De Autoriteit Persoonsgegevens (AP) heeft na onderzoek geconcludeerd dat Facebook in strijd handelt met Nederlandse privacywetgeving bij het gebruik van persoonsgegevens voor advertentiedoeleinden door gebruikers niet of onvoldoende te informeren over de verwerking van hun persoonsgegevens bij het tonen van gerichte advertenties.
Facebook is voor wat betreft haar inkomsten voor een groot deel afhankelijk van de verkoop van gerichte advertenties, ook aan Nederlandse bedrijven. Facebook verwerkt daarvoor de persoonsgegevens van haar gebruikers om profielen op te stellen en hen in categorieën in te delen waarmee adverteerders voor hen interessante doelgroepen kunnen bereiken. Dit gebeurt ook ten aanzien van de 9,6 miljoen Nederlandse Facebookgebruikers. Reden temeer voor de AP om de werkwijze van Facebook onder de loep te nemen.
Op grond van de Wet bescherming persoonsgegevens (Wbp) moeten organisaties die (bijzondere) persoonsgegevens verwerken gebruikers informeren over het gebruik van de persoonsgegevens. Volgens de AP doet Facebook dit nog onvoldoende en handelt Facebook daardoor in strijd met de Wbp:
“Zo staat informatie over welke soorten gegevens Facebook gebruikt voor advertentiedoeleinden niet op een centrale plek, maar verspreid over allerlei bronnen. Gebruikers krijgen hierdoor geen duidelijk en begrijpelijk overzicht van wat het concern met hun gegevens doet. Ook zegt het Facebook-concern niet dat het bijzondere persoonsgegeven seksuele geaardheid wordt gebruikt voor advertenties en maakt het concern onvoldoende duidelijk dat het surfgedrag en app-gebruik van mensen ook buiten de sociale netwerkdienst gevolgd wordt, zelfs als ze zijn uitgelogd. De gebruikers worden hierover niet adequaat geïnformeerd. Het concern informeert evenmin adequaat over de controlemogelijkheden voor gericht adverteren; gebruikers hebben geen mogelijkheid om alle verwerkingen voor dit doeleinde te weigeren.”
In het kader van haar advertentiediensten verwerkt Facebook ook bijzondere persoonsgegevens. Bijzondere persoonsgegevens zijn gegevens over iemands godsdienst, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakbond of strafrechtelijke gegevens.
Voor de verwerking van bijzondere persoonsgegevens geldt een strenger regime dan voor gewone persoonsgegevens. Het is verboden om dergelijke persoonsgegevens te verwerken, tenzij de Wbp een uitzondering biedt. In het geval van Facebook zijn er twee mogelijke uitzonderingen: uitdrukkelijke toestemming van gebruikers of duidelijke openbaarmaking door gebruikers zelf. Beide uitzonderingen zijn volgens de AP niet van toepassing:
“Het Facebook-concern vraagt gebruikers niet om uitdrukkelijke toestemming voor het gebruik van bijzondere persoonsgegevens omtrent seksuele geaardheid voor gerichte advertenties. Het concern kan overigens geen rechtsgeldige toestemming krijgen via bijvoorbeeld de algemene voorwaarden of de standaardinstellingen van het profiel.
Ook maken gebruikers niet spontaan, uit zichzelf, hun gegevens openbaar. Het Facebook-concern stelt bij het aanmaken van het account allerlei vragen, waaronder naar de seksuele voorkeur. Hoewel het niet verplicht is om de vragen te beantwoorden, blijkt uit de wetsgeschiedenis dat de uitzondering op het verwerkingsverbod niet van toepassing is als een verantwoordelijke om deze informatie vraagt. Het gaat hierbij bovendien niet om een bewuste openbaarmaking door gebruikers aan Facebook voor advertentiedoeleinden.”
Facebook is inmiddels gestopt met het gebruik van de bijzondere persoonsgegevens om op basis daarvan gerichte advertenties te tonen. De AP onderzoekt momenteel of ook de overige overtredingen zijn beëindigd, zo niet dan kan de AP besluiten om een sanctie op te leggen
