MyHeritage scherpt privacybeleid aan na onderzoek Consumentenbond
In maart 2020 deed de Consumentenbond een test om te kijken of al eerder geconstateerde privacyproblemen bij DNA-databanken waren opgelost. Vier diensten scoorden matig, waaronder het populaire MyHeritage. Dat bedrijf leggen we daarom langs de privacymeetlat en we merkten verbeteringen op.
Lang verloren verwanten opzoeken via commerciële DNA-databanken werkt vrij eenvoudig: je stuurt een wattenstaafje met wat speeksel op en de aanbieder analyseert op basis van jouw DNA-profiel de geografische afkomst of vergelijkt het DNA-profiel met andere profielen in de databank. Omdat er DNA in het spel is, kan de noodzakelijke informatie waarschijnlijk niet in slechts enkele alinea´s van een privacybeleid worden samengevat.De Consumentenbond wijst er dan ook op dat de privacyverklaring van MyHeritage veel te lang is (ten tijde van het onderzoek maar liefst 12.350 woorden).
MyHeritage is verplicht om haar gebruikers te informeren over de verwerking van hun persoonsgegevens. De privacywetgeving vereist echter wel dat de verstrekking van informatie aan en de communicatie met betrokkenen “in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm” moet geschieden. Dit betekent dat de informatie op een efficiënte en bondige wijze moet worden weergeven. Dit om informatiemoeheid te voorkomen. Hoewel MyHeritage dus wel uitgebreid informeert, had zij haar privacyverklaring zo in kunnen richten dat informatiemoeheid wordt beperkt.
MyHeritage lijkt daartoe wel een poging gewaagd te hebben. De privacyverklaring vangt namelijk aan met een korte samenvatting van de belangrijkste punten. In een onlinecontext wordt daarnaast echter ook het gebruik van een gelaagde privacyverklaring aanbevolen. Op die manier worden betrokkenen de mogelijkheid geboden om direct naar het specifieke onderdeel van de privacyverklaring te navigeren dat ze willen lezen, in plaats van door grote lappen tekst te moeten scrollen op zoek naar specifieke onderwerpen. Dit had MyHeritage evengoed kunnen overwegen.
Advertentiecookies
Een van de verbeterpunten waar de Consumentbond MyHeritage op wijst, betreft het plaatsen van advertentiecookies. De website van MyHeritage plaatste ten tijde van het onderzoek al advertentiecookies bij de minste muisbeweging over de homepage. Dus voordat je echt toestemming hebt kunnen geven. Voordat een websitebezoeker toestemming geeft, mag een site alleen functionele en analytische cookies plaatsen die geen gevolgen hebben voor de privacy. Een vaag zinnetje in de algemene voorwaarden of privacyverklaring, zoals ‘als u onze website bezoekt, geeft u automatisch toestemming voor de plaatsing van cookies’, telt niet als toestemming.
In het cookie-instemmingsmenu ging het volgens de Consumentenbond ook nog mis, omdat de marketingcookies al stonden aangevinkt. Dit geldt niet als een opt-in toestemming, wat wel is vereist. MyHeritage heeft dit inmiddels aangepast: advertentiecookies staan niet meer standaard aangevinkt. Ook worden de advertentiecookies pas geplaatst nadat die toestemming daadwerkelijk is gegeven.
Delen van gegevens
In haar privacyverklaring benadrukt MyHeritage dat persoonsgegevens van gebruikers nooit worden verkocht of verstrekt aan adverteerders, sponsors, partners of andere derden. Alleen met toestemming van de gebruiker worden gegevens gebruikt en gedeeld met onderzoekers voor het uitvoeren van onderzoeken, gericht op het doen van wetenschappelijke ontdekkingen.
MyHeritage wijst er daarbij op dat onder geen enkele omstandigheid verzekeringsmaatschappijen de persoonsgegevens in handen zullen krijgen. Dit is met name relevant voor de gebruikers in Amerika en andere landen waar zorg- en levensverzekeraars DNA-informatie mogen gebruiken voor de premieberekening of acceptatie van een verzekering.
Samenvattend
- De privacyverklaring van MyHeritage is erg lang. Hoewel de tekst in kopjes is ingedeeld, moet een lezer door een grote lap tekst scrollen om specifieke informatie te vinden.
- De privacyverklaring begint met een korte samenvatting van de belangrijkste punten. Gebruikers worden daarnaast uitgebreid geïnformeerd over het gebruik van hun persoonsgegevens en de beveiliging ervan.
- Advertentiecookies staan, anders dan tijdens het onderzoek van de Consumentenbond, niet standaard aangevinkt. Ook worden de cookies pas geplaatst nadat een websitebezoeker daadwerkelijk toestemming heeft gegeven.
- MyHeritage voert strikt beleid als het gaat om het verstrekken van persoonsgegevens aan derde partijen.
Hoewel de privacyverklaring van MyHeritage ten aanzien van enkele aspecten nog verbeterd kan worden, voldoet MyHeritage over het algemeen aan haar informatieverplichting onder de privacywetgeving. Gebruikers worden voorzien van uitgebreide informatie over het gebruik van hun gegevens en DNA, en kunnen de verwerking van persoonsgegevens ook via hun account beheren.
De testresultaten van de Consumentenbond hebben ertoe geleid dat MyHeritage een aantal belangrijke zaken in haar privacyverklaring heeft aangepast. En dat is altijd goed om te zien.
Tekst: Lora Mourcous en Jesse Vermeij (SOLV advocaten)
