Koniec z personalizowanymi reklamami - internetowy identyfikator jest daną osobową

Digital Services Act, DSA - Akt o usługach cyfrowych 

Unijny akt o usługach cyfrowych (Digital Services Act, DSA) zaczął obowiązywać w Unii Europejskiej. Akt dotyczy bezpieczeństwa w sieci. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2065 z dnia 19 października 2022 r. w sprawie jednolitego rynku usług cyfrowych oraz zmiany dyrektywy 2000/31/WE (dalej jako: akt o usługach cyfrowych) - chroni użytkowników w wielu aspektach. Co do zasady (z wyłączeniem pewnych przepisów) rozporządzenie stosuje się od dnia 17 lutego 2024 r. Rozporządzenie wskazuje na takie ważne zagadnienia jak: zwalczanie nielegalnych treści w Internecie; wzmocnienie pozycji użytkowników i społeczeństwa obywatelskiego; algorytmy wykorzystywane do rekomendowania treści lub produktów; wzmocnienie nadzoru nad wszystkimi pośredniczącymi dostawcami usług. Również w Polsce będą obowiązywały nowe przepisy - musi powstać ustawa implementująca dyrektywę - mają poprawić bezpieczeństwo użytkowników w sieci, wspierać walkę z nielegalnymi treściami w Internecie, uregulować zagadnienia dot. moderowania treści. Nie będzie już tak łatwo manipulować użytkownikami, "śledzić ich" działań w sieci, profilować, wysyłać tzw. ciasteczek (pliki cookie). Będzie większa ochrona przed pedofilią.

Miejmy nadzieję, że ustawa zostanie przygotowana na czas i Polska nie dostanie kary - tak jak w przypadku przepisów dot. ochrony sygnalistów.

Internetowy identyfikator do personalizacji reklam jest daną osobową

W ostatnim czasie przed Trybunałem Sprawiedliwości Unii Europejskiej (TSUE) zapadł wyrok, konkretnie był on z dnia 7 marca 2024 r. w sprawie C-604/22 IAB Europe. Zgodnie z wyrokiem: ciąg składający się z kombinacji liter i znaków, taki jak TC String (Transparency and Consent String), zawierający informacje o preferencjach użytkownika Internetu lub aplikacji odnoszących się do zgody tego użytkownika na przetwarzanie dotyczących go danych osobowych, m.in. przez dostawców stron internetowych, stanowi dane osobowe w rozumieniu art. 4 ust. 1 RODO w sytuacji, gdy w zestawieniu z dodatkowymi danymi, jak adres IP urządzenia użytkownika lub inne identyfikatory można zidentyfikować taką osobę.

Szeroka definicja danych osobowych

Zgodnie z art. 4 ust. 1 RODO „dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Orzeczenie TSUE potwierdza praktykę UODO związaną z podejściem do rozumienia i stosowania definicji danych osobowych, zawartej w art. 4 ust. 1 RODO. Wyrok ten wpłynie na interpretację istniejących regulacji w zakresie ochrony danych osobowych. „Również w polskiej doktrynie prawa ochrony danych osobowych podkreśla się, że każda informacja niezależnie od sposobu i formy jej wyrażenia podlegać może ocenie z punktu widzenia pojęcia danych osobowych. (…) W swojej praktyce orzeczniczej organ nadzorczy przyjmuje konsekwentnie, że informacje, które przy użyciu dodatkowych danych można przypisać osobie fizycznej stanowią jej dane osobowe.” – uważa Mirosław Wróblewski, Prezes UODO.

Kogo obowiązuje DSA?

Rozporządzenie wprowadza obowiązki oraz system rozliczalności i przejrzystości dla usługodawców będących pośrednikami, takie jak: dostawcy usług dostępu do Internetu, usługi hostingowe, takie jak chmura obliczeniowa i usługi hostingowe, rejestratorów nazw domen, internetowe platformy handlowe, sklepy z aplikacjami komputerowymi, platformy gospodarki dzielenia się, media społecznościowe, platformy udostępniania treści, platformy internetowe poświęcone podróżom i zakwaterowaniu, bardzo duże platformy internetowe (AMLDS), z których korzysta ponad 10 % z 450 mln konsumentów w UE, bardzo duże wyszukiwarki internetowe (MPLMGD), z których korzysta ponad 10 proc. z 450 mln konsumentów w UE.