Datavergaren aan banden

Facebook dient het verzamelen van gebruikersdata via dochterbedrijven (zoals Whatsapp of Instagram) of via derden-partijen (zoals met behulp van Facebook login, de 'Like' knop of Facebook Analytics) namelijk aan te passen. Of eigenlijk: aan banden te leggen. Want Facebook dient aanpassingen door te voeren met behulp van dé privacy-sleutel die – als ’t maar even kan - graag vermeden wordt: ‘vrije toestemming’ van de gebruiker. Facebook is door de Duitse mededingingswaakhond opgedragen om hier met voorstellen te komen. Overigens heeft Facebook al aangegeven in beroep te gaan tegen de uitspraak.

De kwestie is om meerdere redenen interessant. Allereerst in verband met de uitleg van ‘vrijelijke’ of ‘vrijwillige’ toestemming, als grondslag voor de verwerking  van persoonsgegevens. En dan specifiek als deze toestemming niet wordt gegeven. Want het is bepaald nog niet duidelijk of 'geen toestemming' betekent:

• geen datadelen, maar wel de dienst mogen gebruiken, of
• simpelweg de dienst niet gebruiken.

U snapt dat de eerste variant veel impact heeft op een 'datadriven' business case, zoals die van Facebook. De AVG stelt op dit punt met zoveel woorden dat toestemming niet vrijelijk kan worden gegeven als je geen echte, vrije keuze hebt of als je je toestemming niet kan weigeren of niet kan intrekken ‘zonder nadelige gevolgen’. Meer in het bijzonder wordt bepaald dat de toestemming niet geacht wordt 'vrijelijk' te zijn gegeven, indien de uitvoering van een overeenkomst afhankelijk is van die toestemming, maar de persoonsgegevens zelf niet noodzakelijk zijn voor de uitvoering van de dienst. Dit is precies waar het bij Facebook om draait.

De Oostenrijker Max Schrems (die destijds de Safe Harbour Principles kapot heeft weten te krijgen bij de hoogste Europese rechter) heeft hierover direct na de inwerkingtreding van de AVG in mei vorig jaar, al klachten ingediend bij een viertal Europese privacy-waakhonden. Het zal niet verbazen dat Schrems voor de conservatieve uitleg gaat: bij geen toestemming, moet je de dienst wel gewoon kunnen gebruiken.

De Bundeskartellamt laat in deze Facebook-zaak zien inderdaad de conservatieve lijn te volgen. In de toelichting staat letterlijk het volgende:"'Voluntary' means that the use of Facebook's services must not be subject to the users' consent. If users do not consent, Facebook may no longer combine data in the comprehensive manner described above, or only to a highly restricted extent. Without the users’ consent, data processing must generally take place in an internally separated process. When tracking users in the internet and in apps, the comprehensive collection of all user data created in this process is only possible subject to the voluntary consent of the users. Under the Bundeskartellamt’s decision Facebook is required to adapt its terms of service and data processing accordingly."

Dat biedt een somber perspectief, vrees ik. Ik vind het persoonlijk ook wel heel ver gaan, deze conservatieve lijn. Wellicht is een lichtpuntje voor kleinere partijen dat uit deze zaak volgt dat Facebook in Duitsland zo’n beetje de enige aanbieder is, maar ik vrees dat deze lijn in de breedte in Europa doorgetrokken gaat worden.

Facebook scherp in de gaten gehouden

Een tweede reden waarom deze zaak interessant is, betreft dat een mededingingswaakhond zich op het territorium van de privacy begeeft. Dat beseft de Bundeskartellamt zich ook. In de FAQ-toelichting stelt zij letterlijk de volgende vraag: "Data protection and competition law." "Why is this a case for a competition authority?" Uit het antwoord volgt dat de marktpositie van Facebook scherp in de gaten wordt gehouden, en dat is uiteraard het domein van de mededinging. Daarbij wordt vervolgens gekeken naar de voorwaarden die, in dit geval Facebook, hanteert voor haar data-model.

Het toverwoord is hier: 'exploitative business terms'. De redenering is dat Facebook via haar contractuele voorwaarden misbruik van haar marktpositie maakt, omdat de gebruiker daarmee controle verliest over het gebruik van haar data: 'they are no longer able to control how their personal data are used.' 'They cannot perceive which data from which sources are combined for which purposes with data from Facebook accounts and used e.g. for creating user profiles ('profiling')."

Dat rechtvaardigt ingrijpen. Interessant in dit kader is nog dat er is samengewerkt met (Duitse) 'data protection authorities'. Dus het lijkt erop dat er geen machtsstrijd gaande is op waakhond-niveau. En de Bundeskartellamt doet er nog een schepje bovenop. Ze nodigt impliciet ook nog de Europese mededingingswaakhond om hier iets van te vinden, door te stellen dat het Europees mededingingsrecht ook van toepassing is.

Al met al een interessante ontwikkeling, waarbij ik wel somber gesteld ben over de strikte uitleg van 'vrije toestemming'. Ik ben benieuwd of we dit in Nederland ook gaan zien. Ik sluit niet uit dat Aleid Wolfsen en Martijn Snoep al even met elkaar hebben gebeld.