sťažnosti: Obchodný model spoločnosti Meta je podľa WSJ v EÚ nezákonný. Facebook, Instagram a WhatsApp už nemôžu spúšťať personalizované reklamy bez súhlasu používateľa
Ako informoval denník The Wall Street Journal, EDPB rozhodol, že spoločnosť Meta nemôže nútiť používateľov, aby súhlasili s personalizovanými reklamami. V máji 2018, keď v EÚ vstúpilo do platnosti nariadenie GDPR, sa spoločnosť Meta Ireland Ltd. domnievala, že môže "obísť" požiadavku získať od používateľov súhlas, a to jednoduchým pridaním ustanovenia do zmluvných podmienok. Dňa 25. mája 2018 podala organizácia na ochranu digitálnych práv noyb sťažnosti príslušným orgánom na ochranu údajov (DPA). Teraz, o 4,5 roka neskôr, Európsky výbor pre ochranu údajov (EDPB) zistil, že údajné "obchádzanie" nariadenia GDPR spoločnosťou Meta je nezákonné. EDPB tiež odmietol stanovisko írskej komisie pre ochranu údajov (DPC), ktorá sa predtým postavila na stranu spoločnosti Meta, po tom, ako jej vyšetrovanie prípadu trvalo štyri roky.
- Exkluzívna správa denníka Wall Street Journal
- Pôvodné sťažnosti z 25. mája 2018
- Súvislosti týkajúce sa schválenia "obchádzania súhlasu" zo strany DPC
- Pozadie toho, ako DPC tlačila na EDPB v záujme spoločnosti Meta
- Usmernenia EDPB 2/2019 k článku 6 ods. 1 písm. b) všeobecného nariadenia o ochrane údajov
Kľúčové fakty: V roku 2018 bolo v rámci EDPB vykonaných viacero krokov, ktoré viedli k zníženiu počtu údajov v databáze. Tu sú kľúčové informácie:
- Aktuálne informácie vychádzajú zo správ denníka Wall Street Journal, podľa ktorých EDPB"rozhodoval, že právo EÚ v oblasti ochrany osobných údajov neumožňuje platformám Meta, ako sú Instagram a Facebook, používať svoje podmienky služby ako odôvodnenie na povolenie takejto reklamy"
- Toto rozhodnutie vychádza zo sťažností, ktoré podal noyb 25. mája 2018, teda v deň, keď začalo platiť nariadenie GDPR.
- EDPB vydal rozhodnutie, v ktorom od írskeho DPC (regulačný orgán pre Meta v EÚ) požaduje, aby do jedného mesiaca vydal konečné rozhodnutie.
- Rozhodnutie EDPB nie je určené účastníkom konania, ale írskemu DPC.
- EDPB tým zrušil predchádzajúci návrh rozhodnutia írskeho DPC, ktorý zastával názor, že obchádzanie GDPR spoločnosťou Meta bolo zákonné.
- V rozhodnutí EDPB sa vyžaduje, aby spoločnosť Meta nemohla používať osobné údaje na reklamy na základe údajnej "zmluvy". Používatelia preto musia mať možnosť súhlasu áno/nie.
- Rozhodnutie EDPB nezakazuje iné formy reklamy (napríklad kontextové reklamy založené na obsahu stránky).
- Samotné rozhodnutie EDPB nebolo zverejnené, ale bude zverejnené spolu s konečným rozhodnutím DPC v januári 2023.
- EDPB požadoval aj značnú pokutu, presná suma zatiaľ nie je známa.
Meta chcela "obísť" súhlas. GDPR umožňuje šesť právnych základov na spracúvanie údajov, pričom jedným z nich je súhlas podľa článku 6 ods. 1 písm. a). Spoločnosť Meta sa pokúsila obísť požiadavku súhlasu na sledovanie a online reklamu tvrdením, že reklamy sú súčasťou "služby", ktorú zmluvne dlhuje používateľom. K údajnej zmene právneho základu došlo presne 25. mája 2018 o polnoci, keď sa začalo uplatňovať nariadenie GDPR. Takzvaná "zmluvná nevyhnutnosť" podľa článku 6 ods. 1 písm. b) sa zvyčajne chápe úzko a umožňovala by napr. internetovému obchodu postúpiť adresu poštovej službe, keďže je to nevyhnutne potrebné na doručenie objednávky. Spoločnosť Meta však zastávala názor, že môže do zmluvy pridať len náhodné prvky (napr. personalizovanú reklamu), aby sa vyhla možnosti súhlasu áno/nie pre používateľov.
Max Schrems:"Namiesto možnosti áno/nie pre personalizované reklamy jednoducho presunuli ustanovenie o súhlase do zmluvných podmienok. To je nielen nespravodlivé, ale aj jednoznačne nezákonné. Nevieme o žiadnej inej spoločnosti, ktorá by sa snažila ignorovať GDPR takýmto arogantným spôsobom."
Očakáva sa značná pokuta. Okrem celkového zastavenia personalizovaných reklám EDPB podľa WSJ trval na masívnej pokute pre spoločnosť Meta. Spoločnosť totiž väčšinu komerčného spracúvania údajov založila na právnom základe, ktorý EDPB v roku 2019 vo výslovných usmerneniach jasne vylúčil, čo viedlo k jednoznačne úmyselnému porušovaniu zákona. Spoločnosť Meta už doteraz dostala pokuty za porušenie GDPR vo výške viac ako 1 mld. Túto pokutu musí spoločnosť Meta zaplatiť írskemu štátu.
Max Schrems: "Tento postup čerpá z mnohých zdrojov nášho združenia financovaného z darov. Prípad sa pravdepodobne následne dostane na súd. Pokutu však dostane Írsko - štát, ktorý sa postavil na stranu spoločnosti Meta a viac ako štyri roky konanie odkladal."
DPC a Meta spolupracovali na "obchvate". V priebehu konania sa Meta spoliehala na desať dôverných stretnutí s írskou DPC, na ktorých DPC údajne umožnila spoločnosti Meta použiť tento "bypass". Neskôr sa ukázalo, že DPC sa dokonca pokúsilo ovplyvniť príslušné usmernenia EDPB v záujme spoločnosti Meta. Napriek tomu ostatné európske orgány na ochranu údajov odmietli názor DPC ešte v roku 2018 a opäť v konečnom rozhodnutí EDPB. Prípad trval viac ako 4,5 roka a viedol k stovkám strán správ a podaní, napriek tomu, že prípad sa týkal pomerne jednoduchej právnej otázky.
Max Schrems:"Tento prípad sa týka jednoduchej právnej otázky. Napriek pomalému postupu sme nakoniec s rozhodnutím EDPB spokojní."
Dôsledok: žiadne personalizované reklamy. Rozhodnutie znamená, že spoločnosť Meta musí používateľom umožniť verziu všetkých aplikácií, ktorá nepoužíva osobné údaje na reklamy. Rozhodnutie by stále umožnilo spoločnosti Meta používať neosobné údaje (napríklad obsah príbehu) na personalizáciu reklám alebo žiadať používateľov o súhlas s reklamami prostredníctvom možnosti áno/nie. Používatelia musia mať možnosť súhlas kedykoľvek odvolať a Meta nesmie túto službu obmedziť. Hoci to výrazne obmedzí zisky spoločnosti Meta v EÚ, reklamy by to úplne nezakázalo. Namiesto toho rozhodnutie postaví spoločnosť Meta na rovnakú úroveň ako iné webové stránky alebo aplikácie, ktoré musia používateľom poskytnúť možnosť áno/nie.
Max Schrems:"Toto je obrovská rana pre zisky spoločnosti Meta v EÚ. Ľudia sa teraz musia pýtať, či chcú, aby sa ich údaje používali na reklamy, alebo nie. Musia mať možnosť odpovedať "áno alebo nie" a kedykoľvek si to môžu rozmyslieť. Toto rozhodnutie tiež zabezpečuje rovnaké podmienky pre ostatných inzerentov, ktorí tiež musia získať súhlas."
Ďalšie kroky. Rozhodnutie EDPB je doručené írskemu DPC. Rozhodnutie musí byť následne doručené spoločnosti Meta v Írsku a noyb v Rakúsku do jedného mesiaca (teda v januári 2023). Spoločnosť Meta sa potom môže proti rozhodnutiu odvolať, ale po rozhodnutí EDPB sú šance na výhru takéhoto odvolania minimálne. Na Súdnom dvore EÚ (SDEÚ) prebiehajú aj dva podobné prípady týkajúce sa súhlasu spoločnosti Meta s obchvatom, ktoré môžu túto otázku a všetky odvolania nadobro vyriešiť. Používatelia môžu podať žalobu aj v súvislosti s nezákonným používaním ich údajov za posledných 4,5 roka.
