У Європі визнали незаконним збір персональних даних для онлайн-реклами

Бельгійське Управління захисту даних (APD) ухвалило (PDF), що всі дані, зібрані за допомогою прийнятого в Європі механізму Transparency&Consent Framework (TCF), були отримані незаконно та підлягають знищенню. Рішення торкнеться інтересів більше тисячі компаній, що спеціалізуються на онлайн-рекламі, які перебувають в асоціації IAB Europe, у тому числі Google, Amazon і Microsoft.

Здебільшого рекламами в Європі керує галузева асоціація IAB Europe — вона була створена для того, щоб рекламодавці та рекламні майданчики діяли однаково та підкорялися вимогам місцевого законодавства. Для цього був розроблений єдиний механізм Transparency and Consent Framework (TCF): при заході на сайти користувачі бачили спливаючі вікна, що запитують їхню згоду на обробку даних.

Дані кожного користувача збиралися на різних ресурсах та включали досить докладну інформацію, яка представлялася у форматі TC String. Ці дані, по суті, транслювалися онлайн необмеженому колу осіб без нагляду і оброблялися системою RTB (Real-Time Bidding) — аукціоном з автоматичними ставками в реальному часі, що визначає, яка реклама демонструється користувачам на майданчику.

За версією бельгійського регулятора, сам характер надання згоди користувачем при натисканні на спливаюче вікно, а також зібрані платформою RTB дані порушують вимоги Європейського Загального регламенту захисту даних (GDPR), який визначає принципи дотримання конфіденційності при обробці інформації в регіоні. Зокрема, згода на обробку даних не «запитувалась належним чином»; відсутня «прозорість щодо того, що відбувається з даними»; обробка даних не відповідала GDPR; а IAB Europe не забезпечила вимог щодо захисту інформації.

У зв’язку з цим APD ухвалило, що всі зібрані системою RTB дані підлягають знищенню. Це може зачепити інтереси великих гравців рекламної галузі, у тому числі Google та Facebook, а також компаній, що спеціалізуються на великих даних. Асоціація IAB Europe буде оштрафована у розмірі $250 тис., крім того, їй наказано перебудувати існуючу структуру рекламних технологій, для чого організації необхідно призначити відповідальну особу і, якщо це можливо, привести систему у відповідність GDPR. Асоціація з цим рішенням не згодна: вона називає себе розробником стандартів та відмовляється від ролі самостійного суб’єкта обробки даних.