De boete die de Data Protection Commission (DPC) eerder deze maand uitdeelde aan Meta, is veel te laag. De Ierse privacywaakhond heeft de inkomsten die het moederbedrijf van Facebook en Instagram heeft behaald door jarenlang de Europese privacywetgeving te overtreden, niet meegenomen in de berekening van de boete. Zodoende heeft de DPC een ‘cadeautje’ van bijna 4 miljard euro gegeven aan Meta.
Dat vindt de Oostenrijkse privacystichting Noyb.
Meta krijgt boete van 390 miljoen euro aan haar broek
Nadat de Algemene Verordening Gegevensbescherming (AVG) in mei 2018 in werking trad, ontving de DPC twee klachten over Meta. Het bedrijf vroeg Facebook- en Instagram-gebruikers niet op de juiste manier om toestemming om gebruikersdata te verzamelen om zo gepersonaliseerde advertenties aan te bieden. Meta paste de algemene voorwaarden aan en zei dat gebruikers een contract aangingen met het bedrijf als ze gebruikmaakten van het platform. Volgens de Europese privacyregels had Meta expliciet om toestemming hiervoor moeten vragen.
Vanwege het jarenlang onrechtmatig aanbieden van gerichte advertenties op Facebook en Instagram, deelde de Ierse toezichthouder eerder deze maand een boete van 390 miljoen euro uit: 210 miljoen euro komt voor rekening van Facebook, Instagram moet de resterende 180 miljoen euro betalen.
De DPC heeft Meta drie maanden de tijd gegeven om de wijze waarop het gebruikersgegevens verzamelt aan te passen. Het techbedrijf liet in een reactie weten in hoger beroep te gaan.
Noyb: ‘Boete had een stuk hoger moeten uitvallen’
Noyb -een acroniem dat staat voor None of your business– zei na afloop dat het vonnis “een enorme klap” was voor Meta. “Mensen moet nu worden gevraagd of ze willen dat hun gegevens worden gebruikt voor advertenties of niet. Ze moeten een ‘ja of nee’ optie hebben en kunnen op elk moment van gedachten veranderen. Het besluit zorgt ook voor een gelijk speelveld met andere adverteerders die ook opt-in toestemming moeten krijgen”, aldus Max Schrems, de voorzitter van de stichting.
Toch is de Oostenrijkse privacybeweging niet tevreden met de uitspraak. De stichting vindt dat de boete vele malen hoger had moeten uitpakken. De DPC heeft namelijk de onrechtmatige inkomsten die Meta verzilverde door jarenlang de AVG te overtreden, niet meegenomen in het boetebesluit. Daardoor heeft het technologiebedrijf een ‘cadeautje’ van 3,97 miljard euro gekregen.
“We weten allemaal van de enorme inkomsten van Meta. Het is verbazingwekkend dat de DPC daar geen rekening mee heeft gehouden. De DPC maakte niet eens gebruik van haar wettelijke bevoegdheden om Meta om de informatie te vragen. Wij onderzochten daarom openbaar beschikbare informatie en ontdekten dat alleen al deze factor de boete met 3,97 miljard euro had moeten verhogen”, zo vertelt Schrems.
Noyb wil dat EDPB de Ierse toezichthouder op het matje roept
De Europese regels schrijven voor dat een boete ‘doeltreffend, evenredig en afschrikwekkend’ moet zijn. Dat betekent dat een toezichthouder een boete tot 20 miljoen euro mag opleggen, of een boete die gelijkstaat aan maximaal 4 procent van de wereldwijde omzet. Afhankelijk van welk bedrag hoger is.
Noyb berekende dat Meta tussen het derde kwartaal van 2018 en derde kwartaal van 2022 een bedrag van 72,5 miljard euro heeft verdiend aan gepersonaliseerde advertenties in Europa. Zelfs als de DPC een boete van 4 procent had opgelegd aan Meta, had het bedrijf nog steeds 68 miljard euro verdiend door de AVG te overtreden. “Het komt erop neer dat het voor Meta absoluut loonde om de AVG te schenden en de Ierse DPC maakte het nog winstgevender voor Meta om de Europese wetgeving te schenden”, aldus Schrems.
Om aandacht hiervoor te vragen, heeft Noyb een open brief (pdf) gestuurd aan de European Data Protection Board (EDPB). Dat is de koepelorganisatie waar alle nationale toezichthouders van de EU-lidstaten zijn vertegenwoordigd. Daarin worden alle berekeningen in detail genoemd. De privacystichting vraagt aan de EDPB om ervoor te zorgen dat haar besluit volledig wordt gehandhaafd door de DPC.
