EDPB beslist: Facebook en Whatsapp overtreden AVG, boete dreigt

‘Milde’ Ierse toezichthouder gecorrigeerd

De Meta bedrijven hebben als onderdeel van de gebruiksvoorwaarden verschillende verwerkingen van persoonsgegevens opgenomen, zoals ten behoeve van  het tonen van getargette advertenties (Insta en Facebook) en verbeteren van de dienstverlening (Whatsapp). Hier stem je dus als gebruiker mee in als je een account aanmaakt. De privacy organisatie NYOB diende hierover een klacht in bij verschillende privacytoezichthouders. Het onderzoek wordt geleid door de Ierse toezichthouder, aangezien het hoofdkantoor van de organisaties in Ierland staat. Nu is de Ierse toezichthouder vanuit het verleden niet de privacy waakhond die hardst blaft of bijt (er wordt ook gesuggereerd dat dat één van de redenen is waarom de big tech juist hier is gevestigd). De Ierse toezichthouder heeft onderzoek gedaan en is verplicht dit aan de andere privacy toezichthouders voor te leggen. Die waren het er niet mee eens. En dus moest de EDPB oordelen. Dat is nu gebeurt en nu moet Ierland binnen een maand met drie besluiten komen, gebaseerd op het EDPB oordeel.

Geen ‘bypass’ meer voor toestemming

De EDPB publiceert de besluiten pas als de Ierse toezichthouder zijn definitieve besluit bekend heeft gemaakt. Maar de Wall Street Journal en ook NYOB – de klager – geven aan dat de beslissing inhoudt dat Meta geen persoonlijke gegevens mag gebruiken voor advertenties op basis van een vermeend “contract”. Gebruikers moeten om toestemming gevraagd worden en die moeten zij ook kunnen weigeren. De bypass is verleden tijd.

Balletje ging al veel eerder rollen

Dit balletje is al lang geleden aan het rollen gebracht. Door Max Schrems, een Oostenrijkse privacy voorvechter, die in Ierland een rechtszaak aanspande tegen Facebook. Hij wilde na de onthullingen van Snowden niet dat Facebook zijn data opslaat op Amerikaanse servers. De Ierse rechtbank verwees de zaak naar het Hof van Justitie. De Europese Commissie en de Amerikaanse overheid zagen de bui al hangen en pasten een eerdere regeling voor gegevensuitwisseling tussen de VS en EU aan. De ‘Safe Harbor’ regeling werd vervangen door het Privacy Shield. Maar in 2020 oordeelt het Europese Hof van Justitie dat ook hier niet genoeg bescherming wordt geboden tegen inlichtingendiensten. Sindsdien is data uitwisseling tussen de EU en VS illegaal, tenzij extra waarborgen worden getroffen. Max Schrems is tevens de oprichter van NYOB die de klacht tegen Meta indiende.

Gelijk speelveld

De uitkomst is waarschijnlijk een zware dobber voor Meta. En heeft ook implicaties voor andere platformen die online profileren of tracken door dit op te nemen in hun algemene voorwaarden. Voor de Europese markt kan het wel een positieve ontwikkeling blijken. Europa is strenger dan de Verenigde Staten, die kennen helemaal geen verplichte opt-in bijvoorbeeld voor marketing. Bij de platformen wordt vaak nog steeds een akkoord gegeven op het delen van consumentendata en het creëren van profielen in de algemene voorwaarden. Dan krijg je – ik chargeer – de situatie waarbij Nederlandse adverteerders voor hun eigen kanalen toestemming nodig hebben om gericht te adverteren bijvoorbeeld per e-mail of via display (cookies). Maar als zij adverteren via Facebook of Google kun zij wel heel gericht op bepaalde profielen adverteren (het platform heeft immers wel toestemming), maar wel via het platform want de klantdata krijgen ze niet. Wellicht dat de komende uitspraak daar verandering in brengt.