De koepel van Europese privacytoezichthouders EDPB publiceerde vandaag besluiten die laten zien hoe twee recente boetes voor Meta – eigenaar van Facebook en Instagram – tot stand kwamen. De besluiten geven weer welke aanpassingen verschillende Europese toezichthouders verlangden in de conclusies van de Ierse toezichthouder, en de rol van de Autoriteit Persoonsgegevens (AP) hierbij.
De Ierse toezichthouder DPC (Data Protection Commissioner) paste de conclusies van de onderzoeken aan naar aanleiding van de besluiten van de EDPB (European Data Protection Board) (1). De DPC legde Meta uiteindelijk 210 miljoen euro aan boetes op voor overtredingen bij Facebook, en 180 miljoen euro voor overtredingen bij Instagram. De onderzoeken gaan over de rechtmatigheid, eerlijkheid en transparantie van de manier waarop die platforms omgaan met persoonsgegevens van gebruikers.
Bij zo’n onderzoek waarbij burgers in meerdere Europese landen betrokken zijn, werken de Europese privacytoezichthouders nauw samen. De DPC verrichte het onderzoek, omdat Meta’s Europese hoofdvestiging in Ierland zit. De DPC legde de onderzoeken daarna voor aan de andere privacytoezichthouders in Europa, waaronder de AP.
Een groot aantal Europese toezichthouders hadden bezwaar tegen de conclusies van de Ierse DPC. Over die bezwaren werd eind 2022 gestemd binnen de EDPB. De EDPB is de vergadering van toezichthouders in Europa, waaronder de AP. Het besluit van de EDPB is bindend: de DPC moest haar onderzoek aanpassen.
Het belangrijkste bezwaar van de AP en verschillende andere toezichthouders ging over het volgen van gebruikers.
Sinds de invoering van privacywet AVG (Algemene verordening gegevensbescherming) in 2018 vragen de Meta-platforms namelijk geen toestemming meer van gebruikers om ze te volgen op internet, profielen van ze te maken en die te verkopen aan adverteerders.
In plaats daarvan stelt Meta dat mensen bij aanmelding een contract aangaan voor de levering van gepersonaliseerde advertenties. En om mensen die advertenties te kunnen leveren, moet Meta ze wel volgen, stelt het bedrijf. Mensen die dat contract niet aangaan, mogen geen gebruikmaken van de platforms van Meta. Dat mag niet, stellen de toezichthouders, waaronder de AP.
Voor het uitgebreid volgen van gebruikers moet Meta toestemming vragen, schreef de AP in haar bezwaar. Als mensen die toestemming niet geven, moeten mensen wel gebruik kunnen maken van die dienst.
Daarnaast vonden verschillende toezichthouders de boetes die de DPC in eerste instantie voorstelde te laag. Daarop heeft de DPC de boetes verhoogd.
1) https://autoriteitpersoonsgegevens.nl/nl/nieuws/edpb-publiceert-besluiten-over-facebook-en-instagram
