DPIA van Facebookpagina's van de overheid
Data Protection Impact Assessment
van de verwerking van
persoonsgegevens op
Facebookpagina's van de overheid

Versie 1

Datum

16 november 2022

Status

Openbare versie

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Colofon
DPIA door

Ministerie van
Binnenlandse Zaken en
Koninkrijksrelaties
Turfmarkt 147
2511 DP Den Haag
Postbus 20011
2500 EA Den Haag
www.rijksoverheid.nl/bzk

Contact

Naam project

DPIA-rapport over de verwerking
van persoonsgegevens op
Facebookpagina's van de overheid

Auteurs

Privacy Company
Sjoera Nas en Floor Terra, senior advisors
www.privacycompany.eu

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Inhoud
Logboek wijzigingen ........................................................................................ 13
Samenvatting ................................................................................................. 13
Inleiding ........................................................................................................ 19
Deel A. Beschrijving van de gegevensverwerking ................................................ 30
1.

2.

3

4

5

6

7

8

Verwerking van persoonsgegevens............................................................ 30
1.1

Over Facebook/Meta ....................................................................... 31

1.2

Verwerking van vier categorieën persoonsgegevens ............................ 48

1.3

Verwerking ten behoeve van rangschikking en profilering .................... 55

Persoonsgegevens en betrokkenen............................................................ 57
2.1

Definities van persoonsgegevens ...................................................... 58

2.2

Netwerkverkeer .............................................................................. 62

2.3

Paginastatistieken en activiteitlogboeken ........................................... 63

2.4

Cookies en apparaatidentifiers.......................................................... 69

2.5

Resultaten inzageverzoeken van betrokkene ...................................... 81

2.6

Betrokkenen .................................................................................. 97

Privacycontrolemiddelen ........................................................................ 101
3.1

Privacycontrolemiddelen voor paginabeheerders ............................... 101

3.2

Privacycontrolemiddelen voor Facebookgebruikers ............................ 103

Doeleinden van de verwerking ................................................................ 105
4.1

Doeleinden Paginastatistieken ........................................................ 105

4.2

Doeleinden geobserveerde en afgeleide persoonsgegevens over paginainteracties ................................................................................... 106

Verwerker of (gezamenlijke) verwerkings-verantwoordelijke ...................... 110
5.1

Definities ..................................................................................... 110

5.2

Verwerker.................................................................................... 112

5.3

Verwerkingsverantwoordelijke ........................................................ 112

5.4

Gezamenlijke verwerkingsverantwoordelijken .................................. 119

Belangen bij de gegevensverwerking ....................................................... 124
6.1

Belangen van Nederlandse overheidsorganisaties ............................. 124

6.2

Belangen van Facebook ................................................................. 125

Doorgifte van persoonsgegevens naar buiten de EU .................................. 126
7.1

De feitelijk doorgiften van persoonsgegevens naar de VS door Facebook
.................................................................................................. 126

7.2

AVG-regels voor doorgiften van persoonsgegevens ........................... 128

7.3

Wettelijke obstakels voor gegevensdoorgiften naar de VS .................. 131

Technieken en methoden van de gegevensverwerking ............................... 134

Pagina 1 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

8.1

Machine learning .......................................................................... 135

8.2

Verwerking van big data ................................................................ 137

9

Verdere wettelijke verplichtingen: de ePrivacyrichtlijn ............................... 140

10

Bewaartermijnen .................................................................................. 142

Deel B. Rechtmatigheid van de gegevensverwerking .......................................... 145
11

Rechtsgronden ..................................................................................... 145
11.1 Geobserveerde en afgeleide gegevens over bezoeken aan een
overheidspagina ........................................................................... 148
11.2 Facebook Paginastatistieken .......................................................... 161

12

Bijzondere categorieën gegevens ............................................................ 166

13

Doelbinding .......................................................................................... 167

14

Noodzaak en proportionaliteit ................................................................. 168
14.1 Het beginsel van proportionaliteit ................................................... 168
14.2 Beoordeling van de proportionaliteit ................................................ 169
14.3 Beoordeling van de subsidiariteit .................................................... 173

15

Rechten van betrokkene ........................................................................ 174

Deel C. Bespreking en beoordeling van de risico's ............................................. 179
16

Risico's ................................................................................................ 179
16.1 Vaststelling van gegevensbeschermingsrisico's ................................. 179
16.2 Samenvatting risico's .................................................................... 186

Deel D. Beschrijving van risicobeperkende maatregelen ..................................... 187
17

Risicobeperkende maatregelen ............................................................... 187
17.1 Maatregelen tegen de zeven hoge risico's en een laag risico............... 188
Conclusies............................................................................................ 190

Bijlage 1 ...................................................................................................... 190
Reactie van Meta op de DPIA van de Nederlandse regering over
Facebookpagina's279 ...................................................................... 190
Reactie Privacy Company ....................................................................... 192

Pagina 2 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

FIGUREN
Figuur 1: Actieve Facebookgebruikers per maand in Nederland in juni
2022
23
Figuur 2: Standaardinstellingen van Facebook voor de rangschikking voor
het volgen van een pagina
26
Figuur 3: Bericht van de testpagina van het ministerie van Privacy te zien
in het Nieuwsoverzicht van testgebruiker C
27
Figuur 4: Voorbeeld van een voorgesteld bericht in het Nieuwsoverzicht
van testgebruiker B
27
Figuur 5: Anti-overheidsbericht over corona in het Nieuwsoverzicht
28
Figuur 6: Nog een bericht van dezelfde bron getoond in het
Nieuwsoverzicht
29
Figuur 7: De interfaces van Facebook voor berichten en video's na het
klikken op de stippen
29
Figuur 8: Radicale organisatie 'Voorgesteld voor jou' in het profiel van
testgebruiker B
30
Figuur 9: Voorstel van Facebook om de pagina 'De Hotspot' leuk te
vinden
31
Figuur 10: Activiteitlogboek Facebook met tijdstempels van vind-ik-leuks
31
Figuur 11: Gerelateerde pagina's getoond op de pagina van het
ministerie van Binnenlandse Zaken
32
Figuur 12: Voorgestelde pagina's getoond op de pagina van het
ministerie van Onderwijs
32
Figuur 13: Gesponsord bericht in het Nieuwsoverzicht van testgebruiker
C voor een investeringsplatform
3
3
Figuur 14: Advertenties die rechts bovenaan in het gebruikersprofiel
worden getoond
33
Figuur 15: Uitleg van Facebook over deze advertentie
34
Figuur 16: Algemene informatie van Facebook aan gebruikers waarom
advertenties worden getoond
34

Pagina 3 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 17: Misleidende inhoud van advertentie getoond aan testgebruiker
B
35
Figuur 18: Nog een voorbeeld van een advertentie voor cryptovaluta met
uitleg
36
Figuur 19: Facebookbanner met aanmoediging om aan te melden voor
niet-gebruikers
42
Figuur 20: Beschrijving van Facebook van vier categorieën “informatie'
46
Figuur 21: Facebook prestatiegegevens pagina
49
Figuur 22: Statistieken Huidige doelgroep
49
Figuur 23: Statistiek potentiële doelgroep voor de testpagina van de
overheid
50
Figuur 24: Facebook potentiële doelgroep voor de testpagina van de
overheid
51
Figuur 25: Analyses van Facebook over interacties met de testpagina
52
Figuur 26: Link naar Addendum Paginastatistieken na aanmaken van
pagina
53
Figuur 27: Activititeitlogboek van de testpagina van het ministerie van
Privacy
54
Figuur 28: Facebookbanner toestemming voor cookies
55
Figuur 29: Datr-cookie geplaatst door de testpagina van het ministerie
van Privacy
57
Figuur 30: Beeld van Facebookcookies geplaatst door uitzendbureau
Randstad.nl
57
Figuur 31: Beeld van Facebookcookies geplaatst door Bol.com
58
Figuur 32: Verzoek om toestemming voor cookies bij bezoek aan
testpagina
59
Figuur 33: Datr-cookie geplaatst in browser van niet-gebruiker
59
Figuur 34: Facebook cookiewall

Pagina 4 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

60
Figuur 35: Enkel cookie geplaatst door Meta Transparency Page
60
Figuur 36: Zes cookies met unieke identifiers geplaatst door de
homepagina van Facebook
61
Figuur 37: Informatie van Facebook over informatie over apparaten
61
Figuur 38: Nadere uitleg van Facebook over identifiers
62
Figuur 39: De interface van Facebook voor gebruikers voor het inzien en
beheren van gegevens
65
Figuur 40: Screenshots van Facebook uit 2019 met logica waarom
inhoud wordt getoond
71
Figuur 41: Aanvankelijk aan beide testgebruikers getoonde advertentieonderwerpen
75
Figuur 42: Leeg menu met advertentie-onderwerpen waarin een
gebruiker mogelijk geïnteresseerd is
75
Figuur 43: Dropdownmenu met advertentie-onderwerpen waarin een
gebruiker mogelijk geïnteresseerd is
76

Pagina 5 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 44: Subcategorieën in de hoofdcategorie 'bier'
76
Figuur 45: Controlemiddelen van Facebook voor paginabeheerders
82
Figuur 46: Beheerdersinterface van de testpagina
82
Figuur 47: Cookie-opties van Facebook voor eindgebruikers
84
Figuur 48: Facebook statistieken over FISA-bevelen
97
Figuur 49: Dia van Facebook-ingenieur Zhao over machine learning
110
Figuur 50: Facebook machine learningdiensten
111
Figuur 51: FBLearner-platform genereert voorspellingen over interesses
111
Figuur 52: Proces nieuwe ePrivacyverordening
114
Figuur 53: Bewaartermijnen Paginastatistieken

117

TABELLEN
Tabel 1: 'Essentiële' cookies geplaatst door Facebook in browser van
aangemelde testgebruiker C
Tabel 2: Omschrijving van Facebook van waargenomen cookies
Tabel 3: Correspondentie met Facebook over inzageverzoeken van betrokkene
Tabel 4: Bestanden verkregen via Profielgegevens downloaden van Facebook
Tabel 5: Facebook-gebeurtenissen getoond in antwoord op inzageverzoek
Tabel 6: Doelen en subdoelen van Facebook
Tabel 7: Overzicht van Amerikaanse wetgeving voor het verkrijgen van
persoonsgegevens van klanten uit de EU
Tabel 8: Specifieke doeleinden, genoemd door Facebook, met gerechtvaardigd
belang
Tabel 9: Risicomatrix gebaseerd op het ICO-model184
Tabel 10: Overzicht van de reacties van Meta op de hoge risico's
Tabel 11: Reactie Privacy Company op Meta’s standpunt over hoge risico's

Pagina 6 van 192

55
62
65
68
73
86
92
125
151
159
163

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Logboek wijzigingen
Versie

Datum

Samenvatting input

0.2

15 juli 2022

Eerste voltooide geschoond concept van deel A

0.3

21 juli 2022

Bijgehouden wijzigingen na interne review

0.4

21 juli 2022

Geschoonde versie voor review door BZK

0.5

24 augustus 2022

Bijgehouden wijzigingen na input BZK en PAR

0.6

24 augustus 2022

Geschoonde versie om te delen met Facebook

0.7

29 september 2022

Eerste voltooide concept (inclusief delen B, C en
D)

0.8

4 oktober 2022

Bijgehouden wijzigingen na input Facebook in
deel A

0.9

4 oktober 2022

Geschoonde versie voor BZK

1.0

12 oktober 2022

Geschoonde versie (incl. nieuwe ontwikkelingen
in de VS)

1.1

16 november 2022

Openbare versie met als bijlage het standpunt
van Meta en de reactie daarop van Privacy
Company

Samenvatting
Deze Data Protection Impact Assessment (DPIA in opdracht van
de Nederlandse ministerie van Binnenlandse Zaken en
Koninkrijksrelaties beoordeelt de risico's van het gebruik van
Facebookpagina's door de Nederlandse overheid.
Naast deze DPIA is een afzonderlijke Human Rights Impact
Assessment (HRIA) uitgevoerd die is gericht op de risico's voor
de rechten van betrokkenen op non-discriminatie, vrijheid van
gedachte, geweten en godsdienst en vrijheid van meningsuiting
en informatie.
Facebook/Meta
Facebook heeft zijn bedrijfsnaam in januari 2022 gewijzigd in
Meta Platform Inc. In dit rapport wordt toch nog de naam
'Facebook' gebruikt voor het socialemediaplatform, om
verwarring te voorkomen met andere apps die Meta aanbiedt,
zoals Instagram en WhatsApp.
Iedereen met een Facebookaccount kan een Facebookpagina
aanmaken voor het delen van contactgegevens, het plaatsen
van updates, het delen van nieuwsberichten met vrienden of
een
breder,
onbekend
publiek.
Vroeger
stonden
Facebookpagina’s voor organisaties bekend als Fan Pages. Nu
bestaat er geen aparte naam meer voor pagina's die zijn
aangemaakt door bedrijven, merken, organisaties en publieke

Pagina 7 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

personen.
Facebookgebruikers die een pagina leuk vinden of volgen,
krijgen updates van die organisatie in hun Nieuwsoverzicht. Het
Nieuwsoverzicht is een dynamische lijst van inhoud op de
homepagina van Facebook van iedere gebruiker, met
statusupdates, foto's, (live) video's, links, app-activiteiten en
vind-ik-leuks van mensen, pagina's en groepen. De inhoud
wordt beïnvloed door de activiteiten en vind-ik-leuks van
vrienden.
Reikwijdte van de DPIA
De reikwijdte omvat het genereren en gebruik van website
analytics (Paginastatistieken uit de Meta Business Suite) en het
activiteitlogboek over de interacties van bezoekers met de
inhoud van de pagina. Facebook stelt dergelijke statistieken ter
beschikking aan de eigenaar van de Facebookpagina.
In deze DPIA wordt het risico beoordeeld van de
gegevensverwerking door Facebook als gevolg van bezoeken
aan een overheidspagina. Deze verwerking bestaat onder
andere uit het tonen van individuele aanbevelingen aan
bezoekers van de Facebook-testpagina en aanbevelingen in het
Nieuwsoverzicht van de bezoekers als gevolg van de interactie
met aanbevolen artikelen of links.
Omdat Facebook niet de mogelijkheid biedt bedrijfsaccounts
aan te maken, gebeurt het aanmaken en bijhouden van
Facebookpagina's van overheidsorganisaties vaak met de privéFacebookaccounts
van
de
medewerkers
van
overheidsorganisaties. Daarom wordt ook de verwerking van
persoonsgegevens in relatie tot dit gebruik beoordeeld in deze
DPIA.
Tot slot bevat deze DPIA een beoordeling van de juridische
(niet-technische) risico's van onrechtmatige toegang van
Amerikaanse overheidsinstanties tot door Facebook verwerkte
persoonsgegevens als gevolg van het gebruik van een
overheidspagina.

Opzet van de test
Ten behoeve van deze DPIA is een testpagina aangemaakt
(ministerie van Privacy) en twee nieuwe persoonlijke
Facebookaccounts. Een maand lang bezochten de twee testers
elke
dag
de
overheidstestpagina.
Een
bestaande
Facebookgebruiker trad op als beheerder van de pagina en
communiceerde met de twee nieuwe accounts. De twee nieuwe
accounts werden alleen 'vrienden' met elkaar (op de hieronder
vermelde uitzonderingen na), maar deden verschillende dingen
op Facebook. Het ene account volgde alle Nederlandse politieke
partijleiders uit de Tweede Kamer en vond hun berichten
(lukraak) leuk, evenals twee ministeries (BZK en OCW) en drie
publieke instellingen (RIVM, ProDemos en KNMI). Het andere
account raakte bevriend met publieke LGBTI-personen en het

Pagina 8 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

ministerie van Defensie en vond hun berichten ook leuk.
Wanneer het volgen van pagina’s leidde tot aanbevelingen voor
andere pagina’s, werden sommige van deze aanbevelingen
opgevolgd, wat weer leidde tot het volgen van andere pagina’s.
Al het uitgaande netwerkverkeer is onderschept. Elke 5
seconden zijn automatisch schermfoto’s gemaakt van het
Nieuwsoverzicht van de twee testaccounts en van de inhoud van
de testpagina. Na afloop van de test hebben de onderzoekers
verzoeken ingediend bij de beheerder van de testpagina om
inzage
in
de
verzamelde
persoonsgegevens.
De
paginabeheerder heeft die verzoeken doorgestuurd aan
Facebook.
Resultaat: 7 hoge en 1 laag
gegevensbeschermingsrisico's
De uitkomst van deze DPIA is dat er 7 hoge en privacyrisico's
en 1 laag privacyrisico zijn wanneer overheidsorganisaties een
Facebookpagina gebruiken om met een groot publiek te
communiceren. Deze DPIA beveelt een aantal maatregelen aan
die Facebook zou kunnen nemen om deze risico's te beperken.
Hoewel overheidsorganisaties een paar maatregelen kunnen
nemen om sommige risico's gedeeltelijk te beperken, kunnen
deze niet alle hoge risico's verhelpen. Zelfs als de Europese
Commissie en de regering van de Verenigde Staten een nieuwe
trans-Atlantische gegevensbeschermingsovereenkomst sluiten,
kan de wereldwijde gegevensverwerking door Facebook nog
steeds risico's opleveren voor de toegankelijkheid van gegevens
in derde landen zonder adequate gegevensbescherming.
Doeleinden, rollen en grondslagen
In dit rapport zijn 15 doelen beschreven met aanvullende
subdoelen waarvoor Facebook de persoonsgegevens verwerkt
in verband met het bezoek van een overheidspagina. Deze
doelen omvatten veel manieren van verwerking in verband met
profilering en het tonen van gerichte reclame, gedeeltelijk
gebaseerd op het gebruik van volgcookies en unieke
apparaatidentifiers.
Facebook biedt alleen een gezamenlijke-verwerkingsverantwoordelijkenovereenkomst voor het maken van Paginastatistieken, niet voor de andere
gegevens die Facebook verwerkt als gevolg van een interactie met de inhoud
van een overheidspagina. De conclusie van deze DPIA is echter dat
overheidsorganisaties
en
Facebook
gezamenlijk
verwerkingsverantwoordelijken zijn voor de verwerking van alle
persoonsgegevens in verband met bezoeken aan een overheidspagina.
Omdat Facebook echter staat op de rol van onafhankelijke
verwerkingsverantwoordelijke
moeten
overheidsorganisaties
met
Facebookpagina's een rechtsgrond hebben voor het delen van alle
persoonsgegevens met Facebook als onafhankelijke derde en moet
Facebook zijn eigen rechtsgrond hebben. Noch Facebook, noch de
overheidsorganisatie kan zich om verschillende redenen met succes
beroepen op een rechtgrond. Facebook verwerkt afgeleide gevoelige
gegevens over surfgedrag en verkrijgt daarvoor niet de wettelijk vereiste
uitdrukkelijke toestemming. Facebook is niet transparant over de logica van
zijn personaliseringsalgoritmes en over de persoonsgegevens die het afleidt
uit websitebezoeken en communicatie-acties. Beheerders van de overheid

Pagina 9 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

hebben
geen
mogelijkheid
de
gegevensverwerking
van
hun
paginabezoekers voor commerciële doeleinden uit te schakelen en Facebook
maakt misleidend gebruik van volgcookies. Technisch gezien kan de
verwerking van big data door Facebook gekarakteriseerd worden als
'obscurity by design'.

Een van de doeleinden waarvoor Facebook gegevens verwerkt,
is gehoor geven aan bevelen van overheidsinstanties in derde
landen zonder adequate gegevensbescherming, zoals de VS. Uit
de openbare rapporten van Facebook over dergelijke
verstrekkingen blijkt dat de kans op verstrekking van
persoonsgegevens in verband met bezoeken aan Nederlandse
overheidspagina's
aan
rechtshandhavers
en
inlichtingendiensten uit de VS reëel is.
Risico's en risicobeperkende maatregelen
In de tabel hieronder staan de 7 hoge en 1 laag
beschermingsrisico's
voor
paginabezoekers,
met
de
risicobeperkende maatregelen die overheidsorganisaties en
Facebook kunnen nemen.

Pagina 10 van 192

Nr.

Hoog risico

1.

Onmogelijkheid om
rechten van
betrokkenen
uit te
oefenen

2.

Beperkend
effect op
andere
grondrechten

Maatregelen
overheid
Stop het
gebruik van
Facebookpagina’s
totdat
Facebook
zinvolle
inzage biedt
in de logica
van zijn
gegevensverwerking
Stel alle
informatie
ook
beschikbaar
op openbare
internetpagina's, buiten
het Facebookplatform.
Waarschuw
paginabeheerders dat ze
zich na het
aanmaken van
de pagina
moeten
aanmelden als
paginabeheerder

Maatregelen Facebook
Zorg voor zinvolle inzage in de logica
van de gepersonaliseerde inhoud,
inclusief afgeleide informatie en
interessevoorspellingen en stel
gebruikers in staat onjuiste gegevens
te verwijderen.
Bouw zinvolle tools om een dergelijke
inzage te bieden bij elk bericht in het
Nieuwsoverzicht.

Verleen gescreende onderzoekers
toegang tot feitelijke gegevens die
Facebook verwerkt met betrekking tot
populaire overheidspagina's om te
onderzoeken of het volgen van een
overheidspagina leidt tot een toename
of afname van verschillende
standpunten die in de personalisering
worden weergegeven. Daarnaast
moeten onderzoekers in staat zijn A/Btesten uit te voeren in een geïsoleerd
laboratorium met modelaccounts. Op
dit moment verbiedt Facebook het
gebruik van testaccounts.

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

3.

Gebrek aan
transparantie
over doelen van
de verwerking

-

4.

Verlies van
controle door
verdere
verwerking door
Facebook

Als Facebook
instellingen
biedt voor
beperking van
de
verwerking:
gebruik die

5.

Verlies van
controle door
het delen van
persoonsgegevens met derde
partijen

6.

Verlies van
controle,
heridentificatie
van
gepseudonimiseerde
gegevens als
gevolg van
eventuele
verstrekking
aan
Amerikaanse
autoriteiten

Als Facebook
een instelling
biedt om de
gegevensopslag te beperken: kies de
kortste
bewaartermijn
Vertel
bezoekers dat
ze de cookies
uit hun
browser
moeten
weggooien na
een bezoek
aan een
overheidspagina

Stop met het
gebruik van
Facebookpagina’s (te
heroverwegen
als er een
nieuwe transAtlantische
gegevensovereenkomst
is).

Breid de gezamenlijkeverwerkingsverantwoordelijkenovereenkomst voor Paginastatistieken uit
naar alle gegevensverwerkingen in
verband met bezoek van
overheidspagina's, door Facebookgebruikers en niet-gebruikers, met
inbegrip van afgeleide informatie en
interessevoorspellingen van gebruikers
Stop met het afdwingen van het
gebruik van het datr-cookie bij
bezoekers zonder Facebook account
Gebruik standaard privacyvriendelijke
instellingen voor cookies. Gebruik geen
misleidend ontwerp.
Zorg voor een opt-out voor beheerders
van overheidspagina's voor verdere
verwerking buiten de overeengekomen
doelen in de gezamenlijkeverwerkingsverantwoordelijkenovereen
komst
Stop met het afdwingen van het
gebruik van het datr-cookie
Bouw voor beheerders van
overheidspagina's de mogelijkheid in
zelf de bewaartermijn te bepalen van
de ruwe gegevens over
paginabezoeken

Stop met het afdwingen van
toestemming voor volgcookies
Verwijder alle Facebookcookies wanneer
een gebruiker zich afmeldt. Lees de
apparaat-ID-cookies alleen uit als er een
authenticatiecookie is dat aangeeft dat
de gebruiker is aangemeld.
Vraag uitdrukkelijke, geïnformeerde
toestemming voor alle volgcookies om
rekening te houden met de gevoelige
aard
van
informatie
over
het
surfgedrag
Vraag uitdrukkelijke, geïnformeerde
toestemming voor doorgifte van
gegevens aan derde partijen.
Stop met de doorgifte van
persoonsgegevens van bezoekers van
Nederlandse overheidspagina's naar de
VS. Heroverweeg de weigering om een
speciale EU-cloud te openen
Verstrek aan Nederlandse
overheidsorganisaties gedetailleerde
statistieken over de verstrekking van
persoonsgegevens van bezoekers van
Nederlandse overheidspagina's
Bewaar persoonsgegevens over
bezoeken aan Nederlandse
overheidspagina's niet langer dan 1
week en maak wekelijks
Paginastatistieken.

Pagina 11 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

7.

Filterbubble:
gemiste
berichten

Nr.

Laag risico

8.

Beperkend
effect als
gevolg van
toegang van
de overheid
tot Paginastatistieken

Nodig
paginabezoekers uit zich
te abonneren
op een
speciale
mailinglijst of
een ander
nietalgoritmisch
communicatiekanaal
Maatregelen
overheid

Voldoe aan artikel 29 DSA en bied
gebruikers de mogelijkheid te kiezen
voor een niet-gepersonaliseerd
Nieuwsoverzicht
Bied gebruikers de mogelijkheid
berichten van een overheidspagina
altijd in de top-10 van hun
Nieuwsoverzicht te ontvangen.

Geen
maatregelen
nodig

Verlaag het aggregatieniveau niet

Maatregelen Facebook

Conclusies
De conclusie van deze DPIA is dat overheidsorganisaties moeten
stoppen met het gebruik van Facebookpagina’s als Facebook
geen
maatregelen
neemt
om
de
hoge
gegevensbeschermingsrisico's te beperken. De Nederlandse
overheid gaat direct overleggen met Facebook.

Pagina 12 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Inleiding
Dit rapport in opdracht van de Nederlandse ministerie van
Binnenlandse Zaken en Koninkrijksrelaties is een Data
Protection Impact Assessment (DPIA) van het gebruik van
Facebookpagina's door de Nederlandse overheid. Naast deze
DPIA is een afzonderlijke Human Rights Impact Assessment
(HRIA) uitgevoerd die is gericht op de risico's voor de rechten
van betrokkenen op non-discriminatie, vrijheid van gedachte,
geweten en godsdienst en vrijheid van meningsuiting en
informatie.
In januari 2022 heeft Facebook zijn bedrijfsnaam gewijzigd in
Meta. In dit rapport wordt toch nog de naam 'Facebook' gebruikt
voor het socialemediaplatform, om verwarring te voorkomen
met andere apps die Meta aanbiedt, zoals Instagram en
WhatsApp.
Facebookpagina's
Iedereen met een Facebookaccount kan een Facebookpagina
aanmaken om contactgegevens en nieuwsberichten te delen en
interactie te hebben met vrienden of een breder, onbekend
publiek. Facebookpagina's kunnen gepersonaliseerd worden
met Verhalen, Evenementen en meer.
Vroeger stonden Facebookpagina’s voor organisaties bekend als
Fan Pages. Nu bestaat er geen aparte naam meer voor pagina's
die zijn aangemaakt door bedrijven, merken, organisaties en
publieke personen. Overheidsorganisaties kunnen en willen
Facebookpagina's gebruiken om een breed publiek te bereiken
en direct te communiceren met mensen op een manier waaraan
zij gewend zijn, via een platform waar ze al veel tijd aan
besteden.
Dit
rapport
heeft
betrekking
op
de
gegevensverwerking door middel van pagina's die zijn
aangemaakt door Nederlandse overheidsorganisaties. De
hiervoor aangemaakte testpagina wordt een overheidspagina
genoemd, maar Facebook maakt geen onderscheid tussen
pagina's van commerciële bedrijven en overheden.
Een Facebookpagina van een overheidsorganisatie kan worden
bekeken door Facebookgebruikers en niet-Facebookgebruikers.
Facebookgebruikers die een pagina leuk vinden of volgen,
krijgen updates van die organisatie in hun Nieuwsoverzicht.
Zelfs als ze de overheidspagina niet volgen, krijgen ze mogelijk
toch een aanbeveling als hun vrienden de pagina volgen of een
bericht op een dergelijke pagina leuk vinden.
Juridische achtergrond
Het Europese Hof van Justitie bepaalde in 2018 dat de eigenaar
van een Facebookpagina samen met Facebook een
gezamenlijke verwerkingsverantwoordelijke is voor de
aanvankelijke verzameling van persoonsgegevens door
Facebook wanneer een gebruiker de pagina bezoekt .1 In de zaak
Fashion ID, over het gebruik van een Facebook vind-ik-leukknop door externe websites, nuanceerde het HJEU zijn eerdere

Pagina 13 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

standpunt en bepaalde het dat een bedrijf of persoon niet kan
worden
beschouwd
als
een
gezamenlijke
verwerkingsverantwoordelijke voor latere handelingen waarvan
deze de doeleinden of de middelen niet bepaalt.2

1

HJEU, C-210/16, Unabhängiges Landeszentrum für Datenschutz

Schleswig-Holstein t. Wirtschaftsakademie Schleswig-Holstein GmbH,
5 juni 2018, ECLI:EU:C:2018:388.
HJEU, C-40/17, 29 juli 2019, Fashion ID GmbH & Co. KG t.
Verbraucherzentrale NRW eV, ECLI:EU:C:2019:629.
2

In juni 2021 stuurde de federale Duitse toezichthoudende
autoriteit een brief waarin zij alle Duitse overheidsorganisaties
aanraadde hun Facebookpagina's voor het einde van het jaar te
sluiten om de privacyrisico's te beperken.3 Een paar maanden
later,
in
september
2021,
publiceerde
de
Noorse
toezichthoudende autoriteit een DPIA over haar eventuele eigen
gebruik van een Facebookpagina en concludeerde dat de
communicatievoordelen niet opwogen tegen de risico's voor
betrokkenen.4 In juni 2022 stuurde een advocatenkantoor
namens Facebook een antwoord op deze DPIA.5
In november 2021 deed het hof van beroep in bestuurszaken in
Sleeswijk-Holstein (waarnaar de zaak over de pagina uit 2011
was terugverwezen door het HJEU) uitspraak (na 10 jaar
procederen). Het hof concludeerde dat de school haar
Facebookpagina inderdaad moest sluiten wegens schendingen
van cookie- en gegevensbeschermingswetten. Het hof
concludeerde dat de verwerking van persoonsgegevens door
Facebook als gevolg van het bezoeken van een pagina niet
gebaseerd was op een rechtsgrond en evenmin kon worden
gebaseerd op toestemming van gebruikers. Met name omdat
betrokkenen onvoldoende geïnformeerd waren over het
verzamelen van gegevens en de doeleinden van de verwerking
als gevolg van het bezoeken van een pagina.6 Het hof bepaalde
nadrukkelijk dat Facebook en de pagina-eigenaar gezamenlijk
verantwoordelijk waren voor de verwerking voor de
Paginastatistieken en voor het gebrek aan adequate informatie.
In reactie op deze uitspraak richtten de toezichthouders van de
Duitse deelstaten een Taskforce Facebook-Fanpages op. Op 18
maart 2022 concludeerden zij dat Facebook en paginaeigenaren gezamenlijk verantwoordelijk zijn voor het verkrijgen
van toestemming van paginabezoekers voor drie volgcookies:
datr, c-user en fr van gebruikers, en datr van niet-gebruikers.7
De Duitse toezichthouders tonen aan waarom Facebook die
toestemming niet verkrijgt. De Duitse toezichthouders
benadrukken
ook
de
gezamenlijke
verwerkingsverantwoordelijkheid voor het verzamelen en
verdere verwerking van gegevens van paginabezoekers door
Facebook, in tegenstelling tot de uitspraak van de
bestuursrechter in hoger beroep.

Pagina 14 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Bundesdatenschutzbeauftragter, brief van 16 juni
2021, Facebook-Auftritte von öffentlichen Stellen des
Bundes,
URL:https://www.bfdi.bund.de/SharedDocs/Downloads/
DE/DokumenteBfDI/Rundschreiben/Allgeme
in/2021/Facebook-Auftritte-Bund.pdf? -blob=publicationFile&v=1
3

Persbericht Noorse toezichthoudende autoriteit, Norwegian Data
Protection Authority choose not to use Facebook, 22 september
2021, URL: https://www.datatilsynet.no/en/news/2021/norwegiandata-protection-authority-choose-not-to-use-facebook/
5
Advocatenkantoor Schjodt, Memo on the Norwegian DPA’s
assessment of Facebook pages, juni 2022, door Facebook op 5 juli
2022 verstrekt aan het ministerie van BZK.
6
De titel van het persbericht van het hof van beroep in bestuurszaken
in Sleeswijk-Holstein luidt: Wirtschaftsakademie ist wegen
datenschutzrechtlicher Verstöße verpflichtet, Facebook-Fanpage zu
deaktivieren. 27 november 2021, URL: https://www.schleswigholstein.de/DE/justiz/gerichte-undjustizbehoerden/OVG/Presse/PI_OVG/2021_10_27_Ausbaubeitrag_ha
t_Bestand_kopie.html. Tekst uitspraak: Schleswig-Holsteinisches
OVG, Urteil vom 25.11.2021 - 4 LB 20/13, URL:
https://openjur.de/u/2383902.html.
7
Kurzgutachten zur datenschutzrechtlichen Konformität des Betriebs von
Facebook‐Fanpages,
4

18 maart 2022, URL:
https://www.datenschutzkonferenzonline.de/media/weitere_dokumente/DSK_K
urzgutachten_FacebookFanpages_V1_18.03.2022.pdf

Dit wordt uitgebreider besproken in hoofdstuk 5 van deze DPIA. Op 23 maart
2022 bekrachtigde de conferentie van toezichthoudende instanties van de
deelstaten en de federale overheid de conclusie dat het gebruik van
Facebookpagina's in strijd is met wetgeving inzake gegevensbescherming
en dat daarmee moet worden opgehouden. Ook besloot de conferentie
onderzoek te doen en naleving door overheidsinstanties af te dwingen. 8
Vragen Nederlands parlement
Naar aanleiding van vragen van het Nederlandse parlement
over het gebruik van Facebookpagina's gaf de minister van
Binnenlandse Zaken en Koninkrijksrelaties (hierna: BZK)
opdracht te onderzoeken hoe de centrale overheid
Facebookpagina's gebruikt, welke rollen de verschillende
partijen hebben en wat de inhoud is van de afspraken met
Facebook. De minister besloot deze informatie te gebruiken om
na te gaan of er een DPIA moest worden uitgevoerd om te
beoordelen of er nadere maatregelen nodig waren.9 In april
2022 stuurde de staatssecretaris een update naar het
Nederlandse parlement.10 Daarin legde de staatssecretaris uit
dat zij aan een onafhankelijk bedrijf opdracht had gegeven voor
een DPIA “vanwege recente ontwikkelingen zoals [het verbod
op Facebookpagina's] van de Duitse toezichthoudende autoriteit
en vanwege de technisch en juridisch zeer complexe aard van
deze specifieke gegevensverwerking.”11

Pagina 15 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

DPIA
Op grond van de Algemene verordening gegevensbescherming
(AVG) kan een organisatie onder bepaalde omstandigheden
verplicht zijn een data protection impact assessment
(gegevenseffectbeoordeling, DPIA) uit te voeren, bijvoorbeeld
wanneer het gaat om grootschalige verwerking van
persoonsgegevens. De beoordeling is bedoeld om licht te
werpen op onder andere de specifieke verwerkingsactiviteiten,
het inherente risico voor betrokkenen en de toegepaste
waarborgen om deze risico's te beperken. Het doel van een
DPIA is ervoor te zorgen dat alle risico's in verband met het
proces in kwestie in kaart worden gebracht en beoordeeld en
dat er adequate waarborgen zijn toegepast om die risico's te
beperken.
Een DPIA heette vroeger een PIA, privacy impact assessment.
Overeenkomstig de AVG worden in een DPIA de risico's voor de
rechten en vrijheden van betrokkenen beoordeeld. Betrokkenen
hebben fundamenteel recht op bescherming van hun
persoonsgegevens en enkele andere fundamentele vrijheden
die geraakt kunnen worden door de verwerking van
persoonsgegevens, zoals de vrijheid van meningsuiting.

Besluit van de conferentie van onafhankelijke toezichthoudende
instanties van de federale overheid en deelstaten inzake de Task
Force Facebook-Fanpages van 23 maart 2022, URL:
https://datenschutzkonferenzonline.de/media/dskb/DSK_Beschluss_Facebook_Fanpages.pdf. Zie
ook de veelgestelde vragen van 22 juni 2022 waarom het gebruik
van Facebookpagina's problematisch is, URL:
https://www.datenschutzkonferenzonline.de/media/oh/20220622_oh_10_FAQ_Facebook_Fanpages.pdf
.
8

Brief minister van BZK aan de Tweede Kamer, 15 september 2021,
URL:
https://www.rijksoverheid.nl/documenten/kamerstukken/2021/09/1
5/kamerbrief-reactie-op- artikel-duitse-privacy-waakhond-regeringmoet-facebookpaginas-sluiten.
10
Brief minister van BZK aan de Tweede Kamer, Voortgang reactie
op NRC-artikel 'Duitse privacy-waakhond: regering moet
Facebookpagina’s sluiten’, File 32 761, no. 221, 26 april
2022, URL:
9

https://www.tweedekamer.nl/kamerstukken/brieven_regering/detail
?id=2022Z08424&did=20 22D17028.
11
Idem.

Het recht op gegevensbescherming is derhalve breder dan
het recht op privacy. In overweging 4 van de AVG is
toegelicht: “Deze verordening eerbiedigt alle grondrechten
alsook de vrijheden en beginselen die zijn erkend in het
Handvest zoals dat in de Verdragen is verankerd, met name
de eerbiediging van het privéleven en het familie- en
gezinsleven, woning en communicatie, de bescherming van
persoonsgegevens, de vrijheid van gedachte, geweten en

Pagina 16 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

godsdienst, de vrijheid van meningsuiting en van
informatie, de vrijheid van ondernemerschap, het recht op
een doeltreffende voorziening in rechte en op een
onpartijdig gerecht, en het recht op culturele, godsdienstige
en taalkundige verscheidenheid.”
Deze DPIA volgt de structuur van het DPIA-model dat
verplicht is voor alle Nederlandse overheidsorganisaties.12
Omdat de gegevensverwerking als gevolg van een bezoek aan
een overheidspagina plaatsvindt ten behoeve van profilering op
grote schaal en omdat de gegevensverwerking ook
locatiegegevens omvat en gegevens over communicatie (inhoud
dan wel metadata) en daarbij ook gegevens zijn betrokken die
gebruikt kunnen worden om activiteiten van bezoekers van
Facebookpagina's
te
volgen,
zijn
Nederlandse
overheidsorganisaties verplicht een DPIA uit te voeren op basis
van de criteria die zijn gepubliceerd door de Nederlandse
Autoriteit Persoonsgegevens.13
Dit DPIA-rapport is geschreven door het Nederlandse privacyadviesbureau Privacy Company.14
Reikwijdte van deze DPIA
Deze DPIA beoordeelt de risico's van de verwerking van
persoonsgegevens door Facebook en de overheidsorganisatie
tijdens het aanmaken, gebruik en onderhoud van een
Facebookpagina door een Nederlandse overheidsorganisatie.
Hiertoe werd een speciale testpagina aangemaakt van het nietbestaande ministerie van Privacy. De reikwijdte omvat zowel
geregistreerde gebruikers van een Facebookpagina als
bezoekers van een pagina van de overheid zonder
Facebookaccount (niet-gebruikers).
Het onderzoek omvat het verzamelen van gegevens van buiten
het platform over niet-gebruikers (met cookies), aangezien het
mogelijk is dat deze mensen op zoek zijn naar
overheidsinformatie die alleen te vinden is op Facebook of dat
ze onbedoeld terechtkomen op een openbare Facebookpagina
als gevolg van een zoekopdracht, zonder de voorwaarden van
Facebook geaccepteerd te hebben. Deze vorm van
gegevensverwerking valt onder het onderzoek omdat de
gegevensverwerking (met het cookie) het gevolg is van een
bezoek aan een overheidspagina en daarbij persoonsgegevens
worden verwerkt van bezoekers van de pagina.
De reikwijdte omvat het genereren en gebruik van website
analytics (de Paginastatistieken uit de Meta Business Suite).
Facebook stelt dergelijke statistieken ter beschikking aan de
eigenaar van de Facebookpagina.
Dit rapport bevat ook een beoordeling van de juridische (niettechnische) risico's van onrechtmatige toegang van de
Amerikaanse
overheid
tot
door
Facebook
verwerkte
persoonsgegevens als gevolg van het onderhouden en
bezoeken van de overheidspagina.
13

Bron: Autoriteit Persoonsgegevens, Wat zijn de criteria van de AP

Pagina 17 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

voor een verplichte DPIA? URL:
https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/data- protectionimpact-assessment-dpia#wat-zijn-de-criteria-van-de-ap-voor-eenverplichte-dpia-6667. Vergelijkbare criteria (grootschalige
gegevensverwerking, systematische monitoring en gegevens over
kwetsbare betrokkenen en observatie van communicatiegedrag) zijn
opgenomen in de richtlijnen voor Data Protection Impact Assessment
(DPIA), WP249 rev.01, van de toezichthoudende autoriteiten van de
EU, URL: http://ec.europa.eu/newsroom/Article29/itemdetail.cfm?item_id=611236.
14

Privacy Company, URL: https://www.privacycompany.eu/

De reikwijdte omvat de verwerking die voor Facebook noodzakelijk is
om aan bezoekers van de Facebookpagina van de overheid
aanbevelingen te tonen, waaronder aanbevelingen gecreëerd door de
algoritmen van Facebook om inhoud te rangschikken op basis van
afgeleide voorkeuren. Dit valt onder het onderzoek, omdat de
gegevensverwerking plaatsvindt op een overheidspagina en
persoonsgegevens van bezoekers van de pagina worden verwerkt.
Omdat Facebook niet de mogelijkheid biedt bedrijfsaccounts aan te
maken, gebeurt het aanmaken en bijhouden van Facebookpagina's
van overheidsorganisaties vaak met de privé-Facebookaccounts van
de medewerkers van overheidsorganisaties. Daarom valt ook de
verwerking van persoonsgegevens in relatie tot dit gebruik (beheer)
van de Facebookpagina van de overheid onder de reikwijdte van deze
DPIA.
Buiten de reikwijdte van deze DPIA
Technisch gezien is alleen de gegevensverwerking via de
browser getest in Chrome op een MacBook: niet via mobiele
apps, omdat deze DPIA met name is gericht op de verwerking
als
gevolg
van
bezoeken
aan
een
internetpagina.
Gegevensverwerking door Whatsapp of Instagram valt evenmin
onder deze DPIA.
In de advertentierichtlijnen van de overheid is bepaald dat het
gebruik van 'custom audiences' en 'lookalike audiences' niet aan
te bevelen is, aangezien deze verwerking mogelijk onnodige
gegevensbeschermingsrisico's meebrengt voor burgers. De
door de Nederlandse centrale overheid gehanteerde standaard
is om alleen contextueel te adverteren op niet-persoonlijke
gegevenscategorieën, zoals leeftijd, postcode, woonplaats,
geslacht
en
opleiding
(nooit
op
bijzondere
gegevenscategorieën). Daarom valt het gebruik van deze twee
specifieke opties voor adverteren van Facebook buiten de
reikwijdte van deze DPIA.15
Kort gezegd vallen de volgende elementen buiten het onderzoek:
•
Gegevensverwerking via mobiele Facebook-apps16
•
Advertentiediensten van Facebook, waaronder 'custom
audiences' en 'lookalike audiences'
•
Gegevensverwerking door WhatsApp en Instagram
•
Gegevensverwerking door apps of websites van derde
partijen wanneer een aangemelde Facebookgebruiker
een app installeert of een website bezoekt via een link
die wordt aangeboden in het Nieuwsoverzicht
•
De verwerking van persoonsgegevens door Facebook
niet in verband met bezoeken aan een overheidspagina

Pagina 18 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Methode
Privacy Company heeft vijf onderzoeksmethoden toegepast:
1. Maken van screenshots van de op de testpagina
getoonde inhoud, het Nieuwsoverzicht van de
testgebruikers en voorstellen van Facebook voor
vrienden en inhoud.
2. Onderscheppen van het uitgaande netwerkverkeer van de testgebruikers
3. Benaderen van de door Facebook verstrekte Paginastatistieken
4. Downloaden van persoonsgegevens met betrekking tot
de testgebruikers die Facebook beschikbaar stelde via
Je gegevens downloaden
5. Indienen van inzageverzoeken van betrokkenen voor de drie testgebruikers

Ministerie van Algemene Zaken, Dienst Publiek en Communicatie,
Richtlijnen voor privacyproof en effectief campagne voeren, 25 mei
2018.
15

Opname in het onderzoek zou uitgebreid testen, technisch
ingewikkelde onderschepping van verkeer en analyse hebben
gevergd en zou de hoofdbevindingen over de legitimiteit van het
gebruik van een Facebookpagina door overheidsorganisaties niet
zinvol hebben gewijzigd.
16

Deze onderzoeksmethode is gekozen om de technische aard
en omvang van de gegevensverwerking vast te stellen.
Organisaties kunnen niet vertrouwen op wettelijke
waarborgen zoals overeenkomsten voor de beoordeling van
hun rol en de daaruit voortvloeiende verantwoordelijkheden
voor de verwerking, met inbegrip van de
gegevensbeschermingsrisico's. Een veel voorkomend risico is
verlies van controle omdat de verwerkers- of
verwerkingsverantwoordelijkenovereenkomst niet volledig is
en daarin het bestaan van diagnostische gegevensverwerking
of essentiële doelen van de verwerking ontbreken. Een ander
gebruikelijk risico is onrechtmatige verdere verwerking
wanneer een organisatie denkt een partij aan te stellen als
verwerker, maar uit het technische onderzoek blijkt dat die
partij in feite moet worden aangemerkt als een zelfstandige of
gezamenlijke verwerkingsverantwoordelijke.17
Privacy Company heeft de analyse tussen 27 februari 2022 en
30 maart 2022 uitgevoerd op een MacOS versie 10.15.7, met
Chrome-browser 98.0.4758.102, met afzonderlijke testen van
de cookies die werden geplaatst in de browsers van nietgebruikers op 30 juni 2022.
Elke dag werd een automatische testrun uitgevoerd met een
schone browser. De testrun duurde elke dag ongeveer 15
minuten, waarbij elk van de drie testaccounts de testpagina van
het ministerie van Privacy bezocht en daar interactie mee had.
Twee van de drie testaccounts waren helemaal nieuw, door
individuele medewerkers van Privacy Company (Sjoera en
Winfried) aangemaakt ten behoeve van deze DPIA. Het derde
account was een bestaand account dat fungeerde als de

Pagina 19 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

beheerder van de pagina (Floor). De drie testgebruikers
worden hierna A voor Floor, B voor Sjoera en C voor Winfried
genoemd.
Activiteiten op Facebook
•
De twee nieuwe accounts B en C werden vrienden
van elkaar en van het bestaande account A.
•
Account B volgde 17 leiders van de 20 politieke
partijen die waren gekozen in de Tweede Kamer.18
Enkele partijleiders hadden geen openbare pagina of
hadden het maximumaantal volgers bereikt. Voor dit
scenario was gekozen om een politieke vertekening in
de aan de testgebruiker getoonde inhoud te
voorkomen en om dit te vergelijken met de door
Facebook geselecteerde en aan de gebruiker getoonde
inhoud. Account B volgde ook drie Nederlandse
ministeries (BZK, Buitenlandse Zaken en OCW),
evenals vier publieke instellingen (RIVM, KNMI, NPO
Politiek en ProDemos).
•
Account C raakte bevriend met publieke personen en
pagina's van organisaties met een bekende LHBTIachtergrond en een overheidsorganisatie met een
duidelijk profiel, het ministerie van Defensie. Voor dit
profiel was gekozen om te zien of deze twee
afzonderlijke interesses terug te zien zouden zijn in
de aan de gebruiker getoonde inhoud.
•
De accounts B en C vonden inhoud op de testpagina leuk en
hadden daar interactie mee.
Zie bijvoorbeeld EDPB, Richtsnoeren 07/2020 over de
begrippen “verwerkingsverantwoordelijke” en “verwerker” in de
AVG, Versie 2.0, 7 juli 2021, URL:
https://edpb.europa.eu/system/files/202107/eppb_guidelines_202007_controllerprocessor_final_en.pdf.
Zie bijvoorbeeld par. 21:
“Dit gezegd zijnde, is het begrip “verwerkingsverantwoordelijke” een
functioneel begrip en is het derhalve op een feitelijke en niet op een
formele analyse gebaseerd.”
18
Liane den Haan, Laurens Dassen, Kees van der Staaij, Lilian
Marijnissen, Geert Wilders, Esther Ouwehand, Lilianne Ploumen, Pieter
Omzigt, Nilüfer Gündoğan, Wybren van Haga, Joost Eerdmans, Jesse
Klaver, Thierry Baudet, Farid Azarkan, Gert-Jan Segers en Sylvana
Simons.
17

•

•

•

De accounts B en C volgden incidenteel pagina's die
door Facebook werden voorgesteld als 'Voorgesteld
voor jou' of 'Vergelijkbare pagina's') in een banner
bovenaan een pagina) of als 'Aanbevolen pagina's'
(in een banner in het Nieuwsoverzicht van de
gebruiker).
Alle drie de testaccounts hadden interactie met
inhoud op de algemene tijdlijn, zoals berichten,
advertenties en video's.
Alle drie de testaccounts gebruikten Facebook
Reacties om te delen en te reageren op berichten
op de pagina.

Privacy Company zag erop toe dat het onderzoek
reproduceerbaar en herhaalbaar is. Dit werd bereikt door het

Pagina 20 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

aantal acties te beperken. Er was een pauze van ongeveer 30
seconden tussen alle acties. Er werden elke 10 seconden
automatisch screenshots gemaakt om alle acties vast te leggen.
Alle data is opgeslagen. De waargenomen netwerkeindpunten
en de onderschepte data zijn samengevat in paragraaf 2.2 van
dit rapport.
Privacyvriendelijke instellingen in de browser
De standaardinstelling van de Chrome-testbrowser werd
gewijzigd teneinde eventueel verkeer naar Google als gevolg
van de cloudfunctionaliteit van de browser te voorkomen.
Chrome moest ook worden ingesteld voor het aanvaarden van
het gebruik van mitmproxy. Daartoe werden de instellingen
gebruikt uit de chromedp library.19 De wijzigingen in de
standaardconfiguratie van Chrome zijn vermeld in bijlage 1 van
deze DPIA.
Inzageverzoeken van betrokkene
Als onderdeel van de methode om inzicht te krijgen in de
gegevensverwerking dienden de onderzoekers van Privacy
Company inzageverzoeken van betrokkene in, zowel
rechtstreeks, als betrokkenen van testaccount B en C die de
testpagina bezochten en indirect door indiening van een
inzageverzoek van betrokkene bij de beheerder van de pagina
van het ministerie van Privacy (testaccount A). De resultaten
daarvan worden besproken in paragraaf 2.5 van dit rapport.
Antwoorden Facebook
Facebook heeft tweemaal een schriftelijke visie gegeven over
de DPIA. In zijn brief van 29 september 2022 heeft Facebook
zijn visie gegeven op deel A van de DPIA dat op 24 augustus
2022 gedeeld was. Op 11 november 2022 gaf Facebook zijn
visie op het volledige rapport. Deze tweede visie is samengevat
in bijlage 1 bij deze DPIA, met een antwoord van Privacy
Company.
Op
beide
brieven
van
Facebook
is
aangegeven:
VERTROUWELIJK / BEVAT HANDELS- EN BEDRIJFSGEHEIMEN
VAN META PLATFORMS IRELAND LTD. Derhalve kan niets van
de bijdrage van Facebook letterlijk worden opgenomen in de
DPIA. Het antwoord van Facebook op de feiten in deel A is zeer
summier als volgt samen te vatten:
Facebook heeft juridische opinies gegeven over bijvoorbeeld de
locatie van de verantwoordelijke Facebook-entiteiten, de
reikwijdte
van
de
DPIA
en
gezamenlijke
verwerkersverantwoordelijkheid. In het laatste punt haalt
Facebook de hierboven beschreven uitspraak aan uit 2021 van
het Duitse hof van beroep in bestuurszaken. Aangezien deze
uitspraak openbaar is, worden de argumenten van Facebook in
die zaak gebruikt om de standpunten van Facebook weer te
geven. Facebook concludeert uit deze uitspraak dat Facebook
en de beheerder van de Fan Page alleen gezamenlijk
verwerkingsverantwoordelijken zijn voor het produceren van
statistieken, maar niet voor de opslag van de koppeling van de
bezoeken aan de Fan Page en de gegevens

Pagina 21 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

19

https://github.com/chromedp/chromedp

van een Facebookgebruiker in profielen en het gebruik daarvan
voor advertentiedoeleinden. Facebook citeert het Duitse hof
van beroep dat er geen gezamenlijke besluit is over het doel
van de gegevensverwerking. Facebook citeert ook het hof dat
de gegevensverwerking niet plaatsvindt in het belang van de
eiser en de eiser geen voordelen oplevert. Derhalve zouden er
geen objectieve verbindende factoren zijn voor het aannemen
van ten minste een stilzwijgende gezamenlijke beslissing door
de eigenaar van de Fan Page.
Deze redenering was al opgenomen in hoofdstuk 5 van deze
DPIA, maar is uitgebreid met een antwoord dat dit argument
weerlegt,
op
basis
van
de
beslissingen
van
de
toezichthoudende autoriteiten van de Duitse centrale overheid
en de deelstaten.

De argumenten van Facebook veranderen niets aan de
conclusie van deze DPIA dat Facebook en Nederlandse
overheidsorganisaties die een pagina openen in feite
aangemerkt
moeten
worden
als
gezamenlijke
verwerkingsverantwoordelijken voor alle gegevensverwerking
in verband met bezoeken aan een overheidspagina door
gebruikers en niet-gebruikers. In deze DPIA wordt echter
aanvullend aangevoerd dat als een overheidsorganisatie met
een pagina geen gezamenlijke verwerkingsverantwoordelijke is,
Facebook moet worden aangemerkt als een onafhankelijke
derde partij. Dat betekent dat de overheidsorganisatie een
rechtsgrond
moet
hebben
voor
de
doorgifte
van
persoonsgegevens aan een derde partij. Paragraaf 11.2 van de
DPIA concludeert dat deze 'verdere verwerking' door Facebook
voor de eigen commerciële doeleinden van Facebook
onverenigbaar
is
met
het
doel
waarvoor
een
overheidsorganisatie Facebook aanvankelijk toestaat de
persoonsgegevens van paginabezoekers te verzamelen: om
technisch de communicatie mogelijk te maken met een groot
publiek en website analytics (Paginastatistieken) te produceren.
De analyse in paragraaf 11.1 is aangevuld met enkele
aanvullende argumenten van de Duitse toezichthouders
waarom Facebook zich niet kan baseren op een rechtsgrond
voor zijn huidige gegevensverwerking.
Facebook wijst ook op vermeende feitelijke fouten en verzoekt
om een uitgebreidere uitleg van sommige bevindingen. Waar
nodig zijn enkele beschrijvingen verwijderd en enkele
toelichtingen uitgebreid.
Opzet
Dit assessment volgt de structuur van het Model
Gegevensbeschermingseffectbeoordeling
Rijksdienst
(PIA)
(september
2017).20
Dit
model
bestaat
uit
vier
hoofdonderdelen, die hier zijn aangegeven als “delen”.
A. Beschrijving kenmerken gegevensverwerkingen
B. Beoordeling rechtmatigheid gegevensverwerking
C. Beschrijving van de risico's voor betrokkenen
D. Beschrijving mitigerende maatregelen
Deel A bevat een uitleg over de gegevensverwerking als gevolg

Pagina 22 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

van bezoeken aan de Facebook-testpagina. Het begint met een
beschrijving van de technische manier waarop Facebook
persoonsgegevens verzamelt en hoe bepaalde gegevens
worden getoond aan de beheerder van de overheidspagina. Dit
deel beschrijft welke categorieën persoonsgegevens en
betrokkenen mogelijk geraakt worden door de verwerking, de
doeleinden van de gegevensverwerking, de verschillende rollen
van partijen, de verschillende belangen in verband met deze
verwerking, de locaties waar de gegevens worden opgeslagen
en de bewaartermijnen.

Model Gegevensbeschermingseffectbeoordeling Rijksdienst
(PIA). Zie voor een uitleg en voorbeelden:
https://www.rijksoverheid.nl/documenten/
rapporten/2017/09/29/modelgegevensbeschermingseffectbeoordeling-rijksdienst-pia
20

Deel B geeft een beoordeling (door Privacy Company, met input
van BZK) over de rechtmatigheid van de gegevensverwerking.
Deze analyse begint met een analyse van de rechtsgronden
voor de verwerking in verband met de juridische kwalificatie van
de rollen van Facebook als leverancier van de paginadienst en
de Nederlandse overheidsorganisatie als de partij die de inhoud
van de pagina levert. Vervolgens wordt de naleving van de
kernbeginselen van gegevensverwerking beoordeeld, met
inbegrip van transparantie, gegevensbeperking, doelbeperking,
evenals de noodzaak en proportionaliteit van de verwerking. In
dit deel komt de rechtmatigheid van de doorgifte van
persoonsgegevens naar landen buiten de EER afzonderlijk aan
de orde, evenals hoe de rechten van betrokkenen in acht
worden genomen.
In deel C worden de risico's voor betrokkenen beoordeeld als
gevolg van de verwerkingsactiviteiten in verband met het
verzamelen van gegevens in verband met de bezoeken aan de
overheidspagina op Facebook, maar ook in verband met de
risico's van onrechtmatige toegang tot persoonsgegevens door
Amerikaanse overheidsdiensten.
Deel D beoordeelt de maatregelen die Facebook en de
afzonderlijke overheidsorganisaties die een pagina beheren
kunnen nemen om de risico's en de gevolgen daarvan te
beperken.

Pagina 23 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Deel
A.
Beschrijving
gegevensverwerking

van

Dit eerste deel van de DPIA bevat een beschrijving van de
kenmerken van de verwerking van persoonsgegevens door
Facebook als gevolg van het aanmaken en bijhouden van een
overheidspagina op Facebook.
Daarna volgt in dit deel een beschrijving van de
gegevensverwerkingsprocessen van Facebook, de categorieën
betrokkenen die mogelijk geraakt worden door de verwerking,
de locaties waar de gegevens mogelijk worden opgeslagen,
verwerkt en geanalyseerd, de door Facebook opgegeven
doeleinden
van
de
verwerking
en
de
rollen
van
overheidsorganisaties
als
(gezamenlijke)
verwerkingsverantwoordelijken met Facebook. Dit deel geeft
ook een overzicht van de verschillende belangen met betrekking
tot deze verwerking en van de bewaartermijnen.

1.

Verwerking van persoonsgegevens
Dit hoofdstuk bevat een overzicht van de technische reikwijdte
van de verwerking van persoonsgegevens.
Facebook genereert en verwerkt drie types persoonsgegevens:
gegevens over inhoud, activiteitengegevens van gebruikers en
afgeleide gegevens. De beschrijvingen hieronder zijn beperkt
tot de gegevensverwerking in verband met bezoeken aan een
overheidspagina op Facebook door de drie testgebruikers.
1. Gegevens
over
inhoud
zijn
gegevens
die
Facebookgebruikers actief verstrekken of publiceren,
evenals advertenties en gesponsorde berichten die
Facebook aan een bepaalde gebruiker toont.
Facebookgebruikers hebben interactie met gegevens
over inhoud op een overheidspagina op Facebook in drie
rollen: als bezoeker van de pagina, als beheerder van
de pagina of als persoon genoemd in een bericht op de
pagina.
2. Activiteitengegevens van gebruikers zijn gegevens
die gegenereerd, geobserveerd en (verder) verwerkt
worden door Facebook als gevolg van het aanmaken
van de overheidspagina en de interacties van de
gebruikers met de pagina. Deze persoonsgegevens zijn
onder te verdelen in drie subcategorieën:
1. Gebruikersactiviteit op Facebook
2. Gebruikersactiviteit buiten Facebook verzameld
met behulp van cookies die zijn geplaatst door de
overheidspagina;
3. Gegevens verzameld van niet-gebruikers als zij
een overheidspagina bezoeken. De verwerking van
gegevens uit deze drie subcategorieën door Facebook
wordt hieronder nader besproken, in de paragrafen
1.2.1, 1.2.2 en 1.2.4.
3. Afgeleide gegevens zijn de voorspellingen die
Facebook doet over de interesses van een gebruiker,

Pagina 24 van 192

de

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

om te bepalen welke inhoud het aan de gebruiker laat
zien (welk bericht bovenaan het Nieuwsoverzicht komt
te staan, welke gerelateerde pagina's, groepen of
vrienden
worden
voorgesteld
en
welke
gepersonaliseerde advertenties worden getoond). De
verwerking door Facebook van gegevens uit deze
subcategorie wordt besproken in paragraaf 1.2.3, voor
zover deze verband houden met bezoeken aan een
overheidspagina
op
Facebook
door
de
drie
testgebruikers.

1.1

Dit hoofdstuk begint met een korte beschrijving van het bedrijf
dat eigenaar is van het sociale netwerk, waar het gevestigd is,
zijn marktaandeel in Nederland en hoe het inkomsten genereert
met gerichte advertenties. Daarna volgt een uitgebreidere
beschrijving van de verwerking door Facebook van
activiteitengegevens van gebruikers en afgeleide gegevens en
hoe Facebook technisch in staat is de aan iedere eindgebruiker
getoonde inhoud te personaliseren.
Over Facebook/Meta
Het Amerikaanse bedrijf Meta Platforms Inc. (in dit rapport
Facebook genoemd waar het rapport betrekking heeft op de
gegevensverwerking door het sociale platform) zegt dat het
meer dan 3 miljard gebruikers heeft die dagelijks 140+ miljard
berichten delen.21 Aan het einde van het eerste kwartaal van
2022 waren bij Meta wereldwijd meer dan 77.800 fulltime
medewerkers in dienst.22

1.1.1

Vestigingsplaats en toepasselijk recht
Facebook heeft kantoren in meer dan 80 steden in de hele
wereld, waaronder een kantoor in Amsterdam.23 Het
hoofdkantoor van Facebook staat in de Verenigde Staten, maar
ten behoeve van de gegevensverwerking heeft Facebook een
hoofdvestiging in Ierland, Facebook Ireland Limited. Facebook
Ireland [officiële naam Meta Platforms Ireland Limited] is de
verwerkingsverantwoordelijke voor de gegevensverwerking van
Nederlandse gebruikers.
De Autoriteit Persoonsgegevens is bevoegd om advies te geven
in een voorafgaande raadpleging zoals gedefinieerd in artikel 36
AVG of advies te geven op grond van artikel 58(3) AVG. In de
praktijk zal de Nederlandse toezichthoudende autoriteit echter
verzoeken of klachten doorverwijzen naar de leidende
toezichthoudende autoriteit voor Facebook, de Ierse
toezichthoudende autoriteit, hierna: de Ierse TA.

1.1.2

Inkomsten en bereik in Nederland
In een financieel verslag over het eerste kwartaal van 2022
rapporteert Facebook dat het wereldwijd bijna 2 miljard
dagelijks actieve gebruikers had en bijna 3 miljard maandelijks
actieve gebruikers.24
Volgens de jaarrekening over 2021 (Form 10-K) behaalde Meta
in totaal 115,6 miljard USD inkomsten in het fiscale jaar 2021,
die resulteerden tot een netto winst van 39,7 miljard USD. 25
Vrijwel alle inkomsten werden verdiend met advertenties (114,9
miljard USD). Facebook legt uit dat de advertentie-inkomsten

Pagina 25 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

met 30+ miljard USD of 37% zijn gestegen ten opzichte van
2020 als gevolg van stijging van zowel de gemiddelde prijs per
advertentie als het aantal geplaatste advertenties.26
Deze financiële resultaten zijn inclusief de verdiensten van
WhatsApp, Messenger en Instagram. Meta noemt dit de “Family
of Apps (FOA)'. Deze resultaten zijn exclusief de winst uit
Reality Labs.
In het eerste kwartaal van 2022 genereerde Meta in totaal 27,9
miljard USD inkomsten met Facebook en haar andere apps
(bijna 27 miljard USD uit advertenties), wat leidde tot een netto
winst van bijna 7,5 miljard USD.
Meta Platforms Inc., Company Info, laatste
bezoek 28 juni 2022, URL:
https://about.facebook.com/company-info/.
21

Infotechlead, Facebook parent Meta expects slowdown in jobs,
freezes hiring, 5 mei 2022, URL:
https://infotechlead.com/digital/facebook-parent-meta-aims-atslowing-growth-in- number-of-employees-72376
23
Meta Platforms Inc., Company Info, laatste bezoek 28 juni 2022
24
Meta, Meta Reports First Quarter 2022 Results, 27 april 2022, URL:
https://investor.fb.com/investor-news/press-releasedetails/2022/Meta-Reports-First-Quarter- 2022-Results/default.aspx.
22

Meta Platforms Inc, Form 10-K filed with the United States
Securities And Exchange Commission, 3 februari 2022, URL:
https://d18rn0p25nwr6d.cloudfront.net/CIK0001326801/14039b47-2e2f-4054-9dc5-71bcc7cf01ce.pdf.
25

26

Idem, p. 65.

Meta berekent de gecombineerde inkomsten uit Facebook en
Messager per gebruiker per wereldregio, gebaseerd op de totale
inkomsten in een bepaald geografisch gebied in een bepaald
kwartaal, gedeeld door het gemiddelde aantal actieve
Facebook- en Messengergebruikers per maand (MAUs) in het
gebied aan het begin en einde van het kwartaal. Uit deze cijfers
blijkt dat Facebook in 2021 een kwart van zijn inkomsten (meer
dan 29 miljard USD) verdiende aan Europese gebruikers, met
een gemiddelde winst van bijna 20 USD per Europese gebruiker
aan het einde van het jaar.27
Meta schrijft: “Vrijwel alle inkomsten genereren wij uit
advertenties. Onze advertentie-inkomsten worden gegenereerd
door het tonen van advertentieproducten op Facebook,
Instagram, Messenger en gelieerde websites van derden of
mobiele apps. Marktpartijen betalen voor advertentieproducten
hetzij direct door hun relatie met reclamebureaus of
wederverkopers, gebaseerd op het aantal geleverde impressie
of aantal acties, zoals kliks van gebruikers.” 28

Pagina 26 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 1: Actieve Facebookgebruikers per maand in Nederland in juni

202229
Voor Nederlandse overheidsorganisaties is het gebruik van
Facebook aantrekkelijk, omdat de dienst 10,330 tot 13,6 miljoen
Nederlandse gebruikers31 bereikt, op een totale bevolking van
27
28

Idem, p. 58.
Idem, p. 63.

Bron: NapoleonCat, gebaseerd op de marketing-API van Facebook
over de totale beschikbare doelgroep in Nederland.
30
De schatting van 10,3 miljoen Nederlandse gebruikers in 2022 is
afkomstig van marktonderzoeksorganisatie Marketingfacts,
gebaseerd op haar nationale socialemedia-onderzoek 2022, URL:
https://www.marketingfacts.nl/berichten/social-media-in-nederland2022/.
31
De hoge schatting van 13,6 miljoen Nederlandse gebruikers in 2022
is afkomstig van Statista. In maart 2022 gebruikten ongeveer 13,6
miljoen mensen in Nederland Meta's Facebook, een aantal dat
29

van 17,742 miljoen, waarvan er 15,287 miljoen 13 jaar of ouder
zijn (24 augustus 2022).32 Dit betekent dat Facebook 67% tot
89% van de Nederlandse inwoners van 13 jaar of ouder bereikt.
Dit bereik zou nog groter zijn als gebruikers jonger dan 13 jaar
zouden worden meegeteld. Deze zijn niet meegeteld, omdat ze
officieel geen Facebookaccount mogen openen.33
Er zijn geen recente afzonderlijke openbare statistieken over de
gemiddelde tijd die Nederlandse gebruikers dagelijks besteden
op Facebook, maar het is wel bekend hoeveel tijd er besteed
wordt aan alle socialemediaplatforms samen, op basis van het
Nederlandse
nationale
socialemedia-onderzoek
2022.
Gemiddeld besteden Nederlanders 107 minuten per dag aan
sociale media, met een nog hoger gerapporteerd cijfer van 138
minuten per dag voor jongvolwassenen (20-39 jaar).34

Pagina 27 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Blijkens de hoofdpunten uit door Statista geopenbaarde
onderzoeken blijft Facebook het meest gebruikte netwerk, met
een kleine meerderheid van vrouwelijke gebruikers. 25% van
de Facebookgebruikers behoort tot de leeftijdsgroep van de
zogeheten Millennials (tussen 25 en 34 jaar)35, terwijl slechts
12,5% van de Nederlandse bevolking tot die leeftijdscategorie
behoort. Statista voorspelt een aanhoudende groei in het
gebruik van Facebook tot en met 2025, wanneer Facebook naar
verwachting wordt gebruikt door 62% van de Nederlandse
bevolking
en
Nederlandse
adverteerders
volgens
de
voorspellingen 262 miljoen USD besteden aan mobiele
advertenties.
De Nederlandse marketingorganisatie is minder optimistisch
over het bereik van Facebook: zij benadrukt dat minder dan
20% van de kinderen/jongeren in Nederland Facebook gebruikt
en dat er een afname te zien is in de leeftijdsgroep 20-29 jaar.
Het dagelijkse gebruik van Facebook bij die leeftijdscategorie is
in 2022 afgenomen van 60 tot 48%.36
1.1.3

Gepersonaliseerde inhoud
Iedere gebruiker op Facebook heeft een individueel profiel, met
een Nieuwsoverzicht.37 De in dit profiel getoonde inhoud is
gepersonaliseerd en wordt on the fly door Facebook
gegenereerd, gebaseerd op wat Facebook beschrijft als
“honderden stukjes informatie uit de sociale statistiek.
Gebruikers zien Nieuwsoverzichtsverhalen; commentaren,
vind-ik-leuks en het delen van die verhalen; foto's en check-ins
van hun vrienden en nog veel meer.”38

ongeveer 78,8 procent van de Nederlandse bevolking vormt.
Statista, Netherlands monthly number of Facebook users 20182022, URL:
https://www.statista.com/statistics/1058680/monthly- numberof-facebook-users-in-the-netherlands/.
CBS, Bevolkingsteller, realtime prognose van de Nederlandse
bevolking van 24 augustus 2022, URL: https://www.cbs.nl/nlnl/visualisaties/dashboard-bevolking/bevolkingsteller. Het aantal
inwoners van 13 jaar of ouder is gebaseerd op statistieken van 1
januari 2022.
32

CBS Statline, Bevolking op eerste van de maand; geslacht,
leeftijd, migratieachtergrond Laatste update 30 juni 2022,
https://opendata.cbs.nl/#/CBS/nl/dataset/
83482NED/table?ts=1658229073739.
34
Marketingfacts, Social media in Nederland 2022, zie voetnoot 24.
35
Statista, Total number of users of Facebook in the Netherlands from
2013 to 2021 in millions, 28 April 2022, URL:
https://www.statista.com/statistics/880850/number-of-facebookusers-in-the-netherlands/
36
Marketingfacts, Social media in Nederland 2022.
37
Facebook, Verschillen tussen profielen, pagina's en groepen op Facebook, URL:
https://www.facebook.com/help/337881706729661.
33

Facebook, TAO: The power of the graph, 25 juni
2013, URL:
https://engineering.fb.com/2013/06/25/core-data/taothe-power-of-the-graph/
38

Pagina 28 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Deze paragraaf beschrijft vijf vormen van personalisering van inhoud die
relevant is voor deze DPIA:
1. Berichten getoond in het Nieuwoverzicht van personen
of organisaties die de gebruiker wil volgen
2. Berichten getoond in het Nieuwsoverzicht gebaseerd
op de aanbevelingen van het algoritme van Facebook
3. Advertenties getoond in het gebruikersprofiel als
'gerelateerde' of 'voorgestelde pagina's' bij het bezoek
van een andere pagina of als 'Ontdekking'
4. Advertenties getoond in het Nieuwsoverzicht van
gebruikers als 'gesponsorde' berichten of video's
5. Advertenties die rechtsboven in het gebruikersprofiel worden
getoond als 'gesponsord'
De in het Nieuwsoverzicht getoonde inhoud kan bestaan uit
berichten van (overheids)pagina's die mensen volgen, maar ook
profielen van vrienden en van mensen of organisaties die de
gebruiker niet kent of volgt. Facebook heeft uitgelegd over hoe
de tweede categorie werkt:
“Onze voorstellen helpen gebruikers nieuwe en relevante
inhoud te ontdekken. Zo stellen wij bijvoorbeeld in hun
Nieuwsoverzicht berichten voor van Pagina's en Groepen die zij
nog niet volgen, maar waarvan wij denken ze daarin
geïnteresseerd zijn. Er zijn meerdere factoren die invloed
hebben op welke berichten worden voorgesteld in het
Nieuwsoverzicht, zoals:
• Relevant engagement: Een bericht kan worden voorgesteld
aan gebruikers als andere mensen die interactie hebben gehad
met het bericht eerder interactie hadden met dezelfde groep,
pagina of bericht als zij.
• Gerelateerde onderwerpen: Wanneer ze onlangs betrokken
waren bij een bepaald onderwerp op Facebook, kunnen wij
andere berichten voorstellen die daarmee samenhangen. Als
gebruikers bijvoorbeeld onlangs een bericht leuk hebben
gevonden of commentaar hebben gegeven op een pagina over
basketbal, kunnen we andere berichten over basketbal
voorstellen.
• Locatie: Gebruikers kunnen een voorgesteld bericht krijgen
op basis van waar zij zich bevinden en waarmee mensen bij hen
in de buurt interactie hebben op Facebook.”39
Facebook heeft Privacy Company en het ministerie van
Binnenlandse Zaken ook verteld dat gebruikers in staat zouden
zijn te zien waarom Facebook inhoud voorstelt. De interfaces
van
Facebook
staan
gebruikers
echter
alleen
toe
berichten/video's van bepaalde bronnen uit te schakelen, te
vermeerderen of te melden, zonder de mogelijkheid na te gaan
waarom ze bepaalde berichten zien in het Nieuwsoverzicht.40
Zie figuur 7, twee pagina's verderop.
Zoals beschreven in de Inleiding hadden de testgebruikers
verschillende profielen. Als ze een persoon of pagina volgden,
kozen de twee nieuwe testgebruikers B en C altijd de
standaardinstellingen om berichten van een gevolgde pagina in
de 'standaard'volgorde te zien.

Pagina 29 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

E-mail van Facebook Netherlands aan het ministerie van Binnenlandse Zaken, 20
juni 2022.
40
Op 22 juni 2022 schreef Facebook: “Om gebruikers te laten
begrijpen waarom inhoud aan hen is voorgesteld, kunnen ze de
functie “Waarom zie ik dit?” in het Nieuwsoverzicht gebruiken om
meer context te krijgen.”
39

Figuur 2: Standaardinstellingen van Facebook voor de rangschikking bij het volgen van
een pagina

Gepersonaliseerde berichten
Hoe deze personalisering in de praktijk werkt, is geïllustreerd
met screenshots van de testpagina van het ministerie van
Privacy. Figuur 3 hieronder is een voorbeeld van de eerste vorm
van personalisering. Daarop is een bericht van de testpagina
van het ministerie van Privacy te zien in het Nieuwsoverzicht
van een van de testgebruikers. Beide testgebruikers volgden
deze pagina van het ministerie van Privacy en het ministerie
van Privacy maakte (overeenkomstig het overheidsbeleid) geen
gebruik van enige vorm van advertenties of andere betaalde
promotie van zijn berichten bij gebruikers. Het verschijnen van
dit bericht in het Nieuwsoverzicht is dus een direct gevolg is van
de bewuste actie van beide gebruikers om deze pagina te
volgen.

Pagina 30 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Een voorbeeld van de tweede categorie, berichten geselecteerd
door de algoritmen van Facebook, is te zien in figuur 4
hieronder. Gebruiker B volgde deze pagina van een radicale
anti-coronavaccinatie-organisatie niet, maar op basis van de
afgeleide interesses van de gebruiker voegde Facebook dit
bericht toe aan het Nieuwsoverzicht. Meer voorbeelden van
dergelijke radicale anti-overheidsinhoud worden getoond in
figuur 5 en 6. Deze berichten waren het gevolg van het volgen
van een door Facebook voorgestelde pagina.
Figuur 3: Bericht van de testpagina van het ministerie van Privacy te zien
in het Nieuwsoverzicht van testgebruiker C

Figuur 4: Voorbeeld van een voorgesteld bericht in het Nieuwsoverzicht
van testgebruiker B41

Pagina 31 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

41

Screenshot nr. 1292 van testgebruiker B, gemaakt op 25 maart 2022.

Na een voorstel van Facebook om pagina's te volgen (hieronder
besproken, na advertenties), vond testgebruiker B een
bepaalde pagina leuk, zonder te weten wat de inhoud van die
pagina was.

Het volgen van deze Hotspotpagina had tot gevolg dat in het
Nieuwsoverzicht van testgebruiker B een aantal anti-overheidsen anti-vaccinatieberichten verscheen. Zie figuur 5 en 6
hieronder. De testgebruiker kreeg in totaal 6 berichten van deze
organisatie te zien. In het bericht staat dat als een regering je
vaccinatie verplicht kan stellen, ze je ook kunnen dwingen tot
sterilisatie, euthanasie en orgaandonatie. Zoals vermeld in de
inleiding, was het profiel van de testgebruiker als politiek
neutraal opgezet. De inhoud van de voorgestelde berichten liet
echter een toenemende vertekening richting tegen de overheid
gerichte inhoud zien.

Pagina 32 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 5: Anti-overheidsbericht over corona in het Nieuwsoverzicht 42

Facebook bood geen enkel uitleg waarom deze specifieke
berichten in de eerste resultaten van het Nieuwsoverzicht
terechtkwamen. Toen de gebruiker op de drie stippen
rechtsboven in het bericht klikte, bood Facebook mogelijkheden
voor interventies: om het bericht op te slaan, het te verbergen,
een persoon of organisatie niet meer te volgen of het te melden
bij Facebook, maar zonder

42

toegang tot de logica. Facebook beschrijft zelf geen andere
opties in zijn uitleg waarom een gebruiker bepaalde inhoud in
zijn/haar Nieuwsoverzicht ziet.43
Figuur 6: Nog een bericht van dezelfde bron getoond in het
Nieuwsoverzicht44

Pagina 33 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 7: De interfaces van Facebook voor berichten en video's na het
klikken op de stippen

Facebook, Waarom zie ik dit als voorstel in mijn Facebook Nieuwsoverzicht?
URL: https://www.facebook.com/help/485502912850153
44
Screenshot gemaakt op 25 maart 2022 van het Nieuwsoverzicht van
testgebruiker B, nr. 1192.
43

Testgebruiker B volgde in totaal 25 pagina's. Hoewel het
Nieuwsoverzicht inderdaad berichten bevatte van de gevolgde
politici en publieke organisaties, viel het aantal berichten met
anti-overheidsinhoud op ten opzichte van andere neutrale
berichten.

Pagina 34 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Advertenties
Zoals hierboven beschreven, toont Facebook op drie verschillende manieren
advertenties:
1. Advertenties getoond in het gebruikersprofiel als
'gerelateerde' of 'voorgestelde pagina's' bij het bezoek
van een andere pagina of als 'Ontdekking'
2. Advertenties getoond in het Nieuwsoverzicht van
gebruikers als 'gesponsorde' berichten of video's
3. Advertenties die rechtsboven in het gebruikersprofiel worden getoond als
'gesponsord'
Een paar dagen voordat testgebruiker B de voorgestelde post
van de antivaccinatie-organisatie te zien kreeg (getoond in
figuur 4 hierboven), kreeg die gebruiker het voorstel diezelfde
pagina te gaan volgen in de algemene voorstellen van Facebook
in het profiel van gebruiker B. Testgebruiker B klikte op deze
pagina, maar volgde deze niet. Ondanks dat leidde Facebook
daaruit een interesse af en voegde een bericht van deze
organisatie toe aan het Nieuwsoverzicht van de gebruiker.
Facebook biedt gebruikers een afzonderlijke interface met een
lijst van voorgestelde pagina's, zoals getoond in figuur 8
hieronder. Het eerste voorstel was een anticoronavaccinatie- en
complotpagina. Facebook biedt geen links naar informatie
(zoals de drie stippen) waarom deze informatie aan de
gebruiker werd voorgesteld.
Figuur 8: Radicale organisatie 'Voorgesteld voor jou' in het profiel van testgebruiker
B45

Een andere door Facebook voorgestelde pagina in het overzicht
van 'Pagina's ontdekken' was de hierboven beschreven pagina
met de naam Hotspot. De testgebruiker volgde deze pagina,
omdat deze dacht dat deze gerelateerd was aan De Efteling
(vanwege de foto van de kabouter).

Pagina 35 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

45

Screenshot nr. 968 van testgebruiker B, gemaakt op 23 mei 2022.

Figuur 9: Voorstel van Facebook om de pagina 'De Hotspot' leuk te
vinden46

Het leuk vinden van deze pagina is terug te zien in het
activiteitlogboek van de gebruiker, zoals getoond in figuur 10
hieronder.
Figuur 10: Activiteitlogboek Facebook met tijdstempels van vind-ik-leuks

Andere manieren waarop Facebook andere pagina's adverteert,
worden getoond in figuur 11 en 12 hieronder. In het
testscenario volgde testgebruiker B de pagina van het ministerie
van Binnenlandse Zaken en Koninkrijksrelaties en de pagina van
het ministerie van Onderwijs. Zoals op beide pagina's te zien is,
werd aan deze testgebruiker een horizontale balk getoond met
andere voorgestelde inhoud. Deze inhoud hing maar ten dele
samen met de inhoud op de pagina van het ministerie: beide
voorgestelde 'gerelateerde' pagina's bevatten pagina's met
volledig losstaande commerciële inhoud over constructiehout en
veilingen. Facebook biedt gebruikers geen interface om erachter
te komen waarom deze pagina's aan hen werden voorgesteld
door Facebook. De beheerder van de overheidspagina heeft
daarin evenmin inzage en kan deze inhoud niet beïnvloeden.
Het lijkt erop dat Facebook zijn interface heeft gewijzigd na
voltooiing van dit onderzoek en deze banners niet meer toont.
In de banner 'Voorgesteld voor jou' toont Facebook niet de drie
stippen of een andere interface om de logica achter deze
voorstellen uit te leggen. Facebook toont deze drie stippen wel
in de tweede banner van 'Gerelateerde pagina's'. Nadat op deze
interface geklikt is, toont Facebook echter alleen opties om het
voorstel op te slaan, te verbergen of te laten snoozen, zonder
uitleg over de logica.

Pagina 36 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

46

Getoond aan testgebruiker B op 10 maart 2022, screenshot nr. 892.

Figuur 11: Gerelateerde pagina's getoond op de pagina van het ministerie van

Binnenlandse Zaken47
Figuur 12: Voorgestelde pagina's getoond op de pagina van het ministerie van

Onderwijs48

Pagina 37 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Facebook toont in het Nieuwsoverzicht van gebruikers ook
'gesponsorde' berichten of video's. Zie figuur 13 hieronder.

47
48

Testgebruiker B, screenshot gemaakt op 1 maart 2022
Testgebruiker B, screenshot gemaakt op 1 maart 2022

Figuur 13: Gesponsord bericht in het Nieuwsoverzicht van
testgebruiker C voor een investeringsplatform

Facebook gebruikt ook informatie over gedrag en interacties
met inhoud van gebruikers om rechts bovenaan het
gebruikersprofiel gepersonaliseerde advertenties te tonen. Zie
figuur 14 hieronder.
Figuur 14: Advertenties die rechts bovenaan in het gebruikersprofiel worden getoond

De advertentie laat een foto zien van minister Kaag met de tekst
“Ze wist niet dat de camera nog aan het opnemen was... is
dit...” en een verwijzing naar De Telegraaf. Op het eerste
gezicht kan dit betrekking hebben op een privacy-onderwerp en
zijn afgeleid van de interesse van gebruiker voor het ministerie
van Privacy. Toen de advertentie echter werd geselecteerd

Pagina 38 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

(door de muis over de advertentie te bewegen kan de gebruiker
de drie stippen zien), zoals getoond in figuur 15 hieronder, gaf
Facebook twee generieke verklaringen: leeftijd boven 37 jaar
en primaire locatie in Nederland. Facebook geeft geen nadere
uitleg,
maar
verwijst
alleen
naar
een
algemene
informatiepagina over hoe Facebook advertenties toont.

Figuur 15: Uitleg van Facebook over deze advertentie

Facebook legt uit dat de advertenties gebaseerd kunnen zijn op
andere
adverteerderskeuzes,
het
gebruikersprofiel
en
activiteiten zoals websites bezocht buiten Facebook, “evenals
andere, hier niet vermelde informatie.”49

Pagina 39 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 16: Algemene informatie van Facebook aan gebruikers waarom advertenties

worden getoond

49

Door Facebook gegevens uitleg in de pop-up “Waarom je deze advertentie ziet”.

Wanneer een gebruiker op de optie “Je advertentievoorkeuren
wijzigen” klikt, opent Facebook een algemene informatiepagina
met een algemene uitleg over welke persoonsgegevens het
mogelijk gebruikt voor het selecteren van advertenties.
Toen de gebruiker op de bovenste advertentie in figuur 14
klikte, verscheen er een pagina van kledingwinkel Zara. Zie
figuur 17 hieronder. Dit werd aan Facebook gemeld als
misleidende inhoud. Tijdens de test kregen gebruikers zelden
advertenties te zien van bekende/erkende bedrijven of
organisaties. De meeste advertenties leiden naar websites over
bitcoinscams, ook advertenties die de schijn wekten over Tesla's
te gaan.

Pagina 40 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 17: Misleidende inhoud van advertentie getoond aan testgebruiker

B

Figuur 18: Nog een voorbeeld van een advertentie voor cryptovaluta met uitleg

Zoals te zien is in figuur 18 hierboven, waren de drie relevante
selectiecriteria voor deze advertentie de leeftijd van de
gebruiker (ouder dan 25), primaire locatie in Nederland en
gecommuniceerd hebben in het Engels. Deze drie criteria zijn
echter niet uitputtend.
Het is niet mogelijk om uit dit zeer kleine experiment harde
statistische conclusies te trekken. De enige harde conclusie die

Pagina 41 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

kan worden getrokken is dat Facebook geen inzage geeft in
informatie waarom het bepaalde advertenties aan een bepaalde
gebruiker toonde, met andere woorden, de individueel
toegepaste logica van de rangschikking.
Een test op een grotere schaal is niet uitvoerbaar zonder een
groot aantal mensen over een lange periode te volgen, vanwege
het Facebookbeleid met betrekking tot het gebruik van echte
namen en het verbod op het gebruik van bots. Bovendien
moesten er alleen al voor dit kleine experiment 3.769
screenshots worden onderzocht en dat aantal zou recht
evenredig toenemen met het aantal testgebruikers en de totale
aan Facebook bestede tijd voor het uitvoeren en vastleggen van
de tests.
Om conclusies te kunnen trekken over de logica achter de
voorstellen van Facebook op individueel niveau werd een beroep
gedaan op het recht op inzage van betrokkene. De resultaten
worden beschreven in paragraaf 2.5.
Om statistisch relevante conclusies te trekken over grotere
populaties is toegang tot de ruwe data van Facebook nodig over
een veel grotere groep gebruikers en over een langere periode.
Dit zal worden geregeld in de Digitaledienstenverordening. Vier
maanden nadat zij door de Europese Commissie zijn
aangewezen en 3 maanden na de inwerkingtreding
van de verordening moeten zeer grote platforms voldoen aan
dit toegangsvereiste.50 De verordening wordt van kracht in het
najaar van 2022.51
1.2

Verwerking van vier categorieën persoonsgegevens
Facebook verwerkt verschillende soorten gegevens over het
individuele gebruik van het platform en interacties met andere
Facebookgebruikers,
waaronder
pagina's
van
overheidsorganisaties en adverteerders. Volgens de uitleg van
Facebook in een collectieve consumentenzaak in Californië (VS)
over het delen van privégegevens door Facebook met derde
partijen (adverteerders en partijen als Cambridge Analytica),
kunnen deze gegevens ingedeeld worden in drie brede
categorieën:
1. Gegevens verzameld uit gebruikersactiviteit op Facebook
2. Gegevens verzameld uit gebruikersactiviteit buiten Facebook
3. Gegevens afgeleid uit gebruikersactiviteit op en buiten
Facebook52
Daarnaast stelde Privacy Company een vierde categorie vast die
Facebook in de rechtszaak niet noemde, maar wel relevant is
voor deze DPIA:
4. Gegevens verzameld van niet-gebruikers als zij een (openbare)
overheidspagina bezoeken.
De verwerkte persoonsgegevens uit deze vier categorieën zijn
hieronder uitgebreider beschreven. De beschrijving maakt ook
gebruik van de toelichtingen die Facebook aan eigenaren van
pagina's
verstrekt
in
zijn
eenzijdige
gezamenlijkeverwerkingsverantwoordelijkenovereenkomst: het Addendum

Pagina 42 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Paginastatistieken.53 Er zijn enkele extra toelichtingen gebruikt
die een advocatenkantoor onlangs namens Facebook verstrekt
heeft aan de Noorse toezichthoudende autoriteit over de
verwerkte persoonsgegevens voor het produceren van
Paginastatistieken voor paginabeheerders.54
1.2.1

Gegevens verzameld uit gebruikersactiviteit op Facebook
De eerste categorie zijn gegevens die actief verstrekt zijn door
aangemelde Facebookgebruikers, evenals door Facebook
geobserveerde gegevens. Oftewel: zowel gegevens over inhoud
als over gebruikersactiviteit (zoals uitgelegd in hoofdstuk 1).
Citaat uit de rechtszaak: “Door gebruiker verstrekte gegevens
omvatten profielgegevens, door gebruiker gegenereerde inhoud
(bv. berichten, video's, foto's, commentaren, verhalen, inhoud
van berichten,
Europese Commissie, Vragen en antwoorden:
Digitaledienstenverordening. “Na hun aanwijzing door de Commissie
hebben aanbieders van zeer grote platforms en zeer grote
onlinezoekmachines vier maanden de tijd om aan de DSA te voldoen.
Aanwijzing door de Commissie vindt plaats op basis van de door deze
dienstverleners opgegeven gebruikersaantallen en dienstverleners
krijgen na de inwerkingtreding van de DSA drie maanden de tijd om
deze te verstrekken.” URL:
https://ec.europa.eu/commission/presscorner/detail/nl/QANDA_20_2
348
50

Persbericht Europese Commissie, ‘Pakket digitale diensten:
Commissie blij met de goedkeuring door het Europees Parlement
van de nieuwe voorschriften van de EU voor digitale diensten', 5 juli
2022 URL:
https://ec.europa.eu/commission/presscorner/detail/nl/QANDA_22_
4313
51

Rechtszaak over privacy gebruikersprofiel consumenten, Northern
District of California, Case no. 3-18-MD- 02843, gestart in 2018.
Overzicht van rechtbankdocumenten (beperkt):
https://www.cand.uscourts.gov/judges/chhabria-vince-vc/in-refacebook-inc-consumer- privacy-user-profile-litigation/ . Meer
overzicht (inclusief betaalde toegangslinks), URL:
https://www.courtlistener.com/docket/7067512/in-re-facebook-incconsumer-privacy-user- profile-litigation/
52

Facebook Addendum Paginastatistieken, ongedateerd, laatst bekeken op 15 juli
2022), URL: https://www.facebook.com/legal/terms/Page_controller_addendum.
54
Advocatenkantoor Schjodt, juni 2022, Memo on the Norwegian DPA’s
assessment of Facebook pages.
53

vrienden, check-ins op locaties, gekoppelde accounts in de
Facebook-productenfamilie en taalkeuzes.
Geobserveerde gegevens omvatten kliks, profielen, pagina's,
groepen en evenementen die een bezoeker heeft bezocht,
gebruiksgegevens, gegevens over apparaat, netwerken en
verbindingen, gegevens over het activiteitenniveau van de
gebruiker, adverteerders waarmee de gebruiker interactie heeft
gehad, pagina's (gebruikerspagina's, pagina's die een gebruiker
leuk heeft gevonden of voorgesteld, pagina's die een gebruiker
volgt, pagina's die een gebruiker niet meer volgt), IP-adres bij
het versturen van een bericht, gebruikers die een gebruiker

Pagina 43 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

heeft gekozen 'minder te zien' of 'als eerste te zien' in het
Nieuwsoverzicht, tijd besteed aan het bekijken van een
pagina, mensen van wie een gebruiker het profiel heeft
bekeken, laatste locatie, laatste tijdstip actief, of een gebruiker
het verjaardagsverhaal van iemand heeft bekeken, personen
die een gebruiker heeft geblokkeerd in Messenger,
paginameldingen, pagina's die een gebruiker heeft aanbevolen,
tijdzone, e-mailadresverificatie, meldingen en interacties
Marketplace [markering toegevoegd door Privacy Company].”55
Van deze gegevens over gebruikersactiviteit is slechts een deel
relevant voor deze DPIA, namelijk de gegevens over interacties
met een overheidspagina.
In het Addendum (Verantwoordelijke) Paginastatistieken (en
memo aan de Noorse toezichthoudende autoriteit) licht
Facebook toe dat de statistieken zijn gebaseerd op
gebeurtenissen zoals acties en informatie over de actie, de
persoon die de actie onderneemt en de voor de actie gebruikte
browser/app. Facebook geeft uitdrukkelijk alleen voorbeelden,
geen uitputtende opsomming. “Gebeurtenissen bestaan uit
verschillende
datapunten
waaronder
de
volgende,
afhankelijk van de specifieke gebeurtenis” [markering
toegevoegd door Privacy Company].56
• Een pagina, bericht, video, verhaal of andere inhoud in verband met een
pagina bekijken
• Interactie met een verhaal
• Een pagina volgen of niet meer volgen
• Een pagina of bericht leuk vinden of niet leuk vinden
• Een pagina aanbevelen in een bericht of commentaar
• Commentaar geven op een bericht op een pagina, dit
delen of daarop reageren (inclusief het type reactie)
• Een bericht op een pagina verbergen of melden als spam
• Met de muis over een link naar een pagina of de naam
of profielfoto van een pagina bewegen om een preview
te zien van de inhoud van de pagina
• Klikken op de website, het telefoonnummer, de
routebeschrijvingsknop of andere knop op een pagina
• Een evenement van een pagina openen, reageren op
een evenement, inclusief het type reactie, klikken op
een link voor tickets voor het evenement
• Een Messengercommunicatie beginnen met de pagina

Rechtszaak Facebook Inc inzake privacy gebruikersprofiel van
consumenten bij het Amerikaanse District Court Northern District of
California, zaaknr. 3-18-MD-02843-VC, Document 913, Administrative
Motion to File Under Seal - Motion to Consider Whether Another
Party's Materials Should Be Sealed - ingediend door Facebook, Inc.
(Bijlagen: # (….) (5) bewerkte versie van productie 41, ingediend op
12 april 2022, URL:
55

https://storage.courtlistener.com/recap/gov.uscourts.cand.327471/g
ov.uscourts.cand.327471. 913.5.pdf.

Pagina 44 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

56

Facebook Addendum Paginastatistieken (zie voetnoot 40).

• Artikelen in de shop van een pagina bekijken of daarop klikken
• Informatie over de actie, de persoon die de actie
onderneemt en de voor de actie gebruikte browser/app,
waaronder:
• Datum en tijd van de actie
• Land/plaats (geschat op basis van IP-adres of
geïmporteerd van gebruikersprofiel voor aangemelde
gebruikers)
• Taalcode (uit http-kop van browser en/of taalinstelling)
• Leeftijdscategorie/geslacht (uit gebruikersprofiel, alleen voor
aangemelde gebruikers)
• Eerder bezochte website (uit http-kop van browser)
• Of de actie is uitgevoerd vanaf een computer of een
mobiel apparaat (uit de user agent van de browser of
app-attributen)
• FB-gebruikersnaam (alleen voor aangemelde gebruikers)

In deze lijst is niet vermeld dat Facebook ook de tijd besteed
aan het 'bekijken' (de tijd dat een pagina op het scherm te zien
is) van een pagina gebruikt, een datapunt dat Facebook heeft
genoemd in de lopende rechtszaak in Californië.
Technisch gezien verzamelt Facebook automatisch het IP-adres
van gebruikers én niet-gebruikers en slaat het dit op als zij
interactie hebben met inhoud op een overheidspagina, evenals
cookie-identifiers. Facebook legt echter uit dat het alleen de
unieke Facebookgebruikersnaam gebruikt voor het produceren
van Paginastatistieken en geen van de andere identifiers die het
verzamelt, zoals IP-adressen en cookie-ID's.57
Facebook schrijft: “Voor zover wij weten, worden van
gebeurtenissen die gebruikt worden voor het produceren van
Paginastatistieken geen IP-adressen, cookie-ID's of andere
identifiers in verband met personen of hun apparaten
opgeslagen, buiten een FB-gebruikersnaam voor personen die
zijn aangemeld bij Facebook.”58
Zoals benadrukt in het citaat van Facebook in de lopende
rechtszaak hierboven, gebruikt Facebook inderdaad het IPadres van niet-gebruikers om het land/de plaats van de
bezoeker te schatten, maar kennelijk slaat het de IP-adressen
of cookie-identifiers niet afzonderlijk op als dataset voor
Paginastatistieken. Dit betekent niet dat Facebook deze
gegevens niet voor zijn eigen doeleinden opslaat in zijn
datasystemen.
1.2.2

Gegevens verzameld uit gebruikersactiviteit buiten Facebook
De tweede categorie gegevens valt buiten de reikwijdte van
deze DPIA voor aangemelde Facebookgebruikers (maar niet
voor niet-gebruikers). Deze bestaat uit “informatie aan
Facebook
verstrekt
door
derden-adverteerders,
appontwikkelaars en uitgevers over gebruikersinteracties.
Gebruikersinteracties zijn bijvoorbeeld handelingen als het
openen van een app van een externe ontwikkelaar waarin

Pagina 45 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Facebook Business-hulpmiddelen zijn opgenomen en het
bezoeken van websites waarin de Facebook Businesshulpmiddelen zijn geïntegreerd die informatie geven over het
bekijken van inhoud door de gebruiker, zoeken naar artikelen,
een artikel toevoegen aan een winkelwagen of een aankoop
doen.”59
Ibid.
Advocatenkantoor Schjodt, juni 2022, Memo on the Norwegian DPA’s
assessment of
Facebook pages, p. 3. In het Addendum Paginastatieken verklaart
Facebook: “Gebeurtenissen die worden gebruikt om
paginastatistieken te maken, bewaren geen IP-adressen, cookie-ID's
of andere identificatiemiddelen die zijn gekoppeld aan mensen of
hun apparaten. Dat geldt niet voor een Facebook-gebruikers-ID
voor mensen die zijn aangemeld bij Facebook.”
59
Rechtszaak Facebook Inc inzake privacy gebruikersprofiel van
consumenten bij het Amerikaanse District Court Northern District of
California, zaaknr. 3-18-MD-02843-VC, Document 913, productie 41.
57
58

Deze categorie omvat ook lijsten met hashed identifiers die
adverteerders kunnen uploaden om hun klanten gericht te benaderen
of een look-alike publiek.
Zoals vermeld in de paragraaf 'Buiten de reikwijdte' in de
inleiding wordt in de overheidsrichtlijnen over adverteren
aanbevolen geen persoonsgegevens te gebruiken voor
advertenties.
1.2.3

Gegevens afgeleid uit gebruikersactiviteit op en buiten Facebook
De derde categorie omvat gegevens die door Facebook worden
aangemaakt of verzameld op basis van de door
Facebookgebruikers geposte/bekeken inhoud en hun gedrag
(gegevens over gebruikersactiviteit). Dit “omvat informatie over
interesse in advertenties; muziekaanbevelingen op basis van
muziekgenres waarmee een gebruiker interactie heeft gehad op
Facebook; “jouw onderwerpen”, een verzameling onderwerpen
bepaald door de activiteit van een gebruiker op Facebook die
wordt gebruikt voor het doen van voorstellen voor gebruikers
op verschillende gedeelten van Facebook, zoals het
Nieuwsoverzicht, Nieuws en Reels; primaire locatie; primaire
openbare
locatie;
groep
vergelijkbare
vrienden;
oprichtersbadges (met labels zoals “visuele verhalenverteller”
of “gespreksstarter”, gebaseerd op de activiteit in Groepen);
tijdzone; taalvoorkeuren (inclusief voorkeurstaal voor video's,
talen die je mogelijk spreekt, voorkeurstaal); en mobiele
provider en landcode.”60
Geen van de afgeleide gegevens in deze uitgebreide opsomming
komt voor in de niet-uitputtende lijst van Facebook met
persoonsgegevens die worden verwerkt voor het produceren
van Paginastatistieken, behalve de taalvoorkeuren en landcode.
Zie bovenstaande opsomming uit de gezamenlijke-verwerkingsverantwoordelijkenovereenkomst
voor
Paginastatistieken.
Facebook
geeft
in
zijn
gezamenlijkeverwerkingsverantwoordelijkenovereenkomst een andere uitleg
over de herkomst van de landcode dan in zijn uitleg aan de
Californische rechtbank. In de Californische rechtszaak zegt het
dat de landcode afkomstig is van de mobiele provider, terwijl

Pagina 46 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

het
volgens
de
gezamenlijke-verwerkingsverantwoordelijkenovereenkomst
voor
Paginastatistieken
afkomstig is van het gebruikersprofiel of het IP-adres.
1.2.4

Gegevens verzameld van niet-gebruikers als zij een overheidspagina bezoeken
Wanneer een niet-gebruiker een openbare overheidspagina
bezoekt, is het mogelijk dat Facebook enkele van de in
paragraaf 2.1 beschreven persoonsgegevens verwerkt, beperkt
tot de acties die niet-gebruikers kunnen ondernemen. Nietgebruikers kunnen berichten niet 'leuk vinden' of 'delen' en
hebben geen unieke Facebook-aanmeldgegevens, waardoor
Facebook deze persoonsgegevens niet kan verzamelen.
Deze paragraaf is gericht op de in paragraaf 1.2.2 genoemde,
door Facebook verzamelde gegevens over de bezoeken van
niet-gebruikers aan websites buiten Facebook nadat zij een
overheidspagina hebben bezocht.61
Facebook is in staat met behulp van cookies informatie te
verzamelen over bezoeken van websites buiten het platform,
zowel over gebruikers als over niet-gebruikers. Zoals hierboven
vermeld, valt het verzamelen van gegevens over aangemelde
gebruikers over activiteiten buiten het platform buiten de
reikwijdte van deze DPIA. Het verzamelen van gegevens van
buiten het platform over niet-gebruikers valt echter wel onder
deze DPIA, aangezien het mogelijk is dat deze mensen op zoek
zijn naar overheidsinformatie die alleen te vinden is op
Facebook. Ze kunnen ook onbedoeld terechtkomen op een
openbare Facebookpagina als gevolg van een zoekopdracht,
zonder de voorwaarden van Facebook geaccepteerd te hebben.
Wanneer een niet-gebruiker een overheidspagina bezoekt,
plaatst Facebook een datr-cookie met een unieke identifier voor
die gebruiker. Wanneer een niet-gebruiker een website buiten
Facebook bezoekt die een interactieoptie met Facebook heeft,
staat die website Facebook toe het bestaande Facebook-datrcookies op te halen uit de

Idem.
Facebook, Hard Questions, What Data Does Facebook Collect When
I’m Not Using Facebook, and Why? 16 april 2018, URL:
https://about.fb.com/news/2018/04/data-off-facebook/
60
61

browser van de bezoeker. Deze gegevensuitwisseling gebeurt
zonder een bewuste actie van de websitebezoeker. Facebook
leest de cookie-informatie af als een interactieknop of tracking
pixel aanwezig is op een internetpagina, zonder dat geklikt is
op een vind-ik-leuk-. delen- of commentaarknop. Een product
management director van Facebook legde in een blogpost uit:
“Als je een website of app bezoekt die onze diensten gebruikt,
ontvangen we informatie, zelfs als je afgemeld bent of geen
Facebookaccount hebt. Dat komt doordat andere apps en
websites niet weten wie Facebook gebruikt.”62
Dergelijke interactieknoppen zijn veel te vinden op populaire
overheids- en commerciële websites.63 Het is lastig harde
statistische gegevens te vinden over het bestaan van interacties
met Facebook, omdat de meeste websites pop-up
toestemmingsvensters hebben die grootschalige automatische

Pagina 47 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

testen verhinderen. Volgens een recent artikel in dagblad Trouw
hebben onderzoekers van de Technische Universiteit Delft
volgcookies van derde partijen gevonden op ongeveer 4% van
de websites van Nederlandse decentrale overheden.64
Vóór 2014 beloofde Facebook dat het nooit informatie van
dergelijke externe websites zou gebruiken. In 2014 veranderde
Facebook echter zijn koers en kondigde het aan dat het deze
informatie zou gaan gebruiken voor gerichte advertenties.65
Kortom, het gebruik van het datr-cookie stelt Facebook in staat
de informatie die is verzameld van de bezochte website te
koppelen
aan
specifieke
niet-gebruikers
die
een
overheidspagina hebben bezocht. Zie paragraaf 2.4.2 voor de
feitelijke bevindingen over het datr-cookie.
Begin juli 2022 heeft Facebook de toegankelijkheid van
(sommige) pagina's gewijzigd. Zoals is te zien in figuur 19
hieronder wordt niet-gebruikers door middel van een banner
dringend aangeraden zich aan te melden om de inhoud te
bekijken, hoewel de beheersinstellingen voor toegang tot de
testpagina openbaar waren en zijn.

Blogpost David Baser over Facebook, geciteerd door Newsweek,
‘Facebook Is Tracking You Online, Even If You Don't Have an
Account’, 17 april 2018, URL https://www.newsweek.com/facebooktracking-you-even-if-you-dont-have-account-888699.
63
Een conservatieve schatting, gebaseerd op het verschijnen van de
vind-ik-leuk-knop, is ongeveer 8,5% van de top-10.000 van de meest
bezochte websites in het .nl-domein. Bron:
https://trends.builtwith.com/widgets/Facebook-Like-Button . Op 19
juli vermeldde deze website bijna 30.000 websites met een
Nederlandse eigenaar. URL:
https://trends.builtwith.com/websitelist/Facebook- LikeButton/Netherlands
64
Trouw, Overheid schendt eigen regels door cookies van derden toe
te laten op websites, 4 juli 2022, URL:
https://www.trouw.nl/binnenland/overheid-schendt-eigen-regelsdoor- cookies-van-derden-toe-te-laten-op-websites~b1a217c2/ Op 6
juli 2022 werden hierover vragen gesteld in de Tweede Kamer,
2022Z14322. Tot op heden zijn deze vragen niet beantwoord (89
dagen).
62

Marketingweek, 12 juni 2014, ‘Facebook to serve ads based on web
browsing history’, URL: https://www.marketingweek.com/facebookto-serve-ads-based-on-web-browsing-history/
65

Figuur 19: Facebookbanner met aanmoediging om aan te melden voor niet-gebruikers

Pagina 48 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

1.3

Verwerking ten behoeve van rangschikking en profilering
Zoals uitgelegd in paragraaf 1.1.3 toont Facebook aan iedere
gebruiker gepersonaliseerde inhoud, met inbegrip van betaalde
promotie en advertenties, gebaseerd op aannames over de
interesses van de gebruiker.
Om te bepalen welke inhoud aan een gebruiker moet worden
getoond, verwerkt Facebook de drie hierboven beschreven
types persoonsgegevens: direct door de gebruiker in diens
profiel verstrekte gegevens, over de gebruiker geobserveerd
gedrag op en buiten het Facebookplatform en gegevens afgeleid
van gebruikersactiviteit.
Facebook publiceert een informatiepagina over zijn aanpak van
rangschikking.66 Facebook legt uit dat het voor elk bericht een
gepersonaliseerde voorspelling maakt hoe interessant het
mogelijk is voor de gebruiker: “bijvoorbeeld of het van je
vrienden of familie is, hoe waarschijnlijk het is dat je er een
opmerking bij plaatst, hoe waarschijnlijk het is dat het een
zinvolle interactie bevordert, hoe groot de kans is dat je het zelf
zult vinden of of het een kwaliteitsindicator bevat (als een
nieuwsitem originele inhoud is, wijst het algoritme het bericht
een hogere persoonlijke relevantiescore toe en zal dit vaak
hoger in je overzicht verschijnen).”67
Facebook mat en analyseerde de effectiviteit van zijn
voorspellingen met de logdata. In 2018 legde Mark Zuckerberg
in een persoonlijk bericht uit dat Facebook inhoud waarmee
mensen meer interactie hadden hoger zou rangschikken.
“De impact zal per pagina verschillen, als gevolg van factoren
zoals het type inhoud dat ze produceren en hoe mensen er
interactie mee hebben. Pagina's met berichten waarop mensen
over het algemeen niet reageren of commentaar geven, zouden
de grootste afname in verspreiding kunnen zien. Pagina's
waarvan de berichten leiden tot gesprekken tussen vrienden
zullen minder effect zien.”68
Verder houdt Facebook enquêtes om de effectiviteit van zijn
berichten te meten. Facebook legt uit:
“We houden een aantal enquêtes waarin we mensen vragen of
een bericht “je tijd waard was” en gebaseerd op de antwoorden
op die enquêtes voorspellen we hoe groot de kans is dat mensen

Pagina 49 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Meta Transparency Center, Onze aanpak voor rangschikking,
laatste update 17 juni 2022, URL:
https://transparency.fb.com/en-gb/features/ranking-andcontent/
67
Idem.
68
Facebook, Bringing People Closer Together, 11 januari
2018, URL: https://about.fb.com/news/2018/01/newsfeed-fyi-bringing-people-closer-together/
66

een bericht de moeite waard vinden. Berichten die volgens de
voorspellingen waardevoller zijn, staan hoger in het
Nieuwsoverzicht.”69
Een voorbeeld van een enquêtevraag dat Facebook geeft, heeft
betrekking op politieke inhoud.
“Beter begrijpen welke content mensen minder willen zien: We
horen steeds vaker van mensen dat ze te veel inhoud zien over
politiek en te veel andere soorten berichten en commentaren
die hen afleiden van hun Nieuwsoverzicht-ervaring.”70
Op de informatiepagina over rangschikking verwijst Facebook
naar een blogpost met meer informatie over de
voorspellingen.71 In dat bericht wordt de grote schaal uitgelegd
(meer dan 2 miljard mensen wereldwijd die elk in hun
Nieuwsoverzicht 1.000 potentiële berichten kunnen zien).
“voor iedere persoon op Facebook zijn er duizenden signalen die
wij moeten evalueren om te bepalen wat die persoon mogelijk
interessant vindt. We hebben dus biljoenen berichten en
duizenden signalen en we moeten voorspellen wat elk van die
mensen direct wil zien in zijn/haar nieuwsoverzicht.”
(…)
“het rangschikkingssysteem bestaat niet uit één enkel
algoritme; het bestaat uit meerdere lagen ML-modellen
[Machine learning, toevoeging Privacy Company] en
rangschikkingen om te voorspellen welke inhoud het relevantst
en meest betekenisvol is voor iedere gebruiker. Bij elke fase
reduceert het rangschikkingssysteem die duizenden kandidaatberichten tot de paar honderd die op een bepaald moment in
iemands Nieuwsoverzicht verschijnen.”72
Facebook legt uit dat een gepersonaliseerde score in vier aparte fasen tot
stand komt.
1. Eerst wordt aan elk van de 1.000 mogelijke berichten een
score gegeven in de persoonlijke inventaris van de gebruiker,
gebaseerd op het type en overeenkomst met andere
onderwerpen waarmee de gebruiker gewoonlijk interactie
heeft.
2. In de tweede fase wordt de integriteit van het bericht
beoordeeld en wordt de berichtenpool teruggebracht tot
minder dan 500.
3. In de derde stap vindt de meeste personalisering plaats,
wanneer de specifieke volgorde wordt bepaald voor elk van de
500 berichten in verband met het specifieke gedrag van de
gebruiker.73

Pagina 50 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

4. Tot slot wordt een contextfilter toegepast om te
voorkomen dat de gebruiker maar één type technische inhoud
te zien krijgt, zoals videoberichten.

Meta Transparency Center, Onze aanpak voor rangschikking. Zie
ook: Facebook, 'Incorporating More Feedback Into News Feed
Ranking’, 22 April 2021, URL:
https://about.fb.com/news/2021/04/incorporating-more-feedbackinto-news-feed-ranking/ . Deze vorm van enquêtes is in 2019
ingevoerd. In 2021 zijn nieuwe vragen toegevoegd, of mensen een
bericht inspirerend vonden.
69

Facebook, 'Incorporating More Feedback Into News Feed Ranking’.
Facebook, How Does News Feed Predict What You Want to
See?, 26 januari 2021, URL:
https://about.fb.com/news/2021/01/how-does-news-feedpredict-what-you-want-to-see/
72
Idem.
73
Idem.
70
71

Technisch gezien verwerkt Facebook de activiteitengegevens
van gebruikers in een verzameling verschillende databases. De
technische details van deze gegevensverwerking worden
beschreven in paragraaf 8.2 van dit rapport (Verwerking van
big data).

2.

Persoonsgegevens en betrokkenen
Het DPIA-model van de Nederlandse Rijksoverheid vereist dat
dit gedeelte een lijst bevat van de door Facebook verwerkte
persoonsgegevens en per categorie betrokkenen welke soorten
persoonsgegevens worden verwerkt door het product of de
dienst waarvoor de DPIA wordt uitgevoerd. Deze DPIA kan
echter geen uitputtend antwoord bieden op deze vragen.
Het is de taak van elke afzonderlijke overheidsorganisatie om in
kaart te brengen welke categorieën persoonsgegevens en wat
voor verschillende soorten betrokkenen geraakt kunnen worden
door de gegevensverwerking door Facebook. Deze hangt af van
de aard van de door de overheidsorganisatie geleverde
gegevens over de inhoud. Voorbeeld: een bericht op een
Facebookpagina van het ministerie van Volksgezondheid en
Welzijn met corona-advies kan leiden tot een verhit debat over
vaccinaties. Dit kan leiden tot directe en indirecte verwerking
van (de bijzondere categorie) gezondheidsgegevens. Mensen
kunnen actief en in het openbaar hun ervaringen met de ziekte
en/of vaccinaties uiteenzetten in antwoord op een bericht op
een overheidspagina. Maar Facebook kan ook 'vind-ik-leuks' en
afgeleide informatie over reacties op dergelijke inhoud
meenemen in zijn algoritmische voorstellen voor inhoud
waarvan wordt aangenomen dat de gebruiker daarin
geïnteresseerd is: in de vorm van voorgestelde andere pagina's,
van andere berichten in het Nieuwsoverzicht en van
advertenties.

Pagina 51 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Ook kan een bericht van het ministerie van Onderwijs, Cultuur
en Wetenschappen over vrije toegang tot musea of culturele
evenementen voor kinderen tot 16 jaar kinderen bereiken.
Afhankelijk van die inhoud en de beoogde doelgroep kan
Facebook verschillende diagnostische gegevens verwerken over
de interacties van paginabezoekers.
Dit hoofdstuk bestaat uit 6 paragrafen:
1.
2.
3.
4.
5.
6.
2.1

Definities van persoonsgegevens
Netwerkverkeer
Paginastatistieken en Activiteitlogboeken
Cookies
Resultaten inzageverzoeken van betrokkene
Categorieën betrokkenen

Definities van persoonsgegevens
Deze eerste paragraaf bevat een overzicht van de wettelijke
definitie van persoonsgegevens, de beschrijvingen van
verwerking van persoonsgegevens van Facebook in zijn
(nieuwe)
Privacybeleid
en
uitleg
over
unieke
gebruikersidentifiers die Facebook onlangs verstrekte aan een
rechtbank in Californië.
De definitie van persoonsgegevens luidt volgens artikel 4(1)
AVG als volgt: “'persoonsgegevens' alle informatie over
een geïdentificeerde of identificeerbare natuurlijke
persoon (“de betrokkene”); als identificeerbaar wordt
beschouwd een natuurlijke persoon die direct of indirect
kan worden geïdentificeerd, met name aan de hand van
een identificator zoals een naam, een
identificatienummer, locatiegegevens, een online
identificator of van een of meer
elementen die kenmerkend zijn voor de fysieke,
fysiologische, genetische, psychische, economische,
culturele of sociale identiteit van die natuurlijke persoon.”
Facebook verzamelt gegevens direct van geïdentificeerde
klanten en indirect door middel van het gebruik van zijn
diensten.
In zijn huidige Gegevensbeleid (gedateerd 4 januari 2022)
gebruikt Facebook de termen 'informatie' en 'gegevens', zonder
te specificeren of deze aan te merken zijn als
persoonsgegevens. De term ‘persoonsgegevens’ wordt maar
een keer gebruikt, zonder definitie.74
Eind mei 2022 kondigde Facebook een ingrijpende aanpassing
aan van zijn beleid met ingang van 26 juli 2022 en doopte het
om in 'Privacybeleid'. In een blog waarin de wijzigingen in het
privacybeleid worden aangekondigd, zegt Facebook dat er niets
verandert. In het nieuwe Privacybeleid verstrekt Facebook
alleen meer informatie over de verwerking.75 “Hoewel de tekst
in beide verklaringen er anders uitziet, staan deze updates Meta
niet toe jouw gegevens op andere manieren te verzamelen,
gebruiken of delen.”76 Facebook geeft een overzicht van
updates.77 In dit overzicht legt Facebook uit dat het meer details

Pagina 52 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

verstrekt
over
de
doeleinden
van
de
verwerking,
bewaartermijnen, gegevensdoorgiften en zichtbaarheid van met
Facebook gedeelde informatie. Facebook noemt ook specifiek
metadata: “We verstrekken ook aanvullende details over wat
metadata zijn en hoe wij die gebruiken.”
De tekst van dit nieuwe Privacybeleid wordt in dit rapport
gebruikt, voor zover dit relevant is voor de reikwijdte van deze
DPIA.78 In het nieuwe beleid worden de termen informatie en
gegevens nog steeds gebruikt, maar het bevat ook een
beschrijving van de term persoonsgegevens. “Wanneer we het
hebben over 'verwerking van persoonsgegevens' bedoelen we
daarmee de manieren waarop wij jouw informatie verzamelen,
gebruiken en delen zoals we hierboven hebben beschreven in
andere delen van dit beleid.” Dit is geen definitie of een
verwijzing naar de definitie uit de AVG. In de eenzijdige (nietonderhandelbare,
niet-ondertekenbare)
gezamenlijkeverwerkingsverantwoordelijkenovereenkomst die Facebook
aanbiedt
voor
Paginastatistieken
wordt
de
term
persoonsgegevens echter gebruikt met verwijzing naar de AVG
in de zin: “Dit Addendum Paginastatistieken is alleen van
toepassing op de verwerking van persoonsgegevens binnen de
reikwijdte van Verordening (EU) 2016/679 (“AVG”).
“persoonsgegevens”, “verwerking”,

Facebook Gegevensbeleid, URL:
https://www.facebook.com/privacy/policy/version/20220104 De
term persoonsgegevens is gebruikt in een uitleg over de rechtsgrond
voor de verwerking, in de zin: “indien nodig voor onze
gerechtvaardigde belangen (of die van anderen), waaronder voor
onze belangen bij het bieden van een innovatieve, gepersonaliseerde,
veilige en winstgevende service aan onze gebruikers en partners,
tenzij die belangen niet zwaarder wegen dan jouw belangen of jouw
grondrechten en vrijheden waarvoor persoonsgegevens verplicht
moeten worden beschermd.”
74

Facebook blog, Here’s What You Need to Know About Our Updated
Privacy Policy and Terms of Service. 26 mei 2022, URL:
75

https://about.fb.com/news/2022/05/metas-updated-privacy/.
Idem.
Facebook, Overzicht van de updates van het privacybeleid en de
servicevoorwaarden van Meta, URL:
https://www.facebook.com/help/policysummary?locale=en_GB&vanity=policysum
mary&mayb e_redirect_pol=true
78
Facebook Privacybeleid (van kracht sinds
26 juli 2022), URL:
https://www.facebook.com/privacy/policy
76
77

“verwerkingsverantwoordelijke”,
“verwerker”,
“toezichthoudende
instantie” en “betrokkene” hebben in dit Addendum Paginastatistieken
de in de AVG vermelde betekenis.”79
In het gedeelte 'Hoe gebruiken we je gegevens?' van het nieuwe
Privacybeleid gebruikt Facebook de werkwoorden deidentificeren, aggregeren en anonimiseren zonder verwijzing
naar een definitie of technische uitleg. “In sommige gevallen
kunnen we gegevens de-identificeren of aggregeren om minder

Pagina 53 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

gegevens te gebruiken die zijn gekoppeld aan individuele
gebruikers. We kunnen die gegevens ook anonimiseren zodat je
niet langer kunt worden geïdentificeerd.”80 In het beleid is niets
vermeld over pseudoniemen.
Zoals te zien is in figuur 20 hieronder, geeft Facebook in zijn
Privacybeleid een beschrijving van de vier categorieën
informatie die het verzamelt.
Figuur 20: Beschrijving van Facebook van vier categorieën “informatie'

Met betrekking tot pagina's schrijft Facebook in het gedeelte 'Je
activiteit en gegevens die je verstrekt' dat het de volgende
gegevens verzamelt:
“Weergaven van en interacties met een Facebook-pagina en de
inhoud ervan, om de Paginabeheerder te voorzien van
geaggregeerde informatie over hoe mensen hun Pagina en de
inhoud ervan gebruiken. Meta is samen met Paginabeheerders
verantwoordelijk.
Meer informatie over de gezamenlijke
verwerking voor Paginastatistieken.”
De link onder 'Meer informatie' verwijst naar een openbare
informatiepagina met de opsomming van gegevens gebruikt
voor het produceren van analytische gegevens voor
paginabeheerders, de Paginastatistieken beschreven in
paragraaf 1.2 van dit rapport hierboven.81Privacy Company
vond geen definitie of beschrijving van de term metadata in het
nieuwe Privacybeleid, alleen verwijzingen naar 'metadata over
inhoud/en of berichten'. Er is één pop-up met een korte uitleg
van de term 'gerelateerde metadata' waarin wordt beschreven
dat Facebook de datum en het tijdstip waarop een foto en video
werd gemaakt kan verzamelen als een gebruiker toegang
verleent tot de camerarol op het apparaat.
Uit de lopende Californische rechtszaak over privacy van
consumenten blijkt dat Facebook vier soorten unieke identifiers
gebruikt voor gebruikersgegevens: “Facebook gebruikt
hoofdzakelijk vier soorten interne identifiers voor
79

Facebook Addendum Paginastatistieken.

Facebook Privacybeleid (van kracht sinds 26 juli 2022).
Facebook, Informatie over gegevens voor paginastatistieken, URL:
https://www.facebook.com/legal/terms/information_about_page_insights_data
80
81

Pagina 54 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

gebruikersgegevens: (1) een gebruikersidentifier (UserID), (2)
Replacement ID, (3) Separable ID en (4) App Scoped Identifiers.”82 De
vierde soort identifier valt buiten deze DPIA, aangezien deze gericht is
op de risico's van browsergebaseerde bezoeken aan overheidspagina's
op Facebook.

2.1.1

UserID
“Facebook maakt gebruik van een in de hele branche gebruikte
techniek die pseudonimisering wordt genoemd om gebruikers
op het Facebookplatform weer te geven. In wezen creëert
Facebook een aanvaarde, unieke identifier waarin
informatie over de gebruiker is ingekapseld (zoals
voornaam, achternaam, e-mailadres, telefoonnummer).
Die inkapseling is toegankelijk door middel van een
identifier die een gebruikersidentifier (of UserID) wordt
genoemd; dit is te vergelijken met een rij die wordt opgeslagen
in een tabel in een database waarbij de eerste sleutel de userid
is en de informatie over de gebruiker de waarden in de andere
kolommen. UserID's zijn uniek in Facebooks systemen, zodat er
geen twee gebruikers met dezelfde UserID kunnen zijn en ze
worden niet hergebruikt; dit betekent dat zelfs als een gebruiker
zijn/haar account verwijdert, een andere gebruiker niet
hetzelfde UserID kan krijgen. De UserID is de aanvaarde
identifier voor het weergeven van een Facebookgebruiker en
wordt in vrijwel alle Facebooksystemen gebruikt.”

2.1.2

Vervangend ID (RID)
“De RID is een identifier die de verwijderingspraktijken van
Facebook ondersteunt door gegevens onomkeerbaar los te
koppelen van een gebruiker. Aan iedere gebruiker wordt
een RID toegekend voor de bestaansduur van zijn/haar
account. In dataystemen waarin verwijdering niet wordt
ondersteund (bv. Hive) kunnen gebruikersgegevens die langer
dan 90 dagen worden bewaard alleen worden bewaard met een
RID. Wanneer een gebruiker zijn/haar account verwijdert,
verwijdert Facebook het bestand dat de UserID koppelt aan de
RID, zodat de bij die RID opgeslagen gegevens niet meer aan
die gebruiker kunnen worden gekoppeld. Net als de UserID
vertegenwoordigt de RID een enkele gebruiker. Twee personen
kunnen niet dezelfde RID hebben en RID's worden niet
hergebruikt.”

2.1.3

Separable ID (SID)
De SID lijkt op de RID, maar stelt Facebook in staat gegevens
over activiteiten buiten Facebook permanent los te koppelen
van een gebruiker. Gegevens die Facebook ontvangt van derde
partijen over een gebruiker wordt gekoppeld met een SID (in
plaats van een UserID) en Facebook zorgt voor gescheiden
mapping van SID's en UserID's die toegankelijk kunnen worden
gemaakt na verwerking van gegevens. Door middel van de
Facebooktool Activiteit buiten Facebook kunnen gebruikers hun
activiteit buiten Facebook wissen. Wanneer een gebruiker dit
doet, verwijdert Facebook de mapping tussen de SID en de
UserID die de op de SID opgeslagen gegevens onomkeerbaar
loskoppelt van de gebruiker. Facebook genereert dan een
nieuwe SID die wordt gekoppeld aan het vervolg van het

Pagina 55 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

gebruikersaccount.”
Het feit dat Facebook drie unieke gebruikersidentifiers gebruikt
en bewaart en niet alleen tijdstempels, betekent dat het
technisch mogelijk is niet-geïndexeerde databases te
doorzoeken op gegevens die verband houden met deze drie
identifiers. Deze pseudoniemen zijn persoonsgegevens,
aangezien ze betrekking hebben op geïdentificeerde natuurlijke
personen. Zolang Facebook in staat is SID's in verband te
brengen met UserID's, is de SID ook een pseudoniem. Bij
gebrek aan een

Rechtszaak Facebook Inc inzake privacy
gebruikersprofiel van consumenten bij het
Amerikaanse District Court Northern District of
California, zaaknr. 3-18-MD-02843-VC, Document
913, productie 41.
82

duidelijke technische uitleg en een onafhankelijke audit van wat
'onomkeerbare loskoppeling' betekent, worden SID's niet
beschouwd als anoniem, aangezien Facebook op den duur zoveel
datapunten bezit over een gebruiker dat identificatie heel goed
mogelijk is op basis van andere gegevens die wijzen naar de
relatie met die UserID. Uit de lopende Californische rechtszaak
volgt dat Facebook in staat is en opdracht krijgt om zijn 'cold
storage' (offline) Hive-tabellen te doorzoeken op geïdentificeerde
gebruikersgegevens met bestaande zoekmiddelen. Dit omvat ook
gegevens die momenteel niet getoond worden via de tool Je
gegevens bekijken en downloaden.83
2.2

Netwerkverkeer
In deze tweede paragraaf wordt de analyse beschreven van het
netwerkverkeer dat is gegenereerd met de beperkte testen met
de pagina van het (fictieve) ministerie van Privacy.
Zoals beschreven in 'Methode' in de inleiding werd al het
uitgaande netwerk tijdens de bezoeken aan de pagina van het
ministerie van Privacy en andere gescripte activiteiten door de
(nieuw aangemaakte) testaccounts onderschept. Aangezien alle
gegevensverwerking door Facebook op afstand plaatsvindt, op
de servers van Facebook, is het niet mogelijk diagnostische
gegevens te onderscheppen die door het apparaat van de
eindgebruiker naar Facebook werden verstuurd (geen
telemetrische gegevens).
Zoals verwacht, werd er geen verkeer naar derde partijen
waargenomen in het netwerkverkeer naar Facebook. Anders
dan bij andere op advertenties gebaseerde diensten is Facebook
zelf een van de grootste advertentienetwerken in de wereld en
daardoor hoeft het geen bezoekersgegevens te delen met derde
partijen om gerichte advertenties te tonen. Facebook hoeft ook
geen externe leverancier van analyses in te schakelen, omdat
het zijn eigen (big data)-analyses gebruikt.
De analyse van het netwerkverkeer geeft echter geen inzicht
over het mogelijk delen van gegevens met derde partijen.
Technisch gesproken kan Facebook alle verzamelde gegevens
over gebruikersactiviteit of inhoud via zijn eigen Application

Pagina 56 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Programming Interface (API) delen met een derde partij.
Dergelijk verkeer is niet zichtbaar (en niet te onderscheppen)
voor een eindgebruiker, aangezien dit op afstand zou gebeuren,
op de servers van Facebook.

Bevel Special Masters betreffende de overlegging van met naam genoemde
eiser. (Stein, Deborah) (ingediend 8/6/2022) paragraaf 19: “(…) Eisers
beweerden dat “nieuw bewijs aan het licht was gekomen in twee 30(b)(6)verklaringen met betrekking tot deze vragen” waaruit blijkt dat (1) Facebook
[X] Hive-tabellen selecteerde en deze in de "cold storage" onderbracht, juist
omdat deze relevant waren voor deze rechtszaak.”
83

(2) Facebook is in staat offline Hive-tabellen te doorzoeken met
behulp van [X] en de tool [X]; (3) het zelf te downloaden bestand is
niet de meest volledige of bruikbare compilatie van
gebruikersgegevens; en (4) Facebook heeft uit de productie ten
minste 52 snapshots achtergehouden van gegevens van genoemde
eiser met een tot nu toe onbekende tool die eigenlijk meer gebruikt
werd voor het verzamelen van gebruikersgegevens genaamd [X]. Zie
productie V (van eisers, ingediend op 7 juni 2022).” Dit leidde tot de
volgende herziene opdracht in paragraaf 31: “Facebook dient uiterlijk
op 8 augustus 2022 de volgende categorieën gegevens van genoemde
eiser in Hive over te leggen, ongeacht of deze voorkomen in de zelf te
downloaden bestanden: activiteit buiten het platform, advertentieinteresses, gegevens over advertentiekliks, bekeken advertenties en
gegevens over custom audience. Facebook verstrekt ook de namen
van de tabellen waaruit de hierboven beschreven Hive-gegevens
worden geproduceerd, hoe Facebook de tabellen heeft geïdentificeerd
en het schema voor dergelijke gegevens.” URL:
https://storage.courtlistener.com/recap/gov.uscourts.cand.327471/go
v.uscourts.cand.327471.982.0_1.pdf.

2.3

Paginastatistieken en activiteitlogboeken
Deze derde paragraaf bevat een beschrijving van de
gegevensverwerking door Facebook voor het produceren van
activiteitlogboeken
en
Paginastatistieken
voor
paginabeheerders.

2.3.1

Paginastatistieken
Door middel van Paginastatistieken geeft Facebook analyses
over het aantal bezoeken aan de pagina, het aantal bezoekers
en hun specifieke interacties met de inhoud op de pagina. Zie
figuur 21 hieronder.
Wanneer een pagina onvoldoende interactie heeft, toont
Facebook niet meer details over de bezoekers. Zoals getoond
in figuur 22 hieronder, haalde de testpagina de drempel van
ten minste 100 paginabezoeken of volgers niet.

Pagina 57 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 21: Facebook prestatiegegevens pagina84

Figuur 22: Statistieken Huidige doelgroep85

84
85

Pagina 58 van 192

Screenshot gemaakt op 13 juli 2022
Idem.

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 23: Paginastatistiek potentiële doelgroep voor de testpagina van de overheid 86

De onderste helft van figuur 23 hierboven bevat een lijst met
top-Facebookpagina's. Facebook legt uit dat het deze cijfers
genereert op basis van een schatting van de door de
(potentiële) doelgroep leuk gevonden pagina's. In een diepere
laag legt Facebook uit dat dergelijke schattingen zijn gebaseerd
op statistische steekproeven of modellen. “Onze waarden voor
het tellen van mensen (waaronder bereik en unieke tellingen)
zijn gebaseerd op een steekproef, omdat er veel gegevens nodig
zijn om deze te berekenen.” En: “Voor het modelleren worden
gegevens uit verschillende bronnen gebruikt(...)”, met als
voorbeeld mensen die zich herinneren een advertentie te
hebben gezien op basis van “vergelijkbare campagnes,
interacties van mensen met een advertentie en andere signalen
om deze schattingen te maken.”87
Facebook geeft ook een schatting van de potentiële doelgroep
van de pagina, per leeftijdscategorie en geslacht. Zoals te zien
is in figuur 24 hieronder schat Facebook de grootte van de
doelgroep op 11,4 tot 13,4 miljoen Nederlandse gebruikers.
Facebook legt uit dat de schatting “niet beoogt overeen te
stemmen met gegevens over bevolking of volkstellingen”, maar
gebaseerd is op “factoren zoals doelselecties, plaatsing van
advertenties en hoe aan mensen advertenties zijn getoond in
de afgelopen 30 dagen.” Voor de testpagina laat Facebook ook
analyses zien van de interacties van bezoekers met de pagina:
hoeveel vind-ik-leuks en reacties en hoeveel antwoorden. Dit
zijn eenvoudige statistieken, zonder verwijzing naar
persoonsgegevens van de bezoekers. Zie figuur 25 hieronder.

Pagina 59 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Idem.
De zijbalk 'Hulp' van Facebook na het klikken op (i) voor 'geschatte cijfers' in
Paginastatistieken.
86
87

Figuur 24: Facebook potentiële doelgroep voor de testpagina van de

overheid88
Facebook beschrijft dat Facebook als enige bepaalt welke
persoonsgegevens worden gebruikt voor Paginastatistieken en
dat paginabeheerders alleen toegang hebben tot statistieken,
niet tot de ruwe data.
“Paginabeheerders hebben geen toegang tot de verwerkte
persoonsgegevens als onderdeel van evenementen, maar alleen
tot de geaggregeerde statistieken. (...) De door Facebook
gelogde evenementen voor het produceren van statistieken
worden uitsluitend gedefinieerd door Facebook en kunnen niet
worden ingesteld, gewijzigd of anderszins beïnvloed worden
door paginabeheerders.”89
Zoals vermeld in paragraaf 1.2.1 geeft Facebook een lijst van
de gegevens die het 'mogelijk' gebruikt voor het maken van de
analyses.
Facebook
legt
in
de
gezamenlijkeverwerkingsverantwoordelijkenovereenkomst
en
in
zijn
antwoord aan de Noorse toezichthoudende autoriteit uit dat het
de IP-adressen, cookie-ID's en andere identifiers in verband

Pagina 60 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

met mensen of apparaten niet afzonderlijk opslaat voor het
maken van de analyses, maar dat betekent niet dat Facebook
deze gegevens niet benadert bij het maken van de analyses. Uit
de openbare toelichtingen van Facebook aan adverteerders
blijkt dat het zowel de door gebruikers verstrekte
locatiegegevens benadert als de gegevens over waargenomen
locatie van gebruikers om advertenties geografisch te richten.
Facebooks uitleg over het gebruik van gegevens over geolocatie
is rechtstreeks van toepassing op de verwerking door Facebook
van gegevens van bezoekers van overheidspagina's.

88
89

Screenshot gemaakt op 13 juli 2022
Facebook Addendum Paginastatistieken.

Figuur 25: Analyses van Facebook over interacties met de testpagina 90

Facebook legt uit dat adverteerders bijvoorbeeld selecteren
“Mensen die deze locatie onlangs hebben bezocht: dit omvat
mensen die je geselecteerde gebied vermelden als hun
recentste locatie. (Waaronder mensen die internationaal op reis
zijn.)”91 En: “Als je de optie Mensen die op deze locatie wonen
of deze locatie onlangs hebben bezocht selecteert, omvat dit
mogelijk ook mensen die die locatie onlangs hebben bezocht
ondanks dat hun thuislocatie ergens anders is.”92
Facebook stelt adverteerders ook in staat te selecteren:
“Mensen die in deze locatie reizen: dit omvat mensen in het
geselecteerde gebied die in hun thuisland zijn, maar zich op
meer dan 200 km van hun thuislocatie bevinden (op basis van
apparaat- en verbindingsgegevens).”93

Pagina 61 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Het feit dat Facebook de IP-adressen bij het inloggen opslaat en
daaruit gegevens over de geolocatie (land, regio, plaats) afleidt,
blijkt ook uit de resultaten van de inzageverzoeken van
betrokkenen (hieronder besproken in paragraaf 2.5).
Facebook informeert de beheerder van een pagina niet actief
over deze (gevoelige) aard van de gegevensverwerking.

Screenshot gemaakt op 13 juli 2022
Facebook, Je locaties kiezen, URL: https://engb.facebook.com/business/help/365561350785642?id=176276233019487
92
Idem.
90
91

93

Ibid.

Figuur 26: Link naar Addendum Paginastatistieken na aanmaken van
pagina94

Tijdens het aanmaken van de testpagina kreeg de beheerder
geen verwijzing te zien naar het Addendum Paginastatistieken.
Pas na het aanmaken van de pagina verscheen helemaal
onderaan de pagina in een piepklein, grijs lettertype in een
lichtgrijs vak, een link met “Informatie over Paginastatistieken”.
Zie figuur 26 hierboven. Die pagina bevat op zijn beurt een link

Pagina 62 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

naar
de
gezamenlijkeverwerkingsverantwoordelijkenovereenkomst, het Addendum
Paginastatistieken.95
2.3.2

Activititeitlogboek
Alle
Facebookgebruikers
hebben
toegang
tot
een
Activititeitlogboek, privégebruikers met een profiel en
privégebruikers
die
een
(overheids)pagina
beheren.96
Paginabeheerders kunnen de identiteit van hun 'pagina'
gebruiken om toegang te krijgen tot het Activititeitlogboek van
de pagina. Dit geeft een overzicht van interacties met de
(overheids)pagina, met inbegrip van beheerdersactiviteiten en
de
inhoud
van
antwoorden
op
berichten
van
Facebookgebruikers. Figuur 27 laat zien dat testgebruiker C een
openbare reactie schreef op een bericht.

Pagina voor het laatst bekeken op 21 juli 2022.
Idem.
96
Facebook, Wat staat er in mijn Facebook-activiteitlogboek?, URL:
https://www.facebook.com/help/256333951065527
94
95

Figuur 27: Activititeitlogboek van de testpagina van het ministerie van Privacy97

2.4

Cookies en apparaatidentifiers
In deze paragraaf worden drie manieren beschreven waarop
Facebook cookies plaatst en identifiers van apparaten leest.
7. wanneer een aangemelde Facebookgebruiker de testpagina van het
ministerie van Privacy bezoekt,
4. wanneer een niet-gebruiker de testpagina van het ministerie van Privacy
bezoekt en
5. wanneer een aangemelde Facebookgebruiker het Meta
Transparency Center bezoekt om meer te weten te
komen over de gegevensverwerking op de
overheidspagina.
De vierde paragraaf van dit deel van de DPIA vat de
informatie samen die Facebook verstrekt over zijn cookies en
apparaatidentifiers.

2.4.1

Cookies geplaatst in browsers van aangemelde gebruikers door de

Pagina 63 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

testpagina van het ministerie van Privacy
Wanneer een aangemelde Facebookgebruiker rechtstreeks de
testpagina van het ministerie van Privacy bezoekt, toont
Facebook een banner met een verzoek om toestemming voor
cookies. Deze banner dwingt gebruikers te kiezen tussen
'essentiële' en 'essentiële en optionele cookies'. Zoals te zien is
in figuur 28 hieronder, zijn de twee opties grafisch zodanig
ontworpen dat er een duidelijke voorkeur ontstaat voor de
acceptatieknop voor optionele cookies. De lichtgrijze knop
'alleen essentiële cookies toestaan' trekt minder de aandacht
dan de blauwe knop.

97

Pagina voor het laatst bekeken op 13 juli 2022.

Figuur 28: Facebookbanner toestemming voor cookies98

Overeenkomstig de testscenario's selecteerden alle drie de
testgebruikers 'Alleen essentiële cookies toestaan'. Omdat de
testen werden uitgevoerd met een schone browser, toonde
Facebook deze banner iedere keer aan een gebruiker voordat

Pagina 64 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

deze zich kon aanmelden.
In de modus 'essentiële' cookies plaatst Facebook 5 van de vele
cookies uit zijn eigen domeinen met een inhoud die lang genoeg
is om unieke identifiers te bevatten in de browsers van
aangemelde Facebookgebruikers, zoals te zien is in tabel 1
hieronder. Dit zijn de volgende cookies:
1.
2.
3.
4.
5.

Datr – levensduur 2 jaar
Sb – levensduur 2 jaar
c.user – levensduur 1 jaar
xs – levensduur 1 jaar
fr – levensduur 90 dagen

Tabel 1: 'Essentiële' cookies geplaatst door Facebook in browser van
aangemelde testgebruiker C99

98
99

Domein

Cookies en inhoud

facebook.com

1 verzoek, geen cookies.

Edgechat.facebook.co
m

2 WebSocket-verbindingen met de volgende cookies
datr=dBEzYjDICc3TrLqUN26ZNpSK;
sb=gREzYgfJwOvmiQYXZGK5TBJj;
c_user=100078069608872;
xs=9%3AwQSBwwELEvBOtw%3A2%3A1647513986%3A-1%3A-1;
oo=v1;
fr=05aTFMQnijiO4iSnH.AWW6CfDscddODez-aurTy55enw.BiMxGF.8R.AAA.0.0.BiMxGF.AWXkPhjBRUw

Cookiebanner voor het laatst bekeken op 21 juli 2022.
Testgebruiker C, opgeslagen op 17 maart 2022.

gateway.facebook
. com (same
identifiers)

1 WebSocket-verbinding met de volgende cookies:
datr=dBEzYjDICc3TrLqUN26ZNpSK;
sb=gREzYgfJwOvmiQYXZGK5TBJj;
c_user=100078069608872;
xs=9%3AwQSBwwELEvBOtw%3A2%3A1647513986%3A-1%3A-1;
oo=v1;
fr=05aTFMQnijiO4iSnH.AWW6CfDscddODez-aurTy55enw.BiMxGF.8R.AAA.0.0.BiMxGF.AWXkPhjBRUw

www.facebook.co
m

247 verzoeken
datr=dBEzYjDICc3TrLqUN26ZNpSK;
_js_datr=dBEzYjDICc3TrLqUN26ZNpSK;
sb=gREzYgfJwOvmiQYXZGK5TBJj; c_user=100078069608872;
xs=9%3AwQSBwwELEvBOtw%3A2%3A1647513986%3A-1%3A-1;
oo=v1;
fr=05aTFMQnijiO4iSnH.AWW6CfDscddODez-aurTy55enw.BiMxGF.8R.AAA.0.0.BiMxGF.AWXkPhjBRUw
presence=C%7B%22t3%22%3A%5B%5D%2C%22utc3%22%3A164
7513997585%2C%22v%22%3A1%7D
c_user=100078069608872;
2 verzoeken veroorzaakt door de Chrome-browser, niet door Facebook.

accounts.google.c
om
Clients1.google.co
m
www.google.com
Contentautofill.googleapis
.com
Update.googleapi
s. com

1 verzoek veroorzaakt door de Chrome-browser, niet door Facebook.
1 verzoek voor een enkele pixel-gif in de context van een Googleadvertentie op de homepagina van Facebook, niet de pagina van het
ministerie van Privacy.
3 verzoeken, geen cookies.
6 verzoeken, geen cookies.

Pagina 65 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Edgedl.me.gvt1.c
om
Googleads.g.doub
leclick.net

external-ams41.xx.fbcdn.net
Scontent.xx.fbcdn
.net
Scontent-ams41.xx.fbcdn.net
Scontent-amt21.xx.fbcdn.net
Static.xx.fbcdn.ne
t
Video-ams41.xx.fbcdn.net
Video-amt21.xx.fbcdn.net

5 verzoeken veroorzaakt door de Chrome-browser, niet door Facebook.
1 verzoek voor een enkele pixel-gif getoond op www.facebook.com,
niet op de pagina uit het onderzoek. Test_cookie=CheckForPermission;
expires=Thu, 17- Mar-2022 11:01:37 GMT;
path=/;
domain=.doubleclick.net;
Secure;
SameSite=none
10 verzoeken, geen cookies.
13 verzoeken, geen cookies.
99 verzoeken, geen cookies.
95 verzoeken, geen cookies.
317 verzoeken, geen cookies.
205 verzoeken, geen cookies.
129 verzoeken, geen cookies.

De uitwisseling van cookiegegevens is getest met twee in
Nederland populaire websites: een uitzendbureau (Randstad)
en een webshop / e-commerceplatform (Bol.com), terwijl de
gebruiker alleen 'essentiële' cookies van Facebook had
geaccepteerd. Figuur 29 hieronder toont het door de testpagina
van het ministerie van Privacy geplaatste datr-cookie

Figuur 29: Datr-cookie geplaatst door de testpagina van het ministerie

van Privacy100

Pagina 66 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 30: Beeld van Facebookcookies geplaatst door uitzendbureau
Randstad.nl101

100
101

Datr-cookies opgeslagen in de browsers van testgebruiker C op 17 maart 2022.
Opgeslagen op 30 juni 2022.

Figuur 30 en 31 laten zien dat Facebook de informatie uit het
datr-cookie kreeg toen testgebruiker C twee zeer bekende
Nederlandse websites bezocht, van respectievelijke Randstad
en Bol.com. De gebruiker had de aanbevolen 'optimale' en
'marketing' cookies van respectievelijk Randstad en Bol
geaccepteerd.
Figuur 31: Beeld van Facebookcookies geplaatst door Bol.com 102

Pagina 67 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

De recente deskundigenopinie van de toezichthoudende
autoriteiten van de Duitse centrale overheid en deelstaten
bevestigt deze analyse. Zij concludeerden op 18 maart 2022 dat
een
keuze
voor
alleen
essentiële
cookies
de
gegevensverwerking van Facebook niet verandert: in plaats van
cookies gebruikt Facebook web storage. De toezichthouders
schrijven: “Werden beim Betreten einer Facebook-Seite nur
erforderliche Cookie ausgewählt, ändert sich am Verhalten der
Website nichts, sowohl Cookies als auch Objekte im Web
Storage werden in gleicher Weise gesetzt.“103
2.4.2

Datr-cookie geplaatst in browser van niet-gebruiker
Facebook laat een verzoek om toestemming voor cookies zien
wanneer een niet-gebruiker de testpagina van het ministerie
van Privacy bezoekt. Wanneer de gebruiker de minimale optie
'essentiële cookies' kiest, plaatst Facebook het datr-cookie en
het _js_datr-cookie (met dezelfde inhoud) met een levensduur
van 2 jaar. Zie figuur 32 en 33 hieronder. Sinds begin juli 2022
laat Facebook aan niet-gebruikers een banner zien met de
uitnodiging om een Facebookaccount aan te maken of zich aan
te melden. Niet-gebruikers kunnen nog steeds de inhoud van
de pagina zien (doorscrollen), maar zonder Facebookaccount is
geen interactie mogelijk.

102
103

Idem.
Kurzgutachten zur datenschutzrechtlichen Konformität des

Betriebs von Facebook‐ Fanpages, 18 March 2022, p. 34,
URL: https://www.datenschutzkonferenzonline.de/media/weitere_dokumente/DSK_Kurzgutachten_Fac
ebook- Fanpages_V1_18.03.2022.pdf.

Pagina 68 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 32: Verzoek om toestemming voor cookies bij bezoek aan

testpagina104
Figuur 33: Datr-cookie geplaatst in browser van niet-gebruiker105

2.4.3

Cookies geplaatst bij het lezen van algemene privacy-informatie
Toen een van de aangemelde testgebruikers het Meta
Transparency Center bezocht om informatie te lezen over de
gegevensverwerking achter de rangschikking van inhoud in het
Nieuwsoverzicht, toonde Facebook een andere cookiebanner,
zonder een optie om advertentiecookies te weigeren, alleen een
optie 'meer informatie'. De pagina 'meer informatie' bood geen
104
105

mogelijkheid

Opgeslagen op 30 juni 2022.
Opgeslagen op 30 juni 2022.

om

cookies

te

weigeren,

anders

dan

een

Pagina 69 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

verwijzing naar richtlijnen van de browser voor het weigeren
van cookies. Een dergelijke banner wordt gewoonlijk een
'cookiewall' genoemd. Zoals te zien is in figuur 34 hieronder,
zijn de twee opties grafisch zodanig ontworpen dat er een
duidelijke voorkeur ontstaat voor de knop 'alles accepteren'. De
lichtgrijze knop 'meer informatie' trekt minder de aandacht dan
de blauwe 'alles accepteren'-knop.
Figuur 34: Facebook cookiewall106

Nadat de testgebruiker alle cookies 'accepteerde', om de
openbare informatie van Facebook te kunnen lezen, leidde dit
tot de plaatsing van een cookie op het apparaat van de
eindgebruiker, een cookie met de naam 'cb'. Zie figuur 35
hieronder. De waarde van dit cookie bevat de datum waarop het
geplaatst is (dag, maand, jaar) en een geldigheid van twee jaar.
Dit was geen volgcookie, aangezien de identifier niet uniek was.
Figuur 35: Enkel cookie geplaatst door Meta Transparency Page 107

Na het bezoek aan deze pagina surfte de testgebruiker echter
naar de homepagina van Facebook. Facebook toonde geen
cookiebanner meer, omdat de gebruiker al 'alle cookies' had
geaccepteerd. Het bezoek aan de homepagina resulteerde in de
plaatsing van zes cookies met unieke identifiers en een
bewaartermijn tussen 'sessie' en 5 jaar. Een van deze cookies
is het datr-cookie, de vijf andere cookies waren
aanwezigheidscookies (sessiecookies), xs, c_user, sb en oo. Zie
figuur 36 hieronder. Wanneer de testgebruiker een

Pagina 70 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Pop-up in de URL: https://transparency.fb.com/engb/features/ranking-and-content/. Opgeslagen op 30 juni 2022 met
testaccount B. Laatst bekeken op 21 juli 2022.
107
Opgeslagen op 30 juni 2022 (in Nederland).
106

andere Facebookpagina had bezocht, inclusief een andere
overheidspagina, zouden dezelfde cookies zijn geplaatst.
Figuur 36: Zes cookies met unieke identifiers geplaatst door de
homepagina van Facebook108

2.4.4

Informatie van Facebook over cookies en identifiers van apparaten
In zijn Privacybeleid vermeldt Facebook een lijst van 8 types
apparaatgegevens die het verzamelt. Zie figuur 37 hieronder.
Een van deze types is 'identifiers'. Facebook geeft de volgende
voorbeelden: “Identifiers die we verzamelen, zijn apparaatID's, ID van mobiele adverteerder of ID's van games, apps of
accounts die je gebruikt. We verzamelen ook Familie-ID's van
apparaten of andere identifiers die uniek zijn voor producten
van Meta-bedrijven die aan hetzelfde apparaat of account zijn
gekoppeld.”
Figuur 37: Informatie van Facebook over informatie over apparaten

Pagina 71 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

108

Idem.

Figuur 38: Nadere uitleg van Facebook over identifiers

Facebook geeft geen uitputtende opsomming van de cookies die
het gebruikt. In zijn cookiebeleid geeft Facebook algemene
doelbeschrijvingen en enkele voorbeelden. Daarin zit geen
beschrijving van of uitleg over het datr-cookie.109
Tabel 2: Omschrijving van Facebook van waargenomen cookies
Naam
cookie

Omschrijving van Facebook

Omschrijving
Duitse
toezichthouders110

Presence

We gebruiken cookies zoals het
sessiecookie “presence” voor
ondersteuning van jouw gebruik van
Messenger-chatvensters.

Alleen opgeslagen in het
geheugen van de browser.
Doel onduidelijk. Mogelijk
voor de Status van
Facebook Messenger of
Chat?, in stand gehouden
tijdens sessie

Xs

Bijvoorbeeld: We gebruiken cookies om
jou aangemeld te houden terwijl je
navigeert tussen Facebookpagina's.
Cookies helpen ons ook jouw browser te
onthouden, zodat je je niet steeds
opnieuw hoeft aan te melden bij
Facebook en je gemakkelijker kunt
aanmelden bij Facebook via apps en
websites van derden. We gebruiken
bijvoorbeeld de cookies "c_user" and "xs"
ook voor dit doel. Deze hebben een
levensduur van 365 dagen.

Uniek sessie-ID,
bewaartermijn 1 jaar

We gebruiken cookies ook voor het
opslaan van informatie waarmee we je
account kunnen herstellen wanneer je je
wachtwoord bent vergeten of om extra
verificatie te vereisen wanneer je ons
meedeelt dat je account is gehackt. Dit
omvat bijvoorbeeld onze cookies 'sb' en
'dbln' waarmee we je browser veilig

Slaat informatie op over
de browser (bron:
https://cookiedatabase.org
/cookie/facebook/sb/ ),
bewaartermijn 2 jaar

C_user

Sb

Pagina 72 van 192

Unieke Facebookaccountidentifier, bewaartermijn 1
jaar

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

kunnen identificeren.

Facebook Cookiebeleid, ongedateerd, laatst bekeken op
15 juli 2022), URL:
https://www.facebook.com/policy/cookies.
109

Kurzgutachten zur
datenschutzrechtlichen Konformität
110

des Betriebs von Facebook‐
Fanpages, 18 maart 2022, p. 4

Oo

We gebruiken cookies zoals ons cookie
'oo', dat een levensduur heeft van vijf
jaar, ook om je te helpen je af te melden
voor advertenties op Meta op basis van je
activiteiten op websites van externe
partijen.

Alleen geplaatst indien een
gebruiker 'essentiële'
cookies kiest. Blijft na het
uitloggen op het apparaat
staan.

Fr

Het cookie 'fr' wordt bijvoorbeeld gebruikt
om de relevantie van advertenties weer te
geven, te meten en te verbeteren, en
heeft een levensduur van 90 dagen.

Dezelfde uitleg als
Facebook, bewaartermijn
3 maanden

datr

Geen uitleg in het cookiebeleid

Unieke identifier, wordt
ook op andere plekken
geplaatst voor nietgebruikers of nietaangemelde
paginabezoekers,
bewaartermijn 2 jaar

Het datr-cookie van Facebook, met een levensduur van 2 jaar,
wordt ook geplaatst en gelezen door alle websites die worden
bezocht door een Facebookgebruiker die interactie heeft met
Facebook. Bijvoorbeeld wanneer ze een Facebook-pictogram
met een link publiceren of gebruikmaken van een andere
interactiemogelijkheid, zoals de vind-ik-leukknop. Het gebruik
van dit datr-cookie werd in 2014/2015 onderzocht door de
Belgische toezichthoudende autoriteit en speelde een rol in de
zaak van de toezichthoudende autoriteit van Sleeswijk-Holstein
tegen een Duitse school die een Facebook Fanpage had.
Daardoor leidde het gebruik van het datr-cookie door Facebook
tot twee uitspraken van het HJEU.
In de rechtszaak aangespannen door de toezichthoudende
autoriteit van Sleeswijk-Holstein gaf het Europese Hof van
Justitie de volgende samenvatting van het datr-cookie:
“Zoals blijkt uit het aan het Hof overgelegde dossier, worden de
gegevensverwerkingen die in het hoofdgeding aan de orde zijn

Pagina 73 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

hoofdzakelijk uitgevoerd door het plaatsen, door Facebook, op
de computer of op ieder ander apparaat van de personen die de
fanpagina hebben bezocht, van cookies die tot doel hebben
informatie op de webbrowsers op te slaan en gedurende twee
jaar actief blijven indien ze niet worden gewist. Uit het dossier
komt tevens naar voren dat Facebook, in de praktijk, de
informatie die in cookies is opgeslagen met name ontvangt,
opslaat en verwerkt bij het bezoek van een persoon aan „de
Facebook-diensten, waaronder de website en apps van
Facebook of als iemand andere websites en apps bezoekt die
gebruikmaken
van
Facebook-diensten”.
Daarenboven
kunnen ook andere entiteiten, zoals partners van
Facebook of zelfs derden, “cookies op de Facebookdiensten gebruiken om rechtstreeks aan dit sociale
netwerk en de bedrijven die adverteren op Facebook
diensten te verlenen.”111
En:
“Zoals in de punten 33 en 34 van het onderhavige arrest in
herinnering
is
gebracht,
heeft
de
verwerking
van
persoonsgegevens die in het hoofdgeding aan de orde is,
verricht door Facebook Inc. samen met Facebook Ireland en
bestaande in het

Europees Hof van Justitie, zaak C-210/16, Unabhängiges
Landeszentrum für Datenschutz Schleswig-Holstein v
Wirtschaftsakademie Schleswig-Holstein GmbH,
ECLI:EU:C:2018:388, par 33, URL:
https://curia.europa.eu/juris/document/document.jsf?text=&docid=
202543 .
111

verkrijgen van dergelijke gegevens via cookies op de computers
of ander apparaten van de bezoekers van de fanpagina op
Facebook, onder meer tot doel dit sociale netwerk in staat
te stellen zijn advertentiesysteem te verbeteren om zijn
mededelingen doelgerichter te verspreiden.”
In hun recente deskundigenopinie over Facebookpagina's
redeneren de Duitse toezichthoudende autoriteiten van de
centrale overheid en de deelstaten dat de bewaartermijn van
het datr-cookie te lang is om noodzakelijk te zijn voor
beveiligingsdoeleinden. Ze halen eerst de conclusie aan van het
Duitse hof van beroep in bestuurszaken dat de functie van het
datr-cookie onduidelijk is gebleven, ondanks de bewering van
Facebook dat het alleen wordt gebruikt ter bescherming van het
sociale netwerk en niet voor gedragsgerichte advertenties. De
Duitse toezichthoudende autoriteiten schrijven: [Engelse
vertaling van Privacy Company]:
“Indien het datr-cookie inderdaad uitsluitend gebruikt werd ter
waarborging van de veiligheid van het sociale netwerk, zou de
uitzondering op grond van artikel 25, paragraaf 2 sub 2 van de
TTDSG [Duitse wet ter uitvoering van de ePrivacyrichtlijn,
opmerking Privacy Company] alleen van toepassing zijn als de

Pagina 74 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

bijbehorende processen noodzakelijk zijn voor dit doeleinde. Bij
beoordeling van de absolute noodzaak moet rekening worden
gehouden met de criteria die uiteengezet zijn in de richtlijnen
voor ePrivacy van de Duitse toezichthoudende autoriteiten. 112
Met name moet worden onderzocht of de bewaartermijn van het
datr-cookie en de bijbehorende mogelijke toegang noodzakelijk
is voor het beoogde doel. Dat is niet het geval bij een
bewaartermijn van 2 jaar. Derhalve kan het specifieke
technische ontwerp van het datr-cookie niet als noodzakelijk
beschouwd
worden,
zelfs
niet
ten
behoeve
van
fraudepreventie.”113

2.5

Resultaten inzageverzoeken van betrokkene
Deze paragraaf bevat een samenvatting van de resultaten van
de inzageverzoeken van betrokkene die zijn ingediend door de
drie Facebookaccounts die gebruikt zijn voor het testen van de
gegevensverwerking voor deze DPIA.
Als onderdeel van de methode om inzicht te krijgen in de
gegevensverwerking dienden de onderzoekers van Privacy
Company inzageverzoeken van betrokkene in, zowel
rechtstreeks, als betrokkenen B en C die de testpagina
bezochten en indirect door indiening van een inzageverzoek
betrokkene bij testgebruiker A, de beheerder van de pagina van
het ministerie van Privacy. Daarnaast diende deze testgebruiker
A ook een inzageverzoek betrokkene in met betrekking tot de
persoonsgegevens van zijn eigen persoonlijke account.
Facebook biedt gebruikers vier speciale online hulpmiddelen
om informatie te krijgen over de gegevensverwerking.114

Orientierungshilfe der DSK für Telemedienanbieter ab dem
01.12.2021 (OH Telemedien 2021), URL:
https://www.datenschutzkonferenzonline.de/media/oh/20211220_oh_telemedien.pdf.
113
Kurzgutachten zur datenschutzrechtlichen Konformität des Betriebs von Facebook‐
112

Fanpages, 18 maart 2022, p. 34, URL:
https://www.datenschutzkonferenzonline.de/media/weitere_dokumente/DSK_Kurzgut
achten_Facebook- Fanpages_V1_18.03.2022.pdf.
114
Aangemelde gebruikers kunnen de pagina 'Je Facebook-gegevens' bezoeken via de volgende
URL: https://www.facebook.com/settings?tab=your_facebook_information .

1.
2.
3.
4.

Profielgegevens downloaden (DYI)
Activititeitlogboek
Advertentievoorkeuren bekijken en beheren 115
Waarom zie ik deze advertentie?116

Figuur 39: De interface van Facebook voor gebruikers voor het
inzien en beheren van gegevens117

Pagina 75 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

De eerste twee hulpmiddelen zijn zichtbaar in de interface voor
gebruikers voor het beheren van hun privacy-instellingen. Zie
figuur 39 hierboven. De twee andere hulpmiddelen zijn door
Facebook toegevoegd in de e-mails die het aan de 3
testgebruikers stuurde, zoals geïllustreerd in tabel 3 hieronder.
Tabel 3: Correspondentie met Facebook over inzageverzoeken van
betrokkene
Datum

Testaccount A
(Paginabeheerder)

Testaccount B

Testaccount C

28 maart

Inzageverzoek
ingediend via een
ODPOcontactformulier.
Facebook bevestigt
de ontvangst van de
doorgestuurde
verzoeken van de
twee testaccounts B
en C.

Inzageverzoek ingediend bij de
paginabeheerder (testaccount
A) die het verzoek dezelfde
dag doorstuurde. Facebook
bevestigt de ontvangst van het
inzageverzoek aan de FG

Hetzelfde
als bij
testaccount
B

URL https://www.facebook.com/adpreferences/ad_settings
In 2019 introduceerde Facebook een
hulpmiddel waarmee gebruikers konden zien
waarom een bepaald bericht in hun
Nieuwsoverzicht werd voorgesteld, maar deze
functie is verdwenen. Zie:
https://about.fb.com/news/2019/03/why-am-iseeing-this/
115
116

117

Pagina 76 van 192

Pagina voor het laatst bekeken op 22 juli 2022.

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

29 maart

Reageerde dezelfde
dag door aan
Facebook mee te
delen dat inzage in
persoonsgegevens
niet beschikbaar
was via Je gegevens
downloaden en niet
uitdrukkelijk
geweigerd was.

30 maart

Antwoord in het Nederlands
van Facebook op
inzageverzoek bestaande uit
een verwijzing naar het Help
Center van Facebook, het
hulpmiddel Je gegevens
downloaden en een uitleg
over het verzoeken om
inzage zonder
Facebookaccount.

Hetzelfde
als bij
testaccount
B

Langere e-mail van Facebook
in het Engels met
aanwijzingen over het
gebruik van Je gegevens
downloaden, het bekijken van
advertentievoorkeuren, je
geüploade inhoud bekijken
via het hulpmiddel
Activititeitlogboek en een
kopie van de inhoud van het
Privacybeleid om uit te
leggen welke
persoonsgegevens Facebook
verwerkt

Hetzelfde
als bij
testaccount
B

5 april

Verzoek verzonden
aan Facebook om te
bevestigen dat
identiteitsbewijs van
testgebruikers B en
C bevredigend is.
Op deze e-mail is
geen antwoord
ontvangen.

28 april

Facebook
meegedeeld dat de
termijn van een
maand was
verstreken voor de
verzoeken van B en
C. Update gevraagd
om aan betrokkenen
door te geven.

4 mei

Facebook op de
hoogte gesteld van
het verstrijken van
de deadline zonder
dat een antwoord
was ontvangen op
de e-mail van 29
maart.

Pagina 77 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

13 mei

Facebook antwoordt
op de e-mail van 4
mei. Facebook
herhaalt dat naar
zijn mening het
vorige antwoord
afdoende is.
Facebook voegt
eraan toe:
“Zeer technische
data in zijn
oorspronkelijke
vorm is
waarschijnlijk
nietszeggend voor
de gemiddelde
Facebookgebruiker
en verstrekking van
dergelijke data zou
niet stroken met de
verplichtingen van
Facebook op grond
van wetgeving
inzake
gegevensbescherming.”

Dezelfde e-mail als
testgebruiker A (in het
Engels). Facebook beroept
zich op 3 uitzonderingen om
geen inzage te geven in alle
persoonsgegevens: “Tot slot
willen we opmerken dat het
recht op inzage niet absoluut
is. Daarvoor gelden
meerdere uitzonderingen.
Sommige gegevens kunnen
bijvoorbeeld weggelaten
worden uit je download om
(1) negatieve gevolgen voor
de rechten en vrijheden van
andere gebruikers te
voorkomen, of wanneer een
andere uitzondering van
toepassing is, zoals (2) de
bescherming van
bedrijfsgeheimen of
(3) de kennelijk excessieve
aard van het verzoek.

Hetzelfde
als bij
testaccount
B

25 mei

Facebook antwoordt
op de e-mail van 28
april en deelt aan de
paginabeheerder
mee dat met
testgebruikers B en
C per e-mail contact
is opgenomen.

E-mail (in het Engels) met
verwijzing naar het
Privacybeleid en de conclusie
dat Meta volledig heeft
voldaan aan zijn
verplichtingen tegenover
betrokkenen. Meta noemt 1
uitzondering om geen inzage
te verlenen: We wijzen erop
dat het recht op inzage en
verkrijging van een kopie van
uw gegevens niet absoluut is
en dat daarvoor meerdere
uitzonderingen gelden.
Sommige gegevens kunnen
bijvoorbeeld weggelaten
worden uit uw download
omdat dit negatieve gevolgen
zou hebben voor de rechten
en vrijheden van andere
gebruikers.

Hetzelfde
als bij
testaccount
B

Tabel 4 hieronder toont de door Facebook geleverde gegevens via het
hulpmiddel Profielgegevens downloaden.
Tabel 4: Bestanden verkregen via Profielgegevens downloaden van
Facebook

Pagina 78 van 192

Bestandsnaam

Omschrijving

./friends_and_follow
ers/friends.json

Lijst met vrienden

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

./friends_and_follow
ers/who_you_follow
.json
./friends_and_follow
ers/friend_requests
_received.json
./preferences/langu
age_and_locale.json
./messages/inbox
./messages/autofill_
information.json
./messages/secret_
groups.json
./messages/secret_
conversations.json
./apps_and_website
s_off_of_facebook/y
our_offfacebook_activity.js
on
./posts/album

Lijst met door het account gevolgde pagina's
Lijst met ontvangen vriendschapsverzoeken
Een lijst met talen die het account mogelijk kent en de
voorkeurstaal van het account.
Per account een register van de in Facebook Chat uitgewisselde
berichten.
Bevat gegevens over het e-mailadres van het account, naam en
geslacht
Bevat informatie over besloten groepen (niet gebruikt bij de testen)
Bevat informatie over tinycan- en armadilo-apparaten en
gesprekken. Betekenis onbekend. Niet opgenomen in de test.
Bevat informatie over interacties met advertenties en websites
buiten Facebook.

Bevat album-metadata

./posts/media

Bevat media-uploads zoals afbeeldingen.

./posts/your_posts_
1.json
./other_activity/nodata.txt
./comments_and_re
actions/comments.j
son
./comments_and_re
actions/posts_and_c
omments.json
./communities/nodata.txt
./music_recommend
ations/no-data.txt
./facebook_assistant
/no-data.txt
./location/timezone.
json

Lijst met door het account geplaatste berichten.

./location/primary_l
ocation.json
./your_topics/your_t
opics.json
./other_logged_infor
mation/ads_interest
s.json
./other_logged_infor
mation/friend_peer_
group.json
./live_audio_rooms/
no-data.txt
./polls/no-data.txt
./groups/no-data.txt
./your_interactions_
on_facebook/recentl
y_viewed.json
./your_interactions_
on_facebook/recentl
y_visited.json

Inhoud onbekend: de enige informatie is dat de gebruiker geen
gegevens heeft in dit gedeelte.
Bevat een lijst met commentaren op berichten.
Bevat een lijst met vind-ik-leuks.
N.v.t. Er zijn geen community's getest
N.v.t. Er is geen gebruikgemaakt van muziekaanbevelingen
N.v.t. Facebook assistent is niet gebruikt
Bevat de tijdzone van de gebruiker.

Bevat plaats, provincie en postcode van primaire locatie van gebruiker
Bevat een lijst met afgeleide onderwerpen waarin gebruiker
geïnteresseerd is. Bevat geen uitleg over de reden hiervoor.
Bevat een lijst met afgeleide advertentie-onderwerpen waarin
gebruiker geïnteresseerd is. Bevat geen uitleg over de reden hiervoor.
Bevat een afgeleide classificatie van de groep vergelijkbare vrienden.
Bv. “Gesetteld volwassen leven”
N.v.t. Live Audio Rooms is niet getest
N.v.t. De gebruikers hebben tijdens de testen niet meegedaan aan
polls
N.v.t. De gebruikers zijn tijdens de testen geen deelnemer geworden
van groepen
Bevat een lijst met onlangs bekeken video's, advertenties en artikelen
op Marketplace
Bevat lijsten met recente bezoeken aan profielen, pagina's,
evenementen en groepen

Pagina 79 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

./saved_items_and_
collections/nodata.txt
./search/your_searc
h_history.json
./facebook_gaming/
no-data.txt
./facebook_marketpl
ace/no-data.txt
./facebook_accounts
_center/no-data.txt
./stories/no-data.txt

N.v.t. Niet opgenomen in de testen

./short_videos/nodata.txt
./security_and_login
_information/ip_add
ress_activity.json
./security_and_login
_information/your_f
acebook_activity_hi
story.json
./security_and_login
_information/record
_details.json
./security_and_login
_information/brows
er_cookies.json
./security_and_login
_information/mobile
_devices.json
./security_and_login
_information/accoun
t_activity.json
./security_and_login
_information/logins
_and_logouts.json
./security_and_login
_information/where
_you're_logged_in.j
son

N.v.t. Niet opgenomen in de testen

Bevat een lijst met door het account uitgevoerde zoekopdrachten
N.v.t. Facebook gaming was niet opgenomen in de testen
N.v.t. Facebook Marketplace was niet opgenomen in de testen
N.v.t. Niet opgenomen in de testen
N.v.t. Niet opgenomen in de testen

Een log met loggingacties, gecombineerd met IP-adres, tijdstempel
en user-agent
Bevat een log van de dagen waarop de gebruiker actief was op de
Facebookwebsite, -app en in Facebook Messenger
Logs wijzigingen in het gebruikersaccount met IP-adres, user agent
en datr-cookie.
Bevat een lijst met datums voor elke datr-identifier
N.v.t. Bevat een lijst met gebruikte mobiele apparaten, inclusief
adverteerders-id. Niet gebruikt voor de testen.
Bevat een log van accountactiviteit (login en sessie-update),
inclusief tijdstempel, IP-adres, geolocatie (land, regio, plaats) en
datr-cookie
Bevat een lijst met log-ins en log-outs, inclusief tijdstempel en IPadres
Bevat een log van accountactiviteit, inclusief tijdstempel, IP-adres,
geolocatie (land, regio, plaats) en datr-cookie

./security_and_login
_information/login_
protection_data.json
./feed/reduce.json

./fundraisers/nodata.txt
./facebook_portal/n
o-data.txt
./profile_information
/profile_information.
json
./profile_information
/profile_update_hist
ory.json
./ads_information/a
dvertisers_you've_i
nteracted_with.json
./ads_information/a
dvertisers_using_yo
ur_activity_or_infor
mation.json
./facebook_payment
s/payment_history.j
son

Pagina 80 van 192

Bevat een log van IP en informatie over datr-cookie
Bevat categorieën van manieren waarop berichten in het overzicht
worden gefilterd: Gevoelige inhoud, gebaseerd op fact-checks,
enz., zoals aangegeven door de gebruiker.
N.v.t. Niet opgenomen in de testen
N.v.t. Niet opgenomen in de testen
De basis-profielinformatie verstrekt door de gebruiker
Geschiedenis of wijzigingen in de profielinformatie
Log met interacties met adverteerders (bv. kliks op een advertentie)

Lijst met adverteerders die de activiteit of informatie van gebruikers
gebruikt. Bevat: naam adverteerder, opname in een doelgroep,
doelgroep remarketing, persoonlijk bezoek aan winkel. Toont niet de
advertentie of welke data de adverteerder heeft geüpload/gekozen.
N.v.t. Niet opgenomen in de testen

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

./spark_ar/nodata.txt
./activity_messages
/group_interactions.
json
./activity_messages
/people_and_friends
.json
./events/your_event
_responses.json
./privacy_checkup/i
nteractions.json
./Pages/your_Pages.
json
./Pages/Pages_you'
ve_liked.json
./Pages/Pages_you_
follow.json
./other_personal_inf
ormation/nodata.txt
./journalist_registrat
ion/no-data.txt
./notifications/notific
ations.json
./bug_bounty/bug_b
ounty.json
./your_places/nodata.txt
./reviews/nodata.txt
./your_problem_rep
orts/no-data.txt

N.v.t. Niet opgenomen in de testen
Bevat een telling van het aantal groepsinteracties per groep
Bevat log van interacties met gebruikersaccounts.
N.v.t. Niet opgenomen in de testen
Bevat een log van het aantal keren dat de gebruiker interactie had
met de privacycontrole van Facebook
Bevat een lijst met door het account beheerde pagina's, bv. de
pagina “Ministerie van Privacy”
Lijst met tijdstempel van leuk gevonden pagina's
Lijst met tijdstempel van gevolgde pagina's
Geen inhoud verstrekt door Facebook
N.v.t. Niet opgenomen in de testen
Geschiedenis van door Facebook verzonden meldingen
N.v.t. Niet opgenomen in de testen
N.v.t. Niet opgenomen in de testen
N.v.t. Niet opgenomen in de testen
N.v.t. Niet opgenomen in de testen

Het hulpmiddel Je gegevens downloaden is in staat onderscheid
te maken tussen activiteiten uitgevoerd als gebruiker en
activiteiten (van diezelfde persoon) uitgevoerd als beheerder.
Wanneer een gebruiker zich aanmeldt met de testpagina (in
deze DPIA, als 'Ministerie van Privacy') laat het hulpmiddel de
beheerdersactiviteiten zien en niet de activiteiten van diezelfde
persoon als privégebruiker. Zoals beschreven in paragraaf 2.3.2 bevat het
Activititeitlogboek voor gebruikers die paginabeheerders zijn
een archief van de op de pagina geplaatste inhoud, evenals
antwoorden op berichten. Het Activiteitlogboek voor beheerders
bevat geen metadata over bijvoorbeeld de op de pagina
doorgebrachte tijd of andere ruwe data met betrekking tot de
unieke gebruiker, apparaat, besturingssysteem, locatie en
browseridentifiers. Dat betekent niet dat Facebook die gegevens
niet verzamelt.
Hoewel Facebook organisaties toestaat een aparte 'eigenaar'
aan te maken voor (commerciële of publieke-sector)pagina's,
moet
een
paginabeheerder
nog
steeds
een
privéFacebookaccount hebben om een pagina aan te kunnen maken.
Na het aanmaken van de pagina heeft de pagina een eigenaar
die zich afzonderlijk kan aanmelden. Door dit onderscheid stelt
Facebook organisaties in staat de naam van de pagina als
openbaar zichtbare auteur van de berichten te gebruiken in
plaats van de privénaam van de medewerker. Deze
pseudonimisering geldt echter alleen voor de openbaar
zichtbare informatie op Facebook en niet voor andere
persoonsgegevens die gegenereerd worden via het gebruik van

Pagina 81 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

een privé-account voor werkdoeleinden. Een paginabeheerder
kan zich ook aanmelden met zijn/haar privé-account op het
professionele
dashboard
met
bezoekersgegevens,
de
Paginastatistieken.
Hoewel de lijst met gegevens die Facebook ter beschikking stelt
via het hulpmiddel Je gegevens downloaden en andere
hulpmiddelen voor transparantie, zoals de informatie per
advertentie, er indrukwekkend uitziet, is deze op essentiële
onderdelen nog steeds onvolledig. De resultaten van alle
gecombineerde hulpmiddelen zijn onvolledig voor vier
categorieën persoonsgegevens:
1. de logica achter de rangschikking van de inhoud in het
Nieuwsoverzicht en het onderliggende profiel;
2. de gelogde gegevens over gedrag;
3. de afgeleide gegevens, in het bijzonder de logica achter de advertenties en
4. de gegevens die zijn geüpload door adverteerders voor
specifieke doelgroepen en look-a-like-lijsten (buiten de
reikwijdte van deze DPIA).
De hulpmiddelen van Facebook richten zich op het bieden van
inzage in de gegevens over inhoud die actief is geleverd door
betrokkene en gegevens over inhoud die aan de gebruiker wordt
getoond op de homepagina, zoals voorgestelde vrienden of
berichten. Facebook is echter minder toeschietelijk met de
gegevens die het automatisch logt over het gedrag van de
gebruiker en andere metadata en de gegevens die het afleidt
uit dit gedrag, zoals interesse in bepaalde onderwerpen.
De toelichtingen van Facebook over het gebrek aan inzage in de
eerste drie gegevenscategorieën worden hieronder uitgebreider
uitgelegd.
2.5.1

Logica achter de rangschikking van inhoud
Toen gevraagd werd waarom de logica achter de rangschikking
van inhoud, voorgestelde vrienden en aanbevolen berichten en
pagina en het onderliggende profiel waarop de specifieke
gepersonaliseerde inhoud is gebaseerd niet werd getoond, gaf
Facebook een algemene uitleg over zijn verwerking:
“Onze voorstellen helpen gebruikers nieuwe en relevante
inhoud te ontdekken. Zo stellen wij bijvoorbeeld in hun
Nieuwsoverzicht berichten voor van Pagina's en Groepen die zij
nog niet volgen, maar waarvan wij denken ze daarin
geïnteresseerd zijn. Er zijn meerdere factoren die invloed
hebben op welke berichten worden voorgesteld in het
Nieuwsoverzicht, zoals:
•

Pagina 82 van 192

Relevant engagement: Een bericht kan worden
voorgesteld aan gebruikers als andere mensen die
interactie hebben gehad met het bericht eerder
interactie hadden met dezelfde groep, pagina of bericht
als zij.
•
Gerelateerde onderwerpen: Wanneer ze onlangs
betrokken waren bij een bepaald onderwerp op
Facebook, kunnen wij andere berichten voorstellen die
daarmee samenhangen. Als gebruikers bijvoorbeeld

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

onlangs een bericht leuk hebben gevonden of
commentaar hebben gegeven op een pagina over
basketbal, kunnen we andere berichten over basketbal
voorstellen.
•

Locatie: Gebruikers kunnen een voorgesteld bericht
krijgen op basis van waar zij zijn en waarop mensen bij
hen in de buurt interactie hebben op Facebook.

Om gebruikers te laten begrijpen waarom inhoud aan hen is
voorgesteld, kunnen ze de functie “Waarom zie ik dit?” in het
Nieuwsoverzicht gebruiken om meer context te krijgen.” 118
In deze e-mail verwijst Facebook ook naar een openbare
informatiepagina over zijn aanpak van rangschikking.119 Uit dit
antwoord kunnen gebruikers niet opmaken waarom bepaalde
inhoud aan hen werd aanbevolen op de overheidspagina of
waarom inhoud van overheidspagina's die zij volgen wel of niet
werd getoond in hun Nieuwsoverzicht. Voor deze DPIA is het
relevant dat gebruikers geen informatie kunnen krijgen over
hoe hun interactie met de overheidspagina wordt vertaald in
inhoud in hun Nieuwsoverzicht. In de opzet van de test was het
onduidelijk waarom testgebruiker B het bericht met tegen de
overheid gerichte inhoud te zien kreeg. Deze pagina werd
voorgesteld door Facebook. De testgebruiker bezocht deze
pagina, maar vond deze niet leuk en volgde hem niet. Het is
onduidelijk of dit bericht een gevolg was van interacties met de
testpagina of het volgen van leiders van een of meer specifieke
politieke partijen.
In een ander, in paragraaf 1.1.3 beschreven geval volgde de
gebruiker onbedoeld een pagina met inhoud die anti-overheid
was. Dit leidde tot een groot aantal berichten in het
Nieuwsoverzicht, groter dan van andere gevolgde pagina's.
Hoewel Facebook beweert dat sinds 2019 het informatie per
inhoudsitem laat zien, is de optie om de logica achter een
aanbeveling sindsdien kennelijk verdwenen.
Figuur 40: Screenshots van Facebook uit 2019 met logica waarom inhoud
wordt getoond120

Pagina 83 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

E-mail van Facebook van 21 juni 2022 aan Privacy Company en het ministerie
van BZK.
119
Meta Transparency Center, Onze aanpak voor rangschikking,
laatste update 17 juni 2022, URL:
https://transparency.fb.com/en-gb/features/ranking-andcontent/
120
Idem.
118

Zoals zal worden uitgelegd in hoofdstuk 8 maakt de manier
waarop Facebook de gegevensverwerking heeft georganiseerd,
met taken die automatisch op een heel grote schaal worden
uitgevoerd, het in feite onmogelijk voor Facebook achteraf te
achterhalen waarom elk stukje inhoud aan een gebruiker werd
getoond.
2.5.2

Gelogde gegevens over gedrag
In de resultaten op het inzageverzoek laat Facebook na gelogde
gegevens te verstrekken over gedrag zoals tijd besteed aan het
kijken/met de muis zweven boven een pagina, bericht, video of
andere inhoud, kliks op een pagina, eerder bezochte website
(uit http-kop van browser), apparaat- en browserinformatie.
Tabel 5 hieronder toont welke types gebeurtenissen wel en niet
waren opgenomen in de antwoorden van Facebook.
Tabel 5: Facebook-gebeurtenissen getoond in antwoord op inzageverzoek
Types gebeurtenissen

Opgenomen in antwoord
op inzageverzoek/
gedownloade gegevens

Tijd besteed aan het 'bekijken' van een pagina (de Nee
tijd dat een pagina op het scherm te zien is)
Een pagina, bericht, video, verhaal of andere
inhoud in verband met een pagina bekijken

Nee

Interactie met een verhaal

Verhalen zijn niet getest.

Pagina 84 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Een pagina volgen of niet meer volgen

Ja

Een pagina of bericht leuk vinden of niet leuk
vinden

Ja

Een pagina aanbevelen in een bericht of
commentaar

Ja

Commentaar geven op een bericht op een pagina, Ja
dit delen of daarop reageren (inclusief het type
reactie)
Een bericht op een pagina verbergen of melden
als spam

Niet getest

Met de muis over een link naar een pagina of de Nee
naam of profielfoto van een pagina bewegen om
een preview te zien van de inhoud van de pagina
Klikken op de website, het telefoonnummer, de
routebeschrijvingsknop of andere knop op een
pagina

Nee

Een evenement van een pagina openen, reageren Evenementen zijn niet
op een evenement, inclusief het type reactie, getest.
klikken op een link voor tickets voor het
evenement
Een Messengercommunicatie beginnen met de
pagina

Ja

Artikelen in de shop van een pagina bekijken of
daarop klikken

Shops zijn niet getest.

Informatie over de actie, de persoon die de actie Informatie verstrekt via het
onderneemt en de voor de actie gebruikte hulpmiddel Je gegevens
browser/app, waaronder:
downloaden verschilt per
type gebeurtenis.
Datum en tijd van de actie
Land/plaats (geschat op basis van IP-adres of
geïmporteerd van gebruikersprofiel voor
aangemelde gebruikers)
Taalcode (uit http-kop van browser en/of
taalinstelling)
Leeftijdscategorie/geslacht (uit gebruikersprofiel,
alleen voor aangemelde gebruikers)
Eerder bezochte website (uit http-kop van
browser)
Of de actie is uitgevoerd vanaf een computer of
een mobiel apparaat (uit de user agent van de
browser of app-attributen)
FB-gebruikersnaam (alleen voor aangemelde
gebruikers)
Het gebrek aan transparantie van Facebook over deze gegevens
over geobserveerd gedrag was een van de geschilpunten in de
Californische collectieve rechtszaak. Uit de tot nu toe laatste
openbaar beschikbare processtukken (de zaak werd in augustus
2022 geschikt, maar tot nu toe is er geen documentatie
bekendgemaakt over de schikking) volgt dat Facebook
inderdaad meer gegevens in zijn databases bewaart dan het

Pagina 85 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

verstrekt via het hulpmiddel Je gegevens downloaden.
Facebook onthoudt bijvoorbeeld welke advertenties sinds 2007
aan iedere gebruiker zijn getoond, maar verstrekt deze
informatie niet via zijn hulpmiddel Je gegevens downloaden. Dit
werd in de Californische collectieve rechtszaak bevestigd door
een technicus die Facebook vertegenwoordigde:
“V. Facebook logt dus welke advertenties worden getoond aan een specifieke
gebruiker?
A. Ja.
V. Wanneer is Facebook begonnen met het loggen van welke advertenties worden
getoond aan een specifieke gebruiker?
A. Ik geloof dat we, dat we dat hebben gelogd sinds we zijn begonnen met het tonen
van advertenties.
V. Dat was in 2007, toch?
A. Ja.”121
In een nieuwsartikel in TechCrunch wordt het juridische debat
over de nalatigheden van Facebook bij het verlenen van inzage
aan betrokkenen als volgt samengevat:
“Voor die getuigenverklaring werkte Facebook twee jaar lang
alle pogingen tegen om het bestaan van gegevens van
genoemde eiser te bespreken buiten de informatie die werd
verstrekt via het hulpmiddel Je gegevens downloaden, waarbij
het benadrukte dat zelfs het zoeken naar gegevens van
genoemde eiser onmogelijk belastend zou zijn,” schrijven de
eisers en noemen een aantal voorbeelden waarin het bedrijf
beweerde dat het onredelijk grote technische prestaties zou
vergen om alle informatie

PRODUCTIE 98-b, bewerkte versie van Document Sought to be
Sealed, p. 140,
https://storage.courtlistener.com/recap/gov.uscourts.cand.327471/go
v.uscourts.cand.327471. 1038.14.pdf.
121

die zij zochten te achterhalen, om vervolgens op te merken dat
pas na de “langdurig uitgestelde getuigenverklaring onder ede
door een door het bedrijf aangewezen persoon de waarheid
boven tafel kwam” (d.w.z. dat Facebook Hive-data met
betrekking tot de genoemde eisers had achterhaald, maar
daarover zo lang mogelijk had gezwegen). “Of Facebook
verplicht zal worden de gegevens die het bewaarde uit 137
Hive-tabellen over te leggen, wordt momenteel besproken,”
merken zij verder op. “De afgelopen twee dagen hebben
partijen elk 250 Hive-tabellen vastgesteld die moeten worden
doorzocht op gegevens die kunnen worden gekoppeld aan de
genoemde eisers. De kwestie welke specifieke gegevens uit
deze (of andere) tabellen worden geproduceerd is nog niet
opgelost.”122
2.5.3

Afgeleide gegevens en de logica achter advertentievoorkeuren
Facebook heeft geen inzage verleend in de afgeleide gegevens
en de logica achter advertentievoorkeuren. Voorbeeld: beide
splinternieuwe testaccounts zagen vier advertentie-interesses
toen ze de advertentievoorkeuren bekeken: (i) alcohol, (ii)
onderwijs, (iii) huisdieren en (iv) maatschappelijke kwesties,

Pagina 86 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

verkiezingen of politiek. Zie figuur 41 hieronder. Deze categorie
is relevant voor deze DPIA omdat bezoeken aan
overheidspagina's kunnen leiden tot het afleiden van nieuwe
advertentievoorkeuren. Facebook kan volgcookies gebruiken
die zijn geplaatst als gevolg van het bezoek aan een
overheidspagina om op en buiten Facebook gerichte
advertenties te tonen.
Figuur 41: Aanvankelijk aan beide testgebruikers getoonde advertentie-onderwerpen

Op de vraag waarom betrokkene deze vier interessecategorieën
te zien kreeg, antwoordde Facebook dat deze interesses alleen
werden getoond om het voor gebruikers mogelijk te maken zich
af te melden voor advertenties op basis van die interesses. “Alle
gebruikers krijgen de mogelijkheid om te kiezen voor minder
advertenties over deze onderwerpen. Dit is een extra
controlemiddel voor gebruikers.”
Na uitwisseling van deze informatie wijzigde Facebook de
advertentievoorkeuren grondig. Sinds eind juni 2022 zien beide
testgebruikers niet meer de vier advertentievoorkeuren. In
plaats daarvan toont Facebook een dropdownmenu met een
vrijwel eindeloze lijst categorieën en subcategorieën. Zie de
dropdownmenu's in figuur 42 en 43 hieronder.
Figuur 42: Leeg menu met advertentie-onderwerpen waarin een gebruiker mogelijk

geïnteresseerd is123

Techcrunch, Unsealed docs in Facebook privacy suit offer glimpse
of missing app audit , 16 september 2022, URL:
https://techcrunch.com/2022/09/16/unsealed-docs-in-facebookprivacy-suit-offer-glimpse-of-missing-app-audit/.
122

123

Menu voor het laatst bekeken op 22 juli 2022.

Pagina 87 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 43: Dropdownmenu met advertentie-onderwerpen waarin een
gebruiker mogelijk geïnteresseerd is124

Kennelijk zijn nu al deze categorieën van toepassing op een
gebruiker, tenzij deze zich daarvoor afmeldt.
Figuur 44: Subcategorieën in de hoofdcategorie 'bier'125

Wanneer een gebruiker een categorie zoals 'bier' selecteert om
zich af te melden voor advertenties, moet deze dat doen voor
een lange lijst met gerelateerde of subcategorieën, zoals
verschillende soorten bier (tarwe, amber, ale enz.) en
gerelateerde categorieën zoals 'sterkedrank' met veel
subcategorieën. Zie figuur 44 hierboven.
2.5.4

Doelgroep of 'look-a-like'-lijsten
Facebook laat niet zien welke informatie die adverteerders naar
Facebook hebben geüpload met betrekking tot de gebruiker om
een advertentie gericht te tonen (voor doelgroepen of 'look-alike'-lijsten
geleverd
door
derde
partijen).
Deze
gegevensverwerking valt buiten de reikwijdte van deze DPIA

Pagina 88 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

124
125

2.5.5

Idem.
Idem.

Uitleg Facebook
In een e-mail aan Privacy Company en het Nederlandse
ministerie van Binnenlandse Zaken voegde Facebook daaraan
toe dat het een redelijke balans hanteert tussen het belang van
een gebruiker om inzage te krijgen in zijn of haar
persoonsgegevens
en
de
last
voor
verwerkingsverantwoordelijken
om
deze
gegevens
te
produceren.
“Tot slot willen we opmerken dat het recht op inzage niet
absoluut is. Daarvoor gelden op grond van de AVG en nationale
wetgeving meerdere uitzonderingen. Artikel 15(4) [AVG] maakt
bijvoorbeeld duidelijk dat het recht op verkrijging van een kopie
van de verwerkte persoonsgegevens “geen nadelige effecten
mag hebben voor de rechten en vrijheden van anderen”. In
artikel 12(5) staat dat een verwerkingsverantwoordelijke mag
weigeren te reageren op een inzageverzoek dat kennelijk
ongegrond of buitensporig is, met name vanwege met name
vanwege het repetitieve karakter ervan.”
In meer algemene zin is “proportionaliteit” een algemeen
beginsel van EU-recht dat bepalend is voor de omvang van het
antwoord van een verwerkingsverantwoordelijke op een
inzageverzoek van een betrokkene. Dit betekent dat de rechten
van betrokkene zoals het recht op inzage proportioneel moet
worden toegepast. In gevallen waarin het recht op
gegevensbescherming botst met andere grondrechten, heeft
het HJEU bepaald dat het nodig is om een “redelijk evenwicht”
te bereiken tussen de verschillende strijdige belangen. Met
andere woorden, het recht op inzage is niet absoluut en vereist
niet de oplegging van een “excessieve last” aan de
verwerkingsverantwoordelijke. Bij het uitvoeren van deze
evenwichtsoefening zal de rechtbank trachten een redelijk
evenwicht te bereiken tussen “enerzijds het belang van de
betrokkene bij bescherming van zijn privacy, met name door
middel van zijn recht op verstrekking van de gegevens aan hem
in een begrijpelijke vorm om hem, zo nodig, in staat te stellen
zijn rechten op rectificatie, wissing en blokkering van de
gegevens uit te oefenen (in het geval dat de verwerking van de
gegevens niet voldoet aan de richtlijn) en zijn rechten op
bezwaar en het aanspannen van een rechtszaak en aan de
andere kant de last die de verplichting om dergelijke gegevens
te
verstrekken
meebrengt
voor
de
verwerkingsverantwoordelijke.
Gekozen moet worden voor een evenwichtige en redelijke
aanpak voor het beoordelen van de gegevens die moeten
worden geproduceerd in antwoord op een inzageverzoek van
een betrokkene, met name rekening houdend met de vraag of
de gegevens direct toegankelijk zijn en de door de
verwerkingsverantwoordelijke te maken kosten voor het
ophalen van bepaalde informatie. De last voor Meta mag niet
zwaarder wegen dan wat nodig is om het doel te bereiken. Gelet

Pagina 89 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

op de mogelijk excessieve last van het ophalen van “alle
gegevens” en de nominale waarde van technische gegevens
(die voor de gemiddelde persoon betekenisloos is) voor
gebruikers, zijn wij van mening dat het verstrekken van
productiegegevens aan gebruikers, zoals die gemakkelijk
toegankelijk zijn gemaakt door middel van onze verschillende
hulpmiddelen de beste manier is om de informatie die Meta
verwerkt
over
gebruikers
op
een
begrijpelijke
en
gebruikersvriendelijke vorm te verstrekken.”126
De geldigheid van dit antwoord komt aan de orde in hoofdstuk
15 van deze DPIA, met verwijzing naar relevante Nederlandse
en HJEU-jurisprudentie over de omvang van het recht op inzage
in relatie tot de reikwijdte van deze DPIA, de verwerking van
gegevens over interacties met de overheidspagina en de op de
pagina voorgestelde inhoud.

126

E-mail Facebook Nederland aan Privacy Company en BZK, 5 juli 2022.

In de lopende Californische rechtszaak over de
privacyrechten van consumenten heeft Facebook een
uitbreidere uitleg gegeven over de ontbrekende informatie
in zijn antwoorden op inzageverzoeken van betrokkenen. De
rechter stelde drie categorieën vast van “achterhaalbare
gebruikersgegevens”
(die
Facebook
zou
moeten
verstrekken in antwoord op een inzageverzoek van een
betrokkene):
1. gegevens verzameld op basis van de activiteit van een
gebruiker op het platform, gegevens verkregen van derde
partijen met betrekking tot de activiteiten van een
gebruiker buiten het platform en
2. gegevens afgeleid van de activiteiten van een gebruiker
op en buiten het platform.

Facebook legde aan de rechtbank uit dat het inderdaad niet alle
gegevens uit de tweede categorie verstrekt: de activiteit buiten
het platform. In zijn verklaring voor de rechtbank legt Facebook
niet uit waarom het geen inzage verleent in de derde categorie
gegevens: de gegevens afgeleid van gedrag van een gebruiker
op het platform.
“Eisers hebben herhaaldelijk aangevoerd dat de gedownloade
gegevens alleen gegevens uit categorie (1) bevatten, waarbij ze
een verklaring van de raadsman van Facebook aanhaalden
tijdens een overleg tussen advocaten in aanwezigheid van
rechter Corley.127
Het volledige gesprek met rechter Corley maakt zelfs duidelijk
dat de raadsman van Facebook uitlegde dat het hulpmiddel voor
zelf downloaden niet alle gegevens in de categorieën (1), (2) en
(3) bevat, (...) Het bestand met gedownloade gegevens
bevat inderdaad niet alle gegevens met betrekking tot
gebruikers, maar dat betekent niet dat productie van die
gegevens voldoet aan Rule 26. Zoals hierboven uiteengezet,
bevatten de zelf gedownloade gegevens bijvoorbeeld ook
gegevens ontvangen van derde partijen over de activiteiten van

Pagina 90 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

een gebruiker buiten het platform in apps en op websites, zoals
het bekijken van inhoud en een artikel toevoegen aan een
winkelwagen, maar deze bevat geen gegevens om de specifieke
bekeken inhoud te identificeren of het artikel dat werd
toegevoegd aan een winkelwagen. Technici zijn bereid de
redenen daarvoor uit te leggen op de hoorzitting.”
Kortom, uit de resultaten van de technische inspectie blijkt dat
Facebook persoonsgegevens verwerkt over Facebookgebruikers
die een overheidspagina bezoeken. Op grond van het echtenaambeleid
van
Facebook
zijn
gebruikers
direct
identificeerbaar. Facebook is technisch in staat zijn drie
verschillende gepseudonimiseerde gebruikers-ID's te koppelen
aan de drie gegevenscategorieën die Facebook verwerkt:
gegevens die door gebruikers actief zijn verstrekt,
geobserveerd door Facebook en afgeleid door Facebook. Zelfs
indien Facebook de IP-adressen en cookie-identifiers die het
gebruikt voor het genereren van Paginastatistieken niet
afzonderlijk
opslaat,
zijn
de
statistieken
geen
gepseudonimiseerde gegevens, zolang Facebook het unieke
userID bewaart (zolang de persoon het account niet actief
verwijdert en tot 30 dagen daarna, zie hoofdstuk 10 van dit
rapport).
Daarnaast is Facebook ten aanzien van niet-gebruikers die een
overheidspagina bezoeken in staat individuele niet-gebruikers
te herkennen op basis van informatie afgelezen van hun
apparaat en browser. Daarvoor gebruikte Facebook ten minste
vijf verschillende soorten volgcookies (waaronder het datrcookie). Facebook blijkt zijn cookiesgebruik begin juli 2022 te
hebben gewijzigd. Volgens de laatste testen op 15 juli 2022
plaatst Facebook alleen het datr-volgcookie en leest dat.

In het document verwijst Facebook naar het Pls' Mot. compel
(verzoek om een dwangbevel van eisers) van 28 september 2020
Punt 7, Dkt. 526; Pls’ Mot. Compel van 18 oktober 2021, Productie
van genoemde eisers, inhoud en informatie punt 3.
127

2.6

Betrokkenen
Deze paragraaf bevat een overzicht van de betrokkenen die mogelijk
geraakt worden door de verwerking wanneer een overheidsorganisatie
besluit een Facebookpagina aan te maken.
Deze DPIA kan geen uitputtend overzicht geven van de verschillende
soorten betrokkenen die geraakt worden door deze gegevensverwerking,
omdat dit afhangt van de doelgroepen van de verschillende
overheidsorganisaties.
Desondanks biedt deze paragraaf een handreiking voor overheidsorganisatie
over mogelijke bezoekers om hen te helpen risico's voor de verschillende
types bezoekers te inventariseren.

2.6.1

Categorieën persoonsgegevens
Zoals uitgebreider beschreven in de paragrafen 1.2.1, 1.2.3 en
1.2.4 verwerkt Facebook twee soorten gegevens over bezoeken

Pagina 91 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

aan Facebookpagina's van de overheid: geobserveerde
gegevens over interacties met de pagina via de serverlogs en
cookies (voor gebruikers en niet-gebruikers) en afgeleide
gegevens over advertentievoorkeuren (voor gebruikers).
Persoonsgegevens van gevoelige aard
Sommige 'normale' persoonsgegevens moeten vanwege de
gevoelige aard ervan extra zorgvuldig worden verwerkt.
Voorbeelden daarvan zijn financiële gegevens, verkeers- en
locatiegegevens.128 De metadata over wie met wie
communiceert (in dit geval met welke overheidspagina's) zijn
gevoelig van aard, aangezien deze veel persoonlijke kenmerken
over een persoon onthullen. Daarnaast beschrijft Facebook dat
het het aantal keren verwerkt dat een gebruiker interactie heeft
met Facebook129, hoelang deze over een pagina 'zweeft' met de
muis130, evenals reacties op inhoud die op een pagina wordt
gepresenteerd of getoond als een bericht van die pagina in het
persoonlijke Nieuwsoverzicht.131

Zie voor financiële en locatiegegevens de door de EDPB aanvaarde
WP29-richtsnoeren met betrekking tot Data Protection Impact
Assessment (DPIA) om te bepalen of verwerking “waarschijnlijk een
hoog risico inhouden” voor de doeleinden van Verordening 2016/679,
WP 248 rev.01, URL:
file:///C:/Users/Sjoera/Downloads/20171013_wp248_rev_01_en_D7D
5A266-FAE9-3CA1- 65B7371E82EE1891_47711%20(1).pdf. P. 9-10:
“Naast deze bepalingen van de AVG kunnen sommige
gegevenscategorieën worden beschouwd als categorieën die het
mogelijke risico voor de rechten en vrijheden van natuurlijke personen
verhogen. Deze persoonsgegevens worden als gevoelig (zoals deze
term algemeen wordt begrepen) beschouwd omdat ze verband
houden met huishoudelijke en privéactiviteiten (zoals elektronische
communicatie waarvan de vertrouwelijkheid moet worden beschermd)
of omdat ze de uitoefening van een grondrecht beïnvloeden (zoals
locatiegegevens waarvan de verzameling de vrijheid van verkeer in
vraag stelt) of omdat de schending ervan duidelijk gevolgen heeft
voor het dagelijkse leven van de betrokkene (zoals financiële
gegevens die kunnen worden gebruikt voor betalingsfraude). (...) Dit
criterium kan ook betrekking hebben op gegevens zoals persoonlijke
documenten, e-mails, dagboeken, notities uit e-readers met
notitiefuncties, en zeer persoonlijke informatie in "life-logging"applicaties.” Zie voor de gevoeligheid van verkeersgegevens de
uitspraken van het HJEU waarin wetten zijn verworpen die een
algemene verplichte gegevensbewaring door internetproviders en
telecomproviders invoeren, met name het arrest in de gevoegde
zaken C-511/18, C-512/18 en C-520/18, 6 oktober 2020, La
Quadrature du Net e.a., paragraaf 117 en recenter, zaak C-140/20
(Ierse regering), 5 april 2022, paragraaf 44-46.
128

Facebook Addendum Paginastatistieken, voor het laatst bekeken
op 15 juli 2022. Het overzicht van Facebook van de informatie die
het verzamelt is vermeld in paragraaf 1.2.1.
130
Verklaring van Facebook tegenover de Californische rechtbank, in
paragraaf 1.2.1 vermeld als tijd besteed aan het bekijken van een
pagina.
131
Facebook Addendum Paginastatistieken: Een pagina, bericht,
video, verhaal of andere inhoud in verband met een pagina bekijken.
129

Pagina 92 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

De gevoeligheid van de gegevens hangt samen met de grootte
van het risico voor betrokkenen indien Facebook de informatie
gebruikt om gebruikers te profileren en gericht te benaderen.
Zowel gebruikers als niet-gebruikers kunnen een beperkend
effect ervaren als gevolg van het monitoren door Facebook van
hun bezoeken aan een overheidspagina, aangezien deze
observaties en interferenties worden gebruikt om de inhoud in
het Nieuwsoverzicht te rangschikken en gerichte advertenties
te tonen. Noch paginabeheerders, noch bezoekers van een
overheidspagina worden geïnformeerd over hoe Facebook de
informatie over hun bezoeken verwerkt, voor welke doeleinden,
indien zij de pagina bezoeken en/of daarmee interactie hebben
door middel van vind-ik-leuks of volgen.
Paginabezoekers kunnen gêne ervaren (als Facebook een
gebruiker zou profileren als 'fan' van een politicus met
extremistische standpunten) of schaamte (als Facebook
bijvoorbeeld uit paginabezoeken zou afleiden dat een gebruiker
geïnteresseerd is in een bepaalde seksueel overdraagbare
aandoening). Het beperkende effect kan gebruikers verhinderen
inhoud van de overheid te benaderen die alleen te vinden is op
Facebook en niet in andere openbaar toegankelijke media.
Bijzondere categorieën van persoonsgegevens
Bijzondere categorieën van persoonsgegevens worden met
name beschermd door de AVG. Tot de bijzondere categorieën
van persoonsgegevens behoren op grond van artikel 9 (1) AVG
alle:
“persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze
of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken,
en verwerking van genetische gegevens, biometrische gegevens met het oog op de
unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met
betrekking tot iemands seksueel gedrag of seksuele gerichtheid.”
Voor bijzondere categorieën van gegevens geldt het
verbodsbeginsel: deze gegevens mogen niet worden verwerkt.
De verordening bevat echter specifieke uitzonderingen op deze
regel,
bijvoorbeeld
wanneer
betrokkene
uitdrukkelijk
toestemming heeft gegeven voor de verwerking of wanneer de
gegevens kennelijk door betrokkene openbaar zijn gemaakt of
wanneer de verwerking noodzakelijk is voor het indienen van
rechtsvorderingen door betrokkene.132
Overheidsorganisaties
publiceren
mogelijk
bijzondere
categorieën gegevens op hun Facebookpagina of de informatie
op de pagina kan speciaal bestemd zijn voor bezoekers met
gevoelige kenmerken. Facebook kan ook bijzondere categorieën
gegevens over individuele bezoekers en niet-bezoekers afleiden
wanneer zij een dergelijke overheidspagina bezoeken,
bijvoorbeeld als de informatie betrekking heeft op specifieke
gezondheidsproblemen of seksuele gerichtheid. Of Facebook en
de overheidsorganisatie zich met succes kunnen beroepen op
een uitzondering op het verbod op de verwerking van bijzondere

Pagina 93 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

categorieën gegevens, komt aan de orde in hoofdstuk 11 van
deze DPIA.

Deze specifieke uitzonderingen op het verwerkingsverbod zijn
vermeld in artikel 9(2) sub a, e en f AVG.
132

Pagina 94 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Ondanks dat Facebook zijn advertentiekeuzes heeft gewijzigd en
sinds 19 januari 2022 niet meer uitgebreide doelcategorieën toont
aan adverteerders die verwijzen naar gevoelige categorieën, zoals
politieke voorkeur, geloof, ras of seksuele gerichtheid 133, sluit
Facebook het gebruik van dergelijke afleidingen van gevoelige
kenmerken niet uit in de aanbevelingen die het laat zien aan
gebruikers op een overheidspagina en in de rangschikking van
inhoud in het Nieuwsoverzicht.
2.6.2

Categorieën betrokkenen
Over het algemeen zijn de verschillende soorten betrokkenen die
geraakt kunnen worden door de gegevensverwerking als gevolg van
het gebruik van een overheidspagina in te delen in drie groepen, te
weten: (i) aangemelde Facebookgebruikers, (ii) niet-gebruikers, of
gebruikers die niet aangemeld zijn bij Facebook en (iii) de beheerder
van de overheidspagina.
Facebookgebruikers.
Onder de Facebookgebruikers die een overheidspagina
bezoeken, kunnen ook kinderen onder de 16 jaar zitten.
Kinderen vanaf 13 jaar mogen een Facebookaccount
aanmaken. Op grond van de Nederlandse uitvoering van de
AVG is onder de leeftijd van 16 jaar toestemming van de ouders
vereist. Hoe Facebook deze regelt toepast, valt buiten de
reikwijdte van deze DPIA.
Niet-Facebookgebruikers.
Hoewel Facebook sinds half juli 2022 aan pagina's een
permanente banner heeft toegevoegd voor niet-gebruikers,
kunnen niet-gebruikers nog steeds de inhoud op de pagina zien
en door de verschillende gedeelten scrollen. Hieronder kunnen
zich bezoekers bevinden die bewust hun Facebookcookies
hebben gewist of die geen Facebookaccount hebben
aangemaakt. Facebook verzamelt persoonsgegevens over deze
niet-gebruikers via de bezoeken en het gebruik van het datrcookie dat is beschreven in paragraaf 2.4.1.
Paginabeheerders
Zoals beschreven in paragraaf 2.5 moet een paginabeheerder
een persoonlijk Facebookaccount gebruiken om een pagina aan
te maken. Na het aanmaken van de pagina heeft de pagina een
'eigenaar' die zich afzonderlijk kan aanmelden. De activiteiten
van de beheerder op de pagina worden door Facebook
vastgelegd. Sommige van deze persoonsgegevens zijn
toegankelijk via het Activititeitlogboek van de pagina.

3

Privacycontrolemiddelen
In dit hoofdstuk komen de verschillende privacycontroles voor
eindgebruikers en paginabeheerders aan de orde om de
verwerking van gegevens over hun bezoeken aan de
(overheids)pagina te beperken.
3.1

Privacycontrolemiddelen voor paginabeheerders
In
deze
paragraaf
worden
de
verschillende
privacycontrolemiddelen beschreven die paginabeheerders
kunnen gebruiken om de gegevensverwerking te beïnvloeden.
Deze controlemiddelen beperken niet de gegevensverwerking

Pagina 95 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

door
Facebook:
ze
hebben
alleen
invloed op
de
gegevensverwerking door andere personen en organisaties.

Bron: Euractiv, Meta to prevent ad targeting based on sensitive information, 10
november 2021, URL: https://www.euractiv.com/section/digital/news/meta-toprevent-ad- targeting-based-on-sensitive-information/
133

Facebook staat adverteerders niet toe te adverteren
op pagina's.134 Soms kunnen adverteerders echter
de 'fans' van een bepaalde pagina of groep pagina's
selecteren
als
onderdeel
van
de
'interesse'categorie.135 In een korte test voor deze
DPIA verscheen het 'Ministerie van Privacy' niet in
deze categorie, maar wel andere specifieke
ministeries van volksgezondheid en onderwijs in
Zuid-Amerika.136
Figuur 45: Controlemiddelen van Facebook voor paginabeheerders137

Zoals te zien is in figuur 45, kunnen beheerders de 'openbare'
zichtbaarheid van hun pagina voor alle of bepaalde
Facebookgebruikers uitschakelen, evenals de vindbaarheid van
hun pagina via zoekmachines. Ze kunnen er ook voor kiezen dat
Facebook aan hun bezoekers geen banner toont met
voorgestelde vergelijkbare pagina's. Beheerders kunnen ook
toegang voor specifieke apps blokkeren: bijvoorbeeld als een
gebruiker een gamingapp gebruikt die automatisch resultaten
op Facebook plaatst als bericht op een (overheids)pagina. Deze
opties verminderen de omvang en inhoud van de door Facebook
verwerkte persoonsgegevens niet.

Pagina 96 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 46: Beheerdersinterface van de testpagina138

Facebook, Informatie over advertentieplaatsingen
voor Meta, URL:
https://www.facebook.com/business/help/40710855939
3196?id=369787570424415 (laatst bekeken op 24
augustus 2022). De pagina geeft een uitputtende
opsomming van plekken waar advertenties kunnen
worden geplaatst; pagina's worden niet genoemd.
135
Techjunkie, How To Target Fans of Other Pages
with Facebook Ads, 22 maart 2019, URL:
https://social.techjunkie.com/target-fans-other-pageswith-facebook-ads/ (laatst bekeken op 24 augustus
2022)
134

De zoektermen 'Ministry' en 'Ministerie' werden op 24
augustus 2022 ingevoerd in het gedeelte 'interesses'
van de advertentie-interface van Facebook.
136

137
138

Pagina voor het laatst bekeken op 22 juli 2022.
Idem.

Beheerders kunnen de pagina ook tijdelijk pauzeren of de
gegevens exporteren. Zie figuur 46 hierboven.
Beheerders kunnen de door Facebook getoonde analyses niet
beïnvloeden. Ze kunnen deze niet uitschakelen. Ze kunnen niet
verzoeken
om
een
kortere
bewaartermijn
dan
de
standaardperiode van 3 jaar en 1 maand (zie hoofdstuk 10 voor
een overzicht van de bewaartermijnen). Facebook biedt geen
uitsluitend in de EU gebaseerde gegevensverwerking aan voor
pagina's van klanten uit de EU (zie paragraaf 7.2). Beheerders
kunnen Facebook niet verbieden de informatie over interacties
met de pagina te gebruiken voor het afleiden van interesses
voor advertenties en inhoud.
3.2

Privacycontrolemiddelen voor Facebookgebruikers
In deze paragraaf worden enkele van de (zeer dynamische)
privacycontrolemiddelen beschreven die Facebookgebruikers
kunnen gebruiken om de gegevensverwerking te beïnvloeden,
alleen voor zover relevant voor deze DPIA, met betrekking tot
de informatie die wordt verwerkt over hun bezoeken aan een
overheidspagina.
Facebookgebruikers hebben keuzes met betrekking tot cookies

Pagina 97 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

en hun advertentievoorkeuren. Gebruikers kunnen individueel
kiezen om alleen 'essentiële' cookies te selecteren in plaats van
de aanbevolen instelling die 'optionele' cookies en cookies 'van
derde partijen' toestaat. Zoals echter uiteengezet in paragraaf
2.4.1 houdt het plaatsen van 'essentiële' cookies door
Facebook ook zes volgcookies in, waaronder het datrvolgcookie. Facebook vertelt niet dat de essentiële cookies ook
volgcookies omvatten, zoals is te zien in figuur 47 hieronder.
Facebookgebruikers kunnen zich afmelden. Dit verhindert
Facebook echter niet hun gedrag op en buiten Facebook te
volgen door middel van apparaatherkenning. Facebook maakt
in de tabel met rechtsgronden in zijn Privacybeleid onderscheid
tussen gebruikers en personen die niet kunnen worden herkend
gebaseerd op unieke apparaatidentifiers: “Als je een apparaat
gebruikt dat we niet kunnen koppelen aan een geregistreerde
gebruiker van de Meta-producten.”139
Niet-Facebookgebruikers die een overheidspagina bezoeken,
kunnen kiezen tussen essentiële en optionele cookies. Zoals
beschreven in paragraaf 2.4.2 kunnen zij plaatsing en uitlezing
van de datr-volgcookies niet voorkomen, omdat deze in het
'essentiële' niveau zitten.
Facebook Privacybeleid, voor het laatst bijwerkt op 26 juli
2022, URL:
https://www.facebook.com/privacy/policy?section_id=18.4LegitimateInterestsWeRely
139

Pagina 98 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 47: Cookie-opties van Facebook voor eindgebruikers140

140

Voor het laatst bekeken op 22 juli 2022.

4

Doeleinden van de verwerking
Overheidsorganisaties kunnen een Facebookpagina gebruiken
om te communiceren met mensen op het platform waar deze al
tijd aan besteden. Voor sociale media bestaat er een beleid van
de Rijksoverheid. De belangen van de overheid en inhoud van
dit beleid worden beschreven in paragraaf 6.1 van dit rapport.
Globaal gezien kunnen er twee verschillende groepen
doeleinden
worden
onderscheiden
waarvoor Facebook
persoonsgegevens verwerkt over bezoeken aan een
overheidspagina:
(i) voor het produceren van prestatieresultaten en
bezoekersanalyses voor de pagina-eigenaar en (ii) om de
geobserveerde informatie over de bezoeken aan de
overheidspagina en de daaruit afgeleide informatie te gebruiken
voor de eigen zakelijke doeleinden van Facebook. Deze twee
hoofddoelen worden hieronder nader besproken.
4.1

Doeleinden Paginastatistieken
Op grond van het Addendum Paginastatistieken (m.b.t.
gezamenlijke
verwerkingsverantwoordelijkheid)
verwerkt
Facebook persoonsgegevens voor het volgende doeleinde:

Pagina 99 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

“om analyseservices genaamd paginastatistieken te bieden aan
paginabeheerders om inzicht te geven in hoe mensen interactie
hebben met hun pagina's en de daaraan gekoppelde inhoud.”141
Het addendum bevat geen uitputtende lijst met de
persoonsgegevens die Facebook voor dit doeleinde verwerkt. In
het addendum wordt echter wel toegelicht dat deze doelbinding
alleen geldt voor specifieke gebeurtenissen die worden gebruikt
voor het produceren van de statistieken en de daaropvolgende
aggregatie voor analyses.
“Als een interactie van mensen met je pagina en de daaraan
gekoppelde inhoud ervoor zorgt dat een gebeurtenis voor
paginastatistieken wordt gemaakt die persoonsgegevens bevat
(...) erkennen en stemmen jij en Facebook Ireland Limited (...),
ermee in gezamenlijke verwerkingsverantwoordelijken te zijn in
overeenstemming met artikel 26 van de AVG voor de
verwerking van persoonsgegevens in gebeurtenissen voor
Paginastatistieken ('Statistiekgegevens'). De gezamenlijke
verwerkingsverantwoordelijkheid omvat het maken van die
gebeurtenissen en de samenvoeging ervan in paginastatistieken
die worden verstrekt aan paginabeheerders.”142
4.2

Doeleinden geobserveerde en afgeleide persoonsgegevens over
pagina-interacties
Het addendum gezamenlijke verwerkingsverantwoordelijkheid
specificeert dat Facebook de persoonsgegevens die het verkrijgt
door interacties met de pagina kan verwerken voor andere, door
hemzelf bepaalde doeleinden.
Facebook schrijft: “De Partijen komen overeen dat voor elke
andere verwerking van persoonsgegevens in verband met een
pagina en/of de daaraan gekoppelde inhoud waarvan de doelen
en middelen niet gezamenlijk worden bepaald, Facebook
Ireland
en, al naar gelang het geval, jij, afzonderlijke en onafhankelijke
verwerkingsverantwoordelijken blijven.”143

Facebook, Informatie over paginastatistieken, ongedateerd, laatst bekeken op
15 juli 2022), URL:
https://www.facebook.com/legal/terms/Page_controller_addendum.
141

142
143

Facebook, Addendum Verantwoordelijke Paginastatistieken.
Idem.

De 'andere' doeleinden van de verwerking zijn beschreven in
meerdere lagen in het nieuwe Privacybeleid van Facebook
(geldig sinds 26 juli 2022). Daarnaast noemt Facebook andere
doeleinden voor de verwerking van geobserveerde gegevens
door middel van cookies in zijn Cookiebeleid.

Deze teksten kunnen worden samengevat en objectief verwoord
in 15 hoofddoelen met subdoelen. Deze zijn vermeld in tabel 6
hieronder. Het enige doel dat niet wordt genoemd in het
Privacybeleid is het gebruik van privacycontrolemiddelen. Dit
doel is voor de duidelijkheid toegevoegd.

Pagina 100 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Tabel 6: Doelen en subdoelen van Facebook
Subdoel
Nr. Hoofddoel
1.

Technisch een gepersonaliseerde
service bieden

Account authenticeren / controleren,
gebruikers aangemeld houden met
cookies
Cookies ter verbetering van de
technische prestatie

2.

Tonen van gepersonaliseerde
advertenties en andere
gesponsorde / commerciële inhoud

Helpen om met cookies advertenties te
tonen aan mensen die eerder de
website van een bedrijf hebben
bezocht, daarvan producten hebben
gekocht of apps hebben gebruikt en om
producten en diensten aan te bevelen
op grond van die activiteit.
Om te beslissen wat er getoond wordt,
informatie
gebruiken,
waaronder:
profielinformatie, de activiteit van
gebruikers
op
en
buiten
onze
producten, informatie die Facebook
afleidt
over
een
gebruiker
en
informatie over vrienden, inclusief hun
activiteit en interesses.
Het aantal keren dat een advertentie
wordt getoond beperken met het frcookie
Advertenties leveren en meten in
verschillende browsers en apparaten
die door dezelfde persoon gebruikt
worden met cookies
Cookies gebruiken om bedrijven en
andere organisaties aan te raden aan
mensen die mogelijk geïnteresseerd
zijn in de producten, diensten of doelen
die zij promoten
Gebruik van cookies om aan gebruikers
voorstellen te doen en inhoud te
personaliseren op websites van derde
partijen waarop social plugins zijn
geïntegreerd

3.

4.

De inhoud in het
Nieuwsoverzicht rangschikken op
basis van een profiel
Verbetering van de Meta Producten
(met inbegrip van Instagram en
WhatsApp)

Zien of een product goed functioneert
Problemen oplossen
Nieuwe producten en functies testen
om te zien of ze werken
Feedback verzamelen over ideeën voor
producten of functies
Enquêtes houden en ander onderzoek
doen naar wat gebruikers goed vinden
aan de producten en merken van Meta
en wat Meta kan verbeteren144

Pagina 101 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

5.

Functies en integraties met andere
Meta Producten ontwikkelen en
aanbieden

6.

Begrijpen hoe mensen (andere)
Meta Producten gebruiken en daar
interactie mee hebben

7.

Verwerken overeenkomstig de
privacy-instellingen van gebruiker
en paginabeheerder

8.

Verdere verwerking voor nietgespecificeerde doeleinden na deidentificatie en aggregatie of
anonimisering

9.

Handmatige en technische review
van informatie in inhoud 'om onze
algoritmen te trainen'

10.

Bevorderen van beveiliging,
veiligheid en integriteit, met
inbegrip van

Controle van accounts en activiteit
Voorkomen van ongeoorloofde
toegang met cookies
Accountherstel met cookies
Schendingen van de voorwaarden of
beleidsnota's achterhalen en
aanpakken.
Verdachte activiteiten onderzoeken
Schadelijk of onrechtmatig gedrag en
activiteit ontdekken, voorkomen en
bestrijden
zoals
spam
en
phishingaanvallen, ook met cookies
Spam en andere vervelende ervaringen
ontdekken en voorkomen
Zien wanneer iemand hulp nodig heeft
en die bieden
Bedreigingen van personeel en
eigendommen ontdekken en laten
ophouden
De integriteit van de Meta Producten
bewaren

De doeleinden 5 tot 9 zijn vermeld in een pop-up met
betrekking tot het woord 'verbeteren'.
https://www.facebook.com/privacy/policy/?subpage=2.subpage.
4-HowWeUseInformation
144

11.

Pagina 102 van 192

Analyses en onderzoek voor de
eigen doeleinden van Meta

Gebruik van cookies om beter te
begrijpen hoe mensen Meta Producten
gebruiken om deze te verbeteren

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

12.

Leveren van meetgegevens,
analyses en zakelijke services
aan partners, waaronder

Hoeveel mensen hun content zien en
daar interactie mee hebben, inclusief
berichten, video's, Facebookpagina's,
lijsten, Shops en advertenties
(inclusief de advertenties getoond via
apps die het Meta Audience Network
gebruiken)
Hoe mensen interactie hebben met de
inhoud, websites, apps en diensten
van (zakelijke) klanten, ook met
cookies om bedrijven inzicht te
verschaffen in welke mensen hun
Facebookpagina leuk vinden of hun
apps gebruiken zodat ze relevantere
content kunnen bieden en functies
kunnen ontwikkelen die hun klanten
mogelijk interessant vinden.
Welke types mensen interactie
hebben met hun inhoud en hun
diensten gebruiken

13.

Om met de gebruiker te
communiceren, waaronder:

Berichten versturen over de producten
waarvan Meta weet dat deze worden
gebruikt via het bij het
gebruikersaccount geregistreerde emailadres
Afhankelijk van de
gebruikersinstellingen,
marketingcommunicatie versturen over
producten die de gebruiker mogelijk
leuk vindt
Vragen om mee te doen aan
onderzoek op basis van zaken zoals
hoe de gebruiker onze producten
gebruikt
Informeren over beleidsnota's en
servicevoorwaarden
Verzenden van antwoorden naar emailadres
Vergemakkelijken van communicatie
met klantenservice in antwoord op
vragen of zorgen over Meta
Producten, direct of via een derde
partij
Berichten versturen over de gebruikte
producten via het bij het account
geregistreerde e-mailadres

14.

Voor onderzoek en innovatie
voor maatschappelijk welzijn. Dit
omvat:

Bijdragen aan maatschappelijk welzijn
en onderwerpen van openbaar belang
Technische vooruitgang

Pagina 103 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Verbetering van veiligheid,
gezondheid en welzijn
15.

Informatie delen met partners
(adverteerders), opdrachtnemers
(op het gebied van metingen en
marketing), dienstverleners en
derde partijen (externe
onderzoekers, rechts- en
auteursrechthandhaving en (in
antwoord op rechtmatige
verzoeken, ter naleving van
toepasselijk recht of ter
voorkoming van schade).

5 Verwerker of (gezamenlijke) verwerkingsverantwoordelijke
5.1

Definities
Artikel 4 AVG bevat definities van de verschillende rollen van
partijen die betrokken zijn bij de verwerking van gegevens:
(gezamenlijke) verwerkingsverantwoordelijke, verwerker en
subverwerker.
In artikel 4(7) AVG is de (gezamenlijke) verwerkingsverantwoordelijke

“een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een
ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor
de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de
middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden
vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of
volgens welke criteria deze wordt aangewezen.”
gedefinieerd als:
In
artikel
26
AVG
is
bepaald
dat
gezamenlijke
verwerkingsverantwoordelijken
hun
rollen
en
verantwoordelijkheden, met name tegenover betrokkenen,
moeten vastleggen in een transparante overeenkomst.
Artikel 4(8) AVG bepaalt dat een verwerker alleen gegevens
mag
verwerken
ten
behoeve
van
een
verwerkingsverantwoordelijke. 'Verwerker'
betekent een
natuurlijke persoon of rechtspersoon, een overheidsinstantie,
een dienst of een ander orgaan die/dat ten behoeve van de
verwerkingsverantwoordelijke persoonsgegevens verwerkt;
Artikel 28 AVG bepaalt de verplichtingen van verwerkers
tegenover de verwerkingsverantwoordelijken voor wie zij
gegevens verwerken. Artikel 28 AVG bevat 8 specifieke
verplichtingen voor de verwerker, bijvoorbeeld dat deze alleen
persoonsgegevens mag verwerken overeenkomstig schriftelijke
instructies van de verwerkingsverantwoordelijke en moet
meewerken aan audits. Uit artikel 28(4) AVG volgt dat een
verwerker subverwerkers mag inschakelen om specifieke taken
uit
te
voeren
ten
behoeve
van
de
verwerkingsverantwoordelijke.

Pagina 104 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Pagina 105 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

5.2

Verwerker
Facebook biedt geen verwerkersovereenkomst aan zakelijke en
overheidsgebruikers van pagina's aan en gedraagt zich feitelijk
niet als een verwerker voor de overheidspagina met een
pagina.

5.3

Verwerkingsverantwoordelijke
In
de
gezamenlijkeverwerkingsverantwoordelijkenovereenkomst
voor
Paginastatistieken merkt Facebook zichzelf aan als zelfstandige
verwerkingsverantwoordelijke voor de verwerking van alle
persoonsgegevens in verband met het gebruik van een
Facebookpagina, behalve voor de gegevens die speciaal zijn
aangemaakt en geaggregeerd voor Paginastatistieken.145
Facebook schrijft: “Met uitzondering van de verwerking voor
Paginastatstieken heeft Meta geen andere contractuele
betrekking of andere samenwerking die gezamenlijke
verantwoordelijkheid inhoudt over de verwerking van
persoonsgegevens voor Facebookpagina's. Meta Ireland en
paginabeheerders
zijn
derhalve
afzonderlijke
verwerkingsverantwoordelijken voor hun eigen verwerking van
persoonsgegevens.” 146
Als zelfstandige verwerkingsverantwoordelijke staat Facebook
zichzelf toe de persoonsgegevens in verband met de interactie
met een (overheids)pagina te verwerken voor 15 brede
doeleinden met subdoelen (zoals beschreven in paragraaf 4.2
hierboven). Deze doelen omvatten veel manieren van
verwerking in verband met profilering en gerichte advertenties.
Als gevolg van de niet-uitputtende beschrijvingen van Facebook
is het onduidelijk welke persoonsgegevens door Facebook in
een zelfstandige rol worden verwerkt en welke als 'gezamenlijke
verwerkingsverantwoordelijke'. Dit maakt het voor eigenaren
van overheidspagina's heel lastig hun eigen rol en
verantwoordelijkheden te beoordelen en bezoekers van hun
website [sic, vertaler] adequaat te informeren over de omvang
en impact van de gegevensverwerking.
Wanneer
Facebook
optreedt
als
een
zelfstandige
verwerkingsverantwoordelijke moet een overheidsorganisatie
die een pagina aanmaakt een rechtsgrond hebben voor de
doorgifte van persoonsgegevens over bezoeken en bezoekers
van haar pagina aan een zelfstandige derde partij (Facebook).
Dit wordt beoordeeld in hoofdstuk 11 van deze DPIA.

5.3.1

Verstrekking aan rechtshandhavings- en inlichtingendiensten
Een van de doeleinden waarvoor Facebook persoonsgegevens
verwerkt als zelfstandige verwerkingsverantwoordelijke is
reageren op wettelijke verzoeken. Facebook is verplicht te
voldoen aan wettelijke verplichtingen die op grond van het
Amerikaanse recht zijn opgelegd.

145

Pagina 106 van 192

Facebook, Informatie over paginastatistieken, ongedateerd, laatst bekeken op 15 juli 2022),

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

URL: https://www.facebook.com/legal/terms/Page_controller_addendum.
146
Advocatenkantoor Schjodt, juni 2022, Memo on the Norwegian
DPA’s assessment of Facebook pages.

Aan de hand van de Schrems II-uitspraak, een juridische
deskundigenanalyse voor de Nederlandse regering, de analyse
van Stephen I. Vladeck, professor in Amerikaans recht (voor
de conferenties van de toezichthoudende autoriteiten van de
Duitse deelstaten147), het rapport van Ian Brown en Douwe
Korff voor de LIBE-commissie van het Europees Parlement148
en de input die in 2021 is geleverd aan SLM Rijk en SURF door
verschillende providers van clouddiensten is een overzicht
gemaakt van Amerikaanse wetten die mogelijk providers van
clouddiensten uit de VS dwingen persoonsgegevens van EUklanten te verstrekken.
Facebook is aan te merken als een leverancier van
elektronische communicatiediensten zoals gedefinieerd in Titel
50 van United States Code (USC) § 1881(b)(4). Deze definitie
luidt als volgt:
De term “leverancier van elektronische communicatiediensten” betekent –
a) een telecommunicatiebedrijf, zoals deze term is gedefinieerd in artikel 153 van titel
47;
b) een leverancier van een elektronische communicatiedienst, zoals deze term is
gedefinieerd in artikel 2510 van titel 18;
c) een leverancier van een computerdienst op afstand, zoals deze term is gedefinieerd
in artikel 2711 van titel 18;
d) elke andere leverancier van communicatiediensten die toegang heeft tot
communicatie langs bekabelde of elektronische weg, ofwel als dergelijke communicatie
wordt verzonden of als dergelijke communicatie wordt opgeslagen; of
e) een functionaris, medewerker of agent of een entiteit zoals beschreven in lid (A),
(B), (C), of (D).149
In dit rapport wordt ervan uitgegaan dat Facebook ook wordt
aangemerkt
als
“computerdiensten
op
afstand”
of
“elektronische communicatiediensten” (toepasselijkheid van de
US Stored Communications Act en US CLOUD ACT).150 In de
tabel hieronder zijn geen wettelijke verplichtingen vermeld met
betrekking tot andere Amerikaanse bedrijven in andere
branches, zoals banken of telecommunicatiebedrijven.
Prof. Stephen I. Vladeck, Expert Opinion on the
Current State of U.S. Surveillance Law and Authorities,
15 november 2021, URL:
https://www.datenschutzkonferenzonline.de/media/weitere_dokumente/Vladek_Rechtsgutac
hten_DSK_en.pdf. Professor Vladeck trad voorheen
namens Facebook op als deskundige (samen met Peter
Swire) in de zaak Schrems-II bij het Europese Hof van
Justitie, waar hij verdedigde dat het verzamelen van
inlichtingen door de VS 'in essentie gelijkwaardige'
147

Pagina 107 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

beschermingen bood, vergelijkbaar met de essentiële
garanties voor gegevensbescherming in de EU. Zie voor
een samenvatting van zijn punten, IAPP, Understanding
'Schrems 2.0', URL:
https://iapp.org/news/a/understanding-schrems-2-0/.
Ian Brown and Douwe Korff, Study for the LIBE committee, Exchanges of
Personal Data After the Schrems II Judgment, juli 2021, URL:
https://www.europarl.europa.eu/RegData/etudes/STUD/2021/694678/IPOL_STU(
2021)69467 8_EN.pdf
148

149
Zie de officiële wetgevingswebsite van de Amerikaanse overheid:
https://uscode.house.gov/
150
“Computerdienst(en) op afstand” (“RCS”) en
“Elektronische communicatiedienst(en)” (“ECS”) zijn
gedefinieerd in 18 U.S.C. § 2510(15): “'elektronische
communicatiedienst' betekent een dienst die
gebruikers ervan in staat stelt langs bekabelde of
elektronische weg berichten te verzenden of te
ontvangen”) en 18 U.S.C. § 2711(2) (“'computerdienst
op afstand' betekent de levering aan het publiek van
computeropslag- en verwerkingsdiensten door

Tabel 7: Overzicht van Amerikaanse wetgeving voor het verkrijgen van
persoonsgegevens van klanten uit de EU
Amerikaanse
Type bevoegdheid,
Observatie
Type
rechtshandhatype gegevens
Amerikaanse
bevoegdheid,
ving en rechterinlichtingendienstype gegevens
lijke bevelen
ten
Bevelen tot geheimhouding kunnen
worden gegeven tot ten hoogste een
jaar151 en zijn 'vaste koek'.152 Geen
principiële beperkingen voor rapportages
over transparantie

Bevelen tot geheimhouding of
algemene
geheimhoudingsverplichtingen.
Transparantie is alleen toegestaan in
intervallen.153

Amerikaanse
rechtshandhaving en
rechterlijke
bevelen

Type bevoegdheid,
type gegevens

Observatie
Amerikaanse
inlichtingendiensten

Type
bevoegdheid,
type gegevens

US Stored
Communications
Act, staat ook
bewaringsbevelen
toe voor specifieke
bestanden/
bewijs154

Gegevens inhoud:
bevel ondertekend
door rechter. Gerede
aanleiding vereist.

Executive Order of
the President
(E.O.) 12333
gewijzigd
(beperkt) door
middel van
Presidential Policy
Directive (PPD)
28.155 Sinds
januari 2021
gespecificeerd in
bijlage van NSA
SIGINT156

Geeft de NSA
niet direct de
bevoegdheid
om leveranciers
van
clouddiensten
opdracht te
geven gegevens
te verstrekken,
maar staat wel
bulkonderschepping van
transAtlantische

Pagina 108 van 192

Niet-inhoudelijke
accountgegevens
(bijvoorbeeld namen
en IP-adressen)157
oproeping door
rechtbank, officier
van justitie of
bureau (rechter niet
vereist)

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Overige nietinhoudelijke
gegevens
(bijvoorbeeld apparaatinformatie)158:
rechterlijk bevel of
huiszoekingsbevel
ondertekend door
een

kabels toe.

middel van een elektronisch communicatiesysteem”). Aangezien
Facebook geen aparte opslag in de EU biedt, is de US CLOUD Act
minder relevant voor Facebook. Er kunnen echter ondersteunende
gegevens zijn die voornamelijk worden verwerkt door de Ierse
vestiging waarop mogelijk de US CLOUD ACT van toepassing is.
Een rechter kan een beschermend bevel uitvaardigen voor alle
SCA- en CLOUD Act-orders “wanneer de onafhankelijke rechter
vaststelt dat er reden is om aan te nemen dat kennisgeving van het
bestaan van het rechterlijk bevel een nadelig gevolg kan hebben
waardoor (1) het leven of de fysieke veiligheid van een persoon in
gevaar komt; (2) vluchtgevaar ontstaat; (3) vernietiging of
vervalsing van bewijs; (4) intimidatie van mogelijke getuigen; of
(5) op andere wijze een onderzoek ernstig in gevaar brengt of een
rechtszaak onrechtmatig vertraagt.” US Department of Justice, The
purpose and impact of the CLOUD Act,Q&A 28, URL:
https://www.justice.gov/dag/Page/file/1153466/download De
geheimhoudingsbevelen zijn gebaseerd op 18 U.S.C. § 2705. De
maximale periode van een jaar is vermeld in een memo van de
Deputy Attorney General, 19 oktober 2017, URL:
https://www.justice.gov/criminal-ccips/Page/file/1005791/download
152
Volgens de getuigenis van Tom Burt, vice-president van Microsoft
voor de House Committee on the Judiciary, 30 juni 2021, URL:
https://blogs.microsoft.com/on-the-issues/2021/06/30/the-need-forlegislative-reform-on-secrecy-orders/.
151

De geheimhoudingsverplichtingen zijn vastgelegd in 18 U.S.C. §
1874, maar de USA Freedom Act of 2015 staat bedrijven vier
verschillende opties toe voor het publiceren van getalsmatige
informatie over de NSLs- en FISA-bevelen die zij ontvangen.
154
Artikel 2703(f) van de US Stored Communications Act.
155
Presidential Policy Directive 28 staat het verzamelen van
inlichtingen niet toe. Deze legt beperkingen op voor de wijze waarop
inlichtingen over signalen worden verzameld door middel van andere
toegestane middelen indien deze gericht zijn op niet-ingezetenen van
de VS (bv. waarom, of, wanneer en hoe de inlichtingendiensten zich
richten op buitenlandse communicatie). Deze middelen zijn vermeld in
het FISA 702 wettelijke kader.
153

NSA Sigint Annex, Procedures governing the conduct of DoD
intelligence activities: Annex governing signals intelligence
information and data collected pursuant to section 1.7(c) of E.O.
12333, URL:
https://assets.documentcloud.org/documents/20454757/redactedannex-dodm- 524001-a.pdf
156

De volledige lijst van ‘Basale informatie over abonnees’ is
gedefinieerd in titel 18 van de United States Code (over strafbare
feiten en strafvordering), U.S.C 2703(c)(2), Required disclosure of
customer communications or records.
158
18 USC 2703(c)(1) en 18 U.S.C. 2703(d), Bestand[en] of andere
157

Pagina 109 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

informatie met betrekking tot een abonnee of klant van een
dergelijke dienst.

Amerikaanse
rechtshandhaving en rechterlijke bevelen

Type bevoegdheid,
type gegevens

Observatie
Amerikaanse
inlichtingendiensten

Type
bevoegdheid,
type gegevens

rechter, minder
strenge eisen voor
bewijs dan bij
gegevens over
inhoud
Noodverzoeken:
vrijwillige
overhandiging door
leveranciers (in geval
van dreiging van
gevaar/overlijden/
ernstig lichamelijk
letsel)159
US CLOUD Act
(Clarifying Lawful
Overseas Use of
Data Act)

Breidt de reikwijdte
van de US Stored
Communications Act
uit tot gegevens
opgeslagen buiten
de EU, dezelfde
bevoegdheidseisen
als hierboven

Foreign
Intelligence
Surveillance Act
(FISA) Section
702, beperkt tot
onderzoeken naar
nietingezetenen van
de VS die zich in
het buitenland
bevinden. Artikel
702 staat het
gebruik van
sleutelwoorden
niet meer toe. De
geldigheid van
FISA artikel 702
loopt eind 2023
af.

Jaarlijkse
toestemming
door de FISA
Court (FISC).160
FISC
heeft
toestemming
gegeven voor
het verzamelen
van zowel
metadata als
inhoud van
communicatie

Electronic
Communications
Privacy Act (ECPA),
heeft geleid tot
wijzigingen in de
Stored
Communications
Act en de

Informatie met
betrekking tot
abonnees van
“leveranciers van
bekabelde of elektronische
communicatiediensten”.161
Ondertekend door
een rechter of

National Security
Letters (FBI)
gebaseerd op ECPA

Geen
toestemming
vooraf van
rechter indien
relevant voor
toegestane
nationale
veiligheidsonderzoeken.

18 U.S.C. 2702(c)(4).
Volgens het Amerikaanse ministerie van Handel hanteren de
meeste Amerikaanse organisaties geen gegevens waarin de
Amerikaanse inlichtingen geïnteresseerd zijn en daardoor zijn zij niet
betrokken bij gegevensdoorgiften die het type privacyrisico's
meebrengen waarover het HJEU zich kennelijk zorgen maakt. Het
jaarlijkse statistische transparantierapport over 2020, gepubliceerd
159
160

Pagina 110 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

door het kantoor van de directeur van de National Intelligence
vermeldt de volgende aantallen Section 702-rechterlijke bevelen: 1 in
2018, 2 in 2019 en 1 in 2020 en vermeldt de volgende schattingen
van het aantal doelen voor dergelijke bevelen: 164.770 voor 2018,
204.968 voor 2019 en 202.723 voor 2020. Gepubliceerd in april 2021,
URL: https://www.dni.gov/index.php/newsroom/reportspublications/reports-publications- 2021/item/2210-statisticaltransparency-report-regarding-national-security-authorities-calendaryear-2020.
161

18 U.S.C. 2709, e.v.

Amerikaanse
rechtshandhaving en rechterlijke bevelen

Type bevoegdheid,
type gegevens

Wiretap Act en
invoering
van
de Pen Register
Act.

kennisgeving aan
klant van dergelijke
verzoeken

Bestuursrechtelijke
oproepen of
verzoeken (335
Amerikaanse
federale
instellingen)*

Op grond van de
SCA, met
inachtneming van de
hierboven
beschreven eisen

Huiszoekingsbevel
en voor het zoeken
naar en in beslag
nemen van bewijs,
ondertekend door
rechters op basis
van deelstatelijk of
plaatselijk
strafrecht (ten
minste 57
verschillende
rechtsstelsels163)*

Op grond van de
SCA, met
inachtneming van de
hierboven
beschreven eisen

Door de rechter en
Grand Jury
uitgevaardigde
oproepen voor EUingezetenen om te
verschijnen voor
een Amerikaanse
rechtbank*

Op grond van de
SCA, met
inachtneming van de
hierboven
beschreven eisen

Observatie
Amerikaanse
inlichtingendiensten

Type
bevoegdheid,
type gegevens
Kan alleen
toegang
vorderen tot
basale
informatie over
abonnees, geen
inhoud of
diagnostische
gegevens.

(Traditioneel) bevel
o.g.v. titel 1 FISA
type a: bestaand
account en
metadata van
Ingezetenen van de
VS162
FISA-bevel b:
toekomstige
metadata &
inhoud (tap) van
ingezetenen van de
VS.

Toepassingen
moeten worden
goedgekeurd
door FISC

FISA business
records order
(artikel 501,
reikwijdte beperkt
sinds 2020, niet
meer 'alle tastbare
voorwerpen'),
voor nietinhoudelijke
gegevens
(diagnostische
gegevens)

Toepassingen
moeten worden
goedgekeurd
door FISC

Toepassingen
moeten worden
goedgekeurd
door FISC

US Congressional Research Service, Foreign Intelligence
Surveillance Act (FISA): An Overview, 6 April 2021, URL:
162

Pagina 111 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

https://crsreports.congress.gov/product/pdf/IF/IF11451. Aanvragen
voor 'reguliere' FISA-bevelen moeten het volgende bevatten: (1) de
identiteit van de aanvrager; (2) informatie over de identiteit van het
doelwit, indien bekend; (3) waarom het doelwit doorzocht of
geobserveerd mag worden; (4) een verklaring waaruit een voldoende
verband tussen het doelwit en de doorzoekingslocatie blijkt; (5) een
beschrijving van wat wordt doorzocht of geobserveerd; (6) een
beschrijving van de aard van de gezochte informatie of van de
gezochte buitenlandse inlichtingen; (7) voorgestelde beperkende
maatregelen; (8) een bespreking van hoe de doorzoeking of het
toezicht wordt uitgevoerd; en (9) een bespreking van eerdere
toepassingen. Indien elektronische observatie wordt gevraagd, moet
bij toepassing ook de duur daarvan worden besproken. Traditionele
FISA-bevelen worden uitgevaardigd voor VS-ingezetenen, maar
kunnen leiden tot incidentele verzameling van gegevens van niet-VSingezetenen wanneer de VS-ingezetene het doelwit is van de FISAverzameling, omdat deze ervan verdacht wordt een “vreemde
mogendheid” of “een agent van een vreemde mogendheid” te zijn.
Zoals vermeld door professor Vladeck in zijn deskundigenrapport voor de Duitse
toezichthoudende autoriteiten p. 10.
163

Amerikaanse
rechtshandhaving en
rechterlijke
bevelen
Binnenkomende
wederzijdse
rechtshulpverzoeken van rechtshandhavingsinstanties uit de
EU bij het US
Department of
Justice Office of
the International
Affairs

Type bevoegdheid,
type gegevens

Observatie
Amerikaanse
inlichtingendiensten

Type
bevoegdheid,
type gegevens

FISA registers van
in- en uitgaande
gesprekken en
trackingapparatuur
(door middel van
de US Patriot ACT
uit 2015 uitgebreid
met
internetcommunicatie)164

Toepassingen
moeten worden
goedgekeurd
door FISC, geen
redelijk
vermoeden
vereist

* Sommige van deze bevoegdheden tot rechtshandhaving
gelden mogelijk niet voor gegevens opgeslagen buiten de
Verenigde Staten, in het algemeen en vanwege het sterke
vermoeden dat Amerikaanse gerechten toepassen op de
extraterritoriale geldigheid van wetten.165
Volgens zijn tweejaarlijkse rapporten over overheidsverzoeken
met betrekking tot gebruikersgegevens ontving Facebook in
2021 123.653 verzoeken van Amerikaanse overheidsinstanties
voor 214.782 accounts (gebruikers).166 Facebook specificeert de
locatie van de gebruikers niet, alleen de locatie van de
verzoekende instantie. Daardoor bieden deze statistieken geen
inzicht in hoe vaak toegang tot persoonsgegevens van EU- of
Nederlandse gebruikers is bevolen en verleend en of
Amerikaanse overheden toegang hebben gevraagd tot ruwe
gegevens met betrekking tot bezoeken aan een (Nederlandse
overheids)pagina.
Facebook levert daarnaast statistieken over het aantal FISAverzoeken, specifiek gericht op niet-VS-ingezetenen. Zie figuur
48. Het lijkt erop dat deze statistieken los staan van de
hierboven genoemde statistieken over rechtshandhaving.

Pagina 112 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Voor aanvragen is de identiteit van een verdachte niet verplicht,
alleen (1) de identiteit van de federale functionaris die een
trackingapparaat wil gebruiken; (2) de verklaring van de aanvrager
dat de waarschijnlijk te verkrijgen informatie afkomstig is uit het
buitenland; en (3) een specifieke selectieterm die moet worden
gebruik als de basis van het trackingapparaat.
164

Zoals vermeld door professor Vladeck, met een verwijzing naar
jurisprudentie van het Supreme Court uit 2016, RJR Nabisco, Inc. v.
European Community, 136 S. Ct. 2090, 2099–100 (2016).
165

Facebook, Government Requests for User Data, ongedateerd,
laatst bekeken op 15 juli 2022, URL:
https://transparency.fb.com/data/government-data-requests/
166

Figuur 48: Facebook statistieken over FISA-bevelen167

Het is Amerikaanse providers wettelijk verboden het exacte
aantal bevelen bekend te maken: ze mogen alleen rapporteren
in reeksen.
Facebook legt uit dat niet-inhoudelijke gegevens bijvoorbeeld
zijn: “naam, duur van de service, creditcardinformatie, emailadres(sen) en recente IP-adressen waar is in- of uitgelogd
en andere transactie-informatie, met uitzondering van de
inhoud van de communicatie (bijvoorbeeld koppen van
berichten en IP-adressen).”
5.4

Gezamenlijke verwerkingsverantwoordelijken
Volgens drie arresten van het Europese Hof van Justitie 168
kunnen
partijen
feitelijk
gezamenlijke
verwerkingsverantwoordelijken worden, zelfs als de rollen
ongelijk zijn verdeeld en ook wanneer de partij die de klant is
geen toegang heeft tot de persoonsgegevens die worden

Pagina 113 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

verwerkt door de partij die een dienst levert.169
Gezamenlijke verwerkingsverantwoordelijkheid moet worden
vastgesteld op basis van feiten en kan niet worden uitgesloten
als er geen contractuele regeling is. Een leverancier kan zijn rol
niet wettig vastleggen door eenzijdig contractvoorwaarden aan
te bieden waarin is vermeld dat hij een zelfstandige
verwerkingsverantwoordelijke is voor alle gegevensverwerking
die niet is genoemd in de contractvoorwaarden.
Volgens
de
EDPB
richtsnoeren
voor
gezamenlijke
verwerkingsverantwoordelijkheid kunnen partijen beschouwd
worden als “gezamenlijke verwerkingsverantwoordelijken”
wanneer zij samen een beslissing nemen of wanneer zij
convergerende beslissingen nemen over de doeleinden van en
wezenlijke middelen voor de verwerking. De term
“convergerende beslissingen” is als volgt gedefinieerd:
beslissingen die “elkaar aanvullen en noodzakelijk zijn om de
verwerking op zodanige wijze te laten plaatsvinden dat zij een
tastbaar effect hebben op de vaststelling van het doel en de
middelen van de verwerking.” Volgens de EDPB is een
belangrijke factor om te bepalen of er sprake is van
convergerende
Idem, onderaan de pagina, ‘National Security Requests’.
Europees Hof van Justitie, C-40/17, 29 juli 2019, Fashion ID GmbH
& Co. KG t. Verbraucherzentrale NRW eV, ECLI:EU:C:2019:629,
C210/16, 5 juni 2018, Unabhängiges Landeszentrum für Datenschutz
Schleswig-Holstein tegen Wirtschaftsakademie Schleswig-Holstein
GmbH, ECLI:EU:C:2018:388. Zie met name par. 38-43. Zie ook: C25/17, 10 juli 2018, Tietosuojavaltuutettu t. Jehovah’s Getuigen —
Religieuze gemeenschap, ECLI:EU:C:2018:551, par. 66-69.
167
168

Zie par. 39 van de zaak over de Schleswig Holstein Fan Page en
par. 69 van de zaak over de Jehova's getuigen: het is niet nodig dat
de gemeenschap toegang had tot de persoonsgegevens of vast te
stellen dat de gemeenschap haar leden schriftelijke richtlijnen of
aanwijzingen geeft in verband met de gegevensverwerking.
169

beslissingen is of de verwerkingsactiviteiten van de twee
entiteiten “onlosmakelijk met elkaar verbonden” zijn, in die zin
dat de verwerking in kwestie dat de verwerking in kwestie “niet
mogelijk zou zijn zonder deelname van beide partijen aan de
verwerkingshandelingen.”
Volgens Facebook volgt uit deze uitleg van de EDPB dat
gezamenlijke verwerkingsverantwoordelijkheid alleen geldt
voor het produceren van Paginastatistieken en niet voor andere
gegevensverwerking door Facebook.
Dit lijkt een nogal beperkte interpretatie van het concept
gezamenlijke verwerkingsverantwoordelijke in de AVG. Elk
bezoek aan een overheidspagina genereert veel gegevens in de
systemen van Facebook, zowel van een gebruiker als van een
niet-gebruiker (door middel van cookies).
Als een overheidsorganisatie geen pagina aanmaakt, zou
Facebook niet in staat zijn persoonsgegevens te verzamelen
over de interacties van zijn gebruikers en niet-gebruikers met

Pagina 114 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

deze specifieke overheidsorganisatie. Het verzamelen van
persoonsgegevens door Facebook over de individuele bezoekers
van de pagina is onlosmakelijk verbonden met het aanmaken
van een pagina door een overheidsorganisatie, zelfs indien
Facebook slechts enkele van de geobserveerde gegevens
verwerkt als analyses voor de paginabeheerder. Het is plausibel
dat de overheidsorganisatie in feite ook samen met Facebook
gezamenlijk verantwoordelijk is voor de onzichtbare en
ongedefinieerde
verwerking
van
gegevens
over
het
geobserveerde gedrag over interacties met de pagina en de
afgeleide gegevens, zoals interesse in de op de overheidspagina
getoonde inhoud.
Dit onlosmakelijke verband tussen het aanmaken van een
pagina en de verwerking van persoonsgegevens door Facebook
ten behoeve van personalisering is met name te zien in het
gebruik van cookies. Facebook plaatst vijf volgcookies in de
internetbrowsers van bezoekers die Facebookgebruikers zijn.
Ten aanzien van niet-gebruikers lijkt Facebook onlangs zijn
cookie-activiteiten te hebben beperkt tot het plaatsen en
uitlezen van een enkel cookie, het datr-volgcookie (in plaats van
5 volgcookies).
Bezoekers kunnen geen toestemming geven voor deze
gegevensverwerking
of
deze
uitsluiten
als
ze
de
overheidspagina bezoeken. Facebook noemt deze cookies
'essentiële cookies', maar dat stemt niet overeen met de
wettelijke uitzondering in de ePrivacyrichtlijn voor noodzakelijke
cookies (zie hoofdstuk 9 van deze DPIA). Feitelijk stellen deze
cookies Facebook in staat informatie te verzamelen over
bezoeken aan websites buiten Facebook, zelfs als de gebruiker
geen Facebookaccount heeft en niet klikt op een interactie met
een Facebookpictogram. Zoals beschreven in paragraaf 2.4.1
was Facebook in staat bezoeken aan de testpagina te koppelen
aan bezoeken aan de website een groot uitzendbureau en een
webshop
/
e-commerceplatform
door
een
van
de
testgebruikers. De commerciële reden van bestaan van
Facebook is de verwerking van persoonsgegevens om
advertentie-inkomsten te genereren. Met de informatie over
bezoeken aan de overheidspagina is Facebook in staat het
profiel van gebruikers te verrijken en zo de doelgerichtheid van
zijn algoritmes te verbeteren. Facebook zou niet in staat zijn
deze persoonsgegevens voor zijn eigen commerciële doeleinden
te verwerken zonder het initiatief van een overheidsorganisatie
om een pagina te openen op het netwerk.
In zijn antwoord aan de Noorse toezichthoudende autoriteit
benadrukt Facebook dat de zaak Schleswig-Holstein alleen
Facebook en de Wirtschaftsakademie aanmerkte als
gezamenlijke verwerkingsverantwoordelijken voor de door de
pagina geplaatste cookies en voor het produceren van
statistieken specifiek met betrekking tot de pagina. Facebook
redeneert dat het hof bepaalde dat het *niet* een gezamenlijke
verwerkingsverantwoordelijke
is
voor
andere
gegevensverwerking als gevolg van bezoeken aan een
(overheids)pagina. Dit lijkt een a contrario-redenering,
aangezien de uitspraak beperkt is tot de feiten en de vragen die
zijn voorgelegd door het doorverwijzende gerecht. De zaak
draaide om het gebrek aan informatie die werd verstrekt aan

Pagina 115 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

paginabezoekers over de gegevensverwerking door middel van
cookies. Het hof besprak niet de overige, automatisch
gegenereerde
en
door
Facebook
geobserveerde
persoonsgegevens over bezoeken aan een pagina.
“Zoals blijkt uit het aan het Hof overgelegde dossier, worden de
gegevensverwerkingen die in het hoofdgeding aan de orde zijn
hoofdzakelijk uitgevoerd door het plaatsen, door Facebook, op
de computer of op ieder ander apparaat van de personen die de
fanpagina hebben bezocht, van cookies die tot doel hebben
informatie op de webbrowsers op te slaan en gedurende twee
jaar actief blijven indien ze niet worden gewist.”170
(…)
“Ofschoon een Facebook-gebruiker door het loutere gebruik van
een sociaal netwerk als Facebook niet medeverantwoordelijk
wordt voor een verwerking van persoonsgegevens door dit
netwerk, moet daarentegen wel worden opgemerkt dat de
beheerder van een fanpagina op Facebook het netwerk door het
aanmaken van een dergelijke pagina de mogelijkheid biedt
cookies te plaatsen op de computer of op ieder ander apparaat
van degene die de fanpagina heeft bezocht, ongeacht of deze
persoon een Facebookaccount heeft.”171
Het HJEU bepaalde uitdrukkelijk: “Het feit dat een beheerder
van een fanpagina gebruikmaakt van het door Facebook
beschikbaar gestelde platform om van de bijbehorende diensten
te profiteren kan hem namelijk niet ontslaan van de naleving
van zijn verplichtingen op het gebied van bescherming van
persoonsgegevens.”172
In de zaak Fashion ID nuanceerde het HJEU zijn eerdere
standpunt en bepaalde het dat een bedrijf of persoon niet kan
worden
beschouwd
als
een
gezamenlijke
verwerkingsverantwoordelijke voor latere handelingen waarvan
deze de doeleinden of de middelen niet bepaalt. Het HJEU vond
dat het gebruik van de vind-ik-leuk-knop op een (externe)
website Facebook in staat stelt “om persoonsgegevens van de
bezoekers van de Fashion ID-internetsite te verkrijgen, waarbij
deze mogelijkheid ontstaat zodra die internetsite wordt
geraadpleegd, ongeacht of die bezoekers lid zijn van het sociaal
netwerk Facebook, op de vind-ik-leukknop van Facebook
hebben geklikt of van die bewerking op de hoogte waren.” 173
Volgens het arrest is het duidelijk dat de operator van de
website gezamenlijk verwerkingsverantwoordelijke is voor de
verzameling en verstrekking door doorgifte van de
persoonsgegevens van bezoekers aan zijn website. De operator
van een website met een vind-ik-leuk-knop kan echter niet
aangemerkt worden als verwerkingsverantwoordelijke voor de
'verdere' verwerking door Facebook, aangezien deze niet de
doeleinden en de middelen kan bepalen van deze verdere
bewerkingen.174
In november 2021 deed het hof van beroep in bestuurszaken in
Sleeswijk-Holstein (waarnaar de zaak over de pagina uit 2011
was terugverwezen door het HJEU) uitspraak. Het hof
concludeerde dat de school haar Facebookpagina inderdaad
moest sluiten wegens schendingen van cookie- en
gegevensbeschermingswetten. Het hof concludeerde dat de
verwerking van persoonsgegevens door Facebook als gevolg

Pagina 116 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

van het bezoeken van een pagina niet gebaseerd was op een
rechtsgrond en evenmin kon worden gebaseerd op
toestemming van gebruikers. Met name omdat betrokkenen
onvoldoende geïnformeerd waren over het verzamelen van
gegevens en de doeleinden van de verwerking als gevolg van
het bezoeken van een pagina.175 Het hof bepaalde nadrukkelijk
dat Facebook en de pagina-eigenaar

170

HJEU, C-210/16, par. 33

Idem, par. 35
Idem, par. 40
173
HJEU, Fashion ID, par. 75
174
Idem, par. 76
175
De titel van het persbericht van het hof van beroep in
bestuurszaken in Sleeswijk-Holstein luidt: Wirtschaftsakademie ist
wegen datenschutzrechtlicher Verstöße verpflichtet, FacebookFanpage zu deaktivieren. 27 november 2021, URL:
https://www.schleswig- holstein.de/DE/justiz/gerichte-undjustizbehoerden/OVG/Presse/PI_OVG/2021_10_27_Ausbaubeitrag_h
at_Bestand_kopie.html. Tekst uitspraak: Schleswig-Holsteinisches
OVG, Urteil vom 25.11.2021 - 4 LB 20/13, URL:
https://openjur.de/u/2383902.html.
171
172

gezamenlijk verantwoordelijk waren voor de verwerking voor de
Paginastatistieken en voor het gebrek aan adequate informatie.
In reactie op deze uitspraak richtten de toezichthouders van de
Duitse deelstaten een Taskforce Facebook-Fanpages op. Op 18
maart 2022 concludeerden zij dat Facebook en paginaeigenaren gezamenlijk verantwoordelijk zijn voor het verkrijgen
van toestemming van paginabezoekers voor drie volgcookies:
datr, c-user en fr van gebruikers, en datr van niet-gebruikers.
De Duitse toezichthouders onderbouwen waarom Facebook die
toestemming niet verkrijgt. De Duitse toezichthouders
benadrukken
ook
de
gezamenlijke
verwerkingsverantwoordelijkheid voor het verzamelen en
verder verwerken van gegevens van paginabezoekers door
Facebook, in tegenstelling tot de uitspraak van de
bestuursrechter in hoger beroep dat de operators van pagina's
geen belang zouden hebben bij de verwerking door Facebook
anders dan het tonen van analyses over de website.
De Duitse toezichthoudende autoriteiten stellen vast dat
organisaties die een 'gratis' pagina openen een commercieel
belang hebben en zij redeneren dat Facebook alleen in staat is
deze diensten gratis aan te bieden dankzij advertenties en dat
dit businessmodel succesvol is dankzij de enorme grote schaal
van Facebook, bereikt door de netwerkeffecten. De beheerders
van de pagina's profiteren van deze schaal om uiteenlopende
specifieke doelgroepen te bereiken. De Duitse toezichthouders
concluderen: Op deze manier streven zowel Facebook als de
beheerders van Fanpagina's met elkaar samenhangende,
aanvullende doeleinden na bij het weergeven van de inhoud van
de operators aan zoveel mogelijk geïnteresseerde partijen,
aangezien deze verwerking voor hen beiden voordeel
oplevert.176

Pagina 117 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

De Duitse toezichthouders concluderen: “Zelfs indien de
bevindingen van het OVG [hof van beroep] over gezamenlijke
verwerkingsverantwoordelijkheid niet aansluiten bij de
jurisprudentie van het HJEU en het Duitse constitutionele hof,
zoals hierboven uiteengezet, is het nog steeds mogelijk
gezamenlijke verwerkingsverantwoordelijkheid vast te stellen
voor grote delen van de gegevensverwerking door Facebook
tussen de beheerders van de Fanpage en Meta.”177 Zij wijzen

erop dat het hof van beroep niet oordeelde over de positie van
niet-gebruikers die verplicht het datr-cookie moeten accepteren
als zij pagina's bezoeken, zonder een optie om die toestemming
te geven of te weigeren.
Zoals
geconcludeerd
in
paragraaf
5.3
moet
een
overheidsorganisatie een rechtsgrond hebben voor de doorgifte
van alle persoonsgegevens aan Facebook als zelfstandige derde
partij wanneer die overheidsorganisatie niet rechtmatig een
gezamenlijke-verwerkingsverantwoordelijkenovereenkomst
kan sluiten met Facebook voor de verwerking van alle
persoonsgegevens met betrekking tot bezoeken aan een
overheidspagina (alleen voor de verwerking van gegevens ten
behoeve van de analyses). Dit wordt beoordeeld in hoofdstuk
11 van deze DPIA. Deze beoordeling strekte zich ook uit tot het
risico van doorgifte van persoonsgegevens naar het
hoofdkantoor van Facebook in de VS en de reële kans op
verstrekking van persoonsgegevens in verband met bezoeken
aan pagina's aan rechtshandhavers en inlichtingendiensten uit
de VS.

6 Belangen bij de gegevensverwerking
In dit hoofdstuk worden de verschillende belangen uiteengezet
van Facebook en overheidsorganisaties bij het aanbieden van
de paginadienst en communicatie via een overheidspagina. Dit
hoofdstuk
vermeldt
niet
de
fundamentele
gegevensbeschermingsrechten en belangen van betrokkenen.
De samenhang tussen hun rechten en de belangen van
Facebook en de Nederlandse overheid wordt geanalyseerd in
deel B van deze DPIA.

176

Kurzgutachten zur datenschutzrechtlichen Konformität des Betriebs

von Facebook‐ Fanpages, 18 maart 2022, Engelse vertaling van
Privacy Company, p. 16.
177
Ibidem.

6.1

Belangen van Nederlandse overheidsorganisaties
Nederlandse overheidsorganisaties hebben vanuit het openbaar
belang en de naleving van wetgeving redenen om een
Facebookpagina te gebruiken. Burgers hebben recht op
informatie van de overheid. Op grond van de Wet Open overheid
(WOO) moeten overheidsorganisaties actief informatie
verstrekken.178
Er
bestaan
11
beginselen
voor
overheidscommunicatie, waaronder actieve bewustmaking,
interactieve voorbereiding op beleid, beschikbare en
responsieve communicatie, toegankelijke, begrijpelijke en
adequate informatie.179

Pagina 118 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Vanuit deze beginselen heeft de overheid er groot belang bij
aanwezig te zijn op plekken waar burgers zijn, met name online.
Gelet op het ongeëvenaarde bereik van Facebook van bijna alle
Nederlandse burgers van 13 jaar en ouder bestaat er ook een
financieel-economisch belang bij het communiceren via een
'gratis' Facebookpagina, in plaats van dezelfde massale
doelgroep
te
bereiken
door
middel
van
dure
bewustmakingscampagnes via traditionele media zoals radio, tv
en kranten.
Aan de andere kant heeft de Nederlandse overheid een
wettelijke verplichting, een moreel belang en een voorbeeldrol
als wetgever om de AVG na te leven en alleen samen te werken
met privacyproof derde partijen.
6.2

Belangen van Facebook
Facebook heeft een groot financieel, geldelijk/economisch
belang bij het aanbieden van 'gratis' pagina's aan professionele
organisaties. De inhoud op deze pagina's helpt het potentiële
bereik voor Facebook en de dagelijkse interactietijd met het
netwerk te vergroten. Facebook heeft geen altruïstische
motieven, maar gebruikt de interacties met de op deze pagina's
gepresenteerde inhoud, in combinatie met door middel van
cookies verkregen informatie van websites buiten Facebook,
voor het verkopen van gerichte advertenties.
Facebook heeft een vergelijkbaar zakelijk belang bij het
optreden als zelfstandige verwerkingsverantwoordelijke om in
staat te zijn grote hoeveelheden gegevens te verwerken in
flexibele systemen voor het ontwikkelen van nieuwe diensten
en functies.
Facebook heeft een wettelijk en economisch belang bij naleving
van de AVG en ePrivacy-regels. In zijn jaarverslag over 2021
besteedt Facebook veel aandacht aan zorgen over toekomstige
zakelijke obstakels in de EU.180 Facebook noemt het woord
'doorgifte' 51 keer en AVG 21 keer, in zinnen als: “De AVG is
een relatief nieuwe wet en de interpretatie ervan is nog in
ontwikkeling en ontwerpbeslissingen in onderzoeken door de
IDPC worden onderworpen aan beoordeling door andere
Europese
toezichthouders
als
onderdeel
van
het
consistentiemechanisme van de AVG, wat zou kunnen leiden tot
aanmerkelijke wijzigingen in het eindresultaat van dergelijke
onderzoeken.”181
Facebook beschrijft ook zijn financiële zorgen over de doorgifte
van persoonsgegevens van de EU naar de VS: “Wanneer er geen
nieuw kader voor trans-Atlantische gegevensdoorgifte tot stand
komt en wij ons niet langer kunnen baseren op
standaardcontractbepalingen of alternatieve middelen voor
Nederlandse tekst Wet Open Overheid, URL:
https://wetten.overheid.nl/BWBR0045754/2022-05-01, in
werking getreden op 1 mei 2022.
178

Genoemd in Richtlijnen voor privacyproof en effectief campagne
voeren van de Dienst Publiek en Communicatie van het Ministerie van
Algemene Zaken van 25 mei 2018, p. 6.
179

Pagina 119 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Meta Platforms Inc, Form 10-K ingediend bij de United
States Securities And Exchange Commission, 3 februari 2022,
URL: https://d18rn0p25nwr6d.cloudfront.net/CIK0001326801/14039b47-2e2f-4054-9dc5-71bcc7cf01ce.pdf.
181
Idem, p. 9.
180

gegevensdoorgiften vanuit Europa naar de Verenigde Saten
zullen wij waarschijnlijk niet in staat zijn een aantal van onze
belangrijkste producten en diensten, waaronder Facebook en
Instagram, aan te bieden in Europa, wat voor ons bedrijf, onze
financiële situatie en exploitatieresultaten aanzienlijke
negatieve gevolgen zou hebben.”182 Met 307 miljoen gebruikers
in Europa in het eerste kwartaal van 2022 met een waarde per
jaar van 20 US dollar per gebruiker zou een terugtrekking uit
Europa Facebook ruim 6 miljard US dollar per jaar kosten.
Zie hoofdstuk 7 hierna voor meer informatie over gegevensdoorgiften.

7 Doorgifte van persoonsgegevens naar buiten
de EU
7.1

De feitelijk doorgiften van persoonsgegevens naar de VS door
Facebook
Facebook geeft systematisch persoonsgegevens van zijn EUklanten door naar de VS. Facebook legt in zijn Privacybeleid uit
waarom:
“We delen de informatie die wij verzamelen wereldwijd, zowel
intern in onze kantoren en datacentres, als extern met onze
partners, leveranciers, dienstverleners en derde partijen.
Omdat Meta wereldwijd opereert, met gebruikers, Partners en
werknemers wereldwijd, zijn overdrachten om verschillende
redenen noodzakelijk, waaronder:
• Zodat we de diensten kunnen uitvoeren en leveren die
worden vermeld in de voorwaarden van het Meta-product
dat je gebruikt en in dit Beleid. Dit houdt onder andere in
dat je informatie kunt delen en contact kunt houden met
je familie en vrienden over de hele wereld.
• Zodat we onze Producten kunnen repareren, analyseren en
verbeteren.”
Facebook legt uit dat de persoonsgegevens kunnen worden
doorgegeven naar elke locatie waar Facebook infrastructuur of
datacentra heeft, waar producten van Meta Company
beschikbaar zijn en andere landen waar “onze Partners,
leveranciers, serviceproviders en derde partijen zich bevinden
buiten het land waar je woont, voor doeleinden zoals
beschreven in dit Beleid.”183
In maart 2021 bracht Facebook een persbericht uit met een
verklaring waarom het geen Europese cloud aanmaakt en welke
maatregelen het heeft getroffen om de gegevens van EUgebruikers veilig door te geven naar de VS.184
Volgens Facebook is het niet in staat de verwerking te splitsen
tussen EU- en VS-silo's: “Onze diensten zijn ontworpen om
wereldwijd te worden gebruikt en worden ondersteund door een
geavanceerde wereldwijde infrastructuur waaraan wij meer dan

Pagina 120 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

tien
jaar
hebben
gewerkt.
Naadloze
wereldwijde
gegevensdoorgiften zijn daarom een noodzakelijk ingrediënt
voor het goed functioneren van onze diensten.”185
In zijn rol van verwerkingsverantwoordelijke/gezamenlijke
verwerkingsverantwoordelijke voor de pagina's baseert
Facebook zich voor de doorgifte contractueel op de
Standaardcontractbepalingen.
Deze
standaardcontractbepalingen tussen Facebook [Meta] Ireland
als verwerkingsverantwoordelijke en Facebook [Meta Platforms]
Inc in de VS zijn niet openbaar en voor deze DPIA is geen kopie
daarvan opgevraagd.186

Idem, p. 36.
Facebook Privacybeleid, van kracht sinds 26 juli 2022.
184
Persbericht Facebook, ‘Steps We Take to Transfer Data
Securely’, 11 maart 2021, URL:
https://about.fb.com/news/2021/03/steps-we-take-to-transferdata-securely/
185
Idem.
186
Facebook, Wat zijn standaard contractbepalingen? URL:
https://www.facebook.com/help/566994660333381 Facebook legt uit
dat mensen contact moeten opnemen met Facebook om een kopie
van de standaardcontractbepalingen op te vragen.
182
183

In het persbericht uit maart 2021 beschrijft Facebook dat het
de volgende aanvullende maatregelen toepast op de doorgiften:
• Versleuteling van gegevens tijdens de doorgifte
• Dynamische beveiligingsmaatregelen om zich
ontwikkelende risico's en bedreigingen van de veiligheid
vóór te zijn
• Geen 'achterdeurtje' voor een overheid met directe
toegang of 'achterdeurtjes' in de versleuteling.
• Uitgebreide beleidsnota's voor het beoordelen van en
reageren
op
overheidsverzoeken
naar
gebruikersgegevens. “We beoordelen elk verzoek en
verstrekken alleen informatie in antwoord op verzoeken
die naar ons oordeel rechtsgeldig zijn en verstrekken in
antwoord op dat verzoek alleen zorgvuldig toegesneden
informatie.”187
• Verdedigen van de rechten van gebruikers: “Waar nodig
zullen wij onrechtmatige verzoeken van overheden ter
discussie stellen of afwijzen. Wij zullen ook elke opdracht
aanvechten tot herontwerp van onze systemen op een
wijze die de veiligheid zou ondermijnen die wij bieden ter
bescherming van de gegevens van mensen of die een
poging is ons te verhinderen het bestaan van een
dergelijke opdracht en onze pogingen ons daartegen te
verzetten bekend te maken.”188
• Publicatie van tweejaarlijkse transparantierapporten over
overheidsverzoeken “het is ons beleid om gebruikers op
de hoogte te stellen over verzoeken naar hun informatie
voordat deze verstrekt worden, tenzij het ons wettelijk
verboden is dit te doen of in uitzonderlijke gevallen
waarin
kennisgeving
contraproductief
zou
zijn,

Pagina 121 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

bijvoorbeeld wanneer een kind gevaar loopt.”189
7.2

AVG-regels voor doorgiften van persoonsgegevens
De AVG bevat specifieke regels voor de doorgifte van
persoonsgegevens naar buiten de Europese Economische
Ruimte (EER). In beginsel mogen persoonsgegevens alleen naar
landen buiten de EER worden doorgegeven indien het land een
adequaat niveau van bescherming heeft. Dat niveau kan op
verschillende manieren worden vastgesteld: een multinational
kan bindende bedrijfsregels hanteren, de (herziene) EUstandaardcontractbepalingen (SCC) toepassen of alleen
doorgeven naar landen waarvoor de Europese Commissie een
zogeheten passendheidsbesluit heeft genomen.
Facebook heeft geen bindende bedrijfsregels. Bovendien kan
Facebook zich voor zijn doorgiften naar de VS niet beroepen op
artikel 49 AVG. Dit artikel bevat meerdere gronden voor
doorgiften naar derde landen, zoals toestemming of noodzaak
om een overeenkomst uit te voeren, maar deze gronden kunnen
alleen gebruikt worden voor incidentele doorgiften, niet voor
structurele gegevensdoorgiften. Daarom worden alleen de SCC
en het passendheidsbesluit hieronder nader besproken.

7.2.1

Standaardcontractbepalingen” (SCC)
Persoonsgegevens mogen vanuit de EER worden doorgegeven
naar derde landen buiten de EER met gebruikmaking van SCC
(ook bekend als de EU-modelbepalingen) die door de Europese
Commissie zijn goedgekeurd.190 De SCC waarborgen
contractueel een hoog beschermingsniveau. De Europese
Commissie
Persbericht Facebook, ‘Steps We Take to Transfer Data Securely’.
Idem.
189
Ibid.
190
Gebaseerd op de bijlage bij het uitvoeringsbesluit inzake
standaardcontractbepalingen van de Europese Commissie voor de
doorgifte van persoonsgegevens naar derde landen op grond van
Verordening (EU) 2016/6794 juni 2021,URL:
187
188

https://ec.europa.eu/info/system/files/1_en_annexe_acte_autonome_cp_part1_v5_0.pdf

heeft in juni 2021 nieuwe SCC goedgekeurd als gevolg van
beslissing in de zaak Schrems-II van het Europese Hof van
Justitie (zie 7.3 hierna).191

Hoewel het Europese Hof van Justitie de geldigheid van het
besluit van de Europese Commissie erkent waarmee deze de
SCC heeft goedgekeurd en gegevensdoorgiften op grond van de
SCC derhalve in beginsel nog steeds zijn toegestaan, kan deze
geldigheid niet worden aangenomen voor systematische
doorgiften van persoonsgegevens naar de Verenigde Staten.
Het staat vast dat voor doorgiften op basis van de SCC ook
vereist is dat het ontvangende land een adequaat niveau van
gegevensbescherming biedt, zoals gedefinieerd in het
Unierecht. Artikel 46(1) AVG zet uiteen dat dit betekent dat
betrokkenen moeten beschikken over passende waarborgen,
afdwingbare rechten en doeltreffende rechtsmiddelen. Of dat
het geval is, moet volgens het Hof worden bepaald door de

Pagina 122 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

verwerkingsverantwoordelijken
clouddiensten zelf.

en

de

providers

van

Het HJEU schrijft: “Bij de beoordeling die daartoe in het kader
van een dergelijke doorgifte vereist is, moet met name rekening
worden gehouden met zowel de contractuele bepalingen die zijn
overeengekomen tussen de in de Unie gevestigde
verwerkingsverantwoordelijke of zijn in de Unie gevestigde
verwerker en de in het betrokken derde land gevestigde
ontvanger van de doorgifte, als, wat een eventuele toegang van
de overheidsinstanties van dat derde land tot de doorgegeven
persoonsgegevens betreft, de relevante aspecten van het
rechtsstelsel van dat derde land. Wat dit laatste element
betreft, stemmen de aspecten die in de context van artikel 46
van deze verordening in aanmerking moeten worden genomen,
overeen met die welke in artikel 45, lid 2, ervan op nietuitputtende wijze zijn vermeld.” 192
De EDPB legt uit dat er vier garanties zijn die beperkingen van
de in het Handvest erkend gegevensbescherming en
privacyrechten te rechtvaardigen maken.193
Deze vier garanties zijn:
1.
2.

3.
4.

De verwerking moet zijn gebaseerd op duidelijke, nauw
omschreven en toegankelijke regels
Noodzaak en proportionaliteit met betrekking tot de
nagestreefde wettige doelstellingen moeten worden
aangetoond
Er moet een onafhankelijk toezichthoudend systeem bestaan
De burger moet beschikken over doeltreffende rechtsmiddelen

Deze criteria zijn essentiële garanties, zo voegt de EDPB eraan
toe, maar deze volstaan op zichzelf niet om te bepalen of het
rechtsstelsel van het derde land wezenlijk een gelijkwaardig
niveau van bescherming biedt.
Uit het Schrems-II-arrest volgt dat het rechtssysteem in de VS
en met name de FISA-wetgeving, om de volgende redenen niet
voldoet aan deze vier criteria:

Europese Commissie, Standaardcontractbepalingen, URL:
https://ec.europa.eu/info/law/law-topic/dataprotection/international-dimension-data- protection/standardcontractual-clauses-scc_en.
191

Europees Hof van Justitie, C-311/18, Data Protection
Commissioner t. Facebook Ireland Ltd en Maximillian Schrems
(Schrems-II), 16 juli 2020, par 104.
193
EDPB, Recommendations 02/2020 on the European Essential
Guarantees for surveillance measures, aangenomen op 10 november
2020, URL:
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_recommendat
ions_202002_europeane ssentialguaranteessurveillance_en.pdf
192

1. Artikel 702 FISA en E.O. 12333 bevatten geen
beperkingen voor de bevoegdheden die zij toekennen
voor het gebruiken van observatieprogramma's ten

Pagina 123 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

behoeve van buitenlandse inlichtingen.
De bescherming van het Fourth Amendment van de
grondwet van de VS, die “onredelijke doorzoekingen en
inbeslagnemingen” verbiedt en vereist dat een bevel
moet zijn gebaseerd op een “redelijk vermoeden” geldt
alleen voor personen met de Amerikaanse nationaliteit
en burgers van andere landen die in de VS wonen.
Volgens het Supreme Court van de VS kunnen
buitenlanders die niet eerder aanmerkelijke bewuste
banden hebben ontwikkeld met de VS zich niet
beroepen op het Fourth Amendment.194
2. Amerikaanse wetten staan overheidsinstanties toe op
algemene basis toegang te krijgen tot de inhoud van
elektronische
communicatie.
Dit
moet
worden
beschouwd als het in gevaar brengen van de essentie
van de grondrechten van respect voor het privéleven,
zoals gegarandeerd door artikel 7 van het Handvest.
3. De toezichthoudende rol van het toezichthoudende
systeem door de US Ombudsman dekt niet de
individuele bewakingsmaatregelen. Het is twijfelachtig
of de US Ombudsman voldoet aan de overige elementen
voor onafhankelijkheid zoals gedefinieerd door het
Europese Hof van de Mensenrechten in zijn
jurisprudentie
over
toezichtsmaatregelen,
zoals
onafhankelijkheid
van
de
uitvoerende
macht,
beschikking
over
voldoende
bevoegdheden
en
competentie en of zijn activiteiten openstaan voor
openbaar onderzoek.
4. In nauwe samenhang met de derde garantie kunnen
betrokkenen uit de EU van wie gegevens worden
doorgegeven naar de VS geen rechtszaak aanspannen
bij een onafhankelijk en onpartijdig gerecht om toegang
te krijgen tot hun persoonsgegevens of rectificatie of
wissing daarvan te bewerkstelligen.
Hoewel artikel 702 FISA in theorie kan worden
aangevochten door niet-VS-ingezetenen door middel
van een civiele vordering op grond van de
Administrative
Procedure
Act,
is
het
zeer
onwaarschijnlijk dat die personen erover zijn
geïnformeerd dat hun gegevens zijn benaderd. Zonder
een dergelijke kennisgeving zijn mensen niet op de
hoogte en kunnen zij geen verhaal halen.195 Om
procesbevoegd te zijn in een Amerikaanse rechtbank
moet een betrokkene bovendien 'feitelijke schade'
aantonen, een enorme belemmering als het gaat om
geheim toezicht.196
7.2.2

Passendheidsbesluit van de Europese Commissie
Een passendheidsbesluit betekent dat het land in kwestie een
mate van bescherming biedt die vergelijkbaar is met de
bescherming die geldt in de EER. Op dit moment bestaan er
passendheidsbesluiten met betrekking tot Andorra, Argentinië,

Pagina 124 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Canada (commerciële organisaties), Faroër Eilanden, Guernsey,
Israël, Eiland Man, Japan, Jersey, Nieuw-Zeeland, Republiek
Korea,

Citaat van de Ad-Hoc-EU-VS-werkgroep gegevensbescherming,
aangehaald door Ian Brown en Douwe Korff in hun onderzoek naar
doorgiften voor de LIBE-commissie van het EP.
194

Idem.
Zie bijvoorbeeld JD Supra, US Supreme Court Clarifies Injury-inFact Plaintiffs Must Show To Have Standing To Assert Statutory
Privacy Rights in Federal Court, 14 juli 2021, URL:
https://www.jdsupra.com/legalnews/us-supreme-court-clarifiesinjury-in-9824522/
195
196

Zwitserland, het VK en Uruguay.197 Het passendheidsbesluit
voor (bepaalde doorgiften op grond van het Privacy Shield naar)
de VS is sinds de zomer van 2020 niet meer geldig. Er bestaat
een kans dat er in 2023 een nieuwe, derde trans-Atlantische
gegevensovereenkomst wordt gesloten tussen de EU en de VS.
Dit wordt hieronder nader besproken, in paragraaf 7.3.
7.3

Wettelijke obstakels voor gegevensdoorgiften naar de VS
De gegevensdoorgiften van Facebook naar de VS zijn de
hoofdoorzaak van het lopende juridische debat over de
verschillen in wettelijke garanties voor privacybescherming
tussen de EU en de VS. Door rechtszaken die de Oostenrijkse
advocaat Max Schrems aangespannen had tegen de Ierse
toezichthoudende autoriteit heeft het Europese Hof van Justitie
twee maal de passendheidsbesluiten van de Europese
Commissie, waarin de Europese Commissie vaststelde dat het
niveau van gegevensbescherming in de VS passend was voor
uit de EU ingevoerde gegevens, ongeldig verklaard.
In het eerste geval uit 2015 werd de Safe Harbor-overeenkomst
tussen de EU en de VS ongeldig verklaard. Op 16 juli 2020
oordeelde het HJEU dat de opvolger daarvan, het Privacy Shield,
evenmin nog geldig was, met onmiddellijke ingang.198 Zoals
hierboven is aangehaald, noemde het Hof als de belangrijkste
redenen dat de beperkingen voor privacy die voortvloeien uit de
Amerikaanse regelgeving onvoldoende gedefinieerd en nietproportioneel waren en daardoor een te grote inbreuk op de
privacy vormden.
In beide procedures heeft Facebook juridisch bezwaar gemaakt
tegen een poging om de doorgiften te beperken.
Op 25 maart 2022 hebben president Joe Biden en de voorzitter
van de Europese Commissie, Ursula von der Leyen, een
'beginsel'overeenkomst gesloten om wettelijke maatregelen uit
te werken om passende bescherming van de gegevens in de VS
te waarborgen. Op 7 oktober 2022 heeft Biden een nieuwe
Executive Order ondertekend ter uitvoering van deze
overeenkomst met nieuwe bindende waarborgen voor de
gegevensverzameling door Amerikaanse inlichtingendiensten
en invoering van een nieuwe beroepsprocedure.199 Na dit EOP

Pagina 125 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

zal
de
Europese
Commissie
een
nieuw
ontwerppassendheidsbesluit voorbereiden.200 De Commissie moet de
EDPB om een opinie vragen, groen licht krijgen van een
commissie met vertegenwoordigers van de EU-lidstaten en het
commentaar van het Europees Parlement verwerken. Een nieuw
passendheidsbesluit wordt niet verwacht voor maart 2023.
In de tussentijd moet Facebook zich baseren op SCC's om de
doorgifte vanuit de EU naar derde landen legitiem te maken. In
zijn financiële jaarverslag over het fiscale jaar 2021 geeft
Facebook een samenvatting van zijn strijd met de Ierse DPC (de
leidende toezichthoudende autoriteit)

Europese Commissie, Passendheidsbesluiten, URL voor het
laatst bezocht op 28 januari 2022:
https://ec.europa.eu/info/law/law-topic/dataprotection/international-dimension-dataprotection/adequacy-decisions_en
198
Europees Hof van Justitie, C-311/18, Data Protection
Commissioner t. Facebook Ireland Ltd en Maximillian Schrems
(Schrems-II), 16 juli 2020.
199
Executive Order of the President, Enhancing Safeguards for
United States Signals Intelligence Activities, URL:
https://www.whitehouse.gov/briefing-room/presidentialactions/2022/10/07/executive-order-on-enhancing-safeguardsfor-united-states-signals- intelligence-activities/.
200
Persbericht Europese Commissie, Vragen & Antwoorden: EU-U.S.
Data Privacy Framework, 7 oktober 2022,
https://ec.europa.eu/commission/presscorner/detail/en/QANDA_22_6
045
197

voor Facebook in de EU) over de geldigheid van de
standaardcontractbepalingen (SCC) na het arrest van het HJEU
uit 2020.201
Facebook schrijft:
“Het HJEU bekeek bijvoorbeeld de geldigheid van SCC's als een
grondslag voor de doorgifte van gebruikersgegevens vanuit de
Europese Unie naar de Verenigde Staten nadat deze was
aangevochten door de Ierse toezochthouder, de IDPC. Hoewel
het HJEU in juli 2020 de SCC's geldig bevond, zal ons verdere
beroep op SCC's onderwerp zijn van toekomstige afwegingen
door toezichthouders. Wij ontvingen met name in augustus
2020 een voorlopige ontwerpbeslissing van de IDPC met als
voorlopige conclusie dat Meta Platforms Irelands beroep op
SCC's ten aanzien van gegevens van Europese gebruikers niet
voldoet aan de AVG en waarin voorlopig werd voorgesteld dat
dergelijke doorgiften van gebruikersgegevens vanuit de
Europese Unie naar de Verenigde Staten daarom moesten
worden opgeschort. Meta Platform Ireland vocht procedurele
aspecten van dit IDPC-onderzoek aan in een beroepszaak voor
het Ierse High Court in september 2020. In mei 2021 verwierp
het hof de procedurele bezwaren van Meta Platforms Ireland en
daarna werd het onderzoek hervat. Wij denken dat een
definitieve beslissing in dit onderzoek op zijn vroegst in het
eerste halfjaar van 2022 volgt.”202

Pagina 126 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

In februari 2022 stuurde de IDPC een (nieuw) ontwerpbesluit
aan Facebook. Volgens de publicaties in de media besloot de
IDPC opnieuw dat de SCC niet geldig waren en zou Facebook
opdracht hebben gekregen de gegevensdoorgifte naar de VS op
te schorten.203
Op 7 juli 2022 presenteerde de DPC zijn definitieve beslissing
over de doorgifte door Facebook aan de andere betrokken
toezichthoudende autoriteiten in de EU. Volgens de
Amerikaanse nieuwsbron Politico verbiedt de DPC Facebook
officieel persoonsgegevens van EU-ingezetenen vanuit Ierland
door te geven naar de VS.204 Afhankelijk van het antwoord van
de overige toezichthoudende autoriteiten in de EU kan het tot
zes maanden duren voordat deze beslissing definitief is. Deze
schatting is gebaseerd op het proces en de tijdlijn die de EDBP
volgde nadat de DPC een beslissing voorstelde over WhatsApp
en veel autoriteiten bezwaar maakten dat de beslissing
onvoldoende alle schendingen van de AVG behandelde. De
EDPB besloot de voorgestelde boete te verhogen van 30-50 tot
225 miljoen euro.205

Meta Platforms Inc, Form 10-K ingediend bij de United
States Securities And Exchange Commission, 3 februari 2022,
URL: https://d18rn0p25nwr6d.cloudfront.net/CIK0001326801/14039b47-2e2f-4054-9dc5-71bcc7cf01ce.pdf.
202
Idem, p. 36.
201

TechCrunch, Meta sent a new draft decision on its EU-US data
transfers, 21 februari 2022, URL:
https://techcrunch.com/2022/02/21/dpc-meta-draft-data-transfersdecision/
203

Politico, Europe faces Facebook blackout, 7 juli 2022, URL:
https://www.politico.eu/article/europe-faces-facebookblackout-instagram-meta-data-protection/
205
De Ierse DPC deelde zijn ontwerpbesluit op 24 december 2020 met
de andere betrokken toezichthoudende autoriteiten; de EDPB nam op
28 juli 2021 een bindend besluit. Zie persbericht EDPB, EDPB adopts
Art. 65 decision regarding WhatsApp Ireland, 28 juli 2021, URL:
https://edpb.europa.eu/news/news/2021/edpb-adopts-art-65decision-regarding-whatsapp- ireland_en. Bindend besluit EDPB:
https://edpb.europa.eu/system/files/202109/edpb_bindingdecision_202101_ie_sa_whatsapp_redacted_en.pdf.
Definitief besluit DPC 2 september 2021:
https://www.dataprotection.ie/en/news-media/press-releases/dataprotection-commission-announces-decision-whatsapp-inquiry.
204

Deze ontwikkeling zou kunnen leiden tot een mogelijk verbod in
de EU op het gebruik van Facebook en/of terugtrekking uit
Europa door Facebook. Daarnaast werkt de EDPB aan
richtsnoeren voor gebruik van sociale media door instellingen in
de publieke sector.206 Deze richtsnoeren kunnen aanbevelen het
gebruik van pagina's door instellingen in de publieke sector op
te schorten zolang gegevens van bezoekers worden
doorgegeven naar de VS. De Franse toezichthoudende
autoriteit, de CNIL, heeft zijn eigen Facebookpagina al
opgeschort.
Aangezien de negatieve beoordeling van doorgiften van de Ierse

Pagina 127 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

toezichthouder nog niet openbaar is, bevat deze DPIA geen
afzonderlijke DTIA. Op basis van de informatie die op dit
moment beschikbaar is, moet het risico van huidige structurele
doorgifte van persoonsgegevens van paginabezoekers
aangemerkt worden als hoog. Hoewel de bezoekersgegevens
tijdens
de
doorgifte
versleuteld
zijn
en
Facebook
gepseudonimiseerde
identifiers
gebruikt,
zowel
als
gebruikersidentifiers als in volgcookies, slaat Facebook de
persoonsgegevens op in een leesbaar format. Facebook is in
staat de persoonsgegevens te gebruiken om de inhoud in elk
individuele Nieuwsoverzicht te rangschikken en gerichte
advertenties te tonen. Derhalve is Facebook technisch in staat
gehoor te geven aan een bevel van overheidsinstanties om de
doorgegeven persoonsgegevens in platte tekst te verstrekken.
Zoals beschreven in paragraaf 5.3.1 ontvangt Facebook grote
aantallen bevelen van Amerikaanse overheden tot verstrekking
van persoonsgegevens van zijn gebruikers, 123.653 verzoeken
van Amerikaanse overheidsinstanties voor 214.782 accounts
(gebruikers) in 2021, plus FISA-bevelen voor ongeveer 125.000
gebruikers van buiten de VS in de eerste helft van 2021.
Zoals uiteengezet in paragraaf 2.6.2 kan Facebook bijzondere
categorieën gegevens over individuele bezoekers (gebruikers
en niet-gebruikers) van een overheidspagina afleiden,
bijvoorbeeld als de informatie betrekking heeft op specifieke
gezondheidsaandoeningen of seksuele gerichtheid en wanneer
de bezoeker informatie deelt door een bericht met dergelijke
informatie leuk te vinden. Zelfs indien Facebook adverteerders
niet meer toestaat doelgroepen te selecteren op basis van
dergelijke bijzondere gegevenscategorieën, sluit het zijn eigen
gebruik van dergelijke afleidingen niet uit voor het doen van
aanbevelingen en rangschikking van inhoud in het
Nieuwsoverzicht. Wanneer Facebook gedwongen zou worden
dergelijke gevoelige of bijzondere gegevenscategorieën te
verstrekken aan Amerikaanse overheidsinstanties, brengt dit
uiteraard hoge gegevensbeschermingsrisico's mee voor
betrokkenen.
Als gevolg van het arrest van het HJEU en het oordeel dat het
rechtsstelsel van de VS niet voldoet aan de vier essentiële
garanties moet zelfs de verplichte verstrekking van 'reguliere'
accountgegevens van gebruikers die een overheidspagina
hebben bezocht worden gezien als een zeer risicovolle
gegevensverwerking. Een hypothetisch voorbeeld: wanneer
Amerikaanse autoriteiten een bestand opvragen van alle
bezoekers van een specifieke overheidspagina en een van de
bezoekers staat gesignaleerd als verdachte van terroristische
activiteiten (bijvoorbeeld op basis van belangstelling voor
militaire doelen), zonder daarvan op de hoogte te zijn en zonder
adequate juridische middelen om zichzelf in mogelijke
rechtszaken in de VS naar behoren te verdedigen, kan dit
ernstige gevolgen hebben voor de bezoeker.

8 Technieken en methoden van de
gegevensverwerking
Zoals uiteengezet in hoofdstuk 2 van dit rapport verzamelt en
genereert Facebook op drie manieren persoonsgegevens over

Pagina 128 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

bezoeken aan overheidspagina's. Op de eerste plaats wanneer
gebruikers interactie hebben met inhoud op de pagina, door
rechtstreekse bezoeken aan de pagina of via berichten die
getoond worden in hun Nieuwsoverzicht. Op de tweede plaats
door observatie van hun interacties met de pagina en op de
derde plaats door interesses af te leiden op basis van een
combinatie van de eerste twee gegevenscategorieën. Facebook
maakt gebruik van machine

De Autoriteit Persoonsgegevens vertelde een journalist over deze
aanstaande richtlijnen, die nog niet op de website van de EDPB staan.
Bron:
https://www.agconnect.nl/artikel/gemeenten-hebben-geenbenul-van- data-doorgifte-aan-vs.
206

learning om de inhoud van het Nieuwsoverzicht te rangschikken
en advertentie-interesses af te leiden. Paragraaf 8.1 bevat een
samenvatting van de door Facebook gebruikte technologie voor
het rangschikken en profileren van gebruikers. Paragraaf 8.2
beschrijft de aard van de verwerking van big data door
Facebook voor een beter inzicht in de uitdagingen voor
Facebook bij het achterhalen van alle persoonsgegevens in
antwoord op een inzageverzoek betrokkene.
8.1

Machine learning
In een presentatie voor de OCP Summit 2019 legde Facebookingenieur Whitney Zhao uit hoe Facebook machine learning of
Artificial Intelligence gebruikt voor het genereren van de inhoud
van de homepagina's van gebruikers.207
In de presentatie legde mw. Zhao uit hoe de interesses van
gebruikers worden afgeleid op basis van machine learning.
Interacties van gebruikers met inhoud door middel van vind-ikleuks, delen en kliks worden in een model gegoten om
voorspellingen te genereren over hun interesses, hun de inhoud
en advertenties te tonen waarin zij zeer waarschijnlijk in zijn
geïnteresseerd. Dit is een iteratief proces: de prestatie van het
model wordt getest, de resultaten geëvalueerd en weer opnieuw
in het systeem ingevoerd om het te trainen.
Figuur 49: Dia van Facebook-ingenieur Zhao over machine learning

Voor het tonen van inhoud in het Nieuwsoverzicht, het
selecteren
van
advertenties,
rangschikken
van
de
zoekresultaten en het detecteren van spam en malware met een

Pagina 129 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

systeem dat Sigma heet, gebruikt Facebook Multi-layer
Perceptron (MLP). Zie figuur 50 hieronder. Dit is een kunstmatig
neuraal netwerk dat wordt gebruikt voor het voorspellen van
datapunten. MLP is gebaseerd op deep learning, ook wel Deep
Neural Networks genoemd.

Video van de presentatie van Whitney Zhao op de OCP Summit 2019 op YouTube, URL:
https://www.youtube.com/watch?v=MYlCesArTWk
207

Figuur 50: Facebook machine learningdiensten 208

MLP is onderdeel van het AI-ecosysteem van Facebook. Mw.
Zhao legde uit hoe Facebook-ingenieurs zonder diepgaande AIkennis toegang kunnen krijgen tot MLP, via een platform met
de naam FBLearner dat de inhoud van het Nieuwsoverzicht en
de advertenties genereert.
Figuur 51: FBLearner-platform genereert voorspellingen over interesses

Pagina 130 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

8.2

Verwerking van big data
Met gegevens over 2,85 miljard maandelijks actieve gebruikers
is Facebook frontloper in de verwerking van big data.
Voor het beheren van big data gebruikt Facebook allerlei
soorten open source en closed source database tools voor het
beheren van de verschillende componenten en microdiensten.
Zoals MySQL, Apache Hadoop, HBase, Hive, Apache Thrift en
PrestoDB. Deze worden allemaal gebruikt voor

208

Idem.

opname, opslag van gegevens en analyses.209 In het
Hive/Hadoop-cluster bij Facebook is meer dan 2 petabyte
ongecomprimeerde gegevens opgeslagen en daarin wordt
routinematig dagelijks 15 terabyte geladen.210
In de lopende Californische rechtszaak over privacy van
consumenten proberen de eisers volledige informatie te krijgen
over en toegang tot alle voor advertentiedoeleinden over hen
verwerkte persoonsgegevens. Volgens een artikel in Tech
Crunch werd deze informatie “als bloed uit een rots geperst door
middel van een omslachtige, een via een rechtszaak jarenlang
durende ontdekkingstocht.”211
In dit verband heeft Facebook uitgelegd hoe het tegenwoordig
technisch persoonsgegevens verzamelt en verwerkt om
gerichte advertenties te tonen.
Facebook heeft twee hoofd-datapipeline systemen voor dataanalisten voor toegang tot diagnostische gegevens: Dataswarm
en FBLearner. Deze twee systemen benaderen grote datasets
die toegankelijk zijn gemaakt in Hive. FBLearner is een deep
learning neuraal netwerk. Facebook noemt het zijn AIruggengraat.212
Facebook schrijft: “De verwerking van databatches uit Hive
gebeurt bij Meta voornamelijk met een systeem dat Dataswarm

Pagina 131 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

heet en hieronder beschreven wordt. De resterende minderheid
van de batchverwerking wordt gecoördineerd door FBLearner,
een vergelijkbaar systeem dat afgeleid is van Dataswarm.”213
Facebook legt aan de rechtbank uit waarom het niet kan
reproduceren hoe specifieke advertenties werden getoond aan
de eisers, omdat taken op enorm grote schaal automatisch
worden uitgevoerd in Dataswarm. Op een bepaalde dag in
februari 2022 werden 5 miljoen taken uitgevoerd. Facebook
schrijft dat het een tijdrovend handmatig proces vereist om
erachter te komen hoe input (acties van gebruikers) wordt
vertaald in output (advertenties en rangschikking van inhoud in
het Nieuwsoverzicht). Daardoor kon Facebook alleen een
steekproef produceren van 10 taken in een bepaalde periode.
Facebook schrijft: “Dataswarm werkt doordat medewerkers (1)
atomen van computerberekeningen, taken genoemd, definiëren
en daarna (2) uitdrukkelijk de afhankelijkheidsrelatie bepalen
tussen deze taken zodat het systeem de berekeningen van een
taak kan starten nadat de voorgaande taken zijn afgerond. Deze
taken worden behandeld als 'black boxes': het systeem weet
niets over wat de taak doet buiten het ruwe type van de
uitgevoerde computerberekening. Bij geen enkele taak weet
Dataswarm welke gegevens worden gebruikt als input voor de
computerberekeningen die het uitvoert of welke gegevens
worden geproduceerd als output van deze berekeningen. De
huidige benadering van Facebook om te achterhalen welke
gegevens worden gebruikt als input door een taak en als output
worden gegenereerd door

Blog post Shivang, Facebook Database [Updated] – A Thorough
Insight Into The Databases Used @Facebook, URL:
https://www.scaleyourapp.com/what-database-does-facebook-use-a1000-feet-deep-dive/
209

https://www.facebook.com/notes/10158790010637200/
Techcrunch, Unsealed docs in Facebook privacy suit offer glimpse
of missing app audit , 16 september 2022, URL:
https://techcrunch.com/2022/09/16/unsealed-docs-in-facebookprivacy-suit-offer-glimpse-of-missing-app-audit/
212
Facebook blog post, Introducing FBLearner Flow: Facebook’s AI
backbone, 9 mei 2016, URL:
https://engineering.fb.com/2016/05/09/core-data/introducingfblearner-flow-facebook-s- ai-backbone/
210
211

Rechtszaak Facebook Inc inzake privacy gebruikersprofiel van
consumenten bij het Amerikaanse District Court Northern District of
California, zaaknr. 3-18-MD-02843-VC, Document 913, productie 41.
213

die taak is een tijdrovend handmatig proces. Omdat Dataswarm
elke dag miljoenen taken uitvoert, is het niet mogelijk dit
handmatige proces te uit te voeren voor alle Dataswarm-taken.
In antwoord op het verzoek van de Special Master voerde
Facebook dit handmatige proces uit voor een steekproef van 10
taken die op 15 februari 2022 werden uitgevoerd in Dataswarm.
Deze steekproef is productie D. Op 15 februari werden ongeveer
vijf miljoen taken uitgevoerd door Dataswarm.”214
Facebook gebruikt niet alleen directe acties van gebruikers,
zoals een bericht leuk vinden, maar baseert zich ook op de

Pagina 132 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

social graph om interesses te voorspellen. De social graph wordt
opgeslagen in een op verschillende locaties opgeslagen data
store, TAO (The Associations and Objects) genoemd.
Objects zijn vriendschappen tussen gebruikers, terwijl de relatie
tussen gebruikers een association is. Elk object in de database
heeft een id en type. Elke associatie bevat de object-ID's,
evenals het type association (zoals vriendschap). Elke
association heeft een tijdstempel dat gebruikt kan worden voor
het doorzoeken.
Facebook legt uit: “TAO (The Associations and Objects) (…) is
de primaire bron waaruit Graph API data haalt (inclusief
gebruikersgegevens). TAO is een zeer goed presterende service
voor het opslaan, cachen en doorzoeken van de graph op
knooppunten en associations, doordat het een schone interface
levert voor interne en externe ontwikkelaars om in de social
graph te integreren, waardoor veel van de complicaties van
ontwikkeling en instandhouding van grootschalige data-opslag
worden weggenomen (...)”215
“MySQL: MySQL is de ruggengraat van TAO. Het zorgt voor
transactionele en beschikbaarheidskenmerken voor columnar
data. Een commentaar van een gebruiker kan bijvoorbeeld in
een MySQL-database worden opgeslagen als een rij in een tabel
waarin het id van het commentaar de primaire sleutel is en het
commentaar een tekstveld. Een ander voorbeeld: het feit dat
iemand een commentaar leuk vond, kan worden weergegeven
door een association met het type vind-ik-leuk van het
commentaar-id en het gebruikersid; dit zou kunnen worden
weergegeven als 3 kolommen in de tabel, met commentaar-id,
gebruikersid en type reactie.”216
Normaal gesproken werken MySQL-databases met expliciet
gedefinieerde
datamodellen
(tabellen
met
duidelijk
gedefinieerde kolommen en indexen en beperkingen), maar
TAO bestaat uit een abstractie bovenop de MySQL-data. Dit
maakt het mogelijk minder duidelijk gedefinieerde data te
verwerken als deze in het model passen. Het ontwerp van
Dataswarm en TAO is gericht op flexibiliteit in plaats van het
gebruik van een duidelijk gedefinieerde datastructuur zoals
gebruikelijk is bij conventionelere databases.
De schaal en complexiteit van de gegevensverwerking door
Facebook veroorzaken ten minste twee obstakels bij het
verlenen van inzage in de persoonsgegevens van een persoon:
een gebrek aan overzicht van de gegevens als gevolg van de
schaal en de moeilijkheid om complexe systemen te
doorzoeken.
De hoeveelheid gegevens is het meest voor de hand liggende
obstakel. Een databasetabel doorzoeken zonder een goede
index om alle vindplaatsen van persoonsgegevens van een
specifieke betrokkene te vinden vereist het doorzoeken van alle
rijen in de tabel. De benodigde computercapaciteit om een
dergelijke zoekopdracht uit te voeren neemt evenredig toe met
de omvang van de database. Dat betekent: twee maal zoveel
data vergt twee maal zoveel computerberekeningen voor het

Pagina 133 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

doorzoeken van dezelfde infrastructuur voor het uitvoeren van
de zoekopdracht. Organisaties die
Idem.
Ibid.
216
Ibid.
214
215

gewend zijn aan het verwerken van grote hoeveelheden data
beschikken
vaak
over
infrastructuur
om
de
verwerkingscapaciteit te vergroten.
De tweede factor is complexiteit. Grote organisaties kunnen
werken met een grote verzameling verschillende datamodellen
waarvan sommige in de loop van de tijd worden gewijzigd. In
de praktijk kunnen organisaties uit het oog verliezen welke data
waar verwerkt wordt. In een publicatie in de Amerikaanse
nieuwsbron Motherboard (van Vice) worden ingenieurs van
Facebook aangehaald die zeggen: “We hebben geen adequaat
niveau van controle en uitlegbaarheid over hoe onze systemen
data gebruiken.”217 Vice citeert uit een vermeend intern
Facebookmemo.218 Privacy Company heeft deze uitspraak niet
kunnen verifiëren, aangezien Facebook geen toegang verleende
of meer informatie verstrekte over de ruwe data die het
verwerkte met betrekking tot het gebruik van de testpagina van
het Ministerie van Privacy.
In de collectieve rechtszaak in Californië bevestigden echter
twee ingenieurs van Facebook dit gebrek aan controle. “Ik denk
niet dat er iemand is die die vraag zou kunnen beantwoorden,”
antwoordde Eugene Zarashaw, een directeur engineering van
Facebook. “Het zou een aanzienlijke teaminspanning vergen om
zelfs maar in staat te zijn die vraag te beantwoorden.” Op de
vraag naar hoe Facebook elk stukje data in verband met een
bepaald gebruikersaccount zou kunnen volgen, moest Zarashaw
opnieuw het antwoord schuldig blijven: “Er zouden meerdere
teams nodig zijn aan de advertentiekant om precies de – na te
gaan, waar de gegevens heen gaan. Het zou mij verbazen als
er ook maar iemand is die een doorslaggevend antwoord heeft
op die precieze vraag.”219
Wanneer complexiteit een probleem is voor het beantwoorden
van een inzageverzoek van een betrokkene, is een compromis
vaak te vinden als de verwerkingsverantwoordelijk bereid is een
overzicht te geven van de beschikbare gegevens en systemen
en betrokkene de gelegenheid biedt het verzoek nader te
specificeren. Zoals beschreven in paragraaf 2.5 was Facebook
niet bereid een dergelijk overzicht te geven.

9

Verdere wettelijke verplichtingen: de
ePrivacyrichtlijn
Dit hoofdstuk beschrijft de verdere wettelijke verplichtingen die
voortvloeien uit de huidige ePrivacyrichtlijn en de (mogelijk)
toekomstige e-Privacyverordening. Gelet op de beperkte
reikwijdte van deze DPIA zijn andere wettelijke verplichtingen
of kaders (bijvoorbeeld op het gebied van informatiebeveiliging,
zoals BIO, of op het gebied van regulering van platforms, zoals
de nieuwe Europese Digitaledienstenverordening) in dit rapport
buiten beschouwing gelaten.

Pagina 134 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Artikel 5(3) van de huidige e-Privacyrichtlijn bevat een
toestemmingsvereiste voor cookies (informatie geplaatst en
uitgelezen op een apparaat van een eindgebruiker). Deze
bepaling is omgezet in artikel 11.7a van de Nederlandse
Telecommunicatiewet. Toestemming is vereist voorafgaand aan
het uitlezen van of plaatsen van informatie op de apparaten van
eindgebruikers, tenzij een van de uitzonderingen van
toepassing is, zoals de noodzaak om een gevraagde dienst te
leveren of de noodzaak voor de technische verzending van
informatie. De Nederlandse omzetting

Vice, Facebook Doesn’t Know What It Does With Your Data, Or
Where It Goes: Leaked Document, 26 april 2022, URL:
https://www.vice.com/en/article/akvmke/facebook-doesnt- knowwhat-it-does-with-your-data-or-where-it-goes.
218
Facebook intern document, ABP Privacy Infra, Long Range
Investments [A/C Priv], URL:
https://www.documentcloud.org/documents/21716382-facebookdata-lineage-internal- document.
217

Paragraaf geciteerd uit The Intercept, Facebook Engineers: We
Have No Idea Where We Keep All Your Personal Data, 7
september 2022, URL:
https://theintercept.com/2022/09/07/facebook-personal-data-noaccountability/ .
219

bevat een rechtsvermoeden dat volgcookies (gebruikt door vele
diensten in de informatiemaatschappij) de verwerking van
persoonsgegevens inhouden en dat daardoor de AVG van
toepassing is. Zoals geanalyseerd in paragraaf 2.4 van dit
rapport plaatst Facebook unieke identifiers en haalt het deze op
met vijf verschillende volgcookies in de browsers van gebruikers
en ten minste een volgcookie (het datr-cookie) in de browser
van niet-gebruikers als zij een testpagina van de overheid
bezoeken. Deze cookies worden ook geplaatst en uitgelezen
door externe websites, zelfs wanneer de gebruikers niet op een
Facebookpictogram klikken op een dergelijke externe website.
Facebook verplicht alle bezoekers van de overheidspagina deze
'essentiële' cookies te accepteren, zonder de mogelijkheid deze
te weigeren (gebruikers en niet-gebruikers).
Het toestemmingsvereiste voor volgcookies zal waarschijnlijk
blijven bestaan in de toekomstige ePrivacyverordening. Zoals
geïllustreerd in figuur 52 begon het proces met een voorstel dat
in januari 2017 werd gepubliceerd door de Europese
Commissie.220
Daarop volgde in de afgelopen vijfenhalf jaar een intensief
politiek debat. Het Europees Parlement reageerde snel en
positief, maar het kostte de vertegenwoordigers van de EUlidstaten drie jaar om een compromis op te stellen over de
voorgestelde ePrivacyverordening. De Raad stuurde zijn
overeengekomen standpunt naar COREPER zodat de trialoog op
10 februari 2021 van start kon gaan.221 Deze loopt nog steeds.
De laatste openbaar beschikbare update van de Raad dateert
van 28 maart 2022. Daarin zijn de voorgestelde compromissen
zwart gemaakt.222

Pagina 135 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Figuur 52: Proces nieuwe ePrivacyverordening

De standpunten van het Europees Parlement en de Europese
Raad liggen ver uit elkaar. Daardoor is het niet waarschijnlijk
dat de ePrivacyverordening op korte termijn van kracht wordt.
Facebook zal derhalve de komende paar jaar de huidige
ePrivacyregels moeten naleven.

Europese Commissie, Proposal for a Regulation on Privacy and
Electronic Communications, 10.1.2017 COM(2017) 10 final, URL:
https://ec.europa.eu/digital-single-market/en/proposal-eprivacyregulation.
220

Raad van de Europese Unie, Interinstitutional File
2017/0003(COD), Brussels, 10 februari 2021 (OR. en) 6087/21,
URL: https://data.consilium.europa.eu/doc/document/ST- 60872021-INIT/en/pdf.
221

Frans voorzitterschap, voorbereiding trialoog,
7458/22, 28 maart 2022, URL:
https://data.consilium.europa.eu/doc/document/ST7458-2022-INIT/x/pdf.
222

10

Bewaartermijnen
Het Privacybeleid van Facebook vermeldt geen specifieke
bewaartermijnen. Facebook informeert gebruikers hierover als
volgt: “We bewaren informatie zolang we deze nodig hebben
om onze Producten te leveren, te voldoen aan wettelijke
verplichtingen of om onze of andermans belangen te
beschermen. We bepalen per geval hoelang we informatie nodig
hebben.”223
Facebook noemt factoren voor het bepalen van de verschillende
(niet-gespecificeerde) bewaartermijnen, zoals de functies
waarvoor de bewaarde gegevens worden gebruikt, een
wettelijke verplichting of indien nodig voor andere legitieme
doeleinden of wanneer individuele gegevens langer worden
bewaard in geval van onderzoeken/klachten en rechtszaken.
Facebook heeft aan de Californische rechtbank uitgelegd dat
diagnostische gegevens in de Hive-database oneindig lang

Pagina 136 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

worden bewaard. Deze kunnen niet worden gewist, hoewel de
unieke userID na 90 dagen wordt gewist en daarna wordt
vervangen door een unieke Replacement (vervangende) ID
(RID).
Zoals aangehaald in paragraaf 2.1.2 schrijft Facebook: “In
dataystemen waarin verwijdering niet wordt ondersteund (bv.
Hive) kunnen gebruikersgegevens die langer dan 90 dagen
worden bewaard alleen worden bewaard met een RID.”224
Facebook heeft in deze rechtszaak ook beschreven dat het
gegevens over de aan iedere individuele gebruiker getoonde
advertenties bewaart sinds de log in 2007 werd aangemaakt en
dus nu al gedurende een periode van 15 jaar (zie paragraaf
2.5.2).
Facebook heeft ook uitgelegd dat die RID's worden gewist nadat
een gebruiker zijn/haar account heeft verwijderd. “Wanneer een
gebruiker zijn/haar account verwijdert, verwijdert Facebook het
bestand dat de UserID koppelt aan de RID, zodat de bij die RID
opgeslagen gegevens niet meer aan die gebruiker kunnen
worden gekoppeld.”225 Sinds september 2006 kan Facebook
worden gebruikt door elke gebruiker in de hele wereld. Dat
betekent dat de oudste identificeerbare gegevens met RID een
periode van bijna 16 jaar bestrijken. Facebook lijkt geen actief
bewaarbeleid te hebben voor inactieve accounts. Facebook
schrijft dat het ongebruikte accounts mogelijk uitschakelt of
verwijdert als deze gedurende een niet-gespecificeerde
'langere' of 'lange' periode inactief zijn.226
Feitelijk duurt het verwijderen van een gebruikersaccount 30
dagen. Facebook noemt dit de 'bedenktijd' waarin gebruikers
hun mening kunnen veranderen en hun verzoek kunnen
intrekken.227

Facebook Privacybeleid, van kracht sinds 26 juli 2022.
Rechtszaak Facebook Inc inzake privacy gebruikersprofiel van
consumenten bij het Amerikaanse District Court Northern District of
California, zaaknr. 3-18-MD-02843-VC, Document 913, productie 41.
225
Ibid.
226
Facebook schrijft dat het mogelijk een ongebruikt account
uitschakelt of verwijderen “als het account langere tijd niet wordt
gebruikt.” In een nadere toelichting in een dropdownmenu legt
Facebook uit: “We kunnen accounts die langere tijd niet worden
gebruikt en inactief blijven mogelijk of verwijderen. We kijken naar
verschillende signalen om vast te stellen of je account niet wordt
gebruikt, zoals wanneer je je voor het laatst bij je account hebt
aangemeld of wanneer je je voor het laatst met je Facebook-account
bij een andere dienst hebt aangemeld. We kijken ook naar eerdere
activiteit op je account, zoals of je foto's of vrienden hebt toegevoegd
of pagina's bent gaan volgen.” Bron: Facebook, Het beleid van
Facebook voor het uitschakelen of verwijderen van gehackte,
ongebruikte of onbevestigde accounts, URL:
https://www.facebook.com/help/3434203120011796.
223
224

Wersm, Facebook Extends Its Account Deletion Grace Period To
30 Days, 7 oktober 2018, URL: https://wersm.com/facebook227

Pagina 137 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

extends-its-account-deletion-grace-period-to-30-days/.

Zoals
blijkt
uit
figuur
53
hieronder
is
de
standaardbewaartermijn van Facebook voor Paginastatistieken
3 jaar en 1 maand. Aangezien de testpagina 3 jaar geleden nog
niet bestond, is er geen activiteit op de vroegste datum die kon
worden geselecteerd.
Figuur 53: Bewaartermijnen Paginastatistieken 228

Tabel 2 op pagina 60 toont de beoogde bewaartermijn van
Facebookcookies in de browser van een paginabezoeker. Deze
bewaartermijnen zijn dynamisch: elke keer als een pagina
wordt bezocht, wordt het cookie geüpdated en de
bewaartermijn ververst. Zoals hierboven beschreven, bewaart
Facebook de gepseudonimiseerde gebruikersidentifiers in zijn
eigen databases voor onbepaalde tijd.

228

Pagina 138 van 192

Gegevens benaderd op 15 juli 2022.

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Deel
B.
Rechtmatigheid
gegevensverwerking

van

de

vier

categorieën

In het tweede deel van de DPIA wordt de rechtmatigheid van
de gegevensverwerking beoordeeld. Dit deel bevat een
bespreking van de rechtsgronden, een beoordeling van de
noodzaak en proportionaliteit van de verwerking en de
verenigbaarheid van de verwerking in relatie tot de doeleinden.

11

Rechtsgronden
Om op grond van de AVG toegestaan te kunnen worden, moet
de verwerking van persoonsgegevens zijn gebaseerd op een
van de in artikel 6(1) AVG vermelde rechtsgronden. In wezen
vereist dit artikel dat de verwerkingsverantwoordelijke voor
rechtmatige verwerking de verwerking baseert op de
toestemming van de gebruiker of op een wettelijk gedefinieerde
noodzaak voor verwerking van de persoonsgegevens.
De juiste rechtsgrond is afhankelijk van de rol van Facebook als
(gezamenlijke) verwerkingsverantwoordelijke of als verwerker.
Zoals beschreven
persoonsgegevens:

in

paragraaf

1.2

verwerkt

Facebook

1. Gegevens verzameld uit gebruikersactiviteit op een overheidspagina
2. Gegevens verzameld uit gebruikersactiviteit buiten Facebook
3. Gegevens afgeleid van gebruikersactiviteit in verband
met inhoud op een overheidspagina (inclusief cookies
van derde partijen)
4. Gegevens verzameld van niet-gebruikers als zij een (openbare)
overheidspagina bezoeken.
De tweede categorie persoonsgegevens is niet relevant voor
deze DPIA over de verwerking van gegevens in verband met
bezoeken aan een overheidspagina.
Zoals beschreven in paragraaf 4.2 staat Facebook zichzelf toe
verzamelde en afgeleide persoonsgegevens te verwerken voor
15 verschillende doeleinden. Daarnaast aggregeert Facebook
enkele van deze persoonsgegevens voor het leveren van
Paginastatistieken aan beheerders van overheidspagina's.
In zijn Privacybeleid noemt Facebook alle zes beschikbare
rechtsgronden voor verschillende doeleinden van de
verwerking. Facebook legt uit: “We beroepen ons op
verschillende rechtsgronden om je gegevens te verwerken voor
de doeleinden die in dit Privacybeleid worden beschreven.
Afhankelijk van de omstandigheden beroepen we ons op
verschillende rechtsgronden bij het verwerken van dezelfde
gegevens voor verschillende doeleinden.”229 Per rechtsgrond
biedt Facebook een lange tabel met doeleinden en categorieën
persoonsgegevens voor het bereiken van het doel. Deze
doeleinden overlappen elkaar vaak. Facebook beroept zich
bijvoorbeeld op een overeenkomst, toestemming en
gerechtvaardigd belang voor het doel van personalisering van
zijn producten/diensten. De verschillen tussen de drie
rechtsgronden zijn heel subtiel: op toestemming wordt een

Pagina 139 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

beroep gedaan voor de verwerking van 'informatie met speciale
beschermingen'. Volgens Facebook betreft dit informatie die
gebruikers actief hebben verstrekt als onderdeel van hun
profiel, evenals informatie van partners, opdrachtnemers en
derde partijen over activiteiten buiten Facebook, ook van nietgebruikers. Facebook beriep zich op de rechtsgrond
overeenkomst om elke andere informatie te gebruiken voor het
personaliseren van inhoud, met inbegrip van informatie over de
browser en apparaat, evenals informatie van partners,
opdrachtnemers en derde partijen over activiteiten buiten
Facebook, met uitzondering van de identificatiegegevens die
door deze derde partijen zijn verstrekt. Op de rechtsgrond
gerechtvaardigd belang wordt een beroep gedaan met
betrekking tot minderjarigen die slechts een beperkte
mogelijkheid hebben

Meta Privacybeleid, Wat is onze rechtsgrond, URL:
https://www.facebook.com/privacy/policy/?subpage=7.su
bpage.1-WhatIsOurLegal
229

tot het aangaan van een afdwingbaar contract voor alle
gegevens, voor alle vormen van personaliseren en
advertenties.230
Facebook beroept zich ook op toestemming, overeenkomst en
gerechtvaardigd belang (met betrekking tot minderjarigen) om
“statistieken te maken” evenals een gerechtvaardigd belang
met betrekking tot alle mensen inclusief minderjarigen om
“geaggregeerde analyses en statistische rapporten te leveren
over gebruikers aan bedrijven, adverteerders en andere
partners.”
De beoordeling van de beschikbare rechtsgronden hangt nauw
samen met het beginsel van doelbinding. De EDPB merkt op:
“Vaststellen wat de geschikte rechtsgrondslag is die
correspondeert met het doel en de essentie van de verwerking
is
van
essentieel
belang.
[...]
Wanneer
verwerkingsverantwoordelijken de passende rechtsgrondslag
identificeren
in
overeenstemming
met
het
behoorlijkheidsbeginsel, zal dit moeilijk zijn als ze niet eerst
duidelijk de doeleinden van de verwerking hebben bepaald of
wanneer de verwerking van de persoonsgegevens verder gaat
dan noodzakelijk is voor de opgegeven doeleinden.”231
Om derhalve te bepalen of er een rechtsgrond bestaat voor een
specifieke verwerkingshandeling is het nodig te bepalen voor
welk doel of welke doelen de gegevens zijn of worden verzameld
en (verder) verwerkt zullen worden. Voor elk van deze
doeleinden moet er een rechtsgrond bestaan.
Om de mogelijke rechtsgronden beter te begrijpen, beschrijft
deze analyse vier mogelijke rechtsgronden voor de direct
geobserveerde en indirect afgeleide persoonsgegevens als
gevolg van bezoeken aan een overheidspagina. In een tweede
paragraaf wordt de rechtsgrond beschreven voor de
gegevensverwerking
voor
Paginastatistieken,
waarvoor
Facebook
een
gezamenlijke-

Pagina 140 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

verwerkingsverantwoordelijkenovereenkomst aanbiedt.
Twee van de zes mogelijke rechtsgronden (vitaal belang en
wettelijke verplichting) lijken niet relevant te zijn voor deze
DPIA.
Facebook stelt dat het zich kan beroepen op de rechtsgrond
bescherming van de vitale belangen van betrokkenen, onder
andere voor het ontdekken, verwijderen en rapporteren van
illegale inhoud.232 Deze rechtsgrond is niet relevant gelet op het
type inhoud dat door de overheidsorganisaties is gepubliceerd
op
Facebookpagina's.
In
2023
zal
de
Digitaledienstenverordening233 een wettelijke verplichting

Idem, pop-up Informatie van Partners,
leveranciers en derden, URL:
https://www.facebook.com/privacy/policy/?subpag
e=1.subpage.4 InformationFromPartnersVendors
231
EDPB, Richtsnoeren 2/2019 betreffende de verwerking van
persoonsgegevens op grond van artikel 6, lid 1, onder b), van de
AVG in het kader van de verlening van onlinediensten aan
betrokkenen - versie aangepast na openbare raadpleging, 16
oktober 2019, URL: https://edpb.europa.eu/our-work-tools/ourdocuments/guidelines/guidelines-22019-processing-personal-dataunder-article-61b_en.
230

Dit is dubieus, aangezien toepassing van deze rechtsgrond beperkt
zou moeten zijn tot situaties van leven of dood. Zie overweging 46
AVG: “Verwerking van persoonsgegevens op grond van het vitale
belang voor een andere natuurlijke persoon is in beginsel alleen
toegestaan indien de verwerking kennelijk niet op een andere
rechtsgrond kan worden gebaseerd.” Het scannen van gegevens over
inhoud om vermeende illegale inhoud te verwijderen en te
rapporteren brengt ernstige gegevensbeschermingsrisico's mee voor
betrokkenen en is op grond van de ePrivacyrichtlijn wettelijk
verboden. De EU heeft een speciale wettelijke uitzondering geschept
voor deze vorm van gegevensverwerking (Verordening (EU)
2021/1232 van 14 juli 2021) en is bezig met een speciale wet om
specifieke vormen van detectie en rapportage van illegale inhoud te
reguleren, naast de in de DSA beschreven regels voor detectie en
verwijdering van illegale inhoud.
232

Digitaledienstenverordening, voorlopige versie goedgekeurd na Trialoog,
interinstitutioneel dossier:
233

opleggen aan zeer grote online platforms zoals Facebook om
systemische risico's te analyseren, illegale inhoud te
verwijderen en toegang tot persoonsgegevens mogelijk te
maken voor gescreende onderzoekers. Facebook kan echter
niet
vooruitlopend
op
deze
toekomstige
wettelijke
verplichtingen
zichzelf
toestaan
persoonsgegevens
te
verwerken voor onderzoeksdoeleinden.234

Gelet op mogelijke andere wettelijke verplichtingen kan voor
Facebook wetgeving in derde landen gelden (met name de VS)
over de verstrekking van geobserveerde en afgeleide gegevens
aan
overheidsinstanties.
Indien
een
wederzijds
rechtshulpverdrag tussen de EU en een dergelijke derde land
ontbreekt (met name de VS waar alle persoonsgegevens van
Facebook uiteindelijk worden verwerkt) handelt Facebook in

Pagina 141 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

strijd met de AVG wanneer het gehoor geeft aan een bevel tot
verstrekking van persoonsgegevens met betrekking tot
Nederlandse bezoekers van een overheidspagina.
Onderstaande analyse van de vier overige rechtsgronden is
gebaseerd op de redenering in de recente conclusie van de
advocaat-generaal van het Europese Hof van Justitie in de zaak
van Meta Platforms tegen de Duitse mededingingsautoriteit.235
Deze is ook gebaseerd op de uitspraak uit november 2021 van
het Duitse hof van beroep in de bekende rechtszaak over de
Schleswig-Holstein Fan Page dat Facebook zich niet kan
beroepen
op
elke
rechtsgrond
voor
zijn
huidige
gegevensverwerking, met name als gevolg van het gebruik van
cookies waarvoor toestemming vereist is.
11.1

Geobserveerde
en
overheidspagina

afgeleide

gegevens

over

bezoeken

Als verwerkingsverantwoordelijke voor de verwerking van direct
en indirect verzamelde persoonsgegevens wanneer mensen met
een Facebookaccount een overheidspagina bezoeken, baseert
Facebook zich voornamelijk op de rechtsgrond overeenkomst
om het Nieuwsoverzicht te personaliseren en afbeeldingen van
'vergelijkbare pagina's' te tonen op een overheidspagina. Dit
omvat gegevens afgeleid uit gebruikersactiviteit op en buiten
Facebook, gebaseerd op interacties met de inhoud van een
overheidspagina (waaronder de verwerking als gevolg van de
verplichte acceptatie van volgcookies).
11.1.1

Toestemming
Zoals aangehaald in de inleiding van dit hoofdstuk 11 baseert
Facebook zich op uitdrukkelijke toestemming voor de
verwerking van bijzondere gegevenscategorieën, zoals
gegevens
over
gezondheid,
seksuele
voorkeuren
of
geloofsovertuigingen.
Nederlandse overheidspagina's bevatten mogelijk informatie
die gevoelige informatie kan onthullen over de bezoeker,
uiteenlopend
van
gezondheidsinformatie
tot
politieke
standpunten en van seksuele geaardheid tot etnische
achtergrond. Facebookgebruikers wordt niet gevraagd
uitdrukkelijk toestemming te geven aan Facebook voor
profilering en personalisering op basis van deze gegevens
(inclusief het gebruik van cookies om gepersonaliseerde inhoud
te tonen buiten Facebook), aangezien Facebook alleen
uitdrukkelijke toestemming vraagt voor gegevens die een
gebruiker actief verstrekt als zichtbare inhoud in zijn/haar
profiel.

2020/0361(COD), 15 juni 2022, URL:
https://data.consilium.europa.eu/doc/document/ST- 9342-2022INIT/x/pdf. Zie met name de artikelen 26 en 31.
234
De door de Europese Commissie in juli 2021 gemaakte
uitzondering op de ePrivacyrichtlijnen voor webmail- en
berichtendiensten om te scannen op materiaal over seksueel misbruik
van kinderen heft het algemene verbod op het scannen van gegevens
over de inhoud op, maar leidt niet tot een wettelijke verplichting.

Pagina 142 van 192

aan

een

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Verordening (EU) 2021/1232 van het Europees Parlement en de Raad
van 14 juli 2021, URL: https://eur-lex.europa.eu/legalcontent/NL/TXT/PDF/?uri=CELEX:32021R1232
Conclusie AG HJEU, Meta Platforms Inc., voorheen Facebook Inc.,
t. Bundeskartellamt, C- 252/21, 20 september 2022,
ECLI:EU:C:2022:704.
235

Uit de conclusie van de AG voor het HJEU volgt dat de definitie
van Facebook voor bijzondere gegevenscategorieën te beperkt
is en ook moet gelden voor informatie die blijkt uit het leuk
vinden of delen van inhoud van overheidspagina's, wanneer
dergelijke informatie is gekoppeld aan gegevens over het
Facebookaccount en kan worden gebruikt voor profilering.
De AG schrijft: “(...) betwijfel ik of het relevant (en steeds
mogelijk) is om een onderscheid te maken tussen eenvoudige
interesse die de betrokkene voor bepaalde informatie toont en
het feit dat hij tot een van de in de betrokken bepalingen
bedoelde groepen behoort. Hoewel de partijen in het
hoofdgeding in dit opzicht tegenover elkaar staan, ben ik van
mening dat een antwoord op deze vraag alleen per geval en met
betrekking tot elk van de tot de litigieuze praktijk behorende
activiteiten kan worden gezocht.
Hoewel, zoals de Duitse regering opmerkt, het loutere
verzamelen van gevoelige persoonsgegevens inzake de
raadpleging van een website of een app op zich niet
noodzakelijkerwijs
een
verwerking
van
gevoelige
persoonsgegevens in de zin van deze bepaling is, vormen het
koppelen van deze gegevens aan het Facebookaccount van de
betrokken gebruiker en het gebruik van deze gegevens
daarentegen gedrag dat gemakkelijker als een dergelijke
verwerking kan worden aangemerkt. Het doorslaggevende
element voor de toepassing van artikel 9, lid 1, AVG is volgens
mij het feit dat de verwerkte gegevens het mogelijk maken om
de gebruiker te profileren aan de hand van een van de in deze
bepaling
opgesomde
categorieën
van
gevoelige
persoonsgegevens.”236
De AG concludeert: “Artikel 9, lid 1, AVG moet aldus worden
uitgelegd dat het verbod op de verwerking van gevoelige
persoonsgegevens zich kan uitstrekken tot de verwerking van
gegevens door een exploitant van een online sociaal netwerk
bestaande in het verzamelen van gegevens van een gebruiker
wanneer hij andere websites of apps raadpleegt of daar
gegevens invoert, het koppelen van deze gegevens aan het
gebruikersaccount van het sociale netwerk en het gebruik van
deze gegevens, mits de verwerkte gegevens, individueel
beschouwd of gegroepeerd, het mogelijk maken de gebruiker te
profileren volgens de in deze bepaling opgesomde categorieën
van gevoelige persoonsgegevens.”237
De AG weerlegt ook het argument van Facebook dat gebruikers
dergelijke gevoelige informatie kennelijk openbaar maken
(art. 9(2) sub e AVG), aangezien zij deze informatie alleen
willen delen met een door henzelf gekozen specifieke doelgroep,
niet met het algemene publiek.
Hoewel Facebookgebruikers die een overheidspagina bezoeken

Pagina 143 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

om toestemming wordt gevraagd voor volgcookies, is deze
toestemming bovendien ongeldig. Zoals beschreven in
paragraaf 2.4.1 plaatst en leest Facebook volgcookies wanneer
een gebruiker ervoor kiest volgcookies te weigeren en
'essentiële cookies' selecteert. Door het gebruik van het datrcookie handelt Facebook duidelijk in strijd met de geuite
bedoeling van de paginabezoekers. Daarnaast plaatst Facebook
unieke apparaatidentifiers op het apparaat van de
Facebookgebruiker. Zelfs wanneer de Facebookgebruiker zich
afmeldt (bijvoorbeeld als hij of zij een overheidspagina wil
bezoeken met informatie die mogelijk gevoelige kenmerken
onthult), verwijdert Facebook deze unieke identifiers niet en
blijft het informatie verzamelen.
En niet op de laatste plaats, zoals blijkt uit figuur 30 en 31, als
externe websites vragen om toestemming voor volgcookies,
vragen zij niet uitdrukkelijk toestemming om Facebook toe te
staan gevoelige informatie te verwerken van deze websites voor
advertenties op die websites en andere externe apps en
websites.

236
237

Idem, par. 37-39.
Conclusie AG CJEU, C-252/21, par 38.

Kortom, Facebook is wettelijk verplicht uitdrukkelijke
toestemming te vragen voor de verwerking van bijzondere
gegevenscategorieën, aangezien deze kenmerken kunnen
worden afgeleid uit het surfgedrag en de sociale betrokkenheid.
Facebook is wettelijk verplicht toestemming te vragen voor het
gebruik van volgcookies, zowel aan gebruikers als aan nietgebruikers. Facebook vraagt niet om toestemming voor
volgcookies en niet om uitdrukkelijke toestemming, hoewel het
zich niet kan beroepen op een van de andere wettelijke
uitzonderingen uit artikel 9 AVG voor de verwerking van
bijzondere gegevenscategorieën.
11.1.2

Overeenkomst
Artikel 6(1) (b) AVG luidt: “de verwerking is noodzakelijk voor
de uitvoering van een overeenkomst waarbij betrokkene partij
is of voor het ondernemen van stappen (op verzoek van
betrokkene) met het oog op het sluiten van een overeenkomst.”
Facebook beroept zich op een overeenkomst voor het gebruik
van de diensten. Gebruikers accepteren de voorwaarden voor
dienstverlening van Facebook wanneer ze op de 'Aanmelden'knop klikken. In deze voorwaarden wordt beschreven dat
Facebook ook gegevens verzamelt van websites en apps van
derden door middel van geïntegreerde interfaces of door middel
van cookies die op de computer of het mobiele apparaat van de
gebruiker zijn geplaatst.
Zoals
de
AG
opmerkt,
is
wanneer
een
verwerkingsverantwoordelijk zich beroept op de noodzaak om
een overeenkomt uit te voeren en geen toestemming verkrijgt
van de betrokkene of zelfs gegevens verwerkt voor doeleinden
die direct tegen de wil van betrokken zijn “een strikte uitlegging
van de betrokken rechtvaardigingsgronden vereist, met name

Pagina 144 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

om te voorkomen dat de voorwaarde inzake toestemming wordt
omzeild.”238
De AG redeneert dat Facebook niet voldoet aan de vereisten van
de noodzakelijkheidstest voor alle afzonderlijke diensten of
elementen van een dienst die los van elkaar kunnen worden
uitgevoerd.
De AG schrijft: “De toepasselijkheid van artikel 6(1) (b) AVG
moet worden beoordeeld in de context van elk van deze
diensten afzonderlijk. (...) Wat betreft de personalisatie van de
inhoud, het komt mij voor dat een dergelijke activiteit weliswaar
tot op zekere hoogte in het belang van de gebruiker kan zijn,
daar zij het mogelijk maakt om met name in het
nieuwsoverzicht
inhoud
te
tonen
die
volgens
een
geautomatiseerde beoordeling met de interesses van de
gebruiker overeenkomt, maar het is niet vanzelfsprekend dat zij
ook noodzakelijk is voor de verrichting van de dienst van het
betrokken netwerk, zodat voor de verwerking van
persoonsgegevens voor deze doeleinden geen toestemming van
de gebruiker vereist zou zijn. Bij dit onderzoek moet er ook
rekening mee worden gehouden dat de litigieuze praktijk niet
de verwerking van gegevens over het gedrag van de gebruiker
op de Facebookpagina of -app betreft, maar die van gegevens
uit externe, en daarom in aantal potentieel onbeperkte bronnen.
Ik vraag mij dan ook af in hoeverre deze verwerking zou kunnen
beantwoorden aan de verwachtingen van een gemiddelde
gebruiker en, meer in het algemeen, welke 'mate van
personalisatie' de gebruiker mag verwachten van de dienst
waarvoor hij zich registreert.”239
De AG bespreekt niet alle 15 geïdentificeerde doeleinden voor
de verwerking voor geobserveerde en afgeleide gegevens over
bezoeken aan een overheidspagina (zoals vermeld in paragraaf
4.2 van deze DPIA). Met betrekking tot het delen van gegevens
binnen alle Meta-bedrijven merkt de AG echter op: “ Ik betwijfel
echter of de verwerking van persoonsgegevens die afkomstig
zijn van andere diensten van het concern (met name van
Instagram) noodzakelijk is voor het verrichten van de
Facebookdiensten.”240

Conclusie AG CJEU, C-252/21, par. 51
Idem, par. 56
240
Idem, par. 57
238
239

Aangezien echter het gebruik van overeenkomst als
rechtsgrond (in plaats van vrijelijk gegeven geïnformeerde
toestemming) strikt moet worden geïnterpreteerd, lijken slechts
2 van de resterende 13 doeleinden voor de verwerking van
persoonsgegevens met betrekking tot bezoeken aan
overheidspagina's de toets van noodzaak om een overeenkomst
uit te voeren te doorstaan voor elke individuele bezoeker:
• Technisch een gepersonaliseerde service bieden met de
twee subdoelen (i) account authenticeren / controleren,
gebruikers aangemeld houden met cookies en (ii) cookies
ter verbetering van de technische prestatie

Pagina 145 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

• Verwerken overeenkomstig de privacy-instellingen van gebruiker
en paginabeheerder
De grond 'overeenkomst' kan alleen gelden voor mensen die
aangemeld zijn voor een Facebookaccount. Deze rechtsgrond
kan
niet
worden
ingeroepen
voor
bezoekers
van
overheidspagina's zonder Facebookaccount of bezoekers die
zich hebben afgemeld bij Facebook.
Facebook gebruikt echter cookies om gebruikers aangemeld te
houden en plaatst bij niet-gebruikers het datr-cookie. Zoals
beschreven in paragraaf 11.1.1 hierboven verkrijgt Facebook
niet de vereiste toestemming voor deze cookies en ook niet de
vereiste uitdrukkelijke toestemming om speciale kenmerken af
te leiden van bezoekers van overheidspagina's. Facebook kan
zich niet beroepen op de rechtsgrond noodzaak voor een
overeenkomst ter compensatie van het ontbreken van wettelijk vereiste - uitdrukkelijke toestemming.
Het tweede doel, uitvoering van privacy-instellingen wordt niet
genoemd in het Privacybeleid van Facebook, maar is
toegevoegd voor de duidelijkheid.
Facebook kan zich derhalve alleen beroepen op de rechtsgrond
noodzaak voor het uitvoeren van een overeenkomst voor één
doeleinde dat niet genoemd wordt in zijn Privacybeleid
(uitvoering van de privacy-instellingen) en alleen met
betrekking tot Facebookgebruikers.
11.1.3 Algemeen belang en gerechtvaardigd belang
Artikel 6(1) (e) AVG luidt: “de verwerking is noodzakelijk voor
de vervulling van een taak van algemeen belang of van
een taak in het kader van de uitoefening van het openbaar
gezag dat aan de verwerkingsverantwoordelijke is opgedragen.”
Artikel 6(1) (f) AVG luidt: “de verwerking is noodzakelijk voor
de behartiging van de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde, behalve
wanneer de belangen of de grondrechten en de fundamentele
vrijheden van de betrokkene die tot bescherming van
persoonsgegevens nopen, zwaarder wegen dan die belangen,
met name wanneer de betrokkene een kind is.”
De laatste zin van artikel 6(1) AVG voegt daaraan toe: “De
eerste alinea, punt f), geldt niet voor de verwerking door
overheidsinstanties in het kader van de uitoefening van hun
taken.”
De laatste zin van artikel 6(1) AVG sluit de toepassing van de
rechtsgrond gerechtvaardigd belang uit voor de verwerking
door overheidsinstanties in het kader van de uitoefening van
hun taken. De keuze om Facebookpagina's te gebruiken om te
communiceren met het algemene publiek is echter
ondergeschikt aan de uitvoering van openbare taken door
overheden en kan daarom ook beschouwd worden als een taak
die voornamelijk wordt uitgeoefend op grond van het
privaatrecht.

Pagina 146 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Zoals uiteengezet is in overweging 47 AVG is de aanwezigheid
van de rechtsgrond noodzaak in verband met een
gerechtvaardigd belang (artikel 6 (1) (f) aannemelijker
“wanneer sprake is van een relevante en passende verhouding
tussen de betrokkene en de verwerkingsverantwoordelijke, in
situaties waarin de betrokkene een klant is of in dienst is van
de verwerkingsverantwoordelijke.” Wanneer een
overheidspagina op Facebook wordt gebruikt om te
communiceren
met
een
algemeen
publiek
willen
overheidsorganisaties zich mogelijk ook baseren op de
rechtsgrond noodzaak voor de uitvoering van hun publieke
taken.
Voor beide rechtsgronden is een beoordeling vereist van de
noodzaak van de verwerking van persoonsgegevens, de
proportionaliteit en beschikbaarheid van alternatieve, minder
indringende middelen om dezelfde gerechtvaardigde doeleinden
te bereiken (subsidiariteit).
Hoewel Facebook geen publiekrechtelijke organisatie is,
beweert het dat het zich kan beroepen op wettelijke bepalingen
over onderzoek in het Verdrag betreffende de Werking van de
Europese Unie om 'onderzoek te doen in het maatschappelijk
belang' op basis van de rechtsgrond algemeen belang. Dat is
niet plausibel. Zelfs wanneer die artikelen een grond voor
algemeen belang zouden opleveren, wordt de reikwijdte van het
doel van Facebook 'onderzoek in het maatschappelijk belang'
alleen beschreven met een voorbeeld (“zoals het delen van
relevante onderzoeksgegevens met”[derde partijen]) en
gedefinieerd als “onderzoek en andere taken in het algemeen
belang.” Vanwege dit ontbreken van een specificatie van het
doel kan Facebook zich niet op deze rechtsgrond beroepen voor
gegevensverwerking met betrekking tot onbekende vormen van
onderzoek over het gebruik en gebruikers van een
overheidspagina.
De AG richt zich op drie doeleinden voor gegevensverwerking
waarvoor Facebook zich beroept op de grond gerechtvaardigd
belang: adverteren, netwerkbeveiliging en productverbetering.
De AG richt zich met name op het gebruik van externe gegevens
voor deze doeleinden. In alle drie deze gevallen concludeert de
AG dat er geen duidelijke noodzaak is om persoonsgegevens te
verwerken voor deze doeleinden, terwijl “derhalve er een nauw
verband moet bestaan tussen de verwerking en het
nagestreefde belang, bij gebreke van alternatieven die de
bescherming van persoonsgegevens beter in acht nemen,
aangezien het niet volstaat dat de verwerking louter nuttig is
voor de verwerkingsverantwoordelijke.”241
Hoewel Facebook op overheidspagina's geen advertenties toont,
laat het wel aanbevolen commerciële inhoud zien. Deze
aanbevelingen zijn ook aan te merken als advertenties in
letterlijke zin, om aandacht te vestigen op een derde
organisatie. Facebook legt aan gebruikers of beheerders niet uit
waarom het deze pagina's geselecteerd heeft. Facebook biedt
echter een privacyvriendelijker alternatief: Paginabeheerders
kunnen er ook voor kiezen dat Facebook aan hun bezoekers
geen banner toont met voorgestelde vergelijkbare pagina's. Als

Pagina 147 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Facebook de persoonsgegevens over overheidspagina's niet zou
gebruiken voor andere doeleinden (maar dat doet het wel, zie
hieronder)
zouden
de
privacyvriendelijke
instellingen
beheerders van overheidspagina's kunnen helpen zich te
baseren op de noodzaak voor hun algemeen belang om een
pagina te gebruiken voor communicatie met een algemeen
publiek.
Paginabeheerder beschikken echter niet over een mogelijkheid
om te voorkomen dat Facebook afgeleide informatie
(geobserveerd of afgeleid) van bezoeken aan overheidspagina's
of interacties met berichten van die overheidsorganisaties
gebruikt om het algoritme te voeden voor het tonen van
gepersonaliseerde inhoud. Noch overheidsorganisaties, noch
Facebook kunnen zich beroepen op de rechtsgrond noodzaak in
het algemeen belang voor deze doeleinden van de verwerking
van persoonsgegevens in verband met bezoeken aan
overheidspagina's.
Facebook beroept zich op de rechtsgrond noodzaak voor zijn
gerechtvaardigd belang voor vele doeleinden van de verwerking
van persoonsgegevens van paginabezoekers. Volgens het
Privacybeleid van Facebook maakt het onderscheid tussen
gerechtvaardigd belang als alternatief voor overeenkomst met
betrekking tot minderjarigen, als een aparte rechtsgrond voor
andere doeleinden (met inbegrip van minderjarigen), en als
algemene
rechtsgrond
voor
de
verwerking
van
persoonsgegevens
241

Idem, par. 61

over niet-gebruikers en onbekende apparaten. De lijst met
doeleinden vanuit gerechtvaardigd belang zijn hieronder in
tabel 8 gespecificeerd.
Slechts een doel, het tonen van gerichte advertenties op basis
van informatie verstrekt door externe organisaties (klanten of
look-a-like doelgroepen) is uitgesloten in deze tabel aangezien
dit buiten de reikwijdte van deze DPIA valt. Voor alle resterende
doeleinden beschrijft Facebook ook welke persoonsgegevens
het mogelijk verwerkt. Over het algemeen geldt dat voor *alle*
persoonsgegevens en wel: (i) activiteit en informatie verstrekt
door gebruikers, (ii) vrienden, volgers en andere connecties (iii)
informatie over app, browser en apparaat (inclusief
locatiegegevens), (iv) informatie van partners, leveranciers en
derden.
Tabel 8: Specifieke doeleinden, genoemd door Facebook,
gerechtvaardigd belang
Hoofddoel
Gerechtvaardigd belang
Nr.

met

Voor minderjarige personen, indien Facebook zich niet kan beroepen op een
contractuele noodzaak

Pagina 148 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

1.

Een
persoonlijke
service aanbieden en
verbeteren (inclusief
onderzoek en testen),
met
inbegrip
van
gepersonaliseerde
advertenties
en
gesponsorde
/
commerciële inhoud

Om innovatieve producten en functies te creëren,
aan te bieden, te ondersteunen en onderhouden
waarmee minderjarige personen zichzelf kunnen
uiten, kunnen communiceren, kunnen ontdekken
en interactie kunnen hebben met informatie en
community's met betrekking tot hun interesses,
community's kunnen ontwikkelen, en tools en
functies kunnen gebruiken die hun welzijn
stimuleren.
Om betekenisvolle updates over onze Producten te
delen met onze minderjarige gebruikers en om
onze Producten te promoten.
Om de Meta-producten aan te bieden, te
personaliseren en te verbeteren op een consistente
manier en tegelijkertijd te zorgen voor aanvullende
waarborgen voor degenen die in hun Lidstaat
minderjarig zijn.
Het gerechtvaardigde belang van onze gebruikers
om toegang te kunnen krijgen tot de Metaproducten en om deze Producten voor elke
gebruiker te laten personaliseren.

2.

De
Meta-producten
personaliseren
(inclusief
Instagram
en WhatsApp)

Om innovatieve producten en functies te creëren,
aan te bieden, te ondersteunen en onderhouden
waarmee minderjarige personen zichzelf kunnen
uiten, kunnen communiceren, kunnen ontdekken
en interactie kunnen hebben met informatie en
community's met betrekking tot hun interesses,
community's kunnen ontwikkelen, en tools en
functies kunnen gebruiken die hun welzijn
stimuleren.
Om minderjarige personen in staat te stellen op een
gemakkelijke en intuïtieve manier de Metaproducten te gebruiken en daarbij aan te sluiten.
Om de Meta-producten aan te bieden, te
personaliseren en te verbeteren op een consistente
manier en tegelijkertijd te zorgen voor aanvullende
waarborgen voor degenen die in hun Lidstaat
minderjarig zijn.
Het gerechtvaardigde belang van onze gebruikers
om toegang te kunnen krijgen tot de Metaproducten en om deze Producten voor elke
gebruiker te laten personaliseren.

Om innovatieve producten en functies te creëren,
aan te bieden, te ondersteunen en onderhouden
waarmee minderjarige personen zichzelf kunnen
uiten, kunnen communiceren, kunnen ontdekken
en interactie kunnen hebben met informatie en
community's met betrekking tot hun interesses,
community's kunnen ontwikkelen, en tools en
functies kunnen gebruiken die hun welzijn
stimuleren.

Pagina 149 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

3.

Veiligheid, integriteit
en beveiliging in en via
de
Meta-producten
bevorderen

Om ons platform en netwerk te beveiligen;
accounts en activiteiten te verifiëren; schadelijk
gedrag te bestrijden; spam en andere slechte
ervaringen op te sporen, te voorkomen en te
verhelpen; ervoor te zorgen dat de Meta-producten
vrij blijven van schadelijke of ongepaste inhoud;
onderzoek te doen naar verdachte activiteiten of
inbreuk op onze voorwaarden of beleidsregels; en
de veiligheid van minderjarige personen te
beschermen, waaronder het voorkomen van
uitbuiting of andere schadelijke activiteiten
waarvoor minderjarigen extra kwetsbaar zijn.
In het belang van onze gebruikers en het grote
publiek om slechte ervaringen te voorkomen en
veiligheid, integriteit en beveiliging te bevorderen.

4.

Geen doeleinde
genoemd door
Facebook (!)

Om betekenisvolle updates over onze Producten te
delen met onze minderjarige gebruikers en om
onze Producten te promoten.

Voor iedereen, inclusief minderjarigen
1.

Metingen, analyses en
andere zakelijke
services verlenen aan
bedrijven,
adverteerders en
andere partners

Om onze adverteerders, ontwikkelaars en andere
Partners nauwkeurige en betrouwbare rapporten
aan te bieden om nauwkeurige prijzen en
statistieken over prestaties te garanderen en om de
waarde aan te tonen die onze Partners realiseren
met behulp van de Producten van Meta-bedrijven.
In het belang van adverteerders, ontwikkelaars en
andere Partners: het geven van inzicht in hun
klanten en hen helpen hun bedrijven te verbeteren,
onze prijsmodellen te valideren en de effectiviteit
van hun online inhoud en advertenties in en buiten
de Producten van Meta-bedrijven te evalueren.

2.

3.

4.

Pagina 150 van 192

Communiceren,
interactie hebben en
delen via de
Producten van Metabedrijven
Zakelijke kennis en
analyse

• Om naadloze, consistente en rijkere,
innovatieve ervaringen te bieden op het
gebied van communicatie, interactie en delen
via de Producten van Meta-bedrijven.

In ons belang om het gebruik van onze Producten
te meten en te tellen hoeveel mensen interactie
hebben met onze Producten om productsturing en
-ontwikkeling te informeren en te verbeteren
en de verstrekking van nauwkeurige en
betrouwbare rapporten mogelijk te maken.
Je identificeren als
In ons belang om onze levering van de Producten
gebruiker van een
van Meta-bedrijven te financieren en kwalitatief
Meta-product en
hoogstaande gepersonaliseerde
de advertenties
advertenties te bieden aan gebruikers die de
personaliseren die we
websites, apps en apparaten bezoeken die onze
je laten zien
advertentieservices gebruiken.
via het Meta
In ons belang om de Meta-producten te promoten
Audience Network
bij mensen die geen geregistreerde gebruikers van
de Meta-producten zijn; en
wanneer je andere
apps/websites
In het belang van de adverteerders die mensen
bezoekt
willen bereiken die mogelijk zijn geïnteresseerd in
hun informatie, producten of services.
MarketingcommuniIn ons belang om Producten van Meta-bedrijven
5.
catie aanbieden
te promoten en onze direct marketing te
aan jou
versturen.

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

6.

7.

Onderzoek en
innovatie in het
maatschappelijk
belang (inclusief
onderzoek en
innovatie op het
gebied van
algemeen
maatschappelijk
welzijn,
technologische
vooruitgang,
openbaar belang,
gezondheid en
welzijn).
Je gegevens
anonimiseren

8.

Gegevens delen met
anderen, waaronder
rechtshandhavingsinstanties en
reageren op
wettelijke verzoeken.

9.

Veiligheid, integriteit
en beveiliging
bevorderen in
beperkte
omstandigheden
buiten de uitvoering
van onze contracten
met jou

In ons belang en dat van het algemene publiek
om het nieuwste of academische inzicht in
belangrijke maatschappelijke kwesties verder te
ontwikkelen die onze gemeenschap en de wereld
op een positieve manier beïnvloeden.

In ons belang om onze levering van de Metaproducten te financieren, relevante advertenties
aan gebruikers aan te bieden en de weergave van
advertenties en Meta-producten te verbeteren;
In het belang van de adverteerders om hen te
helpen relevante doelgroepen te bereiken die
mogelijk zijn geïnteresseerd in hun informatie,
producten of services;
In het belang van gebruikers dat Meta het
minimaliseren van gegevens en privacy door
ontwerp in praktijk brengt met betrekking tot
hun informatie
In ons belang en in het belang van het algemene
publiek om fraude, niet-geautoriseerd gebruik van
de Producten van Meta-bedrijven, overtredingen
van onze voorwaarden of beleidsregels of andere
schadelijke of illegale activiteit te voorkomen en
te verhelpen; onszelf (inclusief onze rechten, het
personeel en de eigendommen van Meta of de
Meta-producten), onze gebruikers of anderen te
beschermen, onder andere als onderdeel van
onderzoeken of verzoeken van toezichthoudende
instanties;
of om overlijden of imminent persoonlijk letsel te
voorkomen.
In ons belang om ons platform en netwerk te
beveiligen; accounts en activiteiten te verifiëren;
schadelijk gedrag te bestrijden; spam en andere
slechte ervaringen te detecteren, te voorkomen
en te verhelpen; ervoor te zorgen dat de
Producten van Meta-bedrijven vrij blijven van
schadelijke of ongepaste inhoud;
en om verdachte activiteiten of inbreuk op onze
voorwaarden of beleidsregels te onderzoeken en
op basis hiervan maatregelen te nemen; en
In het belang van onze gebruikers en het grote
publiek om slechte ervaringen te voorkomen en
veiligheid, integriteit en beveiliging te bevorderen.

Pagina 151 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

1.

Bezoekers met onbekende
apparaten
Veiligheid, integriteit
In ons belang om ons platform en netwerk te
en beveiliging
beveiligen; accounts en activiteiten te verifiëren;
bevorderen
schadelijk gedrag te bestrijden; spam en andere
slechte ervaringen te detecteren, te voorkomen
en te verhelpen; ervoor te zorgen dat de
Producten van Meta-bedrijven vrij blijven van
schadelijke of ongepaste inhoud; en om
verdachte activiteiten of inbreuk
op onze voorwaarden of beleidsregels te
onderzoeken en op basis hiervan maatregelen te
nemen; en
In het belang van onze gebruikers en het grote
publiek om slechte ervaringen te voorkomen en
veiligheid, integriteit en beveiliging te bevorderen
2.
MarketingcommuniIn ons belang om Producten van Meta-bedrijven
catie aanbieden aan
te promoten en onze direct marketing te
jou (!, aan
versturen.
onbekende
bezoekers)
3.
Onderzoek en
In ons belang en dat van het algemene publiek om
innovatie in het
het nieuwste of academische inzicht in belangrijke
maatschappelijk
maatschappelijke kwesties verder te ontwikkelen
belang (inclusief
die onze gemeenschap en de wereld op een
onderzoek en
positieve manier beïnvloeden.
innovatie op het
gebied van
algemeen
maatschappelijk
welzijn,
technologische
vooruitgang,
openbaar belang,
gezondheid en
welzijn).
4.
Gegevens delen met
In ons belang en in het belang van het algemene
publiek om fraude, niet-geautoriseerd gebruik van
anderen, waaronder
de Producten van Meta-bedrijven, overtredingen
rechtshandhavingsvan onze voorwaarden of beleidsregels of andere
instanties en
schadelijke of illegale activiteit te voorkomen en te
reageren op
verhelpen; onszelf (inclusief onze rechten, het
wettelijke verzoeken
personeel en de eigendommen van Meta of de
Meta-producten), onze gebruikers of anderen te
beschermen, onder andere als onderdeel van
onderzoeken of verzoeken van toezichthoudende
instanties;
of om overlijden of imminent persoonlijk letsel te
voorkomen.

Pagina 152 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

5.

Productverbetering,
Om de Producten van Meta-bedrijven consistent te
verbeteren, om technische problemen te
waaronder (i) zien of
corrigeren en de functionaliteit te optimaliseren.
een product naar
behoren werkt, (ii)
problemen met het
product op te lossen
als het niet naar
behoren werkt, (iii)
nieuwe producten en
functies testen om te
zien of ze werken, (iv)
feedback krijgen over
onze ideeën voor
producten of functies
en (v) enquêtes en
ander onderzoek
uitvoeren over wat je
leuk vindt aan onze
Producten en merken
en wat we
beter kunnen doen
Zoals aangehaald in tabel 8 hierboven geeft Facebook een korte
beschrijving van het gerechtvaardigde belang van zichzelf,
derde partijen of gebruikers. Zoals de AG opmerkte, moet een
rechtvaardiging
in
het
belang
van
de
verwerkingsverantwoordelijke zijn en niet in het belang van de
gebruiker. Wanneer de gegevensverwerking vooral in het
voordeel
van
de
gebruiker
is,
moet
de
verwerkingsverantwoordelijke om toestemming vragen. “Vanuit
dit oogpunt valt moeilijk in te zien in hoeverre zij een
gerechtvaardigd belang van de verantwoordelijke zou kunnen
vormen, waarvoor geen toestemming van de gebruiker is
vereist.”242
Het is aan Facebook om een overtuigende analyse te leveren
waarom het noodzakelijk zou zijn specifieke persoonsgegevens,
waaronder gevoelige persoonsgegevens als gevolg van een
bezoek aan een overheidspagina te verwerken voor zijn eigen
commerciële
advertentie-,
profileringsen
onderzoeksdoeleinden.
Facebook biedt geen links aan naar uitgebreidere documentatie
over hoe het de strikte noodzaak voor de verwerking heeft
berekend van alle vermelde persoonsgegevens voor alle
subdoelen.
Gelet op de gevoeligheid van gegevens over surfgedrag lijkt het
onwaarschijnlijk dat doeleinden zoals 'onderzoek ter
verbetering van de technologie' of 'onderzoek ter verbetering
van gezondheid' zonder verdere beperking of uitsluiting van
afgeleide gevoelige gegevens kan worden beschouwd als strikt
noodzakelijk voor Facebook voor het bieden van toegang tot
een overheidspagina. Dezelfde logica geldt voor

242

Idem, par. 66

doeleinden zoals 'onze algoritmen trainen' of verbetering van

Pagina 153 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Meta-producten (inclusief Instagramen WhatsApp). Hoewel
dergelijke training en delen inderdaad heel nuttig kan zijn voor
Meta, is het niet in het belang van de bezoeker van de
overheidspagina. Evenmin is deze gegevensverwerking
noodzakelijk
om
de
paginaservice
te
bieden
aan
overheidsorganisaties.
Tot slot verplicht Facebook alle bezoekers van de
overheidspagina 'essentiële' cookies te accepteren, zonder de
mogelijkheid deze te weigeren (gebruikers en niet-gebruikers).
Dit leidt tot het plaatsen van verschillende volgcookies en het
uitlezen van apparaatinformatie met betrekking tot gebruikers
en ten minste een volgcookie in de browser van niet-gebruikers.
Door middel van unieke apparaatidentifiers is Facebook in staat
het surfgedrag van gebruikers te blijven volgen, zelfs als deze
zich afmelden.
In
eerdere
procedures
tegen
EUgegevensbeschermingsautoriteiten beweerde Facebook dat het
een gerechtvaardigd belang had om het datr-volgcookie te
gebruiken voor het identificeren van niet-gebruikers voor niet
gedefinieerde veiligheidsdoeleinden.243 Facebook geeft nog
steeds geen uitleg over de doeleinden van het datr-cookie. Zie
tabel 2 in paragraaf 2.4.4. Zoals is uitgelegd in hoofdstuk 9 is
in Nederland toestemming vereist voor het gebruik van
volgcookies. Zoals is aangetoond in de paragrafen 2.4.1 en
2.4.2 worden deze cookies ook geplaatst en uitgelezen door
externe websites, zelfs wanneer de gebruikers niet op een
Facebookpictogram klikken op een dergelijke externe website.
Facebook kan zich niet beroepen op zijn gerechtvaardigd belang
en heeft momenteel geen andere rechtsgrond voor de
verwerking van persoonsgegevens als gevolg van het gebruik
van deze cookies.
Gebruikers en Paginabeheerders beschikken niet over de
mogelijkheid gegevensverwerking voor deze doeleinden uit te
schakelen. Vanwege deze take-it-or-leave-it-benadering van de
verwerking zou Facebook een duidelijke rechtvaardiging
moeten geven van de strikte noodzaak van de verwerking van
alle opgesomde persoonsgegevens, inclusief gevoelige
gegevens over surfgedrag, voor alle doeleinden. Dat is niet het
geval. Facebook legt niet duidelijk aan gebruikers uit dat het
hen blijft volgen, zelfs als ze zich afmelden. Facebook verwijdert
de cookies niet en houdt niet op met het uitlezen van de unieke
apparaatinformatie als gebruikers zich afmelden.
Facebook beroept zich ook op de rechtsgrond noodzaak
vanwege zijn gerechtvaardigd belang wanneer het gedwongen
is
persoonsgegevens
te
verstrekken
aan
rechtshandhavingsinstanties. Dit specifieke doel van de
gegevens verwerking komt hieronder aan de orde, in paragraaf
11.2 over Paginastatistieken.
Door het ontbreken van transparantie voor gebruikers waarom
zij specifieke aanbevelingen te zien krijgen, het ontbreken van
opt-outs voor gebruikers voor doeleinden / categorieën
persoonsgegevens waarin hun fundamentele rechten zwaarder
wegen dan de gerechtvaardigde belangen van Facebook en het

Pagina 154 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

ontbreken van opt-outs voor beheerders van overheidspagina's
om alle interactie met een overheidspagina uit te zonderen,
behalve wanneer gebruikers daartoe opdracht geven, zoals 'Ik
wil berichten ontvangen van deze pagina', kan noch Facebook,
noch de
Zie het Facebookdossier op de website van de Belgische
toezichthoudende autoriteit, URL:
https://www.gegevensbeschermingsautoriteit.be/burger/faceboo
k-zaak-het-hvj-eu-heeft- uitspraak-gedaan.
243

overheidsorganisatie zich beroepen op de noodzaak wegens een
gerechtvaardigd
belang
voor
de
geanalyseerde
gegevensverwerking.
11.2

Facebook Paginastatistieken
In geval van gezamenlijke verwerkingsverantwoordelijkheid
moet iedere gezamenlijke verwerkingsverantwoordelijke een
rechtsgrond hebben voor de verwerking. Dit dient bij voorkeur
dezelfde rechtsgrond te zijn.244
Voor het produceren van Facebook Paginastatistieken kunnen
Facebook en overheidsorganisaties alleen de noodzaak voor hun
gerechtvaardigde belangen als rechtsgrond aanvoeren. Het
publiekrecht vereist niet dat overheidsorganisaties analytische
gegevens verzamelen over paginabezoeken en -bezoekers.
Derhalve kan niet met succes een beroep worden gedaan op de
rechtsgrond noodzaak in het algemeen belang, noch door
overheidsorganisaties, noch door Facebook.
Hoewel Facebook toestemming en overeenkomst noemt als
rechtsgronden voor het maken van analyses, verschilt dit
doeleinde kennelijk van analyses die als statistieken aan
pagina-eigenaren worden geleverd, aangezien deze laatste
apart worden vermeld, met als rechtsgrond noodzaak vanwege
het
gerechtvaardigd
belang
van
Facebook
en
het
gerechtvaardigd belang van anderen zoals pagina-eigenaren.
Voor een beroep op de laatste grond van gerechtvaardigd
belang moeten de belangen van de organisaties en de
paginabezoekers zorgvuldig worden afgewogen. De door
Facebook getoonde analyses maken individuele identificatie van
bezoekers niet mogelijk. Zoals getoond in figuur 22 hieronder,
hanteert Facebook een drempel van ten minste 100
paginabezoeken of volgers.
Zoals beschreven in paragraaf 5.4 zijn de aan de
paginabeheerder gepresenteerde statistische gegevens maar
het topje van de ijsberg van de door Facebook verzamelde
gegevens als gevolg van bezoeken aan een overheidspagina.
Achter de schermen en onzichtbaar voor gebruikers en
paginabeheerders verwerkt Facebook gegevens over het
geobserveerde gedrag over interacties met de pagina en de
afgeleide gegevens, zoals interesse in de op de overheidspagina
getoonde inhoud. Aangezien Facebook deze identificeerbare
gegevens bewaart gedurende een onbeperkte periode (met een
gepseudonimiseerde RID na 90 dagen) zijn de aan de
paginabeheerders gepresenteerde gegevens geen anonieme,
maar gepseudonimiseerde gegevens. Facebook is in staat elk

Pagina 155 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

van deze bezoekers te heridentificeren op basis van zijn
verzameling diagnostische gegevens.
Er bestaat een onlosmakelijk verband tussen het aanmaken van
een pagina door een Nederlandse overheidsorganisatie en de
verwerking van persoonsgegevens over bezoekers van die
pagina door Facebook (ten behoeve van personalisering,
waaronder advertenties). Dit is met name zichtbaar in het
gebruik van volgcookies. Met de informatie over bezoeken aan
de overheidspagina is Facebook in staat het profiel van
gebruikers te verrijken en zo de doelgerichtheid van zijn
algoritmes te verbeteren. Facebook zou niet in staat zijn deze
persoonsgegevens voor zijn eigen commerciële doeleinden te
verwerken zonder het initiatief van een overheidsorganisatie om
een pagina te openen op het netwerk.
Gelet op deze omstandigheden en op grond van de
deskundigenopinie van de Duitse toezichthoudende autoriteiten
handhaaft deze DPIA in tegenstelling tot de mening van
Facebook de conclusie dat Facebook en de overheidsorganisatie
in feite gezamenlijke verwerkingsverantwoordelijken zijn. Dit
betekent dat zij zich beiden moeten kunnen

EDPB Richtsnoeren v2.0, 7 juli 2021, p.4. De EDPB vermeldt ook in
voetnoot 73: “Hoewel de AVG niet in de weg staat aan het gebruik
van verschillende rechtsgronden door gezamenlijke
verwerkingsverantwoordelijken voor verschillende verwerkingen die zij
uitvoeren, wordt aanbevolen om, waar mogelijk, dezelfde
rechtsgrondslag te gebruiken voor een bepaald doel.”
244

beroepen op een rechtsgrond. Zoals geconcludeerd in paragraaf
5.3 kunnen overheidsorganisaties momenteel niet rechtmatig
een
gezamenlijkeverwerkingsverantwoordelijkenovereenkomst
sluiten
met
Facebook voor de verwerking van alle persoonsgegevens met
betrekking tot bezoeken aan een overheidspagina. Een
dergelijke overeenkomst is alleen beschikbaar voor een klein
percentage van de relevante gegevensverwerking: de
Paginastatistieken.
Wanneer Facebook en de pagina-eigenaren niet kunnen worden
beschouwd als gezamenlijke verwerkingsverantwoordelijken
voor alle verwerkingen in verband met pagina's, moet een
overheidsorganisatie met een pagina een rechtsgrond hebben
voor het delen van alle persoonsgegevens met Facebook als
onafhankelijke derde. De verwerking van bezoekersgegevens
voor de eigen doeleinden van Facebook is een vorm van
'verdere' gegevensverwerking. Dergelijke 'verdere' verwerking
is alleen toegestaan als deze verenigbaar is met de
oorspronkelijke doeleinden van de verwerking. Voor
overheidsorganisaties zijn er maar twee doeleinden voor de
verwerking van gegevens van bezoekers aan een pagina,
namelijk
het
technisch
aanbieden
van
een
communicatiefaciliteit aan Facebookgebruikers en nietgebruikers en om website-analyses te produceren.
Om de rechtmatigheid te beoordelen van deze verdere
verwerking voor andere doeleinden (Facebooks eigen

Pagina 156 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

commerciële doeleinden), moeten 5 criteria worden afgewogen
(op basis van artikel 6(4) AVG):
a) een verband tussen de doeleinden waarvoor de
persoonsgegevens zijn verzameld en de doeleinden van
de voorgenomen verdere verwerking;
b) het kader waarin de persoonsgegevens zijn verzameld,
met name wat de verhouding tussen de betrokkenen en
de verwerkingsverantwoordelijke betreft;
c) de aard van de persoonsgegevens, met name of
bijzondere categorieën van persoonsgegevens worden
verwerkt,
overeenkomstig
artikel
9,
en
of
persoonsgegevens over strafrechtelijke veroordelingen
en strafbare feiten worden verwerkt, overeenkomstig
artikel 10;
d) de mogelijke gevolgen van de voorgenomen verdere
verwerking voor de betrokkenen;
e) het bestaan van passende waarborgen, waaronder
eventueel versleuteling of pseudonimisering.
Deze vijf criteria worden hieronder beoordeeld.
11.2.1 Verband tussen doeleinden
Met betrekking tot het verband tussen doeleinden mogen
Facebookgebruikers verwachten dat hun interacties met een
overheidspagina leiden tot hogere prioriteit voor dergelijke
inhoud in hun Nieuwsoverzicht. Het is echter vrijwel onmogelijk
na te gaan wat de band is tussen de andere voorkeuren van
gebruikers (vrienden van vrienden) of inhoud van andere,
onbekende organisaties die worden voorgesteld in het
Nieuwsoverzicht. Zoals de AG schrijft: “Ook moet er rekening
mee worden gehouden dat de litigieuze praktijk niet de
verwerking van gegevens over het gedrag van de gebruiker op
de Facebookpagina of -app betreft, maar die van gegevens uit
externe, en daarom in aantal potentieel onbeperkte bronnen. Ik
vraag mij dan ook af in hoeverre deze verwerking zou kunnen
beantwoorden aan de verwachtingen van een gemiddelde
gebruiker en, meer in het algemeen, welke 'mate van
personalisatie' de gebruiker mag verwachten van de dienst
waarvoor hij zich registreert.”245 Zoals getoond bestaat er geen
intuïtief verband tussen het volgen van politieke partijen en het
tonen van extremistische en tegen de overheid gerichte inhoud.
Zoals in de HRIA uiteengezet is, is dit een gevolg van
verschillende vertekeningen in de algoritmen van Facebook.

245

11.2.2

Kader

Idem, par. 56

Het kader waarin de gegevens worden verzameld spreekt met
name niet voor zich voor niet-gebruikers, aangezien dezen per
ongeluk op een Facebookpagina kunnen belanden als ze op zoek
zijn naar overheidsinformatie. Wanneer ze volgcookies
weigeren, wordt het Facebook-datr-cookie nog steeds
geplaatst.
11.2.3

Aard van de gegevens

Pagina 157 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Facebook verwerkt drie categorieën persoonsgegevens: (i) bijzondere categorieën
gegevens,
(ii) gegevens van gevoelige aard en (iii) persoonsgegevens
met betrekking tot volgcookies en apparaatidentifiers.
Bijzondere categorieën gegevens kunnen worden onthuld door
bezoeken aan overheidspagina's, zoals uiteengezet in paragraaf
11.1.1. Facebook verzamelt/genereert deze gegevens voor zijn
eigen doeleinden en gebruikt enkele van deze gegevens voor
het produceren van Facebook Paginastatistieken.
De voor Paginastatistieken verwerkte persoonsgegevens
bevatten mogelijk ook persoonsgegevens van gevoelige aard,
zoals uiteengezet in paragraaf 2.6.1, zoals gegevens over
surfgedrag en locatie. Zoals aangehaald in paragraaf 1.2.1
benadert Facebook zowel de door gebruikers verstrekte
locatiegegevens als de gegevens over de waargenomen locatie
van gebruikers wanneer een gebruiker een overheidspagina
bezoekt om advertenties geografisch te richten.
Op de derde plaats verwerkt Facebook persoonsgegevens met
betrekking tot volgcookies en apparaatidentifiers, ook buiten
Facebook.
Aangezien Facebook in staat is deze drie categorieën
persoonsgegevens te gebruiken om gebruikers te profileren
voor zijn eigen commerciële doeleinden, waaronder het tonen
van betaalde berichten en advertenties in het Nieuwsoverzicht
van bezoekers, houdt de aard van de gegevens aanmerkelijke
risico's in voor de fundamentele rechten en vrijheden van de
paginabezoekers.
Zoals de AG opmerkt: “Het doorslaggevende element voor de
toepassing van artikel 9, lid 1, AVG is volgens mij het feit dat
de verwerkte gegevens het mogelijk maken om de gebruiker te
profileren aan de hand van een van de in deze bepaling
opgesomde
categorieën
van
gevoelige
persoonsgegevens.”246Het is niet relevant of Facebook
daadwerkelijk van plan is gebruikers te profileren, maar alleen
als
Facebook
deze
kenmerken
koppelt
aan
het
Facebookgebruikersaccount (of aan het profiel dat gekoppeld is
aan het volgcookie in de browser van een niet-gebruiker). “het
is niet vereist dat de verwerkingsverantwoordelijke deze
gegevens verwerkt in de wetenschap en met de bedoeling om
er rechtstreeks bepaalde categorieën van informatie uit af te
leiden. De betrokken bepaling heeft immers in wezen tot doel
om op objectieve wijze aanzienlijke risico’s voor de
grondrechten en de fundamentele vrijheden van de
betrokkenen als gevolg van de verwerking van gevoelige
persoonsgegevens te voorkomen, ongeacht enig subjectief
element
zoals
de
bedoelingen
van
de
verwerkingsverantwoordelijke.”247
11.2.4

Mogelijke gevolgen voor paginabezoekers
Facebook geeft alle persoonsgegevens met betrekking tot een
bezoek aan een overheidspagina door naar de VS, inclusief
gevoelige gegevens en bijzondere categorieën gegevens die
voortvloeien uit interacties met specifieke inhoud van

Pagina 158 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

overheidspagina's. Zoals beschreven in hoofdstuk 10 bewaart
Facebook deze persoonsgegevens voor onbepaalde duur.

246
247

Idem, par. 38
Idem, par. 41

Zoals te zien is in tabel 7 in paragraaf 5.3.1 geldt voor Facebook
een lange lijst met Amerikaanse wettelijke verplichtingen tot
het verstrekken van persoonsgegevens van zijn gebruikers,
waaronder gegevens over bezoekers van een Nederlandse
overheidspagina. In 2021 ontving Facebook 123.653 verzoeken
van Amerikaanse overheidsinstanties voor 214.782 accounts
(gebruikers).248 Facebook specificeert de locatie van de
gebruikers niet, alleen de locatie van de verzoekende instantie.
Daarnaast kreeg Facebook in 2021 op grond van FISAwetgeving opdracht om gegevens te verstrekken over 125.000
tot 125.499 Facebookaccounts van niet-ingezetenen van de VS.
Deze grote aantallen verstrekkingen, in combinatie met de
oneindige bewaartermijn voor gedragsgegevens gekoppeld aan
gepseudonimiseerde gebruikersidentifiers geven aan dat er een
aanzienlijke kans bestaat dat persoonsgegevens van bezoekers
van een Nederlandse overheidspagina worden verstrekt aan
Amerikaanse autoriteiten. Zoals samengevat in paragraaf 7.2.1
volgt uit het Schrems-II-arrest van het HJEU dat het huidige
rechtssysteem in de VS en met name de FISA-wetgeving niet
voldoet
aan
de
vier
essentiële
garanties
voor
gegevensbescherming. Op dit moment (hangende de
onderhandelingen
over
een
nieuwe
trans-Atlantische
gegevensovereenkomst) bestaat er geen onafhankelijk
toezichtsregeling in de VS, voldoet de wetgeving niet aan de
vereisten van proportionaliteit en ontbreekt het burgers van
buiten de VS in de Amerikaanse wetgeving aan een wettelijke
status voor effectieve rechtsmiddelen. In de praktijk betekent
dit dat personen van buiten de VS niet op de hoogte worden
gesteld
als
hun
gegevens
worden
ingezien
door
rechtshandhavingsinstanties of geheime diensten en dat zij in
kafkaëske situaties terecht kunnen komen wanneer hun
bijvoorbeeld de toegang tot de VS wordt ontzegd of, erger nog,
zij worden gearresteerd.
Zoals beschreven in paragraaf 7.3 heeft de Ierse
toezichthoudende autoriteit een voorlopig verbod uitgesproken
op de doorgifte van persoonsgegevens naar de VS, naar
aanleiding van het Schrems-II-arrest van het HJEU. Deze
opschorting is nog niet van kracht, maar geeft een duidelijke
indicatie van de mogelijke negatieve gevolgen voor
paginabezoekers.

11.2.5 Passende waarborgen
Facebook gebruikt gepseudonimiseerde identifiers bij de
verwerking van Big Data en vervangt het unieke UserID na 90
dagen door een andere unieke vervangende ID (RID). Dit is
geen relevante waarborg. Het gebruik van unieke,
computerleesbare identifiers heeft Facebook eigenlijk in staat
gesteld op een ongekende schaal machine learning toe te
passen. Zoals beschreven in paragraaf 8.2 is de daaruit

Pagina 159 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

voortvloeiende logica van de gepersonaliseerde inhoud (hoe
input zich verhoudt tot output) zelfs voor Facebook niet meer te
achterhalen.
Kortom, als gezamenlijke verwerkingsverantwoordelijkheden
hebben noch de Nederlandse overheidsorganisaties, noch
Facebook een rechtsgrond voor de verwerking van
persoonsgegevens met betrekking tot paginabezoeken. Hoewel
overheidsorganisaties zich over het algemeen kunnen beroepen
op de noodzaak vanwege een gerechtvaardigd belang voor het
verzamelen van statistieken over bezoeken aan hun
internetpagina, gaat dit niet op wanneer zij publiceren op een
Facebookpagina. De verdere verwerking door Facebook van de
websitegegevens voor zijn eigen commerciële doeleinden is niet
verenigbaar met het doeleinde waarvoor de Nederlandse
overheid Facebook toestaat de gegevens te verzamelen: zorgen
voor de werking van de pagina en het produceren van
webanalyses. De verdere verwerking betreft ook gevoelige
gegevens
met
mogelijk
zeer
hoge
gegevensbeschermingsrisico's voor paginabezoekers als hun
gegevens worden verstrekt aan overheidsinstanties in derde
landen zonder een passende gegevensbeschermingsregeling.

Facebook, Government Requests for User Data, ongedateerd,
laatst bekeken op 15 juli 2022, URL:
https://transparency.fb.com/data/government-data-requests/
248

12

Bijzondere categorieën gegevens

Bijzondere categorieën gegevens zijn “persoonsgegevens
waaruit ras of etnische afkomst, politieke opvattingen,
religieuze of levensbeschouwelijke overtuigingen, of het
lidmaatschap van een vakbond blijken, en verwerking van
genetische gegevens, biometrische gegevens met het oog op de
unieke identificatie van een natuurlijke persoon, of gegevens
over gezondheid, of gegevens met betrekking tot iemands
seksueel gedrag of seksuele gerichtheid.” (artikel 9 AVG).
Daarnaast verbiedt artikel 10 AVG de verwerking van
“persoonsgegevens betreffende strafrechtelijke veroordelingen
en strafbare feiten of daarmee verband houdende
veiligheidsmaatregelen.”
Zoals uiteengezet in paragraaf 2.6.1 van deze DPIA kunnen
overheidsorganisaties Facebook toestaan persoonsgegevens
van gevoelige aard te verzamelen of af te leiden als gevolg van
interacties met de op de pagina gepubliceerde of als berichten
gedeelde inhoud. Facebook kan ook bijzondere categorieën
gegevens verzamelen of afleiden uit interacties met inhoud van
de overheid.
Voor bijzondere categorieën van gegevens geldt het
verbodsbeginsel: deze gegevens mogen niet worden verwerkt.
De verordening bevat specifieke uitzonderingen op deze regel,
bijvoorbeeld wanneer betrokkene uitdrukkelijk toestemming
heeft gegeven voor de verwerking of wanneer de gegevens

Pagina 160 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

uitdrukkelijk door betrokkene openbaar zijn gemaakt. Zoals
uiteengezet in paragraaf 11.1.1 kan Facebook zich niet
beroepen op deze twee uitzonderingen en heeft het geen
rechtsgrond voor de verwerking van bijzondere categorieën
gegevens.
Hoewel Facebook zijn advertentiekeuzes heeft gewijzigd en
sinds 19 januari 2022 niet meer uitgebreide doelcategorieën
toont aan adverteerders die verwijzen naar gevoelige
categorieën, zoals politieke voorkeur, geloof, ras of seksuele
gerichtheid249, sluit Facebook het gebruik van dergelijke
afleidingen van gevoelige kenmerken niet uit in de
aanbevelingen die het laat zien aan gebruikers op een
overheidspagina en in de rangschikking van inhoud in het
Nieuwsoverzicht. Beheerders van de overheid kunnen op geen
enkele wijze dergelijke afleidingen en verdere verwerking door
Facebook verhinderen, zoals is beschreven in paragraaf 3.1.
Kortom, als gezamenlijke verwerkingsverantwoordelijken
hebben noch de Nederlandse overheidsorganisaties, noch
Facebook een rechtsgrond voor de verwerking van bijzondere
categorieën
persoonsgegevens
met
betrekking
tot
paginabezoeken, maar overheidsorganisaties kunnen verdere
verwerking door Facebook van deze gegevens voor zijn eigen
commerciële doeleinden niet voorkomen.

13

Doelbinding
Het beginsel van doelbinding is dat gegevens alleen mogen
worden verzameld “voor welbepaalde, uitdrukkelijk omschreven
en gerechtvaardigde doeleinden en [deze] mogen vervolgens
niet verder op een met die doeleinden onverenigbare wijze
worden verwerkt; de verdere verwerking met het oog op
archivering in het algemeen belang, wetenschappelijk of
historisch onderzoek of statistische doeleinden wordt
overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de
oorspronkelijke

Bron: Euractiv, Meta to prevent ad targeting based on sensitive
information, 10 november 2021, URL:
https://www.euractiv.com/section/digital/news/meta-to-preventad- targeting-based-on-sensitive-information/
249

doeleinden beschouwd” (artikel 5 (1) (b) AVG). In wezen
betekent dit dat de verwerkingsverantwoordelijke een
opgegeven doel moet hebben voor het verzamelen van
persoonsgegevens en deze alleen mag verwerken voor
doeleinden die verenigbaar zijn met dat oorspronkelijke doel.
Verwerkingsverantwoordelijken moeten op grond van artikel
5(2) AVG in staat zijn te bewijzen dat zij voldoen aan dit
beginsel (verantwoordingsplicht). Zoals uiteengezet in
paragraaf 5.4 van dit rapport zijn Facebook en de Nederlandse
overheidsorganisatie die besluit een Facebookpagina te
gebruiken gezamenlijke verwerkingsverantwoordelijken, niet
alleen voor Paginastatistieken, maar voor alle verwerking van

Pagina 161 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

persoonsgegevens in verband met bezoeken aan een
overheidspagina. Zoals toegelicht in paragraaf 11.2 verwerkt
Facebook de geobserveerde en afgeleide gegevens voor (ten
minste) 15 doeleinden met subdoelen. Deze doeleinden zijn niet
specifiek en evenmin beperkt tot specifieke persoonsgegevens.
Over het algemeen staat Facebook zichzelf toe alle
persoonsgegevens voor alle doeleinden te verwerken. Noch
paginabezoekers noch paginabeheerders zijn effectief in staat
de reikwijdte en impact te bepalen van het bezoeken van een
overheidspagina of interactie met inhoud van de overheid.
Omdat Facebook aan overheidsorganisaties geen gezamenlijkeverwerkingsverantwoordelijkenovereenkomst aanbiedt buiten
het produceren van Paginastatistieken, zijn alle doeleinden
waarvoor Facebook de persoonsgegevens met betrekking tot
een bezoek aan een overheidspagina verwerkt een vorm van
'verdere' verwerking.
Zoals geanalyseerd in paragraaf 11.2 is de verdere verwerking
door Facebook van de websitegegevens voor zijn eigen
commerciële doeleinden niet verenigbaar met het doeleinde
waarvoor de Nederlandse overheid Facebook toestaat de
gegevens te verzamelen: zorgen voor de werking van de pagina
en het produceren van webanalyses. De verdere verwerking
betreft ook gevoelige gegevens met mogelijk zeer hoge
gegevensbeschermingsrisico's voor paginabezoekers als hun
gegevens
worden
verstrekt
aan
Amerikaanse
overheidsinstanties.

14

Noodzaak en proportionaliteit
14.1

Het beginsel van proportionaliteit
Het begrip noodzaak bestaat uit twee met elkaar
samenhangende begrippen, namelijk proportionaliteit en
subsidiariteit. De persoonsgegevens die worden verwerkt,
moeten noodzakelijk zijn voor het met de verwerkingsactiviteit
nagestreefde doel. Proportionaliteit betekent dat de inbreuk op
de privacy en de bescherming van de persoonsgegevens van de
betrokkene in verhouding staat tot de doeleinden van de
verwerking. Subsidiariteit betekent dat de doeleinden van de
verwerking in redelijkheid niet te bereiken zijn met andere,
minder ingrijpende middelen. Indien dit wel het geval is,
moeten deze alternatieven worden gebruikt.
Proportionaliteit vereist een afweging van de belangen van de
betrokkene en de verwerkingsverantwoordelijke. Proportionele
gegevensverwerking betekent dat de hoeveelheid verwerkte
gegevens niet excessief is ten opzichte van het doel van de
verwerking. Indien het doel kan worden bereikt door minder
persoonsgegevens
te
verwerken,
moet
de
verwerkingsverantwoordelijke
de
hoeveelheid
persoonsgegevens terugbrengen tot wat noodzakelijk is.
Derhalve mag de verwerkingsverantwoordelijke in wezen alleen
de persoonsgegevens verwerken die noodzakelijk zijn om het
gerechtvaardigde
doeleinde
te
bereiken,
maar
geen
persoonsgegevens die hij/zij kan missen. De toepassing van het

Pagina 162 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

beginsel van proportionaliteit hangt derhalve nauw samen met
de beginselen voor gegevensbescherming van artikel 5 AVG.
14.2

Beoordeling van de proportionaliteit
De kernvragen zijn: zijn de belangen naar behoren
afgewogen? En gaat de verwerking niet verder dan
noodzakelijk?
Om na te gaan of de verwerking evenredig is met het door de
verwerkingsverantwoordelijke(n) nagestreefde belang moet
de verwerking op de eerste plaats voldoen aan de beginselen
van artikel 5 AVG. Aan deze wettelijke voorwaarden moet zijn
voldaan om de gegevensbescherming rechtmatig te laten
zijn.
Gegevens moeten “worden verwerkt op een wijze die ten
aanzien van de betrokkene rechtmatig, behoorlijk en
transparant is” (artikel 5(1) (a) AVG). Dit betekent dat
betrokkenen moeten worden geïnformeerd over de
verwerking van hun gegevens, dat is voldaan aan de
wettelijke voorwaarden voor verwerking en dat het beginsel
van proportionaliteit is nageleefd.
Het businessmodel van Facebook is gebaseerd op het aanbieden
van gepersonaliseerde inhoud, met een hoofdrol voor betaalde
advertenties. Hoe Facebook bepaalt welke informatie aan een
gebruiker wordt getoond, is echter volkomen ondoorzichtig.
Facebook publiceert alleen een generieke informatiepagina over
de manier waarop het rangschikking benadert.250 Facebook legt
uit dat het een persoonlijke voorspelling maakt van elk bericht
van de kans dat dit interessant is voor de gebruiker, maar
onthult niet de individuele logica die het toepast voor het
selecteren van inhoud voor een specifieke gebruiker. Facebook
biedt gebruikers geen interface aan om te zien waarom een
bepaald bericht in hun Nieuwsoverzicht terecht is gekomen of
waarom andere pagina's van commerciële organisaties aan hen
werden aanbevolen.251 Facebook legt evenmin de logica uit
achter de (veronderstelde) voorkeuren en de interface voor
advertentievoorkeuren onthult deze logica ook niet. Gebruikers
kunnen derhalve niet achterhalen waarom bepaalde inhoud aan
hen werd aanbevolen op de overheidspagina of waarom inhoud
van overheidspagina's die zij volgen wel of niet werd getoond in
hun Nieuwsoverzicht of hoe hun interacties met de
overheidspagina vertaald werden in inhoud van andere
personen/pagina's in hun Nieuwsoverzicht.
Facebook verstrekt vooraf noch achteraf zinvolle informatie in
antwoord op een inzageverzoek van een betrokkene. Zoals
uitgelegd in hoofdstuk 8 maakt de manier waarop Facebook de
gegevensverwerking heeft georganiseerd, met taken die
automatisch op een heel grote schaal worden uitgevoerd, het in
feite onmogelijk voor Facebook achteraf te achterhalen waarom
elk stukje inhoud aan een gebruiker werd getoond.
In een recent artikel in The Intercept over de onthullingen in de
collectieve rechtszaak in Californië werd het gebrek aan
transparantie als volgt samengevat: “Tijdens de hoorzitting in
maart 2022 beschreven Zarashaw en Steven Elia, een manager

Pagina 163 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

software
engineering,
Facebook
als
een
gegevensverwerkingsmachine die zo complex is dat deze van
binnenuit niet te begrijpen is. De hoorzitting leidde ertoe dat
twee hooggeplaatste ingenieurs bij een van de krachtigste en
rijkste ingenieursteams in de geschiedenis hun product
beschreven als een niet te bevatten machine.”252

Meta Transparency Center, Onze aanpak voor rangschikking,
laatste update 17 juni 2022, URL:
https://transparency.fb.com/en-gb/features/ranking-andcontent/
250

Facebook was kennelijk in staat dergelijke informatie per
inhoudsobject te tonen in 2019, maar deze optie is sindsdien
verwijderd. Zie: https://about.fb.com/news/2019/03/why-am-iseeing- this/.
251

The Intercept, Facebook Engineers: We Have No Idea Where We
Keep All Your Personal Data, 7 september 2022, URL:
https://theintercept.com/2022/09/07/facebook-personal-data- noaccountability/?utm_medium=social&utm_source=twitter&utm_camp
aign=theintercept.
252

De gegevensverwerking door Facebook kan
gekarakteriseerd worden als 'obscurity by design'.

derhalve

Facebook publiceert geen gedetailleerde of uitputtende
documentatie over de specifieke gegevens over gedrag en
apparaten die het verzamelt met betrekking tot bezoeken aan
overheidspagina's. Facebook geeft evenmin een uitputtende
opsomming van de cookies die het gebruikt. In zijn Privacy- en
Cookiebeleid geeft Facebook algemene doelbeschrijvingen en
vaak voorbeelden (woorden zoals 'zoals'/'als' of 'zie
voorbeelden'). In zijn Privacybeleid vermeldt Facebook een lijst
met 8 types apparaatinformatie en geeft links naar
voorbeelden.
Facebook
beschrijft
ook
een
categorie
paginabezoekers die niet kan worden herkend op basis van
unieke apparaatidentifiers: “Als je een apparaat gebruikt dat we
niet kunnen koppelen aan een geregistreerde gebruiker van de
Meta-producten.”253
Zoals beschreven in paragraaf 3.2 kunnen Facebookgebruikers
zich afmelden. Dit verhindert Facebook echter niet hun unieke
apparaatidentifiers te herkennen en hun gedrag op en buiten
Facebook te volgen. Facebook geeft aan paginabezoekers geen
duidelijke uitleg of waarschuwing dat deze observatie niet
eindigt door afmelding. Onlangs werd Facebook zelfs in een
nieuwe collectieve rechtszaak in de VS ervan beschuldigd
gebruikers te volgen op hun iOS-apparaten nadat zij de mobiele
advertentie-ID uitdrukkelijk hadden uitgeschakeld via de
ingebouwde browser in de Facebookapp.254 Dit wijst op een
patroon waarbij Facebook commercieel profiteert van een
gebrek aan transparantie.
Kortom, Facebook voldoet niet aan de vereiste norm voor
transparantie. Het gebrek aan transparantie maakt de
gegevensverwerking inherent oneerlijk.
De beginselen van gegevensminimalisering en privacy by design
vereisen dat de verwerking van persoonsgegevens beperkt blijft

Pagina 164 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

tot wat noodzakelijk is. De gegevens moeten “toereikend, ter
zake dienend en beperkt [zijn] tot wat nodig is in verband met
de doeleinden waarvoor ze verwerkt worden” (artikel 5(1)(c)
AVG). Dit betekent dat de verwerkingsverantwoordelijke geen
gegevens mag verzamelen en opslaan die niet rechtstreeks
verband houden met een rechtmatig doeleinde. Volgens dit
beginsel moeten de standaardinstellingen voor het verzamelen
van gegevens zodanig zijn ingesteld dat er zo weinig mogelijk
gegevens worden verzameld door toepassing van zo
privacyvriendelijk mogelijke instellingen.
Facebook biedt gebruikers en paginabeheerders enkele
controlemogelijkheden (beschreven in hoofdstuk 3), maar deze
beperken de gegevensverwerking door Facebook niet. Zoals te
zien is in figuur 32 kunnen beheerders de vindbaarheid van hun
pagina via zoekmachines uitschakelen. Ze kunnen er ook voor
kiezen dat Facebook aan hun bezoekers geen banner toont met
voorgestelde vergelijkbare pagina's. Noch de gebruiker, noch
paginabeheerders kunnen echter de persoonsgegevens met
betrekking tot hun interacties met inhoud van de overheid
beschermen tegen verdere verwerking door Facebook.
Paginabeheerders
kunnen
de
bewaartermijn
van
de
geobserveerde en afgeleide persoonsgegevens met betrekking
tot bezoeken aan een overheidspagina niet minimaliseren. De
beschikbare cookiekeuze voor 'essentiële' cookies suggereert
een optie voor gegevensminimalisering, maar verhindert
Facebook niet volgcookies te plaatsen en uit te lezen. En als
laatste, maar zeker niet het minste: gebruikers kunnen het
volgen niet laten ophouden door zich af te melden, aangezien
Facebook hen blijft herkennen op basis van de unieke identifiers
in hun apparaten.
Facebook Privacybeleid, voor het laatst bijwerkt op 26 juli
2022, URL:
https://www.facebook.com/privacy/policy?section_id=18.4LegitimateInterestsWeRely
253

Techcrunch, Facebook users sue Meta, accusing the company of
tracking on iOS through a loophole, 22 september 2022, URL:
https://techcrunch.com/2022/09/22/meta-lawsuit-ios- privacy/.
254

Zoals te zien is in figuur 18 is de cookiekeuze grafisch zodanig
ontworpen dat er een duidelijke voorkeur ontstaat voor de
acceptatieknop voor optionele cookies. De lichtgrijze knop
'alleen essentiële cookies toestaan' trekt minder de aandacht
dan de blauwe knop. Een dergelijk ontwerp van een interface
leidt tot 'deception by design' (bedrog door ontwerp), volgens
de Noorse consumentenraad.255 Dit is een duidelijk voorbeeld
van een misleidend ontwerp. Het is ook misleidend omdat bij
'essentiële' cookies gewoonlijk volgcookies juist niet zijn
inbegrepen, terwijl Facebook nog steeds het datr-cookie plaatst
en uitleest, waarvoor toestemming is vereist.
Zoals beschreven in een rapport van de Noorse
consumentenraad
kunnen
“Gebruikersinterfaces
worden
gebruikt om consumenten te sturen om aan bepaalde keuzes
voorrang te geven boven andere, relevante informatie te
verbergen of weg te laten of gebruikers op een andere manier
te bedriegen, verwarren of frustreren. Deze praktijken kunnen

Pagina 165 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

gezamenlijk
'dark
patterns'
worden
genoemd
of
manipulatief/misleidend ontwerp. Dark patterns kunnen worden
samengevat als functies in interface-ontwerp die mensen
dwingen of aanzetten tot keuzes die in het voordeel zijn van de
dienstverlener, vaak ten koste van geld, tijd en/of privacy van
de individuele persoon.”256
Kortom, Facebook stelt overheidsorganisaties niet in staat de
gegevensverwerking door Facebook effectief te minimaliseren.
Facebook misleidt gebruikers actief met een misleidend
ontwerp. Dit maakt de gegevensverwerking ook inherent
oneerlijk.
Het beginsel van opslagbeperking vereist dat persoonsgegevens
niet langer worden bewaard dan noodzakelijk is voor het
doeleinde waarvoor de gegevens worden verwerkt. Gevens
mogen “niet worden bewaard in een vorm die het mogelijk
maakt de betrokkenen langer te identificeren dan voor de
doeleinden waarvoor de persoonsgegevens worden verwerkt
noodzakelijk is” (artikel 5(1)(e), eerste zin AVG). Dit beginsel
vereist derhalve dat persoonsgegevens worden gewist zodra zij
niet
langer
nodig
zijn
voor
het
door
de
verwerkingsverantwoordelijke nagestreefde doeleinde. De tekst
van deze bepaling licht verder toe: “persoonsgegevens mogen
voor langere perioden worden opgeslagen voor zover de
persoonsgegevens louter met het oog op archivering in het
algemeen belang, wetenschappelijk of historisch onderzoek of
statistische doeleinden worden verwerkt overeenkomstig artikel
89, lid 1, mits de bij deze verordening vereiste passende
technische en organisatorische maatregelen worden getroffen
om de rechten en vrijheden van de betrokkene te beschermen”
(artikel 5(1)(e), tweede zin AVG).
Uit de Californische collectieve rechtszaak blijkt dat Facebook
identificeerbare gegevens over gedrag bewaart gedurende een
onbeperkte periode (met een gepseudonimiseerde RID na 90
dagen). Facebook is in staat elk van deze bezoekers te
heridentificeren op basis van zijn voortdurende verzameling van
diagnostische gegevens. Facebook informeert gebruikers of
paginabeheerders niet over deze bewaartermijn. In plaats
daarvan vermeldt Facebook alleen dat het informatie zo lang
bewaart als noodzakelijk is. Geen van de door Facebook
genoemde voorbeelden en doeleinden legt uit dat dit een
oneindige bewaartermijn betekent voor gegevens over gedrag
gekoppeld aan gepseudonimiseerde identifiers of waarom dit
noodzakelijk zou zijn.
Noorse consumentenraad (Forbrukerradet), Deceived by design,
how tech companies use dark patterns to discourage us from
exercising our rights to privacy, 27 June 2018, URL:
https://fil.forbrukerradet.no/wp-content/uploads/2018/06/2018-0627-deceived-by-design- final.pdf
255

Noorse consumentenraad, You can log out, but you can never
leave, How Amazon manipulates consumers to keep them
subscribed to Amazon Prime, 14 januari 2021, URL:
https://fil.forbrukerradet.no/wp-content/uploads/2021/01/2021-0114-you-can-log-out-but- you-can-never-leave-final.pdf
256

Pagina 166 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Facebook is evenmin bereid uit te leggen waarom een
levensduur van 2 jaar noodzakelijk zou zijn voor het datrcookie in de browsers van gebruikers en niet-gebruikers ter
bescherming van het sociale netwerk.257
Facebook geeft ook geen informatie over de bewaartermijnen
voor Paginastatistieken, maar uit de gebruikersinterface blijkt
dat de standaardbewaartermijn voor Paginastatistieken 3 jaar
en 1 maand is. Dit lijkt niet excessief, aangezien de aggregatie
door
Facebook
boven
100
gebruikers
volstaat
om
heridentificatie te voorkomen. Deze bewaartermijn heeft echter
geen invloed op de bewaring door Facebook zelf van de
onderliggende ruwe gegevens.
Een oneindige bewaartermijn is alleen al door zijn aard buiten
proportie en in strijd met het vereiste van artikel 5(1)(e) AVG.
Kortom, de huidige verwerking door Facebook van
persoonsgegevens die zijn geobserveerd of afgeleid van
bezoeken aan een overheidspagina is niet transparant en
voldoet aan de wettelijke vereisten voor privacy by design en
bewaartermijnen. De gegevensverwerking is derhalve niet
evenredig met het door de Nederlandse overheid nagestreefde
doeleinde om inhoud te verspreiden onder een groot publiek.
14.3

Beoordeling van de subsidiariteit
De kernvraag is of dezelfde doelen kunnen worden bereikt met
minder inbreuk makende middelen.
Gelet op het marktaandeel van Facebook in de sociale media en
de wens van de overheid om te communiceren op plekken waar
mensen al tijd doorbrengen, bestaat er geen redelijk alternatief
voor Facebook als sociaal medium. De Nederlandse overheid
hanteert al als beleid niet te adverteren op Facebook vanwege
de privacyrisico's. De Nederlandse overheid is niet verplicht om
Facebook
te
gebruiken,
maar
kan
ook
andere
communicatiemedia gebruiken.
Alternatieve sociale media zoals Twitter, TikTok en LinkedIn
bereiken niet dezelfde doelgroepen. Belangrijker is dat vanwege
het ontbreken van DPIA's overheidsorganisaties niet kunnen
aannemen dat deze platformen voldoen aan de AVG en de
ePrivacyrichtlijn. De Duitse toezichthouders waarschuwen
namelijk
dat
de
problemen
met
de
gezamenlijke
verwerkingsverantwoordelijkheid waarschijnlijk ook gelden
voor alle overige sociale media.258
Een relevant alternatief dat in de maak is, is 'Pubhubs', een
initiatief van twee Nederlandse professoren om de ontwikkeling
van een alternatief sociaal netwerk voor organisaties in de
publieke sector te stimuleren.259
PubHubs stelt zichzelf voor als een “nieuw Nederlands
community netwerk, gebaseerd op publieke waarden. PubHubs
staat voor Public Hubs. Het is open en transparant en beschermt
gegevens van de deelnemers in het netwerk. PubHubs wil
mensen in verbinding brengen, in verschillende hubs, zoals
gezin, familie, sportclub, schoolklas, omroep, museum,

Pagina 167 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

bibliotheek, straat, buurt, of gemeente.”260
Zoals vastgesteld door het Duitse hof van beroep in
bestuurszaken in november 2021 en de conferentie
van Duitse toezichthoudende autoriteiten in hun
deskundigenopinie uit maart 2022.
257

DSK, FAQ zu Facebook-Fanpages, Stand: 22. Juni 2022, URL:
https://www.datenschutzkonferenzonline.de/media/oh/20220622_oh_10_FAQ_Facebook_Fanpages.pd
f. Q&A 4:“Bestehen die gleichen Probleme auch bei anderen SocialMedia-Diensten (z. B. Instagram, Twitter, TikTok usw.)? In der Tat
dürften viele der Erkenntnisse auch auf andere Social-MediaAuftritte übertragbar sein. Die Umstände sind häufig sehr ähnlich,
sodass die rechtliche Bewertung sinngemäß übertragbar ist.“
258

259
260

PubHubs, URL: https://pubhubs.net/en/index.html
Idem.

Gebruik van dit communicatiemiddel levert mogelijk minder
risico's op voor gegevensbescherming, aangezien het wordt
aangeboden door een Nederlandse organisatie zonder
dochteronderneming in de VS en het wordt ontwikkeld op basis
van de beginselen van beveiliging en privacy by design and by
default. Het is een open-source tool, waardoor naleving van de
AVG gemakkelijk te boordelen zal zijn.
De toezichthouder van Sleeswijk-Holstein noemt een ander
privacyvriendelijk alternatief in zijn persbericht over de
slotuitspraak in de zaak Fan Page: Mastodon als alternatief voor
Twitter.261

15

Rechten van betrokkene
De AVG kent betrokkenen een aantal privacyrechten toe. In dit
hoofdstuk komen slechts twee van deze rechten aan de orde,
omdat deze relevant zijn voor de gegevensverwerking met
betrekking tot overheidspagina's. Dit zijn (i) het recht op
informatie en (ii) het recht op inzage.
Recht op informatie
Betrokkenen hebben recht op informatie. Dit betekent dat
verwerkingsverantwoordelijken aan mensen gemakkelijk
toegankelijke, begrijpelijke en beknopte informatie in een
duidelijke taal moeten verstrekken over onder andere hun
identiteit als verwerkingsverantwoordelijke, de doeleinden van
de gegevensverwerking, de beoogde duur van de opslag en de
rechten van betrokkenen.
Zoals in paragraaf 14.2 werd geoordeeld, is de informatie die
Facebook verstrekt over de verwerking van gegevens over
gedrag en de logica van de selectie van inhoud onvolledig.
Zonder deze informatie hebben beheerders en eindgebruiker
geen volledig inzicht in welke persoonsgegevens worden
verwerkt en voor welke doeleinden als gevolg van bezoeken aan
overheidspagina's.
Recht op inzage
Op de tweede plaats hebben betrokkenen een (fundamenteel)

Pagina 168 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

recht op inzage in de persoonsgegevens die op hen betrekking
hebben. Op verzoek moeten verwerkingsverantwoordelijken
betrokkenen informeren of zij persoonsgegevens over hen
verwerken (direct of door middel van een verwerker). Indien dit
het geval is, moeten zij aan betrokkenen een kopie verstrekken
van de verwerkte persoonsgegevens, samen met informatie
over de doeleinden van de verwerking, ontvangers aan wie de
gegevens zijn verstrekt, de bewaartermijn(en) en informatie
over hun overige rechten als betrokkenen, zoals het indienen
van een klacht bij de toezichthoudende autoriteit.
In antwoord op de inzageverzoeken van betrokkenen verwees
Facebook naar zijn doe-het-zelf downloadtool. Hoewel deze tool
volop gegevens verstrekte, leverde dit geen inzicht op in de
voor deze DPIA relevantste gegevens, zoals welke gegevens
Facebook gebruikt voor zijn algoritmische beslissingen of de
logica achter de rangschikking van inhoud, voorgestelde
vrienden en aanbevolen berichten en pagina's en het
onderliggende profiel waarop de specifieke gepersonaliseerde
inhoud was gebaseerd. Zoals aangehaald in paragraaf 2.5.2
stelde de rechter in de Californische rechtszaak drie categorieën
vast van “achterhaalbare gebruikersgegevens” (die Facebook
zou moeten verstrekken in antwoord op een inzageverzoek van
een betrokkene):
1. gegevens verzameld op basis van de activiteit van een gebruiker op het
platform,

ULD Schleswig Holstein, persbericht 11 april 2022, URL:
https://www.datenschutzzentrum.de/artikel/1397-Gutachten-zuFacebook-Fanpages-Betrieb- noch-immer-nicht-datenschutzkonformder-oeffentliche-Bereich-muss- handeln.html#extended. Het ULD
noemt https://social.bund.de/@dsk[Extern]) en merkt op dat het
voorbeeld van dit decentrale open-source platform aangeboden
worden door de federale Duitse IT-leverancier.
261

2. gegevens verkregen van derde partijen met betrekking
tot de activiteiten van een gebruiker buiten het
platform en
3. gegevens afgeleid van de activiteiten van een gebruiker
op en buiten het platform.
De rechtszaak heeft onweerlegbaar bewijs opgeleverd,
op basis van de eigen getuigenverklaring van Facebook,
dat Facebook inderdaad deze gegevens genereert en
opslaat en technisch in staat is deze gegevens te
reproduceren.
Zoals aangehaald in paragraaf 2.5.5 gaf Facebook als verklaring
voor de ontbrekende gegevens dat het een redelijke balans
hanteert tussen het belang van een gebruiker om inzage te
krijgen in zijn of haar persoonsgegevens en de last voor
verwerkingsverantwoordelijken
om
deze
gegevens
te
produceren. Facebook beweert dat meer gegevens produceren
een onevenredige last zou meebrengen. Facebook schrijft dat
de AVG de verwerkingsverantwoordelijke toestaat rekening te
houden met de vraag of de gegevens direct toegankelijk zijn en
de door de verwerkingsverantwoordelijke te maken kosten voor

Pagina 169 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

het ophalen van bepaalde informatie. Facebook redeneert dat
het voor Facebook onevenredig zou zijn om individuele
persoonsgegevens op te halen uit zijn grote Hive-datasets.
Aangezien de AVG niet expliciet overwegingen bevat over
proportionaliteit met betrekking tot het inzagerecht van
betrokkene, baseert Facebook zich waarschijnlijk op de
redenering van het HJEU in de zaak Rijkeboer.262 In deze zaak
(gebaseerd op de richtlijn gegevensbescherming) introduceerde
het hof het beginsel dat de voor verwerkingsverantwoordelijken
benodigde inspanningen om te voldoen aan de rechten van
betrokkenen in verhouding moeten staan tot het voordeel dat
het uitoefenen van hun rechten oplevert voor betrokkenen.
In zijn concept-thesis over de inzagerechten van betrokkenen
vat René Mahieu263 dit als volgt samen: “In sommige gevallen
kunnen verwerkingsverantwoordelijken de reactie op een
inzageverzoek terecht beperken, indien deze reactie een
'onevenredige inspanning' zou vergen. Deze grond voor
beperking van de inzage wordt in de AVG niet uitdrukkelijk
genoemd, maar werd wel genoemd in enkele bepalingen van de
richtlijn gegevensbescherming. Volgens het EHJ moet deze
grond voor beperking van de inzage analoog gelden voor andere
verplichtingen.264 Bovendien
is
deze
opgenomen
in
verschillende
nationale
omzettingen
van
de
richtlijn
gegevensbescherming.265 Enkele geleerden hebben de vraag
gesteld in hoeverre de beperking nog steeds geldt op grond van
de AVG266, maar verwerkingsverantwoordelijken beroepen zich
er zeker nog steeds op en gerechten en toezichthoudende
autoriteiten aanvaarden in sommige gevallen de gegrondheid
van een dergelijk beroep.”267

HJEU zaak C-553/07 College van burgemeester en wethouders van
Rotterdam t. M.E.E. Rijkeboer, 7 mei 2009, ECLI:EU:C:2009:293, par.
61-63.
263
Concept-thesis versie augustus 2022, hoofdstuk 2. René Mahieu is
promovendus aan de Vrije Universiteit Brussel (VUB), LSTS,
Interdisciplinary Research Group on Law Science Technology &
Society.
264
Idem.
265
Bijvoorbeeld de Irish Data Protection Acts 1998 section 4(9)
(vervallen) en DPA UK 1998 section 8(2)(a) (vervallen) bevatten
bepalingen over het beperken van het inzagerecht op grond van
onevenredige inspanning.
262

Veale, M; Ausloos, J; (2021) Researching with Data Rights.
Technology and Regulation pp. 136-157, Section 5.1.7
Disproportionate effort, p. 152, URL:
https://doi.org/10.26116/techreg.2020.010.
266

Gegevensbeschermingsautoriteit (Belgische toezichthoudende autoriteit)
beslissing ten gronde 15/2021 para 2.2.2.2.
267

Mahieu schrijft ook: “de inspanning die mag worden verwacht

Pagina 170 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

van verwerkingsverantwoordelijken is substantieel en van hen
wordt verwacht dat zij systemen op een zodanige wijze dat
uitoefening van rechten van betrokkenen mogelijk is. 268
Opgemerkt dient te worden dat de complexiteit van de
verwerking niet kan worden gebruikt als een argument om
inzageverlening als te belastend te beschouwen. In plaats
daarvan is de last die mag worden verwacht van
verwerkingsverantwoordelijken
bij
de
naleving
van
transparantieverplichtingen groter wanneer de verwerking
ingewikkelder is. De proportionaliteit van de benodigde
inspanning hangt ook af van de situatie in een specifiek
geval.”269
Uit de getuigenverklaring van Facebook in de Californische
collectieve
rechtszaak
blijkt
dat
Facebook
unieke
gebruikersidentifiers gebruikt en daardoor deze gegevens kan
doorzoeken met betrekking tot specifieke personen. Relevante
jurisprudentie van een Duits hof van beroep geeft aan dat de
proportionaliteit moet worden beoordeeld in relatie tot de
omvang/schaal van de gegevensverwerking.
Het Duitse hof legde uit: “Voor zover verweerder naar voren
brengt dat het economisch onmogelijk is voor grote bedrijven
die, zoals verweerder, een grote hoeveelheid gegevens
beheren, daarin te zoeken naar persoonsgegevens en deze te
beveiligen met de middelen waarover zij beschikken, houdt dit
geen steek. Het is de taak van verweerder, wanneer deze
elektronische gegevens verwerkt, deze te organiseren in
overeenstemming met rechtsorde en met name ervoor te
zorgen
dat
rekening
wordt
gehouden
met
gegevensbescherming
en
daaruit
volgende
gegevensbeschermingsrechten van derde partijen. ”270
Met
andere
woorden,
het
gebrek
aan
inzage
in
persoonsgegevens betekent niet dat Facebook deze gegevens
niet kan achterhalen, maar alleen dat het (veel) inspanning
vergt om naar deze gegevens te zoeken in de datasets in
antwoord op een individueel inzageverzoek van een betrokkene.
Gelet op Facebooks wereldwijde activiteiten en technische
kennis met betrekking tot het doorzoeken van extreem grote
datasets valt het moeilijk in te zien waarom het achterhalen van
persoonsgegevens onmogelijk zou zijn.
Belangrijker is dat het Duitse hof ook verwijst naar de
verplichting van privacy by design in de AVG: bedrijven die op
grote schaal elektronische gegevens verwerken moeten de
gegevens zodanig organiseren dat zij op zinvolle wijze kunnen
reageren op inzageverzoeken van betrokkenen.

England and Wales Court of Appeal, Dawson-Damer & Ors v
Taylor Wessing LLP [2017] EWCA Civ 74 para 78-79 (in dit geval
past het hof deze beginselen toe op de vraag of de benodigde
inspanning voor het afhandelen van een inzageverzoek evenredig is);
Arbeitsgericht Düsseldorf (Duitse rechtbank van eerste aanleg in
arbeidszaken), 9 Ca 6557/18
268

Pagina 171 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

ECLI:DE:ARBGD:2020:0305.9CA6557.18.00 (Het hof bepaalde dat
een verwerkingsverantwoordelijke die inzage had verleend in kopieën
van veel documenten aan de medewerker die een verzoek had
ingediend, niet alle e-mailboxen, mobiele telefoons en notebooks van
collega's en leidinggevenden hoefde te doorzoeken, omdat dit
disproportioneel zou zijn, met name omdat de medewerker zijn
overtuiging dat deze bronnen meer persoonsgegevens zouden
bevatten niet onderbouwde).
Concept-thesis, hoofdstuk 2.
OLG Köln, Urteil vom 26.07.2019, par. 81, URL:
https://openjur.de/u/2177719.ppdf. [Engelse] vertaling van Privacy
Company.
269
270

Tot slot, als Facebook zich zou willen beroepen op de
uitzondering van artikel 23(1) sub i, (ter bescherming van
Facebooks eigen belangen om geen tijd en geld te besteden aan
doorzoekingen), zou het moeten verwijzen naar specifieke
nationale omzettingswetgeving, in dit geval de UAVG. Artikel 23
leidt niet tot een generieke uitzondering op de rechten van
betrokkene. Volgens deskundige op het gebied van
inzagerechten Mahieu is de uitvoering in de Nederlandse UAVG
onrechtmatig,
aangezien
deze
de
beperkingen
niet
specificeert.271 Daarnaast bestaat er een relevante uitspraak
van het Oostenrijkse hooggerechtshof dat het financiële belang
van een verwerkingsverantwoordelijke niet kan worden
geclaimd als een 'recht van anderen' dat beschermd wordt door
artikel 23(1) sub i.272
Voor de volledigheid, voor het geval dat Facebook zich wil
beroepen op het argument dat zijn gepseudonimiseerde
Replacement Identifiers geen persoonsgegevens (meer) zijn, of
dat het te veel inspanning zo vergen om dergelijke nietgeïndexeerde logs te doorzoeken: Nederlandse jurisprudentie
verplicht organisaties duidelijk toegang te verlenen tot
dergelijke gepseudonimiseerde identifiers. De Raad van State
beval de gemeente Den Haag om de IP-adressen op te geven
van de toegangslogs van zijn webserver en IP-adressen die
waren
geregistreerd
in
een
van
haar
specifieke
registratiesystemen, ondanks dat de gemeente aanvankelijk
beweerde dat dit anonieme gegevens waren.273
Een ander argument van Facebook om volledige inzage tegen
te houden is dat de gegevens voor de gemiddelde persoon
betekenisloos zouden zijn.274 Privacy Company heeft aan het
begin van de DPIA uitgelegd dat het geen gemiddelde persoon
is, maar volledige inzage wilde hebben en uitstekend in staat is
technische logs te lezen. Facebook verstrekte geen aanvullende
informatie.
Kortom, de generieke weigering van Facebook om volledige
inzage te verlenen in de persoonsgegevens die het kennelijk
verwerkt in meerdere systemen, is onrechtmatig. Als
gezamenlijke verwerkingsverantwoordelijken samen met
Facebook zijn overheidsorganisaties niet in staat (volledig) de
rechten na te leven van betrokkenen die hun pagina's bezoeken.
Zoals is opgemerkt in de HRIA, zorgt het gebrek aan inzage voor
betrokkenen ervoor dat paginabezoekers niet over een
effectieve mogelijkheid beschikken om inzicht te krijgen in de
genomen beslissingen en om een klacht in te dienen. Over het
algemeen maakt dit gebrek aan transparantie het onmogelijk te

Pagina 172 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

beoordelen welke impact de personalisering van Facebook heeft
op mensenrechten als de overheid gebruikmaakt van pagina's.

Mahieu, Feedback for the European Data Protection
Board (EDPB) in response to the public consultation on
‘Guidelines 10/2020 on restrictions under Article 23
GDPR Version 1.0 Adopted on 15 December 2020,
submitted 12 February 2021, par. 8, URL:
https://edpb.europa.eu/sites/default/files/webform/publ
ic_consultation_reply/edpb_feedback_
art23_ggf_ld_rm_mnp.pdf.
271

Oostenrijks hooggerechtshof, OGH - 6Ob138/20t, 17 december
2022, ECLI:AT:OGH0002:2020:0060OB00138.20T.1217.000. De zaak
is door middel van machinevertaling in het Engels vertaald door
GDPRhub, par. 71, URL: https://gdprhub.eu/index.php?title=OGH__6Ob138/20t.
272

Raad van State, zaak 202006125/2/A3, 24 februari 2022,
ECLI:NL:RVS:2022:611.
274
E-mail Facebook Nederland aan Privacy Company en BZK, 5 juli 2022.
273

Deel C. Bespreking en beoordeling van de risico's
Dit deel van de DPIA bevat een bespreking en beoordeling van
de risico's voor betrokkenen in verband met de verwerking van
persoonsgegevens die zijn geobserveerd en afgeleid van
bezoeken aan overheidspagina's, met inbegrip van de effecten
van het gedwongen gebruik van volgcookies.
Dit deel begint met een korte samenvatting van mogelijke
risico's in verband met de twee hoofdcategorieën van
gegevensverwerking: de verwerking door Facebook van
geobserveerde en afgeleide gegevens met betrekking tot
paginabezoekers en de verwerking door Facebook in
Paginastatistieken die beschikbaar zijn voor paginabeheerders.

16

Risico's

16.1

Vaststelling van gegevensbeschermingsrisico's
Gegevensbeschermingsrisico's
verschillen
van
beveiligingsrisico's. Deze risico's omvatten geen bedrijfsrisico's,
zoals reputatierisico of het financiële risico van een boete
opgelegd door een toezichthoudende autoriteit.
Voor gegevensbeschermingsrisico's wordt gekeken naar de
specifieke impact voor mensen in verband met de kans dat een
bepaalde inbreuk plaatsvindt. De impact hoeft niet materieel te
zijn, maar kan ook immaterieel en/of psychologisch zijn. Omdat
gegevensbescherming een fundamenteel recht is, leiden

Pagina 173 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

inbreuken op rechten zoals het inzagerecht van betrokkenen
automatisch
tot
een
kwalificatie
als
een
hoog
gegevensbeschermingsrisico, omdat de impact als ernstig wordt
aangemerkt. Zonder inzage zijn betrokkenen niet in staat de
reikwijdte van de gegevensverwerking te beoordelen en kunnen
zij geen beroep doen op hun andere rechten. Daarnaast kan
zelfs een kleine kans op een risico leiden tot een hoog risico,
afhankelijk van de impact voor de betrokkene. Dit wordt in een
matrix in tabel 9 hieronder in beeld gebracht.
Gegevensbeschermingsrisico's kunnen als volgt worden ingedeeld:
• onmogelijkheid om rechten uit te oefenen (met inbegrip van privacyrechten);
• onmogelijkheid om toegang te krijgen tot diensten of kansen;
• verlies van controle over het gebruik van persoonsgegevens;
• discriminatie;
• identiteitsdiefstal of fraude;
• financieel verlies;
• reputatieschade;
• lichamelijk letsel;
• schending van geheimhouding;
• heridentificatie van gepseudonimiseerde gegevens; of
• elk andere significante economische of sociale nadeel181
Deze risico's moeten worden beoordeeld aan de hand van de
kans daarop en de ernst van de impact.
De Britse gegevensbeschermingscommissie ICO geeft het
volgende richtsnoer: “Nadeel hoeft niet per se te worden
aangemerkt als een risico of een hoog risico. Het moet meer
dan gering zijn, maar elke significante mogelijkheid van zeer
ernstig nadeel kan nog genoeg zijn om
te worden aangemerkt als een hoog risico. Evenzo kan een
grote kans op een wijdverspreid, maar kleiner nadeel nog
steeds meetellen als een hoog risico. 182
Voor het afwegen van de ernst van de impact en de kans op
nadeel voor deze algemene risico's is in dit rapport een lijst van
specifieke
risico's
gecombineerd
met
de
specifieke
omstandigheden
van
de
specifieke
onderzochte
gegevensverwerking.
16.1.1 Onmogelijkheid om rechten van betrokkenen uit te oefenen
Facebook verwerkt grote hoeveelheden geobserveerde en
afgeleide gegevens in complexe zelflerende algoritmische
dataystemen. Hoewel Facebook zijn gebruikers een doe-hetzelf-downloadtool aanbiedt en inzage in bepaalde logs aan
paginabeheerders, zijn gebruikers noch paginabeheerders in
staat volledige inzage te krijgen tot persoonsgegevens met
betrekking tot bezoeken aan overheidspagina's. Dit heeft een
bijzonder grote impact, omdat Facebook de logica achter zijn
personaliseringsalgoritmen
niet
uitlegt.
Individuele
paginabezoekers kunnen niet begrijpen waarom zij rage bait-

Pagina 174 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

artikelen te zien krijgen, of dit het gevolg is van het volgen van
bepaalde pagina's of personen of door indirecte afleidingen.
Omdat ze niet geïnformeerd zijn, kunnen zij hun andere rechten
niet uitoefenen, zoals Facebook vragen afleidingen te
corrigeren.
Zoals Facebook heeft toegegeven in de Californische rechtszaak
verleent het geen inzage in alle relevante en beschikbare
persoonsgegevens. Facebooks redenen voor het ontzeggen van
die inzage zijn onrechtmatig. Het is plausibel dat Facebook zelf
niet meer weet welke gegevens het verwerkt en in welke
systemen. Facebook had zijn systemen moeten ontwerpen met
transparantie en individuele toegang in gedachten. In plaats
daarvan is de verwerking van big data door Facebook een
voorbeeld van 'obscurity by design'. Facebook kan geen beroep
doen op de uitzondering van art. 23(1) sub i door erop te wijzen
dat het herontwerpen van zijn systemen om te voldoen aan de
wet kosten meebrengt. Gelet op zijn omvang en
winstgevendheid is de drempel voor disproportionaliteit van
investeringen heel hoog.
Het is waarschijnlijker dat betrokkenen hun fundamentele recht
op inzage in deze persoonsgegevens niet kunnen uitoefenen
dan dat ze dat wel kunnen, terwijl de impact zeer groot is.
Daarom zijn de gegevensbeschermingsrisico's voor de
betrokken hoog.
16.1.2 Beperkend effect op andere grondrechten
De wetenschap dat Facebook informatie verwerkt over
interacties met inhoud van de overheid kan een beperkend
effect hebben op de uitoefening van andere fundamentele
rechten. Een beperkend effect is het gevoel van druk die iemand
kan ervaren door het monitoren van gegevens over zijn/haar
gedrag en deze persoon ontmoedigen om zijn/haar rechten uit
te oefenen, zoals inzage krijgen in bepaalde inhoud.275
Zowel gebruikers als niet-gebruikers van Facebook kunnen een
beperkend effect ervaren als gevolg van het monitoren door
Facebook van hun bezoeken aan een overheidspagina,
aangezien deze observaties en interferenties worden gebruikt
om de inhoud in het Nieuwsoverzicht te rangschikken en
gerichte advertenties te tonen. Dit risico kan verergerd worden
voor medewerkers van de overheid die hun persoonlijke
Facebookaccount gebruiken voor het beheren van een
overheidspagina, omdat hun privéleven en hun professionele
activiteiten door elkaar kunnen gaan lopen, zelfs lang nadat zij
van baan zijn veranderd.
Noch
paginabeheerders,
noch
bezoekers
van
een
overheidspagina worden geïnformeerd over hoe Facebook de
informatie over hun bezoeken verwerkt, voor welke doeleinden,
indien zij alleen de pagina bezoeken of daarmee interactie
hebben door middel van vind-ik-leuks of volgen en zij kunnen
dit niet uitschakelen.

Definitie chilling effect in Merriam-Webster, https://www.merriamwebster.com/legal/chilling%20effect
275

Pagina 175 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

De impact hangt samen met de grootte van het risico voor
betrokkenen indien Facebook de informatie gebruikt om
gebruikers te profileren en te benaderen. Facebook kan twee
categorieën persoonsgegevens verwerken met een grote
impact: gegevens van gevoelige aard (zoals locatiegegevens en
gegevens over surfgedrag, ook buiten Facebook) en bijzondere
gegevenscategorieën. Zoals aangevoerd in paragraaf 11.2.3 en
hoofdstuk 12 kan Facebook bijzondere kenmerken afleiden uit
interacties met inhoud van de overheid. Bezoekers van
overheidspagina's kunnen zich belemmerd voelen te
antwoorden op inhoud van de overheid en deel te nemen aan
politieke discussies uit angst gevoelige kenmerken te onthullen.
Ze kunnen ook gêne ervaren (als Facebook een gebruiker zou
profileren als 'fan' van een politicus met extremistische
standpunten) of schaamte (als Facebook bijvoorbeeld uit
paginabezoeken zou afleiden dat een gebruiker geïnteresseerd
is in een bepaalde seksueel overdraagbare aandoening).
Zoals blijkt uit de korte testperiode ontving het nieuwe
testaccount dat de leiders van alle politieke partijen in
Nederland volgde al snel tegen de overheid gerichte inhoud.
Omdat Facebook geen informatie verstrekte over de logica van
deze personalisering, maar deze testgebruiker kennelijk
profileerde als geïnteresseerd in deze soort inhoud, is de kans
reëel dat de gebruiker een beperkend effect ervaart. Deze
profilering heeft een grote impact op het uitoefenen van
zijn/haar andere rechten. De gegevensbeschermingsrisico's zijn
derhalve voor de betrokkenen hoog.
16.1.3

Gebrek aan transparantie over doelen van de verwerking
Facebook
levert
geen
uitputtende
opsomming
van
gespecificeerde en expliciete doeleinden. Het vergt nauwkeurig
lezen van verschillende beleidsnota's om de verschillende
doeleinden van de verwerking te achterhalen. In zijn
Privacybeleid
gebruikt
Facebook
breed
geformuleerde
doeleinden waarvoor het zichzelf over het algemeen toestaat
alle categorieën persoonsgegevens te verwerken.
Zoals toegelicht in paragraaf 11.2 verwerkt Facebook de
geobserveerde en afgeleide gegevens over bezoeken aan
overheidspagina's voor (ten minste) 15 doeleinden met
subdoelen. Facebook beschrijft het profileren van gebruikers
niet als specifiek doeleinde en niet dat dit ook kan bestaan uit
het afleiden van bijzondere kenmerken van paginabezoekers.
Facebook en de overheidsorganisaties zijn feitelijk gezamenlijke
verwerkingsverantwoordelijken voor alle verwerking van
persoonsgegevens met betrekking tot bezoeken aan
overheidspagina's, niet alleen voor het produceren van
Paginastatistieken.
Noch
paginabezoekers
noch
paginabeheerders zijn effectief in staat de reikwijdte en impact
te bepalen van het bezoeken van een overheidspagina of
interactie met inhoud van de overheid. De reikwijdte omvat ook
observatie door een onbekend aantal onbekende derde partijen
die mogelijk toegang krijgen tot de volgcookies en
apparaatidentifiers die door Facebook op en buiten Facebook
worden
gedeeld.
Als
gezamenlijke
verwerkingsverantwoordelijken zijn overheidsorganisaties even

Pagina 176 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

verantwoordelijk
Facebook.

voor

het

gebrek

aan

transparantie

als

De gegevensverwerking betreft mogelijk ook gevoelige
gegevens en bijzondere gegevenscategorieën met mogelijk zeer
hoge gegevensbeschermingsrisico's voor paginabezoekers als
hun gegevens worden verstrekt aan overheidsinstanties in
derde
landen
zonder
een
passende
gegevensbeschermingsregeling.
Het is bewezen dat Facebook is niet transparant is over de
essentiële doeleinden van de verwerking. Dit leidt tot een 100%
kans op dit risico. De impact kan enorm groot zijn. De
gegevensbeschermingsrisico's
zijn
derhalve
voor
de
betrokkenen hoog.
16.1.4

Verlies van controle door verdere verwerking door Facebook
Paginabeheerders kunnen Facebook niet verhinderen
persoonsgegevens te verwerken met betrekking tot een bezoek
aan een overheidspagina voor de eigen doeleinden van
Facebook. Zoals aangetoond in paragraaf 4.2 betreft dit ten
minste 15 hoofddoelen met subdoelen.
Paragraaf 11.2 bevat een uitgebreide analyse waarom
verwerking
van
de
drie
vastgestelde
categorieën
persoonsgegevens voor de meeste van deze doeleinden
onverenigbaar is met de doeleinden waarvoor Nederlandse
overheidsorganisaties een pagina aanmaken: om technisch te
communiceren met een groot publiek en inzicht te krijgen in de
effectiviteit van deze communicatie door middel van
geaggregeerde statistieken. Zoals geoordeeld in hoofdstuk 13
voldoet de gegevensverwerking door Facebook niet aan het
beginsel van doelbeperking.
Facebook is in staat deze drie categorieën persoonsgegevens te
gebruiken om gebruikers te profileren voor zijn eigen
commerciële doeleinden, waaronder het tonen van betaalde
berichten en advertenties in het Nieuwsoverzicht van
bezoekers.
Omdat deze verdere verwerking voor onverenigbare doeleinden
vaststaat, is de kans op dit risico 100%, terwijl de aard van de
gegevens
aanmerkelijke
risico's
meebrengt
voor
de
fundamentele rechten en vrijheden van de paginabezoekers. De
gegevensbeschermingsrisico's
zijn
derhalve
voor
de
betrokkenen hoog.
16.1.5 Verlies van controle door het delen van persoonsgegevens met derde partijen
Zoals beschreven in paragraaf 2.4 over cookies en
apparaatidentifiers gebruikt Facebook volgcookies en leest het
unieke identifiers uit van de apparaten van eindgebruikers, zelfs
wanneer gebruikers zich verzetten tegen volgcookies door te
kiezen voor 'essentiële cookies' en zelfs wanneer gebruikers zich
afmelden voor hun Facebookaccount. Facebook deelt deze
persoonsgegevens met derde partijen wanneer bezoekers van
overheidspagina's externe websites bezoeken die (op pixels
gebaseerde) interacties met Facebook heeft, zelfs als ze niet op
een interactiemogelijkheid met Facebook klikken, zoals een

Pagina 177 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

vind-ik-leuk- of deelknop.
Het aantal derde partijen dat mogelijk kennis vergaart over een
bezoeker van een overheidspagina is zelfs nog groter. Uit
onderzoek van de universiteit van Washington is gebleken dat
door het kopen van advertenties persoonlijke informatie over
individuele personen geëxtraheerd kan worden.276 Hierdoor
ontstaat het risico dat persoonsgegevens over bezoeken aan
overheidspagina's worden gedeeld met onbekende derde
partijen, zelfs indien volgcookies of apparaatidentifiers
ontbreken.
De werkwijze van het datr-cookie van Facebook leidt tot een
reële kans dat externe bedrijven en organisaties informatie
kunnen krijgen over bezoeken aan overheidspagina's. Omdat de
impact zeer groot kan zijn wanneer dergelijke bezoeken
bijzondere categorieën gegevens onthullen aan die derde
partijen, zijn de privacyrisico's voor de betrokkenen hoog.
16.1.6 Verlies van controle, heridentificatie van gepseudonimiseerde
gegevens als gevolg van verstrekking aan autoriteiten in derde
landen
Facebook geeft zijn gegevens door naar datacentra over de hele
wereld, waaronder derde landen zonder een passend stelsel
voor gegevensbescherming. In de HRIA wordt deze wereldwijde
toegankelijkheid gezien als een risico voor de mensenrechten.
In deze DPIA is de risicobeoordeling beperkt tot de huidige
structurele doorgifte van persoonsgegevens naar de VS. Deze
doorgifte brengt welbekende gegevensbeschermingsrisico's
mee, vanwege de kans op onrechtmatige inzage door
Amerikaanse overheidsinstanties. Gelet op het hoge aantal
gevallen van gegevensverstrekking door Facebook bestaat er
een
reële
kans
dat
Facebook
gedwongen
wordt
persoonsgegevens van bezoekers van overheidspagina's te
verstrekken aan Amerikaanse rechtshandhavingsinstanties,
gerechten of inlichtingendiensten.

Paul Vines, Franziska Roesner en Tadayoshi Kohno, Exploring
ADINT: Using Ad Targeting for Surveillance on a Budget — or — How
Alice Can Buy Ads to Track Bob;
276

Paul G. Allen School of Computer Science & Engineering, University
of Washington (2017), URL:
https://adint.cs.washington.edu/ADINT.pdf

De impact van dergelijke onrechtmatige inzage hangt af van de
aard van de gegevens. De impact op betrokkenen in geval van
verstrekking
van
hun
gevoelige
en
bijzondere
persoonsgegevens
aan
Amerikaanse
rechtshandhavingsinstanties of inlichtingendiensten kan zeer
groot zijn. Dit komt door het ontbreken van kennisgeving en het
ontbreken van effectieve middelen voor herstel voor EUburgers.
Het is redelijk waarschijnlijk dat dergelijke verstrekkingen
plaatsvinden, aangezien de VS (op dit moment) niet voldoen
aan de vier essentiële waarborgen voor gegevensbescherming.
De Ierse DPC heeft al een voorlopige opschorting aangekondigd

Pagina 178 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

van gegevensdoorgiften. Derhalve bestaat er een hoog risico
voor de verwerking van persoonsgegevens met betrekking tot
een overheidspagina waaruit gevoelige en bijzondere
gegevenscategorieën kunnen blijken. Dit verandert wellicht
wanneer de Europese Commissie een nieuw (derde)
passendheidsbesluit neemt voor de VS, maar zelfs als de VS op
3 oktober 2022 een nieuwe Executive Order van de President
bekendmaken, duurt het nog eens 6 maanden voordat het
passenheidsbesluit wordt aangenomen.277
16.1.7

Filterbubble: gemiste berichten
Het risico dat berichten die zijn gepost op een (overheids)pagina
van Facebook niet verschijnen in het Nieuwsoverzicht van
Facebookgebruikers valt ook onder de reikwijdte van deze DPIA.
De algoritmen van Facebook bepalen welke berichten worden
getoond in het Nieuwsoverzicht van zijn gebruikers en de
volgorde waarin dat gebeurt. Het algoritme personaliseert de
inhoud die aan Facebookgebruikers wordt getoond. Het
algoritme filtert informatie die nauwelijks interessant is voor
specifieke gebruikers weg en biedt hun inhoud die zij naar
verwachting zullen consumeren. Dit wordt vaak de 'filterbubble'
genoemd. Wanneer het algoritme bepaalde berichten van een
overheidsorganisatie
niet
toont
aan
individuele
Facebookgebruikers kan dit ertoe leiden dat zij relevante
informatie missen.
Omdat de werking van het algoritme onbekend is, kan het
optreden van dit risico niet worden uitgesloten. De impact voor
betrokkenen kan verschillen, afhankelijk van hoe belangrijk de
gemiste inhoud was, maar deze kan groot zijn. Daardoor moet
het gegevensbeschermingsrisico als hoog worden aangemerkt.

16.1.8

Beperkend effect als gevolg van toegang van de overheid tot Paginastatistieken en
activiteitlogboek
Paginabezoekers kunnen ook vrezen voor herkenning door
Nederlandse overheidsorganisaties indien Facebook hun
identiteit bekend zou maken aan de pagina-eigenaren. Dat is
niet het geval. Zoals beschreven in paragraaf 2.3 zijn de aan
beheerders
gepresenteerde
Paginastatistieken
op
een
voldoende hoog niveau geaggregeerd (ten minste 100
bezoekers) om identificeerbaarheid te voorkomen. Het
activiteitlogboek, dat voor paginabeheerders beschikbaar is,
toont wel identificeerbare gegevens van bezoekers, maar alleen
als deze een openbaar zichtbare reactie op een bericht hebben
achtergelaten. Deze bezoekers kunnen weten dat zij in het
openbaar hebben gepost en kunnen hun commentaar wissen.
Omdat de Paginastatistieken op een geaggregeerd niveau
worden gepresenteerd, is het voor paginabeheerders vrijwel
onmogelijk de individuele bezoekers te heridentificeren op basis
van die statistieken. Hoewel de impact van een dergelijke
heridentificatie zeer groot zou kunnen zijn, is het
gegevensbeschermingsrisico laag.

Pagina 179 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Politico, US expected to publish Privacy Shield executive order
next week, 27 September 2022, URL:
https://www.politico.eu/article/us-expected-to-publish-privacyshield-executive- order-next-week/
277

16.2

Samenvatting risico's
Zoals hierboven uiteengezet hebben deze omstandigheden en
overwegingen geleid tot 7 hoge en 1 laag
gegevensbeschermingsrisico's voor betrokkenen:
Hoge risico's
1.
2.
3.
4.
5.

Onmogelijkheid om rechten van betrokkenen uit te oefenen
Beperkend effect op andere grondrechten
Gebrek aan transparantie over doelen van de verwerking
Verlies van controle door verdere verwerking door Facebook
Verlies van controle door het delen van persoonsgegevens met
derde partijen
6. Verlies van controle, heridentificatie van
gepseudonimiseerde gegevens als gevolg van eventuele
verstrekking aan Amerikaanse autoriteiten
7. Filterbub
ble: gemiste
berichten Laag
risico
8. Beperkend effect als gevolg
van toegang van de overheid tot
Paginastatistieken

Ernstige schade

Enige impact

Laag

Hoog

Hoog

risico

risico

risico

8

2, 5, 6, 7

1, 3, 4

Laag risico

Middelmatig
risico

Hoog risico

Laag risico

Laag risico

Ernst
van de
impact
Minimale impact Laag risico

Pagina 180 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Zeer klein

Redelijke
mogelijkheid

Eerder waarschijnlijk
dan niet

Kans op schade (optreden)
Tabel 9: Risicomatrix gebaseerd
op het ICO-model184

Deel D. Beschrijving
maatregelen

van

risicobeperkende

Naar het DPIA-model van de Nederlandse overheid beschrijft
deel D de voorgestelde tegenmaatregelen tegen de in deel C
vastgestelde gegevensbeschermingsrisico's.
Het volgende hoofdstuk bevat een tabel met de mitigerende
technische, organisatorische en wettelijke maatregelen die
Facebook kan treffen.

17

Risicobeperkende maatregelen
In
paragraaf
16.2
van
dit
rapport
zijn
acht
gegevensbeschermingsrisico's voor betrokkenen vastgesteld. Er
zijn zeven hoge risico's en een laag risico.
Facebook kan al deze risico's beperken, maar het is
onwaarschijnlijk dat Facebook bereid is enkele van deze risico's
te beperken, bijvoorbeeld door het opstellen van een
gezamenlijke-verwerkingsverantwoordelijkenovereenkomst
met pagina-eigenaren voor alle relevante gegevensverwerking
of met betrekking tot de doorgifte van persoonsgegevens naar
de VS. De effectiefste maatregel die overheidsorganisaties
kunnen nemen, is ophouden met het gebruik van
Facebookpagina's. Zij kunnen een paar andere maatregelen
nemen, maar die verhelpen niet alle hoge risico's.
De Duitse toezichthoudende autoriteiten eisen ten minste vier
maatregelen als overheidsorganisaties willen doorgaan met hun
pagina:
1. het sluiten van een overeenkomst op grond van art. 26
AVG
inzake
gezamenlijke
verwerkingsverantwoordelijkheid met Facebook,
2. voldoende
informatie
over
de
gezamenlijke
gegevensverwerking
aan
gebruikers
van
de
(Fan)pagina's overeenkomstig art. 13 AVG,
3. bewijs van de toelaatbaarheid van het opslaan van
informatie op het apparaat van de gebruiker en toegang
tot deze informatie op grond van art. 25 TTDSDG,
evenals
4. bewijs van de toelaatbaarheid van doorgifte van
persoonsgegevens naar gebieden waar autoriteiten in
derde landen toegang toe hebben.278
De tabel hieronder bevat deze en andere maatregelen die beide partijen kunnen
nemen.

Pagina 181 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

17.1

Maatregelen tegen de zeven hoge risico's en een laag risico
In de tabel hieronder staan de 7 hoge en 1 laag
beschermingsrisico's
voor
betrokkenen,
met
de
risicobeperkende maatregelen die Facebook kan nemen.
Overheidsorganisaties kunnen maar heel weinig maatregelen
treffen.
Nr.

Hoog risico

1.

Onmogelijkheid om
rechten van
betrokkenen
uit te
oefenen

Maatregelen
overheid
Stop met het
gebruik van
Facebookpagina's tot
Facebook
zinvolle
inzage
verleent in de
logica van zijn
gegevensverwerking

Maatregelen Facebook
Zorg voor zinvolle inzage in de logica
van de gepersonaliseerde inhoud,
inclusief afgeleide informatie en
interessevoorspellingen en stel
gebruikers in staat onjuiste gegevens
te verwijderen.
Bouw zinvolle tools om een dergelijke
inzage te bieden bij elk bericht in het
Nieuwsoverzicht.

Besluit van de toezichthoudende autoriteiten van de Duitse
centrale en decentrale overheden, 23 maart 2022 (in het Duits),
URL: https://datenschutzkonferenzonline.de/media/dskb/DSK_Beschluss_Facebook_Fanpages.pdf.
278

Pagina 182 van 192

2.

Beperkend
effect op
andere
grondrechten

3.

Gebrek aan
transparantie
over doelen van
de verwerking

Stel alle
informatie
ook beschikbaar op
openbare
internetpagina's, buiten
het
Facebookplatform.
Waarschuw
paginabeheerders dat ze
zich na het
aanmaken van
de pagina
moeten
aanmelden als
paginabeheerder
-

Verleen gescreende onderzoekers
toegang tot feitelijke gegevens die
Facebook verwerkt met betrekking tot
populaire overheidspagina's om te
onderzoeken of het volgen van een
overheidspagina leidt tot een toename
of afname van verschillende
standpunten die in de personalisering
worden weergegeven. Daarnaast
moeten onderzoekers in staat zijn A/Btesten uit te voeren in een geïsoleerd
laboratorium met modelaccounts. Op
dit moment verbiedt Facebook het
gebruik van testaccounts.

Breid de gezamenlijkeverwerkingsverantwoordelijkenovereenkomst voor Paginastatistieken
uit naar alle gegevensverwerkingen
door bezoek van overheidspagina's,
door Facebook-gebruikers en nietgebruikers, met inbegrip van afgeleide
informatie en interessevoorspellingen
Stop met het afdwingen van het
gebruik van het datr-cookie bij
bezoekers zonder Facebook account

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

4.

Verlies van
controle door
verdere
verwerking door
Facebook

5.

Verlies van
controle door
het delen van
persoonsgegev
ens met derde
partijen

6.

Verlies van
controle,
heridentificatie
van
gepseudonimiseerde gegevens
als gevolg van
verstrekking aan
Amerikaanse
autoriteiten

7.

Filterbubble:
gemiste
berichten

Als Facebook
instellingen
biedt voor
beperking van
de
verwerking:
gebruik die
Als Facebook
een instelling
biedt om de
gegevensopslag te
beperken: kies
de kortste
bewaartermijn
Vertel
bezoekers dat
ze de cookies
uit hun
browser
moeten
weggooien na
een bezoek
aan een overheidspagina

Stop met
het
gebruiken
van
Facebookpagina's (te
heroverwegen
als er een
nieuwe transAtlantische
gegevensover
eenkomst is).

Nodig
paginabezoekers uit zich

Gebruik standaard privacyvriendelijke
instellingen voor cookies. Gebruik geen
misleidend ontwerp.
Zorg voor een opt-out voor beheerders
van overheidspagina's voor verdere
verwerking buiten de overeengekomen
doelen in de gezamenlijkeverwerkingsverantwoordelijkenovereenkomst
Stop met het afdwingen van het
gebruik van het datr-cookie
Bouw voor beheerders van
overheidspagina's de mogelijkheid in
zelf de bewaartermijn te bepalen van
de ruwe gegevens over
paginabezoeken

Stop met het afdwingen van
toestemming voor volgcookies
Verwijder alle Facebookcookies wanneer
een gebruiker zich afmeldt. Lees de
apparaat-ID-cookies alleen uit als er een
authenticatiecookie is dat aangeeft dat
de gebruiker is aangemeld.
Vraag uitdrukkelijke, geïnformeerde
toestemming voor
alle volgcookies om rekening te houden
met de gevoelige aard van informatie
over het surfgedrag
Vraag uitdrukkelijke, geïnformeerde
toestemming voor doorgifte van
gegevens aan derde partijen.
Stop met de doorgifte van
persoonsgegevens van bezoekers van
Nederlandse overheidspagina's aan de
VS. Heroverweeg de weigering om een
speciale EU-cloud te openen

Verstrek aan Nederlandse
overheidsorganisaties gedetailleerde
statistieken over de verstrekking van
persoonsgegevens van bezoekers
van Nederlandse overheidspagina's
Bewaar
persoonsgegevens
over
bezoeken
aan
Nederlandse
overheidspagina's niet langer dan 1
week
en
maak
wekelijks
Paginastatistieken.
Voldoe aan artikel 29 DSA
en bied gebruikers de mogelijkheid te
kiezen voor een niet-gepersonaliseerd
Nieuwsoverzicht

Pagina 183 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Nr.

Laag risico

8.

Beperkend
effect als
gevolg van
toegang van
de overheid
tot Paginastatistieken

aan te melden
voor een
speciale
mailinglist of
ander nietalgoritmisch
communicatie
kanaal
Maatregelen
overheid

Bied gebruikers de mogelijkheid
berichten van een overheidspagina
altijd in de top-10 van hun
Nieuwsoverzicht te ontvangen.

Geen
maatregelen
nodig

Verlaag het aggregatieniveau niet

Maatregelen Facebook

Conclusies
De uitkomst van deze DPIA is dat er 7 hoge privacyrisico's en 1
laag privacyrisico zijn wanneer overheidsorganisaties een
Facebookpagina gebruiken om met een groot publiek te
communiceren. Deze DPIA beveelt een aantal maatregelen aan
die Facebook zou kunnen nemen om deze risico's te beperken.
Hoewel overheidsorganisaties een paar maatregelen kunnen
nemen om sommige risico's gedeeltelijk te beperken, kunnen
deze niet alle hoge risico's verhelpen. Zelfs als de Europese
Commissie een nieuw passendheidsbesluit neemt voor
gegevensdoorgiften naar de VS kan de wereldwijde
gegevensverwerking door Facebook nog steeds risico's
opleveren voor de toegankelijkheid van gegevens in derde
landen zonder adequate gegevensbescherming.
De conclusie van deze DPIA is dat overheidsorganisaties moeten
stoppen met het gebruik van Facebookpagina’s als Facebook
geen
maatregelen
neemt
om
de
hoge
gegevensbeschermingsrisico's te beperken. De Nederlandse
overheid gaat direct overleggen met Facebook.

Bijlage 1
Reactie van Meta op de DPIA van de Nederlandse regering
over Facebookpagina's279
Volgens Meta is de reikwijdte van de DPIA te breed. De
Nederlandse
overheid
is
alleen
een
gezamenlijke
verwerkingsverantwoordelijke voor de analyses van
Paginastatistieken,
niet
voor
de
onderliggende
gegevensverwerking. In een DPIA mag alleen gekeken worden
naar de gegevensverwerking die onder de zeggenschap van de
Nederlandse overheid valt. De DPIA onderzoekt ten onrechte
veel verwerkingsactiviteiten die uitsluitend onder de
zeggenschap van Meta Ireland vallen. Privacy Company zou niet
op de hoogte zijn van de verschillen tussen Facebookpagina's
en andere aanbieders van clouddiensten.
Volgens Meta is de DPIA over het algemeen van slechte kwaliteit
als het gaat om de juistheid van juridische analyse en feiten. De

Pagina 184 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

technische analyse en onderzoeksmethode vertonen
tekortkomingen omdat Privacy Company slechts 3 testaccounts
heeft gebruikt.
Er is geen 'doorgifte' van persoonsgegevens van de
Nederlandse overheid naar Meta in de VS: aangezien de
Paginastatistieken direct gegenereerd worden door Meta Ireland
en nooit in het bezit waren van de Nederlandse overheid.
Bovendien heeft de Europese Commissie verklaard dat alle
waarborgen waarover met de Amerikaanse regering is
onderhandeld in het kader van de nieuwe trans-Atlantische
gegevensovereenkomst beschikbaar zijn voor alle doorgiften
naar de VS.280
De beoordeling van de rechtsgronden in deel B van de DPIA
is onjuist. De DPIA beschrijft het gebruik door Meta van
toestemming en andere rechtsgronden onjuist. De DPIA
verwijst ten onrechte, zonder grondige analyse, naar een
conclusie van een advocaat-generaal van het HJEU in een
zaak die was aangespannen door de Duitse federale
kartelautoriteit tegen Facebook over andere rechtsgronden.
Meta stelt, zonder verdere uitleg, dat de bewering dat de
rechtsgrond wettelijke verplichting niet relevant lijkt te zijn voor
deze DPIA onjuist is.
Belangrijker, volgens Meta, is dat cookies niet mogen worden
meegenomen in een AVG-assessment, aangezien deze
gereguleerd zijn in de ePrivacyrichtlijn en niet in de AVG. Meta
wijst erop dat het specifieke datr-cookie geen onderwerp was
van het HJEU-arrest over het gebruik van een Fanpagina door
Wirtschaftsakademie, alleen het algemene gebruik van cookies.
Het
is
niet
waarschijnlijk
dat
de
relevante
gegevensverwerking leidt tot een hoog risico voor de
rechten en vrijheden van natuurlijke personen. De DPIA
stelt ten onrechte dat alle gegevensbeschermingsrisico's
automatisch een 'hoog' risico zijn, omdat gegevensbescherming
een grondrecht is. Meta's kritiekpunten op de hoge risico zijn
uitgewerkt in de tabel hieronder
Tabel 10: Overzicht van de reacties van Meta op de hoge risico's
In de DPIA vastgesteld hoog
risico

Meta’s reactie

Onmogelijkheid om rechten van
betrokkenen uit te oefenen

Verwijzing naar toegangsbronnen, onder
andere naar de functie 'Waarom zie ik dit
bericht'.

Beperkend effect op andere
grondrechten

Volkomen hypothetische situaties, in
tegenspraak met Meta's eigen Human
Rights Impact Report

E-mail Meta aan de Nederlandse minister van Binnenlandse
Zaken en Koninkrijksrelaties, 11 november 2022.
279

Meta verwijst naar Europese Commissie, Vragen &
Antwoorden: EU-U.S. Data Privacy Framework, URL:
https://ec.europa.eu/commission/presscorner/api/files/docu
ment/ print/en/qanda_22_6045/QANDA_22_6045_EN.pdf.
280

Pagina 185 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Gebrek aan transparantie over
doelen van de verwerking

Gemakkelijk te vinden en duidelijk
gestructureerd in de Voorwaarden en het
Privacybeleid en de functie 'Waarom zie ik
dit' bij elk bericht en advertentie, plus
specifieke
transparantie
over
de
gezamenlijke
verwerkingsverantwoordelijkheid
met
betrekking tot Paginastatistieken

Verlies van controle door verdere Tussen de Nederlandse overheid en
verwerking
Facebook
bestaat
geen
relatie
verwerkingsverantwoordelijke-verwerker,
er is geen 'verdere' verwerking omdat
Facebook alle doeleinden van de verwerking
noemt in het Privacybeleid.
Verlies van controle door het
Meta deelt alleen met derde partijen die
delen van persoonsgegevens met zijn vermeld in het Privacybeleid
derde partijen
Verlies
van
controle,
heridentificatie
van
gepseudonimiseerde gegevens
als gevolg van verstrekking aan
autoriteiten in derde landen

Dankzij de ondertekening van de Executive
Order of the President 14086 door president
Biden op 7 oktober 2022 is de bescherming
van persoonsgegevens verder verbeterd,
bovenop de SCC.

Filterbubble: gemiste berichten

Gebruikers kunnen altijd overschakelen
naar een chronologisch Nieuwsoverzicht of
naar een specifieke pagina gaan om alle
berichten van die pagina te zien.

Reactie Privacy Company
Privacy Company heeft een DPIA uitgevoerd aan de hand van het DPIA-model van de
Nederlandse overheid, zonder aannames over de rol van Facebook of referenties
naar andere DPIA's.
Zoals
uiteengezet
in
de
DPIA
is
een
verwerkingsverantwoordelijke zoals de Nederlandse overheid
verplicht
een
DPIA
uit
te
voeren
wanneer
de
gegevensverwerking waarschijnlijk een hoog risico oplevert
voor betrokkenen. Door het aanmaken van een specifieke
overheidspagina op Facebook stelt de overheid Meta in feite in
staat gegevens van paginabezoekers te verwerken voor Meta's
eigen commerciële en profileringsdoeleinden, met inbegrip van
de door Meta geplaatste cookies. Meta wil voor pagina's niet
optreden als verwerker, maar ook niet als gezamenlijke
verwerkingsverantwoordelijke. Dat betekent dat Meta een
derde partij is, een ontvanger van gegevens van
paginabezoekers. De DPIA-verplichting is niet beperkt tot de
gegevensverwerking
door
gezamenlijke
verwerkingsverantwoordelijken of door verwerkers, maar
daarin moet ook worden gekeken naar de risico's voor
betrokkenen
indien
verwerkingsverantwoordelijken
persoonsgegevens zouden geven, verkopen, verhuren of
anderszins verstrekken aan derde partijen.
De AVG stelt verwerkingsverwerkingsverantwoordelijken ervoor
verantwoordelijk dat alle gegevensverwerking die op hun
initiatief plaatsvindt wordt uitgevoerd in overeenstemming met

Pagina 186 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

deze verordening (artikel 24) en daarom moeten ook zij een
DPIA uitvoeren voor een dergelijke verstrekking.
Verstrekking
aan
een
marketingbedrijf
kan
hoge
gegevensbeschermingsrisico's meebrengen, zoals

beschreven in het eerste criterium evaluatie of scoretoekenning
van de door de EDPA aanvaarde richtsnoeren voor DPIA's.281 Als
voorbeeld wordt genoemd: “een bedrijf dat gedrags- of
marketingprofielen opstelt op basis van het gebruik van of de
navigatie op zijn website.
Artikel
35(1)
AVG
maakt
duidelijk
dat
een
gegevensbeschermingseffectbeoordeling ofwel DPIA “een
beoordeling
[is]
van
het
effect
van
de
beoogde
verwerkingsactiviteiten
op
de
bescherming
van
persoonsgegevens.” Het niet alleen mogelijk, maar gebruikelijk
dat een deel van de impact van verwerking van
persoonsgegevens een indirect gevolg is van de verwerking.
Beoordeling van de impact van de verwerking is dan ook niet
mogelijk zonder ook de context te beoordelen waarin de
verwerking plaatsvindt. In dit geval door een van de grootste
advertentienetwerken ter wereld.
De waargenomen problemen met de onderzoeksmethode zijn
gedocumenteerd in de DPIA en de HRIA. Door het gebrek aan
medewerking en transparantie van de kant van Meta waren de
testen beperkt tot kleinschalige 'black box'-testen. Meta staat
het automatisch aanmaken van grote aantallen accounts ook
niet toe. In de DPIA is uitgelegd dat het door deze beperking
niet mogelijk is voldoende accounts aan te maken voor
statistisch relevante testen.
Wat de doorgiften betreft, zijn de argumenten van Meta
ongegrond. Op de eerste plaats kan Meta deze statistieken
alleen produceren op basis van de onderliggende verwerking
van persoonsgegevens van paginabezoekers met en zonder
Meta-account. Door de twee Schrems-arresten van het HJEU is
Meta zich er sterk van bewust dat doorgifte kan plaatsvinden
omdat persoonsgegevens worden doorgegeven binnen een
groep datacentra en kantoren buiten de EER, met name in de
VS. Zoals aangehaald in hoofdstuk 7 van de DPIA geeft
Facebook systematisch persoonsgegevens van zijn EU-klanten
door naar de VS. De Europese Commissie heeft nog geen
passenheidsbesluit genomen voor de Verenigde Staten: dit
moet eerst worden goedgekeurd door de EDPB.
Paragraaf 11.2 van de DPIA gaat nader in op de risico's van
verdere verwerking door een derde partij als Meta geen
gezamenlijke verwerkingsverantwoordelijke is met de
Nederlandse overheid. De DPIA beoordeelt de rechtmatigheid
van deze 'verdere' verwerking door alle elementen van de

Pagina 187 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

verenigbaarheidstoets uit artikel 6(4) AVG te analyseren en
concludeert dat de verdere verwerking door Facebook van de
websitegegevens voor zijn eigen commerciële doeleinden niet
verenigbaar is met het doeleinde waarvoor de Nederlandse
overheid het netwerk toestaat de gegevens te verzamelen:
zorgen voor de werking van de pagina en het produceren van
webanalyses.
Met betrekking tot de verwijzing naar de conclusie van de AG
is in de DPIA zorgvuldig uiteengezet dat de analyse van de vier
overige rechtsgronden is ingegeven door (maar niet gebaseerd
op) de redenering in die conclusie, maar ook door de uitspraak
uit november 2021 van het Duitse hof van beroep in de bekende
rechtszaak over de Schleswig-Holstein Fan Page dat Facebook
zich niet op elke rechtsgrond kan beroepen voor zijn huidige
gegevensverwerking, met name als gevolg van het gebruik van
cookies waarvoor toestemming vereist is.

De DPIA beoordeelt met name het gebruik van cookies door
Meta, zoals ook het HJEU deed in twee gevallen en de Duitse
toezichthoudende autoriteiten in hun recente advies aan de
Duitse overheid om op te houden met het gebruik van
Facebookpagina's. In de DPIA wordt uiteengezet dat de
Nederlandse uitvoering van de ePrivacyrichtlijn een
rechtsvermoeden bevat dat het gebruik van volgcookies
verwerking van persoonsgegevens inhoudt en dat daardoor de
AVG van toepassing is op de verwerking van
persoonsgegevens die zijn verkregen door middel van
dergelijke volgcookies. Facebook gebruikte al in 2011 een
datr-cookie toen de toezichthoudende autoriteit van SleeswijkHolstein een academie opdracht gaf te stoppen met het
gebruik van een Facebookpagina.282 Hoewel het HJEU de naam
van cookies niet specifiek noemt, ging de zaak duidelijk over
het gebruik van het datr-cookie.283
Op 10 november 2022 hebben de Duitse toezichthoudende
autoriteiten hun analyse van gezamenlijke
verwerkingsverantwoordelijkheid tussen Facebook en paginaeigenaren uitgebreid en bijgewerkt op basis van het gebruik
van volgcookies.284
Tot slot worden in de tabel hieronder de
kritiekpunten van Meta over de hoge risico's
weerlegd.

Pagina 188 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of
een verwerking "waarschijnlijk een hoog risico inhoudt" in de zin van Verordening
2016/679, URL: https://ec.europa.eu/newsroom/article29/items/611236
281

https://www.itsagadget.com/2011/10/facebook-privacy-issues-persist-anddatr-cookie-is- back-on-track.html
282

Zie bijvoorbeeld de algemene brief van 3 november 2011 waarin de
toezichthoudende autoriteit van Sleeswijk-Holstein Duitse organisaties opriep te
stoppen met het gebruik van Facebookpagina's, URL:
283

https://www.datenschutzzentrum.de/artikel/1190-Musterverfuegungnach-38-Abs.-5- BDSG.html#extended. Het datr-cookie wordt
genoemd in de eerste zin over de redenen voor het verbod. De
toezichthouder schrijft: “Der Cookie „datr“ ist für zwei Jahre aktiv,
sodass auch dann eine namentliche Zuordnung über diesen Zeitraum
möglich ist, wenn ein zunächst nicht angemeldeter Nutzer sich
innerhalb der Aktivitätszeitraums des Cookies bei Facebook anmeldet.
Facebook verarbeitet die gewonnenen Nutzungsdaten zu
pseudonymen Nutzungsprofilen. Es liegt in diesem Zusammenhang
ein Verstoß gegen § 15 Abs. 3 Satz 3 TMG vor, da Nutzungsprofile
nicht mit Daten über den Träger des Pseudonyms zusammengeführt
werden dürfen.“
Taskforce Facebook Fanpages, Kurzgutachten zur
datenschutzrechtlichen Konformität des Betriebs von FacebookFanpages, 10 november 2022, URL:
https://www.datenschutzkonferenzonline.de/media/weitere_dokumente/Kurzgutachten_ FacebookFanpages_V1_1_clean.pdf.
284

In
de
DPIA
vastgesteld
hoog risico

Reactie Facebook

Onvermogen om Verwijzing naar dezelfde
toegangsbronnen genoemd
in de DPIA, inclusief de
functie ‘Waarom zie ik dit
bericht’
rechten van
betrokkene uit
te oefenen

Reactie Privacy Company

Alle door Meta genoemde
bronnen zijn al genoemd in de
DPIA en als onvoldoende
beoordeeld.

. De functie
'Waarom zie ik dit?'
geeft geen inzage in de
logica van het algoritme.
Beperkende
effecten
op andere

Volkomen hypothetische

De HRIA levert bewijs van

situaties, in strijd

grond-

met Meta's eigen Human
Rights
Impact Report

de vertekening in de tijdlijn.
Omdat
Meta geen inzage geeft in de

rechten

onderliggende logica van het
algoritme of
gegevens, konden andere
waarschijnlijke impacts
niet worden bewezen of
verworpen. De
HRIA zet uiteen hoe dit
onderzoek

Pagina 189 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

Tabel 11: Reactie Privacy Company op Meta’s standpunt over hoge
risico’s
kan worden uitgevoerd. Dit type
onderzoek is niet aanwezig in de
Human Rights Impact Reports
die Meta heeft gepubliceerd.
Gebrek aan
Transparantie
van
de doeleinden
van de
verwerking

Gemakkelijk te vinden en
duidelijk
gestructureerd in
Voorwaarden

Alle doeleinden moeten worden
'gespecificeerd'.
Daarom moet er een uitputtende

en het Privacybeleid

opsomming zijn. Dat is niet het
geval. De
en de functie 'Waarom zie ik doeleinden van de verwerking
zijn
dit' bij elk bericht en
beschreven in verschillende lagen
advertentie,
in
plus specifieke transparantie Facebooks nieuwe Privacybeleid.
over de gezamenlijke
Daarnaast noemt Facebook
verwerkingsverantwoordelijkheid
voor Paginastatistieken
andere doeleinden voor de
verwerking van geobserveerde
gegevens
door middel van cookies in zijn
Cookiebeleid.

Verlies
van
controle
door
verdere
verwerking

Tussen
de
Nederlandse
overheid en Facebook bestaat
geen
relatie
verwerkingsverantwoordelijke-verwerker, er is geen
'verdere' verwerking omdat
Facebook alle doeleinden van
de verwerking noemt in het
Privacybeleid.

De Nederlandse overheid wil alleen
een
pagina
openen
om
te
communiceren
met
platformgebruikers
en
bezoekersanalyses
krijgen.
Verwerking voor Meta’s doeleinden
is ‘verdere' verwerking van deze
bezoekersgegevens. Er bestaat
geen uitputtende opsomming van
gespecificeerde doeleinden.

Verlies van
controle
als gevolg van
het
delen van
gegevens
met derde

Meta deelt alleen met derde
partijen
die zijn vermeld in het

Het Privacybeleid beschrijft

Privacybeleid

Partners (adverteerders),
opdrachtnemers
(meting en opdrachtnemers op het
gebied van marketing)
dienstverleners en
derde partijen (externe
onderzoekers,
handhavingsautoriteiten op het
gebied van recht en auteursrecht
(in antwoord op
wettelijke verzoeken, ter naleving
van
toepasselijk recht of ter voorkoming
van schade). Dit zijn zeer brede

partijen

Pagina 190 van 192

delen van informatie met

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

categorieën ontvangers.
Verlies van
controle,
heridentificatie
van
Gepseudonimiseerde
gegevens als
gevolg van
verstrekking aan

Dankzij de ondertekening van
Executive Order of the
President 14086 door
President Biden op 7
oktober 2022, is de

autoriteiten in

bescherming van
persoonsgegevens
verder verbeterd, bovenop

derde landen

de SCC.

Filter bubble:

Gebruikers kunnen
overschakelen naar een
chronologisch Nieuwsoverzicht,
een bepaalde pagina
aanduiden als
een 'Favoriet' en
een apart overzicht van
Favorieten zien of naar een
specifieke

gemiste
berichten

Zoals de Nederlandse
toezichthoudende
autoriteit herhaalt in twee
recent gepubliceerde brieven over
de inzet van cloudserviceproviders
de risico's van doorgifte ook
wanneer
gegevens binnen een
groepsonderneming worden
doorgegeven naar buiten de EER of
wanneer
entiteiten uit landen buiten de EER
toegang krijgen
tot deze persoonsgegevens.285
Deze DPIA bevat een specifieke
risicoanalyse
van beide vormen van
doorgifte.
Facebook heeft een optie
toegevoegd
voor gebruikers van
chronologisch Nieuwsoverzicht, eind
Juli 2022286, terwijl het testen voor
de DPIA is beëindigd op 30 maart
2022. De chronologische instelling
werkt maar een korte

Pagina gaan om alle
berichten
die pagina te zien.

periode.287 Daarna past Facebook
de algoritmische rangschikking
weer toe.
Het belangrijkste ‘filterbubble’risico wordt niet
veroorzaakt door informatie die
niet
toegankelijk is, maar door
informatie
die selectief en
structureel standaard wordt
aangeboden
aan een persoon.

Pagina 191 van 192

DPIA van de verwerking van persoonsgegevens op Facebookpagina's van de overheid (12 oktober 2022)

De Autoriteit Persoonsgegevens schrijft over de inzet van cloudserviceproviders,
z2022-00846, van 10 november 2022: “Doorgifte kan ook plaatsvinden doordat
persoonsgegevens binnen een groepsonderneming, of via een leverancier, worden
doorgezonden naar landen buiten de EER. Van doorgifte is tevens sprake als
entiteiten uit landen buiten de EER toegang krijgen tot persoonsgegevens.” URL:
https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/brief_over_inz
et_cloud_se rvice_providers.pdf.
285

BuzzFeed, Facebook Is Finally Giving People A Non-Algorithmic News Feed, 21
jui 2022, URL: https://www.buzzfeednews.com/article/katienotopoulos/facebookchronological-home- feed
286

Facebook, Hoe kan ik in mijn overzicht op Facebook de meest
recente berichten bekijken?, URL:
https://www.facebook.com/help/218728138156311/?helpref=related
_articles. Facebook legt uit: “Je kunt je overzicht sorteren zodat je
recente berichten te zien krijgt, maar het overzicht gaat uiteindelijk
terug naar de standaardinstelling.”
287

Pagina 192 van 192