IAB Europe narusza RODO

Artykuł

10.11.2021

4 min. czytania

Tekst

Irytujące wyskakujące okienka (pop-upy) naruszają RODO. Wymuszanie w taki sposób zgody na śledzenie użytkowników i użytkowniczek przez setki podmiotów po to, by serwować personalizowaną reklamę, narusza przepisy – wynika z wstępnej decyzji wydanej przez belgijski organ ochrony danych osobowych*.

To efekt skarg złożonych w 2019 r. przez Panoptykon i inne europejskie organizacje kwestionujące zgodność z prawem systemu reklamy opartej na śledzeniu, którym zarządza IAB Europe. Skargi dotyczą m.in. irytujących okienek, które na tysiącach portali internetowych wymuszają naszą „zgodę” na przekazywanie danych setkom podmiotów reklamowych.

Chodzi o to wyskakujące okienko, które zazwyczaj czym prędzej zamykamy, żeby dostać się do poszukiwanych treści, a które ma dawać nam złudne poczucie kontroli nad tym, co się dzieje z naszymi danymi. Złudne, bo informacje o nas płyną szerokim strumieniem do setek „zaufanych partnerów IAB”, którzy na odbywających się w czasie rzeczywistym aukcjach (real-time bidding, RTB) licytują się o naszą uwagę. W skargach zwracaliśmy też uwagę na to, że przygotowane przez IAB Europe pop-upy zaprojektowane są tak, by popchnąć użytkowników i użytkowniczki do kliknięcia „zgadzam się”. Taka wymuszona „zgoda” jest nielegalna na gruncie RODO.

IAB Europe utrzymuje, że działa w zgodzie z prawem, bo „nie jest administratorem danych”, a poza tym profile marketingowe tworzone na potrzeby funkcjonowania giełd reklamowych „to nie są dane osobowe”. W naszych skargach zwracaliśmy uwagę, że jest dokładnie odwrotnie, a wstępna decyzja belgijskiego organu przyznaje nam rację. Oznacza to, że IAB Europe powinno spełnić wszystkie wymagania, jakie RODO stawia administratorom (przede wszystkim przeprowadzić analizę ryzyka przetwarzania danych, wdrożyć zasady domyślnej ochrony prywatności i wykazać, że przetwarza dane legalnie). Użytkownicy i użytkowniczki Internetu powinni zaś móc skorzystać z praw, które daje im RODO, a których obecnie nie mogą zrealizować, np. zażądać dostępu do danych, sprostowania ich czy usunięcia.

Dr Johnny Ryan z Irish Council for Civil Liberties, który zainicjował skargi, zwraca uwagę, że system „Transparency & Consent Framework” (TCF) zaprojektowany przez IAB Europe wykorzystywany jest przez ok. 80% działających w Europie stron i aplikacji internetowych. Jeśli organy ochrony danych z Polski i Holandii, z których pochodzi dwoje skarżących (Panoptykon i holenderska organizacja Bits of Freedom), zgodzą się z decyzją organu belgijskiego, cała branża, w tym potentaci tacy jak Google, którzy też wykorzystują rozwiązania przygotowane przez IAB Europe, będzie musiała się zreformować.

Od złożenia skarg w 2019 r. minęły prawie 3 lata. W tym czasie pojawił się nowy, ważny czynnik, który wpłynie na kształt reklamy w sieci. Chodzi o przygotowywany obecnie w UE Digital Services Act (akt o usługach cyfrowych), w którym walczymy o całkowity zakaz reklamy opartej na inwazyjnym śledzeniu. Sprawa przeciwko IAB Europe potwierdza, że branża reklamowa ignoruje wymogi RODO, dlatego potrzebujemy dalej idących rozwiązań.

Tymczasem czekamy na potwierdzenie decyzji belgijskiego organu ochrony danych, która zgodnie z przewidzianym w RODO mechanizmem one-stop shop trafi niebawem do organów w Polsce i Holandii. Te mają miesiąc na przygotowanie swojego stanowiska. Jeśli zgodzą się z decyzją Belgów, decyzja stanie się obowiązująca. Jeśli się sprzeciwią, sprawa trafi przed Europejską Radę Ochrony Danych. Liczymy na ten pierwszy scenariusz!

Anna Obem

Współpraca: Karolina Iwańska

*W tekście opieramy się na informacjach przekazanych nam przez kancelarię reprezentującą nas w postępowaniu w Belgii i oświadczeniu opublikowanym przez IAB Europe 5 listopada 2021 r. Dokładniejszą analizę opublikujemy, gdy tylko poznamy treść decyzji.