Meta krijgt AVG-boete van 390 miljoen euro om gepersonaliseerde advertenties

Meta krijgt een AVG-boete van 390 miljoen euro omdat Facebook en Instagram illegaal gebruikers dwingen akkoord te gaan met het verwerken van gebruikersdata om gepersonaliseerde advertenties te tonen. Het bedrijf moet daarnaast binnen drie maanden aan de AVG voldoen.

De boete draait om de verwerkingsgrond die Meta gebruikt om gebruikersdata in te zetten voor gepersonaliseerde advertenties. Een verwerkingsgrond is bijvoorbeeld dat gebruikers hier toestemming voor hebben gegeven, maar Meta gebruikte hier de contractuele verwerkingsgrond voor. Het bedrijf stelt dat als gebruikers akkoord gaan met de gebruikersvoorwaarden van Meta's platformen, ze een contract aangaan met Meta. Om die diensten aan te kunnen bieden, moet Meta gepersonaliseerde advertenties kunnen tonen. Zonder het verwerken van de gebruikersdata om die gepersonaliseerde advertenties te kunnen tonen, kan Meta dus niet aan het contract voldoen en daarom mag het bedrijf die gegevens verzamelen, stelt Meta.

Privacyactivist Max Schrems en een Belg vonden dat Meta met deze handelswijze gebruikers dwingt om akkoord te gaan met het verwerken van gebruikersgegevens om gepersonaliseerde advertenties te kunnen tonen. Zij vonden dat dit in strijd is met de AVG en klaagden daarom bij privacytoezichthouders.

De Ierse Data Protection Commission vond aanvankelijk dat Meta's beredenering aan de AVG voldeed en was van plan om hier geen boete voor te geven. De toezichthouder deelde dit met andere Europese toezichthouders, die het niet allemaal eens waren met de visie van de DPC. Tien van deze privacytoezichthouders vonden namelijk niet dat het aanbieden van gepersonaliseerde advertenties onderdeel is van de 'kernelementen' van Meta, wat DPC en Meta wel zeiden.

Omdat de toezichthouders er niet onderling uitkwamen, moest de European Data Protection Board er een besluit over nemen. Deze overkoepelende organisatie van Europese privacytoezichthouders is het eens met de tien privacytoezichthouders en vindt dus dat Meta niet de contracten als verwerkingsgrond mag gebruiken om gegevens van gebruikers in te zetten voor gepersonaliseerde advertenties.

Het besluit van de EDPB is bindend. Meta krijgt daarom een boete van in totaal 390 miljoen euro opgelegd, waarvan 210 miljoen euro voor Facebook en 180 miljoen euro voor Instagram. De boete is omdat het bedrijf de contractuele verwerkingsgrond onjuist gebruikte en omdat het bedrijf niet transparant was over hoe gebruikersgegevens werden verwerkt. De DPC wilde voor het gebrek aan transparantie wel meteen een boete geven. De DPC heeft deze verhoogd omdat de EDPB dit eiste. Met hoeveel deze is verhoogd, is niet duidelijk.

Meta krijgt drie maanden om aan de AVG te voldoen en dus een andere verwerkingsgrond te vinden voor de gepersonaliseerde advertenties. Daarnaast wil de EDPB dat de DPC een nieuw onderzoek start naar alle dataverwerkingen van Facebook en Instagram, maar de DPC vindt niet dat de EDPB het recht heeft om dit van de Ierse toezichthouder te vragen. De Ierse toezichthouder spreekt daarom over een stap naar het Hof van Justitie van de Europese Unie. Meta zegt in een reactie het niet eens te zijn met de uitspraak en wil beroep aantekenen.

Reacties (50)

[kodak]

Dus deze boete is niet alleen voor het niet voldoen, maar ook over de tijd dat ze er al niet aan voldoen (kennelijk al vanaf het bestaan van de wetgeving) en dan mogen ze ook nog 3 maanden langer door gaan.

Wat is nu de uitleg hoe deze boete een redelijke verhouding heeft met de wat ze fout doen? Het komt op mij namelijk over dat de toezichthouder per persoon en duur niet mee rekent of zo laag in waarde in schat dat ze opzettelijk kiezen voor zo min mogelijk effecrief optreden.

De klacht was daarbij al in mei 2018 al bekend gemaakt. Als je als toezichthouder bijna 5 jaar de tijd neemt om het probmeem te laten bestaan omdat je goed onderzoek wil, dan is het minste wat verwacht mag worden een uitleg hoe deze boete in verhouding staar tot de duur, aantal personen die opzettelijk zo lang geen recht gedaan is en de inkomsten en andere voordelen die het overtreder daarbij had. Maar dat is kennelijk allemaal niet publiek? Wat is er dan redelijk aan dit soort toezicht? Dat het vooral gaat om wat de toezichthouder zelf het beste uit komt, en dus niet het belang van de slachtoffer? Want die slachtoffers staan op deze manier achter aan in de rij, na de belangen van de overtreder en de toezichthouder die duidelijk geen zin heeft dat blijkt hoe dit proportioneel is.

[Reactie gewijzigd door kodak op 22 juli 2024 15:55]

[jochemd]

NOYB, de klager, meldde ook al dat zelfs zij het besluit niet kregen:

In an amazing move, the DPC informed noyb today that despite being one of the two parties in the procedure, the DPC will not release the decision to noyb. The DPC suddenly cited alleged "confidentiality" of the decision as a reason. The decision should be released to the plaintiff at a later stage - possibly even after the deadline for an appeal has lapsed. This is contrary to previous information by the DPC that the parties would receive the decision before any publications by the DPC.

Nou ben ik niet echt bekend in het Ierse juridische systeem, maar het effect zou weleens kunnen zijn dat Facebook gedwongen wordt om het besluit zelf openbaar te maken als ze dit besluit gaan aanvechten bij de rechter. Maar zo niet, dan wordt het originele concept besluit van de DPC en de discussie daarover tussen de verschillende handhavers binnenkort wel gepubliceerd door de EDPB (zodra ook de boete voor Whatsapp is verstuurd naar Facebook).

De AP heeft trouwens recent ook besloten handhavingsbesluiten niet meer te publiceren. Hoewel hun eigen Beleidsregels openbaarmaking door de Autoriteit Persoonsgegevens aangeven dat alle handhavingsbesluiten openbaar gemaakt worden kreeg ik eerder deze week een besluit van 16 december jongstleden. Omdat dat nog steeds niet online stond vroeg ik wanneer dat zou komen en toen kreeg ik als antwoord:

(..)zal het besluit niet integraal gepubliceerd worden, maar worden opgenomen in een register op de website van de AP.

Het is voor mij nog onbekend wanneer het register live gaat.

Ik heb het besluit dus zelf vanmiddag maar naar GDPRHub gestuurd voor publicatie.

[denkster]

De Ierse Dpc zit in de zak van Meta, dat is duidelijk.

[Genosha]

Vijf jaar lang aankutten met persoonsgegevens en dan een boete van 390 miljoen krijgen. Dat is toch lachwekkend?

[mjtdevries]

Als je als toezichthouder bijna 5 jaar de tijd neemt om het probmeem te laten bestaan omdat je goed onderzoek wil, dan is het minste wat verwacht mag worden een uitleg hoe deze boete in verhouding staar tot de duur, aantal personen die opzettelijk zo lang geen recht gedaan is en de inkomsten en andere voordelen die het overtreder daarbij had.

Als je zo veel tijd nodig hebt om te bepalen of wat er gedaan werd wel volgens de wet was, dan kun je ook redeneren dat het blijkbaar niet erg duidelijk was of ze wel of niet aan de wet voldoen. Anders had je dat in 5 maanden kunnen bepalen.

En dat kan dan een prima reden zijn om de boete minder hoog te maken.

[kodak]

Dan hoort alsnog te blijken hoe dat in verhouding staat, wat ze tot nu toe niet aantonen. Een toezichthouder mag dan veel vrijheid hebben om redenen prima te vinden, maar dan mag minimaal verwacht worden dat ze aantonen wat er wel en niet overwogen is en waarom ze bijvoorbeeld bepaalde overwegingen belangrijker vinden dan andere.

Het lijkt mij bijzonder kwalijk als een toezichthouder jaren de tijd neemt, en dus opzettelijk slachtoffers laat bestaan en laat maken, en dan voor de hoogte van de boete vooral kijkt naar hoe lang het bedrijf in onzekerheid zou zitten. Want het bedrijf lijkt in dit geval vooral enorme voordelen in de tussentijd te hebben genomen ten koste vam de slachtoffers. Als het bedrijf al die tijd nu gestopt was en dan duidelijk nadeel had zonder miljoenen slachtoffers te maken dan zou ik dat afzwakken nog redelijk kunnen noemen.

[mjtdevries]

Ik zou zeggen: Ga klagen bij de Ierse toezichthouder dat ze dat niet uitgebreid toegelicht hebben in hun persbericht.

Ik vind het veel erger dat de Ierse toezichthouder in eerste instantie vond dat het wel door de beugel kon wat Meta deed. Als ik naar de GDPR kijkt dan kan ik echt geen aanleiding vinden om dat te verdedigen.

[kodak]

Hoe is dat erger? Want daardoor is het langer gaan duren, waar de discussie al over ging.
Het zou eerder erger zijn als ze aan hun standpunt bleven vasthouden, waar het nu de schijn van heeft.

[mjtdevries]

Het is erger omdat het in de GDPR zonneklaar is dat dat argument totaal niet geldig is.

Dat ze in een persbericht niet uitgebreid vertellen hoe de hoogte van de boete tot stand is gekomen is volstrekt normaal. Daarom vind ik dat niet erg.

[CodeCaster]

Meta zegt in een reactie het niet eens te zijn met de uitspraak en wil beroep aantekenen.

Meta zegt:

Since GDPR came into force, Meta has relied on Contractual Necessity to process the data needed to provide behavioural advertisements in the EU.

Wat is "Contractual Necessity":

quote: https://www.dqmgrc.com/ne...-of-contractual-necessity

Contractual necessity is the most appropriate basis when the processing is necessary in order for a product or service to be provided. Essentially, by choosing this basis you are saying ‘we can’t comply with our side of the contract without this processing’.

Oftewel: nee? Ja, voor een gepersonaliseerde feed is het nodig om te verwerken wat de gebruiker interessant vindt. Je feed is de dienst die ze leveren.

Dat ze gepersonaliseerde advertenties nodig hebben om te overleven, is geen onderdeel van de dienst die ze leveren, lijkt me.

[Reactie gewijzigd door CodeCaster op 22 juli 2024 15:55]

[LurkZ]

product or service to be provided

Voor de betalende klanten zijn de advertentie de dienst.

Meta has relied on Contractual Necessity

In het contract met de plaatser van de advertenties staat dat Meta gepersonaliseerde advertenties gaat leveren.

[DrDeath]

De grondslag 'contractual necessity' kan je enkel gebruiken als de verwerking noodzakelijk is voor het uitvoeren van een contract met degene wiens gegevens je gaat verwerken. Zoals door CodeCaster terecht aangehaald, is het dus niet het probleem van de eindgebruiker dat Meta dergelijke contracten sluit met adverteerders. Veel mensen zien het schuingedrukte hierboven over het hoofd als ze denken zich te kunnen beroepen op contractual necessity als verwerkingsgrondslag.

[n4m3l355]

Het is toch zelfs raar eigenlijk dat je als adverteerder willens en wetens met Meta illegaal te werk gaat? Ik maak me sterk dat grote partijen hier niet van op de hoogte waren dat ze tegen de regelgeving in advertenties aanboden via Meta? Zij hebben immers ook grote legal departments om zeker te zijn dat ze complicit zijn in de markten waar ze actief zijn.

Ik ben geen advocaat maar als wat Meta hier verkoopt waar is, dan gaat het toch eigenlijk veel verder en staat de deur toch open om ook de adverteerders aan te klagen voor illegale advertenties?

[CoMaestro]

Zoals door CodeCaster terecht aangehaald, is het dus niet het probleem van de eindgebruiker dat Meta dergelijke contracten sluit met adverteerders.

Oprechte vraag, zou het dan niet zo zijn dat deze contracten niet rechtsgeldig (is geloof ik de juiste term) zijn aangezien ze dus direct tegen wetgeving ingaan?

[Reactie gewijzigd door CoMaestro op 22 juli 2024 15:55]

[CodeCaster]

Dat is niet het probleem van de eindgebruiker, wiens gegevens gebruikt worden.

[Reactie gewijzigd door CodeCaster op 22 juli 2024 15:55]

[epoman]

Ze halen ~98% van de totale omzet uit advertentieverkoop. De niet-betalende eindgebruikers zijn voor Meta een middel om de advertentieverkoop te maximaliseren, dankzij alle data die ze vrijwillig en gratis delen op de platforms.

[GoBieN-Be]

Ze zullen moet niet-gepersonaliseerde advertenties tonen aan eindgebruikers die geen expliciete toestemming geven.

[Stoney3K]

Dat niet alleen, ze zullen dan ook de gegevens die ze hebben gebruikt voor personalisatie, met terugwerkende kracht uit hun databases moeten wissen.

[strompf]

Voorbeeld van contractual necessity: Als je een brief op de post doet, moet je daar het adres van de ontvanger opschrijven - Anders kan deze niet bezorgd worden. PostNL hoeft dus niet speciaal toestemming te vragen voor het verwerken van dat adres; het is een onmisbaar onderdeel van de overeenkomst die je met ze aangaat.

[Phaidon]

Goed voorbeeld!

Om aan te sluiten op jouw vergelijking:
Stel dat PostNL vervolgens die adresgegevens gebruikt om gericht een stapeltje reclamefolders in de brievenbus van de geadresseerde te stoppen.

Zo misbruikt Meta de 'contractual necessity' van het verwerken van persoonsgegevens.
Het doel van het 'contract' tussen Meta en eindgebruiker is om een mooie persoonlijke feed te kunnen opstellen, maar niet om reclame te zien. Meta stelt in het contract dat het leveren van persoonlijke reclame bij de dienst hoort, al zullen er vermoedelijk weinig mensen zijn die het daarmee eens zijn.

Wat wel een interessant punt blijft hierbij is dat uiteindelijk niets gratis is. Als je gebruik wilt maken van een dienst als Facebook, moet je ergens wel accepteren dat het je iets gaat kosten. Gelukkig is er een autoriteit die helpt hierbij een grens aan te geven.

[CivLord]

Goed voorbeeld!

Om aan te sluiten op jouw vergelijking:
Stel dat PostNL vervolgens die adresgegevens gebruikt om gericht een stapeltje reclamefolders in de brievenbus van de geadresseerde te stoppen.

Om het voorbeeld nog iets preciezer aan te laten sluiten op de Meta-vergelijking:
Stel dat PostNL ziet dat jij post van een autosleepdienst ontvangt en ze je adres verkopen aan autodealers en -garages bij jou in de buurt.

[m_snel]

Ik heb weinig op met reclame maar om nou iedere dag tenalady en canesten reclame te zien daar heb ik helemaal niks aan.

[Haye Hazenberg]

Dan kan jij wel voor gepersonaliseerde advertenties kiezen

[Ghostier]

Een landelijke toezichthouder vind dat een europese toezichthouder niet de landelijke toezichthouder mag vragen om toezicht te houden, wanneer ze dat in eerste instantie vanwege lokale belangen proberen te vermijden. Het moet niet vreemder worden. Natuurlijk heeft de EDPB die recht. Ik zou bijna de Ierse DPC een boete geven voor zulk handelen. Trek je broek maar strak. Want nu gaan ze wel veel harder analyzeren of je het wel goed doet bij de DPC. Denk niet dat ze daar zo makkelijk onderuit komen.

[B64]

De DPC is een Ierse overheidsdienst die rapporteert aan de Ierse overheid, het is niet een Ierse dependance van de EDPB. Naar Europees recht is de DPC namens alle EU-lidstaten belast met AVG-onderzoek van Meta, omdat en Europese hoofdkantoor van Meta in Ierland gevestigd is.

Of het juridisch gezien mogelijk is dat de EDPB ze verplicht een bepaald onderzoek over te doen, dat is niet zo eenduidig, ik betwijfel of er op dat vlak een duidelijke hierarchisch-juridische band tussen EDPB en (in dit geval) DPC bestaat. Laat daar inderdaad het Europese Hof van Justitie maar een uitspraak over doen, in plaats van dat wij dat hier even klaarstomen. Nadeel is alleen wel dat dat het proces ongetwijfeld weer een paar jaar vertraagt, en dat zou je niet moeten willen denk ik. Maar ik denk dat de DPC hier vooral even een statement wil maken, en wellicht op de achtergrond al met het onderzoek is gestart.

[R4gnax]

De EDPB kan het de DPC niet direct verplichten. Dat ligt niet in hun macht.

Wat de EDPB wel kan doen is een richtsnoer inzake correct toepassen van de wetgeving uit de Verordening uitvaardigen, Dat is letterlijk één van hun kerntaken (Art 70.1 (e)) en de DPC moet zich daarna verplicht aan dat snoer houden. (Althans het is niet mogelijk deze flagrant te negeren.)

Het zou heel smerig zijn, maar de EDPB kan dus een op de exacte situatie gespitst richtsnoer uitvaardigen waar men stelt dat in geval een nationale toezichtsautoriteit een klacht betreffende een bepaalde verwerkingsverantwoordelijke dermate foutief afgehandeld heeft door verkeerd interpreteren van de AVG; ze na correctie van de interpretatie terug moeten kijken naar eerdere zaken en deze in vernieuwde gecorrigeerde context moeten herevalueren.

En dan heeft de DPC dat te vreten en uit te voeren.
Een indirecte verplichting, dus.

[Reactie gewijzigd door R4gnax op 22 juli 2024 15:55]

[denkster]

Dat zou de Edpb dus moeten doen, om te bewijzen dat ze niet ook in de zak van Meta zitten.

[batteries4ever]

... en de reden dat ze in ierland zitten is het "ondernemersvriendelijke" klimaat in Ierland: m.a.w. belastingen laag, handhaving van EU regels flexibel. Nederland doet dat overigens ook wat betreft de belastingen, veel internationale ondernemingen vestigen zich dan ook in Nederland.

[vanaalten]

Ik vind het vaag:

Het besluit van de EDPB is bindend.

… ik zou verwachten dat ‘bindend’ ook betekent dat je niet in hoger beroep kan - maar dat gaat Meta blijkbaar wel?

[PolarBear]

Het besluit van de EDPB gaat over de uitleg van de regels tussen de verschillende Europese privacy toezichthouders. Of die uitleg dan ook standhoudt bij de rechter is een tweede. Het lijkt mij heel normaal dat je een beslissing van een toezichthouder kan aanvechten.

[vanaalten]

Ah, OK. En eens dat het logisch is dat je het bij een rechter kan aanvechten.

Zelf zou ik dan alleen niet zeggen dat de uitspraak bindend is - maar wellicht dat ik dat woord anders gebruik dan de auteur van het bericht.

[R4gnax]

Zelf zou ik dan alleen niet zeggen dat de uitspraak bindend is - maar wellicht dat ik dat woord anders gebruik dan de auteur van het bericht.

De uitspraak van de EDPB is bedoeld om het geschil in interpretatie tussen de landelijke toezichthouders op te lossen. In die zin is de uitspraak bindend: de toezichthouders zijn verplicht het op deze manier te interpreteren.

Daarnaast betekent 'binding' niets anders dan 'kun je niet naast je neerleggen.'
De mogelijkheid in beroep te gaan is iets anders.

[Reactie gewijzigd door R4gnax op 22 juli 2024 15:55]

[loki504]

De rijdende rechter bv is ook bindend. Toch kan je daarbij ook in hoger beroep. Een uitspraak van een rechter uit de rechtbank is ook bindend. Ook daarin kan je in hoger beroep.

Je moet bindend meer zien als je kan daarmee iemand dwingen om als nog te houden aan de uitspraak(tenzij ze in hoger beroep gaan).

[Groningerkoek]

De uitspraak van de rijdende rechter kun je niet in hoger beroep voorleggen. Wel kun je de uitspraak van de rijdende rechter voorleggen aan de gewone rechter.

Bij de rijdende rechter is er namelijk geen sprake van rechtspraak maar van een door partijen aangegane bindende adviesovereenkomst. (hij wordt wel aangeduid als rechter in het programma, maar Frank heeft de rol van adviseur.

[loki504]

Je hebt gelijk ik bedoelde alleen meer met hoger beroep als in er tegen in gaan.

[dixet]

Het is bindend voor de Ierse DPC. Zij geven de boete aan Meta, wat ze eerst niet wilden doen

[Groningerkoek]

Bindend betekend dat je je aan een uitspraak moet houden, het staat je echter wel vrij om bij een hoger orgaan de uitspraak te toetsen en ja dan kan de uitspraak veranderen.

Waar jij mee in de war bent is onherroepelijk, dan zijn er inderdaad geen mogelijkheden meer om de uitspraak te veranderen.

[CivLord]

Het besluit van de EDPB dat de DPC een boete op moet leggen is bindend. Dat vond de DPC in eerste instantie niet nodig, maar omdat het besluit van de EDPB bindend is moeten ze het nu toch doen.
De boete zelf is een straf waartegen bezwaar/ beroep etc. tegen aangetekend kan worden. Als dat al niet in de AVG was geregeld, dan volgt dat al uit een aantal andere Europese en EU-verdragen.
Geen enkele opgelegde boete of andere straf is definitief, zonder dat je de mogelijkheid hebt bezwaar te maken en beroep aan te tekenen.

[Zynth]

Even kort gerekend:
Winst (niet onzet) was in 2021 39miljard.
De boetes zijn 390 miljoen.
Dat is dus 1% van de winst.

Even omgerekend naar jan modaal die 35000 euro verdient: een boete van 350 euro.
Dat lijkt me niet echt pijn doen.

[Denne]

Winst niet omzet.

Jan modaal heeft geen 35k winst per jaar. Daar gaan behoorlijk wat belastingen en vaste lasten vanaf. 'winst' zou dan zijn wat je spaart en uitgeeft aan vakanties enzo en daar dan 1% van. Oftewel het is nog veel minder dan die 350 euro die je stelt. 😪

[Stoney3K]

Om nog wat meer perspectief te bieden: De boete voor door rood licht rijden in Nederland is 390 euro.

[Anoniem: 1028301]

Jammer dat het zo weinig is,
dit is een fooi voor dit soort bedrijven.
Artikel laat zien dat Meta de toezichthouder in Ierland in zijn zak heeft.

[B64]

De DPC heeft al meerder forse AVG-boetes aan Meta opgelegd, aanzienlijk hogere bedragen dan deze. Dus om nou te stellen dat Meta de DPC in z'n zak heeft... In dit geval volgde de DPC een andere interpretatie dan de EDPB, en dat kan.

[Reactie gewijzigd door B64 op 22 juli 2024 15:55]

[BlueBird022]

Heel goed dat grote bedrijven en miljardairs worden aangepakt! 390.000.000 is trouwens niet heel veel voor een bedrijf als Meta.

[Commandor1961]

daarom heb ik altijd adguard,adblockers aanstaan op mijn mobiel en PC geen ads meer.

[Finger]

Er zou sowieso eens een ander verdienmodel, betaal model verzonnen moeten worden met het internet wat het reclame loopt de spuigaten uit. Zonder adblocker kun je eigenlijk niet fatsoenlijk het internet meer op, meer reclame dan website.

[Comentator]

Blockchain tech; wellicht (heel weinig) betalen voor elke click. En op social media zal elke ‘like’ die je uitdeelt wat kosten maar met elke ‘like’ die je ontvangt verdien je weer wat.

En om de nodige credits te krijgen kan je deze aanschaffen of je rent even door een metaverse en voert quests uit door bijvoorbeeld een rondleiding in een WC pot waar WC eend in volle glorie en uitvergroot word getoond terwijl je virtueel wegrent voor de aankomende vloedgolf: je ontvangt nadat je bent doorgespoeld direct credits in je wallet om dit soort advertenties te beleven (a la Decentraland) waarmee je weer lekker verder kunt clicken op Web3…

Of je blijft adblockers gebruiken op een stervend Web2 met PTSS van alle advertenties die je hebt beleefd op Web3…

[UraniumBullet]

dit verbaasd mij eerlijk gezegd niks, want Meta zit toch constant met de gegevens van mensen rond te kloten. Want ze zitten constant in het nieuws met dat ze er weer zo slecht ermee aan het omgaan zijn.