Facebook moet een bedrag van 500 euro betalen aan Max Schrems voor de emotionele schade die het sociale netwerk bij hem heeft veroorzaakt. Daarnaast moet het bedrijf stoppen met het verwerken van data van de Oostenrijkse privacyactivist en hem alsnog inzicht geven in alle data dat het platform van hem verzameld heeft. Hert ergste vindt Schrems dat Facebook de Europese privacywetgeving omzeilt met zijn algemene voorwaarden. Om hier een stokje voor te steken gaat hij in hoger beroep tegen de uitspraak van het Weense hooggerechtshof. Dat schrijft Schrems op de website van zijn privacyvereniging Noyb.
Max Schrems is al jaren verwikkeld in een juridische strijd met Facebook. De privacyactivist uit Oostenrijk heeft herhaaldelijk een verzoek ingediend om inzicht te krijgen in de data die Facebook van hem heeft verzameld door de jaren. Via de website van het sociale netwerk is het mogelijk om met een tool een kopie van de gebruikersdata die Facebook in bezit heeft te downloaden. Daarbij gaat het om algemene profielinformatie, foto’s en video’s die iemand heeft gedeeld, de berichten die hij heeft geplaatst en geliket, en ga zo maar door.
Volgens Schrems is dit echter maar het topje van de ijsberg en houdt Facebook informatie achter. Zo is het onduidelijk met welke bedrijven Facebook gebruikersdata deelt, en van welke bedrijven Facebook gegevens ontvangt. De privacyvoorvechter claimt dat de onduidelijkheid en onzekerheid welke bedrijven toegang hebben tot zijn informatie voor emotionele schade hebben gezorgd. Hij eiste daarom een symbolisch bedrag van 500 euro.
Het hooggerechtshof acht bewezen dat Schrems emotionele schade heeft opgelopen door de handelswijze van Facebook. Het platform moet daarom de schadevergoeding van 500 euro aan de privacyactivist betalen. Ook oordeelt de rechter dat Facebook moet stoppen met het verwerken data van de Oostenrijker en hem alsnog volledig inzicht moet geven met welke bedrijven het sociale netwerk data ontvangt en deelt.
Schrems is blij met het vonnis. “Het is duidelijk dat Facebook de relevante informatie feitelijk niet verstrekt. Ik ben blij te zien dat de rechtbank ook schadevergoeding heeft toegestaan voor dergelijke gevallen, waarin bedrijven de gebruikers consequent het recht ontzeggen om te weten welke gegevens een bedrijf over hen bewaart.”
Maar daarmee is de kous niet af. In zijn aanklacht schreef Schrems dat Facebook geen toestemming heeft om data van gebruikers te verzamelen. Sinds de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) in mei 2018 is dit verplicht. Facebook meent dat als gebruikers akkoord gaan met de algemene gebruikersvoorwaarden, zei een contract tekenen dat ze het goed vinden dat het bedrijf data verzamelt en deelt met derde partijen.
Algemene voorwaarden voldoen volgens Schrems echter niet aan de voorwaarden die voor een civielrechtelijk contract gelden. Facebook vergaart en deelt om in zijn ogen dan ook onrechtmatig gebruikersgegevens. Nog erger: op deze manier omzeilt Facebook de AVG, waarin staat dat expliciete instemming is vereist om persoonsgegevens te verzamelen. Uit een enquête van Noyb onder duizend Facebook-gebruikers blijkt dat slechts 1,6 procent begrijpt dat ze een ‘contract’ met Facebook hebben getekend. De European Data Protection Board (EDPB) heeft nadrukkelijk gezegd dat er niet zoiets bestaat als een ‘contract voor gegevensgebruik’: daarvoor is instemming vereist.
De Weense rechtbank deelt de mening van Schrems niet. Volgens hem zijn de algemene voorwaarden goed en helder uitgelegd. Het contract en de dataverzamelingspraktijken van Facebook zijn zodoende niet onrechtmatig. Het Amerikaanse techbedrijf gebruikt deze data om geld te verdienen en het platform te onderhouden. Het is dus noodzakelijk dat Facebook data verwerkt, zoals bedoeld binnen de context van de AVG.
“De Oostenrijkse rechtbank staat toe dat Facebook de nieuwe AVG-vereisten omzeilt”, meent Schrems. “Facebook heeft de ‘toestemming’ gewoon in een ander document gekopieerd in de nacht dat de AVG van kracht werd en stelt dat dit een contract zou zijn, geen toestemming. Dit zou tot gevolg hebben, dat de Europeanen hun nieuwe bescherming zouden worden ontnomen. Facebook maakt duidelijk misbruik van de wet en dit kan niet worden getolereerd.”
De privacyactivist vindt dat het hooggerechtshof onvoldoende heeft gekeken naar de eventuele problemen die kunnen ontstaan als gevolg van deze uitspraak. Hoewel Schrems deels in het gelijk is gesteld, gaat hij toch in hoger beroep tegen het vonnis. Op de website van de door hem opgerichte privacyvereniging Noyb schrijft hij het volgende:
“Het lijkt erop dat het Hof zich niet echt heeft verdiept in veel van de problemen die deze zaak oproept. We zullen duidelijk proberen om deze zaak helemaal tot aan de hoogste rechterlijke instanties te brengen. In het voorjaar van 2021 zou er een verwijzing naar het Hof van Justitie kunnen komen over de kernvragen. Als de sector gewoon een regel aan zijn voorwaarden mag toevoegen, om de toestemmingsvereisten van de GDPR te omzeilen, kunnen we grote delen van de GDPR versnipperen.”
