De Noorse privacytoezichthouder Datatilsynet heeft op basis van onderzoek besloten geen Facebookpagina aan te maken aangezien de privacyrisico's voor gebruikers te groot zijn. De toezichthouder is voor zover het zelf weet de eerste organisatie die een risicoanalyse en een Data Protection Impact Assessment (DPIA) heeft uitgevoerd naar het gebruik van Facebookpagina's en of dit binnen de regels van de AVG mogelijk is.

Aanleiding voor het onderzoek was het plan van Datatilsynet om Facebook voor communicatiedoeleinden in te gaan zetten. Op basis van de onderzoeksresultaten is besloten hier vanaf te zien. Volgens de toezichthouder zijn er verschillende problemen waardoor het geen Facebookpagina kan aanmaken. Zo zijn de risico's voor de rechten en vrijheden van gebruikers met betrekking tot het verwerken van persoonlijke data te groot, zegt Bjorn Erik Thon, hoofd van Datatilsynet. Daarnaast is het voor een paginabeheerder niet mogelijk om deze risico's weg te nemen.

Verder stelt de privacytoezichthouder dat het niet aan Artikel 26 van de AVG over Gezamenlijke verwerkingsverantwoordelijken kan voldoen. De overeenkomst met Facebook is volgens Datatilsynet niet naar wens en het is niet mogelijk om een aparte verwerkingsovereenkomst met Facebook te sluiten. Een ander punt dat de toezichthouder noemt, is dat het is overgeleverd aan de voorwaarden van Facebook.

Facebook biedt tevens onvoldoende garanties dat het platform voldoet aan databescherming by design en databescherming als standaard. Volgens Thon zouden de bezoekers van de Facebookpagina van Datatilsynet de verwachting hebben dat de toezichthouder enige controle heeft over wat erop de pagina gebeurt of welke informatie wordt vastgelegd. Daarop is echter geen antwoord te geven, aldus het hoofd van de privacytoezichthouder. Gebaseerd op de uitkomsten van de DPIA en risicoanalyse is daarom besloten geen Facebookpagina aan te maken.