We wrześniu belgijski sąd skierował do Trybunału Sprawiedliwości Unii Europejskiej pytania dotyczące stworzonego przez IAB Europe systemu wymiany informacji o preferencjach użytkowników i użytkowniczek co do profilowania reklam między pośrednikami reklamowymi (TFC). Wcześniej, w lutym 2022 r., belgijski organ ochrony danych osobowych stwierdził, iż system TFC narusza RODO. Sprawa jest następstwem skargi złożonej przez Panoptykon i inne organizacje broniące praw cyfrowych w Europie. Co wyrok TSUE oznaczać będzie dla rynku internetowego, a co dla użytkowników? Odpowiadamy w trzeciej części naszego materiału o sprawie przeciwko IAB Europe.
(W pierwszej części pytań i odpowiedzi opisaliśmy między innymi, czego dotyczy sprawa, w jaki sposób system stworzony przez IAB Europe narusza RODO i jakie do tej pory zapadły decyzje. W drugiej pisaliśmy, jaki mamy problem ze śledzącą reklamą i o jakie zmiany walczymy).
14. Co sprawa przeciwko IAB Europe oznacza dla mediów internetowych i reklamodawców?
Choć sprawa formalnie dotyczy IAB Europe, ma realne konsekwencje również dla innych podmiotów uczestniczących w licytacjach na giełdach reklam, tj. wydawców stron internetowych i aplikacji, platform zarządzania zgodą (CMP) i tzw. vendorów czy platform podaży i popytu (SSP i DSP) oraz platform zarządzania danymi (DMP).
Obejrzyj: Kto jest kim na zapleczu Internetu (wideo)
Belgijski urząd ochrony danych w swojej decyzji przesądził, iż wszystkie te firmy mogą pełnić rolę współadministratorów danych razem z IAB Europe. W związku z tym mogą też być pociągnięte do odpowiedzialności za naruszenia RODO. Z perspektywy osób, które chcą zrealizować swoje prawa, w tym dostępu do danych czy wycofania zgody, oznacza to, iż mogą ze swoimi żądaniami zgłosić się do któregokolwiek ze współadministratorów. Portal internetowy, na którym użytkownik zażąda wycofania zgody, będzie mieć obowiązek przekazania żądania do innych administratorów danych na giełdzie reklam.
15. Jak aktualnie działa przetwarzanie danych o użytkownikach?
Do tej pory było inaczej: pośrednicy nie uważali się za współadministratorów danych, a użytkownicy nie mogli skutecznie dochodzić swoich praw. Doświadczyliśmy tego na własnej skórze w sprawie przeciwko Interii: UODO stwierdził, iż profil marketingowy to dane osobowe. Jednak Interia, która jest administratorem tych danych, nie mogła udostępnić nam profilu, bo… sama go nie posiadała.
Belgowie przesądzili, iż ani IAB Europe, ani inne firmy nie miały podstawy prawnej do zbierania danych o preferencjach użytkowników. Urząd nakazał jednak usunięcie danych zebranych tylko przez IAB Europe, bo to tej organizacji dotyczyła decyzja. Jeszcze w lipcu związek branży reklamowej stanowczo twierdził, iż pozostałe firmy mogą korzystać z danych zebranych przez TCF. (Co to jest TCF? Sprawdź w pierwszej części).
Owszem, z decyzji nie wynika wprost, iż muszą je kasować. Ale fundamentalną zasadą RODO jest podejście oparte na ocenie ryzyka. Wymaga ono na przykład tego, by każda firma z branży reklamy internetowej przeanalizowała na nowo swoje praktyki i uwzględniła zmieniające się okoliczności. A takimi okolicznościami może być sprawa, o której mówimy – szczególnie iż skargi na system IAB zostały złożone także przez inne organizacje, nie tylko Panoptykon. Chociaż decyzję wydała Belgia, to urzędy w innych krajach UE także brały udział w tej procedurze. Dlatego jeżeli użytkownik złoży skargę na firmę korzystającą z TCF, choćby gdy jej siedziba znajduje się poza terytorium Polski czy Belgii, bardzo prawdopodobne, iż lokalny organ nakaże usunięcie danych.
16. Jakie wyobrażacie sobie skutki dla całego rynku?
Rynek jest w tej chwili zdominowany przez reklamę opartą na inwazyjnym śledzeniu. jeżeli wygramy sprawę przed TSUE, szanujące nasze prawa alternatywne modele reklamowe zyskają siłę przebicia.
Opierająca się zmianom branża reklamowa przywołuje obawę o dochody mediów. Są jednak dostępne dane świadczące o korzyściach z odchodzenia od reklamy śledzącej na rzecz m.in. reklamy kontekstowej. Holenderski wydawca NPO po rezygnacji ze śledzenia odnotował wzrost dochodów o 149%. Nie ucierpiał choćby w okresie pandemii koronawirusa, kiedy cały rynek reklamy borykał się z dużym spadkiem dochodów.
Z kolei grupa wydawnicza z Norwegii w ciągu 12 miesięcy na reklamach kontekstowych zarobiła prawie cztery razy więcej niż na reklamach śledzących. Również powszechnie stosowane wskaźniki skuteczności reklam, takie jak rozpoznawalność marki czy intencja zakupu, często okazywały się wyższe dla reklamy kontekstowej niż śledzącej.
Jeśli te wyniki są tak dobre w sytuacji potężnej dominacji rynkowej reklamy śledzącej, mogłyby być jeszcze lepsze, gdyby wszystkie podmioty na rynku obowiązywały te same zasady.
Dlatego sprawę przeciwko IAB Europe postrzegamy jako szansę dla rozwoju alternatywnych modeli reklamowych. Oprócz najczęściej wskazywanej reklamy kontekstowej zgodna z zasadami RODO mogłaby być też reklama bazująca na określonych zainteresowaniach i preferencjach, ale nie tych „wyśledzonych”, tylko ujawnionych wprost przez użytkowniczki i użytkowników (np. poprzez zewnętrzne narzędzia).
17. Jak sprawa wpłynie na główne podmioty w tej chwili rozdające karty na rynku reklamy internetowej (Google i Facebook/Meta)?
Jeśli decyzja Belgii się utrzyma, śledzenie użytkowników pomiędzy różnymi stronami internetowymi dzięki zewnętrznych ciasteczek i skryptów będzie dużo trudniejsze niż obecnie.
Google i Meta dysponują nieporównywalnie większym zasobem informacji o ludziach niż ktokolwiek inny. Jest tak, gdyż śledzą aktywność miliardów użytkowników w ramach swoich własnych serwisów. Jesteśmy przekonani, iż podtrzymanie decyzji ws. IAB Europe skłoni tych dwóch internetowych gigantów do ograniczenia najgorszych praktyk.
Spora część danych, którą wykorzystują do budowania profili użytkowników, pochodzi spoza ich serwisów. Informacje zbierane są przez skrypty i piksele zaimplementowane na innych stronach internetowych. Google zdaje sobie z tego sprawę i już szuka obejścia, próbując przeforsować nowy pomysł na śledzenie osób korzystających z przeglądarki Google Chrome. To pozwalałoby firmie centralizować dane we własnym, zamkniętym systemie. (O tzw. Privacy Sandbox pytaliśmy w podcaście Panoptykon 4.0 reprezentanta firmy, Marcina Olendra – przyszłość tego projektu jest jednak niepewna: jak na razie Google napotyka przeszkody ze strony europejskich organów ochrony konkurencji).
18. Co jeszcze ureguluje reklamę internetową?
Walka o zmianę dominującego modelu biznesowego toczy się na wielu frontach, sprawa przeciwko IAB Europe to tylko jeden z nich. Innym, równie ważnym w agendzie Panoptykonu, są nowe unijne regulacje – Digital Services Act i Digital Markets Act – które mają chronić konsumentów i firmy przed władzą i dominacją rynkową Google’a i Meta.
Akt o rynkach cyfrowych uwzględnia nasz postulat zakazania największym platformom (jakimi są Google i Meta) łączenia danych o użytkownikach z różnych źródeł. Z kolei DSA nakłada na platformy internetowe liczne obowiązki mające zwiększyć przejrzystość mechanizmu targetowania reklam. Po raz pierwszy narzucono też ograniczenia dotyczące przetwarzania danych w tym procesie: zakazano wykorzystania danych wrażliwych i danych dzieci w celach reklamowych (nasze podsumowanie najważniejszych zmian, które wprowadzą obie regulacje).
Ponadto na horyzoncie pojawiła się już kolejna unijna regulacja, która niesie szansę na jeszcze dalej idące obostrzenia w zakresie wykorzystywania danych użytkowników. Dotyczy personalizowania reklam politycznych.
Wiele wskazuje więc na to, iż pętla wokół śledzącej reklamy w jej obecnym kształcie nieuchronnie coraz bardziej się zaciska.
***
Liczymy na to, iż TSUE potwierdzi interpretację belgijskiego organu i przyczyni się do realnej reformy i wypracowania dobrych dla użytkowników praktyk. Branża reklamowa musi się zmienić – inaczej będzie się wiecznie bawić w kotka i myszkę z obowiązującym prawem.
Opracowanie: Dominika Chachuła, Dorota Głowacka, Karolina Iwańska, Anna Obem, Katarzyna Szymielewicz
