Meta tidak diperbolehkan menggunakan data pribadi untuk iklan

BREAKING: Meta (Facebook dan Instagram) dilarang menggunakan data pribadi untuk iklan. Pukulan berat bagi model bisnis Meta di Eropa, menyusul noyb proses pengadilan. Denda untuk Meta meningkat lebih dari sepuluh kali lipat dari €28 juta menjadi €390 juta. Kasus ketiga tertunda di WhatsApp.

Sebagaimana dikonfirmasi oleh DPC Irlandia, Dewan Perlindungan Data Eropa (EDPB) telah menolak DPC Irlandia dan pengelakan Meta terhadap GDPR berdasarkan noyb Keluhan terhadap Facebook dan Instagram. Meta sekarang dilarang mengakali GDPR melalui klausul dalam syarat dan ketentuan. Meta harus mendapatkan “memilih”.“Izinkan iklan yang dipersonalisasi dan harus memberikan opsi “ya/tidak” kepada pengguna. Keputusan kasus paralel ketiga di WhatsApp ditunda hingga pertengahan Januari.

Fakta-fakta penting:

• Dua keluhan diajukan oleh noyb atas nama pengguna Austria dan Belgia pada 25 Mei 2018 (tanggal berlakunya GDPR) diputuskan hari ini.
• Keluhan ketiga di WhatsApp atas nama pengguna Jerman telah ditunda hingga pertengahan Januari, menurut email dari DPC.
• Meta telah berusaha untuk “menghindari” persyaratan persetujuan dalam GDPR dengan memasukkan klausul dalam syarat dan ketentuan periklanannya.
• Pada bulan Desember 2022, EDPB membatalkan draf keputusan sebelumnya oleh DPC Irlandia yang menyatakan bahwa pengelakan Meta terhadap GDPR adalah sah.
• Keputusan terakhir mengharuskan Meta tidak menggunakan informasi pribadi untuk iklan yang didasarkan pada dugaan “kontrak”. Oleh karena itu, pengguna harus diberi opsi persetujuan ya/tidak (“keikutsertaan”), jika tidak, Meta tidak dapat menggunakan data mereka untuk iklan yang dipersonalisasi.
• Keputusan tersebut tidak melarang bentuk iklan lainnya (seperti iklan kontekstual berdasarkan konten halaman).
• Penggunaan data pribadi Meta telah ilegal sejak Mei 2018.
• Denda untuk Facebook dan Instagram berjumlah 390 juta euro. Denda tambahan untuk WhatsApp dalam proses paralel diharapkan.

Meta ingin “menghindari” GDPR. GDPR memberikan enam dasar hukum untuk pemrosesan data, salah satunya adalah persetujuan berdasarkan Pasal 6(1)(a). Meta berusaha untuk menghindari persyaratan persetujuan untuk pelacakan dan iklan online dengan menyatakan bahwa iklan adalah bagian dari “layanan” yang menjadi hak pengguna berdasarkan kontrak. Dugaan perubahan dasar hukum tersebut terjadi tepat pada tengah malam tanggal 25 Mei 2018, saat GDPR mulai berlaku. Apa yang disebut “keharusan kontraktual” menurut Pasal 6 Ayat 1 huruf b) biasanya dipahami secara sempit dan akan, misalnya, memungkinkan toko online untuk meneruskan alamat ke layanan pos, karena ini mutlak diperlukan untuk pengiriman suatu memesan. Namun, Meta berpandangan bahwa itu dapat dengan mudah menyertakan elemen acak dalam kontrak (mis. iklan yang dipersonalisasi) untuk menghindari opsi persetujuan ya/tidak bagi pengguna.

Max Schrems: “Alih-alih memiliki opsi “ya/tidak” untuk iklan yang dipersonalisasi, mereka hanya memindahkan klausa keikutsertaan ke Persyaratan Layanan. Ini tidak hanya tidak adil, tetapi jelas ilegal. Kami tidak mengetahui adanya perusahaan lain yang berusaha mengabaikan GDPR dengan cara yang arogan.”

Denda €380 juta, DPC menginginkan € 28 hingga 36 juta. Selain larangan menyeluruh pada iklan yang dipersonalisasi, EDPB telah menuntut denda besar-besaran untuk Meta. Lagi pula, perusahaan mendasarkan sebagian besar pemrosesan data komersial pada pelanggaran hukum yang disengaja. EDPB telah mengeluarkan pedoman tentang topik ini pada tahun 2019. Meta telah didenda lebih dari 900 juta euro dalam GDPR dalam kasus lain. Denda pergi ke Negara Irlandia, bukan pengadu, noyb atau EDPB. DPC sebelumnya telah meminta 28 hingga 36 juta euro dalam draf keputusan (lihat halaman 87 di sini), hanya 10% dari keputusan akhir EDPB.

Skema Maks: “Hukuman jatuh ke Irlandia – negara bagian yang memihak Meta dan menunda penegakan hukum selama lebih dari empat tahun. Kasus ini kemungkinan akan diperebutkan oleh meta, yang akan mengakibatkan biaya tambahan untuk noyb.”

DPC dan Meta bekerja sama dan ditolak oleh EDPB. Selama persidangan, Meta mengandalkan sepuluh pertemuan rahasia dengan DPC Irlandia di mana DPC mengizinkan Meta untuk menggunakan “penghindaran” ini. Belakangan terungkap bahwa DPC seimbang mencoba mempengaruhi pedoman EDPB yang relevan demi kepentingan oleh Meta. Meskipun demikian, otoritas perlindungan data Eropa lainnya telah menolak pandangan DPC secara internal pada 2018, dalam pedoman pada 2019, dan sekali lagi dalam keputusan akhir EDPB pada Desember 2022. Kasus tersebut meningkat menjadi 4,5 tahun dengan ratusan halaman laporan dan pengajuan, meskipun faktanya kasus tersebut merupakan masalah hukum yang cukup sederhana.

Max Schrems: “Dalam hal ini, ini adalah pertanyaan hukum yang sederhana. Meta mengklaim bahwa “bypass” terjadi dengan restu dari DPC. Selama bertahun-tahun, DPC menyeret kasus ini dan bersikeras agar Meta diizinkan untuk menghindari GDPR, tetapi sekarang telah ditolak oleh otoritas UE lainnya. Ini adalah keempat kalinya berturut-turut DPC Irlandia ditangguhkan.“

DPC melihat kemenangan dalam isu “transparansi”? Dalam pernyataan media DPC, isu inti apakah Meta dapat memproses data pengguna untuk iklan terkubur dalam debat yang lebih kecil tentang transparansi, di mana Meta menemukan pelanggaran.

“Sangat menyedihkan ketika DPC sekarang mengklaim lembaga lain telah menyelesaikan masalah transparansi kecil. Untuk melakukan ini, hanya satu teks di situs web meta yang harus diubah. Poin utamanya adalah Meta secara ilegal memproses data pengguna selama lebih dari empat tahun. DPC melindungi Meta dan mereka terpilih di tingkat UE.“

Hasil: tidak ada iklan yang dipersonalisasi, lebih sedikit keuntungan. Keputusan tersebut berarti Meta harus mengizinkan pengguna dalam waktu tiga bulan untuk memiliki versi dari semua aplikasi yang tidak menggunakan data pribadi untuk iklan. Keputusan tersebut masih akan mengizinkan Meta untuk menggunakan informasi yang tidak dapat diidentifikasi secara pribadi (seperti konten cerita) untuk mempersonalisasi iklan atau meminta persetujuan pengguna untuk iklan melalui opsi “ya/tidak”. Pengguna harus dapat menarik persetujuan kapan saja, dan Meta tidak boleh membatasi layanan jika pengguna memilih untuk melakukannya. Meskipun ini secara drastis akan membatasi keuntungan Meta di UE, itu tidak akan melarang iklan sepenuhnya. Sebaliknya, keputusan tersebut akan menempatkan Meta pada level yang sama dengan situs web atau aplikasi lain mana pun yang harus memberi pengguna opsi “ya/tidak”.

Max Schrems: “Ini merupakan pukulan besar bagi keuntungan Meta di UE. Orang-orang sekarang perlu ditanya apakah mereka ingin data mereka digunakan untuk iklan atau tidak. Mereka harus memiliki pilihan ya atau tidak dan dapat berubah pikiran kapan saja. Keputusan tersebut juga memastikan lapangan bermain yang setara dengan pengiklan lain yang juga diwajibkan untuk mendapatkan persetujuan keikutsertaan.”

DPC menyensor keputusan penggugat dan publik, memastikan bahwa Meta dan DPC mengontrol narasi media. Dalam langkah yang luar biasa, DPC mengumumkan noyb hari ini bahwa DPC, meskipun salah satu dari dua pihak dalam persidangan, tidak akan mengeluarkan keputusan tersebut noyb. Alasan DPC diduga “kerahasiaan” putusan tersebut. Keputusan harus diberikan kepada penggugat di kemudian hari, bahkan mungkin setelah periode banding telah berakhir. Ini berbeda dengan informasi sebelumnya dari DPC bahwa para pihak akan menerima keputusan sebelum dipublikasikan oleh DPC.

Max Schrems: “Digulingkan oleh EDPB merupakan pukulan telak bagi DPC, kini mereka tampak berusaha mempengaruhi persepsi publik atas kasus tersebut. Dalam sepuluh tahun litigasi, saya belum pernah melihat keputusan diberikan pada satu pihak tetapi tidak pada pihak lain. DPC memainkan game PR yang sangat jahat. Dengan tidak mengizinkan noyb atau publik untuk membaca keputusan tersebut, ia mencoba untuk membuat narasi keputusan tersebut dengan meta. Kerja sama antara Meta dan regulator Irlandia tampaknya baik dan hidup – meskipun telah ditangguhkan oleh EDPB.”

Langkah selanjutnya: DPC menggugat EDPB, Meta kemungkinan akan mengajukan banding. Meta diperkirakan akan mengajukan banding atas keputusan tersebut di pengadilan Irlandia, tetapi peluang untuk memenangkan banding tersebut sangat kecil setelah keputusan EDPB yang mengikat. Ada juga dua kasus serupa di hadapan Pengadilan Kehakiman Uni Eropa (CJEU) untuk menghindari persetujuan Meta, yang akhirnya dapat menyelesaikan masalah dan banding apa pun. Dalam cerita sampingan, DPC juga mengumumkan bahwa mereka dapat menuntut EDPB dalam masalah serupa, karena EDPB meminta DPC untuk mengambil langkah investigasi lebih lanjut ke Meta di luar keluhan yang telah diputuskan. noyb. DPC menganggap bahwa EDPB tidak memiliki kewenangan tersebut dan akan berusaha untuk membatalkan keputusan tersebut. Pengguna juga dapat mengambil tindakan terhadap penggunaan ilegal atas data mereka dalam 4,5 tahun terakhir.