Spring naar content

In dit artikel vat Frank de Vries, Senior Legal Counsel/Teamlead Legal bij DDMA, de kern van deze uitspraak samen, inclusief de concrete uitkomsten die de uitspraak van de Europese rechter voor Facebook tot gevolg heeft.

De kern van deze uitspraak

De zaak richt zich op Facebooks gebruiksvoorwaarden waarin stond dat ‘off-Facebook activity’ kon worden gebruikt voor verschillende doeleinden, waaronder gepersonaliseerde reclame. Bij off-Facebook activity gaat het om gegevens afkomstig uit het gebruik van:

  • andere Meta-diensten, zoals Instagram en WhatsApp; en
  • websites of apps die gebruik van Facebook Business Tools, zoals de Facebook-Pixel en de Conversions API.

Met deze gebruiksgegevens worden onder meer profielen over het gebruik van Facebook verrijkt, zodat Meta de advertenties nog beter kan afstemmen op de interesses van de gebruiker.

Het geschil begint in 2019 met een besluit van de Bundeskartellamt, de Duitse mededingingsautoriteit. Deze autoriteit houdt toezicht op verstoringen in de vrije markt die uiteindelijk nadelig zijn voor de consument. De autoriteit oordeelde dat het gaat om ‘misbruik van een machtspositie’, omdat de gebruiksvoorwaarden in strijd zouden zijn met de AVG.

Het belangrijkste komt dan nog. De rechter is ingegaan op de rechtmatigheid van gepersonaliseerd adverteren onder de AVG, want Meta dient te beschikken over een geldige grondslag. Er zijn drie grondslagen waaraan de rechter heeft getoetst:

  • uitvoering van de overeenkomst: de grondslag die Meta gebruikte voor personalisatie in 2021. Oftewel het moment dat de Duitse rechter vragen stelde aan het Europese Hof.
  • gerechtvaardigd belang (opt-out regime): de grondslag die Meta gebruikt voor personalisatie sinds januari 2023 n.a.v. een uitspraak van de Ierse toezichthouder.
  • toestemming (opt-in regime)

De consequenties voor Facebook

Op basis van de toetsing is de Europese rechter tot de volgende conclusies gekomen

1. Meta mag géén gegevens met Facebook delen voor personalisatie op basis van de grondslag ‘uitvoering van overeenkomst’.

De Europese rechter stelt dat ‘personalisatie van de inhoud’ een niet-noodzakelijk onderdeel is van de overeenkomst met Meta. De overeenkomst gaat over het gebruik van Facebook, dan is personalisatie nuttig, maar niet ‘objectief onontbeerlijk’ zoals de rechter verwoord.

2. Meta mag géén gegevens delen met Facebook voor personalisatie op basis van de grondslag ‘gerechtvaardigd belang’.

Hierin is wel een nuance aan te brengen. Meta heeft namelijk een gerechtvaardigd belang, maar niet één die zwaarder weegt dan dat van de Facebookgebruiker. De rechter kwam tot de conclusie na het doorlopen van de driestappentoets, zoals het gerechtvaardigd belang vereist:

  1. er moet sprake zijn van een gerechtvaardigd belang van Meta (of een derde);
  2. de verwerking van persoonsgegevens moet noodzakelijk zijn om het belang te bereiken;
  3. de rechten en belangen van de betrokkene wegen niet zwaarder dan het (gerechtvaardigd) belang van Meta.

De driestappentoets dat voorafging aan deze conclusie is als volgt verlopen. Het begon positief. Want gepersonaliseerd adverteren is een vorm van direct marketing en dit kan (volgens overweging 47 AVG) een gerechtvaardigd belang zijn.

Waar het verkeerd uitpakte voor Meta is in stap 3 van de driestappentoets, de belangenafweging. De belangrijkste reden daarvoor is dat de Facebookgebruiker redelijkerwijs geen rekening hoeft te houden dat Meta zijn gegevens zonder toestemming voor gepersonaliseerde advertenties verwerkt. Dat personalisatie niet te verwachten is, zit ‘m ook in de omvang van de verwerking.

Dit antwoord van de Europese rechter is er waarschijnlijk één met gevolgen voor met name Meta en andere AdTech-partijen die gepersonaliseerd adverteren toepassen. Belangrijk detail om te vermelden: het is nu aan de nationale rechter. Die moet namelijk dit arrest in de nationale rechtspraak toepassen.

3. Meta zou personalisatie kunnen baseren op de grondslag toestemming, maar moet daarbij wel aan bepaalde voorwaarden voldoen

Dan blijft toestemming als grondslag nog over. Toestemming moet aan een aantal vereisten voldoen. Daar is de rechter dan ook op ingegaan. De meeste aandacht van de rechter is uitgegaan naar de mogelijkheid tot het in vrijheid kunnen geven van toestemming. Er moet namelijk sprake zijn van een daadwerkelijke vrije keuze. Dat Meta met Facebook een machtspositie heeft, is enkel iets om rekening mee te houden – en het sluit de mogelijkheid tot het verkrijgen van geldige toestemming niet uit.

Het meest interessante deel kwam daarna. De rechter geeft aan dat Facebookgebruikers aspecten die niet noodzakelijk – zoals gepersonaliseerd adverteren – zijn voor de overeenkomst moeten kunnen weigeren. Daarnaast mag het weigeren van toestemming niet tot gevolg hebben dat gebruikers worden gedwongen om af te zien van het gebruik van Facebook.

Concreet zou dit kunnen betekenen dat voor het delen van off-Facebook activity-gegevens er in toekomst toestemming wordt gevraagd. Het is uiteraard nog aan de nationale rechter om hier de juiste invulling aan te geven, maar de ruimte lijkt beperkt. Wel staat er dat in “voorkomend geval” een “passende vergoeding” mag worden gevraagd wanneer gebruikers de extra verwerking weigeren. Dat zou kunnen betekenen dat gebruikers in de toekomst moeten betalen voor Facebook wanneer ze personalisatie van advertenties weigeren.

Visie DDMA

De uitspraak brengt beperkingen met zich mee, maar biedt zeker óók mogelijkheden. Zo lijkt de Europese rechter duidelijk aan te geven dat personalisatie (van inhoud, advertenties, feeds en nieuwsbrieven etc.) mogelijk is op grond van het gerechtvaardigd belang. Belangrijke kanttekening daarbij is dat het voorspelbaar moet zijn. Het samenvoegen van verschillende gegevens bronnen uit verschillende Meta-diensten is dat in dit geval niet. De vraag is dan nog wel: wanneer is personalisatie voldoende voorspelbaar voor de betrokkene (en hoeft er dus geen toestemming te worden gevraagd)? Dat zal nog verder verduidelijkt moeten worden. Tot dusver lijkt het erop dat bijvoorbeeld personalisatie van de Facebook-feed mogelijk blijft.

Wel is het verstandig om de beoordeling van elk gerechtvaardigd belang binnen je organisatie nog eens goed onder de loep te nemen en dan met name de vraag of de verwerking voldoende voorspelbaar is voor betrokkene. DDMA heeft een template voor leden beschikbaar gesteld om de afweging te maken én te documenteren. Kom je er nu niet uit, neem dan contact op met Team Legal. We helpen je graag op weg!

Frank de Vries

Team lead legal | Senior legal counsel

Ook interessant

Lees meer
Social Media |

NEW: White Paper on the Brilliant Basics of Social Media Advertising

In today’s digital environment, social media platforms are central to reaching and engaging with all kinds of audiences. From visual storytelling on Instagram to viral trends on TikTok, each platform…
Lees meer
Social Media |

NIEUW: Whitepaper over de Brilliant Basics van Social Media Advertising

In de huidige digitale wereld zijn sociale mediaplatforms cruciaal voor het bereiken en betrekken van verschillende doelgroepen. Van beeldende storytelling op Instagram tot virale trends op TikTok, elk platform biedt…
Lees meer
Artificial Intelligence |

X onder vuur: mogelijk onrechtmatig gebruik van persoonsgegevens voor AI-training

Non-profitorganisatie None of Your Business (NOYB), opgericht door privacy-activist Max Schrems, heeft negen klachten ingediend tegen X (voorheen Twitter). De aanleiding? Verschillende overtredingen van de GDPR, in Nederland beter bekend…