ORG'nin DCMS'ye PECR reformu hakkında brifingi

ORG, gerçek zamanlı teklif ekosisteminin mevcut durumunun sürdürülemez olduğuna inanıyor. ICO'nun görüşlere yönelik çağrısına verdiğimiz yanıt, ICO'nun kamu görüşlerinin özetinde de yansıtıldığı gibi şunları içeriyordu:

Kişisel verilere dayalı takip, profil oluşturma ve hedefleme, kadınların üreme sağlığı haklarını kullanma girişimlerine dayalı adaletsiz yargılamalara, problemli bahis oyuncularının bağımlılıklarını istismar etmeyi amaçlayan bahis reklamlarına maruz kalmalarına, herhangi birinin cinsiyetleri, cinsel tercihleri, etnik kökenleri veya diğer hassas özellikleri nedeniyle dışlanmalarına, çocukların ve daha savunmasız durumdaki kişilerin hedef alınmasına ve istismar edilmesine neden oluyor.

Bu nedenle, çevrimiçi reklam sektöründe değişimi teşvik etme ihtiyacını tanıyoruz ve davranışsal reklamcılık ve gerçek zamanlı teklif ekosistemi gibi baskın çevrimiçi reklamcılık modellerinden sektörün uzaklaşmasını sağlamak için çabaları destekliyoruz. Bu nedenle, çerez onayı rejiminin temel olarak bir reformuna karşı çıkmıyoruz.

Bu değişim anlamlı olacak ve yukarıda belirtilen sorunları ele alacaksa, aşağıdaki gerekli koşulları belirledik:

• Yasama, kişisel verilere dayalı olarak kullanıcıları tanımlamayı veya hedeflemeyi önleyen, veri toplama miktarını azaltan, reklam teknolojisi ekosisteminde verilerin daha ileri paylaşımını sınırlayan ve kullanıcıların kontrolünü geri kazanan yeni veri uygulamalarını teşvik etmelidir.

• Yeni muafiyetler asla davranışsal profilleme, yani İnternet kullanıcılarını çevrimiçi etkinlikleri veya kişisel verileri temel alarak takip etme ve/veya hedefleme hakkına izin vermemelidir.
• Herhangi bir yeni muafiyet kapsamında toplanan veriler en aza indirilmeli ve muafiyet amaçlarını aşan daha fazla kullanım için erişilebilir olmamalıdır.
• Yasal reform sadece İnternet kullanıcılarına davranışsal profilleme ve reklamı reddetmek için anlamlı ve etkili yollar sağlandığında işe yarayabilir. Benzer şekilde, yasayı ihlal edenler, gizlilik ihlalleri ve zorlama için cezalandırılmalıdır.

BU KIRMIZI ÇIZGILER Neden Önemli?

Reklam teknolojisi endüstrisindeki kitlesel gizlilik ihlallerini ve veri koruma haklarını sınırlamak için bir reform gerekmektedir. Bu nedenle, yasal değişiklik, gizliliğe saygılı reklam çözümlerini içermeli, çevrimiçi reklamın gizlilik sorunlarını öz olarak ele almalı ve bu çözümleri benimsemeyi seçen reklamverenlere ödül vermelidir. Öte yandan, reform mevcut yasadışı uygulamaları meşrulaştırmamalıdır; bu, uyumsuzluğa ödül verecek ve endüstri içinde acilen gerekli olan davranış değişikliğini teşvik etmeyecektir.

Yukarıda belirtilenlere ulaşmak için, yeni bir muafiyet asla davranışsal reklam ve profilleme için veri işleme kapsamına girmemelidir. Toplanan verilerin miktarını azaltmak ve bu muafiyetlerin amaçlarını aşan daha fazla kullanım için verileri önlemek, gerçek zamanlı teklif ekosisteminde devam eden paylaşım, şeffaflık ve güvenlik eksikliği gibi daha geniş sorunları ele almak için de gereklidir.

Ayrıca, bireyler özgürce seçim yapamazsa, reklam teknolojisi endüstrisi onları davranışsal reklamı kabul etmeye zorlayacak, yenilikçi ve yeni muafiyetlerden yararlanacak yeni uygulamalar geliştirmeye odaklanmayacaktır. PECR'nin (Kişisel Verilerin Korunması Yönetmeliği) anlamlı bir revizyonu, bireylerin etkili bir şekilde onay tercihlerini ifade etmeleri için yollar kurmalıdır. Bu yollar sağlanmazsa, reklam teknolojisi endüstrisi, geçmiş performansları gösteriyor ki, bireyleri davranışsal profillemeye boyun eğmeye zorlayacak ve bu da gizliliğe saygılı yeni reklam çözümlerinin benimsenmesini engelleyecektir.

Ayrıca, kullanıcıların gizliliğini ihlal eden veya onların eylemlerini kullanma özgürlüğünü engelleyen aracılar cezalandırılmalı, bu sayede gizliliğe saygılı çözümleri benimsemeyi seçen reklamverenlere karşı dezavantajlı konumda kalmamalıdır.

ORG, ilk olarak, hükümetin tavsiyesinde ICO tarafından öngörülen muafiyetlere karşı çıkmaz. Ancak, davranışsal profil oluşturma ve hedefleme yasallaştırmak için bir arka kapı haline gelmemeleri gerektiğine dikkat çekiyoruz. Ayrıca, reklam teknolojisi sektörünün, uyumsuzluk, yasa ihlali ve kullanıcıların haklarının toplu ihlali konusunda kanıtlanmış bir geçmişi olduğunu da biliyoruz. Bu sorunları ele almak için:

• Sözcükler, reklam teknoloji endüstrisi tarafından geniş bir şekilde yorumlanmasını ve kötü niyetli aktörlerin istismarını önlemek için açık ve kısıtlayıcı olmalıdır.
• Yeni muafiyetler için verilen amacın ötesine geçen nedenlerle bu kapsamda yer alan verilerin yeniden kullanılmasını önlemek için önlemler alınması gerekecek. Benzer şekilde, yasalar parmak izi oluşturma, yeniden kimliklendirme, anonimlikten çıkarma veya veri zenginleştirme (yani muafiyet kapsamında işlenen verileri, diğer ticari olarak mevcut kişisel verilerle bağlamak için veri aracılık hizmetlerinin kullanılması) için bu verilerin işlenmesine izin vermemelidir.
• Bu güvencileri desteklemek için veri azaltma ve gereklilik ilkelerinin sıkı bir şekilde uygulanması da gerekecek: Veri ne kadar azsa, o kadar kaba olur ve orijinal kullanıcıyla yeniden ilişkilendirilmesi o kadar zor olur; Zehirli reklam sistemlerinin bu verileri ekosistemlerine yeniden entegre etmesi o kadar teknik olarak zorlaşır.

Ayrıca not ediyoruz ki:

• Meşru ilgi, yeni muafiyetler altında verilerin işlenmesinin temeli olacak gibi görünüyor. Denge testi, düzenleyici bir geri çekilme tehdidi ile kendi değerlendirmesine dayalı bir testtir: Başka bir deyişle, denetleyiciler, yapmazlarsa düzenleyici müdahale tehdidi altında kendileri için düzenlenmeye çağrılıyorlar. Sektördeki yaygın kötü niyet, denge testinin kötüye kullanılacağı ve bu senaryoda verileri korumak için yetersiz kalacağı anlamına geliyor.
• İzin tabanlı çerez izleme, bu iznin verilmemesi veya geri çekilmesi durumunda, başka bir yasal dayanağa (örneğin, meşru ilgi) dayanarak verilerin devamlı işlenmesinin adil olmaması ve bu nedenle adalet ilkesine aykırı olması anlamına gelir. Ancak, adalet, kullanıcıların izni olmadan veri işlenebileceği bir senaryoda veri yeniden kullanımını anlamlı bir şekilde kısıtlamayı zorunlu kılmaz.

Bu nedenle, verilerin kötüye kullanımını önlemek için anlamlı bir koruma sağlamak amacıyla, verilerin daha fazla işlenmesine (veri yeniden kullanımı, parmak izi oluşturma, yeniden tanımlama, anonimliğin kaldırılması veya veri geliştirmesi) karşı yasaklar ve zorunlu sınırlamalar içeren yasalar oluşturulması gerektiğine inanıyoruz. Bu ek güvenlik önlemleri, İngiltere veri koruma yasası tarafından zaten içselleştirilen ilkelere dayalı hükümleri tamamlamalı, ancak bunlardan sapmamalıdır.

Herhangi bir yeni muafiyet, yalnızca gizliliği koruyan reklam çözümlerini tercih edebilir ve kullanıcıların tercihlerini özgürce ifade etmelerine izin verildiği ölçüde, gizliliğe karşı daha az zararlı olanı seçebilirler. Ancak, adtech endüstrisi yıllardır kullanıcıların tercihlerini koçlama taktiklerini uyguluyor: aldatıcı çerez bildirimleri, karanlık desenler, rıza spam'i vb. ile.

Bu nedenle, yeni politika başarılı olmak için, kullanıcıların özgürce tercih yapma hakkını geri veren yasalar ile desteklenmelidir. Bu, tarayıcı sinyallerine yasal bağlayıcılık vermeyi içeren açık bir şekilde yapılabilir: kullanıcılar tarayıcılarında tercihlerini ifade edebilir ve bu tercihler, her ziyaretlerinde otomatik olarak web sitelerine iletilir. Tarayıcı sinyalleri, kullanıcıların tercihlerini "bireysel olarak uygulamalarına" da olanak tanır, bu da ICO'nun uyumsuz aktörleri kovalamasını ve sektörde doğrudan değişimi teşvik etmesini gereksiz kılar.

Bağlayıcı gizlilik sinyalleri, düzenleyici uygulamanın kolaylaştırılmasını ve bu nedenle daha olası olmasını da sağlar. "Geçerli rıza" veya "zorlama" varlığı veya yokluğu belirlemek için belirli bir keşif gereklidir: düzenleyiciler, veri uygulamalarını araştırmalı, bir arayüzün aldatıcı olup olmadığını, bir şeyin adil olmadığını ve daha sonra bu değerlendirmeyi, veri denetçisinin ICO kararına itiraz etmesi durumunda tartışmalıdır. Bağlayıcı gizlilik sinyalleri, tarayıcının belirli bir tercihi ilettiğini ve bu tercihin saygı duyulduğunu belirlemek için sadece ikili bir değerlendirme gerektirir. Bu, uygulamanın çok daha olası olmasını sağlar ve başarılı bir itirazın olasılığını azaltır.

Tarayıcı sinyallerinin, ICO'nun doğrudan düzenleyici uygulamasının alternatif bir yolu ve destekleyici bir faktörü olarak görülmesi, ICO'nun geçmişi ve mevcut durumu da göz önünde bulundurulmalıdır. Özellikle:

• ICO'nun hükümetine verdiği tavsiyede, 2019'da yayınlanan adtech raporunda belirlenen çoğu sorun hala var olduğunu kabul ediyor, yani adtech endüstrisi, ICO ve 2019 raporunda belirlenen radikal veri koruma yasalarına ihlallerini anlamlı bir şekilde ele almadı. Yedi yıl geçti, ancak ICO, adtech endüstrisi karşı herhangi bir uygulama almadı.
• ICO, şu anda bir kurumsal tek başına konumundan bir statü kuruluşa geçiş, Manchester'a merkezini taşıma, liderliğini değiştirme ve John Edwards'ın istifası sonrası iç insan kaynakları soruşturması nedeniyle bağımsız bir inceleme nedeniyle geçiş sürecinde.

ICO'nun kripto para birimi (ICO) sektörüne karşı düzenleyici uygulamada yakın zamanda önemli bir değişim göstereceğine dair çok az işaret var ve kısa-orta vadede kuruluşun önemli yönetim sapmaları yaşayacağına dair çok şey var. Bu faktörlerin birleşimi, ICO'nun bu reformların uygulanmasını güçlü düzenleyici müdahale yoluyla destekleyemeyeceğini şüpheli hale getiriyor. Bu nedenle, kullanıcıların kendileri tarafından "bireysel olarak uygulanabilir" olan bağlayıcı gizlilik işaretleri gibi alternatif yollar yaratmak akıllıca olacaktır.

Aşağıda ayrıntılı olarak ele aldığımız gibi, Birleşik Krallık önerilerinin yeni ortaya çıkan AB çerçevesine uyumlu hale getirilmesi, yeni muafiyetlere uymayan aktörlerin düzenleyici risklerini artırabilir, çünkü ihlaller ve kötü uygulamalar sadece Birleşik Krallık'ta değil, aynı zamanda AB/EEA ülkelerinde de düzenleyici incelemeye tabi tutulabilir.

Birleşik Krallık'a benzer şekilde, Avrupa Birliği'nin Veri Omnibus'u, çerez onayı gerekliliklerine sınırlı muafiyetler getirme ve tarayıcıların işaretlerine resmi olarak yasal uygulanabilirlik veren bir mekanizma tartışıyor. Bu tartışmanın ve Birleşik Krallık'ın kendi girişimi üzerindeki etkisinin önemi göz ardı edilmemeli. Özellikle:

• Birleşik Krallık, yeni muafiyetlerini AB'de tanıtılanlara uyumlu hale getirmeye çalışmalıdır. Eşgüdüm yerine rekabet eden düzenleyici çerçeveler, sektörün daha saygılı bir gizlilik alternatifine doğru kaymasını daha ikna edici hale getirebilir, çünkü yeni bir reklam sistemi, AB düzenleyici rejimi için geliştirilirse, otomatik olarak Birleşik Krallık'ta da kullanılabilir ve tersi de geçerlidir. Bununla birlikte, farklı düzenleyici gereksinimler, bir çözümün belirli bir düzenleyici rejim için geliştirilmesi durumunda, diğerinde uygulanmasını engelleyebilir, bu da bu sistemlerin genel ticari uygulanabilirliğini ve ölçeklenebilirliğini azaltabilir.
• Eşgüdümlü düzenleyici gereksinimler, uyumsuzluk gösteren reklam teknolojisi (adtech) oyuncularının düzenleyici risklerini artırır: Örneğin, Birleşik Krallık'ta sağlanan yeni muafiyetleri kötüye kullanırlarsa, bu davranış hem Birleşik Krallık'ta hem de AB'de cezalandırılabilir, bu da uyumsuzluk için düzenleyici riskini artırır. Öte yandan, yalnızca Birleşik Krallık'ta var olan ancak AB'de olmayan bir düzenleyici gereksinim, uyumsuzluğun sadece Birleşik Krallık'ta düzenleyici bir riske yol açtığı anlamına gelir, ancak daha önce belirtilen nedenlerden dolayı uygulamada şüpheli olabilir.

Yukarıdaki noktalara dayanarak, hükümetten mevcut zaman çizelgesini yeniden değerlendirmesini ve bu muafiyetleri tanıtmak için Henry VIII yetkilerini kullanmayı öneriyoruz. Özellikle, AB Veri Omnibus önerilerinin sonuçlarını beklemenin, AB ile düzenleyici ayrılığa ve iki rekabet eden rejimin birbirinin uygulanabilirliğini baltalamasına bağlı riskleri azaltmak için yararlı olacağına inanıyoruz. Bu, hükümetin taslak ve politika seçenekleri hakkında danışma yapmasını engellemez, bu da kamu denetimini teşvik etmek ve sınır ötesi düzenleyici diyalogu teşvik etmek için hala yararlı olabilir.

Bu reformun amaçları ve hedefleri paylaşılabilir, ancak adtech sektöründeki mevcut durum ve geçmiş gerçekçi bir yaklaşım gerektirir: sektör, yasaya uymaya alışkın değildir, açık olarak isyankar ve karşı çıkmaktadır. Bu nedenle, bu reformun etkili olmasını ve amacına ulaşmasını sağlamak için sektördeki davranış değişikliğini zorlayacak olağanüstü önlemler alınması gerekecektir.

Bu nedenle, yukarıda listelenen konularda çalışmak üzere Departman'a çağrıda bulunuyoruz ve bu konudaki daha fazla etkileşime açık olduğumuzu belirtmek isteriz.