2015/07/03: Vonnis Facebook 25 juni 2015

Voor iedereen die zich met privacy bezighoudt, is het het recent gewezen vonnis in kort geding tegen Facebook zeer interessant. Korte samenvatting van de casus: een onbekende opent een account bij Facebook, en plaatst daar vervolgens een sexfilmpje van een jonge vrouw. Enkele dagen later wordt het account op verzoek van de onbekende gesloten, maar deze korte tijd is genoeg om het leven van de jonge vrouw in een hel te veranderen. Het slachtoffer wil van Facebook de accountgegevens krijgen om de onbekende op te sporen en aansprakelijk te stellen. Omdat Facebook op dit verzoek in eerste instantie afhoudend reageert, stapt het slachtoffer naar de rechter. Tijdens de procedure blijkt dat Facebook naar eigen zeggen niet meer over de gegevens beschikt.

Het hoeft geen nadere uitleg dat deze situatie voor het slachtoffer rampzalig is, en dat het vanzelfsprekend is dat bedrijven als Facebook alle medewerking moeten verlenen om de identiteit van de onbekende die de wraakporno geplaatst heeft, te achterhalen. Wat deze zaak bijzonder maakt is dat de relevante gegevens niet meer bestaan, en hoe de rechter daarmee omgaat: de rechter legt Facebook in het vonnis enkele verplichtingen op die voor Facebook behoorlijk nadelig zijn.  Menno Weij van SOLV Advocaten heeft hier helder uiteengezet waarom Facebook dit vooral aan zichzelf te wijten heeft.  Dat neemt niet weg dat het vonnis zelf bij nadere bestudering vragen oproept.  Bij mij heeft het een onbevredigend gevoel achtergelaten.

Van cruciaal belang in dit geheel is de tijdlijn. De onbekende dader opende een (nep-)account op 22 januari 2015, en plaatste meteen het bewuste filmpje. Zowel het slachtoffer als ook haar moeder hebben meteen en herhaaldelijk het bewuste filmpje aan Facebook gerapporteerd als aanstootgevend resp. ongepast. Het nep-account werd definitief verwijderd op 10 februari na het verzoek daartoe op 26 januari. Vanaf 26 januari ging ook de 90-dagen termijn lopen waarbinnen volgens de Facebook info accountgegevens nog ergens op backups aanwezig kunnen zijn. Die termijn liep op 26 april af. Met mijn IT ervaring heb ik er geen twijfel over dat vanaf 26 april de gegevens inderdaad weg waren (in tegenstelling tot de rechter - zie r.o. 4.9 in het vonnis).  Pas op 30 april stuurde de raadsman van het slachtoffer een verzoek tot toezending van Naam/Adres/Woonplaats (NAW) gegevens van het nep-account - met andere woorden: na de door Facebook gepubliceerde termijn voor het wissen van gegevens. Facebook reageert hierop afhoudend; pas als het geding al bij de rechtbank aanhangig is, komt Facebook op 8 juni 2015 met een verklaring dat de gegevens niet meer beschikbaar zijn.

Als ik deze tijdlijn bekijk, rijzen er enkele interessante vragen.

Ten eerste: waarom heeft de raadsman van het slachtoffer pas op 30 april het verzoek om toezending van NAW gegevens gedaan? Zozeer ik ook begrip heb voor de menselijke situatie van het slachtoffer: iedereen met een beetje ervaring op dit gebied moet weten dat er na drie maanden een redelijk groot risico is dat de gegevens simpelweg niet meer bestaan. Als Facebook een betere verdediging had georganiseerd, had dit de positie van het slachtoffer behoorlijk kunnen verzwakken.

Ten tweede: waarom heeft de politie niet meteen de desbetreffende NAW gegevens opgevraagd? Eigenlijk ligt daar de kern van het probleem: een adequaat strafrechtelijk onderzoek had ervoor moeten en kunnen zorgen dat de desbetreffende NAW gegevens niet gewist worden. Als dit was gebeurd, dan was de civielrechtelijke kant zoals hier aan de orde ook geen probleem geweest.

Ten derde: de voorzieningenrechter heeft geoordeeld dat Facebook jegens het slachtoffer onrechtmatig gehandeld heeft (r.o. 4.10). Gezien de geldende rechtspraak in principe begrijpelijk: als Facebook de gegevens wel nog zou hebben en niet zou overhandigen, dan zou de onrechtmatigheid evident zijn. Maar het probleem is nu juist dat de gegevens niet meer bestaan, dat er dus geen sprake is dat Facebook weigert deze te overhandigen, en dat er dus op deze basis juist geen onrechtmatigheid is. Waar heeft Facebook dan wel onrechtmatig gehandeld?

1. Als de onrechtmatigheid daaruit bestaat dat Facebook de NAW gegevens en/of de meldingen langer dan 90 dagen had moeten bewaren (om vervolgens in staat te zijn de gegevens toe te zenden op verzoek), dan rijzen er drie vervolgvragen. Ten eerste: wanneer zou Facebook dit moeten doen - voor alle accounts (niet mogelijk onder de Wbp), als een publicatie op een account gemeld is als ongepast (geeft kwaadwillenden de mogelijkheid tot misbruik), of als een desbetreffende melding onderzocht is? Ten tweede: hoe lang zou Facebook de NAW gegevens in zulk een situatie moeten bewaren - een half jaar, een jaar, of langer? Ten derde: hoe verhoudt zich dit tot de Wbp? Geen van deze vragen wordt in het vonnis beantwoord.  Jammer, want een verplichting tot langer bewaren van gegevens in een zulk geval is op zich volkomen gerechtvaardigd.
2. Als de onrechtmatigheid daaruit bestaat dat Facebook de meldingen gedaan door het slachtoffer en haar moeder niet onderzocht heeft voordat het nep-account verwijderd werd: binnen welke termijn had dit dan moeten gebeuren? Volgens de tijdlijn had Facebook maximaal 14 werkdagen om dit te doen. Dit lijkt lang, maar ik vermoed dat zulk een onderzoek handmatig gebeurt, en ik vermoed ook dat Facebook behoorlijk wat van deze meldingen krijgt - genoeg om een vertraging van 14 werkdagen begrijpelijk te maken. Ook hierop gaat het vonnis niet verder in. En ook dit is jammer: meer duidelijkheid hier zou in ieders belang zijn. Bovendien zou het in ieders belang zijn om te weten of dergelijke meldingen nog onderzocht moeten worden als het aanstootgevende account intussen verwijderd is - zoals in dit geval.
3. Als de onrechtmatigheid daaruit bestaat dat Facebook eerst afhoudend gereageerd heeft (antwoord op het verzoek van 30 april) en pas op 8 juni inhoudelijk: ik zie niet in hoe dit op zichzelf een onrechtmatigheid zou vormen. Het vonnis koppelt dit aan de mogelijkheid dat de gegevens pas later, namelijk tussen 30 april en 8 juni, verwijderd zijn (zie r.o. 4.8 laatste zin), maar voor dit laatste is er geen enkele aanwijzing. Iedereen die bedrijven als Facebook een beetje kent, weet ook dat zulke bedrijven vaak eerst met een standaard afhoudend antwoord komen en pas later inhoudelijk op een verzoek ingaan - simpelweg omdat het lastig en duur om zulke verzoeken meteen inhoudelijk te beantwoorden. Dat is weliswaar onbeleefd en werpt geen goed licht op de klantvriendelijkheid van Facebook, maar het is geen aanwijzing dat de gegevens pas na 30 april gewist zijn.

Al met al: onbevredigend van alle kanten.