Der Europäische Datenschutzbeauftragte (EDSB/EDPS) hat festgestellt, dass die Europäische Kommission rechtswidrig sensible personenbezogene Daten über die politischen Ansichten von Bürgern für gezielte Werbung genutzt hat, um die öffentliche Meinung in den Niederlanden in Bezug auf Chat Control zu beeinflussen.
Die Anzeigen wurden gezielt für liberale und linksorientierte Nutzer gestaltet, während konservative und rechtsorientierte Nutzer ausgeschlossen wurden. Um die gewünschte Zielgruppe zu identifizieren, nutzte die Kommission sogenannte Proxy-Daten. Diese analysieren das Online-Verhalten von Nutzern und ziehen daraus indirekte Rückschlüsse auf deren politische Ansichten.
Hoffnung, auch X/Twitter zur Verantwortung zu ziehen
Die Verarbeitung politischer Daten gilt als besonders sensibel und erfordert eine ausdrückliche Einwilligung oder eine spezielle rechtliche Grundlage. Beides fehlte der Europäischen Kommission vollständig.
Der Europäische Datenschutzbeauftragte stellte außerdem fest, dass die Europäische Kommission für die personenbezogenen Daten verantwortlich war und somit die volle Verantwortung für die rechtswidrige Datenverarbeitung trägt. Darüber hinaus gibt es Hoffnungen, langfristig auch X/Twitter zur Verantwortung zu ziehen, weil die Plattform diese Aktivitäten ermöglicht hat.
Gezielte Werbung kann die Demokratie beeinflussen
Hinter der Beschwerde steht die österreichische Organisation noyb (None of Your Business), die sich für den Schutz der Privatsphäre und die Durchsetzung der Datenschutzgesetze in Europa einsetzt. Felix Mikolasch, Datenschutzjurist bei noyb, kommentierte die Entscheidung auf der Website der Organisation:
„Seit Cambridge Analytica ist klar, dass gezielte Werbung die Demokratie beeinflussen kann. Die Nutzung politischer Präferenzen für Werbezwecke ist eindeutig rechtswidrig. Dennoch verlassen sich viele politische Akteure darauf, und Online-Plattformen unternehmen kaum etwas dagegen. Deshalb begrüßen wir die Entscheidung des Datenschutzbeauftragten.“ Als Konsequenz sprach der Europäische Datenschutzbeauftragte eine formelle Verwarnung aus und stellte fest, dass der Umgang der Kommission mit personenbezogenen Daten rechtswidrig war und gegen die Verordnung (EU) 2018/1725 verstieß, die häufig als das „EU-GDPR“ für die europäischen Institutionen bezeichnet wird.