Los narzędzia do zbierania zgód na profilowanie, stosowane przez większość stron internetowych, wisi na włosku. Jeżeli trybunał potwierdzi decyzję w sprawie IAB Europe, branża marketingowa będzie zmuszona pilnie poszukać nowych rozwiązań
Belgijski sąd zadał pytanie prejudycjalne do Trybunału Sprawiedliwości Unii Europejskiej w celu ustalenia roli organizacji pracodawców branży internetowej IAB Europe w procesie pozyskiwania od użytkowników zgód na profilowanie w celach marketingowych. Orzeczenie nie po myśli IAB Europe będzie miało istotne konsekwencje dla całej europejskiej branży reklamowej.
Przypomnijmy: w lutym br. belgijski urząd ds. ochrony danych osobowych wydał decyzję, zgodnie z którą IAB Europe miał zapłacić 250 tys. euro kary oraz dostosować swój system Transparency & Consent Framework (TCF) do wymagań RODO.
(Nie)świadoma zgoda
Czym jest TCF? Internautom przedstawia się on w formie wyskakujących okienek po wejściu na większość witryn w sieci. Zawarty w nich komunikat stanowi, że informacje o użytkowniku zbierane w plikach cookies będą używane do śledzenia jego aktywności w internecie. Dane te są przekazywane „zaufanym partnerom IAB oraz innym zaufanym partnerom”.
Katarzyna Szymielewicz, prezeska Fundacji Panoptykon (która współtworzyła skargę na IAB Europe), tłumaczy, że w praktyce dane o użytkowniku trafiają na giełdy danych do setek pośredników reklamowych i są przez nich wykorzystywane do tworzenia profili marketingowych. Osoba potwierdzająca zapoznanie się z wyskakującą notką nie jest tego świadoma.
Tymczasem - jak wskazywał w decyzji belgijski organ - z informacji pozyskanych za pomocą TCF, chociażby na temat odwiedzanych przez użytkownika stron, można wywnioskować, jakie ma on preferencje polityczne, jakiego jest wyznania, orientacji seksualnej, jaki jest jego stan zdrowia albo to, czy przynależy do różnych organizacji i związków zawodowych.
Belgijski urząd stwierdził, że TCF nie jest też zaprojektowany, aby chronić dane osobowe użytkowników (naruszenie zasady z RODO „privacy by design”). A używana przez IAB Europe przesłanka prawna do przetwarzania danych - uzasadniony interes - jest nieprawidłowa.
IAB Europe został uznany za administratora danych osobowych z powodu podejmowania decyzji o celach i środkach przetwarzania danych. Administrator ma zaś obowiązek np. realizować przysługujące użytkownikom prawa (chociażby do usunięcia ich danych). Organizacja sprzeciwia się tej ocenie. Wskazuje, że status administratorów mają wyłącznie podmioty korzystające z danych o użytkownikach.
IAB Europe zaskarżyło decyzję belgijskiego organu do sądu, a ten - na wniosek Panoptykonu i kilku innych organizacji - skierował w ostatnich dniach sprawę do TSUE.
Poważne konsekwencje
Belgijski sąd zapytał trybunał o dwie kluczowe kwestie: czy zapis preferencji użytkownika do śledzenia na potrzeby reklamowe, by firmy reklamowe wiedziały, czy mogą pokazywać danej osobie dopasowane reklamy, a do którego wytyczne tworzy IAB Europe, mieści się w definicji danych osobowych na gruncie RODO? A także czy IAB Europe, dyktujące zasady zapisywania, przechowywania i udostępniania tych preferencji, powinno zostać uznane za administratora danych i spełniać wszystkie wymogi z RODO?
Do czasu wydania wyroku postępowanie w Belgii zostaje zawieszone. Po decyzji TSUE sprawa wróci przed sąd apelacyjny, który wyda ostateczny wyrok. Eksperci przewidują, że może to potrwać kilkanaście miesięcy.
Piotr Liwszic, prawnik i autor serwisu Judykatura.pl, mówi, że jeśli TSUE potwierdzi ustalenia belgijskiego organu, wówczas branża marketingowa stanie przed obliczem wypełnienia wymagań z RODO, czyli stworzenia wspólnych uzgodnień opisujących ich relację w zakresie przetwarzania danych osobowych.
Czy to da się zrobić? - Na pewno będzie to czasochłonne, ale jest możliwe. Będzie też niosło za sobą pozytywne zmiany dla osób odwiedzających strony internetowe, m.in. przejrzystsze informowanie o zasadach i celach przetwarzania danych oraz kategoriach tych danych - uważa Piotr Liwszic.
W podobnym tonie wypowiada się Tomasz Borys, ekspert zajmujący się ochroną danych osobowych. Jego zdaniem branża reklamowa już teraz powinna podjąć wysiłki na rzecz wypracowania innych, mniej inwazyjnych dla prywatności rozwiązań. Trudno jednak na tym etapie ocenić, jak taka zmiana wpłynie na efektywność reklamy cyfrowej.
Ale co z samym TCF? - Ze względu na stopień skomplikowania działania tego systemu nie wydaje się możliwe jego pogodzenie z podstawowymi zasadami RODO. Już sam proces pozyskiwania - świadomej i dobrowolnej - zgody - wydaje się niemożliwy do zrealizowania, a cóż tu mówić o konsekwencjach profilowania internautów - twierdzi Borys.
Katarzyna Szymielewicz potwierdza, że jakiekolwiek kosmetyczne zmiany w TCF nie wystarczą, żeby ten system zalegalizować. - Tak długo jak system licytacji na giełdach reklam opiera się na niekontrolowanej wymianie danych pomiędzy setkami pośredników, tak długo zgoda udzielona przez użytkownika nie będzie ważna, bo nie sposób jej uznać za świadomą - mówi.
Wskazuje, że na rynku pojawiają się już technologie, które umożliwiają kierowanie reklam i badanie ich skuteczności bez budowania profili marketingowych użytkowników. - Zgodna z zasadami RODO, a zarazem całkiem skuteczna jest też reklama wykorzystująca wprost ujawnione zainteresowania i preferencje użytkowników albo kontekst, w jakim jest pokazywana - opowiada Szymielewicz.
Czy nadchodzi rewolucja
Zdaniem Panoptykonu bez regulacyjnego bodźca etyczne modele biznesowe w branży reklamowej nie mają siły przebicia. Dziś w dyskusji o przyszłości reklamy dominuje głos pośredników, którym utrzymanie status quo się opłaca. Umacnia się rynek napędzany logiką zbierania każdego cyfrowego śladu, a najbardziej jego liderzy - Google i Meta.
- Ten model nie jest korzystny ani dla użytkowników, ani dla wydawców internetowych, którzy są zmuszeni oddawać pośrednikom reklamowym nawet 70 proc. swoich dochodów i godzić się na udostępnianie im danych swoich czytelników - twierdzi Szymielewicz. Liczy, że sprawa IAB Europe stworzy pole dla rozwoju alternatywnych modeli reklamowych.
Czy faktycznie tak się stanie? W gronie prawników pojawiają się sceptyczne głosy. Przypomina im się wyrok TSUE w głośnej sprawie Schrems II. Nie doprowadził on do zapowiadanej rewolucji, bo Komisja Europejska opracowała nowe rozwiązanie umożliwiające transfery danych poza obszar Europejskiego Obszaru Gospodarczego.
Niewykluczone, że po wyroku TSUE w sprawie IAB Europe - choć to zagadnienie mniejszej skali niż w przypadku Schrems II - będzie podobnie. ©℗
