Meta Platforms, het moederbedrijf van Facebook, Instagram en WhatsApp, is in beroep gegaan tegen een uitspraak van de rechtbank in Lagos waarin het werd bevolen te stoppen met de onrechtmatige verwerking van persoonsgegevens van Nigerese Facebook- en Instagram-gebruikers voor gedragsgerichte advertenties en het naira-equivalent van $100.000 aan schadevergoeding te betalen.

Het bedrijf diende zijn beroepschrift in op 30 september, vijf dagen nadat rechter A.F. Pokanu van de rechtbank in Lagos, afdeling Ikorodu, op 25 september oordeelde dat Meta's niet-toegestane verzameling, profilering en gebruik van gebruikersgegevens voor gerichte advertenties in strijd was met de privacyrechten die beschermd worden door de Nigeriaanse Grondwet en de Nigeria Data Protection Act (NDPA) 2023, de belangrijkste wet op gegevensbescherming van Nigeria. Het beroep brengt de vragen over toestemming, gerichte advertenties en grensoverschrijende gegevensoverdrachten nu voor het hof van beroep.

De uitspraak en haar bevelen

De rechtszaak werd aangespannen door de Incorporated Trustees of Laws and Rights Awareness Initiative en vijf individuele eisers. De rechtbank beval Meta de onrechtmatige verwerking te staken, herstelmaatregelen te nemen om de Nigeriaanse gegevensverwerking in overeenstemming te brengen met de NDPA, en binnen acht weken een verklaring van naleving in te dienen. Daarnaast kenden de rechters de eisers $100.000 aan algemene schadevergoeding toe, ₦1 miljoen ($753,20) aan kosten en rente na de uitspraak.

Het beroep zal toetsen of Meta gedragsprofilering en gerichte advertenties als noodzakelijke voorwaarden mag beschouwen voor het aanbieden van Facebook en Instagram aan Nigerese gebruikers. Op het spel staat of wereldwijde platforms gedragstracking als voorwaarde voor toegang tot gratis socialemediadiensten kunnen stellen, of dat de Nigeriaanse wet een duidelijkere scheiding vereist tussen toegang tot die diensten en toestemming voor het gebruik van persoonsgegevens voor advertenties.

Voor gebruikers kan de uitkomst bepalen hoeveel controle Nigerianen hebben over de persoonsgegevens die ze genereren op Facebook en Instagram. Als de uitspraak in stand blijft, kunnen gebruikers sterkere gronden hebben om betekenisvolle toestemming te verwachten voordat hun activiteit wordt gebruikt voor gedragsgerichte advertenties, terwijl Meta mogelijk gedwongen wordt de verwerking en overdracht van die gegevens te veranderen. Als het beroep slaagt, krijgt Meta meer ruimte zich te beroepen op de bestaande voorwaarden en het advertentiemodel.

Meta's verdediging

Meta heeft betoogd dat Facebook en Instagram gratis, gepersonaliseerde diensten zijn die door advertenties worden gefinancierd, en dat gebruikers de voorwaarden en het privacybeleid van het bedrijf accepteren wanneer ze zich aanmelden. Het standpunt is dat het verwerken van gebruikersgegevens voor advertenties deel uitmaakt van de contractuele regeling waarmee het bedrijf de diensten levert.

Rechter Pokanu verwierp dat standpunt. De rechtbank oordeelde dat het opbouwen van profielen voor gerichte advertenties niet automatisch noodzakelijk is voor het leveren van een sociaalnetwerkdienst, alleen omdat advertenties de dienst financieren. Volgens de rechtbank is gedragsadvertentie ondergeschikt aan Facebook en Instagram, in plaats van essentieel voor het functioneren van de platforms. Met andere woorden: een platform kan gegevensverwerking niet verplicht stellen door het op te nemen in zijn gebruiksvoorwaarden, als die verwerking niet daadwerkelijk vereist is om de kerndienst te leveren.

De rechtbank oordeelde tevens dat Meta de bewijslast droeg om aan te tonen dat gebruikers geldige toestemming hadden gegeven, waar het bedrijf toestemming als rechtsgrondslag voor verwerking gebruikte. Toestemming voor profilering en gedragsadvertenties, zo stelde de rechtbank, kon niet simpelweg worden verwerkt in brede, standaardvoorwaarden die gebruikers moeten accepteren om toegang te krijgen tot Facebook of Instagram.

Rechter Pokanu formuleerde het geschil als de vraag hoe ver een technologiebedrijf mag gaan in het "observeren, aggregeren, analyseren, profileren en commercieel exploiteren" van het online gedrag van een Nigeriaanse burger, zonder dat die persoon dat gebruik daadwerkelijk begrijpt, autoriseert of redelijkerwijs mag verwachten. De uitspraak verbond de kwestie direct met het grondwettelijke recht op privacy uit Artikel 37 van de Grondwet van 1999 en met de beschermingen in de NDPA. De rechtbank oordeelde dat Meta's niet-toegestane verwerking, profilering en gebruik van de gegevens van de eisers voor gedragsadvertenties deze beschermingen schonden.

Grensoverschrijende overdrachten

De rechtbank beoordeelde daarnaast hoe Meta de gegevens van Nigerese gebruikers buiten het land behandelt. Meta betoogde dat het geen datacenter in Nigeria heeft en dat gebruikers in feite hun eigen gegevens naar het buitenland overdragen wanneer ze de diensten gebruiken. De rechtbank verwierp die redenering en stelde dat gebruikers niet bepalen waar hun gegevens worden gerouteerd, opgeslagen of verwerkt.

Als grote gegevensverwerker—a partij die bepaalt hoe persoonsgegevens worden verzameld en gebruikt—bleef Meta verantwoordelijk voor de naleving van de waarborgen van de NDPA voor internationale gegevensoverdrachten, zo oordeelde de rechtbank. Zij stelde vast dat ongeautoriseerde grensoverschrijende overdrachten van de gegevens van de eisers in strijd waren met de Artikelen 41 tot en met 43 van de NDPA en hun privacyrechten schonden.

Los van eerdere geschillen met toezichthouders

De zaak bij de rechtbank staat los van Meta's eerdere conflicten met Nigeriaanse toezichthouders. In 2024 legde de Federal Competition and Consumer Protection Commission een boete van $220 miljoen op aan Meta en WhatsApp na een onderzoek naar vermeende schendingen van consumentenerming, privacy en mededinging. Het Competition and Consumer Protection Tribunal bekrachtigde de sanctie later, inclusief aanwijzingen over toestemming en het delen van gegevens.

De eisers in de Lagos-zaak beriepen zich deels ook op een eerdere actie van de Nigeria Data Protection Commission tegen Meta, waaronder een herstelkostenvergoeding van $32,8 miljoen. Dat geschil werd later opgelost via een vaststellingsovereenkomst, zodat de rechtbank de privacyclaims van de eisers onafhankelijk beoordeelde in plaats van simpelweg de toezichthoudende beslissing af te dwingen. De rechtbank stelde vast dat de eisers onafhankelijk bewijs honden van voortdurende privacyschendingen en behandelde de grondwettelijke en wettelijke vragen op die basis. Samen laten deze procedures zien dat Meta's Nigeriaanse activiteiten door zowel mededingings-, consumentenbeschermings- als gegevensbeschermingskanalen onder de loep worden genomen, ook al is de zaak in Lagos gebaseerd op de eigen grondwettelijke en wettelijke claims van de eisers.

Wat er op het spel staat in beroep

De toekenning van $100.000—ver onder de $200 miljoen aan algemene en exemplarische schadevergoeding die de eisers eisten—is wellicht niet het meest ingrijpende onderdeel van de uitspraak. De belangrijkste kwestie is of een hof van beroep de bevinding in stand laat dat Meta gedragsprofilering niet als voorwaarde voor toegang tot Facebook en Instagram mag stellen.

Als de uitspraak staat, zou zij kunnen vaststellen dat een door advertenties gefinancierd verdienmodel op zichzelf gedragsadvertentie niet wettelijk noodzakelijk maakt, en dat algemene gebruiksvoorwaarden niet noodzakelijk geldige, specifieke toestemming voor profilering vormen. Zij zou ook het beginsel kunnen versterken dat gebruikers hun grondwettelijke privacyrechten niet opgeven door simpelweg een platform te blijven gebruiken, en dat bedrijven—niet individuele gebruikers—verantwoordelijk zijn voor de naleving van de Nigeriaanse regels voor internationale gegevensoverdrachten.

Voorlopig blijft de uitspraak van 25 september een beslissing in eerste aanleg. Met de bevelen van de rechtbank op papier—waaronder de achtwekelijkse verklaring van naleving—en het beroep in behandeling, liggen de volgende procedurele stappen bij het hof van beroep, waar de redenering van de uitspraak over gedragsadvertenties, toestemming, transparantie en grensoverschrijende gegevensoverdrachten zal worden getoetst.