Privacy haalt dagelijks het nieuws. Daarbij komen vanzelfsprekend vooral de grotere zaken aan bod. Denk aan gevoelige datalekken, grootschalige hacks of de inzet van (geheime) camera’s. Er gebeurt echter veel meer op het gebied van privacy, wat niet altijd het nieuws haalt. Aan de hand van jurisprudentie leren we veel over hoe de Algemene verordening gegevensbescherming (‘AVG’) uiteindelijk toegepast wordt. In deze blog zetten we diverse uitspraken van de maand november op een rij.
Facebook en Instagram bieden betaald alternatief voor gepersonaliseerd adverteren
Mogelijk ben je tijdens (of zelfs na) je Black Friday- en Sinterklaasaankopen benaderd met advertenties van producten waarnaar je toevallig net op zoek was. Zulke ‘gepersonaliseerde advertenties’ zijn specifiek op jou gericht en gebaseerd op verzamelde gegevens over jouw kenmerken, zoals online gedrag en zoekgeschiedenis. Meta doet dit bijvoorbeeld via haar sociale mediaplatforms Facebook en Instagram.
Recent haalden deze gepersonaliseerde advertentiepraktijken opnieuw het nieuws. Het bedrijf biedt haar gebruikers sinds kort namelijk de keuze tussen twee opties: geef toestemming voor het gebruik van gepersonaliseerde advertenties óf betaal een vast bedrag per maand. Maakt de gebruiker geen keuze, dan kan hij of zij geen gebruik meer maken van de sociale mediaplatforms.
Meta’s juridische basis voor gepersonaliseerde advertenties heeft een langlopende geschiedenis. In 2019 verbood de Duitse mededingingsautoriteit, het Bundeskartellamt, Meta om haar algemene voorwaarden als verwerkingsgrondslag te gebruiken voor gepersonaliseerd adverteren. Hierop heeft Meta haar grondslag veranderd van ‘uitvoering van de overeenkomst’ naar haar gerechtvaardigde belang. Hierop heeft de Duitse rechter prejudiciële vragen gesteld aan het Europese Hof van Justitie.
Het Hof erkent in eerste instantie dat de verwerking van persoonsgegevens voor direct marketing kan worden beschouwd als een verwerking die tegemoetkomt aan het gerechtvaardigd belang van Meta. Vervolgens overweegt het Hof echter dat zo’n verwerking ook noodzakelijk moet zijn voor de behartiging van dat belang, en dat dit belang moet worden afgewogen tegen de privacybelangen van betrokkenen. Het Hof komt tot de conclusie dat Meta ook geen gerechtvaardigd belang heeft voor de verwerking van persoonsgegevens voor gepersonaliseerde advertenties.
Maar Meta bleef gebruik maken van gepersonaliseerde advertenties. Totdat de European Data Protection Board (‘EDPB’), het collectief van de Europese toezichthouders, op aandringen van de Noorse toezichthouder, op 27 oktober 2023 de Ierse toezichthouder de opdracht gaf om binnen twee weken definitieve maatregelen te nemen tegen Meta. Deze maatregelen omvatten een verbod op de verwerking van persoonsgegevens voor gepersonaliseerde advertenties op basis van de rechtsgronden ‘uitvoering van de overeenkomst’ en ‘gerechtvaardigd belang’ in de gehele Europese Economische Ruimte (‘EER’).
Meta’s ‘oplossing’ voor dit verbod is dus een abonnement: gebruikers moeten kiezen tussen het geven van toestemming voor gepersonaliseerde advertenties of het maandelijks betalen van € 9,99 of € 12,99, afhankelijk van de vraag of de gebruiker de diensten afneemt via de app of de browser.
Het is maar de vraag of deze kosten in verhouding staan met de werkelijke advertentie-opbrengsten van Meta, en of nog kan worden gesproken van ‘vrije’ toestemming. Ondertussen melden Ierse media dat Meta het verbod gaat aanvechten voor de High Court. De kwestie lijkt dus nog even voort te duren.
Voertuigidentificatienummers zijn persoonsgegevens en fabrikanten verwerkingsverantwoordelijken
De tweede zaak gaat in essentie over een EU-Verordening over de goedkeuring van en het markttoezicht op motorvoertuigen en aanhangwagens. In die Verordening staat dat wanneer maatregelen het verwerken van persoonsgegevens omvatten, zij moeten worden uitgevoerd overeenkomstig de AVG.
Het geschil gaat over de toegang tot informatie over voertuigen, met name het ter beschikking stellen van voertuigidentificatienummers (‘VIN's’) door autofabrikanten aan onafhankelijke marktdeelnemers. De Duitse brancheorganisatie Gesamtverband Autoteile-Handel vordert toegang tot deze voertuiginformatie van de Zweedse voertuigfabrikant Scania.
Scania verleent onafhankelijke marktdeelnemers via een website manuele toegang tot voertuiginformatie, reparatie- en onderhoudsinformatie en OBD-informatie. Via deze website kan informatie worden opgevraagd aan de hand van algemene informatie over voertuigen, zoals het model, de motor of het bouwjaar, of door het VIN van dat specifieke voertuig in te voeren. De resultaten van deze zoekopdracht kunnen worden afgedrukt of als PDF-bestand worden opgeslagen, wat geautomatiseerde verwerking van de gegevens onmogelijk maakt.
De EU-Verordening schrijft voor dat fabrikanten onafhankelijke marktdeelnemers “onbeperkte, gestandaardiseerde en niet-discriminerende toegang” moeten bieden tot deze informatie. De juridische vraag waarover het Europese Hof zich moest buigen, is of deze bepaling een wettelijke verplichting inhoudt in de zin van de AVG.
Het Hof oordeelt dat het VIN als persoonsgegeven moet worden beschouwd, aangezien het kan worden gekoppeld aan een geïdentificeerde of identificeerbare natuurlijke persoon. De verplichting om het VIN te verstrekken is bovendien in overeenstemming met de AVG, aangezien het een doel van algemeen belang dient. Dit maakt dat autofabrikant Scania verwerkingsverantwoordelijke is, wat betekent dat voor deze verwerking de eisen uit de AVG gelden.
Deze verplichting wordt gerechtvaardigd als noodzakelijk om effectieve en eerlijke concurrentie op de markt voor dergelijke diensten te waarborgen, wat bijdraagt aan het goed functioneren van de interne markt.
Tot slot bevestigt het Hof dat het ter beschikking stellen van VIN’s van de door autofabrikanten geproduceerde voertuigen aan onafhankelijke marktdeelnemers een wettelijke verplichting vormt voor voertuigfabrikanten, en dat dit in overeenstemming is met de bepalingen van de AVG.
Rechten van betrokkenen en het recht op een doeltreffende voorziening in rechte
De derde zaak speelt zich af in België, nadat een burger, ‘BA’, in 2016 een veiligheidsattest aanvraagt om te kunnen meewerken aan de montage en demontage van de installaties voor de tiende editie van de Europese ontwikkelingsdagen in Brussel. De Nationale Veiligheidsoverheid (‘NVO’), het orgaan dat over deze machtigingen beslist, wijst zijn verzoek af. BA heeft namelijk in de jaren voorafgaand aan zijn aanvraag deelgenomen aan verschillende betogingen.
BA heeft de NVO in 2020 verzocht om inzage in zijn persoonsgegevens en identificatie van de personen die verantwoordelijk zijn voor de gegevensverwerking. De NVO bevestigt de ontvangst en voert de controles uit, en wijzigt of verwijdert waar nodig de gegevens. Vervolgens laat de NVO aan BA weten dat vanwege Belgische wetgeving verdere details niet kunnen worden verstrekt.
De zaak komt uiteindelijk bij het Europese Hof, dat moet beoordelen of BA in dit geval recht heeft op “een doeltreffende voorziening in rechte” tegen het besluit om geen verdere details te verstrekken. De cruciale vraag was of het Handvest van de grondrechten van de Europese Unie vereist dat er een dergelijke voorziening in rechte is tegen een toezichthoudende autoriteit als de NVO, wanneer deze de rechten van een betrokkene uitoefent.
Het Hof oordeelt dat dit inderdaad het geval is. Daarbij benadrukt het Hof het belang van een onafhankelijke toezichthoudende autoriteit bij de bescherming van persoonsgegevens.
De AVG (toentertijd: de Richtlijn gegevensbescherming) waarborgt het recht op inzage en rectificatie van persoonsgegevens. Het recht op rechterlijke toetsing is van cruciaal belang om de effectiviteit en betrouwbaarheid van deze rechten en het toezicht daarop te waarborgen.
Met dit arrest benadrukt het Hof het belang van het waarborgen van de rechten van betrokkenen, en biedt het Hof duidelijkheid over de juridische kaders met betrekking tot de bescherming van persoonsgegevens. Een doeltreffende voorziening in rechte is voor betrokkenen in zulke situaties essentieel.
