I Norge vil sosiale medieplattformer eid av Meta være underlagt et midlertidig tre måneders forbud mot adferdsbasert annonsering basert på brukerprofilering fra 4. august. Denne avgjørelsen følger en dom fra EU-domstolen (CJEU), som fant at denne praksisen ikke hadde rettslig grunnlag.

Facebook og Instagram vil kunne fortsette å operere i landet, men adferdsreklame, som bryter med EUs generelle databeskyttelsesforordning (GDPR), er forbudt. Straffen utgjør 1 million norske kroner (nesten 89 000 euro) per dag for manglende overholdelse.

GDPR gjelder for de 27 EU-landene, samt tre andre land i det europeiske økonomiske samarbeidsområdet (EØS): Island, Lichtenstein og Norge.

I desember 2022 fant Irish Data Protection Authority (DPC), som behandler sakene til teknologiselskaper med europeiske hovedkontor i Irland, på vegne av de 30 europeiske landene at Metas personvernpraksis atferdsbasert annonsering var ulovlig.

Selv om Meta har innført noen endringer siden den gang, avgjorde EU-domstolen tidligere i juli at selskapets databehandlingspraksis for å informere adferdsreklame fortsatt ikke var i samsvar med EU-lovgivningen.

Rettens dom gjør det klart det «interesser og grunnleggende rettigheter» til en bruker veier tyngre enn interessene til et sosialt medieselskap når det gjelder «personlig tilpasset annonsering som den finansierer sin aktivitet med».

I denne sammenheng har personvernmyndighetene fullmakt til å fatte nødvedtak som kan tre i kraft i maksimalt tre måneder. Den norske personverntilsynsmyndigheten er den første som tar en slik avgjørelse siden rettsavgjørelsen.

Ulovlig adferdsreklame

Som norske myndigheter forklarer på sin nettsteddet norske vedtaket er ikke ment å forby Meta fra «vis adferdsreklame til brukere som har gitt sitt gyldige samtykke».

Hensikten med forbudet er snarere å forhindre ulovlig målrettet reklame. EU-domstolen avviste rettsgrunnlaget «kontraktsfestet» av Meta, som innebar behandling av personopplysninger på grunnlag av bruk av en tjeneste.

Domstolens dommere indikerte at personopplysninger som samles inn, selges eller deles med Meta uten forhåndssamtykke fra brukeren, ikke kan brukes til behandling og derfor til å generere adferdsreklame.

Imidlertid kan Facebook og Instagram fortsatt behandle informasjon frivillig delt på plattformene av brukere. Disse inkluderer biografien, bostedet, kjønn, alder eller interesseområder til en gitt bruker, hvis sistnevnte har gitt disse elementene selv.

Meta blir bøtelagt igjen for brudd på GDPR

Onsdag avsa den irske databeskyttelseskommisjonen (DPC) to avgjørelser knyttet til brudd på den generelle databeskyttelsesforordningen (GDPR) av Facebook og Instagram, to sosiale nettverk som eies av Meta.

Implikasjoner

Norge er det første landet i EØS som har innført et forbud mot Meta, og tror at det er det «et presserende behov for å handle». Meta kan nå utfordre forbudet i Oslo tingrett.

Norsk myndighet foreslår i sin nettuttalelse å ta saken til European Data Protection Board (EDPB), organet som samler alle personverntilsynsmyndigheter i Unionen, hvor den norske beslutningen «kan forlenges utover den første tre-måneders gyldighetsperioden».

Den irske databeskyttelseskommisjonen har sendt alle nasjonale europeiske databeskyttelsesmyndigheter sin vurdering av Metas overholdelse av EUs databeskyttelsesregler for adferdsreklame. Nasjonale myndigheter har frist til fredag ​​(21. juli) med å svare.

[Édité par Anne-Sophie Gayet]