Πρόστιμο 805 εκατ. ευρώ στη Meta επειδή «κρυφοκοιτάζει» τις φωτογραφίες

Σύνοψη

• Η ιταλική αρχή προστασίας δεδομένων (Garante) επέβαλε στη Meta Platforms Ireland Limited βαρύτατο πρόστιμο ύψους 805 εκατομμυρίων ευρώ.
• Η κύρωση αφορά την εφαρμογή του Facebook για συσκευές Android, η οποία αποκτούσε πρόσβαση σε φωτογραφίες, βίντεο και μεταδεδομένα αποθηκευμένα στα τηλέφωνα περίπου 20 εκατομμυρίων χρηστών χωρίς τη ρητή συγκατάθεσή τους.
• Η πρόσβαση πραγματοποιούνταν μέσω της λειτουργίας «Get suggestions from your gallery while browsing Facebook», η οποία είχε ενεργοποιηθεί από προεπιλογή (by default) από τις αρχές του 2023.
• Η συγκατάθεση των χρηστών ζητούνταν με παραπλανητικό τρόπο μέσα από μια γενική άδεια, παραβιάζοντας κατάφωρα την ευρωπαϊκή νομοθεσία περί διαφάνειας.
• Η Meta διατάχθηκε να ζητήσει νέα και απολύτως ξεκάθαρη άδεια εντός 60 ημερών, ενώ η ίδια η εταιρεία ανακοίνωσε την πρόθεσή της να ασκήσει έφεση κατά της απόφασης.

Η προστασία των προσωπικών δεδομένων στο οικοσύστημα των κινητών συσκευών παραμένει ένα εξαιρετικά περίπλοκο ζήτημα που συνεχίζει να απασχολεί τις ευρωπαϊκές ρυθμιστικές αρχές, καθώς οι μεγάλες τεχνολογικές εταιρείες αναζητούν διαρκώς νέους τρόπους για να διατηρήσουν την αλληλεπίδραση των χρηστών στα υψηλότερα δυνατά επίπεδα. 

Η ιταλική αρχή προστασίας δεδομένων (Garante per la protezione dei dati personali) προχώρησε πρόσφατα στην επιβολή ενός τεράστιου προστίμου ύψους 805 εκατομμυρίων ευρώ εναντίον της Meta Platforms Ireland Limited, φέρνοντας στο φως μια πρακτική που επέτρεπε στην εφαρμογή του Facebook για το λειτουργικό σύστημα Android να αντλεί αρχεία πολυμέσων και μεταδεδομένα από εκατομμύρια συσκευές χωρίς την απαραίτητη και ρητή ενημέρωση των κατόχων τους.

Ο μηχανισμός πρόσβασης και η «αόρατη» λειτουργία

Η ρίζα του προβλήματος εντοπίζεται σε μια συγκεκριμένη προσθήκη λογισμικού που ενσωματώθηκε στην εφαρμογή του Facebook για το Android από τα μέσα του 2023 και αφορούσε άμεσα περίπου 20 εκατομμύρια χρήστες στην ιταλική επικράτεια. Η λειτουργία, η οποία ονομαζόταν «Get suggestions from your gallery while browsing Facebook», δημιουργήθηκε με προφανή σκοπό να διευκολύνει και να ενθαρρύνει τον διαμοιρασμό φωτογραφικού υλικού στην πλατφόρμα. Αντί όμως να ζητά την άδεια του χρήστη με έναν διαφανή και άμεσο τρόπο κατά τη στιγμή της κοινοποίησης, η εφαρμογή ήταν ρυθμισμένη να παραμένει ενεργοποιημένη από προεπιλογή, επιτρέποντας στο παρασκήνιο τη συνεχή σάρωση του αποθηκευτικού χώρου της συσκευής.

Η τεχνική υλοποίηση αυτής της λειτουργίας εκμεταλλευόταν τα δικαιώματα πρόσβασης (permissions) του λειτουργικού συστήματος της Google. Οι χρήστες, προκειμένου να ανεβάσουν μια φωτογραφία, είχαν ήδη παραχωρήσει στην εφαρμογή το δικαίωμα ανάγνωσης του αποθηκευτικού χώρου. Η Meta χρησιμοποίησε αυτή την προϋπάρχουσα, τεχνικής φύσεως άδεια, ως υπόβαθρο για να τροφοδοτήσει μια νέα, πιο παρεμβατική λειτουργία, η οποία «διάβαζε» συνεχώς τα νέα αρχεία και τα μεταδεδομένα τους, όπως τις τοποθεσίες λήψης και τις χρονοσημάνσεις, προκειμένου να προτείνει στοχευμένα στον χρήστη ποιες φωτογραφίες θα μπορούσε να δημοσιεύσει. Η ενημέρωση για την ύπαρξη αυτής της λειτουργίας κρύφτηκε επιμελώς πίσω από έναν ασαφή και γενικόλογο μηχανισμό συγκατάθεσης που έκανε λόγο απλώς για την «ενεργοποίηση άλλων λειτουργιών», τερματίζοντας ουσιαστικά κάθε έννοια διαφανούς επιλογής.

Η νομική βάση της απόφασης και η παρέμβαση της Garante

Η έρευνα της Garante, η οποία ξεκίνησε αυτεπάγγελτα, κατέδειξε ότι η πρακτική της Meta παραβιάζει θεμελιώδεις αρχές της ευρωπαϊκής νομοθεσίας και ειδικότερα το άρθρο 122 του Ιταλικού Κώδικα Απορρήτου, το οποίο ενσωματώνει τις διατάξεις της Ευρωπαϊκής Οδηγίας ePrivacy για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες. Η συγκεκριμένη νομοθεσία ορίζει σαφώς ότι η πρόσβαση σε πληροφορίες που είναι αποθηκευμένες στον τερματικό εξοπλισμό ενός συνδρομητή ή χρήστη επιτρέπεται αυστηρά και μόνο υπό την προϋπόθεση ότι ο χρήστης έχει δώσει τη ρητή συγκατάθεσή του, αφού πρώτα έχει ενημερωθεί πλήρως και κατανοητά.

Η ιταλική αρχή απέρριψε κατηγορηματικά τους ισχυρισμούς της Meta ότι η συγκατάθεση μπορούσε να συναχθεί έμμεσα από τη γενική αποδοχή των όρων χρήσης ή από προηγούμενες άδειες για την κάμερα. Το γεγονός ότι η συλλογή προσωπικών φωτογραφιών, βίντεο και των συνοδευτικών μεταδεδομένων (EXIF data) γινόταν χωρίς καμία απολύτως θετική ενέργεια από την πλευρά του χρήστη (opt-in), συνιστά μια σοβαρή καταστρατήγηση του απορρήτου, δεδομένου ότι η συλλογή φωτογραφιών ενός smartphone αποτελεί ίσως τον πιο προσωπικό ψηφιακό χώρο ενός ανθρώπου. Το ύψος του προστίμου, το οποίο αντιστοιχεί περίπου στο 0,47% του παγκόσμιου κύκλου εργασιών της Meta, αντικατοπτρίζει τόσο τον τεράστιο αριθμό των επηρεαζόμενων χρηστών όσο και τη συστημική φύση της παράβασης.

Η αντίδραση της Meta και οι επιπτώσεις της ρυθμιστικής απόφασης

Όπως αναμενόταν, η πρώτη αντίδραση της εταιρείας ήταν η έκφραση έντονης διαφωνίας και η άμεση ανακοίνωση της πρόθεσής του να ασκήσει έφεση. Οι εκπρόσωποι της εταιρείας χαρακτήρισαν το πρόστιμο «δυσανάλογο» και επιφυλάχθηκαν να προσβάλουν τη διαδικασία που ακολούθησε η ιταλική αρχή, υποστηρίζοντας ότι έχουν γίνει σημαντικές αλλαγές στην πλατφόρμα με στόχο την καλύτερη ενημέρωση του κοινού. Παρά τις νομικές ενέργειες που θα ακολουθήσουν, η Meta υποχρεούται πλέον, βάσει της διαταγής, να απενεργοποιήσει την επίμαχη λειτουργία εντός 60 ημερών και να ζητήσει νέα, ξεκάθαρη και ειδική συγκατάθεση από τους χρήστες εάν επιθυμεί να τη διατηρήσει στο μέλλον.

Η σημασία αυτής της απόφασης υπερβαίνει τα σύνορα της Ιταλίας, καθώς αναδεικνύει την αυξανόμενη προθυμία των εθνικών ρυθμιστικών αρχών να αναλάβουν δράση αυτοτελώς,αξιοποιώντας την Οδηγία ePrivacy παράλληλα με τον Γενικό Κανονισμό για την Προστασία Δεδομένων (GDPR), χωρίς να περιμένουν απαραίτητα τις χρονοβόρες διαδικασίες του μηχανισμού μιας στάσης μέσω της Ιρλανδικής Επιτροπής Προστασίας Δεδομένων.