Вчера NOYB съобщи новината с картинка Privacy win! и заглавие BREAKING: Meta prohibited from use of personal data for advertising
Вчера ирландската Комисия за защита на данните (DPC) обяви приключването на две разследвания относно операциите по обработка на данни на Meta Platforms Ireland Limited („Meta Ireland“) във връзка с предоставяните от Facebook и Instagram услуги.
В окончателните решение на DPC глобата на Meta Ireland е 390 милиона евро – 210 милиона евро за нарушения на GDPR от Facebook и 180 милиона евро за нарушения на Instagram.
Meta Ireland също получи указания да приведе своите операции по обработка на данни в съответствие с изискванията в рамките на период от 3 месеца, пише в сайта на DPC. NOYB коментира: „Решението означава, че в рамките на три месеца Meta трябва да позволи на потребителите да разполагат с версия на всички приложения, която не използва лични данни за реклами.“
NOYB подаде жалбите до надзорния орган от името на австрийски потребител на Facebook и от белгийски потребител на Instagram.
Жалбите са подадени на 25 май 2018 г., датата, на която GDPR влезе в сила.
Преди 25 май 2018 г. Meta Ireland промени условията за ползване на Facebook и Instagram. Промени се и правното основание за обработването на личните данни на потребителите. Преди това се разчиташе на съгласието на потребителите за обработването на техните лични данни в контекста на предоставянето на услугите на Facebook и Instagram (включително поведенческа реклама), Meta Ireland направи опит да използва „договор“ като основание за повечето (но не всички) от операциите по обработка.
След въвеждането на GDPR съществуващите (и новите) потребители бяха помолени да кликнат върху „Приемам“, за да покажат, че приемат актуализираните Условия за ползване. (При отказ услугите спират да са достъпни).
Meta Ireland счита, че с приемането на актуализираните Условия за ползване е сключен договор между Meta Ireland и потребителя. Както и че обработването на данните на потребителите във връзка с предоставянето на услугите на Facebook и Instagram е необходимо за изпълнението на този договор, за да се предоставят персонализирани услуги и поведенческа реклама, така че тези операции по обработване се позовават на член 6, параграф 1, буква б) от GDPR („договор“ като правно основание за обработка).
Жалбоподателите твърдят, че като поставя достъпността на услугите си в зависимост от приемането на актуализираните Условия за ползване, Meta Ireland всъщност „принуждава“ потребителите да дадат съгласието си за обработка на техните лични данни за поведенческа реклама и други персонализирани услуги. Жалбоподателите твърдят, че това е в нарушение на GDPR.
След задълбочени разследвания DPC подготви проекти за решения, в които направи редица констатации срещу Meta Ireland. По-специално, той установи, че:
- В нарушение на задълженията си по отношение на прозрачността, информацията във връзка с правното основание, на което се позовава Meta Ireland, не беше ясно очертана на потребителите, в резултат на което потребителите нямаха достатъчно яснота относно това какви операции по обработка се извършват на техните лични данни, за каква цел(и) и по отношение на кое от шестте правни основания, посочени в член 6 от GDPR. DPC счита, че липсата на прозрачност по такива основни въпроси противоречи на членове 12 и 13, параграф 1, буква в) от GDPR. Той също така счита, че това представлява нарушение на член 5, параграф 1, буква а), който закрепва принципа, че личните данни на потребителите трябва да се обработват законосъобразно, справедливо и по прозрачен начин.
- При обстоятелства, при които установи, че Meta Ireland всъщност не разчита на съгласието на потребителите като предоставящо законно основание за обработката на техните лични данни, аспектът на „принудителното съгласие“ на жалбите не може да бъде поддържан. Оттам DPC продължи да разглежда разчитането на Meta Ireland на „договор“ като предоставящо правно основание за обработката на личните данни на потребителите във връзка с предоставянето на нейните персонализирани услуги (включително персонализирана реклама). Тук DPC установи, че Meta Ireland не е длъжна да разчита на съгласие; по принцип GDPR не изключва разчитането на Meta Ireland на договорното правно основание.
Съгласно процедура, наложена от GDPR, проекторешенията, изготвени от DPC, бяха представени на партньорските регулатори в ЕС/ЕИП, Concerned Supervisory Authorities (CSAs).
По въпроса дали Meta Ireland е действала в нарушение на задълженията си за прозрачност, CSAs се съгласиха с решенията на DPC, въпреки че считаха, че глобите, предложени от DPC, трябва да бъдат увеличени.
Десет от 47-те CSA повдигнаха възражения по отношение на други елементи от проекторешенията (едно от които впоследствие беше оттеглено в случая с проекторешението, свързано с услугата Facebook). По-специално, тази подгрупа от CSA зае мнението, че Meta Ireland не трябва да има право да разчита на договор като основание.
DPC не се съгласи, отразявайки мнението си, че услугите Facebook и Instagram включват и наистина изглеждат базирани на предоставянето на персонализирана услуга, която включва персонализирана или поведенческа реклама. На практика това са персонализирани услуги, които включват и персонализирана реклама. Според DPC това е същността на сделката, сключена между потребителите и избрания от тях доставчик на услуги, и представлява част от договора, сключен в момента, в който потребителите приемат Условията на услугата.
След процес на консултации стана ясно, че не може да се постигне консенсус. В съответствие със задълженията си по GDPR, DPC отнесе спора до Европейския комитет за защита на данните (ЕКЗД/EDPB).
ЕКЗД издаде своите решения на 5 декември 2022 г.
Според DPC становището на ЕКЗД отхвърля много от възраженията, повдигнати от CSA. Подкрепена е и позицията на DPC за нарушението от страна на Meta Ireland на задълженията за прозрачност, добавено е допълнително нарушение (на принципа на „справедливост“) и е дадено указание DPC да увеличи глобите.
ЕКЗД смята, че по принцип Meta Ireland няма право да се позовава на правното основание „договор“ като предоставящо законно основание за обработването на лични данни за целите на поведенческата реклама.
Окончателните решения, приети от DPC на 31 декември 2022 г., отразяват обвързващите решения на ЕКЗД. Съответно решенията на DPC включват констатации, че Meta Ireland няма право да разчита на правното основание на „договор“ във връзка с предоставянето на поведенческа реклама като част от своите услуги във Facebook и Instagram и че обработката на данните на потребителите до момента, при предполагаемо разчитане на правното основание „договор“, представлява нарушение на член 6 от GDPR.
По отношение на санкциите и в светлината на това допълнително нарушение на GDPR DPC увеличи размера на административните глоби, наложени на Meta Ireland, до 210 милиона евро (в случая с Facebook) и 180 милиона евро в случая с Instagram. (Ревизираните нива на тези глоби също така отразяват възгледите на ЕКЗД във връзка с нарушенията на задълженията на Meta Ireland във връзка с честната и прозрачна обработка на личните данни на потребителите).
Съществуващото изискване на DPC Meta Ireland да приведе своите операции по обработка в съответствие с GDPR в рамките на период от 3 месеца, е запазено.
Отделно, EDPB също възнамерява да нареди на DPC да проведе ново разследване, което да обхване всички операции по обработка на данни на Facebook и Instagram и да проучи специални категории лични данни, които могат или не могат да бъдат обработвани в контекста на тези операции. Решенията на DPC естествено не включват позоваване на нови разследвания на всички операции по обработка на данни във Facebook и Instagram, които са били указани от EDPB в неговите обвързващи решения. ЕКЗД няма обща надзорна роля, подобна на националните съдилища по отношение на националните независими органи, пише в сайта на DPC.
DPC счита за подходящо да заведе иск за отмяна пред Съда на ЕС, за да поиска отмяна на указанията на ЕКЗД.
На 7 декември 2022 г. разказах за указанията на ЕКЗД и за радостта на неправителствената организация за защита на неприкосновеността на личния живот: заглавието беше NOYB победи – обявиха бизнесмодела на Meta за незаконен в ЕС.
Вчера NOYB съобщи новината с картинка Privacy win! и заглавие BREAKING: Meta prohibited from use of personal data for advertising.
NOYB е акроним за „none of your business“