Comitetul European pentru Protecţia Datelor a clarificat recent o serie de aspecte esenţiale în ce priveşte publicitatea comportamentală, utilizată la scară largă de platformele online. Printr-un aviz publicat în data de 17 aprilie 2024, Comitetul a trasat direcţiile de urmat atunci când platformele online colectează şi procesează datele cu caracter personal ale utilizatorilor pentru a implementa publicitatea comportamentală.
Context
Avizul Comitetului vine ca urmare a solicitărilor primite din partea autorităţilor de protecţia datelor din Olanda, Norvegia şi Germania privind examinarea opţiunii „consimţi sau plăteşti”, utilizată în prezent de platformele online în contextul publicităţii comportamentale.
Concret, întrebarea autorităţilor era dacă opţiunea oferită de platformele online utilizatorilor, fie de a-şi exprima consimţământul pentru prelucrarea datelor în scopul publicităţii comportamentale, fie de a plăti o taxă pentru a nu face obiectul prelucrării de date, reprezintă un consimţământ valid în sensul GDPR.
Publicitatea comportamentală în viziunea Comitetului European pentru Protecţia Datelor
”Publicitatea comportamentală reprezintă în esenţă o formă de profilare, care implică prelucrarea unui volum mare de date, provenite din analiza activităţii şi comportamentului persoanelor vizate în mediul online (date de tipul numărului de accesări sau al duratei petrecute pe un website, localizării ori al paginilor pe care persoana le apreciază sau le urmăreşte). De menţionat că această colectare de date nu se limitează la monitorizarea comportamentului utilizatorilor exclusiv pe platformele respective, ci se poate extinde şi la activitatea acestora pe alte website-uri, chiar deţinute de alţi operatori”, a precizat Marc Barabas, Associate PeliPartners.
Prin monitorizarea şi compilarea datelor respective, platformele online de tipul Facebook, Instagram sau Linkedin creează apoi, cu ajutorul unor operatori terţi, un profil al fiecărui utilizator, pentru a afişa anunţuri şi reclame personalizate conform intereselor specifice ale acestora.
Atât Comitetul, cât şi alte autorităţi de protecţia datelor consideră publicitatea comportamentală una dintre cele mai intruzive forme de publicitate, tocmai datorită posibilităţii de a oferi o imagine foarte detaliată asupra vieţii personale şi a preferinţelor utilizatorilor. Sub acest aspect, autoritatea acordă o atenţie particulară temeiului legal în baza căruia se realizează prelucrarea de date, în special în ce priveşte valabilitatea consimţământului utilizatorilor.
Consimţământul în contextul publicităţii comportamentale
Modelul utilizat cel mai frecvent de platformele online pentru a obţine consimţământul utilizatorilor în contextul publicităţii comportamentale este cel de tipul „consimţi sau plăteşti”. Utilizatorii sunt astfel puşi în situaţia fie de a accepta monitorizarea comportamentului lor online, fie de a achita o taxă pentru a putea continua să utilizeze respectiva platformă online.
Comitetul a identificat mai multe deficienţe ale unui astfel de mecanism. În primul rând, autoritatea a subliniat în mod clar că prelucrarea datelor cu caracter personal nu poate servi ca mijloc de obţinerea a unor profituri financiare. În acest sens, furnizarea unei singure alternative utilizatorilor, contra cost, pentru a evita prelucrarea datelor, nu poate constitui opţiunea implicită de urmat pentru operatori.
În ce priveşte consimţământul propriu-zis, Comitetul consideră că un astfel de mecanism poate afecta validitatea acestuia, având în vedere că:
- utilizatorii vor suferi un „prejudiciu” financiar dacă nu consimt la prelucrarea datelor, materializat în tariful pe care vor fi obligaţi să îl plătească pentru utilizarea platformei;
- în multe cazuri, există un dezechilibru de putere între utilizatori şi platformele online; de altfel, prin hotărârea din 4 iulie 2023 în cauza C-252/21 vizând Meta Platforms, Curtea de Justiţie a Uniunii Europene s-a pronunţat în sensul că platformele care au o poziţie dominantă pe o anumită piaţă pot afecta libertatea consimţământului utilizatorilor tocmai datorită puterii şi influenţei pe care o au în mediul online;
- adesea consimţământul nu este suficient de specific exprimat şi informat, ţinând cont de volumul semnificativ de date care se procesează şi de numeroasele modalităţi prin care datele sunt colectate.
Soluţii propuse de autoritate pentru conformarea cu standardele impuse de GDPR
În acest context, Comitetul oferă o serie de îndrumări şi soluţii pe care platformele online le pot implementa pentru a asigura conformitatea activităţii lor cu legislaţia de protecţie a datelor:
- prezentarea utilizatorilor a unei alternative de operare a aplicaţiei, care să nu implice deloc sau să presupună un număr redus de date prelucrate în scop de publicitate comportamentală; alternativa trebuie să fie una echivalentă, având aceleaşi funcţii şi caracteristici, astfel încât utilizatorii să aibă o posibilitate reală de a alege;
- o opţiune echivalentă gratuită, recomandabilă din perspectiva Comitetului, va avea un impact semnificativ în ce priveşte analiza validităţii consimţământului; dacă totuşi se optează pentru perceperea unui tarif, operatorii trebuie să stabilească un cuantum care să nu fie în măsură să descurajeze un consimţământ liber exprimat, transformând opţiunea într-o versiune premium a platformei; analiza cuantumului va fi efectuată de la caz la caz de către operatori sau de către autorităţile de protecţia datelor;
- alternativa oferită poate implica diferite alte forme de publicitate cum ar fi publicitatea contextuală sau cea bazată pe anumite subiecte de interes pe care utilizatorul le selectează dintr-o listă de subiecte propuse de platformă;
- utilizatorii trebuie să fie informaţi cu privire la toate scopurile, categoriile de date, precum şi la destinatarii către care datele sunt transferate, evitându-se exprimarea unui consimţământ general care să înglobeze întreaga activitate de prelucrare în scopul publicităţii comportamentale;
- asigurarea unei modalităţi de retragere a consimţământului la fel de facilă şi la care utilizatorii să poată opta liber, fără a exista presiunea că retragerea consimţământului ar implica automat perceperea unui tarif sau imposibilitatea de a utiliza platforma.
