Ondermijnt Facebook de AVG door toestemming als verwerkingsgrondslag te verwarren met een vermeend contract? Dat is de vraag die het Oostenrijkse Hooggerechtshof onlangs aan Europese Hof van Justitie stelde. Mocht Facebook de AVG in dit opzicht daadwerkelijk overtreden, dan heeft dat mogelijk grote gevolgen.
De prejudiciële vraag is afkomstig van de privacy voorvechters van None of your business (Noyb), dat vorig jaar een zaak startte tegen Facebook. Noyb oprichter en privacy activist Max Schrems brengt hiermee zijn derde zaak tegen Facebook voor het HvJ-EU.
Meer over de Schrems I en II zaak, lees je hier en hier
Verwerkingsgrondslag
Facebook biedt gepersonaliseerde advertenties aan, waarbij gebruikers worden getarget op basis van hun interesses en persoonlijke kenmerken. Het platform beschikt over deze gegevens omdat zij daartoe persoonsgegevens van haar gebruikers verzamelt en analyseert. Deze kwestie gaat over de verwerkingsgrondslag daarvan. Met andere woorden: de voorwaarde waaronder persoonsgegevens mogen worden verwerkt.
Herinterpretatie van toestemming naar vermeend contract
Sinds de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) op 25 mei 2018 meent Facebook een andere grondslag te zijn gaan gebruiken. Namelijk, noodzakelijkheid voor de uitvoering van een overeenkomst in plaats van toestemming.
Toestemming vereist een actieve handeling en is een lastige grondslag om mee te werken. Zo moet deze geïnformeerd en vrij zijn afgegeven. Eenmaal gegeven, kan die toestemming op ieder moment weer worden ingetrokken. Een overeenkomst kan daarentegen niet zomaar worden ingetrokken.
Maar kan dat zomaar? Volgens Facebook wel. Sinds de AVG van kracht is houdt Facebook namelijk vol dat als gebruikers akkoord gaan met de algemene gebruikersvoorwaarden, zij een overeenkomst aangaan voor het ontvangen van gepersonaliseerde advertenties. Zodoende zouden mensen dus instemmen met de verwerking van hun persoonsgegevens en het tonen van gepersonaliseerde advertenties, in ruil voor het gratis gebruik van de dienst.
Gebruikers zouden op basis van deze uitleg dus primair gepersonaliseerde advertenties afnemen, en geen communicatiedienst.
Verwijzing naar het HvJ-EU
Noyb stelt zich op het standpunt dat Facebook de AVG – met het veranderen van haar gebruiksvoorwaarden en verwerkingsgrondslag – probeert te omzeilen. Zij heeft daarom het Oostenrijkse Oberster Gerichtshof (OGH) verzocht om het HvJ-EU hierover een viertal prejudiciële vragen te stellen.
Kernvraag: toestemming of overeenkomst?
De prejudiciële kernvraag is of Facebook door de verwerkingsgrondslag overeenkomst te veranderen, de significant betere bescherming die gebruiker op basis van toestemming zouden hebben, mag ondermijnen.
Binnen de EU gebruikt Facebook het contract als verwerkingsgrondslag voor vrijwel alle verwerkingen waarmee winst wordt behaald. Een antwoord in het nadeel van Facebook zal dan ook verstrekkende gevolgen hebben. Zo zal het platform deze verwerkingen moeten staken en onrechtmatig gegenereerde gegevens moeten verwijderen. Daarbij is Facebook in dat geval een schadevergoeding verschuldigd aan miljoenen Europese gebruikers. Verder zou het kunnen betekenen dat andere online platforms die voor hetzelfde soort verwerkingen eveneens de overeenkomst als grondslag hanteren, hier ook mee moeten stoppen.
Gegevensminimalisatie en bijzondere persoonsgegevens
Daarnaast stelde het OGH ook nog drie andere vragen over de rechtmatigheid van Facebook’s gebruik van persoonsgegevens. Eén vraag over de verenigbaarheid met het beginsel van dataminimalisatie en twee andere vragen over de toelaatbaarheid van de verwerking van bijzondere persoonsgegevens – zoals seksuele gerichtheid en politieke opvattingen – voor gepersonaliseerde reclame.
Hieruit zou kunnen volgen dat Facebook niet langer alle – en dus ook bijzondere – persoonsgegevens voor advertenties mag gebruiken. Zelfs niet, als daarvoor wel een geldige toestemming is verkregen. Op dit moment maakt Facebook dat onderscheid nog niet.
Volledige toegang tot gegevens
Op een ander punt, waarvoor geen verwijzing naar het HvJ-EU nodig was, deed het OHG al wel uitspraak. In die zaak werd bepaald dat Facebook aan Schrems een schadevergoeding van € 500 moest betalen omdat het platform hem na een inzageverzoek niet van alle ruwe gegevens voorzag.
Ook ontbrak daarbij andere cruciale informatie, zoals de verwerkingsgrondslag. Tot slot benadrukte het OHG nog maar eens dat de bewijslast om aan te tonen dat volledige toegang werd gegeven of dat de verwerking rechtmatig was, bij Facebook lag en niet bij Schrems.
Tot slot
Zonder grondslag, geen verwerking van persoonsgegevens. Bepaal daarom – en dat geldt zeker voor profilering en targeting – weloverwogen welke verwerkingsgrondslag je gebruikt. Want ook al biedt de AVG er zes, niet alle grondslagen zijn altijd even passend.
