Sieci reklamowe, adtech i dostawcy analityki

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy
• Regulation (EU) 2022/2065 — DSA advertising transparency
• Regulation (EU) 2019/1150 for platform intermediation

Kto musi wyznaczyć

Dostawcy adtech, dostawcy analityki i operatorzy SDK, którzy są zarejestrowani poza Unią i przetwarzają dane o osobach w Unii. Większość z nich jest administratorami dla własnych celów, nawet gdy wydawcy nazywają ich przetwarzającymi, a ta determinacja decyduje, kto potrzebuje przedstawiciela i kto ponosi odpowiedzialność.

Progi i wyłączenia

Brak progu. Przetwarzanie pseudonimowych identyfikatorów na dużą skalę jest dokładnie tym, co celuje w Artykuł 3(2), a zwolnienie z Artykułu 27(2) nie może mieć zastosowania.

Co musi być na etykiecie

Przejrzystość skierowana do wydawców i użytkowników: tożsamość przedstawiciela w powiadomieniu o prywatności, cele i podstawy prawne, okresy przechowywania oraz lista dostawców. Zgodnie z DSA, reklama musi być identyfikowalna jako taka, z nazwiskiem reklamodawcy i ujawnionymi głównymi parametrami profilowania.

Pola na platformach

Wydawcy żądają jasności umownej w kwestii statusu administratora lub przetwarzającego, a platformy zarządzania zgodą nie będą integrować dostawców, którzy nie mogą dostarczyć wymaganych ujawnień. Egzekwowanie w ekosystemie licytacji w czasie rzeczywistym pochodzi zarówno od regulatorów, jak i z postępowań sądowych.

Dokumentacja do przechowywania

Rejestry z Artykułu 30 mapujące każdy przepływ danych. Wyznaczenie z Artykułu 27. Analiza podstawy prawnej dla każdego celu, ponieważ zgoda uzyskana przez wydawcę musi rzeczywiście obejmować Twoje cele i być przekazana Tobie. Ocena skutków dla ochrony danych. Standardowe klauzule umowne i oceny wpływu transferu. Uzgodnienia wspólnego administratora na podstawie Artykułu 26, gdzie odpowiedzialności są dzielone z wydawcami.

Normy i badania

Nie dotyczy, ale analiza ruchu to sposób, w jaki zaczyna się egzekwowanie: regulatorzy i NGO badają, czy identyfikatory są przesyłane przed uzyskaniem zgody i czy sygnał zgody odpowiada rzeczywistemu przetwarzaniu.

Wymogi językowe

Informacje o przejrzystości w języku użytkowników, których dane są przetwarzane.

Od kiedy obowiązuje

Przedstawiciel przed rozpoczęciem przetwarzania. Zgoda musi poprzedzać jakiekolwiek odczyty lub zapisy na urządzeniu, a żądanie licytacji zawierające identyfikator wysłane przed uzyskaniem zgody jest już naruszeniem.

Jak długo przechowywać

Rekordy przez cały okres przetwarzania. Przechowywanie danych żądania licytacji to powtarzający się problem, ponieważ dane przechowywane do analizy po aukcji rzadko mają udokumentowaną podstawę.

Co grozi za brak zgodności

Do 20 milionów € lub 4% obrotu za niezgodne przetwarzanie, oraz 10 milionów € lub 2% za brak przedstawiciela. Kary krajowe za ePrywatność są nakładane oddzielnie i nie wymagają dowodu szkody. Ten sektor wyprodukował niektóre z największych i najbardziej systemowych decyzji egzekucyjnych w Unii.

Kto egzekwuje

Organy ochrony danych w całej Unii, ponieważ administrator bez siedziby w UE nie ma organu wiodącego, oraz organy ochrony konsumentów w przypadku ciemnych wzorców w interfejsach zgody.

Gdzie przebiega granica

Pytanie o administratora-przetwarzającego jest decydujące i nie może być rozstrzygnięte jedynie przez sformułowania umowne: dostawca, który określa cele, takie jak budowanie publiczności czy szkolenie modeli, jest administratorem niezależnie od tego, jak umowa jest zatytułowana. Wnioski z kategorii specjalnych — zdrowie, seksualność, poglądy polityczne — wyciągnięte z zachowań przeglądania przyciągają obowiązki z Artykułu 9, których zgoda na reklamę nie spełnia.

Najczęstsze pytania

Nasz wydawca zbiera zgodę — czy to wystarczy dla nas?

Tylko jeśli zgoda rzeczywiście obejmuje Twoje cele, wymienia Cię i jest przekazywana Tobie przed przetwarzaniem. Poleganie na ogólnym banerze wydawcy wielokrotnie zawiodło w egzekwowaniu.

Czy pseudonimowe identyfikatory to dane osobowe?

Tak. Identyfikatory cookie, identyfikatory reklamowe i zhashowane e-maile identyfikują osoby w rozumieniu RODO, a traktowanie ich jako anonimowych jest najczęstszym błędem strukturalnym w tym sektorze.