Weer EU-megaboete voor Meta, vanwege GDPR-fouten Facebook en Instagram

Meta Platforms, het moederbedrijf van Facebook, heeft een boete gekregen van 390 miljoen euro van de Ierse privacytoezichthouder Data Privacy Commissioner (DPC), die handhaaft voor de EU. Het Amerikaanse concern krijgt die straf voor de manier waarop gebruikersgegevens worden gebruikt voor gepersonaliseerde advertenties. Meta heeft nu drie maanden de tijd om ervoor te zorgen dat de verwerking van dergelijke informatie voldoet aan de EU-regels.

ANPMeer van deze auteur

Jasper BakkerredacteurMeer van deze auteur

Meta Zuckerberg — © Shutterstock

Shutterstock

De zaak begon een aantal jaar geleden met een klacht van de Oostenrijkse privacy-activist Maximilian Schrems over Facebook Ireland, het Europese hoofdkantoor van het bedrijf. Schrems had bij de Ierse instantie voor databescherming geklaagd over het doorgeven van persoonsgegevens door Facebook Ireland aan het moederbedrijf in de VS. Volgens hem zouden gebruikers de keuze moeten krijgen of het bedrijf hun gegevens wel of niet mag gebruiken voor reclamedoeleinden, in plaats van dat ze gevraagd wordt om akkoord te gaan met een lijst algemene voorwaarden.

1,3 miljard en oplopend

Het is niet de eerste keert dat Meta flink in de buidel moet tasten voor een geldstraf van de Ieren. Zo legde de DPC in september Meta-dochter Instagram nog een boete op van 405 miljoen euro en in november was al sprake van een boete van 265 miljoen euro voor Meta. Het totaalbedrag aan boetes komt uit op zo'n 1,3 miljard euro. Volgens de Europese datawetgeving kunnen bedrijven worden onderzocht door de privacywaakhond van het land waar zij hun Europese hoofdkantoor hebben. In totaal heeft DPC momenteel nog elf onderzoeken lopen naar onderdelen van Meta.

De nu opgelegde 390 miljoen euro is voor twee onderzoeken en bestaat dus uit twee delen. De eerste is voor GDPR-schendingen door Meta's Facebook en bedraagt 210 miljoen euro. De tweede is voor GDPR-schendingen door Meta's Instagram en bedraagt 180 miljoen euro. Deze twee onderzoeken naar de dataverwerkingspraktijken van Meta Platforms Ireland Limited zijn nu afgerond, meldt toezichthouder DPC.

Bezorgde Belgische burger

Overigens is alleen de eerstgenoemde zaak aangezwengeld door de internationaal bekende privacy-activist Schrems. De Instagram-kwestie is aanhangig gemaakt door een Belgische burger, blijkt uit de mededeling van de Ierse privacywaakhond. Beide klachten zijn bij de DPC ingediend op 25 mei 2018; de datum dat de Europese databeschermingswet GDPR in werking trad. In de aanloop naar dat moment had Meta Ireland al de gebruiksvoorwaarden voor Facebook en Instagram aangepast.

In december werd al duidelijk dat de kwestie ongunstig kon uitpakken voor Meta. Toen bleek uit een nog vertrouwelijk document van autoriteiten dat Meta binnenkort alleen nog maar gepersonaliseerde advertenties zou mogen tonen als gebruikers toestemming hebben gegeven voor het gebruik van hun gegevens. Destijds schrokken beleggers flink en ging de beurswaarde van Meta hard omlaag. Dit lijkt namelijk een flinke klap voor het verdienmodel van Meta.

Meta gaat in beroep

Meta zei woensdag in een reactie het "zeer oneens" te zijn met de bevindingen van de DPC en in beroep te gaan. "Deze beslissingen voorkomen gerichte of gepersonaliseerde advertenties op ons platform niet", benadrukte het concern wel. "De besluiten hebben alleen betrekking op welke rechtsgrondslag Meta hanteert bij het aanbieden van bepaalde advertenties."