Bijlage V

14 juli 2000

De heer John Mogg

Directeur-generaal

DG Interne markt

Europese Commissie

Kamer C 107-6/72

Wetstraat 200

B-1049 Brussel

Geachte heer Mogg,

Ik begrijp dat er een aantal vragen is gerezen naar aanleiding van mijn brief aan u van 29 maart 2000. Om duidelijk te maken wat onze bevoegdheden zijn op de gebieden waarop u vragen stelt, stuur ik u deze brief. Met het oog op latere verwijzingen recapituleer ik een deel van de tekst van eerdere correspondentie, en geef ik hierop een aanvulling.

Tijdens uw bezoeken aan ons en in uw correspondentie heeft u diverse vragen over de bevoegdheden van de Federal Trade Commission op het gebied van de bescherming van de persoonlijke levenssfeer bij het on-lineverkeer van informatie aan de orde gesteld. Het leek mij nuttig mijn eerdere antwoorden samen te vatten en aanvullende informatie te verschaffen over de competentie van de FTC op het gebied van de bescherming van de persoonlijke levenssfeer van de consument, die u in uw laatste brief aan de orde stelt. Met name vraagt u of: 1. de FTC bevoegd is wanneer personeelsgegevens in strijd met de Veiligehavenbeginselen van de Verenigde Staten worden doorgegeven; 2. de FTC bevoegd is voor programma's zonder winstoogmerk waarbij keurmerken voor de bescherming van de persoonlijke levenssfeer worden verleend; 3. de FTC Act zowel op on-line- als op off-linegegevens van toepassing is; en 4. wat er gebeurt wanneer de bevoegdheden van de FTC die van andere met de rechtshandhaving belaste instanties overlappen.

Toepassing van de FTC Act op de bescherming van de persoonlijke levenssfeer

De wettelijke bevoegdheden van de Federal Trade Commission op dit gebied zijn te vinden in sectie 5 van de Federal Trade Commission Act (‘FTC Act’), die oneerlijke of misleidende handelingen of praktijken in het handelsverkeer verbiedt (1). Een misleidende praktijk is een voorstelling van zaken, een omissie of een handeling die waarschijnlijk tot gevolg heeft dat verstandige consumenten op belangrijke punten worden misleid. Een praktijk is oneerlijk wanneer deze consumenten aanzienlijke schade toebrengt of kan toebrengen, die redelijkerwijze niet kan worden vermeden en die niet wordt gecompenseerd door voordelen voor de consumenten of de concurrentie (2).

Bepaalde praktijken bij de verzameling van informatie vormen waarschijnlijk een overtreding van de FTC Act. Wanneer bijvoorbeeld op een website ten onrechte wordt gezegd dat men zich aan een officieel beleid inzake de bescherming van de persoonlijke levenssfeer of aan een reeks zelfreguleringsrichtlijnen houdt, biedt sectie 5 van de FTC Act een rechtsgrond om zo'n onjuiste voorstelling van zaken als misleiding aan te vechten. Wij zijn er inderdaad in geslaagd om de wet op zodanige wijze toe te passen dat dit beginsel vastligt (3). Bovendien heeft de Commissie het standpunt ingenomen dat zij uit hoofde van sectie 5 bijzonder flagrante praktijken op het gebied van de bescherming van de persoonlijke levenssfeer kan aanvechten indien hierbij kinderen zijn betrokken of het gebruik van zeer gevoelige informatie zoals financiële gegevens (4) en medische dossiers. De FTC zal zich blijven inspannen voor rechtshandhaving door middel van actief toezicht en onderzoek en via de zaken die haar worden voorgelegd door zelfregulerende organisaties en anderen, waaronder de lidstaten van de Europese Unie.

Ondersteuning van zelfregulering

De FTC zal prioriteit geven aan zaken betreffende niet-nakoming van zelfreguleringsrichtsnoeren, die haar door organisaties als BBBOnline en TRUSTe worden voorgelegd (5). Deze aanpak is in overeenstemming met onze langdurige relatie met de National Advertising Review Board (NARB) of het Better Business Bureau, dat klachten over reclame aan de FTC voorlegt. De National Advertising Division (NAD) van de NARB arbitreert bij klachten over nationale reclamecampagnes. Wanneer een partij weigert gevolg te geven aan het besluit van de NAD wordt de zaak aan de FTC voorgelegd. Het FTC-personeel onderzoekt de aangevochten reclame zo snel mogelijk om vast te stellen of deze in strijd is met de FTC Act, en vaak lukt het het aangevochten gedrag te stoppen of het betrokken bedrijf ervan te overtuigen weer aan het NARB-proces deel te nemen

De FTC zal op dezelfde wijze ook prioriteit geven aan klachten over niet-nakoming van de Veiligehavenbeginselen uit de lidstaten van de Europese Unie. Evenals bij verzoeken van zelfregulerende organisaties uit de Verenigde Staten zullen onze medewerkers rekening houden met alle informatie aan de hand waarvan kan worden vastgesteld of het aangeklaagde gedrag in strijd is met sectie 5 van de FTC Act. Deze toezegging is ook te vinden in de Veiligehavenbeginselen, bij de Frequently Asked Question (FAQ 11) over handhaving.

GeoCities: De eerste zaak van de FTC over de bescherming van de persoonlijke levenssfeer op internet

De eerste zaak van de FTC over de bescherming van de persoonlijke levenssfeer op internet, GeoCities, berustte op de bevoegdheden van de Commissie uit hoofde van sectie 5 (6). In die zaak beweerde de FTC dat GeoCities tegenover zowel volwassenen als kinderen een verkeerde voorstelling van zaken gaf van de wijze waarop hun persoonsgegevens zouden worden gebruikt. Volgens de FTC deed GeoCities alsof bepaalde persoonlijke informatie die het op zijn website verzamelde, alleen zou worden gebruikt voor interne doeleinden of om de consumenten speciale aanbiedingen te doen voor producten of diensten die zij verlangden, en dat bepaalde aanvullende ‘facultatieve’ informatie aan niemand zou worden bekendgemaakt zonder toestemming van de consument. In feite werd deze informatie doorgegeven aan derden, die deze gebruikten om de consumenten te bestoken met reclame die veel verder ging dan waarvoor zij toestemming hadden gegeven. Ook werd GeoCities van misleiding met betrekking tot de verzameling van informatie bij kinderen beschuldigd. Volgens de klacht van de FTC deed GeoCities alsof het op zijn website een kinderhoekje exploiteerde en dat de daar verzamelde informatie onder haar hoede zou blijven. In feite werden deze gebieden op de website door derden beheerd, die deze informatie verzamelden en onder zich hielden

In de regeling die werd getroffen, werd GeoCities verboden een onjuiste voorstelling van zaken te geven ten aanzien van het doel waarvoor het persoonsgegevens van of over consumenten, inclusief kinderen, verzamelt of gebruikt. Het bedrijf moest op zijn website duidelijk en prominent een mededeling over de bescherming van de persoonlijke levenssfeer plaatsen, waarin de consumenten wordt gezegd welke informatie wordt verzameld en waarvoor, aan wie deze zal worden bekendgemaakt en hoe de consumenten toegang tot deze informatie kunnen krijgen en deze kunnen verwijderen. Om ervoor te zorgen dat ouders kunnen controleren wat hun kinderen doen, moet GeoCities voorts de toestemming van de ouders inwinnen voordat persoonsgegevens over kinderen van twaalf jaar en jonger worden verzameld. Verder moest GeoCities haar leden hiervan in kennis stellen en hun de mogelijkheid geven informatie over zichzelf uit de databanken van GeoCities en eventuele derden te verwijderen. Meer in het bijzonder moest GeoCities ouders van kinderen van twaalf jaar of jonger op de hoogte brengen en informatie over hen wissen, tenzij een van de ouders zou bevestigen dat de informatie mag worden gehouden en gebruikt. Ten slotte werd GeoCities verplicht contact op te nemen met de derden aan wie het voorheen de informatie bekendmaakte en hun te vragen deze informatie te wissen (7).

ReverseAuction.com

In januari 2000 verklaarde de FTC een klacht tegen ReverseAuction.com gegrond en bereikte zij een schikking met dit bedrijf, een internet-veilingsite die via een concurrerende site (eBay.com) persoonsgegevens over consumenten zou hebben gekregen en vervolgens misleidende, ongevraagde e-mailberichten zou hebben gezonden naar consumenten die zaken wilden doen (8). De FTC stelde dat ReverseAuction sectie 5 van de FTC Act overtrad toen het de persoonsgegevens, waaronder de e-mailadressen van de eBay-gebruikers en hun persoonlijke identificatie (‘user IDs’), kreeg en misleidende e-mailboodschappen stuurde.

Zoals in de aanklacht wordt beschreven, schreef ReverseAuction zich, om informatie te verkrijgen, als eBay-gebruiker in en beloofde het zich te houden aan de verkoopvoorwaarden en het beleid van eBay inzake de bescherming van de persoonlijke levenssfeer. Deze hebben ten doel de persoonlijke levenssfeer van consumenten te beschermen doordat het eBay-gebruikers wordt verboden persoonsgegevens te verzamelen en te gebruiken voor niet-toegestane doeleinden, zoals het zenden van ongevraagde commerciële e-mailberichten. In onze aanklacht werd dus primair gesteld dat ReverseAuction een verkeerde voorstelling van zaken gaf toen het beweerde zich aan de verkoopvoorwaarden en het beleid van eBay inzake de bescherming van de persoonlijke levenssfeer te zullen houden, wat neerkomt op een misleidende praktijk in de zin van sectie 5. Subsidiair stelde de aanklacht dat het gebruik van de informatie door ReverseAuction om in strijd met de verkoopvoorwaarden en het beleid inzake de bescherming van de persoonlijke levenssfeer ongevraagd commerciële e-mail te sturen een oneerlijke handelspraktijk ingevolge sectie 5 betekende.

Ten tweede stond in de aanklacht dat de e-mailberichten aan de consumenten een onjuist onderwerp vermeldden: hun werd gezegd dat hun user ID voor eBay ‘weldra verloopt’. Ten slotte stelde de aanklacht dat de e-mailberichten er ten onrechte gewag van maakten dat eBay ReverseAuction direct of indirect de persoonsgegevens van de eBay-gebruikers verstrekte dan wel op andere wijze deel had aan de verspreiding van de ongevraagde e-mail.

De FTC oordeelde dat ReverseAuction dergelijke overtredingen in de toekomst niet meer mocht begaan. Ook moest ReverseAuction de consumenten die zich naar aanleiding van zijn e-mail bij hem hadden geregistreerd of dit nog zullen doen, meedelen dat hun user ID bij eBay niet verloopt en dat eBay niets wist van de verspreiding van ongevraagde e-mail door ReverseAuction en dit ook niet billijkte. Verder moesten de consumenten op de hoogte worden gesteld van de mogelijkheid de registratie bij ReverseAuction te wissen en hun persoonsgegevens uit de databank van ReverseAuction te verwijderen. Bovendien moest ReverseAuction de persoonsgegevens van eBay-leden die de e-mail van ReverseAuction weliswaar hadden ontvangen, maar daar niet waren geregistreerd, wissen en ervan afzien deze te gebruiken of bekend te maken. Evenals in andere zaken inzake de bescherming van de persoonlijke levenssfeer bepaalde de FTC ook in deze zaak dat ReverseAuction zijn beleid terzake op zijn internetsite bekend moest maken en dat het een uitgebreid register moest bijhouden, zodat de FTC kan nagaan of het bedrijf het vonnis ook uitvoert.

Uit de zaak ReverseAuction blijkt dat de FTC zich ervoor inzet dwangmaatregelen te gebruiken om de zelfreguleringsinspaningen van het bedrijfsleven op het gebied van de bescherming van de persoonlijke levenssfeer van de consumenten op internet te ondersteunen. In deze zaak werd immers gedrag dat het beleid en de verkoopvoorwaarden ter bescherming van de persoonlijke levenssfeer van de consumenten ondermijnde en het consumentenvertrouwen in de maatregelen van internetbedrijven terzake zou kunnen aantasten, aan de kaak gesteld. Omdat het ging om de wederrechtelijke toe-eigening door een bedrijf van consumenteninformatie die werd beschermd door het beleid inzake de bescherming van de persoonlijke levenssfeer van een ander bedrijf, kan het ook van groot belang zijn bij de bescherming van de persoonlijke levenssfeer in het kader van de doorgifte van gegevens tussen bedrijven in verschillende landen.

Niettegenstaande deze acties van de FTC op het gebied van de rechtshandhaving in de zaken GeoCities, Liberty Financial Cos. en ReverseAuction zijn haar bevoegdheden op sommige gebieden van de bescherming van de persoonlijke levenssfeer op het net beperkter. Zoals hierboven al is opgemerkt, valt de verzameling en het gebruik van persoonsgegeven zonder toestemming alleen dan onder de FTC Act wanneer het gaat om een misleidende of oneerlijke handelspraktijk. Met de FTC Act kan dus waarschijnlijk niets worden gedaan tegen praktijken van een website die persoonsgegevens van klanten verzamelt, maar geen onjuiste voorstelling van zaken geeft van het doel waarvoor de informatie wordt verzameld of die de gegevens op zodanige wijze gebruikt of vrijgeeft dat de klanten hiervan waarschijnlijk geen grote schade zullen ondervinden. Het ligt momenteel waarschijnlijk ook niet op de weg van de FTC om in het algemeen van organisaties die informatie op internet verzamelen te eisen dat zij zich aan een beleid inzake de bescherming van de persoonlijke levenssfeer in het algemeen of aan een specifiek beleid terzake houden (9). Overigens is er, zoals hierboven al is gezegd, waarschijnlijk sprake van misleiding wanneer een bedrijf zich niet aan zijn eigen beleid inzake de bescherming van de persoonlijke levenssfeer houdt.

Verder strekken de bevoegdheden van de FTC op dit gebied zich enkel uit tot oneerlijke of misleidende handelingen of praktijken die betrekking hebben op de handel. Het verzamelen van informatie door commerciële bedrijven die reclame maken voor goederen of diensten of die voor commerciële doeleinden informatie verzamelen en gebruiken, valt waarschijnlijk onder dit handelsvereiste. Anderzijds zijn er waarschijnlijk veel particulieren of bedrijven die informatie op het net verzamelen zonder commercieel doel en daardoor niet onder de jurisdictie van de FTC vallen. Een voorbeeld van deze beperking betreft de zogenaamde ‘chat rooms’ indien deze worden geëxploiteerd door niet-commerciële instanties zoals charitatieve organisaties.

Ten slotte zijn er een aantal volledige of gedeeltelijke wettelijke uitzonderingen op de basisbevoegdheden van de FTC inzake commerciële praktijken, waardoor de FTC niet altijd kan reageren op kwesties betreffende de bescherming van de persoonlijke levenssfeer op internet. Hiertoe behoren uitzonderingen ten aanzien van veel informatie-intensieve bedrijven zoals banken, verzekeringsmaatschappijen en luchtvaartmaatschappijen. Zoals u weet, vallen deze bedrijven onder de jurisdictie van andere federale instanties dan wel instanties van de deelstaten, bijvoorbeeld de Federale Bankautoriteiten en het ministerie van Vervoer.

In de gevallen waarin de FTC zelf bevoegd is, accepteert zij en, voorzover haar middelen dit toelaten, treedt zij op bij klachten die zij in haar Consumer Response Center (‘CRC’) per post of telefoon en sinds kort ook via haar website (10) van consumenten ontvangt. Het CRC accepteert klachten van alle consumenten, ook als dezen in de lidstaten van de Europese Unie wonen. Op grond van de FTC Act is de FTC als onpartijdige instantie bevoegd om bij overtredingen van de FTC Act dwangmaatregelen op te leggen en een schadeloosstelling vast te stellen voor consumenten die schade hebben geleden. De FTC moet evenwel nagaan of het bedrijf in kwestie zich voortdurend onoorbaar gedraagt omdat zij geen individuele klachten van consumenten behandelt. In het verleden heeft de FTC schadeloosstelling vastgesteld voor burgers uit de Verenigde Staten en uit andere landen (11). De FTC zal haar bevoegdheid in de aangewezen gevallen blijven gebruiken om schadeloosstelling te verkrijgen voor burgers uit andere landen die schade hebben geleden door misleidende praktijken die onder haar bevoegdheid vallen.

Personeelsgegevens

In uw laatste brief vroeg u nadere informatie over de bevoegdheid van de FTC op het gebied van personeelsgegevens. Eerst stelt u de vraag of de FTC in het kader van sectie 5 actie kan ondernemen tegen een bedrijf dat voorgeeft zich aan de Veiligehavenbeginselen van de Verenigde Staten te houden, maar dat personeelsgegevens doorgeeft of gebruikt op een wijze die in strijd is met deze beginselen. Wij willen u de verzekering geven dat wij de wetgeving over de bevoegdheden van de FTC, aanverwante documentatie en de desbetreffende jurisprudentie zorgvuldig hebben onderzocht en tot de conclusie zijn gekomen dat de FTC voor personeelsgegevens dezelfde jurisdictie heeft als zij in het algemeen ingevolge sectie 5 van de FTC Act heeft (12). Wanneer we ervan uitgaan dat een zaak voldoet aan onze huidige criteria voor een dwangmaatregel op het gebied van de bescherming van de persoonlijke levenssfeer (oneerlijkheid of misleiding), betekent dit dat we actie kunnen ondernemen indien het gaat om personeelsgegevens.

Ook willen wij erop wijzen dat de FTC zeker niet alleen dan actie op het gebied van de bescherming van de persoonlijke levenssfeer kan ondernemen wanneer een bedrijf individuele klanten heeft misleid. Zoals de recente actie van de FTC in de zaak ReverseAuction (13) heeft duidelijk gemaakt, zal de FTC dergelijke maatregelen nemen in gevallen waarin een bedrijf bij de doorgifte van gegevens tussen bedrijven onwettig heeft gehandeld jegens een ander bedrijf, waarbij zowel voor de consumenten als voor de bedrijven schade kan zijn ontstaan. Wij nemen aan dat personeelskwesties vooral in dergelijke zaken aan de orde komen, daar personeelsgegevens over Europeanen vanuit Europese bedrijven worden doorgegeven aan bedrijven uit de Verenigde Staten die hebben beloofd zich aan de Veiligehavenbeginselen te houden.

Wij willen evenwel wijzen op één omstandigheid waarin de actie van de FTC beperkt zal zijn. Dit betreft gevallen waarin de zaak al aan de orde is geweest in een traditioneel arbeidsrechtelijk geschil, in het meest waarschijnlijke geval een arbeidsrechtelijke klacht of een verzoek om arbitrage, dan wel een klacht inzake oneerlijke arbeidspraktijken bij de National Labor Relations Board. Dit doet zich bijvoorbeeld voor wanneer een werkgever in het kader van een collectieve arbeidsovereenkomst een verplichting ten aanzien van het gebruik van persoonsgegevens is aangegaan en de werknemer of de vakbond beweert dat de werkgever deze overeenkomst heeft geschonden. De FTC zal zich waarschijnlijk voegen naar die procedure (14).

Jurisdictie ten aanzien van keurmerkprogramma's

Ten tweede vroeg u de FTC of zij bevoegd is voor keurmerkprogramma's met mechanismen voor de oplossing van geschillen in de Verenigde Staten die een verkeerde voorstelling van zaken geven ten aanzien van hun rol bij de handhaving van de Veiligehavenbeginselen en de afhandeling van individuele klachten, ook indien dergelijke instanties technisch gezien niet winstgevend zijn. Om vast te stellen of de FTC bevoegd is voor een instantie die zegt geen winst na te streven, gaat zij zorgvuldig na of deze wellicht niet voor zichzelf winst wil maken, maar wel voor haar leden. De FTC heeft met succes staande gehouden jurisdictie over dergelijke instanties te hebben en op 24 mei 1999 heeft het Hooggerechtshof van de Verenigde Staten in de antitrustzaak, California Dental Association v. Federal Trade Commission, unaniem bevestigd dat de FTC jurisdictie heeft over een vereniging op vrijwillige basis zonder winstoogmerk van lokale vennootschappen van tandartsen. Het Hof bepaalde:

Het is de bedoeling van de FTC Act dat deze niet alleen betrekking heeft op instanties die zijn opgezet om zaken te doen voor eigen profijt (titel 15 van de U.S.C., sectie 44), maar ook op instanties die zaken doen ten behoeve van haar leden. ... Men kan er immers nauwelijks van uitgaan dat het Congres de bedoeling had het begrip ondersteunende organisaties dermate te beperken dat dit de gelegenheid zou bieden jurisdictie te vermijden terwijl het gezien de doelstellingen van de FTC Act juist wenselijk is dat dergelijke organisaties er wel onder vallen.

Kortom, om vast te stellen of de FTC bevoegd is voor een niet-winstgevende instantie die een keurmerkprogramma beheert, moet zij in concreto nagaan of de instantie economisch voordeel voor haar winstmakende leden biedt. Indien een dergelijke instantie een keurmerkprogramma exploiteert op een wijze die haar leden economisch voordeel biedt, is de FTC waarschijnlijk bevoegd. Afgezien daarvan is de FTC waarschijnlijk bevoegd voor een frauduleus keurmerkprogramma dat zich voordoet als een niet-winstgevende instantie.

Bescherming van de persoonlijke levenssfeer in een off-lineomgeving

Ten derde merkt u op dat onze eerdere correspondentie gericht was op de bescherming van de persoonlijke levenssfeer in een on-lineomgeving. Weliswaar is dit voor de FTC van groot belang omdat het een essentieel element voor de ontwikkeling van de elektronische handel is, maar de FTC Act dateert van 1914 en is dus ook van toepassing op een off-lineomgeving. We kunnen dus ook een zaak openen tegen off-linebedrijven die ten aanzien van de bescherming van de persoonlijke levenssfeer van de consumenten oneerlijke of misleidende handelspraktijken toepassen (15). In een in het afgelopen jaar door de FTC aanhangig gemaakte zaak, FTC v. TouchTone Information, Inc. (16), werd een informatiemakelaar ervan beschuldigd illegaal financiële informatie van consumenten te hebben gekregen en verkocht. De FTC beweerde dat TouchTone de informatie over de consumenten had verkregen door ‘voorwendselen’ (pretexting), een term uit de detectivewereld ter beschrijving van de praktijk om informatie over andere personen te verzamelen door zich, meestal via de telefoon, anders voor te doen dan men in werkelijkheid is. In de zaak, die op 21 april 1999 in een federaal hof in Colorado werd geregistreerd, wordt gevraagd om een gerechtelijk bevel en om teruggave van alle illegaal gemaakte winsten.

Deze ervaring op het gebied van de rechtshandhaving, alsmede zorgen die de laatste tijd ontstaan over de samenvoeging van on-line- en off-linegegevensbanken, het vervagen van het onderscheid tussen on-line- en off-linehandelaren en het feit dat grote hoeveelheden persoonlijke informatie off line wordt verzameld en gebruikt, maken duidelijk dat veel aandacht moet worden besteed aan kwesties betreffende de bescherming van de persoonlijke levenssfeer in een off-lineomgeving.

Overlappende jurisdictie

Ten slotte stelt u een vraag over de wisselwerking tussen de jurisdictie van de FTC en die van andere met de rechtshandhaving belaste instanties, met name in gevallen waarin de jurisdicties van beide elkaar kunnen overlappen. De FTC werkt nauw samen met tal van andere met de rechtshandhaving belaste instanties, waaronder de federale bankinstanties en de procureurs-generaal van de deelstaten. Zeer vaak coördineren we onze onderzoeken om maximaal profijt te hebben van onze middelen in gevallen waarin de jurisdictie elkaar overlapt. Ook verwijzen we zaken vaak voor onderzoek naar de juiste federale of deelstaatinstantie.

Ik hoop dat dit overzicht voor u van nut is. Voor nadere informatie kunt u zich altijd tot mij wenden.

Hoogachtend,

Robert Pitofsky