Facebook и Instagram вече не могат да пускат персонализирани реклами без съгласието на потребителя
EDPB реши, че Meta не може да принуди потребителите да се съгласят с персонализирани реклами. Това съобщи неправителствената организация за защита на неприкосновеността на личния живот NOYB:
През май 2018 г., когато GDPR влезе в сила в ЕС, Meta Ireland Ltd. вярваше, че може да „заобиколи“ изискването за получаване на съгласие за включване от потребителите, като просто добави разпоредба в правилата и условията за ползване. На 25 май 2018 г. организацията за цифрови права NOYB подаде жалби до съответните органи за защита на данните (DPA).
Сега, 4,5 години по-късно, Европейският комитет за защита на данните (EDPB) намери предполагаемото „заобикаляне“ на Meta на GDPR за незаконно. EDPB също отхвърли становището на Ирландската комисия за защита на данните (DPC), която преди това застана на страната на Meta, след като отне четири години, за да разследва случая.
EDPB е цитиран, че законодателството на ЕС за поверителността не позволява на Instagram и Facebook да използват техните terms of service като оправдание за разрешаване на такива реклама.
Това решение се основава на жалби, подадени от NOYB на 25 май 2018 г., деня, в който започна прилагането на GDPR.
EDPB издаде решение, изискващо от ирландския DPC (регулаторът за Meta в ЕС) да издаде окончателно решение в рамките на един месец.
Решението на EDPB не е насочено към страните преди процедурата, а към ирландския DPC.
По този начин ЕКЗД отменя предишно проекторешение на ирландския DPC, което застъпи мнението, че заобикалянето на Meta на GDPR е законно.
Решението на EDPB изисква Meta да не използва лични данни за реклами въз основа на предполагаем „договор“. Следователно потребителите трябва да имат опция за съгласие с да/не.
Решението на EDPB не забранява други форми на реклама (като контекстуални реклами, базирани на съдържанието на дадена страница).
Самото решение на EDPB не беше публикувано, но ще бъде публикувано заедно с окончателното решение на DPC през януари 2023 г.
ЕКЗД иска и солидна глоба, точният размер все още не е известен.
Мета искаше да „заобиколи“ съгласието. GDPR позволява шест правни основания за обработка на данни, едно от които е съгласие съгласно член 6, параграф 1, буква а). Meta се опита да заобиколи изискването за съгласие за проследяване и онлайн реклама, като аргументира, че рекламите са част от „услугата“, която по договор дължи на потребителите. Предполагаемата смяна на правното основание се случи точно на 25 май 2018 г. в полунощ, когато GDPR започна да се прилага. Така наречената „contractual necessity“ съгласно член 6, параграф 1, буква б) обикновено се разбира тясно и например би позволила на онлайн магазин да препрати адреса на пощенска служба, тъй като това е строго необходимо за доставяне на поръчка. Meta обаче зае мнението, че може просто да добави произволни елементи към договора (като персонализирана реклама), за да избегне опцията за съгласие да/не за потребителите.
Макс Шремс, почетен председател на NOYB: „Вместо да имат опция „да/не“ за персонализирани реклами, те просто преместиха клаузата за съгласие в общите условия. Това не е просто несправедливо, но очевидно е незаконно. Не знаем за друга компания, която се е опитала да игнорира GDPR по такъв арогантен начин.“
Очаква се значителна глоба. В допълнение към пълното спиране на персонализираните реклами, EDPB настоява за масивна глоба за Meta, според WSJ. В края на краищата компанията е основала обработката на повечето търговски данни на правно основание, което е ясно изключено от EDPB в изрични насоки през 2019 г., което води до явно умишлени нарушения на закона. Meta вече е засегната с над 1 милиард евро глоби от GDPR досега. Meta трябва да плати тази глоба на ирландската държава.
Макс Шремс: „Тази процедура черпи от много ресурси на нашата финансирана от дарения асоциация. Случаят вероятно ще стигне до съдилищата след това. Санкцията обаче ще отиде в Ирландия – държавата, която е заела страната на Мета и забавя процедурата повече от четири години.“
DPC и Meta си сътрудничиха за „байпас“. По време на процедурата Meta се позовава на десет поверителни срещи с ирландския DPC, в които се твърди, че DPC е позволил на Meta да използва този „байпас“. По-късно беше разкрито, че DPC дори се е опитал да повлияе на съответните указания на EDPB в интерес на Meta. Въпреки това, другите европейски надзорни органи отхвърлиха становището на DPC през 2018 г. и отново в окончателното решение на ЕКЗД. Делото отне повече от 4,5 години и доведе до стотици страници с доклади и изявления, въпреки че случаят се отнася до доста прост правен въпрос.
Макс Шремс: „Този случай е за прост правен въпрос. Въпреки бавната процедура, в крайна сметка сме доволни от решението на EDPB.“
Последствие: няма персонализирани реклами. Решението означава, че Meta трябва да позволи на потребителите да имат версия на всички приложения, които не използват лични данни за реклами. Решението все още ще позволи на Meta да използва нелични данни (като съдържанието на история), за да персонализира реклами или да иска от потребителите съгласие за реклами чрез опция да/не. Потребителите трябва да могат да оттеглят съгласието си по всяко време и Meta не може да ограничава услугата.
Въпреки че това ще ограничи драстично печалбите на Meta в ЕС, то няма да забрани напълно рекламите. Вместо това решението ще постави Meta на същото ниво като други уебсайтове или приложения, които трябва да предоставят опция да/не на потребителите.
Макс Шремс: „Това е огромен удар върху печалбите на Meta в ЕС. Сега хората трябва да бъдат попитани дали искат данните им да се използват за реклами или не. Те трябва да имат отговор „да или не“ и могат да променят решението си по всяко време. Решението също така гарантира равни условия с други рекламодатели, които също трябва да получат съгласие за включване.“
Следващи стъпки. Решението на EDPB се предава на ирландския DPC. След това решението трябва да бъде връчено на Meta в Ирландия и на NOYB в Австрия в рамките на един месец (т.е. през януари 2023 г.). След това Meta може да обжалва решението, но шансовете за спечелване на такова обжалване са минимални след решение на EDPB. Има и две подобни дела пред Съда на ЕС (CJEU) относно заобикалянето на съгласието на Meta, което може да разреши проблема и всички обжалвания окончателно. Потребителите също могат да предприемат действия срещу незаконното използване на техните данни през последните 4,5 години.
Noyb е акроним за „none of your business“.