פייסבוק רשאית באופן עקרוני להתבסס על הסכם תנאי השימוש בינה לבין המשתמש כהצדקה לעיבוד מידע אישי לצורך פרסום, והיא לא בהכרח מחויבת לבקש את הסכמתו המפורשת לעיבוד המידע שלו למטרה זו. כך קובעת טיוטת החלטה של נציבות הגנת המידע באירלנד שדנה בתלונה שהגישה משתמשת מאוסטריה נגד נוהגי הפרטיות של פייסבוק בנושא פרסום ממוקד.
המשתמשת טענה בתלונתה שפייסבוק לא פעלה בהתאם לדרישות ה-GDPR לקבל את הסכמתה המפורשת לעיבוד המידע שלה לצורכי פרסום. המשתמשת הלינה עוד כי פייסבוק הטעתה אותה בכך שמסרה מידע על נוהגי הפרטיות שלה בחוסר שקיפות ובחוסר דיוק, בניגוד לדרישות ה-GDPR. התלונה הוגשה לרשות להגנת המידע באוסטריה וזו העבירה אותה לטיפול נציבות הגנת המידע באירלנד. הנציבות האירית מחזיקה בסמכות ייחודית לדון בתלונות אירופאיות נגד פייסבוק בשל מיקום המטה האירופאי של פייסבוק בדבלין, אירלנד.
בטיוטת ההחלטה, שאורכה כמעט 100 עמודים, נציבות הגנת המידע האירית קבעה כי הסכמת המשתמשת לתנאי השימוש של פייסבוק היא בגדר אישור במישור החוזי שאין לו השלכה לנושא ה"הסכמה מדעת" ב-GDPR. עוד קבעה הנציבות שפייסבוק רשאית באופן עקרוני להתבסס על העילה הקיימת ב-GDPR אודות "ביצוע חוזה" כדי להצדיק עיבוד מידע לצורכי פרסום ממוקד, ככל שעיבוד למטרה זו מצוי בליבת השירות שפייסבוק מעניקה למשתמשים. לעמדת הנציבות, משתמשים מודעים לכך שליבת מערכת היחסים שלהם עם פייסבוק נסמכת על עיבוד מידע שלהם לצורכי פרסום. לכן, פייסבוק אינה מחויבת בהכרח לבקש ולקבל הסכמה מפורשת ומדעת של המשתמשת לעיבוד המידע שלה לצורכי פרסום ממוקד.
עם זה, הנציבות קבעה שפייסבוק הפרה את חובות ה-GDPR בדבר שקיפות ומסירת מידע נכון ושלם. מדיניות הפרטיות של פייסבוק לא תיארה באופן שקוף דיו איזה מידע אישי היא מעבדת, באיזה אופן היא מעבדת אותו ומהו הבסיס החוקי לאותו עיבוד. על הפרה זו מציעה הנציבות להשית על פייסבוק קנס בשיעור שבין 28 מיליון אירו ל-36 מיליון אירו.
עמותת הפרטיות האוסטרית NOYB, שייסד מקס שרמס, מייצגת את המתלוננות האוסטרית. לפי הדיווח באתר NOYB (שבו גם התפרסה טיוטת ההחלטה), הטיוטה תימסר כעת ליתר רשויות הגנת המידע באיחוד האירופי כדי לקבל את עמדתן. ברקע הדברים, מתחולל מאבק בין NOYB לבין נציבות הגנת המידע באירלנד: הנציבות שיגרה לעמותה מכתב רשמי בו היא דורשת מהעמותה להסיר מהאתר את טיוטת ההחלטה של הנציבות. הנציבות טוענת כי טיוטת ההחלטה חסויה וחל איסור לפרסמה כל זמן שמתנהלים עליה דיונים בקרב רשויות הגנת המידע באיחוד האירופי. העמותה, בתגובה, דחתה את טענות הנציבות לסודיות המסמך.