Mobiele apps en games in de EU-winkels

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy, for device storage and tracking
• Regulation (EU) 2022/2065 — DSA where user content is hosted
• Regulation (EU) 2023/2854 — Data Act, for connected products
• Directive 2011/83/EU — Consumer rights

Wie moet aanwijzen

Elke ontwikkelaar of uitgever die buiten de Unie is gevestigd en wiens app beschikbaar is voor gebruikers in de EU en die hun persoonlijke gegevens verwerkt. Het aanbieden van de app in EU-winkels, prijzen in euro's, lokalisatie of het tonen van advertenties aan EU-gebruikers wijzen allemaal op targeting. Een SDK-aanbieder die zijn eigen doeleinden bepaalt — een advertentienetwerk, een analytics-leverancier — is op zichzelf een verwerkingsverantwoordelijke en heeft zijn eigen vertegenwoordiger nodig.

Drempels en vrijstellingen

Geen omzet- of downloaddrempel. De beperkte vrijstelling van Artikel 27(2) voor incidentele verwerking past niet bij een app met een installatiedatabase, persistente identificatoren en analytics. Gratis apps vallen volledig onder de reikwijdte: monetisatie via advertenties is verwerking, geen vrijstelling.

Wat op het etiket moet

Niet fysiek. De identiteit en contactgegevens van de EU-vertegenwoordiger moeten verschijnen in het privacybeleid dat is gelinkt vanuit de winkelvermelding en binnen de app, op een plek die een gebruiker daadwerkelijk kan vinden. Apple en Google vereisen beide een werkende URL voor het privacybeleid en nauwkeurige gegevensveiligheidsverklaringen, en inconsistenties tussen de verklaarde gegevensverzameling en de daadwerkelijk aanwezige SDK's worden gecontroleerd.

Marktplaatsvelden

App Store en Google Play vereisen privacylabels of gegevensveiligheidsverklaringen die overeenkomen met de werkelijkheid. Google Play vereist bovendien dat ontwikkelaars buiten de EU handelsinformatie publiceren voor consumentgerichte apps in de EU onder de transparantieregels die aan de DSA zijn gerelateerd, en verwijdert apps waarvan de verklaringen onvolledig zijn. Advertentie-SDK's die identificatoren zonder toestemming verzenden, zijn de meest voorkomende reden waarom een app faalt in een privacybeoordeling van de winkel.

Documentatie die u moet bewaren

De schriftelijke aanwijzing van Artikel 27. De Artikel 30 verwerkingsregisters, waarin elke SDK, het doel en de overdrachten worden vermeld. Een toestemmingsbeheerflow voor niet-essentiële opslag en tracking, met bewijs van toestemming per gebruiker. Gegevensbeschermingseffectbeoordeling waar profilering, gegevens van kinderen of grootschalige tracking bij betrokken zijn. Standaardcontractuele clausules en een overdrachtsimpactbeoordeling voor gegevens die naar de Verenigde Staten of elders gaan. Gegevensverwerkingsovereenkomsten met elke SDK-leverancier die een verwerker is.

Normen en tests

Niet van toepassing in de testzin. Wat wordt onderzocht is de toestemmingsflow: of identificatoren worden gelezen of geschreven voordat toestemming is gegeven, of weigeren net zo eenvoudig is als accepteren, en of de winkelverklaringen overeenkomen met het netwerkverkeer. Toezichthouders en NGO's voeren beide verkeersanalyses uit, en dat is hoe de meeste handhaving in deze categorie begint.

Taalvereisten

Privacy-informatie in de taal van de doelgebruikers. Een app gelokaliseerd in het Duits of Frans met een alleen Engelse toestemmingsflow is een transparantiefout onder Artikel 12.

Vanaf wanneer

De aanwijzing moet bestaan voordat de app beschikbaar wordt gesteld in EU-winkels. Toestemming moet worden verkregen voordat enige niet-essentiële SDK leest of schrijft naar het apparaat, wat betekent bij de eerste lancering en vóór de analytics-aanroep, niet erna.

Bewaartermijn

Verwerkingsregisters voor de levensduur van de app plus bewijs van eerdere perioden. Toestemmingsregisters zolang de verwerking doorgaat, aangezien de last om toestemming te bewijzen bij de verwerkingsverantwoordelijke ligt.

Bij niet-naleving

Tot €10 miljoen of 2% van de omzet voor het niet aanwijzen van een vertegenwoordiger, en tot €20 miljoen of 4% voor onwettige verwerking. Nationale ePrivacy-boetes zijn apart en worden door sommige autoriteiten opgelegd zonder dat schade onder de GDPR hoeft te worden bewezen. Verwijdering uit de winkel is het snellere commerciële risico: Apple en Google handelen binnen enkele dagen bij inconsistenties in privacyverklaringen.

Wie handhaaft

Elke EU-toezichthoudende autoriteit waar gebruikers zich bevinden, aangezien er geen one-stop-shop is voor verwerkingsverantwoordelijken buiten de Unie. Nationale ePrivacy-handhaving ligt bij de gegevensbeschermingsautoriteit in de meeste lidstaten en bij de telecomregulator in enkele.

Waar de grens ligt

Apps voor kinderen brengen strengere regels met zich mee: profilering voor advertenties is effectief verboden onder de DSA voor minderjarigen op platforms, en toestemming van een kind onder de nationale leeftijd van digitale toestemming — tussen 13 en 16 afhankelijk van de lidstaat — vereist ouderlijke toestemming. Apps die door gebruikers gegenereerde inhoud hosten vallen ook onder de DSA en hebben een juridische vertegenwoordiger onder Artikel 13 nodig, wat een aparte aanstelling is van Artikel 27.

Veelgestelde vragen

We gebruiken alleen Firebase en AdMob — hebben we nog steeds een vertegenwoordiger nodig?

Ja. Die SDK's verwerken persoonlijke gegevens van EU-gebruikers namens jou en voor hun eigen doeleinden, en je richt je op de EU door te publiceren in EU-winkels.

Is de App Store onze gegevensverwerkingsverantwoordelijke?

Nee. De winkel is een distributiekanaal en een verwerkingsverantwoordelijke voor zijn eigen verwerking. Jij blijft de verwerkingsverantwoordelijke voor wat jouw app verzamelt.

Lost een in de EU gevestigde uitgever het probleem op?

Als een bedrijf dat in de Unie is gevestigd de werkelijke verwerkingsverantwoordelijke is voor de verwerking, is Artikel 27 niet op hem van toepassing. Een nominale uitgever die geen doeleinden en middelen bepaalt, zal de controle niet doorstaan.