Datatilsynet vet ikke – og har ikke hjemmel til å undersøke – hvordan Meta behandler personopplysninger fra norske Facebook-brukere som må videofilme seg selv for å få åpnet sperrede brukerkontoer.

Document fortalte rett før stortingsvalget om at brukere som blir utestengt fra Facebook etter å ha delt politiske kommentarer, må sende inn video av seg selv til Meta.

Opposisjonelle avkreves video-selfie etter kritikk av Støre på Facebook

På spørsmål om Metas krav om og registrering av personopplysninger i form av selfie-video er uproblematisk i henhold til norsk lov og EU-lov, svarer Datatilsynet at de vet lite om Metas praksis på dette området.

– Det er som hovedregel det irske datatilsynet som fører tilsyn med Meta etter EUs personvernregler (GDPR), siden Meta har sitt europeiske hovedkontor i Dublin. Derfor er vår rolle begrenset, opplyser Tobias Judin, seksjonssjef for internasjonal seksjon i Datatilsynet.

– Vi har notert at Meta noen ganger krever en videofilm av ansiktet for å avblokkere kontoer. Det virker som dette ikke er unikt for Norge eller stortingsvalget. Så vidt oss bekjent, har heller ikke det irske datatilsynet tatt stilling til praksisen.

Utestengelser fra sosiale medier er ikke regulert av GDPR som sådan, men retten til ikke å bli utsatt for utestengelser basert kun på automatikk eller kunstig intelligens, er ett av grunnprinsippene i EU-regulativet.

Da Documents Marit Brænd fikk kontoen sin sperret, skjedde det bare et øyeblikk etter at hun delte en e-post som var knyttet til en annen utestengt bruker. Avgjørelsen var utvilsomt automatisk, og utestengelsen varte i over en uke.

– Har ikke det norske Datatilsynet interesse av å ta stilling til Metas praksis uavhengig av hva det irske tilsynet mener? Dette gjelder data som avkreves nordmenn, på norsk territorium, uavhengig av hvor dataene lagres.

– Det er riktig forstått at behandling av bilder og video av ansikt faller inn under GDPR, og derfor er dette noe vi ønsker å følge med på, i samarbeid med våre europeiske kolleger. Det er viktig at denne typen data bare behandles når det er lovlig, skriver Judin i en e-post.

Med «behandling» menes gjerne innsamling, oppbevaring, benyttelse av, kjøp, salg og flytting av de aktuelle dataene.

– Vi vet ikke noe om hvordan Meta behandler dataene. Er det for eksempel en manuell gjennomgang, eller er det snakk om biometrisk identifikasjon? Innebærer behandlingen helautomatiserte avgjørelser? I hvilke tilfeller må brukerne gjennomgå denne verifikasjonen, og når er det ikke nødvendig? Det har veldig mye å si for hvordan dette vurderes juridisk. Fordi vi ikke er ledende tilsynsmyndighet, har vi imidlertid ikke hjemmel til å gjøre videre undersøkelser, opplyser Judin.

– Vi kan heller ikke saksbehandle gjennom media, siden vi er pålagt en rekke saksbehandlingsregler.

Judin minner om at norske brukere som mener at Meta har behandlet personopplysningene deres ulovlig, kan klage til Datatilsynet. Klagen sendes i tilfelle videre til det irske datatilsynet som rette behandlingsinstans.

– I så fall får Datatilsynet også mulighet til å uttale seg, og vi har jo pleid å benyttet oss aktivt av denne typen mulighet også i andre saker om Meta.

Judin var involvert da Datatilsynet i 2023 gikk i strupen på Meta og truet med millionbøter for deres adferdsbaserte målretting av annonser basert på posisjonsdata fra norske brukere.

Det irske datatilsynet bøtela i fjor Meta med 251 millioner euro på grunn av en datalekkasje. Året før ga EU selskapet en milliardbot for ulovlig flytting av persondata fra Europa til USA.

Senest i april i år inngikk Meta forlik med en gruppe aksjonærer fra den tidligere og nåværende ledelsen som hadde saksøkt selskapet for bevisste personvernlovbrudd.

Kjøp «Fyrsten» av Machiavelli fra Document her!