Sociale media bevatten een steeds groter wordende bron van informatie en gegevens. Op profielen van sociale media worden meer en meer (gevoelige) (persoons)gegevens gepubliceerd door de gebruikers zelf. Maar in hoeverre mogen deze gegevens vervolgens gebruikt worden om bijvoorbeeld onderzoek op te baseren? Er moet in elk geval rekening gehouden worden met de mogelijke verwerking van persoonsgegevens, die als gevolg heeft dat de Algemene Verordening Gegevensbescherming (AVG) van toepassing zal zijn.

Gegevens op sociale media: persoonsgegevens?

Het begrip ‘persoonsgegeven’ kent een brede definitie, ook in een online context. Online persoonsgegevens hebben niet enkel betrekking op bijvoorbeeld een naam, identificatienummer, locatiegegevens (bv. geotagging), afbeeldingen, online identificators… Ook niet-expliciete informatie, zoals likes en comments op een online artikel, cookies en webverkeer zijn persoonsgegevens als de betrokkene er direct of indirect geïdentificeerd door kan worden.

Zo kan je op het internet gebruikmaken van gebruikersnamen of social media handles die de gebruiker een (onterecht) ‘gevoel van anonimiteit’ geven. Dergelijke gebruikersnamen of handles, die anoniem lijken, kunnen echter volstaan om een persoon op unieke wijze te identificeren (ook wanneer deze identificatie enkel betrekking heeft op de “online” identiteit van een persoon). Het is namelijk mogelijk om de ene (online) persoon van de andere (online) persoon te onderscheiden door middel van een gebruikersnaam. Gebruikersnamen zijn aldus geen anonieme of geanonimiseerde gegevens.

Bovendien kan je op sociale media ook beeld- en stemopnames vinden, zoals online foto’s, online interviews of YouTube-video’s waarin mensen afgebeeld worden. Beeld- en stemopnames kunnen in sommige omstandigheden zelfs een bijzondere categorie van persoonsgegevens zijn.

Online gegevens bevatten dus vaak informatie over natuurlijke, levende personen - kortom persoonsgegevens.

Je denkt bijgevolg best niet te snel dat de online verzamelde gegevens die je verwerkt niet onder de AVG vallen; een voorzichtige aanpak is het veiligst. Zelfs wanneer je met pseudonieme gegevens werkt, bestaat er de mogelijkheid tot identificatie. Enkel wanneer je effectief anonieme gegevens gebruikt (gegevens die geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon of op persoonsgegevens die zodanig anoniem zijn gemaakt dat de betrokkene niet of niet meer identificeerbaar is), is dat niet het geval. De drempel om van anonieme of geanonimiseerde gegevens te spreken werd echter zeer hoog gelegd door de wetgever, waardoor je in de meeste gevallen niet van anonieme of geanonimiseerde gegevens zal kunnen spreken. 

(Persoons)gegevens op sociale media: publieke gegevens?

Informatie op sociale media en andere online data wordt als “pseudo-publiek” beschouwd: de betrokkene deelt zijn of haar gegevens op het socialemediaplatform voor bepaalde sociale media-doeleinden. Hoewel de informatie publiek toegankelijk is voor privé en/of professionele personen (wanneer de betrokkene zijn/haar account niet afschermt), zijn de gedeelde berichten of informatie niet noodzakelijkerwijze altijd bedoeld voor een algemeen publiek.

Het feit dat sommige gegevens openbaar zijn op sociale media, betekent dus niet dat er geen grenzen zijn aan het gebruik ervan. De principes van de AVG zijn zowel van toepassing op publiek toegankelijke als op “afgesloten” persoonsgegevens, dus ongeacht de zichtbaarheidsinstellingen van het platform (bv. gegevens enkel zichtbaar voor andere gebruikers, vrienden, het gehele publiek, …).

Dat sommige gegevens als “publiek” beschouwd kunnen worden, is echter niet volledig irrelevant: het kan inzicht geven in het verwachtingspatroon van de betrokkene. Vóór secundaire verwerking van persoonsgegevens is het aangewezen om als onderzoeker een belangenafweging te maken bij de verenigbaarheidstoets (zie hieronder), waarbij het verwachtingspatroon van de betrokkene (dat je bijvoorbeeld kan afleiden uit de zichtbaarheidsinstellingen van de gegevens / het profiel) een belangrijk element kan zijn. De betrokkene zal een ander verwachtingspatroon hebben bij (hergebruik van) gegevens in een open dan in een besloten forum.

Als onderzoeker zal je bij een secundaire verwerking van persoonsgegevens dus moeten beoordelen of de betrokkenen daadwerkelijk de bedoeling hadden hun gegevens openbaar te maken. Het is niet voldoende dat de gegevens toegankelijk zijn; ze moeten in die mate openbaar zijn gemaakt dat de betrokkenen een andere verwachting van privacy hebben. 

(Persoons)gegevens op sociale media: hoe ga je ermee aan de slag?

Je kan op verschillende manieren gegevens verzamelen:

• Je kan de betrokkene(n) zelf rechtstreeks contacteren via het socialemediaplatform, om de nodige gegevens vervolgens bij de betrokkene(n) zelf te verzamelen. Dit is een primaire verwerking van persoonsgegevens.
• Je kan via het socialemediaplatform de gegevens die je nodig hebt verkrijgen (bv. via een geautomatiseerd proces (API) bezorgt het socialemediaplatform jou de gevraagde gegevens die gebruikers deelden op hun platform, of door gebruik van scraping haal je zelf de gegevens die je nodig hebt van het platform). Dit is een secundaire verwerking van persoonsgegevens.

Primaire verwerking van persoonsgegevens: je contacteert de betrokkene(n) via het socialemediaplatform en verzamelt rechtstreeks bij hen persoonsgegevens

In bepaalde gevallen kan je via een socialemediaplatform contact leggen met de betrokkene(n) en zo rechtstreeks bij hen persoonsgegevens verzamelen (zoals het verspreiden van een survey via sociale media). Om deze persoonsgegevens te verwerken, moet je onderzoeken in welke rechtsgrond de verwerking van deze persoonsgegevens berust.

De verwerking van persoonsgegevens in het kader van jouw onderzoek, moet namelijk gebaseerd zijn op één van de zes rechtsgronden uit de AVG. Meer informatie over de rechtsgronden vind je hier.

Niet elke rechtsgrond is relevant voor onderzoeksdoeleinden; om die reden bespreken we hieronder enkel de toestemming en het algemeen belang bij verwerking van sociale media gegevens.

Toestemming

Als je je voor de (geplande) verwerking van persoonsgegevens zou willen baseren op toestemming van de betrokkene, moet de toestemming voldoen aan specifieke voorwaarden.

Wanneer het gaat over sociale media, zou de vraag gesteld kunnen worden of de gebruiker geen impliciete toestemming heeft verleend door akkoord te gaan met de algemene voorwaarden van het platform en/of door de gegevens zelf (semi) openbaar te maken. Dit is echter niet het geval.
Het feit dat een gebruiker via de instelling van een socialemediaplatform zelf kan kiezen om zijn of haar gegevens al dan niet publiek weer te geven, impliceert geen toestemming van die betrokkene aan jou om zijn of haar gegevens te gebruiken. Je moet hier in het achterhoofd houden dat gebruikers van sociale media niet altijd even goed geïnformeerd zijn over de mogelijke gevolgen van hun sociale media-gebruik en zich daardoor in een “kwetsbare” positie kunnen bevinden.

!! Het feit dat gegevens (publiek) beschikbaar zijn, impliceert geen toestemming voor jouw gebruik ervan. Je zal zelf actieve toestemming moeten verkrijgen van de gebruikers.

Opgelet: wanneer er bijzondere categorieën van persoonsgegevens worden verwerkt, is er ook een uitzonderingsgrond uit artikel 9 AVG nodig. Dit kan ook toestemming zijn, maar deze moet dan uitdrukkelijk zijn.

Algemeen belang

Als je meent dat de (geplande) verwerking van persoonsgegevens noodzakelijk is in het algemeen belang, moet het onderzoek leiden tot een vermeerdering van kennis en inzicht die de maatschappij (direct of indirect) ten goede komt. Je moet voor je onderzoek aantonen dat het verwerken van persoonsgegevens ook noodzakelijk is om deze taak te vervullen en een maatschappelijk belang dient. Daarnaast vereist deze rechtsgrond ook dat er een effectieve taak van algemeen belang opgedragen werd aan de verwerkingsverantwoordelijke. Deze taak moet vastgelegd zijn in het nationaal recht. Enkel als er een wettelijke basis is voor het onderzoek, kan deze rechtsgrond ingeroepen worden. Meer informatie hierover vind je hier.

Secundaire verwerking van persoonsgegevens: je ontvangt de persoonsgegevens via het socialemediaplatform

Wanneer je gegevens van sociale media platforms haalt, en deze dus niet rechtstreeks bij de betrokkenen zelf verzamelt, gaat het om een “secundaire verwerking van persoonsgegevens”. Voor de verwerking van gegevens op sociale media doen onderzoekers vaak beroep op zgn. application programming interfaces (API’s) die de onderzoekers rechtstreeks verbinden met het platform. Een andere mogelijke techniek is web scraping, waarbij software wordt gebruikt om informatie en gegevens van andere websites te extraheren (‘schrapen’). De geschraapte informatie kan vervolgens worden geanalyseerd, en gestructureerd worden weergegeven in een eigen dataset.

In de eerste plaats vereist de AVG dus dat, ook bij secundaire verwerking van persoonsgegevens, de verwerking in het kader van jouw onderzoek gebaseerd is op één van de zes rechtsgronden uit de AVG. Ook in dit geval dient er bij verwerking van bijzondere categorieën van persoonsgegevens een uitzonderingsgrond uit artikel 9 AVG van toepassing te zijn.

Indien de oorspronkelijke verwerking door het socialemediaplatform berustte in de toestemming van de betrokkene(n), moet je nagaan (bijvoorbeeld in de gebruiksvoorwaarden en de privacyverklaring) of deze toestemming ook het doel van de secundaire verwerking (nl. wetenschappelijk onderzoek) dekt. In de praktijk is de kans eerder klein dat jij je als onderzoeker op de gebruiksvoorwaarden van het betrokken socialemediaplatform (waarvoor de gebruiker toestemming heeft verleend) zal kunnen beroepen, zelfs niet als je hierover een overeenkomst sluit met de operator. Wanneer de oorspronkelijke toestemming de verdere verwerking (voor wetenschappelijk onderzoek) niet dekt, dan zal je een andere rechtsgrond dienen te zoeken voor deze verdere verwerking (zie ook hoger).

In de tweede plaats mogen verzamelde gegevens niet verder op een met de oorspronkelijke doeleinden onverenigbare wijze worden verwerkt. Als onderzoeker dien je dus, in het geval van secundaire verwerking, een verenigbaarheidstoets uit te voeren.

De AVG bepaalt wel een “vermoeden van verenigbaarheid” wanneer gegevens verder worden verwerkt met het oog op wetenschappelijk onderzoek. Dit betekent dat, wanneer  persoonsgegevens verder verwerkt worden voor wetenschappelijk onderzoek, de verenigbaarheid wordt verondersteld. De verenigbaarheidstoets kan dan beperkt blijven tot het beoordelen van toepasselijke waarborgen; er dienen namelijk voldoende technische en organisatorische maatregelen geïmplementeerd te worden (zo dient er bij voorkeur met anonieme gegevens gewerkt te worden en dienen gegevens zo snel als mogelijk gepseudonimiseerd te worden).

Er moet ook aandacht besteed worden aan het feit dat wanneer je als onderzoeker gebruik maakt van een socialemediaplatform, je zelf ook gebonden bent aan de gebruiksvoorwaarden van het platform (hetzij door een account aan te maken, hetzij door gebruik te maken van de diensten van een platform en daarbij (al dan niet direct) de gebruiksvoorwaarden aanvaardt). Dit kan problematisch zijn wanneer in deze gebruiksvoorwaarden uitdrukkelijk wordt bepaald dat het verder verwerken van (persoons)gegevens die vindbaar zijn op het platform verboden is (en helaas is dit in de meeste gebruiksvoorwaarden wel degelijk gestipuleerd).

Indien je de verzamelde persoonsgegevens mag gebruiken voor je onderzoek, kan je, afhankelijk van het socialemediaplatform, de “houder van het bronmateriaal” (de operator van het sociale netwerk zelf dus) contacteren. Zo kan je contractueel de modaliteiten rond jouw verwerking afspreken, en duidelijk vastleggen op welke manier deze zal plaatsvinden. Zo’n overeenkomst vervangt de AVG-verplichtingen (zoals de informatieverplichting en de noodzaak van een rechtsgrond) echter niet. Een operator kan namelijk ook niet (volledig) zelf vrij beschikken over de betrokken persoonsgegevens. Dit betekent natuurlijk niet dat het daarom ook zinloos is om medewerking te verkrijgen van de betrokken operator. Met het oog op intellectuele eigendomsrechten kan het zelfs noodzakelijk zijn om afspraken te onderhandelen. Zo’n overeenkomst moet echter wel alle toepasselijke principes van de AVG respecteren. 

(Persoons)gegevens op sociale media: informatieverplichting

Als je persoonsgegevens verwerkt, ben je verplicht om de betrokkene te informeren over de (geplande) verwerking van zijn of haar persoonsgegevens. Dit ongeacht de oorsprong en dus ook voor sociale media gegevens. Dit geldt zowel voor primair als voor secundair gebruik van persoonsgegevens.

De betrokkenen dienen aldus individueel geïnformeerd te worden over de specifieke onderzoeken waarbij gegevens over hen worden gebruikt. Hierop bestaat echter een “uitzondering” bij secundair gebruik van persoonsgegevens, in het bijzonder bij verwerking met het oog op wetenschappelijk onderzoek. Namelijk als het verstrekken van de informatie onmogelijk blijkt of onredelijk veel inspanning zou vergen, dan kan je afwijken van de informatieverplichting. In dat geval moet je wel nog steeds maatregelen nemen om de rechten en vrijheden van de betrokkene te beschermen en om minimale gegevensverwerking te garanderen, waaronder het openbaar maken van de informatie. In dit geval kan de informatie op een meer algemeen niveau openbaar worden gemaakt, zoals bijvoorbeeld op een website of in een brochure.

Betrokkenen hebben niet enkel het recht op informatie, maar hebben ook andere rechten die ze onder de AVG kunnen uitoefenen en welke een mogelijke impact kunnen hebben op jouw verwerking van persoonsgegevens. Voor meer informatie klik hier.

Je dient dit bovendien te documenteren in je AVG register (via dmponline.be).