Czy Facebook może uzasadnić przetwarzanie danych zagregowanych z innych serwisów należących do Meta Platforms koniecznością zapewnienia bezpieczeństwa systemów? Czy przeglądanie stron i klikanie „Lubię to” przy określonych (czasem dotyczących dość wrażliwych kwestii) wpisach może być traktowane jako upublicznienie danych o swych zainteresowaniach? Czy działalność serwisu, który pracuje na danych osobowych — takiego konglomeratu jak Meta — może być traktowana jako wykorzystywanie dominującej pozycji rynkowej? Na takie pytania będzie musiał niedługo odpowiedzieć Trybunał Sprawiedliwości UE (opinia rzecznika generalnego z 20 września 2022 r. w/s Meta Platforms (Facebook, Instagram, WhatsApp), C-252/21).
Sprawa zaczęła się od decyzji niemieckiego federalnego organu ochrony konkurencji i konsumentów, który uznał, że stosowana przez Meta Platforms praktyka polegająca na gromadzeniu, m.in. za pomocą cookies, zagregowanych danych użytkowników Fejsbóka, Instagrama i Łocapa — i ich wykorzystaniu w celach reklamowych — narusza RODO i oznacza wykorzystanie pozycji dominującej na rynku (rynku serwisów społecznościowych jakby ktoś pytał).
Badając wniesioną przez Metę skargę niemiecki sąd postanowił zwrócić się do Trybunału Sprawiedliwości z kilkoma wątpliwościami, spośród których najciekawsze można sprowadzić do następujących pytań:
- czy przeglądanie stron na Facebooku i klikanie, np. przycisku „Lubię to”, na stronach poświęconych polityce, zdrowiu, etc., może być interpretowane jako upublicznianie przez użytkownika danych o jego zainteresowaniach i wpisach, a więc pozwala na przetwarzanie tych danych?
art. 9 ust. 1-2 rozporządzenia 679/2016 o ochronie danych osobowych
1. Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
2. Ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;
- czy usługodawca może usprawiedliwić łączenie danych z różnych serwisów internetowych koniecznością zapewnienia bezpieczeństwa systemów i ulepszania produktów (a więc oprzeć ich przetwarzanie o art. 6 ust. 1 lit. b) lub f) RODO)?
- no i wreszcie czy organ ochrony konkurencji, który nie jest organem nadzorczym w rozumieniu RODO, nie może oceniać naruszenie przepisów o ochronie danych osobowych i przekładać je na naruszenie zasad konkurencji (pytanie o tyle kluczowe, że na nim zasadzał się spór o wydaną decyzję)?
W przedstawionej opinii rzecznik generalny Athanasios Rantos wyraził pogląd, iż:
- co do zasady organ typu UOKiK nie jest upoważniony do stwierdzenia naruszenia RODO, jednak w ramach swoich kompetencji może analizować czy praktyka handlowa przedsiębiorcy jest zgodna z RODO — albowiem naruszenie przepisów o ochronie danych osobowych może stanowić naruszenie reguł konkurencji; działania urzędu powinny mieć jednak charakter incydentalny, zatem w swych pracach powinien on brać pod uwagę stanowisko odpowiedniej instytucji (tj. ichniego PUODO);
- dominująca pozycja portalu społecznościowego sama w sobie nie pozwala zakwestionować ważności udzielonej przez użytkownika zgody; nie wyklucza to jednak badania czy zgoda na przetwarzanie danych osobowych została udzielona w sposób przewidziany RODO;
- Facebook może uzasadnić przetwarzanie danych zagregowanych bez zgody użytkownika względami technicznymi, bezpieczeństwa systemów, personalizacji reklam, etc. — a to dlatego, że prawidłowe świadczenie usług leży także w interesie użytkowników — jednak pod warunkiem, że praktyka taka jest rzeczywiście niezbędna dla realizacji tych celów przez Meta Platforms usług;
- natomiast przeglądania stron internetowych czy klikania czy nie można interpretować jako zezwolenia na upublicznienie swych danych osobowych — chyba że użytkownik był w pełni świadomy, że jego aktywność prowadzi do nadania jego danym osobowym charakteru publicznego.
Zamiast komentarza: zaciekawiło mnie, że w opinii mowa jest także o dopasowaniu reklam jako jednej z przesłanek zgody na przetwarzanie przez Facebook danych zagregowanych z innych serwisów, bez zgody użytkowników korzystających ze świadczonych usług. Rozumiem, że realizacja tego celu jest kluczowa ze względu na przychody z działalności, jednak biorąc pod uwagę, że czynności te co najmniej ocierają się o profilowanie (w tym przypadku: profilowanie w oparciu o dane wrażliwe)…
…no dobrze, na finalne orzeczenie TSUE z pewnością jeszcze poczekamy, ale z wyrażoną w toku postępowania opinią z pewnością warto zapoznać się już teraz.