Śledzące reklamy do lamusa? Trybunał Sprawiedliwości UE z ważnym wyrokiem. „Mocny cios dla branży reklamowej”

Belgijski organ ochrony danych osobowych (APD) uznał na początku lutego 2022 roku, że stworzony przez związek firm branży reklamowej IAB Europe system śledzącej reklamy, z którego korzysta 80 proc. stron internetowych, narusza podstawowe zasady RODO. Stwierdził, że zapis preferencji użytkownika co do śledzenia w sieci to dane osobowe oraz uznał związek za administratora tych danych. Nakazał IAB i korzystającym z niego firmom usunięcie zebranych za pośrednictwem systemu danych. Organizacja zapowiedziała wtedy, że zaskarży decyzję organu

Związek odwołał się do belgijskiego sądu apelacyjnego, a ten skierował sprawę do Trybunału Sprawiedliwości Unii Europejskiej. Jak podkreślała we wrześniu 2022 roku Fundacja Panoptykon, która była jedną z organizacji skarżących IAB Europe, jeśli TSUE podzieli interpretację belgijskiego organu, branżę reklamową czekają zmiany.

TSUE wydał w czwartek wyrok w tej sprawie. Orzekł, że udostępniane platformom reklamowym informacje o preferencjach użytkowników zakodowane jako ciąg liter i znaków Transparency and Consent String (TC String) zawierają dane pozwalające na identyfikację użytkownika. Stanowią zatem dane osobowe w rozumieniu Ogólnego rozporządzenia o ochronie danych (RODO).

Trybunał stwierdził też, żę IAB Europe jest w rozumieniu RODO współadministratorem danych. Musi więc zapewnić podstawę prawną do przetwarzania danych, przejrzystości, bezpieczeństwa czy realizowania praw użytkowników.

Panoptykon: Wyrok ważny dla ochrony użytkowników sieci

- Wyrok jest korzystny dla skarżących, czyli m.in. naszej organizacji, ale tak naprawdę cieszy nas przede wszystkim dlatego, że jest ważnym krokiem w kierunku zwiększenia ochrony wszystkich użytkowników i użytkowniczek sieci - przyznaje w rozmowie z Wirtualnemedia.pl Dorota Głowacka, prawniczka z Fundacji Panoptykon.

- Potwierdza nasze argumenty przedstawione w skardze, wskazujące że IAB Europe może odpowiadać za naruszenia danych osobowych, do których - naszym zdaniem - dochodzi w ramach dostarczanego przez nie systemu TCF [Transparency and Consent Framework - red.], pozwalającego na wymianę informacji o preferencjach użytkowników co do profilowania reklam w sieci. Uważamy, że jest to system, który opiera się na niekontrolowanej eksploatacji danych osobowych przez biznes reklamowy i w skrajnych przypadkach może prowadzić do wykorzystywania naszych wrażliwych cech czy słabości, których wolelibyśmy nikomu nie ujawniać, po to aby wpływać np. na nasze decyzje konsumenckie - podkreśla ekspertka. I dodaje: Od dawna przekonywaliśmy, że tak działającego modelu działania reklamy behawioralnej nie da się obronić w świetle istniejących przepisów dotyczących ochrony danych osobowych. Wyrok TSUE może wreszcie wymusić jego zmianę.

- TSUE dokonał interpretacji RODO w kontekście dwóch spornych zagadnień występujących w sprawie, tj. czy w przypadku zapisu preferencji reklamowych użytkowników mamy w ogóle do czynienia z danymi osobowymi chronionymi przez RODO oraz czy IAB Europe jest ich „współadministratorem”, co pociąga za sobą szereg obowiązków i odpowiedzialność za ich naruszenie. W obu przypadkach udzielił odpowiedzi twierdzącej - zaznacza Głowacka. - TSUE nie rozstrzygał więc samego sporu co do meritum, tj. czy IAB Europe naruszyło RODO. Tę kwestię przesądzi dopiero sąd w Belgii, który skierował pytania prejudycjalne do TSUE, prosząc o interpretację RODO, i do którego sprawa teraz wróci - wyjaśnia.

„Kosmetyczne zmiany nie wystarczą”

Prawniczka z Panoptykonu podkreśla, że „wyrok TSUE w praktyce otwiera jednak drogę do tego, żeby pociągnąć IAB do odpowiedzialności za naruszenie RODO w związku z funkcjonowaniem dostarczanego przez tę organizację systemu TCF”. - W mojej ocenie zwiększa prawdopodobieństwo, że sąd w Belgii uzna, iż system ten działa z naruszeniem prawa, a IAB Europe, jako współadministrator danych, odpowiada za to naruszenie i musi podjąć działania, aby je usunąć oraz dostosować TCF do wymogów wynikających z RODO. Taką decyzję wydał rozpoznający tę sprawę wcześniej belgijski organ ochrony danych i liczymy, że sąd w Belgii, opierając się na wyroku TSUE, utrzyma ją w mocy - mówi Głowacka.

Ekspertka zwraca uwagę, że czwartkowa decyzja Trybunału „nie zmieni inwazyjnego systemu reklamy internetowej z dnia na dzień”. - Tym niemniej to mocny cios dla branży reklamowej, którego nie powinna bagatelizować. Jeśli ostatecznie w Belgii zapadnie wyrok stwierdzający naruszenie RODO przez IAB, jego skutki mogą być bardzo daleko idące dla całej branży reklamy internetowej. Oznaczałoby to, że dominujący system reklamy behawioralnej w sieci, który obecnie opiera się na szeroko zakrojonym śledzeniu i profilowaniu użytkowników, jest nie do pogodzenia z RODO i należy go gruntownie zmienić. Kosmetyczne zmiany nie wystarczą, potrzebna będzie głęboka reforma całego systemu giełd reklamowych zmierzająca w kierunku ograniczenia liczby pośredników zaangażowanych w proces wyświetlania spersonalizowanych reklam i zakresu wymienianych danych - podkreśla Głowacka.

Czy polskie orzecznictwo będzie mogło powoływać się na wyrok TSUE? - Interpretacja TSUE jest wiążąca dla sądu w Belgii, ale także dla wszystkich innych sądów czy organów ochrony danych państw członkowskich Unii Europejskiej, które orzekałaby w podobnych sprawach. Rozstrzyga wątpliwości, jak należy interpretować pojęcie danych osobowych i administratora danych osobowych w kontekście systemów reklamowych w sieci. Jeżeli sprawa tego typu wpłynęłaby do polskiego organu, czyli prezesa UODO [Urząd Ochrony Danych Osobowych - red.], i dotyczyłaby podmiotu, który znajduje się w zakresie jego kompetencji, ma on obowiązek zinterpretować RODO w zgodzie z tym, co dziś orzekł TSUE - mówi prawniczka.

Tymczasem IAB opublikowało w czwartek na swoich stronach komunikat, w którym podkreśla, że „Orzeczenie TSUE wyjaśnia ograniczoną rolę IAB Europe w TCF” i organizacja przyjęła je „z zadowoleniem”. IAB Europe w myśl wyroku „niekoniecznie powinno być postrzegane jako współadministrator wraz administratorami danych wraz z uczestnikami TCF w odniesieniu do późniejszego przetwarzania danych w związku z realizacją celów TCF, takich jak reklama cyfrowa, pomiar oglądalności lub personalizacja treści ponieważ IAB Europe nie ma wpływu na takie przetwarzanie [pisownia oryginalna – red.]”.

System TCF – co to jest?

TCF dla internautów to w uproszczeniu system wyskakujących okienek (pop-up), które pojawiają się po wejściu na większość witryn w sieci. Dotyczą one udzielenia przez internautów zgody na przetwarzanie danych osobowych w postaci cookies (tzw. ciasteczek), w tym wyrażenia zgody na wyświetlanie spersonalizowanych reklam. Ich pojawienie się ma związek z unijnym rozporządzeniem o ochronie danych, które zaczęło obowiązywać 25 maja 2018 roku.

IAB zaznacza, że dla całego ekosystemu reklamowego TCF, uruchomiony w kwietniu 2018 roku, ma olbrzymie znaczenie. „Jest to dobrowolny standard open source, którego celem jest wspieranie firm w ich wysiłkach na rzecz zgodności z prawem UE w zakresie prywatności i ochrony danych. Zawiera minimalny zestaw najlepszych praktyk mających na celu zapewnienie, że gdy dane osobowe są przetwarzane, użytkownicy mają zapewnioną odpowiednią przejrzystość i wybór, a uczestnicy ekosystemu są informowani o preferencjach użytkownika. TCF umożliwia wydawcom zarządzanie zgodą (CMP) internauty oraz informowanie innych uczestników systemu, czy użytkownik udzielił im niezbędnych zezwoleń zgodnie z RODO” - podkreśla IAB Europe.