Koniec z personalizowanymi reklamami - internetowy identyfikator jest daną osobową. Można więc domniemywać, że z Internetu znikną banery wymuszające „zgody” na profilowanie w celach marketingowych. Użytkownicy Internetu są coraz bardziej chronieni. Szczególnie teraz kiedy zapadł ważny wyrok TSUE potwierdzający coraz szery katalog danych osobowych. Trzeba też pamiętać o akcie o usługach cyfrowych w UE, który obowiązuje od lutego 2024 r. W sieci nie jest się już tak bezkarnym jak kiedyś.
- Digital Services Act, DSA - Akt o usługach cyfrowych
- Internetowy identyfikator do personalizacji reklam jest daną osobową
- Szeroka definicja danych osobowych
- Kogo obowiązuje DSA?
Digital Services Act, DSA - Akt o usługach cyfrowych
Unijny akt o usługach cyfrowych (Digital Services Act, DSA) zaczął obowiązywać w Unii Europejskiej. Akt dotyczy bezpieczeństwa w sieci. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2065 z dnia 19 października 2022 r. w sprawie jednolitego rynku usług cyfrowych oraz zmiany dyrektywy 2000/31/WE (dalej jako: akt o usługach cyfrowych) - chroni użytkowników w wielu aspektach. Co do zasady (z wyłączeniem pewnych przepisów) rozporządzenie stosuje się od dnia 17 lutego 2024 r. Rozporządzenie wskazuje na takie ważne zagadnienia jak: zwalczanie nielegalnych treści w Internecie; wzmocnienie pozycji użytkowników i społeczeństwa obywatelskiego; algorytmy wykorzystywane do rekomendowania treści lub produktów; wzmocnienie nadzoru nad wszystkimi pośredniczącymi dostawcami usług. Również w Polsce będą obowiązywały nowe przepisy - musi powstać ustawa implementująca dyrektywę - mają poprawić bezpieczeństwo użytkowników w sieci, wspierać walkę z nielegalnymi treściami w Internecie, uregulować zagadnienia dot. moderowania treści. Nie będzie już tak łatwo manipulować użytkownikami, "śledzić ich" działań w sieci, profilować, wysyłać tzw. ciasteczek (pliki cookie). Będzie większa ochrona przed pedofilią.
Miejmy nadzieję, że ustawa zostanie przygotowana na czas i Polska nie dostanie kary - tak jak w przypadku przepisów dot. ochrony sygnalistów.
Internetowy identyfikator do personalizacji reklam jest daną osobową
W ostatnim czasie przed Trybunałem Sprawiedliwości Unii Europejskiej (TSUE) zapadł wyrok, konkretnie był on z dnia 7 marca 2024 r. w sprawie C-604/22 IAB Europe. Zgodnie z wyrokiem: ciąg składający się z kombinacji liter i znaków, taki jak TC String (Transparency and Consent String), zawierający informacje o preferencjach użytkownika Internetu lub aplikacji odnoszących się do zgody tego użytkownika na przetwarzanie dotyczących go danych osobowych, m.in. przez dostawców stron internetowych, stanowi dane osobowe w rozumieniu art. 4 ust. 1 RODO w sytuacji, gdy w zestawieniu z dodatkowymi danymi, jak adres IP urządzenia użytkownika lub inne identyfikatory można zidentyfikować taką osobę.
Szeroka definicja danych osobowych
Zgodnie z art. 4 ust. 1 RODO „dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Orzeczenie TSUE potwierdza praktykę UODO związaną z podejściem do rozumienia i stosowania definicji danych osobowych, zawartej w art. 4 ust. 1 RODO. Wyrok ten wpłynie na interpretację istniejących regulacji w zakresie ochrony danych osobowych. „Również w polskiej doktrynie prawa ochrony danych osobowych podkreśla się, że każda informacja niezależnie od sposobu i formy jej wyrażenia podlegać może ocenie z punktu widzenia pojęcia danych osobowych. (…) W swojej praktyce orzeczniczej organ nadzorczy przyjmuje konsekwentnie, że informacje, które przy użyciu dodatkowych danych można przypisać osobie fizycznej stanowią jej dane osobowe.” – uważa Mirosław Wróblewski, Prezes UODO.
Kogo obowiązuje DSA?
Rozporządzenie wprowadza obowiązki oraz system rozliczalności i przejrzystości dla usługodawców będących pośrednikami, takie jak: dostawcy usług dostępu do Internetu, usługi hostingowe, takie jak chmura obliczeniowa i usługi hostingowe, rejestratorów nazw domen, internetowe platformy handlowe, sklepy z aplikacjami komputerowymi, platformy gospodarki dzielenia się, media społecznościowe, platformy udostępniania treści, platformy internetowe poświęcone podróżom i zakwaterowaniu, bardzo duże platformy internetowe (AMLDS), z których korzysta ponad 10 % z 450 mln konsumentów w UE, bardzo duże wyszukiwarki internetowe (MPLMGD), z których korzysta ponad 10 proc. z 450 mln konsumentów w UE.
skuteczniejsza ochrona konsumentów i ich praw podstawowych;
zwalczanie nielegalnych treści i produktów, nawoływania do nienawiści i dezinformacji;
większa ochrona danych osobowych i danych wrażliwych;
zapewnienie bezpieczeństwa przed pedofilią;
uregulowanie kwestii zw. z reklamami;
potrzeba jasnego określenia obowiązków platform internetowych i mediów społecznościowych (np. prawo do odwołania się w przypadku usunięcia komentarza);
osiągnięcie większej przejrzystości poprzez zapewnienie lepszej sprawozdawczości i nadzoru;
wspieranie innowacji, wzrostu gospodarczego i konkurencyjności na rynku wewnętrznym UE.