B 95 - 2024-25 - Endeligt svar på spørgsmål 15: Spm. om regeringens syn på, om de sociale medier i tilstrækkelig grad tager hensyn til GDPR-reglerne om samtykke og alderskravet for afgivelse af samtykke

Udvalget for Digitalisering og It 2024-25
B 95
Offentligt

Folketingets Udvalg for Digitalisering og It

Stormgade 2-6

1470 København K

Telefon 72 28 24 00

[email protected]

Sagsnr.

2024 - 3374

Doknr.

123831

Dato

19-03-2025

Svar på spørgsmål fra Lisbeth Bech-Nielsen (SF) stillet den 25. februar 2025.

Spørgsmål nr. 15:

”Vil

ministeren redegøre for regeringens syn på, om de sociale medier i tilstrækkelig grad ta-

ger hensyn til GDPR-reglerne om samtykke og alderskravet for afgivelse af samtykke, når man

i dag omgår det ved at indgå kontrakter med børnene i stedet, jf. Det Europæiske Databeskyt-

telsesråds afgørelse mod Meta om et forbud mod behandling af personoplysninger til brug for

adfærdsbaseret markedsføring.”

Svar:

Til brug for besvarelsen har jeg indhentet bidrag fra Justitsministeriet, som oplyser følgende:

”1.

Justitsministeriet skal indledningsvist bemærke, at Det Europæiske Databeskyttelsesråds

(EDPB) afgørelse af 27. oktober 2023 handler om, at Meta overtrådte GDPR ved at behandle

personoplysninger til

adfærdsbaseret markedsføring

på baggrund af behandlingsgrundlagene

”kontrakt” og ”interesseafvejning”. EDPB lagde vægt på, at behandlingen ikke var nødvendig

for at opfylde kontrakten mellem Meta og brugeren, og at Metas interesse i at behandle op-

lysningerne ikke oversteg brugernes interesse i, at behandlingen ikke skete.

Afgørelsen har således ikke direkte betydning for selve brugeroprettelsen

–

herunder børns

brugeroprettelse

–

på sociale medier. Det skyldes, at afgørelsen forholder sig til behandling af

personoplysninger til den form for adfærdsbaseret markedsføring, dvs. målrettede reklamer

på baggrund af indsamling af oplysninger om den enkelte brugers aktiviteter på internettet,

som sagen handlede om. Afgørelsen vil således

alene

få betydning for en brugeroprettelse

–

herunder børns brugeroprettelse

–

på et socialt medie, hvis brugeroprettelsen er betinget af,

at brugeren tillader adfærdsbaseret markedsføring.

Som det fremgår nedenfor oplyser Datatilsynet, at Meta efter EDPB’s afgørelse har indført en

såkaldt ”consent or pay-model”, som indebærer, at en bruger enten skal

samtykke til behand-

ling af personoplysninger til brug for adfærdsbaseret markedsføring eller betale for sin brug af

tjenesten og dermed undgå markedsføring. Senest har Meta den 12. november 2024 annon-

ceret, at Meta har ændret sin ”consent or pay”-model,

således at der nu kan vælges mellem

tre muligheder, når man bruger Metas tjenester:

1) gratis adgang med adfærdsbaseret markedsføring,

2) gratis adgang med annoncering, der i mindre grad vil være tilpasset den enkelte bruger

og derved baseret på færre personoplysninger, eller

3) betaling for brug af tjenesterne mod helt at undgå annoncering.

Det bemærkes, at følgende fremgår af Metas hjemmeside under ”Om annoncering til teen-

agere”:

B 95 - 2024-25 - Endeligt svar på spørgsmål 15: Spm. om regeringens syn på, om de sociale medier i tilstrækkelig grad tager hensyn til GDPR-reglerne om samtykke og alderskravet for afgivelse af samtykke

”Annoncer med lokationer i EU, EØS eller Schweiz kan ikke leveres til målgrup-

per under 18 (siden november 2023). Annoncer med disse lokationer bliver

fortsat leveret til målgrupper over 18 år.”

For en nærmere beskrivelse af EDPB’s afgørelse af 27. oktober 2023 og det efterfølgende for-

løb henvises til Datatilsynets udtalelse herom nedenfor.

For så vidt angår børns

brugeroprettelse

på sociale medier kan Justitsministeriet oplyse, at

enhver behandlingsaktivitet skal have et såkaldt behandlingsgrundlag. Det betyder også, at

man skal vurdere eksempelvis behandlingsaktiviteten

brugeroprettelse

og behandlingsaktivi-

teten

adfærdsbaseret markedsføring,

jf. ovenfor, særskilt.

Det er vurderingen, at sociale medier kan pege på følgende to behandlingsgrundlag, når de

behandler personoplysninger såsom navn og alder i forbindelse med en brugeroprettelse:

−

databeskyttelsesforordningens artikel 6, stk. 1, litra a (den registrerede har givet sam-

tykke til behandlingen)

databeskyttelsesforordningens artikel 6, stk. 1, litra b (behandlingen er nødvendig af

hensyn til opfyldelsen af en kontrakt med den registrerede).

For så vidt angår samtykke følger det af databeskyttelseslovens § 6, at et barn ikke kan give

samtykke til at få behandlet personoplysninger på eksempelvis sociale medier, hvis barnet er

under 15 år. Barnets forældre vil dog kunne give samtykke til en sådan behandling på barnets

vegne.

For så vidt angår kontrakt, så henviser sociale medier ofte til, at behandling af personoplys-

ninger som led brugeroprettelse

–

hvor brugerne stiller navn og alder mv. til rådighed

–

sker

af hensyn til opfyldelsen af en kontrakt med brugerne.

Det skal hertil oplyses, at der kun kan henvises til databeskyttelsesforordningens artikel 6, stk.

1, litra b (kontrakt), som behandlingsgrundlag, hvis det reelt er nødvendigt at behandle de på-

gældende oplysninger til brug for opfyldelsen af en kontrakt. Det var bl.a. det, der blev ud-

slagsgivende for, at EDPB i sin afgørelse af 27. oktober 2023 kom frem til, at Meta ikke kunne

behandle personoplysninger til brug for adfærdsbaseret markedsføring på baggrund af en

kontrakt. EDPB lagde således vægt på, at behandlingen (den adfærdsbaserede markedsføring)

ikke var nødvendig for at opfylde kontrakten mellem Meta og brugeren.

Spørgsmålet om, hvorvidt et barn kan indgå en gyldig kontrakt reguleres imidlertid ikke af da-

tabeskyttelsesreglerne, men af aftaleretlige regler. Regeringen er derfor i øjeblikket ved at un-

dersøge, om der indenfor for EU-rettens rammer kan fastsættes en aldersgrænse på f.eks. 15

år for, hvornår sociale medier kan indgå kontrakter med børn.

Det bemærkes afslutningsvist, at den endelige vurdering af lovligheden af en behandling af

personoplysninger vil bero på en konkret vurdering, og at klager over overtrædelser af data-

beskyttelsesreglerne kan indgives til Datatilsynet.

Justitsministeriet har til brug for besvarelsen endvidere indhentet en udtalelse fra Datatil-

synet, der har oplyst følgende:

”1. Datatilsynet er ikke bekendt med, hvilke ændringer Meta måtte have fore-

taget som følge af, at Danmark hævede aldersgrænsen for samtykke til 15 år

pr. 1. januar 2024. For så vidt angår Meta er det det irske datatilsyn (DPC), der

er den såkaldte ”ledende tilsynsmyndighed” i henhold til databeskyttelsesfor-

ordningen. Det vil sige, at det er DPC, der har hovedansvaret for at føre tilsyn

med Meta.

Datatilsynet kan oplyse, at tilsynet i januar 2024 modtog en henvendelse fra Børns Vil-

kår, hvori det bl.a. anførtes, at en række sociale medier, herunder dem, som er ejet af

Meta, ikke overholdt aldersgrænsen på 15 år. Datatilsynet svarede bl.a., at

–

når det

kommer til selve oprettelsen af en profil

–

som sociale medier baserer på en kontrakt

med børnene

–

kan de sociale medier godt have en aldersgrænse, som er lavere end

aldersgrænsen for samtykke, forudsat at barnet gyldigt kan indgå en kontrakt. Der hen-

vises nærmere til det vedhæftede svar til Børns Vilkår, som også blev sendt til Justits-

ministeriet.

Datatilsynet har derudover foretaget en søgning i tilsynets elektroniske sagsbehand-

lingssystem og ses på den baggrund ikke at have modtaget nogen andre henvendelser

vedrørende manglende overholdelse af aldersgrænsen.

2. Datatilsynet har i det følgende alene forholdt sig til sagsforløbet vedrørende Det Eu-

ropæiske Databeskyttelsesråds (EDPB) afgørelser rettet mod det irske datatilsyn (DPC)

om Metas valg af behandlingsgrundlag for brug af adfærdsbaseret markedsføring og

EDPB’s udtalelse om brugen af såkaldte ”consent or pay”-modeller.

Datatilsynet kan oplyse, at det for så vidt angår Meta er DPC, der er den såkaldte ”le-

dende tilsynsmyndighed” i henhold til databeskyttelsesforordningen. Det vil sige, at

det er DPC, der har hovedansvaret for at føre tilsyn med Meta.

Den 31. december 2022 traf DPC afgørelse i to sager vedrørende Meta, hvori DPC kon-

kluderede, at Meta ikke havde hjemmel til at behandle personoplysninger om brugere

med henblik på at lave adfærdsbaseret markedsføring. Meta gjorde gældende, at de

havde hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra b (kontraktfor-

hold), til behandlingen. Afgørelserne blev truffet på baggrund af to bindende afgørel-

ser af 5. december 2022 fra EDPB. Meta valgte herefter at ændre sit grundlag til be-

handlingen til artikel 6, stk. 1, litra f (interesseafvejning).

Det norske datatilsyn besluttede herefter at nedlægge midlertidigt forbud mod Metas

behandling af personoplysninger om norske brugere og anmodede i den forbindelse

om en bindende afgørelse fra EDPB, der skulle beslutte, om Meta kunne bruge databe-

skyttelsesforordningens artikel 6, stk. 1, litra f, som hjemmel til behandlingen af per-

sonoplysninger om sine brugere til brug for adfærdsbaseret markedsføring.

Den 27. oktober 2023 traf EDPB afgørelse i sagen og instruerede DPC i at nedlægge for-

bud mod Metas behandling af personoplysningerne på baggrund af bl.a. artikel 6, stk.

1, litra f.

DPC traf afgørelse den 10. november 2023 i overensstemmelse med EDPB’s afgørelse.

Meta ændrede herefter på ny sit grundlag for behandlingen til databeskyttelsesforord-

ningens artikel 6, stk. 1, litra a (samtykke), og indførte i den forbindelse den såkaldte

”consent or pay”-model,

som indebar, at man som bruger kunne vælge mellem at sam-

tykke til at modtage adfærdsbaseret markedsføring eller at betale for at undgå mar-

kedsføring.

EDPB vedtog den 17. april 2024 en udtalelse vedrørende netop ”consent or pay”-mo-

deller, hvori man bl.a. opfordrede til, at der i sådanne modeller tilbydes et tredje gratis

alternativ, der i højere grad beskytter brugernes privatliv.

Meta annoncerede den 12. november 2024, at man havde foretaget ændringer i sin

”consent or pay”-model,

således at det

–

ud over muligheden for enten at samtykke til

at modtage adfærdsbaseret markedsføring eller at betale for at undgå markedsføring

–

vil være muligt at vælge at bruge Metas tjenester gratis og samtidig modtage annoncer

baseret på færre personoplysninger end hidtil. Der vil derfor være tre muligheder, når

man bruger Metas tjenester: 1) gratis adgang med adfærdsbaseret markedsføring, 2)

gratis adgang med annoncering, der i mindre grad vil være tilpasset den enkelte bruger

og derved baseret på færre personoplysninger, og 3) betaling for brug af tjenesterne

mod helt at undgå annoncering.

Det vil først og fremmest være DPC, der som ledende tilsynsmyndighed vil skulle tage

stilling til den beskrevne model, men Datatilsynet vil

–

sammen med de øvrige euro-

pæiske tilsynsmyndigheder

–

blive inddraget i eventuelle undersøgelser eller foran-

staltninger, som DPC måtte finde anledning

til at iværksætte i den forbindelse.””

Med venlig hilsen

Caroline Stage

Bilag:

Bilag 1

–

Brev til Børns Vilkår