Brysselden 17 april – EDPB antog vid sitt senaste plenarsammanträde ett yttrande efter en begäran enligt artikel 64.2 idataskyddsförordningen från nederländska, norska och Hamburgs dataskyddsmyndigheter. I yttrandet behandlas giltigheten av samtycke till behandling av personuppgifter för beteendebaserad reklam i samband med modeller för samtycke eller betalning som används av stora onlineplattformar.
EDPB:s ordförande Anu Talus sade: ”Onlineplattformar bör ge användarna ett verkligt val när de använder modeller för samtycke eller betalning. De modeller vi har idag kräver vanligtvis att individer antingen ger bort alla sina uppgifter eller betalar. Som ett resultat av detta samtycker de flesta användare till behandlingen för att använda en tjänst, och de förstår inte de fulla konsekvenserna av sina val.”
När det gäller modeller för ”samtycke eller betalning” som genomförs av stora onlineplattformar anser EDPB att det i de flesta fall inte kommer att vara möjligt för dem att uppfylla kraven på giltigt samtycke, om de endast konfronterar användarna med ett val mellan att samtycka till behandling av personuppgifter för beteendemässiga reklamändamål och att betala en avgift.
EDPB anser att endast ett betalt alternativ till tjänster som innebär behandling av personuppgifter för beteendemässiga reklamändamål inte bör vara standardvägen framåt för personuppgiftsansvariga. Vid utveckling av alternativ bör stora onlineplattformar överväga att ge enskilda personer ett ”likvärdigt alternativ” som inte medför betalning av en avgift. Om personuppgiftsansvariga väljer att ta ut en avgift för tillgång till det ”motsvarande alternativet” bör de i hög grad överväga att erbjuda ytterligare ett alternativ. Detta fria alternativ bör vara utan beteendebaserad reklam, t.ex. med en form av reklam som innebär behandling av mindre eller inga personuppgifter. Detta är en särskilt viktig faktor vid bedömningen av giltigt samtycke enligt GDPR.
EDPB betonar att erhållande av samtycke inte befriar den personuppgiftsansvarige från att följa alla de principer som anges i artikel 5 i den allmänna dataskyddsförordningen, såsom ändamålsbegränsning, uppgiftsminimering och rättvisa. Dessutom bör stora onlineplattformar också överväga att följa principerna om nödvändighet och proportionalitet, och de är ansvariga för att visa att deras behandling i allmänhet överensstämmer med den allmänna dataskyddsförordningen.
När det gäller kravet på att samtycke ska vara fritt bör följande kriterier beaktas: villkorlighet, skada, maktobalans och granularitet. EDPB påpekar till exempel att en avgift som tas ut inte kan få enskilda att känna sig tvungna att samtycka. Personuppgiftsansvariga bör från fall till fall bedöma både om en avgift alls är lämplig och vilket belopp som är lämpligt under de givna omständigheterna. Stora onlineplattformar bör också överväga om beslutet att inte ge sitt samtycke kan leda till negativa konsekvenser för individen, såsom uteslutning från en framträdande tjänst, brist på tillgång till professionella nätverk eller risk för att förlora innehåll eller anslutningar. EDPB noterar att negativa konsekvenser sannolikt kommer att uppstå när stora onlineplattformar använder en modell för samtycke eller betalning för att få samtycke till behandlingen.
Personuppgiftsansvariga måste också från fall till fall bedöma om det finns en maktobalans mellan den enskilde och den personuppgiftsansvarige. De faktorer som ska bedömas är bland annat de stora onlineplattformarnas ställning på marknaden, i vilken utsträckning den enskilde förlitar sig på tjänsten och tjänstens huvudsakliga målgrupp.
Dessutom tillhandahåller EDPB faktorer för att bedöma kriterierna för informerat, specifikt och otvetydigt samtycke som stora onlineplattformar bör beakta när de genomför modeller för samtycke eller betalning.
EDPB:s ordförande, Anu Talus, tillägger: ”Kontrollanterna bör alltid se till att den grundläggande rätten till skydd av personuppgifter inte omvandlas till en funktion som enskilda personer måste betala för att åtnjuta. Individer bör göras fullt medvetna om värdet och konsekvenserna av sina val.”
Utöver detta yttrande enligt artikel 64.2 kommer EDPB också att utarbeta riktlinjer för modeller för samtycke eller betalning med ett bredare tillämpningsområde och kommer att samarbeta med berörda parter om dessa kommande riktlinjer.
Redaktörens anteckning:
EDPB ombads att avge detta yttrande enligt artikel 64.2 i dataskyddsförordningen för att ta itu med giltigheten av samtycke i samband med modeller för samtycke eller betalning som används av stora onlineplattformar, när samtycke söks för behandling av personuppgifter för beteendebaserad reklam, även mot bakgrund av EU-domstolens dom i Bundeskartellamt-målet (C-252/21).
Pressmeddelandet som publiceras här har översatts automatiskt från engelska. EDPB garanterar inte att översättningen är korrekt. Vänligen se den officiella texten i den engelska versionen om det finns några tvivel.