Irytujące wyskakujące okienka GDPR uznane za niezgodne z prawem
Irlandzka Rada Wolności Obywatelskich w 2019 roku złożyła w sprawie pop-upów skargę przeciwko IAB Europe, organizacji zajmującej się handlem reklamami cyfrowymi, która reprezentuje ponad 5500 organizacji i jest mocno zaangażowana w prowadzenie branży reklamowej. IAB Europe prowadzi również Transparency & Consent Framework (TCF), system, za pośrednictwem którego wyświetlane są reklamy. Kod TCF zawiera informacje o decyzji danej osoby o tym, czy wyraża zgodę na śledzenie przez pliki cookies i przez kogo.
Nowe orzeczenie wydane przez 28 unijnych organów ochrony danych stwierdza jednoznacznie, że IAB Europe dopuszczało się wielu naruszeń RODO przy przetwarzaniu danych osobowych za pośrednictwem TCF i systemu licytacji w czasie rzeczywistym OpenRTB (za pośrednictwem którego sprzedawane są reklamy). Zasadniczo oznacza to, że wyskakujące zgody o przetwarzanie danych naruszają zasady, którym miały służyć, i dlatego są… nielegalne.
„Podejście przyjęte do tej pory nie spełnia warunków przejrzystości i rzetelności wymaganych przez RODO. Rzeczywiście, niektóre z określonych celów przetwarzania są wyrażone w sposób zbyt ogólny, aby osoby, których dane dotyczą, mogły być odpowiednio poinformowane o dokładnym zakresie i charakterze przetwarzanie ich danych osobowych” – czytamy w orzeczeniu.
Dostrzeżono również to, że pop-upy irytują internautów, co mogło wpływać na ich decyzję o wyrażeniu zgody na przetwarzanie danych.
ICCL podsumowała to, w jaki sposób TCF narusza RODO:
- Nie zapewnia bezpieczeństwa i poufności danych osobowych (art. 5 ust. 1 lit. f i 32 RODO).
- Nie żąda w prawidłowy sposób wyrażenia zgody i opiera się na podstawie prawnej (uzasadniony interes), która jest niedopuszczalna ze względu na poważne ryzyko, jakie stwarza śledzenie reklam online (art. 5 ust. 1 lit. a i art. 6 RODO).
- Nie zapewnia przejrzystości co do tego, co stanie się z danymi osób (art. 12, 13 i 14 RODO).
- Nie wdraża środków zapewniających, że przetwarzanie danych odbywa się zgodnie z RODO (art. 24 RODO).
- Nie spełnia wymogu „ochrony danych już w fazie projektowania” (art. 25 RODO).st
Wyrok wiąże się z grzywną w wysokości 250 000 euro (ok. 1,141 mln złotych), która blednie w porównaniu z innymi postawieniami. Reklamodawcy będą musieli usunąć wszystkie dane zebrane za pomocą wyskakujących okienek, co – jeśli wyrok się uprawomocni – wpłynie na ponad 1000 firm, w tym Amazon, Google, Meta i Microsoft.
Koniec wyskakujących okienek w Unii Europejskiej?
Czy to oznacza koniec spamu w postaci wyskakujących okienek w krajach UE? Prawdopodobnie… nie. System najpewniej zostanie po prostu zmodyfikowany. Do tego czasu jednak, po uprawomocnieniu się wyroku, zostanie wycofany.
Źródło: ICCL