Czy z sieci znikną banery wymuszające zgody na profilowanie w celach marketingowych? Panoptykon komentuje wyrok Trybunału Sprawiedliwości UE

Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok w sprawie przeciwko IAB Europe, dotyczącej zbierania zgód na profilowanie w celach marketingowych.

Sprawa toczy się od 2019 r. Zapoczątkowana została przez Irish Council for Civil Liberties (ICCL). Grupa organizacji wniosła wtedy do krajowych organów ochrony danych osobowych skargi na IAB Europe.

Skarżącymi byli:

• dr Johnny Ryan (Enforce/ICCL),
• Katarzyna Szymielewicz (Fundacja Panoptykon, Polska),
• Bits of Freedom (Holandia),
•  Ligue des Droits Humains (Belgia),
•  dr Jef Ausloos,
• dr Pierre Dewitte.

IAB Europe po wejściu w życie RODO stworzyło system Transparency & Consent Framework (TCF)

Miał on zalegalizować działanie giełd reklamowych w nowych warunkach prawnych. Na każdej stronie wpiętej w system TCF wyskakuje pop-up z żądaniem zgody na śledzenie i przekazywanie danych tzw. zaufanym partnerom IAB Europe. Tak wymuszona zgoda trafia do setek firm-pośredników biorących udział w Real Time Bidding (RTB). Mowa o giełdach reklamowych, na których te firmy łączą dane o użytkownikach, żeby wyświetlić im odpowiednio dopasowaną reklamę.

W modelu opracowanym przez IAB Europe śledzenie i łączenie danych o ludziach to nieodłączny aspekt reklamy behawioralnej.

– Wchodząc na stronę internetową, przede wszystkim chcemy pozbyć się irytującego baneru. Klikamy zgodę, nie zdając sobie sprawy, że w tle odbywa się operacja wymiany naszych danych między setkami pośredników. Jej owocem jest to, czy zobaczymy reklamę pieluch, czy egzotycznej wycieczki – zwraca uwagę Katarzyna Szymielewicz, prezeska Fundacji Panoptykon.

Poprzez system TCF dane milionów Europejczyków i Europejek wyciekają do firm na całym świecie. W działaniach tych biorą udział także firmy takie jak Google, Amazon, Microsoft czy ByteDance (TikTok). Giganci, którzy dodatkowo dysponują danymi o tych samych użytkownikach dzięki śledzeniu w ramach własnych usług.

Zdaniem organizacji skarżących IAB Europe jest administratorem danych przepływających przez system TCF

W szczególności informacji o tym, czy konkretna osoba wyraziła zgodę na profilowanie, czy nie. Zaś sama zgoda jest pozyskiwana w sposób niezgodny z RODO, bo nie jest ani świadoma, ani dobrowolna.

Zgodził się z tym belgijski organ ochrony danych osobowych, który rozpatrywał skargę (IAB Europe ma siedzibę w Belgii).

IAB Europe odwołało się od decyzji belgijskiego organu ochrony danych osobowych. Spór trafił przed sąd, również w Belgii, a następnie przed Trybunał Sprawiedliwości Unii Europejskiej. A ten, na zadane mu przez sąd pytanie o interpretację RODO, odpowiedział jednoznacznie:

„Trybunał Sprawiedliwości potwierdził, że TC String zawiera informacje dotyczące możliwego do zidentyfikowania użytkownika, a zatem stanowi dane osobowe w rozumieniu RODO” – napisał w komunikacie prasowym Trybunał. „Co więcej, IAB Europe należy uznać za »współadministratora« w rozumieniu RODO”. Treść wyroku dostępna jest na stronie curia.europa.eu.

W ten sposób TSUE potwierdził wcześniejszą decyzję belgijskiego organu ochrony danych osobowych, który nałożył karę na IAB Europe i nakazał wprowadzenie zmian w systemie. Wyrok TSUE oznacza, że firmy z branży reklamowej nie będą mogły dłużej unikać odpowiedzialności, jaka wiąże się z przetwarzaniem danych osobowych w kontekście reklamy behawioralnej.

– Ludzie w całej Europie zmagali się z wymuszającymi zgody pop-upami wyskakującymi niemal na każdej stronie internetowej i w niemal każdej aplikacji, od kiedy w życie weszło RODO. Związek IAB Europe próbował unikać odpowiedzialności za tę szaradę. Ale Trybunał Sprawiedliwości UE postawił sprawę jasno. To koniec największego oszustwa w historii internetu i ostateczny cios zadany branży reklamy internetowej, której model biznesowy opiera się na inwazyjnym śledzeniu – zauważa dr Johnny Ryan z ICCL Enforce, który zainicjował skargę.