BREAKING: Meta (Facebook a Instagram) zakázané používať osobné údaje na reklamu. Veľký úder pre obchodný model spoločnosti Meta v Európe po súdnom spore s Noybom . Pokuta pre spoločnosť Meta sa viac ako zdesaťnásobila z 28 miliónov EUR na 390 miliónov EUR. Tretí prípad týkajúci sa aplikácie WhatsApp je v štádiu riešenia.
Ako potvrdil írsky DPC, Európsky výbor pre ochranu údajov (EDPB) zamietol obchádzanie GDPR zo strany írskeho DPC a spoločnosti Meta na základe sťažností noyb proti Facebooku a Instagramu. Spoločnosť Meta má teraz zakázané obchádzať GDPR prostredníctvom doložky v podmienkach. Meta musí získať "opt-in"" súhlas na personalizovanú reklamu a musí používateľom poskytnúť možnosť "áno/nie". Rozhodnutie v treťom paralelnom prípade týkajúcom sa aplikácie WhatsApp sa odkladá na polovicu januára.
- Vysvetľujúce video o obchádzaní spoločnosti Meta (od decembra 2022)
- Pôvodné sťažnosti noyb z roku 2018
- Predchádzajúce spravodajstvo o prvých informáciách o rozhodnutí EDPB (Reuters)
Key Facts:
- O dvoch sťažnostiach, ktoré podal noyb v mene rakúskeho a belgického používateľa 25. mája 2018 (v deň, keď sa začalo uplatňovať GDPR), bolo dnes rozhodnuté.
- Tretia sťažnosť na WhatsApp v mene nemeckého používateľa bola podľa e-mailu DPC odložená na polovicu januára.
- Spoločnosť Meta sa pokúsila "obísť" požiadavku súhlasu v nariadení GDPR pridaním doložky do podmienok pre reklamu.
- V decembri 2022 EDPB zrušil predchádzajúci návrh rozhodnutia írskej DPC, ktorá zastávala názor, že obchádzanie GDPR spoločnosťou Meta bolo zákonné.
- V konečnom rozhodnutí sa vyžaduje, aby spoločnosť Meta nemohla používať osobné údaje na reklamy na základe údajnej "zmluvy". Používatelia preto musia mať k dispozícii možnosť súhlasu áno/nie ("opt-in"), inak Meta nesmie používať ich údaje na personalizovanú reklamu.
- Rozhodnutie nezakazuje iné formy reklamy (napríklad kontextové reklamy založené na obsahu stránky).
- Používanie osobných údajov spoločnosťou Meta bolo od mája 2018 nezákonné.
- Pokuty pre spoločnosti Facebook a Instragram predstavujú celkovú sumu 390 miliónov eur. Očakáva sa ďalšia pokuta pre WhatsApp v paralelnom konaní.
Spoločnosť Meta chcela "obísť" nariadenie GDPR. GDPR umožňuje šesť právnych základov na spracovanie údajov, pričom jedným z nich je súhlas podľa článku 6 ods. 1 písm. a). Spoločnosť Meta sa pokúsila obísť požiadavku súhlasu na sledovanie a online reklamu tvrdením, že reklamy sú súčasťou "služby", ktorú zmluvne dlhuje používateľom. K údajnej zmene právneho základu došlo presne o polnoci 25. mája 2018, keď GDPR nadobudlo účinnosť. Takzvaná "zmluvná nevyhnutnosť" podľa článku 6 ods. 1 písm. b) sa zvyčajne chápe úzko a umožňovala by napr. internetovému obchodu postúpiť adresu poštovej službe, keďže je to nevyhnutne potrebné na doručenie objednávky. Spoločnosť Meta však zastávala názor, že môže do zmluvy pridať len náhodné prvky (napr. personalizovanú reklamu), aby sa vyhla možnosti súhlasu áno/nie pre používateľov.
Max Schrems:"Namiesto možnosti "áno/nie" pre personalizované reklamy jednoducho presunuli klauzulu o súhlase do zmluvných podmienok. To je nielen nespravodlivé, ale aj jednoznačne nezákonné. Nevieme o žiadnej inej spoločnosti, ktorá by sa snažila ignorovať GDPR takýmto arogantným spôsobom."
pokuty vo výške 380 mil. eur chcela spoločnosť DPC 28 až 36 mil. Okrem celkového zastavenia personalizovaných reklám EDPB trval na obrovskej pokute pre spoločnosť Meta. Spoločnosť totiž založila väčšinu komerčných spracovaní údajov na úmyselnom porušení zákona. EDPB už v roku 2019 vydal Usmernenia v tejto veci. Spoločnosť Meta už predtým dostala v iných prípadoch pokuty za porušenie GDPR vo výške viac ako 900 miliónov EUR. Pokutu dostane írsky štát, nie sťažovateľ, noyb alebo EDPB. DPC predtým v návrhu rozhodnutia(pozri stranu 87 tu) žiadala 28 až 36 miliónov EUR, čo je len 10 % z teraz už konečného rozhodnutia EDPB.
Max Schrems: "Pokutu dostane Írsko - štát, ktorý sa postavil na stranu Meta a viac ako štyri roky odkladal vymáhanie. Proti tomuto prípadu sa spoločnosť Meta pravdepodobne odvolá, čo povedie k ďalším nákladom pre noyb."
DPC a Meta spolupracovali a dostali zrušenie EDPB. V priebehu konania sa Meta opierala o desať dôverných stretnutí s írskou DPC, na ktorých DPC umožnila spoločnosti Meta použiť tento "bypass". Neskôr sa ukázalo, že DPC sa dokonca pokúsilo ovplyvniť príslušné usmernenia EDPB v záujme spoločnosti Meta. Napriek tomu ostatné európske orgány na ochranu údajov interne odmietli stanovisko DPC v roku 2018, v Usmerneniach v roku 2019 a opäť v konečnom rozhodnutí EDPB v decembri 2022. Prípad sa vystupňoval na 4,5 roka so stovkami strán správ a podaní napriek tomu, že prípad sa týkal pomerne jednoduchej právnej otázky.
Max Schrems:"Tento prípad sa týka jednoduchej právnej otázky. Spoločnosť Meta tvrdí, že 'obchvat' sa uskutočnil s požehnaním DPC. DPC roky naťahovalo konanie a trvalo na tom, že Meta môže obchádzať GDPR, ale teraz bolo zrušené inými orgánmi EÚ. Je to celkovo štvrtýkrát za sebou, čo írske DPC dostalo prehlasovanie."
DPC vidí víťazstvo v otázke "transparentnosti"? Vo vyhlásení DPC pre médiá je hlavná otázka, či Meta môže spracúvať údaje používateľov na účely reklamy, pochovaná v menšej diskusii o transparentnosti, kde zistila porušenie.
"Je dosť úbohé, ak DPC teraz tvrdí, že ostatné orgány sa dohodli na menšej otázke transparentnosti. na to by stačilo zmeniť nejaký text na webovej stránke Meta. Jadrom problému bolo, že spoločnosť Meta viac ako štyri roky nezákonne spracúvala údaje používateľov, DPC spoločnosť Meta zaštítila a na úrovni EÚ sa o tom hlasovalo."
Dôsledok: žiadne personalizované reklamy, menšie zisky. Rozhodnutie znamená, že Meta musí do troch mesiacov umožniť používateľom verziu všetkých aplikácií, ktorá nepoužíva osobné údaje na reklamy. Rozhodnutie by stále umožnilo spoločnosti Meta používať neosobné údaje (napríklad obsah príbehu) na personalizáciu reklám alebo žiadať používateľov o súhlas s reklamami prostredníctvom možnosti "áno/nie". Používatelia musia mať možnosť súhlas kedykoľvek odvolať a spoločnosť Meta nesmie obmedziť službu, ak sa tak používatelia rozhodnú. Hoci to výrazne obmedzí zisky spoločnosti Meta v EÚ, reklamy by to úplne nezakázalo. Namiesto toho rozhodnutie postaví spoločnosť Meta na rovnakú úroveň ako iné webové stránky alebo aplikácie, ktoré musia používateľom poskytnúť možnosť "áno/nie".
Max Schrems:"Toto je obrovská rana pre zisky spoločnosti Meta v EÚ. Ľudia sa teraz musia pýtať, či chcú, aby sa ich údaje používali na reklamy, alebo nie. Musia mať možnosť 'áno alebo nie' a môžu kedykoľvek zmeniť názor. Toto rozhodnutie tiež zabezpečuje rovnaké podmienky pre ostatných inzerentov, ktorí tiež musia získať súhlas."
DPC cenzuruje rozhodnutie od žalobcu a verejnosti, čím zabezpečuje, že Meta a DPC kontrolujú mediálny naratív. Úžasným krokom DPC dnes informovalo noyb , že napriek tomu, že je jedným z dvoch účastníkov konania, DPC rozhodnutie noyb nezverejní. Ako dôvod DPC zrazu uviedlo údajnú "dôvernosť" rozhodnutia. Rozhodnutie by malo byť žalobcovi sprístupnené neskôr - možno aj po uplynutí lehoty na odvolanie. To je v rozpore s predchádzajúcimi informáciami DPC, že účastníci konania dostanú rozhodnutie pred akýmkoľvek zverejnením zo strany DPC.
Max Schrems:"Zrušenie rozhodnutia EDPB je pre DPC veľkou ranou, teraz sa zrejme snaží ovplyvniť vnímanie tohto prípadu verejnosťou. Za desať rokov súdnych sporov som sa ešte nestretol s tým, že by sa rozhodnutie doručilo len jednej strane, ale druhej nie. DPC hrá veľmi diabolskú hru s verejnosťou. Tým, že neumožňuje noyb alebo verejnosti prečítať si rozhodnutie, snaží sa spoločne s Metou formovať naratív rozhodnutia. Zdá sa, že spolupráca medzi spoločnosťou Meta a írskym regulačným orgánom je živá a dobrá - napriek tomu, že ju EDPB zrušil."
Ďalšie kroky: DPC žaluje EDPB, Meta sa pravdepodobne odvolá. Očakáva sa, že Meta sa proti rozhodnutiu odvolá na írskych súdoch, ale po záväznom rozhodnutí EDPB sú šance na víťazstvo takéhoto odvolania minimálne. Na Súdnom dvore EÚ (SDEÚ) prebiehajú aj dva podobné prípady týkajúce sa súhlasu spoločnosti Meta s obchvatom, ktoré môžu túto otázku a všetky odvolania nadobro vyriešiť. Na okraj DPC tiež oznámil, že môže podať žalobu na EDPB v súvisiacej veci, keďže EDPB požadoval od DPC, aby podnikol ďalšie vyšetrovacie kroky týkajúce sa spoločnosti Meta nad rámec rozhodnutých sťažností noyb. DPC zastáva názor, že EDPB tieto právomoci nemá, a pokúsi sa dosiahnuť zrušenie tohto rozhodnutia. Používatelia môžu tiež podať žalobu v súvislosti s nezákonným používaním ich údajov za posledných 4,5 roka.
