Bekymret for konsekvensene av skreddersydde annonser på nett

Artikkel 29-gruppen har lenge vært bekymret for at tilpasset annonsering forutsetter økt sporing av nettbrukere over tid.

Personlige data om hvilke nettsteder vi besøker samles inn og danner grunnlaget for individuelle personprofiler om oss. Disse profilene brukes deretter til å gi oss skreddersydde annonser.

I en uttalelse fra 2010 peker gruppen særlig på manglende gjennomsiktighet og manglende rettslig grunnlag. 

Derfor bes særlig nettverkstilbyderne, men også publisistene, om å respektere reglene på området.

Nettverkstilbyderne sentrale

I sentrum av dette markedsføringssystemet finner vi de såkalte Ad Network Providers - reklamenettverkstilbyderne. Det er de som sørger for distribusjonen og personaliseringen av reklamen. Nettverkstilbyderne inngår avtaler med annonsørene – for eksempel Coca-Cola – på den ene siden, og publisistene – for eksempel vg.no – på den andre. Publisistene reserverer plass på sine nettsider, som nettverkstilbyderne i sin tur fyller med innhold på vegne av annonsørene. Når nettbruker A besøker vg.no, får nettverkstilbyderne informasjon om dette, og på bakgrunn av As eksisterende profil, sendes reklame tilbake som antas å samsvare med As interesser. 

Det er altså nettverksinnsamlerne som står bak den innsamlingen av data som er nevnt over. Innsamlingen foregår ofte ved hjelp av cookies, men også IP-adresser, device fingerprinting og andre sporingsteknologier benyttes.

Tilbydernes ansvar

Artikkel 29-gruppen mener at det er nettverkstilbyderne som har behandlingsansvaret for denne informasjonen. Dermed er det disse tilbydernes ansvar å sørge for å oppfylle grunnkravene i direktivet. Når det gjelder det rettslige grunnlaget for selve innsamlingen, viser Artikkel 29-gruppen til cookie-samtykkebestemmelsen i ePrivacy-direktivet. Samtykkekravet forplikter alle som plasserer eller henter informasjon, for eksempel cookies, i eller fra utstyret til nettbrukeren, uavhengig av om de er å regne som behandlingsansvarlige eller ikke.

Videre påpeker gruppen:

  1. samtykke i form av browser-innstillinger skal i liten grad kunne aksepteres
  2. opt out-løsninger må erstattes med opt in
  3. nettverkstilbyderne må respektere formålsbegrensningen
  4. det må legges til rette for at de registrerte kan gis innsyn i egne data
  5. cookie-informasjon må slettes automatisk etter en viss tid
  6. varigheten av samtykket begrenses
  7. brukerne må gis mulighet til å tilbakekalle samtykket
  8. det bør utvikles et symbol eller andre verktøy som vises på alle nettsteder med sporing

Gruppen uttaler at publisistene har et visst behandlingsansvar for informasjonsutvekslingen innledningsvis i prosessen, det vil si når de tilrettelegger for overføring av brukernes IP-adresser til tilbyderne, som er det som muliggjør den videre behandlingen/profileringen. Gruppen uttaler at dette først og fremst gjelder plikten til å gi dekkende informasjon til brukerne på det aktuelle nettstedet. Hvis det utleveres personopplysninger på mer tradisjonelt vis, blir publisererne selsvagt å regne som ansvarlige for denne behandlingen.