Společnost Meta Platforms provozující obě sociální sítě přitom doposud poskytovala své služby bezplatně. Co tato změna představuje v praxi?
Personalizovaná reklama na sociálních sítích
Obchodní model společnosti Meta je založen na financování prostřednictvím online reklamy, označované jako behaviorální nebo také personalizovaná. Tato forma reklamy využívá informace o předchozím chování uživatele na internetu, v prostředí Meta i jinde, jako jsou zejména jím prohlížené webové stránky, vyhledávání klíčových slov, kliknutí na reklamy nebo další interakce s online obsahem.
Na základě těchto aktivit Meta vytváří profil uživatele, aby lépe porozuměla jeho preferencím a zájmům. Následně prezentuje uživateli reklamy, které jsou pro něj relevantní a pravděpodobně ho zaujmou. Reklamní kampaně jsou pak samozřejmě efektivnější. A to je to, co obchodníky zajímá a na čem Meta vydělává. Díky tomu si Meta mohla dovolit poskytovat své služby zdarma, resp. bez finančního plnění uživatelů.
Změna nastala na konci října tohoto roku, kdy Evropský sbor pro ochranu osobních údajů zakázal společnosti Meta zpracovávat osobní údaje uživatelů v rámci EU/EHP pro účely personalizované reklamy.
Jaký je právní důvod ke zpracování dat uživatelů sociálních sítí?
S příchodem GDPR potřebovala Meta sběr a využití dat o uživatelích sociálních sítí založit na některém ze zákonných důvodu (čl. 6 GDPR). Společnost prohlásila, že reklamy jsou součástí jejích služeb a že zpracování osobních údajů pro tyto účely je nezbytně nutné pro poskytnutí služby, tedy splnění smlouvy s uživatelem (čl. 6 odst. 1 písm. b) GDPR).
To se ovšem nelíbilo dozorovým úřadům. V lednu 2023 irský úřad pro ochranu osobních údajů konstatoval, že Meta nutí ve svých smluvních podmínkách uživatele akceptovat cílenou reklamu jako podmínku pro používání sociálních sítí. Uvedl, že Meta použila nesprávný právní výklad při svém zpracování osobních údajů pro reklamní účely. Vyměřil jí za to pokutu ve výši 390 milionů eur (cca 9,4 miliardy Kč).
V mezidobí se Meta pokoušela použít jako zákonný důvod pro zpracování osobních údajů tzv. „oprávněný zájem“ (čl. 6 odst. 1 písm. f) GDPR). Ani s tímto právním výkladem ovšem neuspěla.
Zpracování v rozporu s GDPR: Smlouva ani oprávněný zájem nefungují
Soudní dvůr Evropské unie (SDEU) v létě tohoto roku uzavřel, že zpracování osobních údajů ze strany společnosti Meta pro účely personalizované reklamy je v rozporu s GDPR.
Aby se Meta mohla opřít o čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy), musela by prokázat, že sběr dat pro reklamní účely je zásadní pro splnění hlavního předmětu smlouvy a že neexistují jiná proveditelná a do práv uživatelů méně zasahující řešení. Skutečnost, že je takové zpracování údajů zmíněno ve smlouvě nebo je pouze užitečné pro splnění smlouvy, přitom není rozhodující.
Soudní dvůr EU uvedl, že „se personalizace obsahu nejeví být nezbytná k tomu, aby tomuto uživateli byly nabízeny služby sociální sítě. Tyto služby mu mohou být případně poskytovány ve formě rovnocenné alternativy nezahrnující takovou personalizaci, takže tato personalizace není objektivně nezbytná pro účel, který je nedílnou součástí těchto služeb.“
Soud dále konstatoval, že základním produktem služeb společnosti Meta je zasílání zpráv či sdílení obsahu. Veškeré další zpracování osobních údajů nad rámec těchto produktů (jako je reklama či sdílení osobních údajů) vyžaduje svobodný souhlas ze strany uživatelů.
Zpracování založené na oprávněném zájmu je dle Soudní dvora EU taktéž nedostatečné. Rozsudek objasňuje, že neexistuje žádný „oprávněný zájem“, který by převážil nad právy uživatelů při poskytování reklamy. Uživatel sociální sítě nemůže rozumně očekávat, že provozovatel bude bez jeho souhlasu zpracovávat osobní údaje pro účely personalizované reklamy, zejména ne v rozsahu, který využívala Meta. A to ani v případě, že je taková služba bezplatná.
Může Meta ignorovat evropské dozorové úřady?
Po vydání rozsudku Soudní dvora EU ovšem Meta pokračovala ve fakticky stejném (nezákonném) zpracování osobních údajů. Nejprve došla trpělivost norskému úřadu pro ochranu osobních údajů. Ten vydal v červenci 2023 zákaz cíleného profilování norských uživatelů produktů Meta a současně podal žádost Evropskému sboru pro ochranu osobních údajů, aby byl zákaz rozšířen na EU/EHP a prodloužen do doby, než se Meta dostane do souladu s GDPR. Evropský sbor žádosti vyhověl a vydal tzv. naléhavé závazné rozhodnutí, kterým uložil dozorujícímu irskému úřadu pro ochranu osobních údajů zákaz vydat.
Meta tedy musela vymyslet jiný zákonný základ zpracování osobních údajů, přičemž jedinou životaschopnou alternativou zůstal souhlas uživatele se zpracováním. Tím ovšem riskovala, že značná část uživatelů souhlas neudělí, a Meta tak přijde o zásadní část příjmů.
Princip „pay or okay“
Proto Meta zavedla placenou verzi Facebooku a Instagramu bez reklam a neplacenou verzi obsahující personalizovanou reklamu. Meta uvedla, že „Soudní dvůr EU ve svém rozhodnutí výslovně uznal, že model předplatného, jako je ten, který oznamujeme, je platnou formou souhlasu se službou financovanou z reklam.“
Meta zakládá své závěry na bodu 150 rozhodnutí Soudního dvora EU. V něm soud uvedl, že uživatelé musí mít při uzavírání smlouvy možnost odmítnout souhlas s konkrétními operacemi zpracování údajů, které nejsou nezbytné pro plnění smlouvy, aniž by byli povinni se zcela zdržet používání služby nabízené provozovatelem sociální sítě. Dále uvedl, že „těmto uživatelům má být v případě potřeby za přiměřený poplatek nabídnuta rovnocenná alternativa, která není doprovázena takovými operacemi zpracování údajů.“
Facebook zadarmo nebo za tři sta korun měsíčně?
Aktuální poplatek činí 239,99 nebo 310,99 Kč/měsíčně v závislosti na tom, zda se k sociální síti uživatel přihlašuje z počítače či mobilu. Ponechejme stranou, že v rámci placené služby Meta nenabízí nic navíc, žádný další autorský obsah nebo alespoň nějaké nadstandardní funkcionality. Ve výsledku je tento obchodní model opravdu postaven pouze na principu „pay or okay“, tj. zda uživatel společnosti Meta zaplatí penězi nebo svými osobními údaji.
V této souvislosti vyvstává otázka, zda je poplatek za službu bez reklam potřebný a přiměřený v duchu rozsudku Soudního dvora EU. Již nyní je zřejmé, že je pro většinu uživatelů dostatečně odrazující a že zřejmě nebudou ochotni platit penězi. A místo toho raději udělí souhlas s rozsáhlým zpracováním svých osobních údajů.
Bude takový souhlas se zpracováním opravdu dobrovolnou a svobodnou volbou, aniž by uživatel při jeho neudělení utrpěl jakoukoliv nevýhodu, jak to požaduje GDPR? Evropští regulátoři se k této problematice staví rozdílně. Aktivista Max Schrems prohlásil, že základní lidská práva nejsou na prodej a že proti tomuto novému modelu společnosti Meta bude opět brojit.
Můžeme proto očekávat další vývoj výkladu zpracování osobních údajů pro účely personalizované reklamy i obchodního modelu a podmínek Mety.
Co se mění pro uživatele?
Běžný uživatel si může koupit předplatné bez reklam nebo pokračovat dále s reklamami. V rámci druhé varianty se pro něj v zásadě nic nemění. Bude mít službu Facebooku či Instagramu jako doposud a tato služba bude obsahovat cílenou reklamu.
Chování uživatele na internetu bude sledováno a vyhodnocováno tak, aby mu byl nabídnut cílený reklamní obsah. Nově k tomu bude mít Meta od uživatele výslovný souhlas. Který musí být možné kdykoliv odvolat.
Co to znamená pro obchodníky – správce osobních údajů?
Používáte v rámci online marketingu principy behaviorální reklamy? Sledujete chování svých zákazníků na webových stránkách a nabízíte jim přizpůsobený obsah? A na jaký právní základ se v takovém případě spoléháte?
Kauza Meta nám ukázala, že zakládat takové zpracování osobních údajů na splnění smlouvy nebo oprávněném zájmu nemusí fungovat. Proto bude v určitých případech nutné přehodnotit obchodní modely a zamyslet se nad tím, zda pro účely nabízení personalizovaného obsahu není třeba požadovat po uživatelích výslovný souhlas.
Závěrem neškodí připomenout, že to bude vždy správce, kdo musí prokázat, že osobní údaje jsou shromažďovány pro jednoznačné a legitimní účely a že jsou zpracovávány korektně, v souladu se zákonem a způsobem, který je pro subjekt údajů srozumitelný (čl. 5 GDPR). Rovněž je na správci, aby dotčené osoby informoval o účelech, pro které mají být tyto údaje zpracovávány, a o právních titulech k tomuto zpracování (čl. 13 odst. 1 písm. c) GDPR).
