Do Prezesa UODO, wpłynęły dwie skargi dotyczą Meta Platforms Ireland Limited (właściciel Facebook i Instagram). Skargi dotyczyły nieprawidłowości w procesie przetwarzania danych osobowych przez Meta. Skarga dotyczyła udostępniania danych osobowych skarżących, w tym nieprawdziwych informacji na ich temat, w reklamach wyświetlanych na portalach społecznościowych Facebook i Instagram. Skarżącymi byli Prezes Inspotu Rafał Brzoska oraz dziennikarka Omenaa Mensah. W treści ww. skargi Skarżący podnieśli w szczególności, że Meta naruszyła ich dane osobowe poprzez publikowanie – bez zgody oraz bez jakiejkolwiek innej podstawy prawnej przetwarzania danych osobowych – ich wizerunku oraz imienia i nazwiska w reklamach.
W przypadku Prezesa Inpost działania te polegały na przetwarzaniu danych osobowych w reklamach przygotowanych w formie deepfake Chodziło o udostępnianie bezprawnie zmodyfikowanego nagrania z wizerunkiem skarżącego, bez dokonania wymaganej oceny wiarygodności źródła pochodzenia materiałów oraz bez zastosowania odpowiedniego trybu weryfikacji prawdziwości pozyskanych danych osobowych (nagrania). W reklamach tych zestawiano bowiem prawdziwe i aktualne dane osobowe skarżącego oraz dane dotyczące prowadzonej przez niego działalności gospodarczej z nieprawdziwymi informacjami, że skarżący jest założycielem, wspiera i sprawuje kontrolę nad reklamowanymi platformami inwestycyjnymi.
Jednocześnie Skarżący wskazał, że podejmował wcześniej już działania wobec Meta, takie jak wezwanie do usunięcia reklam i materiałów sponsorowanych oraz zaprzestania wyświetlania reklam, które wykorzystują wizerunek Skarżącego.
W przypadku Pani Omeny Mensah skarga dotyczyła tego, że reklamy wyświetlane na portalach społecznościowych rozpowszechniały jej dane osobowe, w tym jej wizerunek oraz imię i nazwisko, w zestawieniu z oczywiście nieprawdziwymi informacjami na temat jej rzekomej śmierci, jej rzekomego pobicia przez męża oraz rzekomego zatrzymania przez policję. Skarżąca podała również, że do dnia złożenia niniejszej skargi wykryła aż 263 reklamy (które wielokrotnie liczyły od 2 do 6 wersji) i liczba ta stale rośnie, gdyż codziennie napływają do niej sygnały od użytkowników ww. portali, znajomych i rodziny, że na portalach tych wyświetliła im się reklama z jej udziałem.
Jak wynika przepisów, podstawą przyjęcia przez organ nadzorczy, którego sprawa dotyczy, środków tymczasowych na terytorium jego państwa członkowskiego w trybie art. 66 ust. 1 RODO, jest pilna potrzeba podjęcia działań w celu ochrony praw i wolności osób, których dane dotyczą. Środki tymczasowe na gruncie prawa krajowego przewiduje wyżej wymieniony art. 70 ust. 1 ustawy o ochronie danych osobowych w postaci wydania postanowienia zobowiązującego podmiot, któremu zarzuca się naruszenie przepisów o ochronie danych osobowych, do ograniczenia przetwarzania danych osobowych. Warunkiem ich zastosowania jest uprawdopodobnienie naruszenia przepisów o ochronie danych oraz zagrożenia powstania poważnych i trudnych do usunięcia skutków.
Z uwagi nieprawdziwość oraz na wyjątkową dotkliwość i drastyczność prezentowanych przez Spółkę treści, w pełni uzasadniają pilną potrzebę podjęcia natychmiastowych działań przez Prezesa UODO — w celu ochrony podstawowych praw i wolności osób, których dane. Tym samym uznane przez uzasadnione przez organ nadzorczy zostało nałożenie środka tymczasowego w przypadku obu wniesionych skarg.
Ponadto w niniejszej sprawie zostało w pełni uprawdopodobnione, że poprzez kwestionowane przetwarzanie danych osobowych Skarżących przez Meta, polegające na zamieszczaniu ich danych, w tym nieprawdziwych informacji jej dotyczących w prezentowanych przez Spółkę reklamach na ww. portalu, możliwe jest naruszenie przez Spółkę przepisów o ochronie danych.
Spółka jest bowiem współadministratorem danych osobowych Skarżących przetwarzanych w ww. sposób, w rozumieniu art. 26 RODO, stosownie do którego jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami, którzy w drodze wspólnych uzgodnień w przejrzysty sposób określają odpowiednie zakresy swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z niniejszego rozporządzenia.
Przetwarzanie danych osobowych przez Meta ma charakter „transgranicznego przetwarzania” w rozumieniu art. 4 pkt 23 lit. a) RODO, zgodnie z którym transgraniczne przetwarzanie oznacza przetwarzanie danych osobowych, które odbywa się w Unii w ramach działalności jednostek organizacyjnych w więcej niż jednym państwie członkowskim administratora lub podmiotu przetwarzającego w Unii posiadającego jednostki organizacyjne w więcej niż jednym państwie członkowskim. Z uwagi na to, iż siedziba Spółki znajduje się w Irlandii, właściwym do podejmowania działań w sprawie, jako wiodący organ nadzorczy względem tego transgranicznego przetwarzania danych Skarżącego, stosownie do art. 56 ust. 1 RODO, jest Data Protection Commission, 21 Fitzwilliam Square South, Dublin 2, D02 RD28, Ireland.
Jednakże zgodnie z art. 66 ust. 1 RODO, w wyjątkowych okolicznościach, jeżeli organ nadzorczy, którego sprawa dotyczy, uzna, że istnieje pilna potrzeba podjęcia działań w celu ochrony praw i wolności osób, których dane dotyczą, może w drodze odstępstwa od mechanizmu spójności, o którym mowa w art. 63, 64 i 65, lub od procedury, o której mowa w art. 60, niezwłocznie przyjąć środki tymczasowe mające na terytorium jego państwa członkowskiego wywołać skutki prawne przez określony okres, nieprzekraczający trzech miesięcy. Organ nadzorczy niezwłocznie informuje o tych środkach i o powodach ich przyjęcia pozostałe organy nadzorcze, których sprawa dotyczy, Europejską Radę Ochrony Danych i Komisję.
Komentarz Auraco:
Decyzja Prezesa UODO stanowi istotny precedens w zakresie ochrony danych osobowych, szczególnie w kontekście działań podejmowanych przez globalne korporacje technologiczne. Sprawa ta podkreśla, jak ważne jest skuteczne egzekwowanie przepisów o ochronie danych osobowych oraz szybka reakcja organów nadzorczych w sytuacjach, które mogą prowadzić do poważnych naruszeń praw jednostek. Wydane postanowienie może również stanowić istotny sygnał dla innych podmiotów przetwarzających dane osobowe, że organy nadzorcze są gotowe podejmować zdecydowane kroki w celu ochrony praw osób, których dane dotyczą, niezależnie od skali i zasięgu działalności takich podmiotów.