Meta jest znanym dostawcą usług takich jak: Facebook, Messenger, Instagram oraz WhatsApp. Firma wielokrotnie miała problemy z prawem spowodowane m.in. kontrowersjami związanymi z prywatnością jej użytkowników.
Irlandzki organ nadzorczy, jakim jest Komisarz ds. Ochrony Danych (DPC) decyzją z dnia 31 grudnia 2022 roku nałożył na Meta administracyjną karę pieniężną w wysokości prawie 400 mln euro (co stanowi obecnie równowartość prawie 2 mld zł!). Jest drugą co do wielkości karą nałożoną na mocy przepisów RODO. Aktualnie „rekordzistą” jest Amazon, na który nałożono 746 mln euro kary.
SERWISY WYŚWIETLAŁY REKLAMY BEHAWIORALNE
Decyzja dotyczy przede wszystkim serwisów Facebook i Instagram, których właścicielem jest Meta. Za naruszenia zostały one ukarane administracyjnymi karami pieniężnymi w wysokości 210 mln euro (Facebook) oraz 180 mln euro (Instagram). Jak wynika z postępowania przeprowadzonego przez irlandzki organ nadzorczy serwisy te przez ponad 4,5 roku nielegalnie profilowały i wyświetlały reklamy behawioralne swoim użytkownikom.
Reklama behawioralna bazuje na badaniu zachowania użytkownika (czego szuka w Internecie, gdzie najchętniej robi zakupy itp.) i wyświetlaniu mu reklam związanych z jego zainteresowaniami.
SKARGI ZŁOŻONO JUŻ W 2018 ROKU
W dniu wejścia w życie przepisów RODO, czyli 25 maja 2018 r, austriacka organizacja pozarządowa NOYB, na czele której stoi aktywista Max Schrems, złożyła skargi na Meta (wówczas Facebook). Motywem, jakim kierowała się organizacja było nierespektowanie przez koncern obowiązujących go przepisów o ochronie danych osobowych. Gdy RODO zaczęło obowiązywać, zgoda na reklamę była wpisana do regulaminów platform Facebook i Instagram. W praktyce oznaczało to, że aby móc z nich w ogóle korzystać, użytkownik musiał zaakceptować te dokumenty bez możliwości sprzeciwienia się na wykorzystanie jego danych na potrzeby reklamowe.
W świetle przepisów RODO użytkownik, aby móc wyrazić zgodę powinien zostać o nią zapytany wprost. Natomiast odpowiedź negatywna nie może skutkować zablokowaniem usługi. Skargi na działania Meta trafiły do irlandzkiego organu nadzorczego, ponieważ to właśnie w Irlandii mieści się europejska siedziba koncernu.
PROJEKT DECYZJI DCP Z PAŹDZIERNIKA 2021 ROKU
W październiku 2021 r., po ponad trzech latach rozpatrywania skargi, organ nadzorczy przygotował projekt decyzji w sprawie Facebooka oraz Instagrama. Uznano w niej, że użytkownicy nie byli przez serwis jasno informowani o operacjach przeprowadzanych na ich danych osobowych. Za uchybienia te zaproponowano kary w wysokości odpowiednio 28 i 36 mln euro. Ponadto irlandzki organ nadzorczy polecił dostawcy serwisów wprowadzenie przejrzystych zasad przetwarzania danych.
Z argumentacją tą nie zgodził się skarżący, który zarzucał DPC stronniczość. NOYB twierdzi, że irlandzki organ nadzorczy przez lata tolerował działalność Meta oraz pozwalał jej na stosowanie niezgodnych z RODO praktyk. Zdaniem NOYB członkowie DPC spotykali się z przedstawicielami Meta 10 razy przed majem 2018 r., kiedy to przepisy RODO zaczęły obowiązywać.
ZAINTERESOWANE ORGANY NADZORCZE
Zgodnie z art. 60 RODO wiodący organ nadzorczy współpracuje z innymi organami nadzorczymi, których sprawa dotyczy. Irlandzki organ nadzorczy nie może więc podjąć decyzji dotyczącej Meta samodzielnie. Projekt decyzji, jaki przygotowuje jest następnie analizowany przez inne organy nadzorcze, które są określane jako „zainteresowane”. Opinii DPC nie podzieliły zainteresowane organy nadzorcze. Zasugerowały one podniesienie wysokości kary za brak transparentności. Zauważono również, że Meta nie może powoływać się na regulamin jako podstawę prawną zbierania danych. Uznali też, że wyświetlanie spersonalizowanych reklam nie jest niezbędne do świadczenia usług społecznościowych. Z ich argumentacją nie zgodził się natomiast irlandzki organ nadzorczy. W związku z tym sprawa trafiła do EROD, która po zapoznaniu się ze sprawą zgodziła się z propozycją podwyższenia kar dla Meta.
WIĄŻĄCA DECYZJA EROD
Ostateczna decyzja nałożona przez irlandzki organ nadzorczy z dnia 31 grudnia 2022 r. uwzględnia ocenę wyrażoną przez EROD w wiążącej decyzji z 5 grudnia 2022 r. Jej wydanie było poprzedzone uruchomieniem przez DPC procedury rozstrzygania sporów, w wyniku której dziesięć organów nadzorczych zainteresowanych w sprawie zgłosiło sprzeciwy.
Jak podaje Andrea Jelinek (przewodnicząca EROD): „Wiążące decyzje EROD wyjaśniają, że Meta IE niezgodnie z prawem przetwarzała dane osobowe do celów reklamy behawioralnej. Taka reklama nie jest niezbędna do wykonania domniemanej umowy z użytkownikami Facebooka i Instagrama. Decyzje te mogą mieć również istotny wpływ na inne platformy, które mają reklamy behawioralne w centrum swojego modelu biznesowego.”
CZY TO KONIEC SPRAWY?
Wszystko wskazuje na to, że sprawa nie zakończy się na tym etapie. EROD zleciła DPC przeprowadzenie nowego dochodzenia w sprawie operacji przetwarzania danych w serwisach Facebook i Instagram. Irlandzki organ nadzorczy uznał to za przekroczenie uprawnień EROD. W związku z tym zapowiedział złożenie skargi do Trybunału Sprawiedliwości UE. Argumentuje to tym, że EROD nie może wydawać poleceń niezależnym krajowym organom. Odwołanie od decyzji zapowiada też Meta, która nie widzi nic złego w swoim działaniu.