Privacybeleid HP: Overzichtelijk en compleet
Sinds 2016 verkoopt HP printers die ook met goedkopere huismerk-inktpatronen werken. Maar na een firmware-update blijken de printers andere inktpatronen te weigeren, wat trouwens in strijd is met consumentenwetgeving. Gaat HP ook zo onvriendelijk om met de privacy van zijn klanten? We spitten het privacybeleid door om antwoord op die vraag te krijgen.
Een gelaagde structuur verbetert meestal de leesbaarheid van een privacyverklaring, dat toch al gauw een aantal pagina’s tekst omvat. Het opnemen van een inhoudsopgave, een samenvatting, pictogrammen, flowcharts en bijvoorbeeld een paragraafindeling met dropdown-menu kunnen hierbij helpen. Ook de European Data Protection Board (EDPB) erkent dat een gelaagde structuur informatiemoeheid bij de lezer kan voorkomen.
Er zijn ook genoeg voorbeelden van partijen die hierin doorschieten. Het opnemen van bijvoorbeeld veel hyperlinks in een privacyverklaring, waardoor lezers meermaals moeten doorklikken om bij de gewenste informatie te komen, heeft in dat geval een averechts effect: de informatie is niet meer overzichtelijk te raadplegen. Om die reden ontving Google in 2019 nog een miljoenenboete van de Franse privacytoezichthouder CNIL. In het privacybeleid van Google moest men soms zes keer doorklikken om bij specifieke informatie te komen.
HP gebruikt ook een gelaagde structuur en zijn privacyverklaring is een goed voorbeeld van hoe deze structuur de informatie wél overzichtelijk kan weergeven. De verklaring begint met een korte inleiding over het belang dat HP hecht aan de privacy van zijn gebruikers en op welke diensten en producten de privacyverklaring van toepassing is. Vervolgens is er een dropdown-menu weergegeven, waarin een aantal onderwerpen is afgebakend, zoals “Hoe wij u gegevens verzamelen” en “Welke gegevens wij verzamelen”.
De gebruiker kan zo gemakkelijk navigeren naar de informatie die hij graag wil lezen. Bovendien maakt HP gebruik van een Data Collection and Use Matrix, waarin de informatie over verwerking van persoonlijke data zeer inzichtelijk is weergegeven.
Doeleinden en grondslagen
De Algemene Verordening Gegevensbescherming (AVG) vereist van verwerkingsverantwoordelijken dat zij toelichten welke persoonsgegevens worden verzameld, voor welke doeleinden en op basis van welke wettelijke grondslag. Voor iedere verwerking van een bepaald type persoonsgegeven moet dus voor de gebruiker duidelijk zijn voor welk doel deze data worden verzameld door de verwerkingsverantwoordelijke en op basis van welke juridische basis.
Veel partijen kiezen in hun privacyverklaring desondanks voor aparte opsommingen van de persoonsgegevens, de doelen en de grondslagen. Een koppeling tussen deze drie elementen blijft dus vaak achterwege, met als gevolg dat voor gebruiker nog steeds niet duidelijk is voor welk specifiek doel bepaalde persoonsgegevens worden verwerkt en op basis van welke grondslag.
Dit geldt niet voor HP. In eerste instantie lijkt het bedrijf onder het kopje “Hoe wij uw gegevens gebruiken” enkel de doeleinden te vermelden, zonder een koppeling te maken met de persoonsgegevens die het bedrijf verzamelt en de grondslag. Maar, aan het einde van deze tekst verwijst HP naar de eerdergenoemde Data Collection and Use Matrix.
©PXimport
HP vermeldt dat de matrix een overzicht geeft van de manier waarop het de verzamelde gegevens gebruikt en de wettelijke basis daarvoor. In de bovenste kolom van de matrix zijn horizontaal de doeleinden weergegeven, zoals klantervaring en beveiliging. De verticale kolom aan de linkerzijde bevat verschillende onderdelen zoals “Welke persoonlijke gegevens wij verzamelen”, zoals “Informatie die u verstrekt” of “Informatie van derde partijen”.
Tot slot staan in de onderste horizontale kolom de juridische grondslagen genoemd. Zodoende lees je in de tabel gemakkelijk af hoe HP de persoonsgegevens verzamelt, voor welke doelen het bedrijf deze gegevens gebruikt en met welke juridische grondslag.
Functionaris Gegevensbescherming
Onder de AVG zijn organisaties onder bepaalde omstandigheden verplicht een Functionaris Gegevensbescherming (FG) aan te stellen. Deze FG houdt binnen de organisatie toezicht op de naleving van de privacywetgeving. Het aanstellen van een FG kan bijvoorbeeld verplicht zijn als het op grote schaal profileren van mensen tot de kernactiviteiten hoort van het bedrijf. Overigens kunnen bedrijven er ook vrijwillig voor kiezen om een FG aan te stellen.
Of HP verplicht is een FG in de arm te nemen, kunnen wij nu niet beoordelen. HP heeft in ieder geval in zijn privacyverklaring genoemd dat het beschikt over een Chief Privacy and Data Protection Officer. Hiermee kunnen gebruikers contact opnemen indien zij vragen hebben over de privacyverklaring of over het inroepen van bepaalde rechten. Daarbij kan de gebruiker HP aanschrijven op het vermelde adres of contact opnemen via het Nederlandstalige contactformulier. HP geeft tot slot aan ernaar te streven binnen 5 werkdagen op alle aanvragen te reageren.
Conclusie
Waar HP het niet zo nauw neemt met consumentenrechten, lijkt het tegenovergestelde te gelden voor de privacy van zijn gebruikers. De privacyverklaring van HP is erg overzichtelijk en geeft op eenvoudige en gestructureerde manier informatie over de verwerking van persoonsgegevens. Kanttekening verdient nog wel dat een goede privacyverklaring geen garantie geeft dat HP ook daadwerkelijk zo goed omgaat met de privacy van zijn gebruikers.
Tekst: Jesse Vermeij (SOLV Advocaten)
