Bij het inschatten of een bedrijf het mededingingsrecht schendt, mag je ook overtreding van de AVG meewegen. Dat besliste het Hof van Justitie onlangs (via) in een zaak van de Duitse mededingingswaakhond tegen Meta, née Facebook. Meta dwong toestemming af voor “off-platform” verzamelen van persoonsgegevens van gebruikers, en omdat dat een overtreding van de AVG was, vond de toezichthouder dit een misbruik van machtspositie. Het Hof bevestigt deze redenering.
Het Hof legt uit (zaak C-252/21) hoe Facebook te werk gaat:
Sinds 2019 staat in de algemene voorwaarden dat je hier allemaal “uitdrukkelijk toestemming” voor geeft. De AVG-deskundigen hoor ik nu al snuiven, dit is inderdaad niet helemaal hoe het werkt.Het bedrijfsmodel van het online sociale netwerk Facebook is erop gebaseerd inkomsten te verwerven met onlinereclame die specifiek op de individuele gebruikers van het online sociale netwerk is toegesneden doordat zij is afgestemd op met name hun consumentengedrag, interesse, koopkracht en persoonlijke omstandigheden. Technisch wordt dat mogelijk gemaakt door van de gebruikers van het netwerk alsook van de gebruikers van de onlinediensten die op het niveau van het Metaconcern worden aangeboden, automatisch gedetailleerde profielen op te stellen. Naast de gegevens die deze gebruikers rechtstreeks bij de registratie voor de betrokken onlinediensten verstrekken, worden daartoe, zowel binnen als buiten dit online sociale netwerk en de door het Metaconcern aangeboden onlinediensten, ook andere gegevens over deze gebruikers en hun apparatuur verzameld en gekoppeld aan hun verschillende gebruikersaccounts. Uit al deze gegevens bij elkaar kunnen gedetailleerde conclusies worden getrokken over de voorkeuren en interesse van deze gebruikers.
Het was echter de Duitse markt-toezichthouder (Bundeskartellamt) die hiertegen in het geweer kwam, en niet de AVG-toezichthouder. Het Bka had daarbij de stelling ingenomen dat wat Facebook doet, in feite een misbruik van haar machtspositie is. Ze dwingt af dat je toestemming geeft én gaat vervolgens van alles doen met je gegevens, terwijl je in de praktijk hier als consument niets tegen kunt doen.
Facebook, of beter gezegd moederconcern Meta, had daar het principiële bezwaar tegen dat de Bka niet gaat over AVG handhaving. Altijd leuk bij de overheid: dat is niet uw loket. Maar het Hof van Justitie ziet daar geen probleem in, want wat het Bka doet is handhaven van de mededingingswet en daarbij alleen de omstandigheid meenemen dat de AVG wordt overtreden. Dat is juridisch iets anders dan Meta aanspreken op overtreding van de AVG, want inderdaad dát mag het Bka niet.
In dit verband kan de verenigbaarheid dan wel de onverenigbaarheid van een dergelijk gedrag met de AVG eventueel – als een van de relevante omstandigheden van het geval – een belangrijke aanwijzing vormen om vast te stellen of dit gedrag bestaat in het aanwenden van middelen die passen in het kader van de normale mededinging, en om de gevolgen van een bepaalde praktijk op de markt of de gevolgen voor de consumenten te beoordelen. (…) Hieruit volgt dat de mededingingsautoriteit van de betrokken lidstaat bij het onderzoek naar de vraag of een onderneming op een bepaalde markt misbruik maakt van een machtspositie, genoodzaakt kan zijn om ook na te gaan of het gedrag van die onderneming in overeenstemming is met andere normen dan die van het mededingingsrecht, zoals de regels van de AVG inzake de bescherming van persoonsgegevens.Uiteraard is daarmee niet direct iedere AVG-overtreding mede een schending van de mededingingswet. Daarvoor moet de overtreding ervoor zorgen dat de concurrentie op de vrije markt wordt verstoord. En als de mededingingshandhaver de AVG inzet als argument, moet ze overleggen en afstemmen met de AVG toezichthouder. Dat was hier geen probleem.
Minstens zo belangrijk is het antwoord op een vervolgvraag: kan Meta zich bij de verwerking beroepen op de grond “eigen gerechtvaardigd belang”? Dat zóu kunnen zegt het Hof, want “direct marketing” (zoals gepersonaliseerde reclame) is in principe een dergelijk belang, maar dan moet er wel een stevige belangenafweging bij komen:
[Vereist is dat] deze verwerking binnen de grenzen blijft van hetgeen voor de behartiging van dat belang strikt noodzakelijk is en indien uit een afweging van de tegengestelde belangen in het licht van alle relevante omstandigheden blijkt dat de belangen of grondrechten en fundamentele vrijheden van die gebruikers niet zwaarder wegen dan dit gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde.De beoordeling van deze vraag moet de lokale rechter doen, maar de hint is wel heel duidelijk dat dit niet eenvoudig zal zijn.
Arnoud
Volgens mij ligt het allemaal veel genuanceerder dan hier wordt voorgespiegeld. En bij een belangrijk arrest als dit is de nuance belangrijk. Er stond helemaal niet in de voorwaarden dat gebruikers “uitdrukkelijk toestemming” gaven. Zie daarover voetnoot 9 van de Opinie.
Daarnaast zegt het Hof volgens mij juist dat het BKA vanwege de One Stop Shop eerst naar de Ierse gegevensbeschermingsautoriteit moet gaan. En dat is natuurlijk volstrekt logisch. Pas als ze in samenspraak eens zijn over de interpretatie van de AVG, mag de BKA via mededingingsrecht handhaven.
Als je concurrent dus de kantjes van het privaatrecht er van afloopt en daarmee scherper kan offreren, moet je je tot de NMa wenden, en niet tot de AP, want bij die laatste ben je als niet-betrokkene geen belanghebbende. Check.
De NMa kan alleen iets doen als die concurrent een aanzienlijke marktmacht heeft. Maat er zijn ook andere controle-instanties die iets kunnen doen; politie en FIOD staan ook niet machteloos.