Meta tegen Bundeskartellamt: mededingingsautoriteit mag AVG-inbreuk vaststellen, strenge eisen aan grondslagen voor gepersonaliseerde advertenties

Waar het over gaat

Kernvraag: mag de Duitse mededingingsautoriteit bij een onderzoek naar misbruik van een machtspositie toetsen of Facebook de AVG naleeft, en op welke grondslag mag Meta gegevens van andere groepsdiensten en van websites en apps van derden koppelen aan het Facebook-account? Oordeel: een mededingingsautoriteit mag een AVG-inbreuk vaststellen als dat nodig is om misbruik aan te tonen. Zij moet wel loyaal samenwerken met de privacytoezichthouders en mag niet afwijken van hun eerdere besluit over dezelfde of vergelijkbare voorwaarden. Het verzamelen en koppelen van bezoekgegevens van websites en apps die bijzondere categorieen raken, is verwerking van bijzondere persoonsgegevens als daaruit zulke informatie kan blijken. Alleen het bezoeken van zo'n site is geen kennelijk openbaar maken. Een beroep op de overeenkomst (artikel 6, lid 1, onder b) kan alleen als de verwerking objectief onmisbaar is voor de kern van de overeenkomst. Een beroep op gerechtvaardigd belang (onder f) vereist dat de gebruiker over dat belang is geinformeerd, dat de verwerking strikt noodzakelijk is en dat een belangenafweging in het voordeel van de verwerker uitvalt. Voor gepersonaliseerde advertenties zonder toestemming wegen de belangen van de gebruiker volgens het Hof zwaarder. Ook wettelijke plicht, vitaal belang en algemeen belang zijn beperkt bruikbaar. Een machtspositie maakt geldige toestemming niet onmogelijk, maar is een belangrijke factor bij de vraag of toestemming vrij is gegeven.

Wat dit betekent voor de praktijk

Als u gegevens uit meerdere diensten of van derden combineert voor profilering of advertenties, kunt u zich alleen op de overeenkomst beroepen als de verwerking echt onmisbaar is voor de dienst die u levert. Voor gepersonaliseerde advertenties op basis van zulke gecombineerde gegevens is gerechtvaardigd belang zonder toestemming in de praktijk niet houdbaar. Kiest u voor gerechtvaardigd belang, noem dat belang dan vooraf aan de gebruiker, beperk de verwerking tot wat strikt noodzakelijk is en leg de belangenafweging vast. Verwerking die gevoelige informatie kan onthullen valt onder artikel 9, ook als die informatie uit surfgedrag wordt afgeleid. Heeft u een sterke marktpositie, dan moet u kunnen aantonen dat toestemming vrij is gegeven. Houd er ook rekening mee dat mededingingsautoriteiten uw AVG-naleving kunnen toetsen.

De AVG-artikelen waar het om gaat

• Artikel 4: Definities
• Artikel 5: Beginselen inzake verwerking van persoonsgegevens
• Artikel 6: Rechtmatigheid van de verwerking
• Artikel 7: Voorwaarden voor toestemming
• Artikel 9: Verwerking van bijzondere categorieën van persoonsgegevens
• Artikel 51: Toezichthoudende autoriteit
• Artikel 56: Competentie van de leidende toezichthoudende autoriteit