Postęp w sprawach przeciwko IAB i Google’owi: skargi trafią do Belgii i Irlandii

Prezes UODO uznał, że nasze skargi na IAB Europe i Google’a – podmioty odpowiedzialne za to, jak działa spersonalizowana reklama w Internecie – mają charakter transgraniczny, czyli wpływają na sytuację osób zamieszkałych nie tylko w Polsce. Mając na celu spójne stosowanie RODO w całej Unii, Prezes UODO przekazał więc nasze skargi do urzędów ochrony danych w Belgii i Irlandii, gdzie – odpowiednio – IAB i Google mają swoje europejskie siedziby. To daje nadzieję na systemową zmianę tego, jak działa reklama internetowa w całej Unii.

Co to oznacza?

Przekazanie skarg do urzędów ochrony danych w Belgii i Irlandii oznacza, że formalnie to one zajmą się ich rozpatrzeniem jako tzw. organy wiodące. Belgijski urząd już zadeklarował przyjęcie sprawy do rozpoznania, natomiast irlandzki jeszcze nie wyraził swojego stanowiska. RODO przewiduje taki mechanizm dla spraw, które mogą mieć wpływ na osoby zamieszkałe w więcej niż jednym państwie członkowskim. Tak niewątpliwie jest w tym przypadku: licytacje na giełdach reklam dotyczą zarówno użytkowników z Polski, jak i z innych europejskich państw.

Przekazanie skarg do Belgii i do Irlandii nie oznacza, że rola naszego UODO się kończy. Po pierwsze, urząd będzie pełnił rolę pośrednika pomiędzy nami a organami wiodącymi i będzie informował nas o wszystkich postępach w sprawach. Po drugie, RODO nakłada na organ wiodący obowiązek współpracy z innymi zaangażowanymi organami. Zanim belgijski lub irlandzki urząd wyda decyzję, musi jej projekt skonsultować z UODO i w możliwie najpełniejszy sposób uwzględnić jego uwagi. Polski urząd będzie też mógł wyrazić sprzeciw wobec projektowanego rozstrzygnięcia – jeśli ten sprzeciw zostanie odrzucony, wówczas sprawa trafi do Europejskiej Rady Ochrony Danych (złożonej z reprezentantów urzędów ochrony danych ze wszystkich państw członkowskich), która podejmie wiążącą decyzję w sprawie.

Czego dotyczą nasze skargi?

Przypomnijmy – skarżymy się na działanie systemów, które dopasowują reklamę do użytkowników. Odbywa się to w drodze licytacji, w ramach których dane użytkowników są rozpowszechniane nawet do setek firm, często bez wiedzy i zgody bezpośrednio zainteresowanych. Na funkcjonowanie całego ekosystemu reklamy internetowej największy wpływ mają IAB i Google, które to podmioty tworzą zasady działania systemów, wydają wytyczne i specyfikacje techniczne. To dlatego skarżymy się właśnie na nich, a nie na liczne mniejsze firmy, które – często z braku alternatywy – podporządkowują się regułom stworzonym przez IAB i Google.

Co zarzucamy IAB i Google’owi?

• Setki firm, które biorą udział w aukcjach reklamowych, ma dostęp do danych osobowych użytkowników bez ich wiedzy i zgody.
• Ani strona, która rozpoczyna aukcję, ani twórcy tych systemów nie mają kontroli nad dalszym wykorzystaniem rozpowszechnionych danych.
• Użytkownik, którego dane trafiają na giełdę, nie ma do nich dostępu i nie jest w stanie realizować uprawnień, które daje mu RODO (np. zażądać korekty czy usunięcia).
• Na aukcje trafia więcej danych, niż jest potrzebne, żeby dopasować reklamę; mogą to być nawet dane wrażliwe – ujawniające stan zdrowia, orientację seksualną, pochodzenie etniczne czy poglądy polityczne.

Skargi złożyliśmy w symbolicznym Dniu Ochrony Danych Osobowych, który obchodzimy 28 stycznia. Tego samego dnia opublikowaliśmy raport Śledzenie i profilowanie w sieci pokazujący, jak tworzone są nasze profile behawioralne, jak wyglądają licytacje na giełdach reklam i z jakimi zagrożeniami to się wiąże.

Treść skarg złożonych przeciwko IAB i Google'owi

Karolina Iwańska

Wesprzyj nas w walce o wolność i prywatność w sieci! Przekaż Fundacji Panoptykon swój 1,5% podatku (KRS: 0000327613).