DIU, Alm.del - 2023-24 - Endeligt svar på spørgsmål 153: Spm. om justitsministeren vil forholde sig til Det Europæiske Databeskyttelsesråds (EDPB) afgørelse om, at Meta Irland overtræder artikel 6, stk. 1 i databeskyttelsesforordningen (GDPR)

Udvalget for Digitalisering og It 2023-24
DIU Alm.del
Offentligt

Folketinget

Udvalget for Digitalisering og It

Christiansborg

1240 København K

DK Danmark

Dato:

Kontor:

Sagsbeh:

Sagsnr.:

Dok.:

17. maj 2024

Databeskyttelseskontoret

Katrine

Hjortnæs

Haugegaard

2024-06184

3285358

Besvarelse af spørgsmål nr. 153 (Alm. del) fra Folketingets Udvalg

for

Digitalisering og It

Hermed sendes besvarelse af spørgsmål nr. 153 (Alm. del), som

Folketingets Udvalg

for Digitalisering og It

har stillet til justitsministeren den

3. maj 2024. Spørgsmålet er stillet efter ønske fra Lisbeth Bech-Nielsen

(SF).

Peter Hummelgaard

Louise Black Mogensen

Slotsholmsgade 10

1216 København K.

T +45 7226 8400

www.justitsministeriet.dk

[email protected]

Side 1/3

DIU, Alm.del - 2023-24 - Endeligt svar på spørgsmål 153: Spm. om justitsministeren vil forholde sig til Det Europæiske Databeskyttelsesråds (EDPB) afgørelse om, at Meta Irland overtræder artikel 6, stk. 1 i databeskyttelsesforordningen (GDPR)

Spørgsmål nr. 153 (Alm. del) fra Folketingets Udvalg

for Digitalisering

og It:

”Vil justitsministeren forholde sig til Det Europæiske

Databeskyttelsesråds (EDPB) afgørelse om, at Meta Irland

overtræder artikel 6, stk. 1 i databeskyttelsesforordningen

(GDPR), idet de uberettiget har behandlet personoplysninger til

adfærdsbaseret markedsføring baseret på henholdsvis

’kontraktforhold’ og ’legitim interesse’, herunder i forhold til

hvilke konsekvenser afgørelsen har for Meta Danmark og andre

tech giganter i Danmark? ” Der henvises til nyheden ”EDPB

offentliggør Meta-afgørelse” på datatilsynet,dk den 8. december

2023.

Svar:

Det Europæiske Databeskyttelsesråd, EDPB, vedtog den 27. oktober 2023

en såkaldt hurtig bindende afgørelse efter anmodning fra det norske

datatilsyn og i overensstemmelse med databeskyttelsesforordningens artikel

66, stk. 2, hvorefter enhver tilsynsmyndighed kan anmode om en

hasteudtalelse eller en hurtig bindende afgørelse fra EDPB under iagttagelse

af visse betingelser.

EDPB kan træffe en hurtig bindende afgørelse efter artikel 66, stk. 2, hvis

sagen er af så hastende karakter, at den almindelige procedure for

behandling af grænseoverskridende sager ikke kan bruges (den såkaldte

”samarbejdsmekanisme”). Det er påkrævet, at den anmodende

tilsynsmyndighed har truffet foreløbige foranstaltninger, der har

retsvirkning på dens eget område med en angivet gyldighedsperiode, som

ikke overstiger tre måneder. I det konkrete tilfælde havde det norske

datatilsyn nedlagt et midlertidigt forbud mod Metas behandling af

personoplysninger til brug for adfærdsbaseret markedsføring (målrettede

reklamer på baggrund af indsamling af oplysninger om den enkelte brugers

aktiviteter på internettet) baseret på databeskyttelsesforordningens artikel 6,

stk. 1, litra b (kontrakt) og litra f (interesseafvejning). Forbuddet trådte i

kraft den 4. august 2023, var begrænset til tre måneder og gjaldt kun i Norge.

Med anmodningen til EDPD ønskede det norske datatilsyn, at EDPB skulle

vedtage en hurtig bindende afgørelse med henblik på at gennemføre

endelige foranstaltninger over for Meta, der ville gælde for hele EU/EØS.

Side 2/3

I afgørelsen konkluderer EDPB bl.a., at Meta har overtrådt

databeskyttelsesforordningens artikel 6, stk. 1, idet virksomheden

uberettiget har behandlet personoplysninger til adfærdsbaseret

markedsføring på baggrund af databeskyttelsesforordningens artikel 6, stk.

1, litra b (kontrakt) og litra f (interesseafvejning). EDPB instruerer på den

baggrund det irske datatilsyn – som er den ledende tilsynsmyndighed over

for Meta – i at træffe endelige foranstaltninger over for Meta i form af et

forbud mod behandlingen af personoplysninger til brug for adfærdsbaseret

markedsføring på baggrund de nævnte behandlingsgrundlag. Det irske

datatilsyn traf afgørelse i sagen den 10. november 2023, og Meta fik derefter

én uge til at implementere forbuddet. Forbuddet er gældende i hele EU/EØS

og således også i Danmark.

Afgørelsen er alene bindende for Meta, men kan naturligvis få betydning i

forhold til andre platformes behandling af personoplysninger til brug for

adfærdsbaseret markedsføring.

Afgørelsen viser, at det som udgangspunkt ikke er muligt at henvise til

kontrakt

som

behandlingsgrundlag

forbindelse

med

markedsføringsaktiviteter. Det skyldes, at det sjældent vil være nødvendigt

at behandle personoplysninger i markedsføringsøjemed for at kunne opfylde

en kontrakt.

Afgørelsen illustrerer endvidere, at der er grænser for, hvilke legitime

interesser hos den dataansvarlige der kan retfærdiggøre en behandling af

personoplysninger i markedsføringsøjemed.

Side 3/3