AP geeft handvatten rondom webscraping: vrijwel nooit toegestaan vanuit AVG -perspectief
Recentelijk heeft de Autoriteit Persoonsgegevens (AP) een handreiking omtrent ‘webscraping’ gepubliceerd. Webscraping is een geautomatiseerde methode om informatie van websites te extraheren. Volgens de AP kleven er veel privacyrisico's aan het scrapen. Uit de handreiking blijkt dat webscraping vanuit AVG-perspectief vrijwel nooit is toegestaan voor zowel private partijen als particulieren, tenzij ze zeer gericht te werk gaan.
Webscraping
Webscraping is een techniek waarbij geautomatiseerde software wordt gebruikt om zo informatie van websites te extraheren. Dit proces is ook wel bekend onder de naam scraping of webharvesting. Het proces van het scrapen omvat het doorzoeken van webpagina's en het verzamelen van specifieke gegevens, zoals tekst, afbeeldingen links of andere elementen. Webscraping wordt ingezet voor verschillende doeleinden, denk aan analyse, onderzoek, of het samenstellen van datasets.
De richtlijnen
Vanwege de grote privacyrisico's heeft de AP een handreiking gepubliceerd die in gaat op de juridische mogelijkheden voor het gebruik van scraping door private organisaties en particulieren. De richtlijnen dienen als hulpmiddel om te beoordelen of de beoogde verwerking van gegevens is toegestaan volgens de AVG. De focus in deze richtlijnen ligt vooral op het rechtmatigheidsbeginsel van de AVG. Voor dit beginsel geldt dat voor elke verwerking van persoonsgegevens een grondslag vereist is. Artikel 6 AVG gaat over deze verwerkingsgrondslagen. Private organisaties en particulieren die van plan zijn om te scrapen, kunnen zich eventueel beroepen op de grondslag ‘gerechtvaardigd belang’. Deze richtlijnen bespreken de factoren die private organisaties en particulieren moeten overwegen bij het bepalen of zij zich op deze grondslag kunnen beroepen.
Privacyrisico's
De AP stelt dat webscraping allerlei privacyrisico's met zich meebrengt. Zo worden er via dit proces binnen een korte tijd geautomatiseerd grote hoeveelheden persoonsgegevens verzameld. Deze persoonsgegevens kunnen gevoelige en bijzondere persoonsgegevens bevatten. Ook verkeren betrokkenen in een lastige positie wanneer hun persoonsgegevens betrokken zijn bij scraping, omdat er weinig te doen valt tegen het scrapen. Betrokkenen zijn vaak helemaal niet op de hoogte van de omstandigheid dat hun persoonsgegevens worden ‘gescraped’.
Omdat er bij het scrapen doorgaans veel persoonsgegevens worden verzameld, staat webscraping aldus op gespannen voet met het privacyrecht. Zo zal het scrapen vaak een overtreding van de Algemene verordening gegevensbescherming (AVG) opleveren. Als de gegevens die via webscraping worden verzameld, persoonsgegeven bevatten, is de AVG van toepassing. Dit betekent dat alle vereisten van de AVG, zoals transparantie, doelbinding en gegevensminimalisatie, moeten worden nageleefd. De AP benadrukt dat degene die gebruikt maakt van scraping, zelf moet nagaan of de AVG van toepassing is op de verwerking. Het is daarbij van belang dat de AVG een hoog beschermingsniveau toekent aan betrokkenen. Uit het arrest Facebook Ireland/Gegevensbeschermingsautoriteit (punt 91) blijkt dat de uitzonderingen op de AVG niet ruim mogen worden uitgelegd.
Openbare informatie
Een veelvoorkomend misverstand is dat het acceptabel is om informatie van het internet te scrapen, omdat deze informatie toch al openbaar voorhanden is op het internet. Echter, de omstandigheid dat bepaalde informatie openbaar is gemaakt op internet betekent niet automatisch dat er óók toestemming is verleend voor het scrapen ervan. Toestemming voor het verzamelen van persoonsgegevens moet plaatsvinden op de manier die in de AVG en rechtspraak is voorgeschreven: op een vrijelijke, ondubbelzinnige, geïnformeerde en specifieke manier. Als bij het scrapen niet op deze manier om toestemming is gevraagd, dan is het scrapen in beginsel in strijd met de AVG, tenzij er een andere uitzondering geldt.
Grondslag
In beginsel kan het vragen van toestemming aan de betrokkenen een geldige grondslag opleveren. Dit zal in de praktijk echter wel lastig zijn, aangezien dan elke persoon van wie men de gegevens wil verwerken door middel van scraping, geïdentificeerd moet worden en om toestemming moet worden gevraagd. Dat is in de praktijk welhaast ondoenlijk.
Webscraping zal voor private partijen en particulieren vaak alleen mogelijk zijn op basis van de in de AVG neergelegde verwerkingsgrondslag van gerechtvaardigd belang. Deze grondslag vereist strenge voorwaarden. Er moet aan de volgende voorwaarden zijn voldaan:
- Er is sprake van een gerechtvaardigd belang;
- De verwerking van de persoonsgegevens is noodzakelijk voor het behartigen van dit gerechtvaardigde belang;
- De belangen of de grondrechten en de fundamentele vrijheden van betrokkene(n) wegen niet zwaarder dan het gerechtvaardigde belang van de webscraper of dat van een derde.
Deze vereisten zijn te vinden in artikel 6, eerste lid, onder f van de AVG.
Webscraping voor privégebruik
De AP maakt in de handreiking een zogenoemde huishoudelijke exceptie voor webscraping, als er persoonsgegevens worden verzameld die alleen voor persoonlijke of huishoudelijke doeleinden worden gebruikt. Het is van belang dat deze persoonsgegevens niet voor commerciële of professionele doeleinden worden gebruikt, en dat de persoonsgegevens alleen zelf worden gebruikt. Delen met een beperkte groep mensen (vrienden of familie) is nog wel toegestaan.
Webscraping en IE
Overigens is een eventuele privacyschending niet de enige juridische kwestie die webscraping met zich meebrengt. Zo kan het scrapingproces ook botsen met intellectuele eigendomsrechten. Websites kunnen bijvoorbeeld auteursrechtelijk of databankrechtelijk beschermde inhoud bevatten en het scrapen van deze inhoud kan inbreuk maken op het auteursrecht en/of databankenrecht van de maker ervan. Het creëren van publiekelijk toegankelijke databases die bestaan uit auteursrechtelijk beschermde werken die niet vrij beschikbaar zijn, zal in strijd zijn met deze rechten. Daarnaast kunnen de ‘geschraapte’ gegevens ook worden geanalyseerd met het doel om nieuwe informatie te genereren. In dat geval spreekt men van een juridisch begrip genaamd ‘tekst- en datamining’. Of auteursrechtelijk beschermde werken mogen worden gebruikt voor ‘tekst- en datamining’, is afhankelijk van de omstandigheden van het geval. Voor meer informatie verwijzen wij u naar een eerdere bijdrage van ons over tekst- en datamining, en binnenkort ook een blog over tekst- en datamining in combinatie met het ontwikkelen van kunstmatige intelligentie.
Bijzondere persoonsgegevens
Bij het scrapen van sociale media vindt er al snel een verwerking van bijzondere persoonsgegevens plaats. Dit zijn gegevens die extra gevoelig zijn en daarom extra bescherming vereisen onder de AVG. Denk aan gegevens over gezondheid, politieke voorkeuren, ras of etnische afkomst. Artikel 9 AVG bevat een opsomming van deze gegevens. Wanneer u gebruik maakt van scraping, dan moet u vooraf goed na gaan of er mogelijk bijzondere persoonsgegevens worden verwerkt om zo aan de strengere AVG-eisen voor de verwerking van bijzondere persoonsgegevens te voldoen. Er geldt voor deze categorie namelijk een zwaarder beschermingsregime.
Voor de praktijk
Het verwerken van persoonsgegevens via scraping op internet vormt volgens de handreiking van de AP al snel een aanzienlijke schending van het recht op bescherming van persoonsgegevens van de betrokkenen. Als private organisaties of particulieren gebruik willen maken van scraping of de gescrapete gegevens, moeten zij voldoen aan de principes en eisen die de AVG voorschrijft.
Als u van plan bent om gebruik te maken van webscraping is het verstandig om van tevoren te controleren of de data op een website vrijelijk te gebruiken is. Soms staat dit beschreven in de gebruikersvoorwaarden van de website. Wij helpen u graag verder met juridische kwesties rondom webscraping. Lees hier de Handreiking scraping door particulieren en private organisaties
