Het einde van gepersonaliseerde advertenties op Facebook?

Het Hof van Justitie heeft mogelijk een bom gelegd onder de grondslag voor het plaatsen van het gepersonaliseerde advertenties door Meta op Facebook, en daarmee het verdienmodel van Meta. Meta verzamelt persoonsgegevens die ze gebruikt voor het personaliseren van de advertenties van Facebook-gebruikers op allerlei verschillende manieren. Dit doen ze bijvoorbeeld via de informatie die gebruikers zelf invullen en achterlaten op Facebook en via cookies die het (surf)gedrag van Facebook-gebruikers volgen buiten Facebook (“off-Facebook gegevens”). Meta vraagt geen expliciete toestemming aan gebruikers voor de verwerking van deze gegevens. Ze gaan ervan uit dat gebruikers hiermee – en daarmee met hun algemene voorwaarden – akkoord gaan door het klikken op de knop “Registreren”.

Het Bundeskartellamt - de Duitse mededingingsautoriteit - vindt dat Meta met deze handelswijze misbruik maakt van haar machtspositie en heeft Meta gelast de voorwaarden aan te passen. Meta was het hier niet mee eens en heeft daarom een zaak aangespannen tegen het Bundeskartellamt, waarover de Duitse rechter vragen stelde aan het Hof van Justitie van de Europese Unie. In dit artikel bespreken wij deze zaak.

Verhouding mededingingsautoriteit en AVG

De eerste vraag die behandeld werd in deze zaak was de vraag of het Bundeskartellamt wel bevoegd was om zich uit te laten over de verenigbaarheid van een verwerking van persoonsgegevens op grond van de AVG, en onder welke voorwaarden. Normaliter laten namelijk alleen privacytoezichthouders, zoals de Autoriteit Persoonsgegevens in Nederland, zich daarover uit, en is de mededingingsautoriteit gehouden zich te focussen op mededingingsrechtelijke aangelegenheden.

Het Hof bepaalde dat een mededingingsautoriteit onderzoek mag doen naar en beslissingen mag maken over de verenigbaarheid van de verwerking van persoonsgegevens met de AVG, als dat noodzakelijk is om bijvoorbeeld misbruik van machtspositie te onderzoeken.

Het Hof onderstreepte daartoe het verschil tussen toezichthoudende autoriteiten op de AVG enerzijds, en nationale mededingingsautoriteiten anderzijds. Waar toezichthoudende autoriteiten vooral taken en bevoegdheden hebben op grond van de AVG, maken de mededingingsautoriteiten geen gebruik van die bevoegdheden.

Wel kan sprake zijn van samenwerking tussen de toezichthoudende autoriteit en de nationale mededingingsautoriteit. Het beginsel van loyale samenwerking vereist namelijk dat alle onder het Unierecht vallende gebieden elkaar respecteren en steunen bij de vervulling van de taken die uit de Europese Verdragen voortvloeien. Als een nationale mededingingsautoriteit onderzoekt of de gedragingen van een onderneming in overeenstemming zijn met de AVG, is zij verplicht eerst na te gaan of de bevoegde toezichthoudende autoriteit al een besluit of beslissing heeft genomen over de gedraging die zij onderzoekt of een soortgelijke gedraging. Als de nationale mededingingsautoriteit het niet eens is met de opvatting van de toezichthoudende autoriteit, kan zij de toezichthoudende autoriteit om uitleg vragen of om toestemming vragen een eigen, nieuw besluit te nemen. Zo wordt voorkomen dat beide instanties elkaar tegenspreken.

Vrijelijke toestemming en marktpositie

In deze zaak kwam onder andere de vraag aan bod of een gebruiker geldige toestemming kon geven aan Meta voor het verzamelen en verwerken van persoonsgegevens. De AVG bepaalt immers dat er een grondslag (reden) moet zijn om persoonsgegevens te verwerken. De AVG kent zes grondslagen:

1. Toestemming
2. Uitvoering van de overeenkomst
3. Wettelijke verplichting
4. Bescherming van een vitaal belang
5. De vervulling van een taak van algemeen belang
6. De behartiging van een gerechtvaardigd belang van de betrokkene.

Het Bundeskartellamt was van mening dat toestemming niet geldig kon zijn. Volgens hen heeft Meta een dusdanig machtige positie  in de markt en ten opzichte van de gebruiker, dat de gebruiker niet vrijelijk (zonder enig pressiemiddel) zijn toestemming kan geven. Daarmee zou Meta misbruik maken van haar marktmacht.

Het antwoord op die vraag is belangrijk, omdat er onder de AVG strenge vereisten zitten aan toestemming. Het geven van toestemming wordt in de AVG gedefinieerd als: “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt”. Als toestemming niet vrijelijk gegeven is, heeft Meta geen geldige toestemming verkregen en mag ze geen beroep doen op toestemming.

Het Hof oordeelde hierover dat het bestaan van zo een machtspositie inderdaad kan leiden tot een duidelijke wanverhouding tussen partijen, maar dat dit niet direct betekent dat gebruikers niet rechtsgeldig hebben ingestemd met de verwerking van persoonsgegevens. Het is aan Meta om aan te tonen dat dit element geen belemmering vormt voor het geven van rechtsgeldige toestemming door de gebruiker. Dat zal Meta dus nog moeten doen en de rechter moet uiteindelijk hierover beslissen.

Verwerking van persoonsgegevens

Vervolgens is het de vraag of er voor Meta een grondslag bestaat om in zijn algemeenheid persoonsgegevens van gebruikers, die verkregen zijn via het bijhouden van de bezoeken van gebruikers aan andere websites of diensten, te verzamelen en te gebruiken (voor advertentiedoeleinden). Omdat Meta geen beroep kan doen op toestemming volgens het Bundeskartellamt, moest Meta het over een andere boeg gooien. Ze beargumenteerde dat het verzamelen en gebruiken van die gegevens noodzakelijk was om het sociale mediaplatform aan te bieden (en daarmee aan haar contractuele verplichting richting haar gebruikers te voldoen). Meta stelt ook dat ze hiermee een gerechtvaardigd belang had om gegevens te verzamelen voor personalisatie, namelijk een commercieel belang.

Het Hof gaat hier niet in mee. In de overeenkomst tussen de gebruiker en Meta stond weliswaar dat zij de inhoud kon personaliseren, maar volgens het Hof is dat niet het hoofddoel van de overeenkomst. Het doel van de overeenkomst is namelijk het aanbieden van een social mediaplatform. En een social mediaplatform kan ook aangeboden worden zonder personalisatie. Personalisatie is zeer nuttig, maar niet noodzakelijk om het platform aan te bieden en Meta kan daarom geen beroep doen op de verwerkingsgrond “noodzakelijk voor de uitvoering van de overeenkomst”.

Het Hof oordeelt daarnaast dat Meta geen beroep kan doen op het gerechtvaardigd belang. De gebruiker hoeft er geen rekening mee te houden dat Meta gebruikersgegevens zonder toestemming gebruikt om inhoud en reclame te personaliseren. De belangen van de gebruiker wegen dan zwaarder dan de belangen van Meta. Om die reden kan Meta geen beroep doen op het gerechtvaardigd belang.

Het wordt voor Meta dus lastig om een goede grondslag te vinden voor het verwerken van persoonsgegevens voor de personalisatie van haar platform.

Bijzondere persoonsgegevens

Ook  de vraag of een exploitant van een online sociaal netwerk – Meta in dit geval – bijzondere persoonsgegevens van gebruikers mag verwerken kwam aan de orde. Bijzondere persoonsgegevens worden in de AVG extra beschermd vanwege hun gevoelige en bijzondere aard. Voorbeelden van zulke gegevens zijn ras, politieke opvattingen of seksuele geaardheid. Het is verboden om deze persoonsgegevens te verzamelen en gebruiken, tenzij een organisatie voldoet aan de vereisten uit de AVG.

Via cookies verzamelde Meta informatie van haar gebruikers die bepaalde websites of apps bezochten. Bij het bezoek aan dergelijke websites, het invullen van gegevens op die websites of apps of het plaatsen van een bestelling op die website, kunnen bijzondere persoonsgegevens verzameld worden door Meta. Bijvoorbeeld wanneer een persoon een bepaald medicijn koopt. Het Hof oordeelde daarom dat Meta bijzondere persoonsgegevens verwerkte.

Daarbij voldeed Meta niet aan de vereisten van de AVG. Meta zei dat deze gegevens zelf door de gebruikers openbaar gemaakt werden door die websites te bezoeken. Meta mocht daarom die persoonsgegevens verzamelen engebruiken. Het Hof gaat hier echter niet in mee. Meta had voordat die websites of pagina’s bezocht werden de gebruikers moeten inlichten wat er zou gebeuren met hun persoonsgegevens. Door dat niet te doen, had de gebruiker geen volledige kennis van zaken. Daarom kon Meta geen beroep doen op de openbaarmaking door de gebruiker. Meta was dus niet gerechtigd bijzondere persoonsgegevens te verwerken.

Conclusie

Kortom, een interessante uitspraak met mogelijk verregaande gevolgen. Allereerst geeft het oordeel een mooi inkijkje in de rol en bevoegdheden van mededingingsautoriteiten op het gebied van AVG. Ten tweede legt deze uitspraak mogelijk een bom onder het verdienmodel. Als Meta én geen rechtsgeldige toestemming kan krijgen voor het plaatsen van gepersonaliseerde advertenties, én zij kan dat niet op grond van de overeenkomst tussen Meta en de gebruiker én zij heeft geen gerechtvaardigd belang om die advertenties (op deze manier) te personaliseren, dan blijven er weinig opties over om gepersonaliseerde advertenties te plaatsen en daarmee (veel) geld te verdienen.

Dat dit een reëel risico is, blijkt ook al uit een recent besluit van de Noorse privacytoezichthouder. Die heeft namelijk, mede naar aanleiding van deze uitspraak van het Hof van Justitie, besloten dat Meta tijdelijk geen gepersonaliseerde advertenties mag aanbieden op grond van de overeenkomst en op grond van het gerechtvaardigd belang, in afwachting van nadere besluitvorming.

Heeft u vragen over bovenstaande uitspraak, de AVG of algemene voorwaarden? Neem dan gerust contact met ons op.

Dit artikel is geschreven door Ruben Krul en Heleen IJland.