Meta, het moederbedrijf achter onder andere Facebook, WhatsApp en Instagram, is sinds 2016 in het vizier van het Bundeskartellamt, de Duitse mededingingsautoriteit. Reden hiervoor is een gegevensverwerking die Meta verplicht oplegt aan Facebookgebruikers in haar gebruikersvoorwaarden. Het doel van deze verwerking is het personaliseren van advertenties die weergegeven worden via Facebook door gebruik te maken van gegevens die afkomstig zijn van andere Meta-diensten en websites of apps die gegevens delen met Facebook.
In onze nieuwe blog zal er worden ingegaan op het oordeel van de Bundeskartellamt en hoe het Hof van Justitie (hierna: het Hof) vervolgens heeft gekeken naar de grondslagen van Meta voor het personaliseren van advertenties en de bemoeienis van een mededingingsautoriteit. Heeft de uitspraak van het Hof bijvoorbeeld al gevolgen voor de praktijk?
Bundeskartellamt bemoeit zich met de AVG?
In het jaar 2019 oordeelde het Bundeskartellamt dat Meta met Facebook haar dominante positie in de sociale netwerkensector misbruikte en hierbij regels van de Algemene Verordening Gegevensbescherming (AVG) overtrad. Volgens het Bundeskartellamt was Meta namelijk in staat om een onbeperkte hoeveelheid aan gegevens te verzamelen en te combineren waarvan de Facebookgebruiker uiteindelijk de dupe werd. Voor de Facebookgebruiker was het namelijk niet mogelijk om dit te weigeren zonder van het gebruik van Facebook af te moeten zien. Dit oordeel was natuurlijk een doorn in het oog van Meta. Het duurde dan ook niet lang voordat Meta in beroep ging bij het Oberlandesgericht Düsseldorf. De rechter van het Oberlandesgericht besloot uiteindelijk een aantal vragen te stellen aan het Hof van Justitie en diens uitspraak af te wachten.
Het oordeel van het Hof van Justitie
Op 4 juli van dit jaar was het dan eindelijk zo ver, de langverwachte uitspraak van het Hof van Justitie in deze Meta saga. Al met al een domper voor Meta. Het Hof van Justitie oordeelde namelijk onder andere dat een mededingingsautoriteit wel degelijk mag oordelen of een bedrijf in overeenstemming handelt met de AVG. De mededingingsautoriteit moet in zo een geval wel rekening houden met en niet afwijken van eerder genomen besluiten van de privacytoezichthouder.
Verder oordeelde het Hof dat Meta een nieuwe grondslag nodig heeft voor het delen van gegevens met Facebook voor personalisatie. Op het moment dat het Oberlandesgericht Düsseldorf vragen stelde aan het Hof maakte Meta gebruik van de grondslag uitvoering van de overeenkomst. Deze grondslag kan in dit geval echter niet worden gebruikt, blijkt uit een besluit van de Ierse privacytoezichthouder, DPC, van eerder dit jaar. Zowel het Hof als de DPC oordeelt dat het delen van gegevens voor de personalisatie van advertenties namelijk geen noodzakelijk onderdeel is van de overeenkomst tussen de Facebookgebruiker en Facebook. Weliswaar kan het delen van gegevens voor personalisatie nuttig zijn voor de Facebookgebruiker, echter is dit niet noodzakelijk om de Facebookdiensten aan te kunnen bieden.
Na het besluit van de DPC besloot Meta de grondslag gerechtvaardigd belang te gebruiken voor het delen van gegevens voor personalisatie. Deze grondslag kun je als organisatie gebruiken wanneer je meent een belang te hebben bij een verwerking en dit belang zwaarder weegt dan het privacybelang van de betrokkenen. Het Hof oordeelde echter dat het gebruik van deze grondslag niet mogelijk was, omdat de belangen van de Facebookgebruikers zwaarder wogen dan de belangen van Meta. Ondanks dat Facebook een kosteloze dienst is hoeft de gebruiker er namelijk geen rekening mee te houden dat zijn/haar gegevens verwerkt worden zonder toestemming voor het personaliseren van advertenties.
De laatste grondslag die overblijft is toestemming. Wanneer een organisatie deze grondslag wil gebruiken, moet er aan een aantal voorwaarden worden voldaan. Een van deze voorwaarden is dat de toestemming in vrijheid gegeven moet worden. Aangezien Meta met Facebook een machtspositie heeft in de sociale netwerkensector, was voor het Oberlandesgericht Düsseldorf niet direct duidelijk of aan deze voorwaarde kon worden voldaan. Uiteindelijk oordeelde het Hof dat de machtspositie wel een rol speelt, maar in dit geval verder niet in de weg staat van het in vrijheid geven van toestemming.
Ten slotte oordeelde het Hof nog dat Facebookgebruikers de mogelijkheid moeten hebben om niet noodzakelijke verwerkingen, zoals personalisatie, te kunnen weigeren en dat het weigeren van deze toestemming geen negatieve gevolgen mag hebben voor hun gebruikerservaring. Facebookgebruikers mogen dus niet gedwongen worden om van het gebruik van Facebook af te moeten zien. Volgens het Hof zou het wel mogelijk kunnen zijn dat er voor de Facebookgebruikers die niet noodzakelijke verwerkingen weigeren een beperkte versie van de dienst wordt aangeboden of dat zij toegang kunnen krijgen tot de volledige dienst door het betalen van een bepaalde vergoeding.
Eerste gevolgen van de uitspraak van het Hof van Justitie
De uitspraak van het Hof van Justitie is nauwelijks een maand oud, maar ondertussen zijn de eerste gevolgen zichtbaar. Meta heeft inmiddels aangekondigd af te willen stappen van het verwerken van gegevens voor de personalisatie van advertenties op basis van haar gerechtvaardigd belang. Wanneer er daadwerkelijk wordt overgestapt naar het gebruiken van toestemming van betrokkenen als grondslag is nog even afwachten. Het bedrijf waarschuwt namelijk dat de wijziging langer kan duren.
In Noorwegen heeft de Noorse privacytoezichthouder Datatilsynet ondertussen een besluit genomen op basis van de uitspraak van het Hof van 4 juli 2023. Dit besluit houdt in dat de
Meta diensten Facebook en Instagram drie maanden lang geen gepersonaliseerde advertenties die gebaseerd zijn op gegevens afkomstig van andere diensten, websites of apps mogen tonen aan hun gebruikers. Ook hier geldt weer dat er een geldige grondslag ontbreekt. Het verbod kan vroegtijdig worden opgeheven wanneer gebruikers de mogelijkheid krijgen om deze manier van gepersonaliseerd adverteren te kunnen weigeren.
Door het bovenstaande verbod op te leggen is de Noorse privacytoezichthouder ‘Datatilsynet’ de eerste Europese privacytoezichthouder die aansluiting heeft gezocht bij de uitspraak van het Hof van 4 juli 2023. Nu Datatilsynet de eerste stap heeft gezet, is de kans groot dat andere Europese privacytoezichthouders zullen volgen.
Wij houden je op de hoogte van relevante ontwikkelingen op het grensgebied van de commerciële sector en privacy. Zou je meer willen weten? Neem dan contact op met een van onze experts.
