Bedrijven met een dominante positie op hun (digitale) markten kunnen worden bestraft door (nationale) mededingingsautoriteiten voor het schenden van ... de Algemene Verordening Gegevensbescherming ("AVG"). Een dergelijke dominante positie kan voor deze bedrijven ook extra hindernissen opleveren wanneer ze moeten aantonen dat hun gegevensverzamelings- en verwerkingspraktijken berusten op geldige rechtsgronden onder artikel 6 AVG.
Meta Platforms Ierland staat bekend om zijn verschillende online socialemediaplatforms zoals Facebook, Instagram, WhatsApp, Oculus en voorheen ook Masquerade. Het sociale mediaplatform Facebook wordt gratis aangeboden aan klanten en wordt gefinancierd door "gerichte" online reclame voor gebruikers. Dergelijke gerichte reclame is gebaseerd op een gedetailleerd gebruikersprofiel op basis van persoonlijke informatie zoals consumentengedrag, interesses en koopkracht. De informatie wordt niet alleen verzameld op de verschillende platformen die worden beheerd door de Meta Group, maar ook op webpagina's en apps van derden ("off-Facebook gegevens"). Deze verwerkingsactiviteit is afhankelijk van de aanvaarding door de klant van de algemene voorwaarden van Facebook met een verwijzing naar het cookie- en privacybeleid. Om Facebook te kunnen gebruiken, hebben gebruikers met andere woorden geen andere keuze dan akkoord te gaan met de algemene voorwaarden en de verwerking van de persoonsgegevens van de gebruiker door Meta voor advertentiedoeleinden.
Het Duitse Bundeskartellamt ("DBKA") oordeelde in 2019 dat de praktijken van Meta misbruik opleverden van haar machtspositie op de markt voor online sociale netwerken ("DBKA-beschikking"). Het verbood Meta daarom het gebruik van Facebook te onderwerpen aan de aanvaarding, via de algemene voorwaarden, van de verwerking van hun persoonsgegevens van andere Meta-platforms en webpagina's van derden.
De procedure voor de nietigverklaring van de DBKA-beschikking voor de regionale rechtbank van Düsseldorf is uiteindelijk terecht gekomen voor het Hof van Justitie van de Europese Unie met verschillende prejudiciële vragen met zowel mededingingsrechtelijke als gegevensbeschermingsrechtelijke aspecten.
Rolverdeling tussen mededingings- en gegevensbeschermingsautoriteiten
De zaak werd nauwlettend gevolgd door al wie geïnteresseerd is in de wisselwerking tussen het mededingingsrecht en het gegevensbeschermingsrecht. De inbreuk op het mededingingsrecht in de DBKA-beschikking was namelijk verrassend genoeg rechtstreeks gebaseerd op een inbreuk op de AVG (meer bepaald artikel 6, lid 1, en artikel 9, lid 2). De algemene voorwaarden van Meta vormen, als gevolg van haar machtspositie, een misbruik aangezien de verwerking van de off-Facebook gegevens niet in overeenstemming was met de onderliggende waarden van de AVG.
Het Hof erkende het belang van gegevens als een doorslaggevend commercieel goed (en dus als een mededingingsparameter) in de digitale economie en bevestigde dat een nationale mededingingsautoriteit – zelfs als zij geen nationale toezichthoudende autoriteit is in de zin van artikel 51 en volgende van de AVG – kan vaststellen dat de (uitvoering van de) algemene gebruiksvoorwaarden van een onderneming met betrekking tot de verwerking van persoonsgegevens in strijd is met de AVG, wanneer een dergelijke vaststelling noodzakelijk is om het bestaan van misbruik van een machtspositie op grond van artikel 102 VWEU vast te stellen. Volgens de Grote kamer van het Hof "kan de verenigbaarheid dan wel de onverenigbaarheid van een dergelijk gedrag met de AVG eventueel – als een van de relevante omstandigheden van het geval – een belangrijke aanwijzing vormen om vast te stellen of dit gedrag bestaat in het aanwenden van middelen die passen in het kader van de normale mededinging" (punt 47).
Het Hof oordeelde echter ook dat nationale mededingingsautoriteiten gebonden zijn aan het beginsel van loyale samenwerking krachtens artikel 4, lid 3, VEU en daarom niet kunnen afwijken van een besluit van een nationale toezichthoudende autoriteit. Een dergelijke nationale mededingingsautoriteit moet dus de nationale toezichthoudende autoriteit raadplegen en met haar samenwerken wanneer zij bij de uitoefening van haar bevoegdheden moet beoordelen of een gedraging in strijd is met de AVG. Deze verplichting tot raadpleging of samenwerking is niet opgenomen in de AVG, die alleen een samenwerkingsmechanisme voor nationale toezichthoudende autoriteiten bevat.
Aanvullende inzichten in enkele belangrijke AVG-begrippen
Bovendien heeft het Hof een gedetailleerde analyse uitgevoerd van de mogelijke toepassing van de verschillende rechtsgronden van artikel 6 AVG voor de rechtmatige verwerking van gegevens, en van artikel 9 AVG met betrekking tot de verwerking van gevoelige categorieën van persoonsgegevens.
Het Hof oordeelde met name dat het verzamelen van on-Facebook en off-Facebook gegevens en het koppelen van deze gegevens aan de sociale netwerkaccount van gebruikers alleen kan worden beschouwd als "noodzakelijk voor de uitvoering van een overeenkomst" (artikel 6, lid 1, onder b) AVG) als deze verwerking objectief onmisbaar is voor een doel dat integraal deel uitmaakt van de contractuele verplichting (met andere woorden onmisbaar voor het bereiken van het belangrijkste voorwerp van de overeenkomst). In dit geval verwierp het Hof de rechtvaardiging van Meta dat het verzamelen en verwerken van gegevens noodzakelijk was voor het garanderen van gepersonaliseerde inhoud voor gebruikers en het consistente en naadloze gebruik van de eigen diensten van de Meta groep.
Het arrest maakte ook duidelijk dat het feit dat een platform een machtspositie inneemt een relevante factor is waarmee rekening moet worden gehouden bij de beoordeling of de gebruikers van dit platform "uit vrije wil" toestemming hebben gegeven (in de zin van artikel 6, lid 1, onder a), en artikel 4, lid 11, AVG) – een dergelijke machtspositie kan immers van invloed zijn op "de keuzevrijheid van die gebruiker, die zijn toestemming mogelijkerwijs niet zonder nadelige gevolgen kan weigeren of intrekken" (punt 148).
Eubelius helpt u graag verder bij vragen over uw verwerkingsactiviteiten en uw AVG-compliance.
