A közelmúltban, egy több mint 4 éve, az Általános Adatvédelmi Rendelet („GDPR”) alkalmazandóságának 2018. május 25-ei kezdetekor indult és azóta húzódó eljárás végére került pont az Európai Adatvédelmi Testület kötelező erejű döntésével. A döntésben foglaltaknak megfelelően az ír adatvédelmi hatóság összesen 390 millió euró összegben bírságolta meg a Meta-t annak Facebook és Instagram szolgáltatásával összefüggésben.

Az Európai Adatvédelmi Testület 3/2022. számú kötelező erejű határozata a Facebook szolgáltatással összefüggésben a viselkedésalapú reklámozás céljából történő adatkezelés jogszerűségére és átláthatóságára vonatkozó panasz kapcsán indult vizsgálatra vonatkozik. Ezzel összefüggésben több kérdéssel is foglalkozik, köztük különösen azzal, hogy a személyes adatok szerződés teljesítése céljából történő kezelése megfelelő jogalap-e a viselkedésalapú reklámozásra.

Az ügyben azért volt szükség az Európai Adatvédelmi Testület kötelező erejű döntésére, mert több tagállam hatósága is kifogást emelt az ír hatóság megengedő álláspontjával szemben, amely korábban jóváhagyta a Meta által követett és azóta jogszerűtlennek minősített gyakorlatot.

A Facebook ugyanis a GDPR hatályba lépése óta nem kért hozzájárulást az érintettektől a viselkedés alapú – tehát profilozás útján szerzett információk alapján történő – reklámozáshoz, hanem az ezzel összefüggő adatkezeléseket a GDPR 6. cikk b) pont szerinti szerződés teljesítése jogalapon végezte. A Meta ezt arra alapozta, hogy az általános szerződési feltételeiben a Meta a személyre szabott reklámok „biztosítását” a felhasználók részére nyújtott szolgáltatásként jelölte meg, amelyhez álláspontja szerint elengedhetetlenül szükséges az ezzel összefüggő profilozás és az ezt lehetővé tevő adatkezelések. Ezzel, a Meta tulajdonképpen egy rejtett hozzájárulási záradékot rejtett el az általános szerződési feltételeibe, amelynek következtében a felhasználók az általános szerződések elfogadásával szükségképpen hozzájárultak a személyre szabott reklámozáshoz szükséges adtakezelésekhez is.

Azonban a döntésében az Európai Adatvédelmi Testület kimondta, hogy az a körülmény, hogy a Meta a személyre szabott hirdetéseken keresztül akar profitot termelni, még nem teszi azokat valóban szükségessé a felhasználóval kötött szerződés teljesítéséhez, mivel a Meta más adatok alapján is futtathatna hirdetéseket.

A Meta-nak továbbra is lehetősége van arra, hogy személyes adatnak nem minősülő adatokat használjon a hirdetések személyre szabásához, vagy, hogy a felhasználók hozzájárulását jogszerűen beszerezve folytasson ilyen tevékenységet. Ezt azonban úgynevezett opt-in rendszer keretében teheti csak meg, amely során valós „igen/nem” opciót kínál fel a felhasználók számára, akik így valóban kifejezett, tájékozott és önkéntes hozzájárulást adhatnak a reklámok személyre szabásához szükséges adatkezelésekhez.

Az Európai Adatvédelmi Testület döntése tehát megerősíti azt az egyébként a Nemzeti Adatvédelmi és Információszabadság Hatóság által is alkalmazott értelmezést, miszerint a GDPR 6. cikk b) pontja szerinti szerződés teljesítése jogalapot nem lehet kiterjesztően értelmezni, így erre csak az olyan adatkezeléseket lehet alapítani, amelyek nélkül az adott szerződés teljesítése ellehetetlenülne.

A döntés következtében tehát a Meta a jövőben köteles lesz lehetővé tenni a felhasználók számára, hogy úgy vehessék igénybe a szolgáltatásait, hogy nem használja fel személyes adataikat a hirdetésekhez.

Farkas Márton ügyvédjelölt

Amennyiben a fentiekkel kapcsolatban bármilyen kérdése merülne fel, kérjük, forduljon szokásos kapcsolattartó partneréhez, illetve dr. Dékány Csilla (e-mail: csilla.dekany@pwc.com) irodai tag, ügyvédhez vagy dr. Csenterics András (e-mail: andras.csenterics@pwc.com) ügyvédhez.