Meta mag niet langer data van gebruikers verzamelen op basis van gerechtvaardigd belang. Het Amerikaanse technologiebedrijf mag enkel persoonlijke gegevens gebruiken voor zover deze informatie strikt noodzakelijk is om diensten te leveren. Voor alle andere verwerkingen moet het bedrijf expliciet om toestemming vragen van gebruikers.

Dat oordeelt Het Europees Hof van Justitie in een vonnis (pdf).

Meta krijgt boete van 390 miljoen euro opgelegd

Voor het begin van deze zaak moeten we terug naar januari 2023. De Ierse toezichthouder, Data Protection Commission (DPC), legde toen een boete van 390 miljoen euro op aan Meta. De privacywaakhond oordeelde dat het techbedrijf jarenlang onrechtmatig gegevens van Facebook- en Instagram-gebruikers had verzameld om gerichte advertenties aan te bieden. Om dit te mogen doen had het bedrijf toestemming moeten vragen aan haar gebruikers.

De advocaten van Meta betoogden dat dit niet nodig was, omdat het een uitvoeringsovereenkomst had met haar leden. In een notendop kwam het erop neer dat iedereen met een Facebook- of Instagram-account, ermee instemde dat het moederbedrijf gebruikersgegevens verzamelde. Deze verwerking was nodig om de sociale netwerken te kunnen aanbieden.

De Ierse toezichthouder ging zoals gezegd hier niet in mee en concludeerde dat de ‘contractuele noodzaak’ van Meta in strijd was met de Algemene Verordening Gegevensbescherming (AVG). Naast de miljoenenboete kreeg het moederbedrijf van Facebook en Instagram de opdracht om de grondslag aan te passen om gebruikersgegevens te verwerken.

Hof: aanbieden van gerichte advertenties is geen gerechtvaardigd belang

Daarop besloot Meta om ‘gerechtvaardigd belang’ als nieuwe grondslag te nemen. Op basis van deze grondslag mag het techbedrijf gegevens van gebruikers verzamelen zonder expliciete toestemming, omdat de verwerking van deze data nodig is voor de bedrijfsvoering. Volgens deze redenering maakt het aanbieden van gerichte advertenties onderdeel uit van de dienstverlening.

Critici waren hier fel op tegen en zagen het als een poging om de toestemmingsvereiste van de AVG te omzeilen. Het Europees Hof Van Justitie is het daar mee eens, zo blijkt uit het vonnis dat vandaag openbaar is gemaakt. Daarin schrijft Het Hof Dat een partij alleen gebruikersgegevens zonder toestemming mag verzamelen als dit “noodzakelijk is om uitvoering te geven aan de overeenkomst met de betrokkene”. Het gericht aanbieden van advertenties voldoet niet aan deze voorwaarde.

Verder oordeelt het Hof dat personalisatie van reclame geen gerechtvaardigd belang is om gegevens van gebruikers te mogen verwerken zonder expliciete toestemming. Tot slot stelt het Hof dat Meta als verwerkingsverantwoordelijke een dusdanig sterke machtspositie heeft, dat het maar de vraag is of instemming met de algemene voorwaarden wel vrijwillig is gegeven.

Noyb: ‘Een enorme klap voor Meta’

De Oostenrijkse privacystichting Noyb is blij met de uitspraak van het Europees Hof van Justitie. “Dit is een enorme klap voor Meta, maar ook voor andere online advertentiebedrijven. Het maakt duidelijk dat verschillende juridische theorieën van de industrie om de GDPR te omzeilen nietig zijn”, zo zegt voorzitter Max Schrems in een reactie op het vonnis.

Het oordeel van het Hof maakt volgens Schrems duidelijk dat Meta de toestemmingsvereiste van de AVG niet zomaar kan omzeilen met ‘enkele paragrafen in haar juridische documenten’. “Dit betekent dat Meta toestemming moet vragen en zijn machtspositie niet kan gebruiken om mensen te dwingen akkoord te gaan met dingen die ze niet willen. Dit zal ook een positieve invloed hebben op lopende rechtszaken”, aldus de Noyb-voorzitter.