Ny afgørelse fra Det Europæiske Databeskyttelsesråd: Forbud mod adfærdsbaseret markedsføring på Facebook og Instagram

Afgørelsen fra EDBP: Meta anvender adfærdsbaseret markedsføring ulovligt

EDPB har den 27. oktober 2023 truffet afgørelse om, at Meta ikke må anvende brugernes personoplysninger til adfærdsbaseret markedsføring. Dette skyldes, at Meta anvender et ulovligt behandlingsgrundlag i henhold til Databeskyttelsesforordningen.

Meta har indtil videre henvist til, at behandlingen sker med henblik på at opfylde en kontrakt med brugeren (ifølge artikel 6, punkt 1, litra b i forordningen), og at behandlingen sker med henvisning til Metas legitime interesse (ifølge artikel 6, punkt 1, litra f). Disse behandlingsgrundlag kan ifølge EDBP ikke anvendes som lovlig hjemmel, idet Metas legitime interesse ikke overstiger brugernes interesse i, at behandlingen ikke sker.

Afgørelsen er allerede trådt i kraft

Afgørelsen er trådt i kraft, idet EDPB den 27. oktober 2023 vedtog en såkaldt ”hurtig bindende afgørelse” med hjemmel i databeskyttelsesforordningens artikel 66, stk. 2.

I denne ”hurtig bindende afgørelse” instruerer EDPB det irske datatilsyn i at træffe endelige foranstaltninger mod Meta inden for 14 dage i form af et forbud mod adfærdsbaseret markedsføring.

Norge betragtede Metas praksis som ulovlig

Det norske Datatilsyn gav tilbage i juli 2023 Meta et midlertidigt forbud mod adfærdsbaseret markedsføring, idet deres praksis betragtes som ulovlig. Det norske datatilsyn bad Meta rette ind inden for tre måneder, men da Meta herefter fortsat drev ulovlig markedsføring, pålagde det norske datatilsyn den 13. oktober 2023 Meta en tvangsbøde på 1 million norske kroner om dagen i op til tre måneder. Sagen blev herefter henvist til EDPB.

Baggrunden for det norske datatilsyns afgørelse er, at de har fundet, at sporingen gør det muligt for Meta at tegne et detaljeret billede af den enkeltes privatliv, herunder helbredsdata, politiske holdninger og uddannelse, som indebærer følsomme personoplysninger.

Hvad siger reglerne om brugen af personoplysninger i markedsføringsøjemed?

Det følger af reglerne i databeskyttelseslovgivningen, at når en virksomhed behandler personoplysninger i markedsføringsøjemed, er det et krav, at virksomheden udtrykkeligt oplyser sine behandlingsaktiviteter samt formålene. Derudover kræver behandling af personoplysninger i markedsføringsøjemed et retligt grundlag. Dette vil enten være et samtykke (artikel 6, stk. 1, litra a) eller den dataansvarliges legitime interesser (artikel 6, stk. 1, litra f).

Adfærdsbaseret markedsføring betragtes som profilering. Profilering betyder, at man ud fra en række oplysninger forudser, hvad den enkelte bruger kan lide. Vurderingen af, hvordan disse oplysninger skal behandles, afhænger af hvor indgribende behandlingsaktiviteterne er for brugeren.

Hvis behandlingen skal baseres på den dataansvarliges legitime interesser, skal der foretages en afvejning af de legitime interesser og konsekvenserne for brugeren.

Det er værd at bemærke, at EDPB før har udtalt, at det er vanskeligt at basere profilerings- og sporingspraksis i markedsføringsøjemed på en legitim interesse. Derfor anbefales det, at virksomheder benytter et samtykke som behandlingsgrundlag. Dette kræver dog, at samtykket er frivilligt, specifikt, informeret og et udtryk for en utvetydig viljestilkendegives – ellers er samtykket ikke gyldigt.

Denne betragtning tydeliggør, at det i langt de fleste tilfælde vil være omfattende for Meta, på lovlig vis, at profilere og spore brugernes adfærd i markedsføringsøjemed.

Meta annoncerer nyt koncept: Samtykke eller betaling er nu nødvendig

Forbuddet mod Metas ulovlige adfærdsbaserede markedsføring gælder for hele EU/EØS og indebærer således, at Meta ikke længere kan benytte sig af den adfærdsbaserede markedsføring.

Afgørelsen efterlader herefter samtykke som det eneste mulige behandlingsgrundlag for adfærdsbaseret markedsføring, og den stiller derfor Meta overfor en grundlæggende ændring af deres praksis.

Meta har selv tidligere i år – før denne afgørelse blev truffet i EDPB - selv annonceret, at Facebook og Instagram fremover tilbydes i form af et betalingsabonnement. Hvis du ikke ønsker at betale for abonnementsløsningen, skal du give samtykke til den adfærdsbaserede markedsføring. Det stiller altså brugeren overfor et valg om enten at give samtykke til at udlevere persondata til Metas markedsføring eller betale sig fra at beskytte sine data.

HjulmandKaptains kommentar til sagen

Selvom det ser ud til, at Meta har løst problematikken med deres nye tiltag, er vi hos HjulmandKaptain dog skeptiske over for gyldigheden af et sådant samtykke, da det som nævnt bl.a. skal være givet frivilligt for at være gyldigt.

Det er tvivlsomt, om et samtykke fra de nuværende brugere af Facebook og Instagram kan betragtes som frivilligt, idet disse brugere har anvendt det sociale medie i lang tid og har skabt sig et netværk på platformen. Disse brugere stilles derfor et ultimatum og vil være ”tvunget” til at give samtykke – eller betale – hvis de ønsker at bibeholde deres netværk.

Lad HjulmandKaptains specialister hjælpe dig

Har du spørgsmål til GDPR og behandling af personoplysninger i forbindelse med markedsføring, så er du altid velkommen til at kontakte vores specialister i databeskyttelse.