Zonder toestemming geen gepersonaliseerde advertenties op Meta: invloed op Facebook Ads?

Je kent het wel. Je zoekt een nieuwe laptop/wasmachine/broek, en wanneer je daar klaar mee bent, kom je op Facebook en zie je meteen een advertentie van de winkel waarbij je het product aan het zoeken was. Ofwel, je hebt een gepersonaliseerde advertentie voor je neus gekregen. Of je zo’n reclame nou fijn vindt of niet, er moet sowieso een juridische basis achter zitten. Meta (het bedrijf achter Facebook en Instagram) heeft daar echter een potje van gemaakt.

Waarom toonde Meta illegaal gepersonaliseerde advertenties?

Volgens de AVG mag je persoonsgegevens alleen verwerken als je die verwerking op één van de zes grondslagen uit de AVG kan baseren. Long story short: Meta heeft lang illegaal gepersonaliseerde advertenties getoond, omdat zij de verwerking op de verkeerde grondslagen baseerde. Dat waren “uitvoering van de overeenkomst” en “gerechtvaardigd belang”.

“Uitvoering van de overeenkomst”

Eerst baseerde Meta het verwerken van persoonsgegevens voor het tonen van gepersonaliseerde ads op de grondslag “uitvoering van de overeenkomst”. Echter, als je persoonsgegevens verwerkt op basis van deze grondslag, dan moet die verwerking wel noodzakelijk zijn om de overeenkomst uit te voeren.

Het Hof van Justitie van de Europese Unie (hierna: HvJ) oordeelde op 4 juli 2023 dat de verwerking “objectief onontbeerlijk [moet] zijn om een doel te bereiken dat een integrerend deel uitmaakt van de aan de betrokkene te leveren contractuele prestatie“. Met andere woorden, je “moet dus kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt“. In geval van Meta is het niet noodzakelijk om persoonlijke reclames te tonen om hun diensten van een online sociaal netwerk aan te bieden.

“Gerechtvaardigd belang”

Nu “uitvoering van de overeenkomst” niet de juiste grondslag kon zijn, moest Meta een andere grondslag vinden om gepersonaliseerde ads te kunnen tonen. Meta richtte zich op op de grondslag “gerechtvaardigd belang”. Wat voor deze grondslag belangrijk is, is dat er aan drie voorwaarden voldaan moet worden:

1. Meta (of een derde) moet een gerechtvaardigd belang hebben;
2. De verwerking van persoonsgegevens moet noodzakelijk zijn om dat belang te bereiken;
3. De rechten en belangen van degene waaraan de gepersonaliseerde advertenties worden getoond, wegen niet zwaarder dan het (gerechtvaardigd) belang van Meta of de derde.

In principe valt direct marketing (zoals tonen van persoonlijke reclame) wel onder een gerechtvaardigd belang, zo geeft de AVG aan. Maar: dan moet er nog aan de andere twee voorwaarden worden voldaan. En daar gaat het mis. Gebruikers van Facebook/Instagram hoeven er geen rekening mee te houden dat Meta persoonsgegevens zonder de toestemming van de gebruiker verwerkt voor personalisatie van reclame. In deze omstandigheden wegen de belangen van de grondrechten van de gebruiker zwaarder dan die van Meta, geeft het HvJ aan. Meta kan de verwerking dus ook niet baseren op de grondslag “gerechtvaardigd belang”.

Die verzameling van persoonsgegevens voor het tonen van gerichte reclames, is heel omvangrijk. Het kan gaan om een onbeperkt aantal gegevens die ingrijpende gevolgen kan hebben voor de gebruiker. De gebruiker kan namelijk het gevoel krijgen dat zijn privéleven voortdurend in de gaten wordt gehouden.

Er blijft maar één grondslag over voor Meta

In principe blijft er maar één grondslag over uit de AVG voor Meta: “toestemming”. Vanuit de AVG gezien, zijn er nogal wat eisen aan wanneer er sprake is van legale toestemming. De toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Wat houdt dat in?

• Vrij
  Iemand moet de keuze hebben om toestemming te weigeren. Hij mag de toestemming dus niet onder dwang geven. De toestemming mag ook geen voorwaarde zijn voor iets anders (“als je geen toestemming geeft voor A, krijg je B ook niet”).
• Specifiek en geïnformeerd
  Iemand moet voldoende informatie hebben om een besluit te nemen over of hij wel of geen toestemming wil geven. Het bedrijf die persoonsgegevens verwerkt, moet dus heldere informatie geven waarom de persoonsgegevens en voor welk doel ze verzameld worden, met wie de gegevens eventueel gedeeld worden, e.d. Zoiets wordt opgeschreven in een privacyverklaring.
• Ondubbelzinnig
  Dit betekent dat elke twijfel moet zijn uitgesloten over de vraag of iemand daadwerkelijk zijn toestemming heeft gegeven. Iemand moet dus zelf een verklaring afleggen of zelf een actieve handeling verrichten om toestemming te geven (“opt-in”). Dat betekent dat toestemming niet weggemoffeld kan worden in algemene voorwaarden. Iemand moet actief aangeven dat hij gepersonaliseerde advertenties getoond wil krijgen.

Beslissing van EDPB

Het European Data Protection Board, een onafhankelijk orgaan die toeziet op de naleving van de AVG, en waarin alle nationale privacytoezichthouders uit de Europese Unie (EU) samenwerken, gaf op 27 oktober 2023 aan dat de Ierse privacytoezichthouder (Meta is gevestigd in Ierland), binnen 2 weken maatregelen moet nemen om Meta te verbieden zich te baseren op grondslagen “uitvoering van de overeenkomst” en “gerechtvaardigd belang”. De Ierse privacytoezichthouder zou namelijk niet voortvarend genoeg zijn in maatregelen geven aan Meta, ondanks dat het zo’n omvangrijk probleem is. Meta zal zich snel, definitief en in heel Europa gaan moeten baseren op de grondslag “toestemming”.

De invloed op Facebook Ads

Je kan het al raden, maar toestemming in de zin van de AVG levert alleen maar gedoe op als je veel persoonsgegevens wil gebruiken (of misbruiken. Hoe jij dat ziet, mag jij invullen). Er valt namelijk veel geld te verdienen met persoonsgegevens, en de toestemming om gepersonaliseerde advertenties te tonen krijgt Meta – zoals is gebleken – echt niet zomaar.

En juist omdat Meta die toestemming niet zomaar kan krijgen, en ook meer dan genoeg mensen zullen aangeven dat ze geen gepersonaliseerde advertenties willen zien, dan kan dat ook niet heel fortuinlijk voor jou als ondernemer uitpakken. Tenminste, als je gebruik wil maken van Facebook Ads.

Minder mensen die toestemming geven, betekent dat je ook op minder mensen kan targeten. En dan kan het inzetten van Facebook Ads minder effectief zijn. Daarnaast kan het best zijn dat de kosten voor advertenties stijgen. Je zult dus misschien wel alternatieven moeten zoeken om mensen te bereiken. Maar gelukkig zijn die er genoeg.