Czy pozbędziemy się wyskakujących okienek? Sprawa przeciwko IAB Europe w pytaniach i odpowiedziach (część 2)

We wrześniu belgijski sąd skierował do Trybunału Sprawiedliwości Unii Europejskiej pytania dotyczące stworzonego przez IAB Europe systemu wymiany informacji o preferencjach użytkowników i użytkowniczek co do profilowania reklam między pośrednikami reklamowymi. Sprawa jest następstwem skargi złożonej przez Panoptykon i inne organizacje broniące praw cyfrowych w Europie. Jaki mamy problem ze śledzącą reklamą? O jakie zmiany walczymy? Odpowiadamy w drugiej części naszego materiału o sprawie przeciwko IAB Europe.

(W pierwszej części pytań i odpowiedzi opisaliśmy między innymi, czego dotyczy sprawa, w jaki sposób system stworzony przez IAB Europe narusza RODO i jakie do tej pory zapadły decyzje. W części trzeciej zastanawiamy się, co wyrok TSUE oznaczać będzie dla innych gigantów rynku internetowego, a co dla użytkowników).

Dlaczego sprzeciwiacie się reklamie behawioralnej?

Reklama pieluch obok informacji o reformie oświaty czy wycieczka na Bali w środku tekstu o aferze Pegasusa? Czy zastanawiasz się czasem, z jakiego powodu wyświetlają ci się takie, a nie inne reklamy? Dzieje się tak, dlatego że na odwiedzanych przez ciebie stronach internetowych zbierane są gigantyczne ilości danych, które następnie przesyłane są między pośrednikami reklamowymi w ramach tzw. giełd reklamowych. Teoretycznie się na to zgadzasz (klikając przycisk „zgody” na odwiedzanych stronach).

Aż 57% użytkowników Internetu nie chce otrzymywać spersonalizowanych reklam, a 80% sprzeciwia się reklamom opartym na śledzeniu i przewidywaniu preferencji. Jednak dominujący obecnie model reklamy behawioralnej uniemożliwia ludziom kontrolowanie tego, kto i po co wykorzystuje informacje na ich temat. Nie mogą powiedzieć „nie” praktykom biznesowym, które godzą w ich wolność i prywatność. Potwierdzają to nie tylko nasze badania dotyczące funkcjonowania śledzącej reklamy i bezskuteczne próby uzyskania dostępu do profilu marketingowego, ale też opracowania naukowe oraz raporty organów ochrony danych i organizacji konsumenckich.

Ciągłe śledzenie i profilowanie wiąże się nie tylko z utratą prywatności, ryzykiem dyskryminacji i manipulowania ludźmi z wykorzystaniem ich słabości. Model biznesowy, w którym zbieranie coraz większych ilości danych decyduje o „być albo nie być” na rynku, ma doskonale zbadane i opisane negatywne konsekwencje dla szerszych procesów ekonomicznych i społecznych. Między innymi:

• sprzyja monopolistycznym praktykom rynkowym, zwłaszcza w wykonaniu gigantów reklamy internetowej: Google’a i Facebooka – przez to media internetowe muszą angażować się w nierówną walkę o reklamodawców i uwagę użytkowników;
• powoduje, że sensacja i clickbait, publikowane dla przyciągnięcia uwagi użytkowników i skłonienia ich do kliknięcia, wypierają rzetelne i wyważone treści, co w dłuższej perspektywie prowadzi do spadku jakości mediów i erozji debaty publicznej (grzechy reklamy behawioralnej szczegółowo opisujemy w raporcie Śledzenie i profilowanie w sieci z 2018 r. i opracowaniu To Track or Not To Track: Towards Privacy-Friendly and Sustainable Online Advertising [PDF] z 2020 r.).

Biznesowi lobbyści często zarzucają nam, że krytykując obecny model działania reklamy internetowej, chcemy utrudnić małym firmom docieranie do potencjalnych klientów w najbliższej okolicy. Ich zdaniem życzymy też źle małym portalom internetowym, które zarabiają, udostępniając miejsce na reklamę.

Przeciwnie: nie chcemy utrudniać życia małym firmom ani odcinać źródeł finansowania portalom. Uważamy jednak, że reklama nie musi wiązać się z inwazyjnym śledzeniem każdego naszego ruchu w sieci. Na rynku reklamy internetowej są już firmy, które widzą potencjał w bardziej etycznych modelach reklamowych (zob. więcej w części 3).

Jakie są wasze postulaty?

Chcemy, żeby prawa ludzi korzystających z Internetu były chronione. Walczymy o wprowadzenie na poziomie unijnym przepisów, które:

• ograniczą możliwość personalizowania reklam, tak żeby było to dozwolone wyłącznie na bazie ujawnionych i świadomie przekazanych w celach reklamowych informacji o użytkowniku (a nie zaobserwowanych czy wywnioskowanych na podstawie czyjegoś zachowania w sieci, w szczególności tzw. inferred data); a także skutecznie zakażą wykorzystywania do tego informacji podanych w innych celach (np. do korzystania z serwisu);
• zakażą manipulowania decyzjami użytkowników poprzez tzw. dark patterns, czyli projektowanie okienek, serwisów i interfejsów w taki sposób, który skłania do przekazania większej ilości danych, niż użytkownik faktycznie chce przekazać;
• zakażą wielkim platformom internetowym łączenia danych o użytkownikach pomiędzy serwisami;
• nałożą obowiązek respektowania wyborów użytkowników wysyłanych przez ich urządzenie (np. sygnałów „nie śledź mnie”).

W sprawie przeciwko IAB Europe dążymy do uznania za nielegalne szkodliwych praktyk branży reklamowej, takich jak:

• śledzenie przez strony trzecie bez dobrowolnej i świadomej zgody osoby śledzonej;
• projektowanie „zgód” marketingowych w taki sposób, żeby ludzie nie wiedzieli, na co właściwie się godzą;
• niekontrolowaną wymianę danych pomiędzy setkami pośredników.

Niektóre z tych postulatów zostały zrealizowane w przyjętych w 2022 r. akcie o usługach cyfrowych i akcie o rynkach cyfrowych (więcej w cz. 3).

Skoro to pośrednicy reklamowi wykorzystują dane, dlaczego złożyliście skargę na IAB Europe, a nie na na nich?

Z powodów praktycznych (do Transparency & Consent Framework należy ponad 1000 firm), ale nie tylko.

System aukcji reklamowych został celowo tak zaprojektowany, żeby ukryć przepływy danych i ograniczyć odpowiedzialność poszczególnych graczy. Nawet wygrane skargi na pojedyncze firmy rzadko przynoszą efekt w postaci zmiany praktyk na całym rynku. Potwierdzają to wcześniejsze doświadczenia w Polsce (nieskuteczne próby uzyskania dostępu do profili marketingowych od poszczególnych pośredników reklamowych: brokerów danych, giełd reklam i portali internetowych) i za granicą (np. decyzja francuskiego CNIL ws. firmy Vectuary, która nielegalnie przetwarzała dane z giełd reklam).

Dlatego zdecydowaliśmy się uderzyć w fundament tego systemu – reguły gry dla aukcji reklamowych. Zmienić je mogą tylko ci, którzy je zaprojektowali, czyli w tym przypadku IAB Europe.

Czy znikną irytujące „okienka zgody” (pop-upy)?

Złośliwi twierdzą, że jeśli TSUE przychyli się do interpretacji belgijskiego organu ochrony danych, jedynym efektem będą jeszcze dłuższe i jeszcze bardziej irytujące pop-upy, czyli okienka „zgód RODO”.

Postawmy sprawę jasno: atakujące użytkowników na większości stron internetowych okienka to nie jest obowiązek wynikający z RODO. To świadomy wybór biznesowy branży reklamy internetowej, która szuka sposobu na zalegalizowanie inwazyjnych praktyk śledzenia i profilowania.

RODO wprowadza zasadę prywatności by design i by default. Gdyby branża reklamowa traktowała ją poważnie, respektowałaby preferencje dotyczące śledzenia (sygnał „Do Not Track”) wyrażone przez użytkowników w ustawieniach przeglądarki lub urządzenia. Osoby, które zaznaczyły taką opcję, nie musiałyby nawet oglądać próśb o zgodę.

Tak się nie dzieje, bo firmom to się nie opłaca. Decyzja w sprawie IAB Europe potwierdza, że wyskakujące okienka nie są zgodne z RODO. Belgijski organ ochrony danych zgodził się z nami, że skala i głębokość śledzenia są tak duże, iż przeciętny użytkownik Internetu nie jest w stanie zrozumieć realnych konsekwencji swojej „zgody”. Klika w niepozorny przycisk „Przejdź dalej”. Trudno zatem mówić o w pełni świadomej i dobrowolnej zgodzie, jakiej wymaga RODO.

To od IAB Europe zależy, czy irytujące okienka znikną, czy też przekształcą się w inny koszmarek.

Co zrobi IAB Europe, jeśli TSUE podejmie decyzję korzystną dla użytkowników?

Jeśli TSUE podtrzyma decyzję belgijskiego organu ochrony danych osobowych, IAB Europe będzie miał dwa wyjścia: albo pójdzie w zaparte i dalej będzie przekonywać klientów korzystających z TCF, że „wszystko będzie dobrze”; albo zdecyduje się na reformę tego systemu. Jak na razie stawia na pierwszą opcję i uspokaja swoich klientów, że nie muszą kasować nielegalnie zebranych danych.

Jednak póki system licytacji na giełdach reklam opiera się na niekontrolowanej wymianie danych pomiędzy pośrednikami, póty „zgoda” nie będzie ważna. Nie zmieni tego żadna „skórka” nałożona na wyskakujące okienko. IAB Europe oczywiście może wykonywać pozorowane ruchy i obracać druzgocącą dla całej branży decyzję na swoją korzyść, przekonując, że to okazja do przerobienia TCF na ogólnoeuropejski branżowy kodeks postępowania.

My jednak jesteśmy przekonani, że na dłuższą metę nie obędzie się bez głębokiej reformy całego systemu giełd reklamowych, polegającej na ograniczeniu liczby pośredników i zakresu wymienianych danych. Podobnie uważają akademiccy eksperci – według nich tylko ograniczenie pośredników i zakresu wymienianych między nimi danych pozwoli spełnić wymóg dostosowania TCF do RODO postawiony przez belgijski organ.