UODO: Użytkownik ma prawo zobaczyć swój profil marketingowy

Profil marketingowy to zbiór danych na temat użytkownika internetu tworzony przez firmy działające w sieci na podstawie pików cookies i innych informacji dotyczących zachowań konkretnej osoby w sieci. Jednak podmioty zbierające i przetwarzające te dane nie udostępniają ich użytkownikom, których informacje dotyczą twierdząc, że w świetle przepisów RODO.

Czytaj także: IAB Europe i IAB Polska wzywają PE do odrzucenia „wprowadzającego w błąd” raportu na temat reklam wykorzystujących dane

Internauta ma swoje prawa

Teraz głos w tej sprawie zabrał Urząd Ochrony Danych Osobowych (UODO). Regulator zdecydował, że profil marketingowy to dane osobowe i osoba, której dotyczy, ma prawo się z nim zapoznać.

Decyzja jest efektem skargi, którą w styczniu 2019 r. złożyła do UODO Fundacja Panoptykon. Według organizacji decyzja urzędu jest przełomowa.

- Przede wszystkim urząd przyznał rację aktywistom, którzy od początku stosowania RODO – czyli od ponad 3 lat – twierdzą, że danymi osobowymi są nie tylko informacje podane wprost (jak adres e-mail), ale też te „wywnioskowane” przez firmy na podstawie zachowania użytkowników i użytkowniczek w sieci – pisze Panoptykon na swojej stronie. - Co za tym idzie, mamy prawo żądać dostępu, a firma powinna udostępnić wyniki profilowania osobie, która chce się np. dowiedzieć, jakie kategorie marketingowe przypisano jej w celu dobierania reklam.

Według podanych informacji Interia, której dotyczyła skarga, nie zakwestionowała decyzji UODO. Przyznała jednak, że nie może Panoptykonowi udostępnić profilu marketingowego, bo… sama nie ma do niego dostępu. Takie profile z danych uzyskanych przez strony Interii tworzą podmioty trzecie – firmy z branży reklamowej. To właśnie im użytkownicy i użytkowniczki udzielają „zgody” na śledzenie w celach reklamowych (czyli tworzenie takich profili marketingowych), kiedy zamykają baner witający ich na danej stronie internetowej.

W piśmie dotyczącym realizacji decyzji UODO Interia wyjaśnia: „Interia współpracuje z podmiotami należącymi do grupy platform DMP, czyli platform zarządzania danymi, dostarczającymi dane o użytkownikach i umożliwiającymi wykorzystywanie przez reklamodawców danych z różnych źródeł w celu optymalizacji kampanii reklamowych. Podmioty te również zamieszczają w kodzie stron internetowych Interii odpowiednie skrypty. Poprzez te skrypty platformy DMP zbierają informacje o aktywności użytkownika na stronach internetowych Interii w oparciu o swoje autorskie metodologie. W dalszej kolejności platformy te zbierają podobne dane u innych wydawców (na innych stronach internetowych niż te zarządzane przez Interię) i agregują te dane w określone profile. Następnie Interia uzyskuje dostęp do stworzonych w ten sposób przez te podmioty trzecie profili. Co ważne, Interia nie ma dostępu do profili konkretnych użytkowników, a jedynie do określonych zagregowanych profili określonej grupy użytkowników”.

- Z kolei Onet, na który również poskarżyliśmy się w styczniu 2019 r., nie twierdzi wprawdzie, że profil marketingowy nie mieści się w definicji danych osobowych, ale sięga po szereg wymówek (naszym zdaniem nie do obronienia na gruncie RODO), żeby go nie udostępnić – czytamy we wpisie Panoptykona.

Skargi na Google i IAB Europe

Jak zaznacza Panoptykon śledząca reklama internetowa to system naczyń połączonych, funkcjonujących poza zasięgiem wzroku użytkowników i użytkowniczek – i poza jakąkolwiek kontrolą z ich strony.

- Wydawca (Interia czy Onet) wpuszcza nas w ten kanał, zbierając „zgodę” na śledzenie w celach marketingowych przez jego „zaufanych partnerów” – twierdzi organizacja. - A ponieważ nie wiemy, do kogo trafiają nasze dane, i nie znamy identyfikatora, pod jakim figurujemy w bazach poszczególnych firm, nie możemy skorzystać z praw, jakie daje nam RODO. Przy tak zaprojektowanym systemie prawo dostępu do danych, ich skorygowania i usunięcia pozostaje fikcją.

Według Panoptykona skarżenie się na tysiące pośredników przetwarzających w ten sposób nasze dane jest niemożliwe. Dlatego fundacja poskarżyła się na podmioty, które decydują o kształcie tego systemu: Google i IAB Europe.

- I jesteśmy coraz bliżej zwycięstwa: we wstępnej decyzji belgijski organ ochrony danych osobowych, który rozpatruje skargę przeciwko IAB Europe, uznał, że doszło do naruszenia RODO – informuje Panoptykon. - Jeśli ta decyzja pozostanie w mocy, to będzie milowy krok w kierunku ochrony naszej prywatności w sieci i tworzenia etycznych, zgodnych z RODO innowacji na rynku reklamy internetowej.

Czytaj także: Naukowcy: obywatele powinni zarządzać swoimi danymi