1/13
Geschillenkamer
Beslissing 29/2023 van 17 maart 2023
Dossiernummer: DOS-2021-02144
Betreft: Klacht tegen META PLATFORMS IRELAND LIMITED (voorheen FACEBOOK IRELAND LIMITED)
De Geschillenkamer van de Gegevensbeschermingsautoriteit (hierna “GBA”), samengesteld uit de
heer Hielke HIJMANS, alleenzetelend voorzitter;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Gelet op het finaal besluit van de Ierse toezichthoudende autoriteit (Data Protection Commission,
hierna DPC) van 25 november 2022 (hierna “het Besluit van de DPC”);
Heeft de volgende beslissing genomen tegen:
De verweerder: META PLATFORMS TECHNOLOGIES IRELAND LIMITED (hierna MPIL), met
maatschappelijke zetel te 4 Grand Canal Square, Grand Canal Harbour, Dublin
2, Ierland, met ondernemingsnummer 0599.904.022, hierna “de verweerder”
Beslissing 29/2023 – 2/13
I. Feiten en procedure
1. Het voorwerp van de klacht betreft een vermeende datalek bij MPIL (voormalig FACEBOOK
IRELAND LIMITED). In april 2021 werd namelijk in verschillende media wereldwijd gemeld dat
een gescrapete dataset van persoonsgegevens van FACEBOOK-gebruikers op internet
beschikbaar was gesteld. Deze dataset zou persoonsgegevens bevatten van ongeveer
533 miljoen FACEBOOK-gebruikers wereldwijd.
2. Op 7 april 2021 besluit de GBA Belgische burgers op te roepen om op de website
https://benikerbij.be na te gaan of hun persoonsgegevens deel uitmaken van de op internet
vrijgemaakte gegevens en desgevallend een klacht neer te leggen bij de GBA.
3. Tussen 5 april 2021 en 18 mei 2021 worden 1.113 klachten neergelegd bij de
Eerstelijnsdienst van de GBA met betrekking tot de ‘data scraping’.
4. Op 14 april 2021 besluit de DPC om op grond van artikel 110(1) van de Ierse Data Protection
Act 2018 1, een onderzoek uit eigen beweging — “Own Volition Inquiry” — te starten teneinde
te bepalen of MPIL als verwerkingsverantwoordelijke had voldaan aan haar verplichtingen
in verband met de verwerking van persoonsgegevens van haar gebruikers door middel van
de functionaliteiten FACEBOOK Search, FACEBOOK Contact Importer, MESSENGER Contact
Importer en INSTAGRAM Contact Importer van haar dienst, en of MPIL in dit verband enige
bepaling(en) van de AVG dan wel van de Data Protection Act 2018 had geschonden.
5. Op 24 mei 2021 en 14 juni 2021 worden de Belgische betrokkenen per e-mail in kennis
gesteld van de vooruitgang van deze zaak.
6. Op 10 juni 2021 deelt de DPC via IMI een stand van zaken over de vooruitgang van hun
onderzoek. De DPC laat onder andere weten dat zij een standaardbrief ter beschikking zal
stellen aan de betrokken toezichthoudende autoriteiten, waarbij de klagers geïnformeerd
worden dat de uitkomst van hun klacht zal afhangen van het lopend onderzoek door de DPC.
7. Op 29 juli 2021 wordt de Ierse DPC via het Europees samenwerkingsplatform IMI in kennis
gesteld van het bestaan van klachten neergelegd bij de GBA betreffende de door de DPC
onderzochte gebeurtenissen.
8. Op 15 februari 2022 bevestigt de DPC aan de GBA dat het onderzoek naar de toepassing
van de AVG op de totstandkoming van de omstreden dataset wordt voortgezet als een
onderzoek uit eigen beweging door de Ierse toezichthoudende autoriteit. Aangezien dit een
onderzoek is dat aanzienlijke gevolgen heeft of kan hebben voor betrokkenen in meer dan
één lidstaat, zal het leiden tot de voorlegging van een ontwerpbesluit aan de andere
1
De Commissie kan een onderzoek instellen naar vermeende inbreuken op het relevante wettelijk voorschrift
110. (1) De Commissie kan, teneinde vast te stellen of zich een inbreuk heeft voorgedaan of voordoet, hetzij uit hoofde van
artikel 109(5)(e), artikel 113(2), of uit eigen beweging een onderzoek laten instellen dat zij daartoe geschikt acht.
(eigen vertaling)
Beslissing 29/2023 – 3/13
betrokken toezichthoudende autoriteiten, waaronder de Belgische toezichthoudende
autoriteit, overeenkomstig artikel 60 van de AVG.
9. Op 30 september 2022 stelt de DPC in overeenstemming met artikel 60.3 AVG haar
ontwerpbesluit ter beschikking van de andere toezichthoudende autoriteiten, waaronder
ook de GBA, op IMI. De betrokken toezichthoudende autoriteiten krijgen tot 28 oktober
2021 de tijd om hun relevante en gemotiveerde bezwaren dan wel opmerkingen
desgevallend mede te delen aan de DPC.
10. Op 27 en 28 oktober 2022 delen de Nederlandse, de Franse, de Belgische en de Poolse
toezichthoudende autoriteiten hun opmerkingen mee aan de DPC. De GBA stelt de DPC
vooreerst in kennis van haar standpunt dat de data scraping als een inbreuk in verband met
persoonsgegevens beschouwd moet worden. Tevens wordt de DPC verzocht toelichting te
verschaffen omtrent het ontbreken van een verwijzing in het ontwerpbesluit naar de plicht
van MPIL om desgevallend zowel de bevoegde toezichthoudende autoriteiten als de
betrokken gebruikers in te lichten van de gegevenslek, overeenkomstig artikelen 33 en 34
AVG. Tenslotte stelt de GBA dat zij het oneens is met het besluit van de DPC dat MPIL ten
tijde van de beslissing om de standaardzoekbaarheidsinstelling op "Iedereen" te
configureren, niet bewust was van de gevolgen van deze wijziging. Volgens de GBA had
MPIL immers doelbewust geopteerd voor een standaardinstelling waarbij de
telefoonnummers en e-mailadressen doorzoekbaar en dus toegankelijk zouden zijn voor
een onbepaald aantal natuurlijke personen (hetzij direct, door middel van handmatige
bevraging, hetzij indirect, door geautomatiseerde bevraging), met inbegrip van derden voor
wie de eigenaars van de opgezochte telefoonnummers en e-mailadressen nog niet gekend
waren.
11. Bij gebrek aan een formeel relevant en gemotiveerd bezwaar van de betrokken
toezichthoudende autoriteiten tegen het ontwerpbesluit, op basis van artikel 60.4 van de
AVG, neemt de DPC op 25 november 2022 haar finaal besluit aan. Tevens stuurt de DPC een
memo naar de vier betrokken toezichthoudende autoriteiten die opmerkingen hadden
ingediend, om de hierin opgeworpen vragen te beantwoorden en te verduidelijken.
Beslissing 29/2023 – 4/13
II. Finaal besluit van de DPC d.d. 25 november 20222
12. Volgens de DPC had de zaak betrekking op de naleving door MPIL van het beginsel van
gegevensbescherming door ontwerp en door standaardinstellingen, zoals vervat in
artikel 25 AVG, in het kader van de ontwikkeling en aanbieding van de FACEBOOK Contact
Importer, MESSENGER Contact Importer, INSTAGRAM Contact Importer, MESSENGER Search en
diens variant MESSENGER Contact Creator zoekfunctionaliteiten (hierna “de omstreden
functionaliteiten”)3.
13. Bijgevolg onderzocht de DPC in welke mate MPIL artikel 25.1 en 25.2 AVG niet is
nagekomen met betrekking tot de integratie evenals de doeltreffendheid van de technische
en organisatorische maatregelen die gedurende de periode tussen 25 mei 2018 en
september 2019 zijn getroffen4. Het onderzoek omvatte eveneens de inachtneming van het
ontwerp, de evolutie, de verdere ontwikkeling en de invoering van de omstreden
functionaliteiten, vermits MPIL zowel vóór als tijdens de bovenvermelde periode duidelijk
gevallen van massale scraping-activiteiten met bijbehorende bot- en
nepaccountactiviteiten in meerdere producten of functionaliteiten had vastgesteld5.
14. Uit dit onderzoek door de DPC bleek vooreerst dat MPIL de omstreden functionaliteiten had
ontworpen om gebruikers in staat te stellen profielen te vinden van andere gekende
gebruikers. Concreet konden gebruikers telefoonnummers en e-mailadressen invoeren in
het zoekveld, waarbij FACEBOOK de namen en UID's6 als resultaat weergaf. Deze context
stelde echter ook onbekende derden in staat om willekeurige reeksen nummers en tekst in
te voeren. Voor zover die willekeurige reeksen overeenkwamen met het telefoonnummer of
e-mailadres van een bestaande FACEBOOK-gebruiker, konden de onbekenden zodoende de
identiteit alsmede alle openbare gegevens die de opgezochte gebruikers op hun profiel
hadden geplaatst, vervolgens koppelen aan dat ingegeven nummer of e-mailadres7.
15. MPIL verklaarde dat deze functionaliteit beperkt bleef tot FACEBOOK- en INSTAGRAM-
gebruikers wiens zoekbaarheidsinstelling toeliet dat anderen hen konden zoeken via hun
telefoonnummer of e-mailadres. Uit het onderzoek van de DPC bleek echter dat deze
instelling voor elke gebruiker standaard zo was ingesteld dat elke andere FACEBOOK-
gebruiker hem of haar kon vinden, weliswaar met de mogelijkheid voor elke gebruiker om
deze instelling eigenhandig uit te schakelen8.
2
Decision IN-21-4-2 d.d. 25 November 2022 of the Data Protection Commission, made pursuant to Section 111 of the Data
Protection Act 2018 and Article 60 of the GDPR in the matter of Meta Platforms Ireland Ltd. (formerly Facebook Ireland Ltd.).
3
Randnrs. 39 en 44 van het Besluit van de DPC.
4
Randnr. 37 van het Besluit van de DPC.
5
Randnr. 46 van het Besluit van de DPC.
6
“Unique User Identifiers”, vrij te vertalen als “unieke gebruikersidentificatoren”.
7
Randnrs. 58 en 60 van het Besluit van de DPC.
8
Randnr. 59 van het Besluit van de DPC.
Beslissing 29/2023 – 5/13
16. Gelet op het gegeven dat de zaak een groot sociale-mediaplatform betrof, concludeerde de
DPC dat de omvang van de omstreden verwerking, waardoor het risico ontstond dat
telefoonnummers en e-mailadressen werden gescrapet en gekoppeld aan de identiteit van
de eigenaar, ruim was. Daarenboven verhoogden de standaardinstellingen het risico van
scraping, aangezien de kans groter was dat willekeurige nummers en e-mailadressen
zouden resulteren in een overeenkomst met een bestaande FACEBOOK-gebruiker9.
17. De DPC benadrukte dat er bij de naleving van de vereisten van artikel 25 AVG in eerste
instantie moet worden nagegaan welke risico's een schending van de voornoemde bepaling
inhoudt voor de rechten van de betrokkenen. Hierbij moet in het bijzonder rekening worden
gehouden met de waarschijnlijkheid en de ernst van die risico's en er moeten maatregelen
worden genomen om die risico's doeltreffend te beperken10.
18. Dienaangaande weerlegde de DPC de verweermiddelen opgeworpen door MPIL, en met
name dat de gescrapete persoonsgegevens enkel minimale risico’s met zich meebrengen
omwille van hun aard alsook omdat zij reeds door de betrokkenen op FACEBOOK openbaar
waren gemaakt. Het loutere feit dat sommige persoonsgegevens op een individueel
FACEBOOK-profiel dan wel elders beschikbaar zijn, doet op zich niets af aan het risico dat
verbonden is aan de openbaarmaking van die persoonsgegevens, namelijk de mogelijkheid
om een zeer gedetailleerd profiel van de gebruiker aan te leggen11. Tot slot verwierp de DPC
het argument dat er bij gebrek aan bewezen gebruik van de online gepubliceerde datasets,
geen sprake zou zijn van een risico voor de rechten van de betrokkenen 12.
19. MPIL benadrukte tijdens het onderzoek dat de technische en organisatorische maatregelen
die gedurende de gehele periode van toepassing waren, weldegelijk passend en
doeltreffend waren, waren geïntegreerd in de omstreden functionaliteiten en aan de stand
van de techniek beantwoordden. Tevens poneerde MPIL dat er bij het in aanmerking nemen
van de aard, de omvang, de context en het doel van de verwerking, alsmede van de qua
waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van
natuurlijke personen welke aan de verwerking zijn verbonden, ook ten volle rekening moet
worden gehouden met:
a. de voordelen van de omstreden functionaliteiten voor de gebruikers en het belang
ervan voor het hoofddoel van FACEBOOK;
9
Randnr. 60 van het Besluit van de DPC.
10
Randnr. 66 van het Besluit van de DPC.
11
Randnrs. 71 en 73 van het Besluit van de DPC.
12
Randnr. 79 van het Besluit van de DPC.
Beslissing 29/2023 – 6/13
b. de privacy-instellingen waarmee gebruikers konden bepalen wie naar hen kon
zoeken aan de hand van hun telefoonnummer of wie informatie in hun profiel kon
bekijken; en
c. het ontbreken van enige stand van de techniek op het gebied van de meest
geavanceerde controles waarmee het scrapen van de omstreden functionaliteiten
volledig kon worden voorkomen, zonder dat voor gewone gebruikers eveneens
nuttige functionaliteiten werden uitgeschakeld13.
20. Bij gebrek aan bewijs dat MPIL passende risicobeoordelingen had uitgevoerd, hoewel het
duidelijk was dat de omstreden functionaliteiten risico’s zouden opleveren met betrekking
tot een aantal van de gegevensbeschermingsbeginselen onder artikel 5 AVG, besloot de
DPC om de risico’s van misbruik van de omstreden functionaliteiten door kwaadwillende
spelers nader te onderzoeken.
21. Een van deze risico’s heeft betrekking op het beginsel van doelbinding voorgeschreven door
artikel 5.1.b) AVG, vanwege de mogelijkheid dat telefoonnummers, e-mailadressen en
andere persoonsgegevens van FACEBOOK-gebruikers worden verwerkt op een wijze die
onverenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn
verzameld14.
22. Verder stelt de DPC vast dat de omstreden functionaliteiten een risico teweeg brengen van
ongeoorloofde toegang tot de telefoonnummers en e-mailadressen van FACEBOOK-
gebruikers, en bijgevolg mogelijks het integriteit- en vertrouwelijkheidsbeginsel onder
artikel 5.1.f AVG overtreden15. De doorzoekbaarheidsinstellingen zijn immers bedoeld om de
profielen van gebruikers vindbaar te maken wanneer een andere gebruiker reeds beschikt
over het telefoonnummer of e-mailadres van een gebruiker, maar ze zijn niet bedoeld om
vreemden in staat te stellen de contactgegevens van identificeerbare FACEBOOK-gebruikers
te vinden, noch zijn ze bedoeld om persoonsgegevens te scrapen op het internet.
23. Eveneens bestaat het risico dat de omstreden functionaliteiten het beginsel van minimale
gegevensverwerking onder artikel 5.1.c) AVG in gevaar brengen. Dit beginsel vereist dat
persoonsgegevens toereikend, ter zake dienend en beperkt zijn tot hetgeen noodzakelijk is
in verband met de doeleinden waarvoor zij worden verwerkt. Door de telefoonnummers en
e-mailadressen van gebruikers automatisch op te nemen in het toepassingsgebied van de
omstreden zoekfunctionaliteiten, ontstond niet alleen de mogelijkheid om de
gebruikersaccounts op te zoeken aan de hand van hun contactgegevens, maar werden
diezelfde contactgegevens daarenboven blootgesteld aan potentiële scraping door derden.
13
Randnr. 85 van het Besluit van de DPC.
14
Randnr. 91 van het Besluit van de DPC.
15
Randnr. 94 van het Besluit van de DPC.
Beslissing 29/2023 – 7/13
24. In het kader van haar beoordeling van de naleving van artikel 25.1 AVG
— gegevensbescherming door ontwerp —, kwam de DPC tot de vaststelling dat MPIL een
16
reeks aanvullende maatregelen had moeten treffen, gelet in het bijzonder op de qua
waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van
natuurlijke personen die de verwerking van persoonsgegevens door MPIL in de omstreden
functionaliteiten teweeg bracht17.
25. Vermits artikel 25.1 AVG echter niet voorschrijft welke maatregelen moeten worden
uitgevoerd, en evenmin de stand van de techniek die hierbij in aanmerking moet genomen
worden, onderzocht de DPC daarnevens in welke mate de maatregelen die MPIL wel
getroffen had, in de gegeven omstandigheden passend waren 18.
Niettegenstaande de argumenten opgeworpen door MPIL, oordeelde de DPC
dienaangaande dat de technische en organisatorische maatregelen die MPIL tijdens de
nasleep van de ontdekking van het incident genomen had, niet toereikend waren om de
beginselen inzake gegevensbescherming zoals vereist door artikel 25.1 AVG op passende
wijze ten uitvoer te leggen. Het ontbreken van passende maatregelen stelde de omstreden
functionaliteiten namelijk bloot aan misbruik door kwaadwillende derden teneinde een
ongeoorloofde dataset aan te maken, in plaats van louter profielen te vinden van reeds
gekende FACEBOOK-gebruikers; hierdoor overtrad MPIL het beginsel van doelbinding
voorzien onder artikel 5.1.b) AVG.
De getroffen maatregelen waren evenmin geschikt met betrekking tot het beginsel van
integriteit en vertrouwelijkheid als bedoeld in artikel 5.1.f) AVG. Door het ontbreken van
passende maatregelen konden kwaadwillende derden de omstreden zoekfunctionaliteiten
gebruiken om te achterhalen of willekeurige combinaties van cijfers en letters
overeenkwamen met geldige telefoonnummers dan wel e-mailadressen, en om
desgevallend de identiteit te achterhalen van de FACEBOOK-gebruiker die eigenaar was van
het desbetreffende telefoonnummer of e-mailadres.
Kortom, de DPC achtte de door MPIL toegepaste maatregelen onvoldoende geschikt om
uitvoering te geven aan het beginsel dat persoonsgegevens verwerkt moeten worden op
16
Artikel 25 AVG — “1. Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de
context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten
en vrijheden van natuurlijke personen welke aan de verwerking zijn verbonden, treft de verwerkingsverantwoordelijke, zowel
bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf, passende technische en organisatorische maatregelen,
zoals pseudonimisering, die zijn opgesteld met als doel de gegevensbeschermingsbeginselen, zoals minimale
gegevensverwerking, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter
naleving van de voorschriften van deze verordening en ter bescherming van de rechten van de betrokkenen.”
17
Randnrs. 140 t.e.m. 149 van het Besluit van de DPC.
18
Randnr. 149 van het Besluit van de DPC.
Beslissing 29/2023 – 8/13
een wijze die een passende beveiliging van de persoonsgegevens waarborgt, met inbegrip
van een bescherming tegen ongeoorloofde of onrechtmatige verwerkingen19.
26. De DPC kwam uiteindelijk tot het besluit dat MPIL niet heeft aangetoond dat zij een analyse
heeft uitgevoerd van het risico dat voortvloeit uit het gekozen ontwerp, zoals nochtans
aanbevolen in de richtsnoeren van het Europees Comité voor gegevensbescherming of
European Data Protection Board (EDPB). Derhalve concludeerde de DPC dat MPIL artikel
25.1 AVG heeft geschonden door onvoldoende passende technische en organisatorische
maatregelen te treffen die ertoe konden strekken het risico op misbruik van de ingebouwde
zoekfunctionaliteiten effectief te mitigeren, en in het bijzonder de beginselen van
artikel 5.1.b) en 5.1.f) AVG, op doeltreffende wijze toe te passen alsook de nodige
waarborgen in de verwerking te integreren, teneinde aan de vereisten van de AVG te
voldoen en de rechten van de betrokkenen te beschermen 20.
27. Overeenkomstig artikel 25.2 AVG — gegevensbescherming door standaardinstellingen21 —
was MPIL eveneens verplicht passende maatregelen te nemen om ervoor te zorgen dat
standaard enkel persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek
doel van de verwerking, en dat persoonsgegevens onder de standaardinstellingen niet
zonder tussenkomst van de betrokken gebruikers toegankelijk worden gemaakt voor een
onbepaald aantal natuurlijke personen22.
28. Hieromtrent oordeelde de DPC dat de aanpassing van de zoekbaarheidsinstellingen
waardoor de telefoonnummers en e-mailadressen automatisch — zonder tussenkomst van
de betrokken gebruikers — werden toegevoegd aan de standardinstellingen van de
omstreden functionaliteiten, hun persoonsgegevens blootstelde aan scrapers die er
toegang toe konden krijgen door gebruik te maken van de reverse-lookup functionaliteit.
Hierdoor maakte MPIL zich ook schuldig aan een inbreuk op artikel 25.2 AVG 23.
29. Als correctieve maatregelen besloot de DPC bijgevolg om:
a. Overeenkomstig artikel 58.2.d) AVG, MPIL te bevelen de verwerking in
overeenstemming met de AVG te brengen, binnen de drie maanden na de
kennisgeving van het finaal besluit, door passende technische en organisatorische
maatregelen te treffen met betrekking tot de omstreden functionaliteiten,
19
Randnr. 167 van het Besluit van de DPC.
20
Randnr. 169 van het Besluit van de DPC.
21
Artikel 25 AVG — “2. De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om
ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van
de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden
verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen met name
ervoor dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke
personen toegankelijk worden gemaakt.”
22
Randnr. 170 van het Besluit van de DPC.
23
Randnr. 182 van het Besluit van de DPC.
Beslissing 29/2023 – 9/13
teneinde standaard alleen persoonsgegevens te verwerken die noodzakelijk zijn
voor elk specifiek verwerkingsdoeleinde, en opdat er bij standaardinstellingen geen
persoonsgegevens toegankelijk worden gemaakt voor een onbepaald aantal
natuurlijke personen zonder de tussenkomst van de betrokken gebruikers24.
Dit bevel werd gegeven om de naleving van artikel 25.2 AVG te waarborgen.
Rekening houdend met de maatregelen reeds getroffen door MPIL om de scraping
aan te pakken, besloot de DPC om ten aanzien van artikel 25.1 AVG geen bijkomend
bevel op te leggen25.
b. Overeenkomstig artikel 58.2.b) AVG, een berisping te formuleren ten aanzien van
MPIL voor de vastgestelde inbreuken op de AVG, aangezien beide inbreuken
hebben bijgedragen tot een hoger risico van fraude, identiteitsdiefstal en
spamming ten aanzien van de betrokken gebruikers26.
c. Overeenkomstig artikel 58.2.i) AVG, aan MPIL twee administratieve boetes op te
leggen van 150 miljoen euro voor de inbreuk op artikel 25.1 AVG, en 115 miljoen
euro voor de inbreuk op artikel 25.2 AVG 27.
30. Op 28 november 2022 ontvangt de GBA een memo, waarin de DPC toelichting geeft over
haar Besluit ingevolge de opmerkingen van de Nederlandse, de Franse, de Belgische en de
Poolse toezichthoudende autoriteiten.
31. Op 6 december 2022 maakt de DPC een standaardbrief over aan de Geschillenkamer, ter
mededeling aan de betrokkenen die een klacht hebben neergelegd bij de GBA.
III. Motivering
32. Op basis van de elementen in het dossier die de Geschillenkamer bekend zijn, en op basis
van de bevoegdheden die haar door de wetgever op grond van artikel 95, § 1 WOG zijn
toebedeeld, beslist de Geschillenkamer over de verdere opvolging van het dossier; in casu
gaat de Geschillenkamer over tot het seponeren van de klacht overeenkomstig artikel 95,
§ 1, 3° WOG, op basis van de hiernavolgende motivering.
33. Wanneer een klacht geseponeerd wordt, dient de Geschillenkamer haar beslissing
trapsgewijs te motiveren28 en:
24
Randnr. 191 van het Besluit van de DPC.
25
Randnr. 189 van het Besluit van de DPC.
26
Randnrs. 202 en 203 van het Besluit van de DPC.
27
Randnrs. 266 t.e.m. 269 van het Besluit van de DPC.
28
Hof van Beroep Brussel, Sectie Marktenhof, 19de kamer A, Kamer voor marktzaken, arrest 2020/AR/329,
2 september 2020, p. 18.
Beslissing 29/2023 – 10/13
- een technische seponering uit te spreken indien het dossier geen of niet voldoende
elementen bevat die tot een veroordeling kunnen leiden, of indien er onvoldoende
uitzicht bestaat op een veroordeling wegens een technische belemmering,
waardoor zij niet tot een beslissing kan komen;
- of een beleidssepot uit te spreken, indien ondanks de aanwezigheid van elementen
die tot een sanctie kunnen leiden, de voortzetting van het onderzoek van het
dossier niet opportuun lijkt in het licht van de prioriteiten van de
Gegevensbeschermingsautoriteit, zoals gespecificeerd en toegelicht in het
sepotbeleid van de Geschillenkamer29.
34. In het geval op meer dan één grond wordt geseponeerd, dienen de sepotgronden
(resp. technisch sepot en beleidssepot) in volgorde van belangrijkheid te worden
behandeld30.
35. In het voorliggend dossier gaat de Geschillenkamer over tot een seponering van de klacht
op grond van twee sepotgronden. Er liggen namelijk twee motieven aan de basis van de
beslissing van de Geschillenkamer waarom zij het onwenselijk acht verder gevolg te geven
aan het dossier en derhalve beslist niet over te gaan tot, inter alia, een behandeling ten
gronde.
36. Allereerst benadrukt de Geschillenkamer dat de entiteit FACEBOOK IRELAND LIMITED (thans:
META PLATFORMS IRELAND LIMITED) reeds op 25 mei 2018 heeft aangegeven dat zij als
verwerkingsverantwoordelijke optreedt voor het verlenen van FACEBOOK-diensten binnen
de Europese Unie. Artikel 55.1 AVG bepaalt dat elke toezichthoudende autoriteit bevoegd is
voor de uitoefening van de taken en bevoegdheden die haar onder de AVG zijn toegekend
op het grondgebied van haar eigen lidstaat. Artikel 56.1 AVG bepaalt verder dat de
toezichthoudende autoriteit van de hoofdvestiging of de enige vestiging van de
verwerkingsverantwoordelijke of verwerker bevoegd is om overeenkomstig de procedure
van artikel 60 AVG op te treden als leidende toezichthoudende autoriteit voor de
grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker.
37. Onder bepaalde omstandigheden blijft elke toezichthoudende autoriteit evenwel bevoegd
om de bij haar ingediende klacht te behandelen, in het bijzonder wanneer het onderwerp van
de grensoverschrijdende zaak alleen verband houdt met een vestiging in haar lidstaat of
alleen voor betrokkenen in haar lidstaat wezenlijke gevolgen heeft. Echter, in de
onderhavige zaak oordeelt de Geschillenkamer dat geen van beide situaties van toepassing
zijn.
29
In dit verband verwijst de Geschillenkamer naar haar sepotbeleid zoals uitvoerig uiteengezet op de website van de GBA:
https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf.
30
Cf. Titel 3 – In welke gevallen zal mijn klacht waarschijnlijk worden geseponeerd door de Geschillenkamer? van het
sepotbeleid van de Geschillenkamer.
Beslissing 29/2023 – 11/13
38. Concreet betekent dit dat de toezichthoudende autoriteit in Ierland, waar de hoofdvestiging
van MPIL gelegen is, als leidende toezichthoudende autoriteit optreedt en in beginsel
exclusief bevoegd is voor de gegevensverwerkingen veroorzaakt door de omstreden
functionaliteiten die aan de basis liggen van de onderhavige zaak 31. Derhalve is de
Geschillenkamer niet bevoegd om een beslissing te nemen ten aanzien van MPIL, gelet op
de exclusieve bevoegdheid van de Ierse DPC 32.
39. Ten tweede stelt de Geschillenkamer vast dat er reeds een administratieve procedure werd
afgesloten met een beslissing waarvan het voorwerp de grieven van uw klacht omvat 33.
Immers, de klachten neergelegd bij de GBA hadden betrekking op een mogelijke inbreuk op
artikelen 32 t.e.m. 34 AVG. In haar onderzoek was de DPC daarentegen van mening dat de
meest relevante bepaling artikel 25 van de AVG was. Aangezien de gebruikers controle
hadden over de vraag of de gegevens al dan niet beschikbaar waren voor "Iedereen", was de
kernvraag volgens de DPC niet of er sprake was van een ongeoorloofde openbaarmaking
van persoonsgegevens of een andere vorm van inbreuk op persoonsgegevens, maar in
hoeverre er passende maatregelen waren genomen om ervoor te zorgen dat de
gegevensbeschermingsbeginselen in acht werden genomen bij de uitvoering van de keuzes
van de gebruikers van MPIL. Om die reden was het onderzoek van de DPC gericht op
artikel 25 AVG, veeleer dan op de artikelen 32 t.e.m. 34 AVG34. De Geschillenkamer meent
dat de focus van de DPC op artikel 25 AVG geen nadeel meebrengt aan de klagers.
40. In het kader van de samenwerkingsprocedure zoals voorzien onder artikel 60 AVG,
oordeelde de Geschillenkamer dat zij geen relevant en gemotiveerd bezwaar had tegen het
ontwerpbesluit. Derhalve wordt de Geschillenkamer thans geacht met de argumentatie en
het Besluit van de DPC in te stemmen en is zij daaraan gebonden.
Daarnaast behoort het niet tot de prioriteiten van de Geschillenkamer om de
omstandigheden van uw klacht opnieuw te onderzoeken teneinde u in staat te stellen reeds
genomen administratieve beslissingen te herzien, buiten de gewone beroepsprocedures, en
a fortiori wanneer de beslissing in kwestie door een andere, exclusief bevoegde
toezichthoudende autoriteit werd genomen35. De beslissingen van de Geschillenkamer
kunnen immers niet leiden tot een heropening van administratieve procedures die in een
31
Randnrs. 5 t.e.m. 10 van het Besluit van de DPC.
32
Cf. criterium A.3. in het sepotbeleid van de Geschillenkamer.
33
Decision IN-21-4-2 d.d. 25 November 2022 of the Data Protection Commission, made pursuant to Section 111 of the Data
Protection Act 2018 and Article 60 of the GDPR in the matter of Meta Platforms Ireland Ltd. (formerly Facebook Ireland Ltd.).
34
Memo d.d. 28 November 2022 on Comments/Feedback from Concerned Supervisory Authorities re IMI No 443156.1 on
IN-21-4-2.
35
Cf. randnr. 38 van de onderhavige beslissing.
Beslissing 29/2023 – 12/13
ander lidstaat van de Europese Unie afgesloten werden om een of andere reden van
gegevensbescherming36.
IV. Publicatie en mededeling van de beslissing
41. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit.
42. Overeenkomstig haar sepotbeleid, zal de Geschillenkamer de beslissing aan de verweerder
overmaken37. De Geschillenkamer heeft immers besloten om haar sepotbeslissingen
ambtshalve ter kennis te brengen van verweerders. De Geschillenkamer ziet echter af van
een dergelijke kennisgeving wanneer de klager om anonimiteit heeft verzocht ten opzichte
van de verweerder en de kennisgeving van de beslissing aan de verweerder, zelfs indien
deze gepseudonimiseerd is, het niettemin mogelijk maakt om de klager te
(her)identificeren38. Dit is evenwel niet het geval in de onderhavige zaak, waarin de klagers
overigens niet bij naam vermeld worden in de beslissing van de Geschillenkamer.
43. Niettegenstaande het voorgaande, besluit de Geschillenkamer om de onderhavige
beslissing tevens ambtshalve over te maken aan de Belgische vestiging van de verweerster,
FACEBOOK BELGIUM BV.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging,
om de voorliggende klacht te seponeren op grond van artikel 95, § 1, 3° van de WOG.
Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 39.
36
Cf. criterium B.2.1 in het sepotbeleid van de Geschillenkamer.
37
Cf. Titel 5 Zal de sepot van mijn klacht worden gepubliceerd? Zal de tegenpartij hiervan op de hoogte worden gebracht?
van het sepotbeleid van de Geschillenkamer.
38
Ibidem.
39
"Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
Beslissing 29/2023 – 13/13
Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.40, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
Om de klager in staat te stellen andere mogelijke rechtsmiddelen te overwegen, verwijst de
Geschillenkamer de klager naar de toelichting in haar sepotbeleid41.
(get.) Hielke HIJMANS
Voorzitter van de Geschillenkamer
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat."
40
"Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief
gezonden aan de griffier van het gerecht of ter griffie neergelegd."
41
Cf. Titel 4 – Wat kan ik doen als mijn klacht wordt afgesloten? van het sepotbeleid van de Geschillenkamer.
NIET-OFFICIËLE VERTALING
December 2022
Betreft: Gegevensbeschermingsonderzoek door de Ierse Data Protection Commission
betreffende META PLATFORMS IRELAND LIMITED (voorheen Facebook Ireland Ltd)
Geachte,
Zoals u weet heeft de Ierse Data Protection Commission (DPC) in april 2021 een eigen
onderzoek ingesteld tegen META PLATFORMS IRELAND LIMITED (hierna MPIL) in verband met het
schrapen van gegevens. Dat onderzoek is afgerond en de DPC heeft haar besluit ter zake
bekendgemaakt. Deze brief is bedoeld om u het resultaat mee te delen van het onderzoek van
de DPC dat rechtstreeks betrekking heeft op het onderwerp van uw klacht en u een link te
geven naar het gepubliceerde besluit dat de DPC aan het eind van de procedure heeft
genomen. De bevindingen van de DPC hebben betrekking op de "dataset" waarnaar in haar
besluit wordt verwezen. Voor zover u hebt vastgesteld dat uw gegevens in die dataset zijn
opgenomen, hebben de bevindingen in het besluit betrekking op uw gegevens.
Het onderzoek
In april 2021 werd in de media gemeld dat een verzamelde dataset van persoonsgegevens
van Facebook-gebruikers op internet beschikbaar was gesteld. Deze dataset zou
persoonsgegevens bevatten van ongeveer 533 miljoen Facebook-gebruikers wereldwijd. De
DPC achtte het passend te bepalen of MPIL had voldaan aan haar verplichtingen als
verwerkingsverantwoordelijke in verband met de verwerking van persoonsgegevens van
haar gebruikers door middel van de functionaliteiten Facebook Search, Facebook Contact
Importer, Messenger Contact Importer en Instagram Contact Importer van haar dienst, en of
MPIL in dit verband een of meer bepalingen van de AVG en/of de Data Protection Act 2018
An Coimisiún um Chosaint Sonraí, 21 Cearnóg Mhic Liam, Baile Átha Cliath 2, Éire.
Data Protection Commission, 21 Fitzwilliam Square, Dublin 2, Ierland.
www.cosantasonrai.ie | www.dataprotection.ie | [email protected] | [email protected] Tel: +353 (01)7650100
NIET-OFFICIËLE VERTALING
had geschonden. Daarom besloot de DPC een onderzoek in te stellen op grond van en
overeenkomstig artikel 110, lid 1, van de Data Protection Act van 2018. Het onderzoek begon
in april 2021.
De beslissing
De DPC heeft haar besluit op 25 november 2022 genomen, waarin wordt vastgesteld dat
MPIL de AVG als volgt heeft geschonden:
• artikel 25, lid 1, door geen passende technische en organisatorische maatregelen te
treffen die erop gericht zijn de beginselen inzake gegevensbescherming, met name
de beginselen van artikel 5, lid 1, onder b) en f), van de AVG, op doeltreffende wijze toe
te passen en de nodige waarborgen in de verwerking te integreren om aan de
vereisten van de AVG te voldoen en de rechten van de betrokkenen te beschermen.
• artikel 25, lid 2, door geen passende technische en organisatorische maatregelen te
treffen om ervoor te zorgen dat standaard alleen persoonsgegevens worden verwerkt
die noodzakelijk zijn voor elk specifiek doel van de verwerking. Bovendien heeft MPIL
artikel 25, lid 2, geschonden omdat de door MPIL gebruikte standaardinstellingen niet
waarborgen dat de persoonsgegevens standaard niet zonder tussenkomst van de
betrokkenen toegankelijk worden gemaakt voor een onbepaald aantal natuurlijke
personen.
An Coimisiún um Chosaint Sonraí, 21 Cearnóg Mhic Liam, Baile Átha Cliath 2, Éire.
Data Protection Commission, 21 Fitzwilliam Square, Dublin 2, Ierland.
www.cosantasonrai.ie | www.dataprotection.ie | [email protected] | [email protected] Tel: +353 (01)7650100
NIET-OFFICIËLE VERTALING
Om deze inbreuken aan te pakken heeft de DPC de volgende corrigerende bevoegdheden
ten aanzien van MPIL uitgeoefend:
• Een bevel overeenkomstig artikel 58, lid 2, d) van de AVG aan MPIL om haar
verwerking in overeenstemming te brengen met de AVG;
• Een berisping aan MPIL krachtens artikel 58, lid 2, b) van de AVG;
• Twee administratieve boetes van respectievelijk 150 miljoen euro en 115 miljoen euro
(in totaal 265 miljoen euro).
Een kopie van het besluit van het onderzoek (bewerkt) is te vinden op de website van de DPC
op de volgende link:
https://www.dataprotection.ie/sites/default/files/uploads/2022-12/Final%20Decision_IN-21-4-2_Redacted.pdf
Conclusie
Wij hopen dat het besluit van de DPC in deze zaak en de uitoefening van corrigerende
bevoegdheden, waaronder het opleggen van aanzienlijke administratieve boetes die geacht
worden “doeltreffend, evenredig en afschrikkend” te zijn en de aard en de omvang van de
betrokken inbreuken weerspiegelen, ertoe zullen bijdragen dat deze zaak op bevredigende
wijze wordt afgesloten.
Hoogachtend,
Data Protection Commission
An Coimisiún um Chosaint Sonraí, 21 Cearnóg Mhic Liam, Baile Átha Cliath 2, Éire.
Data Protection Commission, 21 Fitzwilliam Square, Dublin 2, Ierland.
www.cosantasonrai.ie | www.dataprotection.ie | [email protected] | [email protected] Tel: +353 (01)7650100