OPTA: Naming and shaming van privacyschender is toegestaan

De overheid treedt harder op tegen het ongevraagd verspreiden van virusachtige computerprogramma's en commerciële e-mailberichten ("spam"). Zowel de "privacy waakhond" (het College Bescherming Persoonsgegevens) als de toezichthouder voor de telecomsector (de OPTA) kunnen boetes opleggen aan overtreders. Inmiddels is duidelijk geworden dat die boetebesluiten ook worden gepubliceerd. "Naming and shaming" als onderdeel van de straf.

Adware en spyware
Vorig jaar legde de OPTA een boete van 1 miljoen Euro op aan enkele Nederlandse bedrijven die onder de naam DollarRevenue programmatuur hadden verspreid zonder dat de computergebruikers daarvoor hun toestemming hadden gegeven. De programmatuur is verspreid onder ca. 22 miljoen computers van Internetgebruikers in Nederland en daarbuiten. Het betrof niet alleen programmatuur die "pop ups" en andere advertenties op de gastheercomputers vertonen ("adware"), maar ook software waarmee de privé gegevens van de gebruikers en hun surfgedrag werden verzameld ("spyware") en heimelijk doorgegeven.

De drie bedrijven en twee directeuren aan wie de boete werd opgelegd hebben geprobeerd publicatie van het boetebesluit tegen te houden, in eerste instantie via een kort geding en later via een bezwaarprocedure bij de OPTA. Inmiddels heeft de OPTA de bezwaren afgewezen en de namen van de bedrijven alsnog bekend gemaakt.

Privacybelangen van de overtreder versus die van de Internetgebruiker
De voornaamste reden waarom DollarRevenue zich verzette tegen openbaarmaking was de reputatie van de betrokken bedrijven en directeuren. Die reputatieschade zou zwaarder moeten wegen dan het belang dat is gediend bij openbaarmaking. Bovendien zou DollarRevenue in feite dubbel gestraft worden door de publicatie van hun overtreding.
De OPTA oordeelt anders: het openbaar maken van de boetebesluiten heeft een algemene preventieve werking omdat zij andere ondernemers afschrikt. Het zijn juist de privacybelangen (van de internetgebruikers) die dat rechtvaardigen. De privacy van de internetgebruiker moet immers zoveel mogelijk worden beschermd, zo vindt ook de Europese wetgever. Hard optreden is nodig en daar hoort ook het openbaar maken van de boetebesluiten bij. "Softwareverspreiders moeten de grenzen van de wet op ondubbelzinnige wijze worden voorgehouden. Niet zonder betekenis daarbij is dat, naar de onderhavige zaak leert, met dit soort overtredingen grote inkomsten zijn te genereren, waardoor de verleiding tot overtreding groot is. Publicatie van het boetebesluit draagt er aan bij dat potentiële overtreders afzien van verdere activiteiten die in strijd zijn met artikel 4.1 Bude."

Dubbel straffen
Ook van dubbel straffen is geen sprake. Het doel van publicatie van de boetebesluiten is immers niet het toebrengen van leed. Volgens de OPTA is het enige oogmerk de "generale preventie en de waarschuwing van internetgebruikers".

Kleine overtredingen kunnen aan de grote klok
In de praktijk wordt publicatie van een sanctiebesluit wel degelijk als aanvullende straf gevreesd. Met name door ondernemingen die zonder opzet privacy regelgeving (hebben) overtreden. Sterker nog: de reputatieschade die het opleggen van een sanctie kan veroorzaken is vaak vele malen groter dan het bedrag van de boete zelf. Het is niet zeker of bij kleinere overtredingen de toezichthouder ook steeds tot publicatie zal overgaan, omdat er steeds een belangenafweging gemaakt moet worden. Wel bevestigt de beslissing van de OPTA dat de vrees om bij een misstap aan de schandpaal genageld te worden niet helemaal theoretisch is. Juist de goedbedoelende bedrijven doen er daarom goed aan om met enige regelmaat te controleren of zij voldoen aan de privacyrechtelijke eisen die de wet stelt. Met name moet dan ook gelet worden op de aandachtsgebieden waarop de toezichthouders zich bijzonder richten. Wees gewaarschuwd en waak voor de waakhond.