Η καταγγελία περί απορρήτου στοχεύει στο Musk’s X σχετικά με διαφημίσεις της ΕΕ που στοχεύουν σε ευαίσθητα δεδομένα

Το Elon Musk’s X, η πλατφόρμα κοινωνικής δικτύωσης παλαιότερα γνωστή ως Twitter, αντιμετωπίζει μια νέα καταγγελία απορρήτου στην

Ευρώπη

που σχετίζεται με τα εργαλεία στόχευσης διαφημίσεων. Η καταγγελία, η οποία υποβάλλεται στην ολλανδική αρχή προστασίας δεδομένων από τα δικαιώματα απορρήτου μη κερδοσκοπικού χαρακτήρα

noyb

κατηγορεί τον Χ ότι δεν κατάφερε να επιβάλει το δικό του

κατευθυντήριες γραμμές διαφήμισης

.

Ενώ οι Όροι και Προϋποθέσεις του X απαγορεύουν τη χρήση των πολιτικών πεποιθήσεων ή/και των θρησκευτικών πεποιθήσεων των ανθρώπων για τη στόχευση διαφημίσεων, ένας διαφημιστής στην πλατφόρμα του — στην πραγματικότητα η ίδια η Ευρωπαϊκή Επιτροπή, όχι λιγότερο (κακώς!) — ήταν σε θέση να χρησιμοποιήσει ακριβώς αυτό το είδος ευαίσθητων προσωπικών δεδομένων για τη στόχευση χρηστών με διαφημίσεις.

Τα στελέχη του μπλοκ χρησιμοποίησαν τα εργαλεία του X με αυτόν τον τρόπο για να προωθήσουν μια αμφιλεγόμενη νομοθετική πρόταση για τη σάρωση των μηνυμάτων των ανθρώπων για υλικό σεξουαλικής κακοποίησης παιδιών (CSAM).

Όπως αναφέραμε τον περασμένο μήνα, η noyb έχει ήδη καταθέσει καταγγελία κατά της Επιτροπής για προφανώς παραβίαση των πανευρωπαϊκών κανόνων που βοήθησε να καταρτιστούν. Τώρα ακολουθεί η υποβολή καταγγελίας και κατά του Χ. «Αφού υποβάλαμε την πρώτη μας καταγγελία για αυτό το θέμα, η Επιτροπή της ΕΕ έχει ήδη επιβεβαιώσει ότι θα σταματήσει να διαφημίζεται στο X. Ωστόσο, για να τεθεί τέλος σε αυτό γενικά, χρειαζόμαστε επιβολή κατά του X ως πλατφόρμα που χρησιμοποιείται από πολλούς άλλους», είπε ο Felix Mikolasch, δικηγόρος προστασίας δεδομένων στο

noyb



,



σε δήλωση.

Καθώς και ο Γενικός Κανονισμός για την Προστασία Δεδομένων (

GDPR

) της ΕΕ που θέτει αυστηρούς περιορισμούς στον τρόπο επεξεργασίας ευαίσθητων προσωπικών δεδομένων, όπως οι πολιτικές πεποιθήσεις και οι θρησκευτικές πεποιθήσεις — που απαιτεί από όσους θέλουν να το κάνουν αυτό να λαμβάνουν τη ρητή συναίνεση των εν λόγω ατόμων — πρόσφατα το μπλοκ Ο νόμος για τις ψηφιακές υπηρεσίες (DSA) ορίζει ότι η χρήση προσωπικών δεδομένων για στόχευση διαφημίσεων απαιτεί συναίνεση. Ωστόσο, οι χρήστες του X των οποίων τα δεδομένα υποβλήθηκαν σε επεξεργασία δεν ζητήθηκε ρητά να συμφωνήσουν με αυτήν τη χρήση των πληροφοριών τους.

“[X] χρησιμοποίησε αυτά τα ειδικά προστατευμένα δεδομένα για να καθορίσει εάν οι άνθρωποι πρέπει ή όχι να δουν μια διαφημιστική καμπάνια από τη Γενική Διεύθυνση Μετανάστευσης και Εσωτερικών Υποθέσεων της Ευρωπαϊκής Επιτροπής, η οποία προσπάθησε να συγκεντρώσει υποστήριξη για τον προτεινόμενο «έλεγχο συνομιλίας» [CSAM scanning] στην Ολλανδία», έγραψε ο noyb σε δελτίο τύπου. «Τον Νοέμβριο, αυτή η παράνομη χρήση μικρο-στόχευσης ήδη ώθησε το noyb να υποβάλει καταγγελία κατά της ίδιας της Επιτροπής της ΕΕ. Τώρα, η noyb ακολουθεί μια καταγγελία κατά του X. Επιτρέποντας αυτή την πρακτική εξαρχής, η εταιρεία παραβίασε τόσο τον GDPR όσο και τον DSA».

Σε μια ιδιαίτερα ειρωνική εκδοχή, η Επιτροπή είναι στην πραγματικότητα υπεύθυνη για την επίβλεψη της συμμόρφωσης με το DSA στις λεγόμενες πολύ μεγάλες διαδικτυακές πλατφόρμες (VLOP), όπως, ρε, X.

Πράγματι, τους τελευταίους μήνες, από τότε που τέθηκε σε ισχύ το DSA για τα VLOP, το στέλεχος της ΕΕ πίεσε το X για συμμόρφωση — ειδικά λόγω ανησυχιών για τη διάδοση παράνομου περιεχομένου και παραπληροφόρησης στην πλατφόρμα που σχετίζεται με τον πόλεμο Ισραήλ-Χαμάς. Αλλά — αρκετά αστεία — η Επιτροπή δεν φαίνεται να ζήτησε από την X να αποδείξει ότι η επιχείρησή της στόχευσης διαφημίσεων συμμορφώνεται με τον κανονισμό. (Ακόμα, δεδομένου ότι κάποιοι από τους υπαλλήλους της ήταν προφανώς απασχολημένοι με την παραβίαση αυτών των κανόνων, ίσως δεν προκαλεί έκπληξη;)

Η noyb μας επιβεβαίωσε ότι δεν έχει υποβάλει καταγγελία DSA κατά του X στην Επιτροπή. περιορίζει τη δράση της στην υποβολή καταγγελίας στην ολλανδική DPA. Ανέφερε ότι ο λόγος που επέλεξε μια αρχή απορρήτου με έδρα την Ολλανδία για την αποστολή της καταγγελίας είναι επειδή οι αμφιλεγόμενες διαφημίσεις στόχευαν X χρήστες στη χώρα. και ο καταγγέλλων noyb που υποστηρίζει για να υποβάλει την καταγγελία είναι Ολλανδός. Ωστόσο, το X έχει περιφερειακά κεντρικά γραφεία στην

Ιρλανδία

, επομένως είναι πιθανό η ολλανδική αρχή να συνεργαστεί με την Ιρλανδική Επιτροπή Προστασίας Δεδομένων (DPC) για οποιαδήποτε έρευνα GDPR για παράνομη επεξεργασία δεδομένων για στόχευση διαφημίσεων.

Αλλά γιατί η noyb δεν υποβάλλει καταγγελία DSA για το X στην Ευρωπαϊκή Επιτροπή; Ένας εκπρόσωπος της μη κερδοσκοπικής οργάνωσης μας είπε ότι δεν έχει κάνει αυτό το βήμα καθώς οι δύο καταγγελίες για την

προστασία δεδομένων

έχουν υποβληθεί τώρα — δηλαδή, μία κατά της Επιτροπής που κατατέθηκε στον ΕΕΠΔ (Ευρωπαίος Επόπτης Προστασίας Δεδομένων, ο οποίος επιβλέπει τη συμμόρφωση των θεσμικών οργάνων της ΕΕ με την κανόνες)· και ένα εναντίον του Χ αποστέλλεται τώρα σε μια εθνική ΑΠΔ — θα μπορούσε να οδηγήσει σε συνεργασία μεταξύ αυτών των εποπτών δεδομένων «σε σχεδόν πανομοιότυπη υπόθεση».

«Μένει να δούμε αν η Επιτροπή μπορεί να λάβει μέτρα εναντίον της ίδιας της Χ στο πλαίσιο του DSA», πρόσθεσε περαιτέρω ο noyb.

Ενώ οι κυρώσεις για παραβιάσεις του GDPR μπορούν να κλιμακωθούν έως και το 4% του παγκόσμιου ετήσιου κύκλου εργασιών, το καθεστώς του DSA επιτρέπει ακόμη μεγαλύτερες κυρώσεις — έως και 6%. Έτσι, εάν ληφθούν μέτρα επιβολής και στα δύο καθεστώτα, η εταιρεία του Μασκ θα μπορούσε να αντιμετωπίσει διπλό πλήγμα ρυθμιστικών κυρώσεων. (Σάντουιτς GDPR-DSA σε κανέναν;)

Επικοινωνήθηκε με την Επιτροπή για ενημέρωση σχετικά με τη δική της εσωτερική έρευνα σχετικά με την αμφιλεγόμενη στόχευση διαφημίσεων με πρόταση CSAM. και να ρωτήσει εάν θα λάβει μέτρα κατά του X, υπό την ιδιότητά του ως επιβολής του DSA για τα VLOP, για αποδοχή των παράνομων διαφημίσεων. Ωστόσο, ένας εκπρόσωπος της εκτελεστικής εξουσίας της ΕΕ αρνήθηκε να παράσχει ενημέρωση «προς το παρόν» —

αντίθετα

επανέλαβαν την προηγούμενη απόφαση της Επιτροπής να συμβουλεύσει τις εσωτερικές υπηρεσίες της να σταματήσουν όλους τους τύπους πληρωμένων επικοινωνιών στο X.

Ιρλανδική επίβλεψη GDPR του X

Όπως σημειώθηκε παραπάνω, η καταγγελία GDPR της noyb κατά του X, εν τω μεταξύ, είναι πιθανό να καταλήξει στο γραφείο της ιρλανδικής υπηρεσίας παρακολούθησης της ιδιωτικής ζωής, της DPC.

Από τότε που ο Musk ανέλαβε το Twitter και ξεκίνησε να επιβάλλει τη χαρακτηριστική του σφραγίδα στην εταιρεία (και το προϊόν της), η DPC απάντησε κάνοντας μερικούς δημόσιους θορύβους μετά από ορισμένες αμφιλεγόμενες αποφάσεις του νέου ιδιοκτήτη – όπως η απόφαση του Musk να αφήσει έξω οι δημοσιογράφοι έχουν πρόσβαση στα δεδομένα του Twitter. ή τη διάθεσή του σε λειτουργία επαλήθευσης επί πληρωμή στην ΕΕ χωρίς προηγούμενη ειδοποίηση· ή να μην ενημερώσει τον επόπτη όταν παραιτήθηκε ο DPO — αλλά η ιρλανδική ρυθμιστική αρχή φαίνεται να έχει αποστασιοποιηθεί από σκληρότερες παρεμβάσεις στην εταιρεία. Αυτό συμβαίνει παρά τις αυξανόμενες ανησυχίες για το απόρρητο σε τομείς όπως η διαγραφή δεδομένων και το απόρρητο και η ασφάλεια των άμεσων μηνυμάτων (DM) υπό την κυριότητα του Twitter/X από τον Musk.

Επιπλέον, το Musk’s X παραμένει κυρίως εγκατεστημένο στην Ιρλανδία, υπό την επίβλεψη του DPC. Κατέχει αυτό το καθεστώς παρά την ακανόνιστη ηγεσία του δισεκατομμυριούχου με έδρα τις ΗΠΑ και τη μονομερή λήψη αποφάσεων — που έχουν δημιουργήσει αμφιβολίες ότι οι αποφάσεις για προϊόντα που επηρεάζουν τους χρήστες της ΕΕ λαμβάνουν πραγματικά ουσιαστική τοπική συμβολή, όπως θα έπρεπε να συμβαίνει στην περίπτωση του X να διεκδικήσει την κύρια εγκατάσταση σε τοπικό επίπεδο. Ο χαρακτηρισμός είναι σημαντικός καθώς επιτρέπει στην εταιρεία να συνεχίσει να συρρικνώνει τον ρυθμιστικό της κίνδυνο στην ΕΕ επωφελούμενος από την απλοποιημένη εποπτεία που παρέχεται από το one-stop-shop (OSS) του GDPR.

Και πάλι, εκτός από μερικές δημόσιες εκφράσεις ανησυχίας κατά τους πρώτους μήνες της εξαγοράς του Μασκ, η ιρλανδική ρυθμιστική αρχή δεν ταρακούνησε το σκάφος της εταιρείας εδώ.

Κοιτάζοντας πιο πίσω, από τότε που τέθηκε σε ισχύ ο GDPR, το DPC έχει εκδώσει μόνο μία δημόσια ποινή στο Twitter, όπως η εταιρεία ονομαζόταν ακόμα την εποχή της κύρωσης πριν από τρία ολόκληρα χρόνια. Η ποινή συνίστατο σε πρόστιμο περίπου 550.000 $ για την παράλειψη έγκαιρης αναφοράς παραβίασης δεδομένων. Επομένως, είναι δίκαιο να πούμε ότι η πλατφόρμα είχε μια αρκετά ομαλή διαδρομή υπό την εποπτεία της ιδιωτικής ζωής της Ιρλανδίας μέχρι σήμερα, ακόμη και με τον Musk να αναλάβει το τιμόνι του πλοίου.

Ωστόσο, μένει να δούμε τι θα μπορούσε να κάνει το DPC για μια καταγγελία σχετικά με την παραβίαση των κανόνων στόχευσης διαφημίσεων από το X – υποθέτοντας ότι η τελευταία στρατηγική δράση του noyb καταλήξει να παραπεμφθεί στην Ιρλανδία από την ολλανδική DPA, όπως φαίνεται πιθανό σύμφωνα με τους κανόνες OSS. Η ρυθμιστική αρχή είχε προηγουμένως δώσει προσοχή στις ανησυχίες σχετικά με τη νομική βάση του Twitter/X για τις διαφημίσεις, όταν ο Musk φημολογήθηκε ότι σχεδίαζε να αναγκάσει τους χρήστες να επιλέξουν μεταξύ της αποδοχής εξατομικευμένων διαφημίσεων ή της πληρωμής του συνδρομής.

Μια ξεκάθαρη περίπτωση της X που δεν κατάφερε να διατηρήσει τους δικούς της Όρους και Προϋποθέσεις των διαφημιζόμενων – αν, πράγματι, σε αυτό συνοψίζεται η καταγγελία της noyb – φαίνεται πιο ξεκάθαρη από αυτό.