Facebook heeft van 2010 tot 2020 onterecht persoonsgegevens van Facebook-gebruikers verwerkt. Dat stelt een Nederlandse rechtbank in een zaak die door de Consumentenbond was aangespannen. De Consumentenbond wil compensatie voor getroffen gebruikers.
De rechter zegt dat Facebook van april 2010 tot januari 2020 geen rechtsgeldige grondslag, zoals toestemming, had om persoonsgegevens te verwerken voor advertentiedoeleinden. Het platform heeft die gegevens dan ook onrechtmatig verwerkt. Facebook had daarnaast geen toestemming om bijzondere persoonsgegevens, zoals seksuele voorkeur of religie, te verwerken, terwijl het platform dit wel deed. De gewraakte persoonsgegevens werden op Facebook zelf verzameld, maar ook via plug-ins op externe sites.
Facebook stelde dat het de grond van 'contractuele noodzaak' gebruikte om persoonsgegevens te kunnen verwerken voor advertentiedoeleinden. Met die grond stelde het platform dat het die persoonsgegevens moest verwerken, om aan het contract te kunnen voldoen. Het platform claimt namelijk een contract af te sluiten met gebruikers, wanneer gebruikers een account aanmaken op het platform. Om dat contract goed uit te kunnen voeren, moet Facebook naar eigen zeggen persoonsgegevens kunnen verwerken om gerichte advertenties te kunnen tonen.
Hier ging de rechtbank niet in mee, omdat volgens de geldende privacywet die noodzakelijkheid strikt moet worden geïnterpreteerd. "Gesteld noch gebleken is dat het aanbieden van een profiel op het sociale netwerk feitelijk niet kan worden uitgevoerd als de verwerking van persoonsgegevens voor advertentiedoeleinden niet plaatsvindt", aldus de rechtbank. "Voor het aanbieden van een profiel op het sociale netwerk van het Facebook-platform is dus niet objectief en daadwerkelijk noodzakelijk dat Facebook persoonsgegevens van een gebruiker verwerkt voor advertentiedoeleinden." Facebook mag de 'contractuele noodzaak'-grond dus niet gebruiken om persoonsgegevens te verwerken voor reclamedoeleinden.
Het sociale medium heeft volgens de rechtbank verder gebruikers onvoldoende geïnformeerd over het delen van persoonsgegevens met derde partijen. Hierbij zijn ook onrechtmatig persoonsgegevens van Facebookvrienden van die gebruikers verwerkt. De rechter zegt dat Facebook misleidend was, omdat het platform consumenten onvoldoende voorlichtte over het gebruik van persoonsgegevens voor commerciële doeleinden. Facebooks gedrag was volgens de rechtbank niet alleen in strijd met de privacywetgeving, maar vormde ook een oneerlijke handelspraktijk.
De Consumentenbond en Data Privacy Stichting stelden dat Facebook ook onrechtmatig cookies plaatste op websites van derden, maar hier ging de rechtbank niet in mee. De website-exploitanten waren namelijk verantwoordelijk voor het vragen van toestemming van de gebruiker om cookies te plaatsen, niet Facebook, aldus de rechter.
Facebook moet de proceskosten van 17.743,01 euro betalen. De Consumentenbond en de Data Privacy Stichting begonnen de rechtszaak in 2020 en wilden daarbij compensatie voor gebruikers. Of gebruikers daadwerkelijk een schadevergoeding krijgen, was echter geen onderdeel van deze rechtszaak. Met deze rechtszaak heeft de rechtbank alleen gezegd dat Facebook de wet inderdaad heeft overtreden.
De Consumentenbond en de Data Privacy Stichting zeggen blij te zijn met de uitspraak en gaan in gesprek met het bedrijf voor compensatie. Tegen NOS zeggen de twee partijen ongeveer 190.000 aanmeldingen van gedupeerden te hebben ontvangen. Meta zegt in beroep te gaan tegen de uitspraak.