Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) förbjuder Facebook Ireland Ltd. att dela personuppgifter med tredjepartsföretag då rättslig grund saknas enligt artikel 6 dataskyddsförordningen (GDPR).
Av beslutet framgår att WhatsApp bett sina användare att godkänna bolagets nya villkor och integritetspolicy, vilka ger WhatsApp långtgående befogenheter att dela uppgifter med Facebook. Dessa befogenheter omfattade bland annat behandling av platsinformation och överföring av användarnas kommunikationsuppgifter till tredjepartsföretag. Uppgifterna kunde också komma att användas för att ansluta till produkter från Facebookföretag. Ett berättigat intresse nämns som grund för behandlingen av personuppgifter som rör minderåriga.
HmbBfDI konstaterar att det inte finns någon rättslig grund för Facebooks behandling för sina egna syften. Bestämmelserna om överföring av uppgifter i integritetspolicyn är oklara och svåra att särskilja, samtidigt som innehållet är missvisande och uppvisar betydande motsägelser, samt att konsekvenserna av godkännandet för användarna är odefinierade. Eftersom WhatsApp kräver godkännande av de nya bestämmelserna som ett villkor för fortsatt användning av tjänstens funktioner är samtycket dessutom inte fritt givet. Facebook kan därför inte åberopa ett berättigat intresse av att behandla WhatsApp-användarnas uppgifter eftersom deras intressen väger tyngre än de registrerades rättigheter och friheter, samtidigt som behandlingen inte är nödvändig för att Facebook ska kunna fullgöra ett avtal. Dessutom är överföringarna av personuppgifter inte transparenta samtidigt som integritetspolicyn gör det möjligt att behandla uppgifter mellan företag i syfte att skicka direktreklam och marknadskommunikation.