenaar van een website weet je namelijk eigenlijk helemaal niet wie zich aanmeldt (geen verificatie mogelijk!) met een Social Media Login.

Is een Social Login in overeenstemming met de AVG? Ik heb persoonlijk sterke twijfels en als U het al gebruikt, zorg dan dat er een jurist naar gekeken heeft(!) alvorens een dergelijke plugin of login te activeren. Is het wel verstandig om te gebruiken? Mijns inziens zijn, gezien vorenstaande, er meer (goede) redenen om het niet te doen dan wél!

___
Alle rechten (c) 2018, R. Brinkman, Brinkman.IT