Facebook moet stoppen met het verwerken van privacyactivist Max Schrems' data en hem inzicht geven in deze data. Daarnaast moet het platform een schadevergoeding betalen van vijfhonderd euro. Toch zegt Schrems het niet eens te zijn met de uitspraak en in hoger beroep te gaan.
Volgens de rechter van het Weense hooggerechtshof moet Facebook Schrems inzicht geven in alle data die het bedrijf van Schrems heeft. De rechter benoemt hierbij specifiek profielinformatie, wat hij in het verleden op het platform heeft geliket en waar hij op heeft gereageerd, foto's en video's die hij plaatste, maar ook persoonlijke berichten en andere zaken. Facebook moet daarnaast stoppen met het verwerken van deze data, tenzij Schrems hier expliciet toestemming voor geeft.
Op noyb, een privacyorganisatie die Schrems oprichtte, staat dat Facebook eerder niet alle data die het had verzameld over Schrems wilde vrijgeven. Deze data gaat volgens noyb over naar welke partijen Facebook Schrems' data heeft gestuurd en omgekeerd. Schrems claimt dat de onzekerheid over welke partijen toegang hebben tot zijn data zorgde voor emotioneel leed en eiste daarom vijfhonderd euro. De rechter vindt dat dit ongemak is bewezen en dat het genoemde bedrag hierbij gerechtvaardigd is.
Bij zijn aanklacht claimde Schrems daarnaast echter ook dat Facebook geen toestemming heeft om data van gebruikers te vergaren, zoals onder de GDPR noodzakelijk is. Schrems stelt dat Facebook onrechtmatig claimt de data van gebruikers te mogen verwerken als zij de algemene voorwaarden van Facebook accepteren. De Facebook-gebruikers zouden volgens deze voorwaarden een contract met het platform aangaan, waarbij de gebruikers het platform gratis kunnen gebruiken in ruil voor een 'gepersonaliseerd platform', waar de data van de gebruiker voor nodig is.
De rechter stelt dat dit contract in de algemene voorwaarden helder en duidelijk zijn uitgelegd. Dit contract zou daardoor niet onrechtmatig zijn. Met de verzamelde data zou Facebook inkomsten kunnen binnenhalen, waarmee het het platform kan onderhouden en winst kan maken, zegt de rechter. Daarmee is het volgens de uitspraak 'noodzakelijk' om de data te verwerken, zoals is bedoeld binnen de context van de GDPR.
Schrems zegt bij noyb dat de rechter in de uitspraak niet goed genoeg gekeken heeft naar de problemen die kunnen ontstaan door deze uitspraak. Hij stelt dat deze uitspraak ervoor zorgt dat Facebook onderdelen van de GDPR kan 'omzeilen' en dat Europese Facebook-gebruikers bepaalde beschermingen daardoor missen. De privacyactivist gaat in hoger beroep bij het Oostenrijkse hooggerechtshof.
De uitspraak van het Weense hooggerechtshof komt uit een hoger beroep dat Schrems eerder dit jaar aantekende. In juli oordeelde een Weense rechter eveneens dat Facebook vijfhonderd euro schadevergoeding moest betalen en Schrems inzicht moest geven in zijn data. De Oostenrijker startte deze Oostenrijkse zaak in 2014, toen hij nog hoopte er een class-action-zaak van te kunnen maken. Drie jaar later adviseerde een advocaat-generaal van het Europese Hof van Justitie dat Schrems hier geen collectieve zaak van mocht maken. Schrems besloot daarom in zijn eentje Facebook aan te klagen.