Antwoord schriftelijke vragen : Antwoord op vragen van het lid Kathmann over het opschorten van de AI-plannen van Meta na druk toezichthouders

Antwoord van Minister Beljaarts (Economische Zaken) (ontvangen 19 september 2024).

Vraag 1

Bent u bekend met het bericht «Meta schort AI-plannen in Europa op na druk toezichthouders»?1

Antwoord 1

Ja, ik heb kennisgenomen van dit bericht.

Vraag 2

Hoe lang is bij u al bekend dat Meta werkt aan het plan om foto's en uitingen van
miljoenen eindgebruikers te gebruiken om een eigen AI-model te trainen? Is dit wat
u betreft acceptabel?

Antwoord 2

In mei van dit jaar heeft Meta haar (nieuwe) plannen gepubliceerd om onder meer AI-modellen
te trainen met publieke en niet-publieke gebruikersdata. Sindsdien zijn deze plannen
ook bij het kabinet bekend. Ik begrijp dat u vragen heeft over de plannen van Meta.
Het is echter niet aan het kabinet om te beoordelen of deze acceptabel zijn, maar
in de eerste plaats aan de toezichthouder. In antwoord 3 wordt nader ingegaan op de
relevante wetgeving en eventuele handhavingsmogelijkheden van toezichthouders. Wel
deel ik de zorg dat Meta mogelijk vormen van verwerking van persoonsgegevens hanteert
die niet in overeenstemming zijn met de regels van het gegevensbeschermingsrecht,
waaronder de Algemene Verordening Gegevensbescherming (AVG).

Vraag 3

Is het Meta onder de bestaande privacywetgeving, de Digital Services Act, de Digital
Markets Act en de aanstaande AI Act, toegestaan om foto's – vaak met herkenbare gezichten
in beeld – en uitingen te gebruiken om een AI mee te trainen? Welke gevolgen zijn
er als dit in strijd is met bestaande wetten en / of richtlijnen?

Antwoord 3

Voor een rechtmatige verwerking van persoonsgegevens vereist de AVG dat daarvoor een
grondslag bestaat. In artikel 6, eerste lid, van de AVG zijn zes limitatieve grondslagen
opgesomd. Wanneer een verwerking niet op een van die grondslagen gebaseerd kan worden,
is zij onrechtmatig. Het toezicht op de naleving van de AVG is een taak van de onafhankelijke
toezichthouder, in Nederland de Autoriteit Persoonsgegevens (AP). De AP heeft een
ruim mandaat en uitgebreide bevoegdheden om te onderzoeken of partijen voldoen aan
hun verplichtingen uit de AVG en op grond daarvan de nodige corrigerende en sanctionerende
maatregelen te nemen.

Het toezicht op de verschillende digitale verordeningen die worden benoemd is voor
een deel nog in ontwikkeling, waardoor het te vroeg is om definitieve conclusies te
trekken over de toelaatbaarheid van deze praktijken van Meta in relatie tot haar AI-tools.
Hieronder wordt daarom aangegeven welke bepalingen een rol kunnen spelen bij het bepalen
of het Meta is toegestaan om haar AI-modellen te trainen met genoemde persoonsgegevens.
De praktijk moet de komende periode uitwijzen of deze praktijken in strijd zijn met
bepaalde wet- of regelgeving.

De (Digital Markets Act) DMA kent geen specifieke bepalingen voor AI-diensten. Voor
de toepassing van de DMA worden kernplatformdiensten technologieneutraal gedefinieerd,
zo volgt uit overweging 14 van de DMA. Meta is door de Europese Commissie aangewezen
als poortwachter onder de DMA voor verschillende kernplatformdiensten. Zo zijn bijvoorbeeld
de online socialemediadiensten van Meta aangewezen als kernplatformdienst vallend
onder het toepassingsgebied van de DMA. Dit betekent dat Meta moet zorgen voor effectieve
naleving van de maatregelen in de DMA. Zo mag Meta op grond van artikel 5, tweede
lid, van de DMA bijvoorbeeld niet zonder toestemming persoonsgegevens van eindgebruikers
die zijn verzameld via een kernplatformdienst combineren of gebruiken bij andere diensten
die Meta afzonderlijk aanbiedt. Het is denkbaar dat het trainen van AI-modellen met
persoonsgegevens verkregen via de kernplatformdiensten van Meta onder het toepassingsbereik
van deze bepaling kan vallen. Het is uiteindelijk aan de Europese Commissie om te
bepalen of sprake is van strijd met de bepalingen in de DMA. Structurele niet-naleving
van de DMA door poortwachters kan bestraft worden met hoge sancties.

Onder de AI-verordening worden er eisen gesteld aan aanbieders van AI-modellen voor
algemene doeleinden. Het generatieve AI-model van Meta kan hier ook onder vallen.
Een van de eisen is dat de aanbieder een voldoende gedetailleerde samenvatting over
de content die voor het trainen van het AI-model voor algemene doeleinden is gebruikt,
moet opstellen en openbaar maken. Hiermee moet het voor rechthebbenden makkelijker
worden om inzicht te krijgen in wat er met hun data is gebeurd.

AI-systemen die worden gebruikt of in de handel worden gebracht die databanken voor
gezichtsherkenning aanleggen of aanvullen door ongerichte scraping van gezichtsafbeeldingen
van internet of CCTV-beelden, worden door de AI-verordening verboden. Voor de niet-naleving
van deze bepalingen kunnen geldboeten worden opgelegd.

De Digital Services Act (DSA) stelt geen regels voor het trainen van een AI-model.

Vraag 4

Heeft Meta volgens u een «legitiem belang» om foto's en uitingen van vele miljoenen
eindgebruikers te gebruiken voor commerciële doeleinden, zoals de mogelijke integratie
van Meta AI in Apple-producten?2 Weegt dit zwaarder dan de belangen van miljoenen eindgebruikers, ook met inachtneming
van de eerdere uitspraak van het Europese Hof van Justitie dat Meta geen «legitiem
belang» had om gericht te adverteren?3

Antwoord 4

Een verwerking van persoonsgegevens kan als gezegd alleen rechtmatig zijn als deze
voldoet aan ten minste één van de zes gronden die zijn opgesomd in het eerste lid
van artikel 6 AVG. Daartoe behoort ook de grondslag «gerechtvaardigd belang», die
te vinden is in artikel 6, eerste lid, aanhef en onder f, van de AVG. Op grond hiervan
is een verwerking van persoonsgegevens rechtmatig indien en voor zover de verwerking
noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke
of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele
vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder
wegen dan die belangen, met name wanneer de betrokkene een kind is.

De AP stelt dat een gerechtvaardigd belang een in een wet vastgesteld en/of een tot
de wet behorend belang moet zijn. Een commercieel belang behoort daar niet toe, aldus
de AP. De rechtbank Amsterdam heeft prejudiciële vragen aan het Europese Hof van Justitie
gesteld om meer duidelijkheid op dit punt te krijgen4. Het Hof heeft deze vragen nog niet beantwoord. Ik wil niet vooruitlopen op de duiding
van het Hof.

Vraag 5

Is de opvatting van Meta dat zij «legitiem belang» heeft bij het verwerken van foto's
en uitingen in lijn met hoofdstuk 3, artikel 5, tweede lid, van de Digital Markets
Act, die verbiedt dat persoonsgegevens van verschillende diensten van dezelfde aanbieder
gecombineerd worden en stelt dat «legitiem belang», zoals gedefinieerd in artikel 6,
eerste lid, onderdeel f, van de Algemene verordening gegevensbescherming (AVG), geen
geldige rechtsgrond is? Wat is hierover de opvatting van de Autoriteit Consument &
Markt (als toezichthouder) en de Europese Commissie (als handhaver)?

Antwoord 5

Ik ben niet op de hoogte op basis van welke rechtsgrond Meta van plan was gebruikersgegevens
te verwerken. Het is ook niet aan het kabinet om te beoordelen of Meta een geslaagd
beroep kan doen op legitiem belang als rechtsgrond. Het toezien op de rechtmatigheid
van gegevensverwerkingen in concrete zaken, is aan de toezichthouder en uiteindelijk
de rechter. Ik heb naar aanleiding van uw vraag de Autoriteit Consument & Markt (ACM)
en de Europese Commissie om hun opvattingen gevraagd.

Volgens de ACM moeten aangewezen poortwachters zich houden aan de verplichtingen inzake
persoonsgegevens zoals Artikel 5(2) DMA bepaalt. Een poortwachter behoudt de mogelijkheid
om zo nodig een beroep te doen op artikel 6, lid 1, punten c, d en e van de AVG voor
wat betreft de mogelijkheid tot het rechtmatig verwerken van persoonsgegevens. Of
Meta in dit concrete geval in lijn met de DMA en de AVG een beroep kan doen op een
«legitiem belang» bij het verwerken van foto's en uitingen zou moeten volgen uit een
eventueel onderzoek.

De Europese Commissie is op het moment in ieder geval in gesprek met Meta over de
implicaties van de DMA op haar AI-tool.

Vraag 6

Komen er in de plannen van Meta mogelijk online kinderrechten in het geding, gezien
de grote hoeveelheid minderjarige gebruikers op sociale media als Facebook en Instagram,
die bovendien niet altijd hun leeftijd eerlijk opgeven?

Antwoord 6

Wanneer posts van minderjarigen of waarop minderjarigen te zien of te horen zijn op
sociale media worden gebruikt voor het trainen van AI-modellen, kunnen verschillende
kinderrechten in het geding komen.

Kinderen genieten specifieke bescherming als het gaat om het verwerken van hun persoonlijke
gegevens. De AVG vereist expliciete toestemming van de ouders of wettelijke voogden
voor de verwerking van gegevens van kinderen onder de zestien jaar. Ook kan het gebruiken
van posts van kinderen voor dergelijke doeleinden in strijd zijn met hun vrijheid
van meningsuiting en kan er sprake zijn van economische exploitatie, wanneer hun data
commercieel wordt gebruikt zonder compensatie of toestemming. Het is bekend dat kinderen
online vaak een onjuiste leeftijd opgeven. Dit vergroot de kans dat de aanvullende
bescherming waar kinderen recht op hebben, niet kan worden geboden en dat daarmee
hun rechten worden geschonden. De toezichthouders moeten er op toezien dat deze rechten
niet worden geschonden. Dat hebben zij hier ook gedaan, door proactief te hebben gehandeld
en hierover met Meta het gesprek te zijn aangegaan.

Vraag 7

Weet u voor hoe lang Meta van plan is om de uitrol van de nieuwe dataverzameling te
«pauzeren», zoals hen is opgelegd door de Ierse privacywaakhond? Zo niet, kunt u dit
navragen en duidelijkheid bieden?

Antwoord 7

Dit is mij niet bekend. Het kabinet verkeert ook niet in de positie om navraag te
doen. Dit is een taak voor de AP als onafhankelijke toezichthouder. Ik heb contact
gezocht met de AP hierover. Zij heeft desgevraagd laten weten dat de Ierse toezichthouder
(Data Protection Commission, DPC) op dit moment in gesprek is met Meta. Zij houdt
het publiek op de hoogte middels persberichten op haar website5. De AP is hierover in direct contact met de Ierse toezichthouder. Aanvullende informatie
kan de AP hierover niet verstrekken omwille van vertrouwelijkheid.

Vraag 8

Is het volgens u voldoende duidelijk voor gebruikers dat zij het gebruik van hun data
voor deze nieuwe functie kunnen afwijzen? Wat kan u doen om gebruikers proactief te
wijzen op deze keuze, zodat men maximale regie over de eigen data houdt?

Antwoord 8

Zoals aangegeven in het antwoord op vraag 2 deel ik de zorg dat Meta mogelijk vormen
van verwerking van persoonsgegevens hanteert die niet in overeenstemming zijn met
de regels van het gegevensbeschermingsrecht, waaronder de Algemene Verordening Gegevensbescherming
(AVG). Het is echter niet aan het kabinet om te beoordelen of Meta in dit specifieke
geval aan de voorwaarden voor toestemming en de transparantie- en informatieverplichtingen
uit de AVG heeft voldaan.

In het algemeen acht het kabinet het van groot belang dat burgers regie hebben op
de gegevens die over ze worden verzameld. Het is daarbij onder meer belangrijk dat
de toestemming van gebruikers voor het trainen van AI-modellen gebeurt conform bestaande
wet- en regelgeving. Wanneer er sprake is van een gerechtvaardigd belang, een van
de verwerkingsgronden uit de AVG, moet er de mogelijkheid zijn om via een opt-out
mechanisme als gebruiker bezwaar te maken tegen de beoogde gegevensverwerking. De
mogelijkheid tot het doen van een opt-out moet eenvoudig en toegankelijk zijn. Hier
ligt een belangrijke rol voor de desbetreffende verwerkingsverantwoordelijke. Ook
zet de AP zich in om de bewustwording op het gebied van privacy- en gegevensbeschermingsrecht
te vergroten.

Vraag 9

Is het mogelijk dat u als bewindspersoon namens alle Nederlandse gebruikers grootschalig
bezwaar maakt op deze dataverzameling door Meta, gezien het bedrijf heeft toegezegd
dat alle bezwaren van Nederlanders ingewilligd zullen worden? Zo ja, bent u bereid
dit zo snel mogelijk te doen? Zo nee, welke andere mogelijkheden ziet u om alsnog
maximaal op te komen voor de belangen van Nederlandse gebruikers?

Antwoord 9

Ik ben het met u eens dat het belangrijk is dat gebruikers (collectief) bezwaar kunnen
maken als zij van mening zijn dat inbreuk wordt gemaakt op hun rechten. De AVG biedt
in artikel 80, eerste lid, de mogelijkheid dat een organisatie namens meerdere betrokkenen
(onder meer) een klacht kan indienen bij de toezichthoudende autoriteit of een civiele
procedure kan starten tegen de verantwoordelijke of verwerker. Het is echter niet
aan bewindspersonen om dit te doen.

Het kabinet kan worden aangesproken op het stelsel van het gegevensbeschermingsrecht,
zoals de wetgeving en het beleid op dat terrein, maar het is niet aan het kabinet
om in individuele gevallen te interveniëren. Dat is aan betrokkenen zelf en de door
hen eventueel aan te wijzen (juridische) vertegenwoordigers.

Vraag 10

Acht u een «opt-in-systeem», waar gebruikers actief moeten aangeven als zij wel data
willen afstaan voor het trainen van de Meta AI, niet beter in lijn met bestaande privacyregels
vanuit de AVG?

Antwoord 10

Het valt niet op voorhand te zeggen of een dergelijke aanpassing beter in lijn zou
zijn met de regels van de AVG. Bovendien is het zoals eerder aangegeven niet aan het
kabinet om dat in concrete gevallen te beoordelen, maar aan de toezichthouder.

In het algemeen is het van belang dat iedere verwerking van persoonsgegevens berust
op een rechtsgrondslag uit artikel 6 AVG. Als daarvoor de grondslag «toestemming»
wordt gehanteerd, moet deze toestemming ondubbelzinnig en in vrijheid gegeven zijn
op basis van duidelijke informatie. Ongeacht de specifieke verwerkingsgrondslag gelden
ook voor elke verwerking de beginselen inzake de verwerking van persoonsgegevens,
die zijn neergelegd in artikel 5 AVG. Deze vereisen onder meer dat gegevens ten aanzien
van de betrokkene rechtmatig, transparant en op behoorlijke wijze worden verwerkt
en alleen voor welbepaalde en specifiek omschreven doelen. Ook geldt het principe
van dataminimalisatie, dat met zich brengt dat altijd moet worden gekozen voor het
minst ingrijpende systeem waarvoor zo min mogelijk gegevens worden verwerkt. Het is
aan de organisatie die verantwoordelijk is voor verwerking van persoonsgegevens (de
verwerkingsverantwoordelijke) om aan te tonen dat zij een wettelijke grondslag heeft
om persoonsgegevens rechtmatig te verwerken. Voor zover het gaat om verwerkingen van
persoonsgegevens waar de hoofdvestiging van Meta in Ierland verwerkingsverantwoordelijke
voor is, is het in de eerste plaats aan de Ierse toezichthouder om de rechtmatigheid
van deze verwerkingen te beoordelen. De Ierse toezichthouder werkt daarbij samen met
de andere Europese privacy-toezichthouders, waaronder de Autoriteit Persoonsgegevens.
In het algemeen geldt voor toestemming dat die niet rechtsgeldig door middel van een
opt-out-systeem kan worden verkregen.

Vraag 11

Is er reeds overleg geweest tussen de European Data Protection Board, waaronder de
nationale toezichthouders, en Meta over dit besluit? Kunt u uitleggen welke bezwaren
er zijn geuit en welke verbeteringen Meta heeft toegezegd?

Antwoord 11

Op dit moment is de Ierse toezichthouder in gesprek met Meta. De Ierse toezichthouder
houdt de andere Europese privacy-toezichthouders hiervan op de hoogte. Ook de AP is
hierover in direct contact met de Ierse toezichthouder. Aanvullende informatie kan
hierover niet worden verstrekt omwille van de vertrouwelijkheid.

Vraag 12

Heeft de Autoriteit Persoonsgegevens een zienswijze op de voorgenomen plannen van
Meta? Zo ja, kunt u deze delen? Zo nee, kunt u de toezichthouder om een reactie vragen?

Antwoord 12

De AP volgt de voorgenomen plannen van Meta op de voet. Ook bij de AP zijn klachten
binnengekomen over Meta ten aanzien van het mogelijk gebruik van persoonsgegevens
voor het trainen van Al. Op dit moment houdt de Ierse toezichthouder de AP en de andere
Europese privacy-toezichthouders actief op de hoogte over de voortgang van dit dossier.
De verstrekte informatie stelt de AP in staat om ook zelfstandig een, weliswaar voorlopig,
oordeel te vormen over de plannen. De AP heeft vertrouwen in een goede samenwerking
met haar Europese collega-toezichthouders, in het bijzonder de Ierse toezichthouder,
om deze kwestie voortvarend en doelgericht te adresseren.

Vraag 13

Is er reeds overleg geweest tussen uzelf en collega-bewindspersonen uit de Europese
Unie over de voorgenomen plannen van Meta? Werkt u aan een gezamenlijk standpunt?

Antwoord 13

Er is geen overleg tussen mij en collega-bewindspersonen geweest over de voorgenomen
plannen van Meta. Aan een gezamenlijk standpunt tussen Europese regeringen wordt op
dit moment niet gewerkt.

Vraag 14

Wat is uw reactie op de zeer korte tijd tussen het moment dat Meta de plannen heeft
aangekondigd (10 juni) en het moment dat deze nieuwe vorm van dataverzameling in werking
zou treden (26 juni)?6 Geeft dit wat u betreft voldoende tijd voor overheden om adequaat te reageren en
voor gebruikers om bezwaar aan te tekenen? Wat kan u samen met Europese collega's
doen om niet nogmaals door Meta overvallen te worden door een dergelijk besluit?

Antwoord 14

Vooropgesteld moet worden dat Meta de plannen voor de uitrol van de nieuwe dataverzameling
van EU-gebruikers tot nader order heeft opgeschort. Dit betekent dat de Ierse toezichthouder
op dit moment, in goede samenwerking met de andere Europese privacy-toezichthouders,
waaronder de AP, met Meta in gesprek kan gaan over de voorgenomen verwerkingen en
de plannen nader kan bekijken. Het is niet aan het kabinet om te beoordelen of de
plannen van Meta acceptabel zijn, maar in de eerste plaats aan de toezichthouder.

Vraag 15

Kunt u deze vragen afzonderlijk van elkaar beantwoorden en nog voor de «pauze» van
Meta voorbij is?

Antwoord 15

Ja.