Branża reklamowa zachwyca się behawioralnym targetowaniem reklam, które niepokoi Komisję Europejską oraz Kongres USA

Zdążyłem skomentować dla Webhosting kwestie reklamy targetowanej behawioralnie, a tu - jak na zawołanie - komunikat ze strony Komisji Europejskiej, która wszczęła postępowanie przeciwko Wielkiej Brytanii po skargach brytyjskich internautów na stosowanie przez tamtejszych dostawców usług internetowych "technologii reklamy behawioralnej zwanej Phorm"... W Polsce przedsiębiorcy pracują nad "kodeksem dobrych praktyk wykorzystania targetowania behawioralnego" i ogłaszają, ze jego celem jest "wyjaśnienie, że technologie dostępne na polskim rynku nie łamią w żaden sposób ani Ustawy o Ochronie Danych Osobowych, ani jakichkolwiek innych – dotyczących prywatności – zapisów". Być może - podobnie jak w Wielkiej Brytanii i USA - branża polska woli samoregulację, niż sytuację, w której prawodawca silnie przykręci śrubę, wprost zakazując pewnych działań, albo, gdy regulator po prostu zacznie stosować przepisy. Z pewnej perspektywy samoregulacja jest lepsza niż powszechnie obowiązujące, precyzyjne i stosowane prawo...

Na początek tekst w Webhosting.pl: Targetowanie behawioralne lekiem na reklamową znieczulicę?, gdzie komentowałem problem targetowania reklam. Nawiązałem do niedawnego wyroku WSA w sprawie zdjęcia w serwisie Nasza-klasa.pl, w uzasadnieniu którego warszawski sąd stwierdził, że pojęcie "tożsamości" nie ogranicza się do tego, kim się jest obecnie, ale można je rozciągnąć również na to kim się było, a nawet na zamierzenia na przyszłość – jednym słowem, wszystko to, co powoduje, że dana osoba różni się od innej (por. Podpis pod zdjęciem w NK - uzasadnienie wyroku WSA w Warszawie (sygn. II SA/Wa 1495/08)). W związku z tym napisałem w komentarzu dla Webhosting:

Podobnie można by analizować sposób działania technologii zbierania informacji dla potrzeb behawioralnego targetowania reklamy. Być może w bazach danych nie będą występowały imiona i nazwiska, ale już dziś gromadzona jest historia korzystania przez z nas z mediów elektronicznych. Systemy "wiedzą" jakie mamy poglądy polityczne, jakimi stronami się interesujemy (być może również to, jakiej używamy skrzynki poczty elektronicznej, a być może komuś przyjdzie do głowy analizować słownikowo treść naszych listów)... I chociaż - jak stwierdza polska ustawa - "informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań", a to istotne dla potrzeb określenia, czy mamy do czynienia z danymi osobowymi czy nie, to jednak w bazach danych służących do analizy naszej aktywności chodzi o to, by dokładnie poznać właśnie nas, właśnie konkretną jednostkę, które następnie będzie można zaprezentować konkretny przekaz reklamowy, dobrany ze względu na wcześniej zebrane o nas informacje. Analiza takich danych staje się coraz łatwiejsza i coraz tańsza. Im tańsza i łatwiejsza jest, tym bardziej mamy do czynienia z danymi osobowymi. Wydaje się, że w społeczeństwie informacyjnym dane osobowe otaczają nas ze wszystkich stron i chociaż zależy nam na ochronie naszej prywatności, to korzystanie z elektronicznych sposobów komunikacji dzień w dzień odziera nas z tej właśnie prywatności. To gigantyczne wyzwanie dla systemu prawa.

Zwracam uwagę na komentarz p. Tomasza Teodorczyka, Sales Director CEE w nugg.ad AG, który również został opublikowany w tym tekście:

Wielu ludzi, z racji ograniczonej wiedzy w tym temacie, przedstawia targetowanie behawioralne jako wyjęte spod prawa działanie. Chcemy to zmienić. Przygotowywany dokument ma za zadanie zebrać i potwierdzać dokładnie te praktyki, które są wykorzystywane codziennie w pracach dla klientów, będące jednocześnie zgodne z prawem i etyką

Ten komentarz został poprzedzony informacją, że firmy wykorzystujące w swoich działaniach targetowanie behawioralne, przy współpracy IAB, opracowują "kodeks dobrych praktyk wykorzystania targetowania behawioralnego", którego zadaniem jest przede wszystkim "wyjaśnienie, że technologie dostępne na polskim rynku nie łamią w żaden sposób ani Ustawy o Ochronie Danych Osobowych, ani jakichkolwiek innych – dotyczących prywatności – zapisów"... To bardzo odważne i stanowcze stwierdzenie, tym bardziej, że 18 grudnia 2008 roku weszły w życie przepisy nowelizujące Kodeks karny, o których pisałem: 18 grudnia 2008 - potwierdzenie delegalizacji internetu w Polsce.

OK. Opisane w tekście Webhosting targetowanie bahawioralne nie musi być tożsame z technologią Phorm. Inne technologie oparte o Deep packet inspection, a służące do targetowania reklamy, to NebuAd albo Front Porch. W zeszłym roku Webhosting opublikował inny tekst na temat "targetowania", a mianowicie Dwuznaczny stosunek dostawców Internetu do głębokiej inspekcji pakietów, a tam, za TheRegister i oryginalnym tekstem: American ISP giants: If we Phorm, we'll get consent, relacjonowano specjalne przesłuchanie przed Kongresem USA. Zacytuję fragment z tamtej relacji (przy czym wytłuszczenie pochodzi od relacjonujących, nie ode mnie, ale w kontekście informacji o kodeksie dobrych praktyk i samoregulacjach branży nabiera nowego znaczenia):

Specjaliści od wirtualnej promocji od dawna poszukują nowych sposobów na precyzyjne docieranie do potencjalnych klientów. Ma to zwiększyć skuteczność reklamy online. Jedną z najbardziej obiecujących metod jest targetowanie behawioralne, bazujące na analizie zachowań internautów. Aby jednak ono działało, konieczne jest zebranie wielu informacji o użytkownikach, których zdobycie wymaga wykorzystania głębokiej inspekcji pakietów – technologii budzącej głębokie kontrowersje wśród obrońców prywatności.

Najpopularniejsze rozwiązania w tym zakresie to Phorm i NebuAd. Dostawcy Internetu stwierdzili, że nie będą wykorzystywali tego rodzaju platform bez wyraźnej zgody indywidualnych użytkowników. Jednocześnie firmy opowiedziały się przeciwko wprowadzeniu regulacji prawnych w tym zakresie. Uznały, że wystarczą odpowiednie zapisy w ich wewnętrznych regulaminach świadczenia usług.

Ci, którzy preferują samoregulację, to - wedle oryginalnego tekstu z TheRegister - AT&T, Time Warner Cable oraz Verizon.

Warto pamiętać, że również Google ma zamiar "wejść" w behawioralne targetowanie reklam i również przedstawiciele Google zeznawali przed Kongresem w zeszłym roku, zarzekając się, że ich technologia nie jest oparta na "głębokiej inspekcji pakietów" (por. Google tells Congress it's not Phorm, ale również US Congress questions legality of Phorm and the Phormettes).

Wspomniany wyżej materiał o behawioralnym targetowaniu reklam ukazał się w Webhosting dziś, a - praktycznie jednocześnie - Komisja europejska opublikowała notatkę prasową IP/09/570, pt. Telekomunikacja: Komisja wszczyna postępowanie przeciwko Wielkiej Brytanii w sprawie ochrony danych osobowych i prywatności, w której można przeczytać:

Komisja wszczęła postępowanie w sprawie uchybienia zobowiązaniom państwa członkowskiego przeciwko Wielkiej Brytanii po serii skarg złożonych przez brytyjskich użytkowników internetu i po dłuższej wymianie korespondencji między Komisją a brytyjskimi władzami na temat stosowania przez dostawców usług internetowych technologii reklamy behawioralnej zwanej „Phorm”. Postępowanie dotyczy problemów z wdrożeniem przez Wielka Brytanię unijnych przepisów dotyczących prywatności i łączności elektronicznej oraz ochrony danych osobowych, zgodnie z którymi państwa członkowskie muszą zapewnić m.in. poufność komunikacji poprzez zakaz przejmowania lub monitorowania danych bez zgody użytkownika. Problemy te wyszły na światło dzienne podczas postępowania wyjaśniającego Komisji związanego z działaniami brytyjskich władz w odpowiedzi na skargi użytkowników internetowych dotyczących technologii Phorm.

„Technologie takie jak internetowa reklama behawioralna mogą być użyteczne dla przedsiębiorców i konsumentów, ale muszą być stosowane w sposób zgodny z przepisami UE. Przepisy te mają na celu ochronę prywatności obywateli i muszą być rygorystycznie przestrzegane we wszystkich państwach członkowskich" powiedziała Viviane Reding, unijna komisarz odpowiedzialna za telekomunikację. „Od pewnego czasu obserwowaliśmy sprawę Phorm i stwierdziliśmy, że sposób, w jaki Wielka Brytania wdraża część przepisów UE dotyczących poufności komunikacji, stwarza pewne problemy. Wzywam władze Wielkiej Brytanii do zmiany przepisów krajowych i zapewnienia krajowym organom należytych uprawnień i odpowiednich sankcji do dyspozycji w celu egzekwowania unijnego prawa w zakresie poufności komunikacji. Działania te powinny umożliwić Wielkiej Brytanii bardziej energiczne reagowanie na nowe wyzwania związane z prywatnością i łącznością elektroniczną oraz ochroną danych osobowych, takie jakie powstały w przypadku technologii Phorm. Powinny one także uspokoić brytyjskich konsumentów, że podczas korzystania z internetu zapewniona jest ich prywatność i ochrona danych.”

Od kwietnia 2008 r. Komisja otrzymała wiele zapytań od obywateli Wielkiej Brytanii i brytyjskich członków Parlamentu Europejskiego, zaniepokojonych stosowaniem technologii reklamy behawioralnej zwanej "Phorm" przez dostawców usług internetowych w Wielkiej Brytanii. Technologia Phorm działa na zasadzie stałego analizowania stron odwiedzanych przez internautów w celu określenia ich zainteresowań, po czym wyświetla na przeglądanych stronach internetowych odpowiadające tym zainteresowaniom reklamy. W kwietniu 2008 r. brytyjski operator BT przyznał, że testował Phorm w 2006 i 2007 r., nie informując o tym użytkowników objętych próbami. W okresie od października do grudnia 2008 r. BT przeprowadził nowe próby tej technologii, tym razem na zasadzie zaproszenia do udziału w teście. W związku z testami przeprowadzanymi przez BT do brytyjskiego organu zajmującego się ochroną danych Information Commissioner’s Office (ICO) i policji wpłynęło wiele skarg.

Od lipca 2008 r. Komisja wystosowała szereg pism do władz Wielkiej Brytanii z zapytaniami, jak w tym kraju wdrożone zostały odpowiednie przepisy UE w kontekście sprawy Phorm. Po przeanalizowaniu otrzymanych odpowiedzi Komisja obawia się, że w sposobie wdrażania przez Wielką Brytanię przepisów UE gwarantujących poufność komunikacji pojawiły się problemy strukturalne.

Zgodnie z prawem Wielkiej Brytanii, egzekwowanym przez brytyjską policję, bezprawne przejęcie informacji jest przestępstwem. Jednakże zakres tego przestępstwa ogranicza się jedynie do „umyślnego" przejęcia. Ponadto, zgodnie z tym prawem, przejęcie uznaje się za zgodne z prawem, gdy osoba przejmująca informacje ma „uzasadnione podstawy, aby sądzić”, że istniało przyzwolenie na takie przejęcie. Komisja wyraża także zaniepokojenie faktem, że w Wielkiej Brytanii nie funkcjonuje żaden niezależny ogólnokrajowy organ nadzorujący takie przejęcia.

Wielka Brytania ma dwa miesiące na ustosunkowanie się do pierwszego etapu postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego tj. do wysłanego dzisiaj wezwania do usunięcia uchybienia. W przypadku braku odpowiedzi lub gdyby uwagi zgłoszone przez Wielką Brytanię okazały się niezadowalające, Komisja może podjąć decyzję o wystosowaniu uzasadnionej opinii (stanowiącej drugi etap postępowania). W razie gdyby Wielka Brytania nadal nie dopełniała swoich zobowiązań wobec prawa UE, Komisja będzie zmuszona skierować sprawę do Europejskiego Trybunału Sprawiedliwości.

Kontekst

Unijna dyrektywa o prywatności i łączności elektronicznej stawia wymóg, aby państwa członkowskie UE zapewniły poufność komunikacji i związanych z nią danych o ruchu poprzez zakazanie bezprawnego przejęcia lub nadzoru komunikatu bez zgody zainteresowanych użytkowników (art. 5 ust. 1 dyrektywy 2002/58/WE). W dyrektywie UE w sprawie ochrony danych określono, że zgoda użytkownika musi być „konkretna, świadoma i dobrowolna” (art. 2 lit. h dyrektywy 95/46/WE). Ponadto art. 24 dyrektywy w sprawie ochrony danych stawia wymóg, aby państwa członkowskie określiły odpowiednie sankcje w przypadku naruszenia przepisów, a art. 28 stanowi, że za kontrolę stosowania tych przepisów odpowiedzialne powinny być niezależne organy. Wspomniane przepisy dyrektywy w sprawie ochrony danych mają także zastosowanie w obszarze poufności komunikacji.

Powyższy komunikat jest również sygnałem dla polskiego regulatora, a więc dla Generalnego Inspektora Ochrony Danych Osobowych, który nie tak dawno, bo rok temu, spotykał się z branżą marketingową, ustalając warunki "zapewnienia prawa do prywatności obywatelom naszego kraju" (por. Marketingowcy będą poprawiać poziom ochrony danych osobowych). Przesłanie Komisji jest proste: drogie państwo członkowskie Unii Europejskiej, masz stosować przepisy, a w przypadku łamania przepisów przez rynkowych graczy - stosowne organy mają stosować sankcje. Jakby się okazało, że to niewystarczające - jest jeszcze Komisja Europejska nad wami, która - jak w przypadku Wielkiej Brytanii - może wszcząć kłopotliwe postępowanie...

Tutaj Komisja Europejska troszczy się o prawa obywateli Unii, jednak warto pamiętać, że Unia Europejska nie tak dawno przyjęła Dyrektywę 2006/24/WE Parlamentu Europejskiego i Rady z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności oraz zmieniająca dyrektywę 2002/58/WE (por. Retencja danych: oddalenie skargi w sprawie C-301/06, polska transpozycja dyrektywy).

O testach przeprowadzanych przez BT w Wielkiej Brytanii oraz o zamieszaniu w USA przeczytaj również w tekście Every Click You Make. Internet Providers Quietly Test Expanded Tracking of Web Use to Target Advertising.