Gegevens die voor beveiligingsdoeleinden aan Facebook zijn verstrekt mogen niet zonder toestemming van gebruikers voor advertentiedoeleinden worden gebruikt, zo heeft minister Dekker van Rechtsbescherming op Kamervragen van de SP weten.

In september werd bekend dat Facebook telefoonnummers die gebruikers voor tweefactorauthenticatie (2FA) instellen ook beschikbaar maakt voor gerichte advertenties. Daarnaast blijkt dat adverteerders Facebookgebruikers kunnen benaderen op basis van informatie die door andere gebruikers is geüpload. Daarop wilden SP-Kamerleden Van Nispen en Alkaya van Dekker weten of deze werkwijze binnen de AVG is toegestaan.

Minister Dekker schrijft in zijn antwoord dat er regels gelden voor het gebruik van persoonsgegevens zoals telefoonnummers voor advertentiedoeleinden. "Facebook mag alleen persoonsgegevens verwerken voor advertentiedoeleinden als de gebruiker daar helder en volledig over is geïnformeerd en daar toestemming voor heeft gegeven. Bij een gebrek aan deze heldere en volledige informatie kan een gebruiker geen rechtsgeldige toestemming geven voor het verwerken van zijn persoonsgegevens", aldus de minister.

Gegevens die zijn verstrekt voor beveiligingsdoeleinden mogen daarom niet zonder toestemming van de gebruiker voor advertenties of andere doeleinden worden gebruikt of met derden worden gedeeld. "Dit geldt ook voor het gebruik van contactgegevens van zowel gebruikers als niet-gebruikers van Facebook", gaat Dekker verder. Hij merkt op dat de AVG van toepassing is voor het gebruik van zowel de gegevens van Facebookgebruikers als niet-gebruikers.

"Wanneer Facebook gegevens niet rechtstreeks verkrijgt van de niet-gebruiker geldt dat Facebook bij het verzamelen van deze gegevens de betreffende niet-gebruiker moet informeren over het gebruik en de herkomst van de gegevens. Ook moet Facebook toestemming vragen voor deze persoonsgegevensverwerking", antwoordt Dekker. Wanneer er zonder toestemming persoonsgegevens van gebruikers en niet-gebruikers van Facebook aan advertentiebureaus worden verstrekt is er volgens de minister sprake van een datalek. Het is echter aan de Autoriteit Persoonsgegevens om te bepalen of Facebook wel rechtmatig handelt en of er een onderzoek moet worden ingesteld, besluit Dekker (pdf).