Opinia Grupului de lucru al UE pentru protecţia datelor asupra cadrului de auto-reglementare pentru publicitatea comportamentală online

Articol preluat din Newsletter-ul EDRi 9.17

Într-o scrisoare transmisă către IAB Europe şi European Advertising Standards Alliance (EASA), Grupul de lucru pentru protecţia datelor de la nivelul Uniunii Europene (Article 29 Data Protection Working Party) a formulat o serie de observaţii cu privire la cadrul de auto-reglementare pentru publicitatea comportamentală online adoptat de cele două organizaţii.

Grupul de lucru este de părere că încă există suspiciuni în ceea ce priveşte încălcarea legislaţiei europene de către companiile care au semnat codul de auto-reglementare, în cazurile de utilizarea de module cookie pentru urmărirea comportamentului online al utilizatorilor, în sopul furnizării de publicitate targetată.

Codul de auto-reglementare, adoptat în aprilie 2011 de către IAB Europe şi EASA (“Best Practice Recoomendation on Online Behavioral Advertising”) prevede afişarea, pe site-urile web ale companiilor, a unei atenţionări care să semnaleze utilizatorilor faptul că reclamele afişate au la bază urmărirea activităţii online a utilizatorului. Prin accesarea simbolului aferent respectivei atenţionări, utilizatorii vor putea să gestioneze preferinţele în materie de date sau să restricţioneze reclamele de acest gen.

Potrivit codului, operatorii trebuie să pună la dispoziţia utilizatorilor o metodă facilă de dezactivare a modulelor cookie, să-i informeze despre existenţa procedurilor de colectarea de date în scopul furnizării de publicitate targetată comportamental şi să le ofere informaţii cu privire la companiile către care sunt furnizate respectivele date colectate. Alte obligaţii includ publicarea de detalii privind modalitatea de colectare şi utilizarea a datelor, inclusiv în cazurile în care este vorba despre datele personale sau sensibile. 

Totuşi, Grupul de lucru menţionează în scrisoarea sa că nu consideră măsurile respective ca fiind suficiente pentru conformarea cu prevederile Directivei privind viaţa privată în mediul online (Directiva 2002/58/CE amendată prin Directiva 2009/136/UE), potrivit căreia procedurile de colectare şi accesare de informaţii pe calculatoarele utilizatorilor sunt legale doar în cazul în care “abonatul sau utilizatorul şi-a dat acordul în acest sens, fiindu-i oferite informaţii clare şi cuprinzătoare cu privire la scopul prelucrării respectivelor informaţii”.

Directiva prevede ca excepţie de la această regulă cazurile în care modulele cookie sunt “strict necesare” în vederea furnizării unui serviciu solicitat în mod expres de către utilizator.

“Mecanismul propus prin Codul EASA/IAB le permite utilizatorilor să se opună colectării de informaţii privind comportamentul lor online în scopuri legate de furnizarea de publicitate targetată coportamental. Totuşi, dacă utilizatorii nu îşi exprimă această obiecţie, monitorizarea comportamentului şi furnizarea de publicitate comportamentală au loc.” arată în scrisoare Jacob Kohnstamm, preşedinte al Grupului de lucru. Astfel, Grupul de lucru consideră că atenţionarea utilizată de către companiile semnatare ale codului de auto-reglementare nu le oferă utilizatorilor “informaţiile prevăzute de legislaţie, care să le permită să ia decizii informate cu privire la utilizarea modulelor cookie pentru urmărirea comportamentului online”.

În opinia Grupului de lucru, textul codului este confuz şi insuficient de clar, utilizatorii putând crede că “urmărirea comportamentului online nu are niciun fel de implicaţii referitoare la viaţa privată”. Kohnstamm menţionează în scrisoare că informaţiile la care utilizatorii au acces dând click pe atenţionarea existentă pe pagina web ar trebui să fie mai accesibile şi vizibile în mod direct.

Furnizorii de reţele de publicitate trebuie să “ofere informaţiile necesare înainte de transmiterea modulelor cookie şi să îşi bazeze practicile pe acţiunile prin care utilizatorii îşi semnalează consimţământul privind acceptarea modulelor cookie şi urmărirea comportamentului lor online”. Furnizorul poate obţine consimţământul valid al utilizatorilor solicitându-le acestora să bifeze o căsută de acceptare a modulelor cookie. Fiecare reţea de publicitate trebuie să obţină acordul utilizatorilor, chiar şi atunci când site-urile web funcţionează cu mai mulţi furnizori de reţele de publicitate.

Prin obţinerea consimţământului prealabil şi informat al utilizatorilor, furnizorii de publicitate nu trebuie să le mai solicite acestora acordul ulterior pentru accesarea şi transmiterea de module cookie în acelaşi scop. Cu toate acestea, opţiunea de “opt-out” trebuie să fie disponibilă, astfel încât utilizatorul să îşi poată retraga acordul în orice moment.

Kohnstamm menţionează, de asemenea, că setările browserelor pot fi considerate suficiente pentru conformarea cu cerinţele legate de acordul utilizatorilor privind utilizarea de module cookie doar în cazul în care aceste setări resping automat, implicit,  modulele cookie provenind de la terţe părţi şi permit utilizatorilor să acţioneze în vederea acceptării de module cookie de la anumite website-uri, în anumite scopuri. Browserele trebuie, de asemenea, să îi informeze pe utilizatori cu privire la utilizarea modulelor cookie de către furnizorii de reţele de publicitate şi la scopurile în care sunt utilizate respectivele module de către aceşti furnizori. 

În iunie 2011, Comisarul european Neelie Kroes le-a spus companiilor europene că au la dispoziţie un an pentru a identifica metode prin care să asigure respectarea standardelor legale în ceea ce priveşte obţinerea consimţământului şi că un eşec în acest sens va determina Comisia să ia măsuri împotriva companiile care nu respectă cadrul legal.

Licenţă: Creative Commons Atribuire 3.0