Veszélyben vannak az adatok?

Mint az közismert, a Meta Platforms tulajdonában lévő Facebook egészen a közelmúltig, ingyenes szolgáltatást nyújtott a magánfelhasználók számára. E közösségi hálózat üzleti modellje az egyéni felhasználókra szabott, online hirdetések útján történő finanszírozáson alapul. Ezt a fajta marketing megoldást technikai értelemben a hálózat felhasználóira és a Meta-csoport szintjén kínált online szolgáltatások felhasználóira vonatkozó részletes profilok automatizált létrehozása teszi lehetővé. A KRS Ügyvédi Iroda szakértőinek összefoglalása.

A Facebook használatához a regisztrációkor a felhasználóknak el kell fogadniuk a Meta Platforms által kidolgozott általános feltételeket, amelyek a társaság által meghatározott adatokra és sütikre vonatkozó szabályzatokra utalnak. E szabályzatok értelmében a Meta Platforms a felhasználók által a regisztráció során közvetlenül megadott adatokon kívül a közösségi hálózaton és azon kívül végzett felhasználói tevékenységekről is gyűjt adatokat, és ezeket összekapcsolja az érintettek Facebook-fiókjaival. Ez utóbbi, az úgynevezett Facebookon kívüli adatok a harmadik felek weboldalainak és alkalmazásainak látogatásaira, valamint a Meta csoporthoz tartozó egyéb online szolgáltatások (köztük az Instagram és a WhatsApp) használatára vonatkozó adatokat is magukban foglalnak.

Az így összegyűjtött adatok összesített áttekintése lehetővé teszi a részletes következtetések levonását a felhasználók preferenciáiról és érdeklődéséről.

Az ügy háttere, hogy 2019. február 6-i határozatával a német szövetségi kartellhivatal (Bundeskartellamt) megtiltotta a Meta Platformsnak egyrészt azt, hogy az akkor hatályos általános feltételek szerint a Facebook a Németországban lakóhellyel rendelkező magánfelhasználók Facebookon kívüli adatait kezelje, másrészt pedig azt, hogy hozzájárulásuk nélkül kezelje ezeket az adatokat. Ezenkívül a szövetségi kartellhivatal arra kötelezte a Meta Platformst, hogy az általános szerződési feltételeit olyan módon javítsa, hogy egyértelművé váljon, hogy

ezeket az adatokat az érintett felhasználók hozzájárulása nélkül nem gyűjthetik, nem kapcsolhatják össze Facebook-felhasználói fiókokkal, és nem használhatják fel.

Végül a kartellhivatal kimondta, hogy a Facebook felhasználóktól beszerzett hozzájárulás nem tekinthető érvényesnek, ha az a közösségi hálózat használatának feltétele. Határozatát arra alapította a hatóság, hogy a szóban forgó adatok kezelése erőfölénnyel való visszaélésnek minősül az online közösségi hálózatok piacán. A Meta Platforms ezzel a döntéssel szemben fordult keresettel a düsseldorfi tartományi felsőbírósághoz (Oberlandesgericht Düsseldorf), amely pedig előzetes döntéshozatali eljárás keretében egy sor kérdéssel fordult az Európai Unió Bíróságához (EUB).

A nagytanácsban eljáró EUB ítéletében megállapította, hogy a személyes adatok kezelése nem felel meg az általános adatvédelmi rendelet (GDPR) szabályainak.

Az EUB álláspontja szerint a versenyhatóság az erőfölénnyel való visszaélés vizsgálata során megállapíthatja, hogy az adott vállalkozásnak a személyes adatok kezelésére vonatkozó általános felhasználási feltételei és azok végrehajtása nem felel meg a GDPR szabályainak, amennyiben ez szükséges az erőfölénnyel való visszaélés fennállásának megállapításához. Ugyanakkor az EUB arra is rámutatott, hogy a lojális együttműködés elvéből következően, amikor a versenyhatóságoknak hatáskörük gyakorlása során meg kell vizsgálniuk, hogy egy vállalkozás magatartása megfelel-e a GDPR rendelkezéseinek, kötelesek konzultálni és lojálisan együttműködni az érintett tagállami adatvédelmi hatóságokkal.

Az EUB ugyancsak megállapította, hogy a Facebook személyes adatok különleges kategóriáinak (pl. egészségügyi adatok) a kezelőjévé válhat a felhasználók Facebookon kívüli tevékenységéről történő adatgyűjtés során. Emlékeztettek továbbá arra is, hogy a GDPR értelmében az adatkezelés akkor és annyiban jogszerű, amennyiben az érintett hozzájárulását adta egy vagy több konkrét célra. Ilyen hozzájárulás hiányában, vagy ha ez nem önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű, az adatkezelés csak abban az esetben lehet jogszerű, ha megfelel a szükségesség szigorúan értelmezett követelményének.

A felhasználók személyes adatainak kezelése pedig csak akkor tekinthető szükségesnek, ha az adatkezelés objektíve nélkülözhetetlen a felhasználókat terhelő szerződéses kötelezettség szerves részét képező célhoz.

Az EUB megállapította többek között, hogy hozzájárulásuk hiányában a felhasználók érdekei és alapvető jogai elsőbbséget élveznek az online közösségi hálózat üzemeltetőjének a tevékenységét finanszírozó, személyre szabott reklámhoz fűződő érdekével szemben. Az a körülmény, hogy valamely online közösségi hálózat üzemeltetője erőfölényben van az online közösségi hálózatok piacán, önmagában nem zárja ki, hogy a hálózat felhasználói érvényesen hozzájárulhassanak személyes adataik kezeléséhez. Ebből következik, hogy a közösségi hálózat felhasználóinak lehetőséget kell biztosítani arra, hogy a szerződéses eljárás keretében egyénileg megtagadják hozzájárulásukat bizonyos, a szerződés teljesítéséhez nem szükséges adatkezelési műveletekhez, anélkül, hogy kötelesek lennének teljes mértékben tartózkodni az online közösségi hálózat használatától.

Az EUB ugyancsak hangsúlyozta, lehetővé kell tenni, hogy külön hozzájárulást lehessen adni a Facebookon kívüli adatok kezeléséhez.

A fenti döntés minden bizonnyal közrejátszott abban, hogy a Facebook a közelmúltban változtatott üzletpolitikáján, és díj fizetés ellenében a felhasználóknak felajánl egy egyenértékű alternatívát, amelyhez nem kapcsolódnak ilyen adatfeldolgozási műveletek.