Datatilsynet, de privacywaakhond van Noorwegen, heeft bepaald dat Facebook en Instagram tijdelijk geen persoonsgerichte advertenties mogen aanbieden. Moederbedrijf Meta verzamelt namelijk gevoelige privé-informatie van gebruikers. Als het Amerikaanse techbedrijf geen gehoor geeft aan het bevel, dan riskeert het een boete van omgerekend bijna 90.000 euro per dag.

Dat schrijft de Noorse toezichthouder in een brief aan Meta. Dit document is ingezien door Politico.

Meta krijgt miljoenenboete voor onrechtmatig verzamelen gebruikersdata

Meta krijgt de boete omdat het bedrijf een ongeldige juridische grondslag hanteert om persoonlijke en privacygevoelige informatie van gebruikers te verwerken. Jarenlang hanteerde het bedrijf de uitvoeringsovereenkomst als basis hiervoor. Dat houdt in dat iedereen met een Facebook– of Instagram-account instemde dat het Amerikaanse technologiebedrijf gebruikersgegevens verzamelde. Dat was noodzakelijk om de sociale netwerken te kunnen aanbieden.

De Data Protection Commission (DPC), de Ierse toezichthouder, was het oneens met deze uitleg en concludeerde dat deze ‘contractuele noodzaak’ in strijd was met de Algemene Verordening Gegevensbescherming (AVG). Dat betekende dat Meta jarenlang illegaal en onrechtmatig gegevens van Facebook- en Instagram-gebruikers verzamelde om gerichte advertenties te kunnen aanbieden. Daarvoor kreeg het bedrijf een boete van 390 miljoen euro opgelegd.

Meta past grondslag aan, maar wordt teruggefloten door Hof van Justitie

Om herhaling in de toekomst te voorkomen, paste Meta in maart de gebruikersvoorwaarden aan. Sindsdien zegt Meta data van gebruikers te verzamelen op basis van ‘gerechtvaardigd belang’. Dat betekent dat het techbedrijf gebruikers niet expliciet om toestemming hoeft te vragen om hun gegevens te mogen verzamelen. Het aanbieden van gerichte advertenties zou dan onderdeel uitmaken van de dienstverlening.

Privacyexperts trokken deze redenering direct in twijfel. Begin deze maand werd hun vrees dat bekrachtigd door het Europees Hof Van Justitie. Die bepaalde dat het aanbieden van gerichte advertenties geen gerechtvaardigd belang is. Volgens het Hof mag een partij alleen gebruikersgegevens zonder toestemming mag verzamelen als dit “noodzakelijk is om uitvoering te geven aan de overeenkomst met de betrokkene”. Het gericht aanbieden van advertenties voldoet niet aan deze voorwaarde.

Noorse toezichthouder legt tijdelijk verbod op aan Meta

Het vonnis van Datatilsynet gebruikt de uitspraak van het Europees Hof van Justitie om een tijdelijk verbod op te leggen aan Meta. De Noorse toezichthouder is van mening dat Meta “zeer ondoorzichtige en indringende monitoring- en profileringsactiviteiten” hanteert om gevoelige privégegevens te verwerken.

Om die reden mag Meta vanaf vrijdag 4 augustus drie maanden lang geen gerichte advertenties voorschotelen op Facebook en Instagram. Alleen als het moederbedrijf gebruikmaakt van de informatie die gebruikers op hun profielbeschrijving plaatsen, is gerichte reclame wel toegestaan. Verzaakt Meta dat, dan legt de toezichthouder een boete van omgerekend bijna 90.000 euro per dag op.

Meta klaagt over ‘gebrek aan rechtszekerheid’, Noyb is blij met de uitspraak

Een woordvoerder van Meta zegt in een reactie dat bedrijven in het debat over de grondslagen voortdurend worden geconfronteerd met “een gebrek aan rechtszekerheid”. Hij zegt dat Meta het besluit van de Noorse toezichthouder zal bestuderen. “Er is geen onmiddellijke impact op onze diensten”, aldus de woordvoerder.

Noyb zegt blij te zijn met het besluit van de Noorse privacywaakhond en noemt het “een erste stap naar daadwerkelijke handhaving van de AVG”. De Oostenrijkse privacystichting vindt dat de Ierse toezichthouder een gebrek toont om de Europese privacyregels te handhaven. “De beslissing van de Noorse gegevensbeschermingsautoriteit is spannend. Het lijkt duidelijk een poging om de Ierse DPC te omzeilen, die vijf jaar na de klachten van Noyb haar eigen beslissing tegen Meta niet uitvoerde”, zo zegt programmadirecteur Romain Robert.

Hij hoopt dat andere privacytoezichthouders in Europa het voorbeeld van Datatilsynet zullen volgen.