Brussel, 17 april — Tijdens zijn laatste plenaire vergadering heeft de EDPB een advies goedgekeurd naar aanleiding van een verzoek van de Nederlandse, Noorse en Hamburgse gegevensbeschermingsautoriteiten (DPA) op grond van artikel 64, lid 2, AVG. In het advies wordt ingegaan op de geldigheid van de toestemming om persoonsgegevens te verwerken ten behoeve van gedragsreclame in het kader van „toestemmings- of beloningsmodellen” die door grote onlineplatforms worden gebruikt.
EDPB-voorzitter Anu Talus zei: „Onlineplatforms moeten gebruikers een echte keuze geven bij het gebruik van „toestemmings- of betaalmodellen”. De modellen die we vandaag hebben meestal vereisen individuen om ofwel weg te geven al hun gegevens of om te betalen. Als gevolg hiervan geven de meeste gebruikers toestemming voor de verwerking om een dienst te gebruiken en begrijpen ze de volledige implicaties van hun keuzes niet.”
Met betrekking tot „toestemmings- of beloningsmodellen” die door grote onlineplatforms worden uitgevoerd, is de EDPB van mening dat het in de meeste gevallen niet mogelijk zal zijn om te voldoen aan de vereisten voor geldige toestemming, indien zij gebruikers alleen confronteren met een keuze tussen toestemming voor verwerking van persoonsgegevens voor reclamedoeleinden op gedragsbasis en betaling van een vergoeding.
De EDPB is van mening dat het aanbieden van alleen een betaald alternatief voor diensten waarbij persoonsgegevens voor reclamedoeleinden worden verwerkt, niet de standaardmethode voor verwerkingsverantwoordelijken mag zijn. Bij de ontwikkeling van alternatieven moeten grote onlineplatforms overwegen personen een „gelijkwaardig alternatief” te bieden dat geen vergoeding met zich meebrengt. Als verwerkingsverantwoordelijken ervoor kiezen om een vergoeding in rekening te brengen voor toegang tot het „gelijkwaardige alternatief”, moeten zij aanzienlijk overwegen een aanvullend alternatief aan te bieden. Dit gratis alternatief moet zijn zonder gedragsreclame, bijvoorbeeld met een vorm van reclame waarbij minder of geen persoonsgegevens worden verwerkt. Dit is een bijzonder belangrijke factor bij de beoordeling van geldige toestemming in het kader van de AVG.
De EDPB benadrukt dat het verkrijgen van toestemming de verwerkingsverantwoordelijke niet vrijstelt van naleving van alle in artikel 5 AVG uiteengezette beginselen, zoals doelbinding, gegevensminimalisering en billijkheid. Daarnaast moeten grote onlineplatforms ook rekening houden met de naleving van de beginselen van noodzakelijkheid en evenredigheid, en zij zijn verantwoordelijk voor het aantonen dat de verwerking ervan in het algemeen in overeenstemming is met de AVG.
Wat de noodzaak van vrije toestemmingbetreft, moet rekening worden gehouden met de volgende criteria: conditionaliteit, nadeel, machtsevenwicht en granulariteit. De EDPB wijst er bijvoorbeeld op dat de in rekening gebrachte vergoedingen niet ertoe kunnen leiden dat personen zich gedwongen voelen om toestemming te verlenen. De verwerkingsverantwoordelijken moeten per geval beoordelen of een vergoeding überhaupt passend is en welk bedrag in de gegeven omstandigheden passend is. Grote onlineplatforms moeten ook nagaan of het besluit om geen toestemming te geven, kan leiden tot negatieve gevolgen, zoals uitsluiting van een prominente dienst, gebrek aan toegang tot professionele netwerken of risico op verlies van inhoud of verbindingen. De EDPB merkt op dat er waarschijnlijk negatieve gevolgen zullen optreden wanneer grote onlineplatforms een „toestemmings- of beloningsmodel” gebruiken om toestemming voor de verwerking te verkrijgen.
Controllers moeten ook van geval tot geval beoordelen of er sprake is van een machtsevenwicht tussen het individu en de controller. De te beoordelen factoren zijn onder meer de positie van de grote onlineplatforms op de markt, de mate waarin de persoon afhankelijk is van de dienst en het belangrijkste publiek van de dienst.
Voorts biedt het EDPB elementen ter beoordeling van de criteria van geïnformeerde, specifieke en ondubbelzinnige toestemming waarmee grote onlineplatforms rekening moeten houden bij de toepassing van modellen voor toestemming of betaling.
EDPB-voorzitter Anu Talus voegt hieraan toe: „Verwerkingsverantwoordelijken moeten er te allen tijde voor zorgen dat het fundamentele recht op gegevensbescherming niet wordt omgezet in een functie die individuen moeten betalen om te kunnen genieten. Individuen moeten volledig bewust worden gemaakt van de waarde en de gevolgen van hun keuzes.”
Naast dit advies uit hoofde van artikel 64, lid 2, zal het EDPB ook richtsnoeren ontwikkelen voor „toestemmings- of beloningsmodellen” met een breder toepassingsgebied en zal het met belanghebbenden overleggen over deze komende richtsnoeren.
Noot van de redactie:
De EDPB werd verzocht dit advies uit te brengen op grond van artikel 64, lid 2, AVG om de geldigheid van toestemming in de context van „toestemmings- of beloningsmodellen” die door grote onlineplatforms worden gebruikt, te beoordelen wanneer toestemming wordt gevraagd om persoonsgegevens te verwerken met het oog op reclame op gedrag, mede in het licht van het arrest van het Bundeskartellamt van de Europese Unie (C-252/21).
Het hier gepubliceerde persbericht is automatisch uit het Engels vertaald. De EDPB garandeert de juistheid van de vertaling niet. Raadpleeg de officiële tekst in de Engelse versie als er enige twijfel bestaat.