Wat is scraping
Scraping is het automatisch verzamelen en opslaan van informatie van het internet. Bij scraping ‘schraapt/graast’ een computerprogramma automatisch gegevens van het internet. Bijvoorbeeld door sociale media te scannen.
Met scraping worden bijna altijd persoonsgegevens verzameld. Daardoor ontstaan privacyrisico’s. Met scraping kunnen in korte tijd persoonsgegevens van heel veel mensen worden verzameld. De informatie die bij het scrapen wordt vastgelegd, kan over tal van aspecten van iemands leven gaan. Ook kan de informatie allerlei bijzondere persoonsgegevens en strafrechtelijke persoonsgegevens bevatten, die meestal niet mogen worden verzameld en gebruikt.
Scraping door private partijen is vrijwel nooit toegestaan.
Dat stelt de Autoriteit Persoonsgegevens (AP) in een nieuwe handreiking. Private partijen kunnen in de praktijk scraping alleen legaal inzetten als ze dat zeer gericht doen. Derhalve zal scraping bijna altijd een overtreding van de Algemene verordening gegevensbescherming (AVG) zijn. In een aantal gevallen mag scraping sowieso niet. Bijvoorbeeld:
- het internet scrapen om profielen van mensen te maken, om die vervolgens door te verkopen;
- informatie scrapen van afgeschermde sociale media-accounts of besloten fora;
- gegevens scrapen van openbare sociale mediaprofielen, met als doel te bepalen of die mensen een aangevraagde verzekering al dan niet krijgen.
In de praktijk is scraping door private partijen in uitzonderlijke gevallen mogelijk op basis van de grondslag gerechtvaardigd belang. Voor die grondslag gelden strenge voorwaarden. Bijvoorbeeld dat scraping niet mag worden gebruikt met als enige belang om er geld aan te verdienen. Het is bijna nooit mogelijk om bij scraping aan deze voorwaarden te voldoen.
Aansprakelijkheid bij overtreding
Wanneer een opdrachtgever aan een onderzoeksorganisatie de opdracht geeft op internet te scrapen en als daarmee persoonsgegevens in het geding komen, wat vrijwel altijd het geval is, dan zal de onderzoeksorganisatie zich dus van deze methode dienen te onthouden.
In zo’n situatie zijn de opdrachtgever en de onderzoeksorganisatie beiden de overtreder. Om die reden zal de onderzoeksorganisatie zich van deze scraping methode dienen te onthouden in het geval dat daarbij ook direct of indirect persoonsgegevens worden betrokken, ook als de opdrachtgever hiervoor de opdracht geeft..
Scraping onder strikte voorwaarden toegestaan
De AP heeft het over scrapen van persoonsgegevens. Als er bij het scrapen geen persoonsgegevens worden vastgelegd dan valt dit buiten het scraping ‘verbod’. Dus het tellen/scrapen van internet naar het aantal rechtspersonen met een winkel in een binnenstad, is gewoon mogelijk (geen persoonsgegevens). Let dan wel op dat een VOF of eenmanszaak niet worden meegeteld.
Openbaarheid is geen toestemming
Een wijdverbreid misverstand is dat scrapen zou mogen, omdat alles wat op internet staat toch al voor iedereen is in te zien. ‘Maar dat informatie over jou openbaar is, betekent niet automatisch dat jij ook toestemming geeft voor scraping’, zegt AP-voorzitter Aleid Wolfsen. ‘Ook wanneer jij zelf op je sociale media-account zet dat je laatst de loterij hebt gewonnen of een operatie hebt gehad, geef je daarmee geen toestemming om die gegevens te scrapen. Toestemming voor het verzamelen van persoonsgegevens geef je alleen als het jou van tevoren netjes is gevraagd en de toestemming daadwerkelijk wordt gegeven (bewijsbaar). Dat is bij scraping meestal niet te doen.’
Geen uitzondering voor statistisch onderzoek
Er is geen uitzondering voor statistisch onderzoek gemaakt in het document van de AP. Wanneer het internet wordt gescrapt naar meningen over product X in een statistisch onderzoek voor een opdrachtgever, dan is dat volgens de AP niet toegestaan. Immers wie de persoon is met een mening over product X is via een zoekopdracht op internet te achter halen en daarmee is een uitspraak die anoniem wordt opgenomen in een rapportage, een persoonsgegeven.
Minimale uitzonderingen
In uitzonderlijke gevallen kan scraping wel toegestaan zijn. Bijvoorbeeld bij ‘huishoudelijk gebruik’: wanneer een particulier voor een hobbyproject scraping inzet en de resultaten alleen deelt met wat vrienden, geldt de AVG niet en mag het. Ook kan scraping toegestaan zijn wanneer het zeer gericht wordt ingezet. Bijvoorbeeld wanneer een organisatie de websites van nieuwsmedia scrapet, om relevant nieuws over het eigen bedrijf in beeld te krijgen.
P.S. Deze handreiking van de AP is niet gericht op de overheid. Maar ook scraping door de overheid kent grote privacyrisico’s en is aan strenge regels gebonden. De AP werkt ook aan een handreiking voor scraping door de overheid.
Bron: Autoriteit Persoonsgeegevns
Link: https://autoriteitpersoonsgegevens.nl/actueel/ap-scraping-bijna-altijd-illegaal
Amsterdam, 8 mei 2024