Euroopan tietosuojaneuvosto julkaisi Facebookia ja Instagramia koskevat kiistanratkaisupäätökset – ”merkittävä vaikutus henkilötietojen käyttöön käyttäytymiseen perustuvassa mainonnassa”
Irlannin tietosuojaviranomainen antoi 31. joulukuuta Facebookia ja Instagramia koskevat lopulliset ratkaisunsa Euroopan tietosuojaneuvoston sitovien päätösten perusteella. Irlanti määräsi Facebookin ja Instagramin emoyhtiö Meta Ireland Limitedille yhteensä 390 miljoonan euron seuraamusmaksut rikkomuksista, jotka koskivat henkilötietojen käsittelyä käyttäytymiseen perustuvaa mainontaa varten.
Irlannin tietosuojaviranomaisen selvitti saamiensa kanteluiden perusteella erityisesti henkilötietojen käsittelyn laillisuutta ja läpinäkyvyyttä käyttäytymiseen perustuvaa mainontaa varten Facebookissa ja Instagramissa. Meta sai Facebookiin liittyvässä asiassa 210 miljoonan euron ja Instagramin osalta 180 miljoonan euron seuraamusmaksut.
Asioita käsiteltiin Euroopan talousalueen tietosuojaviranomaisten välisessä yhteistyössä. Osallistuvat valvontaviranomaiset esittivät Irlannin päätösluonnoksista vastalauseita, jotka koskivat muun muassa käsittelyn oikeusperustetta, tietosuojaperiaatteiden rikkomista ja korjaavien toimivaltuuksien käyttöä. Myös tietosuojavaltuutetun toimisto oli osapuolena asian käsittelyssä osana tietosuojaneuvostoa.
Tietosuojaneuvoston sitovat päätökset tehtiin sen jälkeen, kun Irlannin tietosuojaviranomainen oli johtavana valvontaviranomaisena siirtänyt asiat tietosuojaneuvoston kiistanratkaisumenettelyyn.
Ei lainmukaista perustetta käsitellä tietoja käyttäytymiseen perustuvaan mainontaan
Tietosuojaneuvosto totesi, että Metalla ei ollut lainmukaista oikeusperustetta henkilötietojen käsittelyyn käyttäytymistä perustuvaa mainontaa varten. Sopimuksen käyttäminen oikeusperusteena Facebookin ja Instagramin käyttöehtojen yhteydessä ei ollut asianmukaista, sillä käyttäytymiseen perustuva mainonta ei kuulu palveluiden ydintoimintoihin.
”Tietosuojaneuvoston sitovissa päätöksissä selvennetään, että Meta on käsitellyt henkilötietoja lainvastaisesti käyttäytymiseen perustuvaa mainontaa varten. Päätöksillä voi olla merkittävä vaikutus myös muihin alustoihin, joiden liiketoimintamallin keskiössä on käyttäytymiseen perustuva mainonta”, Euroopan tietosuojaneuvoston puheenjohtaja Andrea Jelinek toteaa.
Irlannin tietosuojaviranomainen teki päätösluonnoksiinsa muutoksia tietosuojaneuvoston kiistanratkaisupäätösten perusteella ja muun muassa nosti seuraamusmaksujen määrää huomattavasti.
Lopullisiin päätöksiin sisällytettiin toteamus laillisuutta koskevasta rikkomuksesta sekä kohtuullisuusperiaatteen loukkaamisesta. Läpinäkyvyyttä koskevien velvoitteiden vakavat rikkomiset vaikuttivat käyttäjien kohtuullisiin odotuksiin henkilötietojen käsittelystä. Tietosuojaneuvosto katsoi, että Meta oli esittänyt palvelunsa käyttäjille harhaanjohtavasti ja piti Metan ja käyttäjien välistä suhdetta epätasapainoisena.
Irlanti määräsi Metan muuttamaan tietojen käsittelyn oikeusperusteen käyttäytymiseen perustuvassa mainonnassa lainmukaiseksi kolmen kuukauden kuluessa. Metan on toteutettava myös asianmukaiset korjaavat toimenpiteet kohtuullisuusperiaatteen noudattamiseksi.
Tietosuojaneuvosto katsoi, että Metan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn lainmukaisuuden arviontiin ei ollut riittävästi näyttöä, minkä vuoksi Irlannin tietosuojaviranomaisen tulisi tehdä uusi selvitys.
Irlannin tietosuojaviranomaisen lopulliset päätökset ovat saatavilla rekisterissä, joka kokoaa yhteen valvontaviranomaisten yhdenmukaisuusmenettelyssä käsitellyt ratkaisut (tietosuojaneuvoston verkkosivuilla).
Kiistanratkaisupäätökset tietosuojaneuvoston verkkosivuilla:
Euroopan tietosuojaneuvosto antoi 5. joulukuuta 2022 sitovan päätöksen myös WhatsApp Ireland Limitediä koskevasta selvityksestä. Irlannin tietosuojaviranomaisen on vielä annettava asiassa lopullinen päätöksensä.
Lisätietoja:
Euroopan tietosuojaneuvoston tiedote neuvoston verkkosivuilla: Facebook and Instagram decisions: “Important impact on use of personal data for behavioural advertising” (12.1.2023)
Lisätietoja kiistanratkaisumenettelystä tietosuojaneuvoston verkkosivuilla: Usein kysyttyä 65 artiklasta (englanniksi)