Компания Meta была оштрафована на €390 млн за нарушение закона ЕС о защите персональных данных на принадлежащих ей платформах Facebook и Instagram. Как сообщил департамент защиты данных Ирландии (DPS), Meta Platforms Ireland Limited нарушила свои «обязательства по прозрачности» и использовала неправильную правовую основу «для обработки персональных данных для отображения поведенческой рекламы». Регулятор считает, что компания принуждала своих пользователей согласиться с обработкой их личных данных в Instagram и Facebook.
Сначала были жалобы
Решение было принято после четырехлетнего расследования, которое началось еще в мае 2018 года. Причиной расследования стали жалобы со стороны ряда европейских НПО, обвиняющих техногиганта в том, что он в нарушении европейского Регламента по защите данных (GDPR), продолжал требовать от пользователей давать согласие на обработку персональных данных в своем пользовательском соглашении. В жалобах было указано, что такая практика равносильна принуждению к согласию на таргетированную рекламу.
Контрактная модель
Как пишет издание Euractiv, «нынешняя правовая основа Meta состоит из так называемой «контрактной модели», когда принимая Условия обслуживания, пользователи таким образом заключают договор с платформой. Компания посчитала, что персональные данные необходимы для выполнения такого соглашения, которое включало предоставление персонализированных услуг и поведенческой рекламы».
Подобная практика заключения договора подверглась критике со стороны неправительственной организации NOYB, возглавляемой австрийским активистом Максом Шремсом. «Вместо варианта «да/нет» для персонализированной рекламы они просто переместили пункт о согласии в положения и условия. Это не просто несправедливо, но и явно незаконно. Мы не знаем ни одной другой компании, которая пыталась бы так высокомерно игнорировать GDPR», — говорится в заявлении Шремса.
Расследование
В предварительном решении по итогам расследования регулятор сообщил, что техногигант нарушил GDPR. Речь шла о том, что Meta недостаточно ясно информировала пользоветелей о том, как обрабатываются их персональные данные и для каких целей они используются. Однако, как пишет Еuractiv, по наиболее важной части жалобы, где говорится о вынужденном согласии, DPS первоначально встал на сторону Меты. Он посчитал, что аргумент о принуждении пользователей не состоятелен.
Окончательное решение
Проект решения DPC был оспорен 10 европейскими органами по защите данных. Поскольку консенсуса достичь не удалось, дело было передано в Европейский совет по защите данных (European Data Protection Board). 5 декабря 2022 года Европейский совет принял окончательное решение о том, что правовое основание «договор» не является законным для обработки персональных данных в целях использования таргетированной рекламы.
Кроме штрафов, компанию обязали привести свою бизнес-модель в соответствии с требованиями GDPR в течение трёх месяцев. В свою очередь, Meta планирует обжаловать вынесенное решение.
