Informacje o preferencjach internautów to dane osobowe. Zapadł wyrok TSUE

Po wyroku TSUE reklama w internecie wymaga gruntownych zmian. Jak wskazują eksperci ochrony danych osobowych – trudno będzie je wprowadzić.

Wyrok Trybunału Sprawiedliwości Unii Europejskiej otwiera drogę do nakazania radykalnej przebudowy systemu zbierania od internautów zgód na profilowanie. Chodzi o mechanizm opracowany przez stowarzyszenie branży reklamy cyfrowej IAB Europe, znany jako TCF (z ang. Transparency & Consent Framework). Mamy z nim do czynienia, gdy na odwiedzanej przez nas stronie wyskakuje okienko (tzw. pop-up) z żądaniem zgody na zbieranie danych i przekazywanie ich „zaufanym partnerom IAB Europe”. Pozwala to śledzić aktywność internautów w sieci. Zebrane w ten sposób informacje o preferencjach internautów są kodowane i przechowywane po to, aby ostatecznie trafić na specjalne giełdy reklamowe. TSUE uznał w czwartek, że stanowią one dane osobowe w rozumieniu RODO.

„To bardzo ważny dzień w historii prawa ochrony danych osobowych” – skomentował orzeczenie TSUE w mediach społecznościowych europejski inspektor ochrony danych Wojciech Wiewiórowski.

Podważony model

Sprawa toczy się od 2019 r., gdy grupa organizacji – w tym Panoptykon – wniosła do krajowych organów ochrony danych osobowych skargi na IAB Europe, twierdząc, że system TCF narusza RODO.

– Według belgijskiego organu IAB Europe przetwarza dane bez ważnej podstawy prawnej, którą w tym przypadku powinna być zgoda użytkowników. Trudno mówić, by kliknięcie w „okienko zgody” spełniało wymogi w pełni świadomej i dobrowolnej zgody na gruncie RODO, jeśli przeciętny użytkownik nie jest w stanie się zorientować, co właściwie dzieje się z jego danymi. Może mu się wydawać, że dzieli się danymi tylko z administratorem tej strony – podczas gdy w rzeczywistości korzysta z nich ogromna liczba agencji, platform reklamowych, brokerów danych i innych podmiotów – mówi Dorota Głowacka, prawniczka z fundacji Panoptykon.

IAB Europe zaskarżył decyzję APD. Rozpatrujący skargę sąd apelacyjny w Brukseli zwrócił się do TSUE z pytaniami prejudycjalnymi.

– Konsekwencje wyroku TSUE prawdopodobnie będą takie, że decyzja belgijskiego organu ochrony danych zostanie przez tamtejszy sąd apelacyjny podtrzymana i opracowany przez IAB system trzeba będzie dostosować do RODO – komentuje dr Paweł Litwiński, adwokat z kancelarii Barta Litwiński.

Podobnie uważa Dorota Głowacka.

– Wyrok TSUE mocno podważa obecnie funkcjonujący model internetowej reklamy spersonalizowanej – mówi. – Trybunał nie rozstrzygał wprost, czy opracowany przez IAB Europe system pozyskiwania zgód na śledzenie narusza RODO. Dokonał jednak interpretacji RODO, która wytrąca z rąk IAB Europe istotne argumenty – uważa.

Tryliony aukcji

Co to w praktyce oznacza?

– To wyklucza powoływanie się na uzasadniony interes reklamodawcy, bo nie może on przeważać nad prywatnością użytkowników. Możemy się więc odwołać jedynie do zgody i musi ona być świadoma i dobrowolna – odpowiada Tomasz Borys, specjalista ds. ochrony danych osobowych. – Powiedzmy, że kliknięcie w wyskakującym okienku można uznać za dobrowolne. Natomiast nie możemy mówić o świadomości tej zgody, bo proces identyfikowania użytkownika i jego preferencji jest na tyle skomplikowany, że większość użytkowników go nie rozumie. Dlatego według mnie świadomość tej zgody można zakwestionować – argumentuje.

Paweł Litwiński dodaje, że zaznaczając „tak” w okienku narzędzia IAB, internauci wiedzą, iż dane osobowe zostaną wykorzystane, aby dopasować wyświetlane reklamy. Tylko nieliczni mają jednak świadomość, że ich dane będą potem sprzedawane na aukcjach – a w każdej z nich weźmie udział wiele podmiotów, nawet setki agencji i reklamodawców.

– W tej sytuacji trudno mówić o świadomej zgodzie, jakiej wymaga RODO – uważa dr Litwiński.

Według danych Irish Council for Civil Liberties (organizacja, która przewodziła akcji skarżenia IAB) na giełdach reklamowych zawiera się 71 trylionów transakcji rocznie. – System ten jest głęboko inwazyjny i użytkownik nie ma w nim szans na realną kontrolę nad tym, co się dzieje dalej z jego danymi – stwierdza Dorota Głowacka.

Mission impossible

Paweł Litwiński zwraca uwagę, że trybunał nie zastanawiał się nad uzdrowieniem systemu TCF. – Pytanie, czy to w ogóle możliwe. Teraz zgoda na zbieranie danych w celach reklamowych ma charakter blankietowy. Wyrażając zgodę, tak naprawdę nie wiemy, na co się godzimy – podkreśla.

Aby mówić o świadomości użytkownika, należałoby zmienić pytanie o zgodę, tak by w pełni przedstawiało sytuację.

– Obawiam się, że będzie z tym olbrzymi problem. Wydaje mi się to wręcz niemożliwe – mówi Tomasz Borys. – Trzeba by poinformować użytkownika o wszystkich podmiotach, do których trafiają dane osobowe, i na jakich zasadach się to odbywa. Nie sądzę, aby to się udało, gdyż cały mechanizm jest bardzo skomplikowany. Już sama informacja, że jego dane trafią na aukcję, może użytkownika zmrozić. A należałoby jeszcze wyjaśnić mu, jak się te aukcje odbywają – stwierdza ekspert.

– Trzeba by chyba prezentować listę wszystkich beneficjentów na kolejnych etapach przetwarzania danych – zastanawia się mec. Litwiński. – Problem w tym, że przy każdej aukcji są inni, więc to niewykonalne. Co więcej, na etapie proszenia o zgodą nie wiadomo, kto może potem skorzystać z przekazanych danych osobowych – bo to się okazuje dopiero po udzieleniu zgody, już na etapie aukcji. Może dobrym rozwiązaniem byłoby przedstawienie beneficjentów według kategorii: np. dam zgodę na reklamy samochodów, a innych produktów już nie. Pytanie tylko, czy to wystarczy do ucywilizowania systemu IAB? – mówi.

Żadnych zmian

Dorota Głowacka zaznacza, że wyrok TSUE nie musi oznaczać końca personalizowanych reklam.

– Potrafię sobie wyobrazić, że taka personalizacja może się odbywać w mniej inwazyjny, zgodny z przepisami sposób – stwierdza, wyjaśniając, że dopasowywanie reklam mogłoby się opierać na ujawnionych przez użytkowników (a nie wyśledzonych) informacjach dotyczących wieku, płci, lokalizacji, zainteresowań itp.

– Alternatywą zgodną z RODO jest też reklama kontekstowa. Brzmi to być może radykalnie, ale branża reklamowa nie powinna być zaskoczona koniecznością zmian, bo od jakiegoś czasu pojawia się coraz więcej sygnałów wskazujących na to, że dotychczasowy model trudno będzie obronić – mówi.

IAB Europe zdaje się nie dostrzegać problemu.

– Wyrok nie przewiduje żadnych zmian na rynku reklamy cyfrowej – stwierdza Helen Mussard, dyrektorka ds. marketingu w IAB Europe, gdy pytamy o konsekwencje orzeczenia TSUE.

Podkreśla, że zawiera ono jedynie wyjaśnienia pojęć danych osobowych i administratora. – W orzeczeniu TSUE nie ma zatem niczego, co można by choćby w najmniejszym stopniu uznać za kwestionowanie legalności pytań o zgodę lub zakazanie ich wykorzystywania – uważa Helen Mussard. – Nie zbadano ponadto, czy jakiekolwiek działania IAB Europe lub podmiotów stosujących TCF można uznać za naruszenie RODO – dodaje.©℗

orzecznictwo