Juraprofessorer: Dom over Meta ændrer spillet for store tech-platforme

Ud over de data, som brugeren selv afgiver direkte ved at tilmelde sig eller ved at gøre brug af tjenesterne, indsamler Meta en række yderligere data fra andre virksomheder, som de ejer. Eksempelvis indsamler Facebook data fra Instagram og omvendt.

Hertil kommer, at Meta yderligere kan indsamle data fra virksomheder og tjenester, som de ikke ejer. Det kan blandt andet ske ved at læse de cookies, som webstederne genererer, eller ved at bruge synes godt om-knappen. Meta tilknytter herefter disse data til brugernes profiler for at forbedre Metas annoncevirksomhed. 

EU-Domstolen har nu taget stilling til lovligheden heraf, efter en tysk domstol anmodede EU-Domstolen om at belyse en række spørgsmål om EU-retsreglerne. 

Meta skal vænne sig til en ny virkelighed

Sagens betydning ligger i afklaringerne, for hvornår platforme lovligt kan behandle data til målrettet og adfærdsorienteret annoncering i tilfælde, hvor der ikke er givet et konkret og præcist samtykke.

Facebooks hidtidige antagelser er blevet sønderslået af EU-domstolen som fejlagtige.

Andrej Savin og Jens Fejø
Hhv. professor MSO og professor emeritus, CBS Law

EU-dommen er herved tæt forbundet med reglerne for GDPR, EU-reglerne for persondatabeskyttelse, som først og fremmest er udformet ved GDPR-forordningen.  

Mens lovlig databehandling skal være baseret på en af grundene i artikel seks i GDPR-forordningen, har det været sædvane for platforme at indhente et generisk samtykke, som ville dække en række forskellige situationer.

Det gælder blandt andet for sammenkædning af data fra egne virksomheder og tredje parter eller - i mangel af et sådant samtykke - hvor dets gyldighed kan være problematisk at basere behandlingen på andre grunde fra artikel seks i GDPR-forordningen.

Facebooks foretrukne grundlag for databehandling under GDPR har således i lang tid været samtykke. Indtil for nylig havde Facebook og andre tilsvarende virksomheder kun få udfordringer at bekymre sig om.

Men Meta-dommen er i så henseende en ”game changer”.  

Facebook indsamler følsomme data uden specifikt samtykke

Meta-sagens første væsentlige bidrag vedrører følsomme data. For at sige det enkelt - når Facebook systematisk og nærgående indsamler brugerens oplysninger fra websteder, der ikke er Facebooks websteder, bliver det gjort uden brugerens specifikke samtykke.

Facebook vil have behov for et solidt juridisk grundlag for at kunne indsamle følsomme data.

Andrej Savin og Jens Fejø
Hhv. professor MSO og professor emeritus, CBS Law

Når brugeren efterlader følsomme oplysninger, såsom sundhedsrelaterede, pornografiske eller politiske websteder, på steder, der ellers ikke er relateret til Facebook, har Facebook alligevel benyttet sig af de data, der på denne måde kommer frem. 

Det er vel på den ene side åbenbart, at brugere kan give samtykke til, at disse data kan bruges. På den anden side står imidlertid EU-domstolens centrale konklusion og heri ligger hovedbidraget.

Det kan ikke udledes af den omstændighed, at en bruger ved sit blotte besøg på webstederne eller apps har offentliggjort de personoplysninger om sig selv som bruger i henhold til artikel ni (2)(e) i GDPR-reglerne, som angår personoplysninger, der tydeligvis er offentliggjort af den registrerede. 

Facebooks hidtidige antagelser på dette punkt er dermed blevet sønderslået af EU-domstolen som fejlagtige. I fremtiden vil  Facebook derfor have behov for et solidt juridisk grundlag for at kunne indsamle følsomme data ved eksempelvis et korrekt informeret samtykke.

Dette vil være ganske vanskeligt – måske overhovedet ikke muligt – at opfylde. Det kan med sikkerhed under ingen omstændigheder henføres til det almindelige samtykke i Facebooks nuværende praksis. 

Personlig tilpasning er et kerneelement for Facebook

Det andet store bidrag fra EU-domstolens side kommer i form af begrænsninger, der indføres som følge af en streng fortolkning af et krav om såkaldt nødvendighed.

Brugeren er tvunget til at acceptere alt eller lade være med at bruge tjenesten.

Andrej Savin og Jens Fejø
Hhv. professor MSO og professor emeritus, CBS Law

Det betyder, at databehandling skal være ”nødvendig” for behandlingen - i modsætning til blot at være ønskværdig eller en praktisk ting. 

Præmisser fra dommen er ikke til at misforstå. Hvis Facebook eller en anden dataansvarlig indsamler personoplysninger af nogen art, skal det være, fordi det er uomgængeligt nødvendigt for at kunne opfylde den kontrakt, som bliver indgået med brugeren/forbrugeren.

Det er kontraktens hovedformål, som på gør det nødvendigt.

Det er ikke blot, at kontrakten måske bliver bedre opfyldt, end hvis der ikke sker indsamling af sådanne oplysninger. Ej heller er indsamling af sådanne oplysninger tilladt, fordi det måske ville gøre det muligt at betjene brugeren med mere anvendelige løsninger. 

EU-domstolen går imidlertid endnu mere til stålet, når den behandler en personlig tilpasning af brugerens forhold. EU-domstolen siger i bund og grund, at personlig tilpasning ikke er dækket af regelmæssig kontraktlig opfyldelse.

I stedet skal en sådan tilpasning enten være dækket af et specifikt, informeret samtykke eller falde ind under et af de andre og lige så usandsynlige grundlag.

Det er nok ikke nødvendigt på nuværende tidspunkt at minde læseren om, at personlig tilpasning udgør det absolutte kerneelementet i Facebooks forretningsmodel. 

Brugerens interesser vejer tungere end Facebooks

Der er imidlertid nogle af Facebooks interesser, som bliver anerkendt af EU-domstolen. GDPR tillader behandling med henblik på den dataansvarliges – som i dette tilfælde er Facebooks - eller en tredjeparts ”legitime interesser”.

Men disse interesser kan tilsidesættes af de grundlæggende rettigheder og friheder for den registrerede og især for børn. 

Der er ny lovregulering på vej i både EU-regi og andre EU-domme, som supplerer Meta-dommen. 

Andrej Savin og Jens Fejø
Hhv. professor MSO og professor emeritus, CBS Law

EU-domstolen siger, at databehandling af en uvidende bruger, der handler i god tro og ikke er opmærksom på de mange indviklede måder, som data kan indsamles eller sammenkobles på, er ulovlig.

Behandlingen af sådanne data skal nemlig være ”strengt nødvendigt for at gennemføre denne legitime interesse” for at være lovlig.  

Man kunne vel så stille det spørgsmål, om Facebooks økonomiske interesser og dets annoncebaserede forretningsmodel ikke udgør sådanne legitime interesser? Også her er der klar tale fra EU-domstolen - brugerens beskyttelsesværdige interesser skal respekteres og går forud for Facebooks interesser. 

Brugeren har et valg

Der kræves med andre ord også samtykke, når det gælder et gyldigt samtykke. Hvad ved vi så om det? Springer vi uden for EU-domstolens analyser, ser virkelighedens verden således ud, når man ønsker at være på Facebook:

Man stilles over for 13 sider med generelle vilkår og betingelser, 91 sider med vilkår for beskyttelse af personlige oplysninger, otte sider med Facebook-fællesskabsstandarder og utallige andre undersider med yderligere forklaringer, sikkerhedsfunktioner, tilsyn, håndhævelse og lignende.

Langt størstedelen af Metas nuværende forretningspraksis er retsstridig.

Andrej Savin og Jens Fejø
Hhv. professor MSO og professor emeritus, CBS Law

Selv højtuddannede jurister ville have ganske svært ved at kæmpe sig gennem dette hav af information og endnu flere vanskeligheder med at forstå forskellige sammenhænge, krydsreferencer og deres betydning, rækkevidde og konsekvenser. 

EU-domstolen indleder med at fastslå, at den omstændighed, at ”en operatør af et socialt online-netværk som dataansvarlig har en dominerende stilling på markedet for sociale online-netværk, ganske vist ikke som sådan er til hinder for, at brugerne af dette sociale netværk gyldigt kan give samtykke (…) til denne operatørs behandling af deres personoplysninger”.

Men, ”der skal tages hensyn” til den dominerende stilling ved vurderingen af, om samtykke er givet gyldigt og frit, da brugeren muligvis ikke kan afslå at give et sådant samtykke.

Det skal ikke betyde, at der består en take it or leave it-tilgang, hvor brugeren er tvunget til enten at acceptere alt eller må lade være med at bruge tjenesten, som trods alt er kommerciel og ikke obligatorisk.

EU-domstolen fremhæver herved netop valgmuligheden for brugerne. 

Metas praksis skader brugeren

Nærværende sag, som i væsentlig grad præciserer GDPR-lovens bestemmelser om lovlig, systematisk indsamling og behandling af personfølsomme oplysninger, føjer sig ind i en flerhed af retlige normer for virksomhedernes håndtering af sådanne oplysninger.

Meta-dommen kan ikke i sig selv rette op på skaden. Der må foretages mange foranstaltninger på EU- og nationalt plan.  

Andrej Savin og Jens Fejø
Hhv. professor MSO og professor emeritus, CBS Law

Der er således ny lovregulering på vej i både EU-regi og andre EU-domme, som supplerer Meta-dommen. 

Men med lysende flammeskrift har EU-domstolen nu kridtet banen op og gjort kernen ganske klar.

Dommen er uomgængelig, når fremtidens administrative og judicielle myndigheder i EU-medlemslandene skal bedømme tilsvarende konfliktspørgsmål, og også EU-medlemslandenes lovgivningsorganer er omfattet af dommens retningslinjer.

Det ville være misvisende at se situationen anderledes, end at EU-domstolens budskab kan ses som udtryk for den holdning, at Meta – som en profitvirksomhed, der gør sit bedste for at navigere rundt i EU-reglerne for at maksimere sin profit, – gør dette til skade for brugerne.

Meta-dommen kan dog ikke i sig selv rette op på denne skade, og der må foretages mange håndhævelsesforanstaltninger på EU- og nationalt plan.  

Én ting forekommer dog allerede på nuværende tidspunkt sikkert. Langt størstedelen af den nuværende forretningspraksis for Meta og lignende platforme er retsstridig.