Британский регулятор: технология RTB нарушает GDPR

Управление комиссара по информации Великобритании (ICO) опубликовало отчёт, согласно которому технология закупки медийной рекламы посредством онлайн-аукционов (Real Time Bidding, RTB) нарушает положения Общего регламента по защите данных в ЕС (GDPR).

В ICO заявили, что опубликовали отчёт, чтобы «продемонстрировать прогресс по одному из своих основных приоритетов в регулировании». Этот документ не является руководством, а лишь выражает «взгляды и выводы на текущий момент», которые могут повлиять на дальнейшие действия регулятора.

В ICO считают, что технология RTB имеет ряд системных проблем, включая вопросы по поводу согласия пользователей на использование их данных, а также прозрачности и сбора данных в цепи поставок такой рекламы.

Основные выводы отчёта:

• Текущая обработка данных из специальных и неспециальных категорий осуществляется незаконно на этапе сбора данных (недостаточно выраженное согласие пользователей).
• В целом отсутствует понимание и правильное использование оценок воздействия на защиту данных (DPIA), требуемых GDPR при масштабной обработке определённых типов данных.
• «Недостаточно ясные» и «слишком сложные» формулировки касательно конфиденциальности данных пользователей.
• Профили данных, создаваемые для RTB, чрезвычайно детализированы и передаются нескольким сторонам без знания об этом пользователей.
• В рамках экосистемы RTB у пользователей нет гарантий касательно безопасности их персональных данных.

В отчёте отмечается, что в отрасли уже есть ряд инициатив, в рамках которых ведётся работа по изменению принципов работы RTB-экосистемы. Однако на данный момент ни одна из них не выработала окончательного решения, которое бы устранило те недостатки и нарушения, которые были описаны выше. Также нет никаких признаков того, что компании в отрасли готовы на добровольной основе внести такие изменения в свои процессы.

По мнению экспертов, позиция ICO может повлиять и на других регуляторов – как в Европе, так и за её пределами. Так, в настоящее время в США ведётся работа по разработке аналога GDPR и американских регуляторов также могут заинтересовать выводы, сделанные ICO.