Trybunał Sprawiedliwości Unii Europejskiej (TSUE) wydał kluczowy wyrok w sprawie zgód użytkowników na zbieranie danych podczas przeglądania stron internetowych i przekazywanie ich "zaufanym partnerom IAB Europe".
TSUE uznało, że opracowany przez związek firm branży reklamowej IAB Europe system Transparency and Consent Framework (TCF) wykorzystywany do profilowania reklam z którego korzysta 80 proc. stron internetowych podlega pod przepisy RODO, a sam związek jest współadministratorem danych. Zdaniem TSUE, udostępniane platformom reklamowym informacje o preferencjach użytkowników zakodowane jako ciąg liter i znaków Transparency and Consent String (TC String) zawierają dane, pozwalające na identyfikację użytkownika za pomocą jego adresu IP - stanowią więc dane osobowe.
Reklamy śledzącej nawet bez zgody internauty
TCF przetwarzał informacje o preferencjach użytkowników dotyczących zgody lub jej braku na zbieranie i przetwarzanie danych osobowych. Informacja o zgodzie była następnie kodowana i przekazywana specjalnym giełdom reklamowym. Z systemu korzystają największe cyfrowe korporacje, jak Google, Amazon czy Microsoft. Teraz nie będą mogły unikać odpowiedzialności wiążącej się z przetwarzaniem danych osobowych.
Wyrok jest ważny, ponieważ dane osobowe zbierane na potrzeby aukcji mają znaczenie dla bezpieczeństwa obywateli UE. Dane ICCL wskazują, że 71 bln razy rocznie dane o Europejczykach transmitowane są bez odpowiednich zabezpieczeń na aukcjach określających, która reklama wyświetli się danemu użytkownikowi. Transmisja pozwala obcym potęgom (np. Rosjom i Chinom) na uzyskanie wrażliwych danych osobowych na temat kluczowych europejskich przywódców i personelu wojskowego UE.
Nie wiadomo jednak, czy wyrok doprowadzi do zmiany sposobu zbierania od użytkowników zgód na profilowanie. Na podstawie RODO użytkownicy powinni wyrażać zgodę na zbieranie danych osobowych w sposób dobrowolny i świadomy. Obecnie internauci klikając w „okienko zgody” robią to dobrowolnie, ale trudno uznać, że robią to świadomie, gdyż użytkownikom może być niełatwo zrozumieć, w jaki sposób platformy internetowe i brokerzy danych korzystają z ich danych na aukcjach reklamowych. Wyrok nie oznacza końca śledzącej reklamy, ale może ją ucywilizować. Natomiast eksperci nie są zgodni, jak to ucywilizowanie miałoby wyglądać. Jedną z propozycji jest, aby przedstawiać listę wszystkich beneficjentów na kolejnych etapach przetwarzania danych, tak żeby użytkownik mógł wybrać, jakim grupom reklamodawców chce przekazywać swoje dane. Inną propozycją jest postawienie na reklamę kontekstową, która jest zgodna z RODO. Z kolei przedstawiciele IAB Europe deklarują, że nie wprowadzą jakichkolwiek zmian na rynku reklamy internetowej, ponieważ wyrok TSUE nie zakwestionował legalności działań IAB.
To nie koniec
Wyrok TSUE nie zatrzyma reklamy śledzącej, ponieważ na niej opiera się model biznesowy największych dostawców usług w internecie, jak Google czy Meta. Jak wyliczył Polski Instytut Ekonomii przychody tych firm z danych użytkowników sięgają miliardów złotych rocznie w samej Polsce. Natomiast wyrok TSUE jest kolejnym wyrazem niezadowolenia regulatorów (ale także społeczeństwa) z obecnego modelu biznesowego, w którym za bezpłatne usługi cyfrowe płacimy danymi osobowymi.
Interpretacja TSUE jest wiążąca dla sądu nie tylko w Belgii, ale także dla wszystkich innych sądów czy organów ochrony danych państw członkowskich Unii Europejskiej, jeśli miałyby orzekać w podobnej sprawie. Rozstrzyga wątpliwości, jak należy interpretować pojęcie danych osobowych i administratora danych osobowych w kwestii systemów reklamowych w sieci. Jeżeli sprawa tego typu wpłynęłaby do polskiego Urzędu Ochrony Danych Osobowych (UODO) i dotyczyłaby firmy, który znajduje się w zakresie jego kompetencji, to UODO ma on obowiązek zinterpretować RODO tak, jak zrobił TSUE.
Fot. Pixabay/zdj. ilustracyjne
Tomasz Wypych
