In de recente uitspraak tussen de Duitse mededingingswaakhond versus Meta, heeft het EU Hof laten doorschemeren hoe het aankijkt tegen de grondslag onder de AVG voor het aanbieden van gepersonaliseerde reclames op social media. En dat kan je gerust een ramkoers noemen, betoogt Menno Weij.
Want als het aan het EU Hof ligt, is de enige grondslag “toestemming”, waarbij aan weigerachtige gebruikers - al dan niet tegen betaling - een gelijkwaardig alternatief moet worden voorgeschoteld (1). Ik moest meteen denken aan de woorden van Jacob Kohnstamm uit 2015 (hij was destijds de voorzitter van het College Bescherming Persoonsgegevens): “Recht op privacy straks alleen voor de rijken” (2)
Volgens het EU Hof gaan de grondslagen “uitvoering overeenkomst” en “gerechtvaardigd belang” in het geval van Meta (lees: Facebook) zeer wel niet op. Omdat het EU Hof terugverwijst, lijkt er theoretisch nog een sprankje hoop, maar besef je dat de Duitse mededingingswaakhond hier dan iets van moet gaan vinden. Dat zegt, denk ik, genoeg.
Voor wat betreft de grondslag “uitvoering overeenkomst”, overweegt het EU Hof in rechtsoverweging 98:
“Om als noodzakelijk voor de uitvoering van een overeenkomst(…)te kunnen worden beschouwd, moet de verwerking van persoonsgegevens objectief onontbeerlijk zijn (…). De verwerkingsverantwoordelijke moet dus kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt.”
En dat komt de uitsmijter in rechtsoverweging 102:
“(…) een dergelijke personalisatie weliswaar nuttig is voor de gebruiker, (…) maar (…) niet noodzakelijk lijkt om hem de diensten van het online sociale netwerk aan te bieden.
In voorkomend geval kan hem voor deze diensten een gelijkwaardig alternatief worden verstrekt waarvoor een dergelijke personalisatie niet nodig is, zodat deze niet objectief onontbeerlijk is voor een doel dat integrerend deel uitmaakt van die diensten.”
Het EU Hof mist hier volgens mij alle oog voor de praktijk. Want zijn social mediadiensten niet per definitie gepersonaliseerd? Dus waarom nuttig, maar niet noodzakelijk? [NB: daargelaten dat de meeste gebruikers die reclames eerder als irritant ervaren]. En hoezo kan een gelijkwaardig alternatief zonder gepersonaliseerde reclames ook worden verstrekt? En waar stopt het? Nu zijn het gepersonaliseerde reclames, maar geldt dit binnenkort ook voor de gepersonaliseerde diensten zelf?
Veel vragen dus, maar het EU Hof werkt deze aannames verder niet uit. Iets als “dit is mijn uitspraak en daar moet u het mee doen”.
Goed, dan naar de grondslag gerechtvaardigd belang. Dit lijkt positief te beginnen, omdat het EU Hof in rechtsoverweging 115 duidelijk maakt dat ‘de personalisatie van reclame (…) volgens overweging 47 (…) kan worden beschouwd als een verwerking die tegemoetkomt aan een gerechtvaardigd belang van de verwerkingsverantwoordelijke’.
Terzijde, maar zeker niet onbelangrijk: hiermee staat officieel vast dat de controversiële normuitleg van de AP - namelijk dat “zuivere commerciële belangen kunnen geen gerechtvaardigd belang kunnen zijn” – definitief de prullenbak in kan.
Maar tot zover het goede nieuws. Want in rechtsoverweging 117 komt het EU Hof met deze overweging:
“In dit verband moet worden opgemerkt dat de gebruiker van een online sociaal netwerk zoals Facebook, ondanks het feit dat de diensten van dat netwerk kosteloos zijn, er redelijkerwijs geen rekening mee hoeft te houden dat de exploitant van dit sociale netwerk zijn persoonsgegevens zonder zijn toestemming verwerkt ten behoeve van de personalisatie van reclame.”
Zuiver juridisch is de redenering al gek, omdat er eigenlijk staat “het is toch logisch dat de gebruiker toestemming moet geven voor gepersonaliseerde reclame?” Ik zie hier weinig terug van de drie-stappen-toets die geldt bij de grondslag gerechtvaardigd belang. Plus: ook hier bekruipt mij wederom het gevoel dat het Hof alle realiteitszin lijkt te missen. Dus ook hier wel veel vragen.
Naar mijn stellige overtuiging breekt de uitleg, die het EU Hof geeft aan de grondslag “toestemming”, teveel in op bedrijfsmodellen van social media.
Want je kunt dus niet volstaan met “geen toestemming = geen dienst”. Je moét kennelijk ook een dergelijke dienst aanbieden, zonder gepersonaliseerde reclame, en je mág daar een redelijke vergoeding voor vragen.
Voornoemde zorg die Kohnstamm destijds in 2015 al uitte, komt dus – helaas - toch uit. Je gaat betalen voor je privacy. Ik kan mij echt niet voorstellen dat dit de bedoeling is geweest van de wetgever.
Tenslotte nog iets over bijzondere gegevens
Als laatste nog een punt rondom bijzondere persoonsgegevens, waarvan het belang niet onderschat moet worden. Dit punt raakt mijns inziens ook aan de businessmodellen van Open Ai (Chat GPT) en Google (Bard). En ik vraag me ook oprecht af of dit ook niet de eerdere Google Spain uitspraak raakt trouwens (3).
Allereerst omdat het gehele proces van bulkverzameling door het EU Hof als een verwerking van bijzondere persoonsgegevens wordt gezien, indien blijkt dat die bulkverzameling ook bijzondere gegevens bevat (zie hiervoor rechtsoverweging 73). Dus geldt voor die gehele bulkverwerking het strenge regime van grondslagen voor bijzondere gegevens.
En ten tweede omdat er niet snel vanuit mag worden gegaan dat een betrokkene zelf zijn bijzondere persoonsgegevens openbaar heeft gemaakt, en aldus deze uitzondering niet snel opgaat. Dit is alleen anders als de betrokkene ‘vooraf uitdrukkelijk zijn keuze kenbaar heeft gemaakt, in voorkomend geval op basis van een met volledige kennis van zaken uitgevoerde individuele configuratie, om de hem betreffende gegevens openbaar te maken voor een onbeperkt aantal personen’ (zie rechtsoverweging 85).
Bij ChatGPT en Bard spelen deze aspecten van bulkverwerking ook. Idem voor Google’s zoekmachine, vandaar dat ik me dus hardop afvraag of die belangenafweging van Google Spain nog wel standhoudt.
Hier is het laatste woord duidelijk nog niet over gezegd.
CURIA - Documents (europa.eu)
