In een arrest van het Hof van Justitie van de Europese Unie (HvJEU, hierna: ‘
het Hof’) van 4 juli 2023 wordt bevestigd dat een nationale mededingingsautoriteit mag nagaan of een onderneming in overeenstemming handelt met andere wetten en normen, zoals de Algemene Verordening Gegevensbescherming (AVG).
Het Hof heeft richtlijnen gegeven over onderwerpen zoals de bevoegdheid van mededingingsautoriteiten, de verwerking van bijzondere gegevens, verwerkingsgrondslagen en de keuzevrijheid van gebruikers. Lees meer over de uitspraak en de implicaties ervan in dit artikel.
Wat was er aan de hand?
Bij het aanmelden voor een Facebook-account, dienen gebruikers akkoord te gaan met de algemene voorwaarden én het cookie-/gegevensbeleid van Facebook. Dit biedt Meta Platforms Ireland (hierna: “
Meta”) de mogelijkheid om gegevens over de activiteiten van Gebruikers te verzamelen, zowel binnen als buiten het online social media platform. De gegevens die afkomstig zijn van buiten het social media platform (off-Facebook-gegevens), kunnen betrekking hebben op de activiteiten van gebruikers op andere websites en apps van derden, maar ook op het gebruik van Instagram en WhatsApp, die tevens onder het Metaconcern vallen.
Het bedrijfsmodel van Facebook is voornamelijk gebaseerd op het (aan)leveren van doelgerichte reclame. Deze advertenties zijn specifiek afgestemd op de persoonlijke voorkeuren van de gebruikers van het sociale netwerk. Dit toesnijden van de reclames op de smaak van de individuele gebruikers, wordt mogelijk gemaakt door de gegevens die Meta heeft verzameld.
Het Duitse Bundeskartellamt is enige tijd geleden een procedure gestart tegen Meta, omdat zij van mening was dat het bedrijf misbruik maakte van haar machtspositie. Dit was onder meer gebaseerd op het feit dat Meta in haar algemene voorwaarden het gebruik van het Facebookplatform afhankelijk werd gesteld van het kunnen/mogen verwerken van de off-Facebook-gegevens van de desbetreffende gebruiker. In dat kader heeft het Bundeskartellamt Meta opgedragen om de algemene voorwaarden aan te passen, zodat duidelijk wordt dat de gegevens niet zonder toestemming van de betrokkene zullen worden verzameld, gekoppeld en gebruikt. Daarbij heeft het Bundeskartellamt benadrukt dat de huidige - in de algemene voorwaarden verwerkte - toestemming ongeldig is, wanneer het een voorwaarde is om het sociale netwerk te kunnen gebruiken.
Volgens het Bundeskartellamt kan men de verwerkingsactiviteiten van Meta evenmin baseren op de verwerkingsgrondslag: noodzakelijk voor het uitvoeren van de overeenkomst (artikel 6 lid 1 sub b AVG). Daarbij is onder meer relevant dat de off-Facebook-gegevens in sommige gevallen eveneens kunnen worden gekwalificeerd als bijzondere persoonsgegevens, in de zin van artikel 9 lid 1 AVG.
De prejudiciële vragen en beantwoording
Het
Oberlandesgericht Düsseldorff (de hoogste rechterlijke instantie van de deelstaat Noordrijn-Westfalen Duitsland, waarbij beroep is ingesteld tegen dit verbod) heeft twijfels over een aantal aspecten van deze casus. Meer in het bijzonder over de wijze waarop uitvoering wordt gegeven aan de verplichtingen uit de AVG door exploitanten van grote social media netwerken, zoals Meta. Daarom heeft zij een aantal prejudiciële vragen aan het HvJEU gesteld. Het antwoord van het HvJEU, zal hierna per (deel)onderwerp worden uitgewerkt.
De bevoegdheid van een nationale mededingingsautoriteit
Het Hof oordeelt dat de mededingingsautoriteit bij een onderzoek naar misbruik van de machtspositie, ook kan beoordelen of het gedrag van die onderneming in overeenstemming is met andere normen, zoals de AVG.
Wanneer de mededingingsautoriteit de naleving van de AVG beoordeelt, doet zij dat namelijk alleen om te bepalen of er sprake is van misbruik van een machtspositie en om maatregelen op te leggen om dit misbruik te beëindigen, een en ander in overeenstemming met de regels van het mededingingsrecht.
Het is essentieel dat mededingingsautoriteiten rekening houden met de bescherming van persoonsgegevens om een evenwichtige handhaving van het mededingingsrecht te waarborgen in de digitale economie.
Het kan voorkomen dat de nationale mededingingsautoriteit moet samenwerken en overleggen met de nationale toezichthoudende autoriteit in de zin van de AVG. Een nationale mededingingsautoriteit moet controleren of de bevoegde nationale toezichthoudende autoriteit, de leidende toezichthoudende autoriteit of het Hof al een besluit of een uitspraak hebben gedaan met betrekking tot een vergelijkbare gedraging van een andere partij (e.g. ander social media platform). Indien dit het geval is, mag de mededingingsautoriteit niet afwijken van die beslissing, maar kan zij wel haar eigen conclusies trekken wat betreft de toepassing van het mededingingsrecht.
De verwerking van bijzondere gegevens, artikel 9 AVG.
De tweede vraag die centraal stond is of een gebruiker, door het enkele feit dat een gebruiker websites of apps bezoekt waaruit bijzondere gegevens kunnen voortvloeien, ook betekent dat zij deze gegevens ook kennelijk openbaar maakt in de zin van de AVG.
Bijzondere gegevens zijn gegevens over bijvoorbeeld etniciteit, politieke opvattingen, gegevens over gezondheid of gegevens met betrekking tot seksuele gerichtheid. De verwerking van deze bijzondere gegevens is in beginsel verboden. Een uitzondering is als de betrokkene deze kennelijk openbaar heeft gemaakt (artikel 9, lid, sub e AVG).
Volgens het Hof kan het erop lijken dat Meta gevoelige gegevens verwerkt. De nationale rechter van Duitsland moet beoordelen in hoeverre deze verwerkingen zijn toegestaan.
Het Hof legt tevens uit dat door het enkele bezoek aan een website of een app, de gebruiker diens bijzondere (persoons)gegevens niet kennelijk openbaar maakt. Dit is ook niet het geval wanneer een gebruiker op websites of apps gegevens invoert of kenbaar maakt middels een selectieknop, tenzij de gebruiker vooraf uitdrukkelijk zijn keuze kenbaar heeft gemaakt om de gegevens openbaar te maken voor een onbeperkt aantal personen. Dat is niet het geval bij de werkwijze van Meta, waardoor zij geen beroep kan doen op deze uitzondering.
Uitvoering van de overeenkomst als verwerkingsgrondslag
De derde vraag die centraal stond was of de verwerkingsgrondslag: ‘
noodzakelijk voor de uitvoering van een overeenkomst’ kan worden gebruikt voor de verwerkingsactiviteiten van Meta. Het Hof legt uit dat dit alleen mogelijk is indien het doel van de overeenkomst anders niet kan worden bereikt.
In de casus van Meta betwijfelt het Hof of aan die voorwaarden is voldaan, maar dat is aan de nationale rechter om na te gaan. Het is aan de verwerkingsverantwoordelijke om aan te tonen in welk opzicht het doel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt.
Gerechtvaardigd belang als een verwerkingsgrondslag
De verwerking kan slechts noodzakelijk worden geacht voor de behartiging van gerechtvaardigde belangen van de verwerkingsverantwoordelijke (i.e. Meta), indien die exploitant de gebruikers bij wie de gegevens zijn verzameld:
1) heeft meegedeeld dat er met de verwerking een gerechtvaardigd belang wordt behartigd;
2) indien deze verwerking binnen de grenzen blijft van hetgeen voor de behartiging van dat belang strikt noodzakelijk is; en
3) indien uit een afweging van tegengestelde belangen blijkt dat de belangen of grondrechten en fundamentele vrijheden van die gebruikers niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde.
Indien de gebruiker een kind is, moet bij de afweging bijzondere aandacht worden besteed aan de grondrechten en vrijheden van het kind. Kinderen zijn zich namelijk minder bewust van de risico’s en gevolgen, waardoor zij extra beschermd moeten worden.
Volgens het Hof heeft Meta geen gerechtvaardigd belang bij het verwerken van persoonsgegevens zonder toestemming. Meta had aangevoerd dat zij met name via de personalisatie van reclame de dienst kunnen verbeteren. Hier ging het Hof echter niet in mee.
De keuzevrijheid van gebruikers
Tot slot werd de vraag gesteld of hier wel sprake was van rechtsgeldig verleende toestemming, mede gelet op het feit dat gebruikers zonder het verlenen van toestemming geen toegang konden krijgen tot het sociale media netwerk.
Volgens het Hof sluit een machtspositie op zichzelf niet dat gebruikers rechtsgeldig toestemming kunnen geven voor de verwerking van hun persoonsgegevens. De omstandigheid dat de exploitant een machtspositie heeft is echter wel een belangrijk element om te bepalen of de toestemming daadwerkelijk vrijelijk is gegeven. Dit moet de exploitant bewijzen.
Conclusie
Het HvJEU heeft geoordeeld dat nationale mededingingsautoriteiten mogen controleren of het gedrag van ondernemingen in overeenstemming is met de AVG. Daarnaast heeft het Hof bepaald dat het bezoeken van websites of apps niet automatisch betekent dat gebruikers hun gegevens openbaar maken, tenzij ze daar expliciet toestemming voor hebben gegeven.
Verder is opnieuw bevestigd dat het uitvoeren van een overeenkomst alleen als verwerkingsgrondslag kan dienen, wanneer dit noodzakelijk is voor het verwezenlijken van het doel van de overeenkomst. Het Hof benadrukte ook dat het hebben van een machtspositie niet automatisch betekent dat gebruikers geen vrije keuze hebben, maar dat de verwerkingsverantwoordelijke in dergelijke gevallen moet bewijzen dat de toestemming vrijwillig is gegeven.
Heeft u vragen over de
AVG en/of de verwerkingsgrondslagen waarop u bepaalde activiteiten kunt baseren? Neem dan gerust
contact op met een van onze medewerkers
HvJEU 4 juli 2023, ECLI:EU:C:2023:537 (
Meta)
