Kolejne ważne rozstrzygnięcie dotyczące cyfrowego giganta – 15 marca 2023 r. holenderski sąd orzekł, że Meta Platforms Ireland Limited (wcześniej Facebook Ireland Ltd.) działała niezgodnie z prawem, przetwarzając dane osobowe holenderskich użytkowników Facebooka w okresie od 1 kwietnia 2010 r. do 1 stycznia 2020 r.
Sąd stwierdził, że platforma przetwarzała dane osobowe użytkowników w celach reklamowych bez podstawy prawnej (ich zgody) – rozstrzygnięcie w tym zakresie jest spójne z argumentacją Irlandzkiej komisji ochrony danych osobowych z decyzji nakładającej na tę spółkę karę 400 mln euro. Ponadto, Facebook naruszył zakaz przetwarzania szczególnych danych osobowych w celach reklamowych, takich jak preferencje seksualne, pochodzenie etniczne, poglądy polityczne czy wyznanie. Co ważne, dane osobowe użytkowników były również przekazane podmiotom trzecim bez podstawy prawnej oraz bez należytego poinformowania o tym użytkowników.
Dane były zarówno przekazywane przez samych użytkowników, jak i zbierane przez Meta podczas śledzenia zachowań użytkowników podczas surfowania poza serwisem Facebook za pomocą plików cookie i/lub porównywalnej technologii (w szczególności przez tzw. Pixel Facebooka). Pozyskane ze śledzenia zachowań użytkowników w przeglądarce dane obejmowały także szczególne kategorie danych osobowych, które następnie wykorzystywano w celu profilowania reklam na platformie Facebook. Platforma pozyskiwała w ten sposób nie tylko dane osobowe samych użytkowników, ale także dane osobowe ich znajomych z Facebooka.
Holenderski sąd orzekł przy tym, że sama praktyka umieszczania plików cookies na zewnętrznych stronach internetowych i związane z nią przeniesienie na odpowiedniego operatora witryny obowiązku informowania użytkowników o umieszczeniu plików cookie oraz zwracania się o zgodę użytkowników są zgodne z prawem. Jeśli bowiem operator serwisu uzyska zgodę na umieszczanie plików cookies i prawidłowo spełni obowiązek informacyjny, zlecający administrator nie musi robić tego samego. Istotne jest jednak to, że w każdym przypadku przetwarzanie danych osobowych (także tych pozyskanych za pośrednictwem plików cookies) musi mieć podstawę prawną – a Meta takiej podstawy nie miała. Stwierdzono ponadto, że sposób, w jaki Meta przetwarzała dane osobowe niderlandzkich użytkowników Facebooka do celów reklamowych, naruszał nie tylko przepisy dotyczące prywatności obowiązujące w przedmiotowym okresie, ale także stanowił nieuczciwą praktykę handlową. Niewystarczające informowanie użytkownika Facebooka jako konsumentów o wykorzystywaniu ich danych osobowych w celach komercyjnych wprowadzało bowiem w błąd – przeciętny konsument nie był w stanie podjąć świadomej decyzji o uczestnictwie w serwisie Facebook, biorąc pod uwagę wszystkie wskazane okoliczności.
Na tym etapie przedmiotem sprawy nie był zakres, w jakim poszczególni niderlandzcy użytkownicy Facebooka są uprawnieni do odszkodowania na podstawie stwierdzonego niezgodnego z prawem zachowania Meta – samo naruszenie prywatności nie uprawnia przy tym automatycznie do odszkodowania za szkody niematerialne.
Autorka – r.pr. Edyta Oleszczuk-Romańska
