POZICE SPIR k první verzi návrhu Nařízení o soukromí a elektronických komunikacích (ePrivacy)

Obecná pozice

SPIR obecně podporuje cíl návrhu nařízení, tedy zajištění soukromí uživatelů internetu. Nástroje pro dosažení tohoto cíle však musí zohlednit zájmy všech dotčených stran a musí být přiměřené. Z pohledu poskytovatelů služeb informační společnosti proto vítáme dílčí posun, ke kterému došlo mezi neoficiálním návrhem nařízení ePrivacy (dále jen „Nařízení“ či „návrh“) zveřejněným na konci roku 2016 a finálním návrhem, který byl zveřejněn dne 10. 1. 2017.

Nicméně stále spatřujeme největší problém návrhu nařízení ve skutečnosti, že při jeho koncipování nebylo řádně provedeno vyvážení zájmu průmyslu a zájmu subjektů údajů a došlo k extenzivnímu rozšíření omezení nad rámec GDPR. Značně problematické je také rozšíření působnosti návrhu. Kromě služeb elektronických komunikací do ní spadají i další služby jako např. vyhledávání na internetu či publikování.   Návrh se nepokusil o zakotvení vyváženého a férového vztahu mezi průmyslem a subjekty údajů, který by na jedné straně zajistil vysokou úroveň ochrany údajů a na druhé straně umožnil pokračování těch byznys modelů, které se vyvinuly v průběhu posledních let zejména na internetu.

V některých aspektech rovněž návrh vůbec nepřipouští možnost, aby byly v praxi v jednotlivých případech zvažovány oprávněné zájmy obou stran, tedy byznysu a subjektů údajů, a teprve v konkrétních(!) případech byla dána přednost jednomu či druhému. Takovéto zvažování samozřejmě nemůže být prováděno u některých základních práv, jako je ochrana listovního tajemství, kde je nutné přijmout jasná zákonná pravidla pro možnost přístupu např. k e-mailovým zprávám, nicméně u některých jiných ustanovení, jako je např. čl. 8, by byla plně namístě (níže proto navrhujeme úpravy čl. 8 tak, aby více odrážely současnou realitu).

Dále jsme znepokojeni tím, že definitivní podoba Nařízení bude pravděpodobně známa až těsně předtím, než nabude účinnosti reforma ochrany osobních údajů. Přitom již dnes musí provozovatelé nastavovat své systémy tak, aby byly v souladu s GDPR, což s sebou přináší vysoké náklady. Pokud bude nutné díky přísnějším pravidlům v Nařízení tyto systémy dále přenastavovat, bude to pro evropský průmysl představovat další dodatečné náklady a znehodnocení předchozích investic.

 

Domníváme se, že návrh Nařízení přináší nepřiměřená omezení pro provozovatele (včetně nepřiměřených sankcí), aniž by zároveň zásadně zvýšil přínosy pro uživatele. Lze předpokládat, že implementace navrhovaných ustanovení povede k větší zátěži pro uživatele (množství informačních bannerů, nastavení jednotlivých aplikací a prohlížečů atd. uživatele prokazatelně obtěžuje a zdržuje). Zároveň narušení byznys modelů může ve svém důsledku vést k ohrožení růstu či přímo likvidaci zejména menších evropských provozovatelů a následně také ztrátě pracovních míst, která se stále častěji přesouvají z offline světa právě do oblasti internetu (viz další kapitoly).

Faktické dopady na průmysl

Návrh dle našeho názoru nezohledňuje ani faktické dopady, které bude mít.

Příkladem může být pravděpodobné úplné zamezení možnosti provádět segmentování^[1] uživatelů pro účely efektivnějšího zobrazování reklamy bez jejich souhlasu (viz i dále naše pochybnosti nad výkladem čl. 8 odst. 1 písm. c) Nařízení). V praktickém životě dojde podle našeho názoru k tomu, že uživatelé nebudou využívat možnosti dané čl. 10, aby plošně projevili souhlas s profilováním/segmentováním. Tato možnost tak zůstane k dispozici jenom těm, kteří získají výslovný souhlas uživatelů. Ten ale v praxi budou moci získat pouze provozovatelé, kteří provádějí registraci uživatelů.  Dostatečným množstvím takových uživatelů, aby reálně segmentace/profilování měla efekt, disponují pouze provozovatelé velkých (obvykle mimoevropských) sociálních sítí či e-mailových služeb. Ti jsou ovšem zároveň – díky tomu, že disponují obvykle i jménem a příjmením subjektů údajů, informacemi o jejich aktivitách v rámci služeb a vazbách na jiné osoby, a či možností sledovat chování uživatelů napříč mezi jednotlivými zařízeními (počítač, mobilní telefon apod.) - schopní provádět detailní profilování (byť se souhlasem uživatelů). Takové profilování je mnohem detailnější a více invazivní, než základní segmentace, kterou by prováděli běžní provozovatelé internetových serverů (ti v principu disponují pouze anonymními údaji z cookies, které jsou navíc ještě vázány na jedno zařízení a prohlížeč a nikoliv na konkrétní osobu). V reálném životě tak souhlasy získá několik málo mimoevropských provozovatelů, kteří díky své základně uživatelů a možnostem provádět profilování budou moci nabízet efektivnější reklamy než ostatní a získávat z nich více finančních prostředků. Tím dojde k faktickému zvýhodnění takových velkých provozovatelů na úkor např. menších médií, která tak nebudou mít dostatek finančních prostředků na financování svých služeb (které jsou obvykle nabízeny koncovým uživatelům zadarmo a provozovatelé těchto služeb spoléhají právě a pouze na výnosy z reklamy). Ve svém důsledku může být konečným efektem to, že menší provozovatelé budou nuceni rezignovat na samostatný prodej reklamy a nasadí na své stránky reklamní systémy právě těchto zahraničních provozovatelů (neboť ti budou mít díky profilování vyšší efektivitu reklamy a vyšší příjem), což ale zpětně povede k dalšímu posílení jejich dominantní pozice a kontroly nad malými provozovateli. Domníváme se proto, že by Nařízení nemělo plošně zakazovat segmentaci uživatelů pro účely lepšího zobrazování reklamy v rámci systému opt in, ale mělo by připustit určité méně invazivní přístupy v rámci zvažování oprávněných zájmů obou stran a připuštění systému opt out. V tomto by tedy mohla být ponechána obecná úprava podle čl. 6 odst. 1 písm. f) a čl. 21 GDPR.

Dalším příkladem špatného vyvážení Nařízení je nejasný dopad čl. 8 odst. 1 na možnost testovat koncová zařízení uživatelů za jakýmkoliv než výslovně připuštěným účelem, např. na to, zda používají tzv. adblokátory (zvláštní software blokující reklamy). Celý koncept a právní posouzení adblokátorů a obrany proti nim je poměrně komplikovaný, nicméně se domníváme, že by opět možnost tohoto testování a nasazení antiadblokátorů (a tedy změny stránek tak, aby se na nich zobrazovala reklama) měla být připuštěna v rámci zvážení zájmů obou stran ve smyslu čl. 6 odst. 1 písm. e) GDPR (vč. např. možnosti zakázat obcházení adblokátorů v případě více invazivních reklam, které by však mělo zůstat na posouzení regulačních orgánů v každém konkrétním případě) a neměla by být plošně zakazována per se. Opět zde bude velkou roli hrát i výklad tohoto ustanovení a výjimky podle čl. 8 odst. 1 písm. c) Nařízení.

Jen na okraj uvádíme, že řešením není ani připuštění segmentace či antiadblokátorů v případě, že by provozovatelé měli povinnost nabídnout alternativní placený model (např. model bez cílených reklam/bez jakýchkoliv reklam s měsíčním předplatným). Testy provedené našimi členy ukazují, že uživatelé nemají o takovýto placený model zájem a takové předplatné by využilo výrazně méně než 1 ‰ uživatelů.

Podobný praktický problém je s ustanovením čl. 8 odst. 1 písm. d) Nařízení, kde je pravděpodobně připuštěno pouze měření prováděné samotným poskytovatelem služeb informační společnosti. Měření návštěvnosti webů je přitom základním prostředkem pro komunikaci mezi provozovateli stránek a zadavateli reklamy, podle nějž se zadavatelé rozhodují, na kterou stránku umístí svoji reklamu. Takové měření přitom již prakticky nemůže být provozováno roztříštěně jednotlivými provozovateli (snad jen s výjimkou zcela největších provozovatelů, kteří by pak opět získali výhodu nad ostatními), ale musí být prováděno jednotně pro celý trh, který tím většinou pověřuje organizaci zahrnující jak provozovatele, tak reklamní průmysl. Omezení pouze na konkrétního poskytovatele služby informační společnosti proto opět boří dlouholetý fungující model takových měření a může ohrozit stabilitu celého reklamního průmyslu v rámci on-line.

K čl. 8 odst. 1 písm. c) by bylo vhodné výslovně a jednoznačně^[2] doplnit, že je právem provozovatele konkrétní webové stránky stanovit pravidla pro její užívání a to i když je přístupná „všem“ bez povinnosti registrace, např. v tom smyslu, že ji zpřístupní pouze těm, kdo udělí do určité míry souhlas se segmentací např. povolením cookies. Opět je samozřejmě možné připustit v konkrétním případě poměřování oprávněných zájmů třetích stran, což by mohlo být opět řešeno odkazem na čl. 6 odst. 1 písm. f) GDPR. Zde jen pro úplnost uvádíme, že zvažované řešení, aby v takovém případě byla např. povinně nabízena placená verze, postrádá podnikatelskou logiku, neboť podle našich praktických zkušeností není o takovou službu minimálně v České republice zájem.

Z dalších ustanovení, kde nebyl dostatečně brán ohled na současné fungující modely, je možné upozornit na čl. 15, který podle našeho názoru může dopadat i na běžně provozované firemní adresáře na internetu, kdy by pak bylo nutné získávat souhlas s uváděním údajů i od fyzických osob – podnikatelů, a to i těch, kteří své kontaktní údaje zveřejňují na svých internetových stránkách. Takové adresáře jsou přitom dlouhodobě fungujícími modely, které nevyvolávají v praxi žádné kontroverze. Zde doporučujeme pro tyto osoby zavést model opt out.

Dopady na uživatele

Ačkoliv cílem navrhovaného nástroje je zlepšit úroveň soukromí uživatelů internetu, jednotlivá opatření mohou mít na uživatele a jeho komfort při užívání služeb na internetu negativní dopady, a paradoxně ani nemusí vést k vyšší úrovni soukromí uživatelů.

Komise uznává, že v současné době jsou uživatele obtěžováni informačními bannery, u mnohých z nich se vyvinula tzv. bannerová slepota. Navrhovaná opatření však mohou vést k ještě větší míře bannerové únavy, jelikož implementace opatření v praxi používání bannerů nezastaví.

Návrh předpokládá, že uživatel bude mít možnost nastavit si úroveň soukromí ve svém prohlížeči a každé nové aplikaci (softwaru) při prvním použití a tuto úroveň kdykoliv snadno změnit. Již toto nastavování může znamenat jistý diskomfort pro uživatele, vezmeme-li v potaz množství aplikací, které běžně používáme. Samo nastavení soukromí však nezabrání tomu, a ani nemůže, že se uživateli nadále na některých stránkách budou ukazovat bannery.

Jelikož návrh předpokládá, že vydavatel má právo podmínit přístup k bezplatnému obsahu souhlasem se zpracováním údajů pro reklamní účely, budou se uživateli, který si jako výchozí nastavení nastavil nejvyšší úroveň soukromí nebo odmítl cookies třetích stran, nutně objevovat bannery vyžadující jeho souhlas. Navíc odpověď uživatele na tyto dotazy (vyjádření souhlasu či nesouhlasu) se technicky ukládá opět formou cookies, které takový uživatel s požadavkem na nejvyšší úroveň soukromí a priori blokuje. Z toho důvodu vydavatel nemá možnost zjistit, jak uživatel již dříve odpověděl, a bude se ho tudíž muset neustále opakovaně ptát.

Navíc pokud si převážná většina uživatelů zvolí striktní nastavení povolování ukládání cookies, provozovatelé služeb budou využívat alternativní – byť nákladnější - řešení identifikace, na něž se technické nastavení softwaru nevztahuje, aby získaný souhlas mohli využít i při opakovaných přístupech uživatele. Cookie, dlouholetý průmyslový standard, který je uživatelům známý, se stane jedním z mnoha identifikátorů. To ve výsledku povede ke snížení transparentnosti identifikátorů, v nichž se uživatel bude mnohem hůře orientovat.

S ohledem na subdodavatelské vztahy v rámci nejen reklamy, ale také dalších analytik je pravděpodobné, že nový systém bude po uživateli vyžadovat větší zapojení, bude ho víc obtěžovat než doposud a nepovede ani ke zvýšení úrovně jeho soukromí.

Ekonomický význam online reklamy

Online reklama je klíčovou složkou a hnací silou evropské digitální ekonomiky, která umožňuje vydavatelům a vývojářům aplikací investovat do dalších inovací. V roce 2014 online reklama (bez započítání nepřímých a vyvolaných účinků) vygenerovala v EU hrubou přidanou hodnotu ve výši 22 bilionů eur. Reklama je základním zdrojem příjmu vydavatelů online médií a vývojářů aplikací: v roce 2014 pocházelo 75 % celkového příjmu těchto subjektů přímo z online reklamy (25 % ze zpoplatněných alternativ).

Pouze velmi nízké procento uživatelů je ochotno platit za zpravodajství online: dle celé řady studií^[3] v roce 2016 pouze 9 % z 50 tisícového vzorku uživatelů zaplatilo za online zpravodajství; 68 % uživatelů vyjádřilo souhlas s pokrytím nákladů vydavatelů prostřednictvím reklamy (pouze 9 % souhlasilo s placeným obsahem - toto procento se v jednotlivých zemích a studiích liší: např. v Holandsku by byla ochotna platit za obsah jen 2 % uživatelů a ve Velké Británii 4 %).

Také v rámci studie SPIR „Monetizace obsahu na internetu“ z roku 2014 proběhl doprovodný výzkum^[4], zjišťující mezi českými uživateli mimo jiné i ochotu platit za online obsah. Z výzkumu např. vyplývá, že za online verze novin jsou ochotna zaplatit určitě 2 % českých internetových uživatelů a 13 % připouští, že by zaplatilo. Mezi mírou ochoty a skutečným chováním je ale velký rozdíl. Pouhá 0,4 % uživatelů deklarovalo, že v posledních 12 měsících skutečně za online verze novin zaplatilo. Neochotu uživatelů platit za online obsah rovněž potvrdil pilotní projekt nakladatelství Mafra, v jehož rámci byli uživatelé informováni o různých možnostech financování obsahu a na základě předplatného jim byl nabídnut obsah bez reklam. Této možnosti využil jen zcela mizivý zlomek (méně než 1 ‰) uživatelů.

Online reklama přímo podporuje 0,9 miliónů evropských pracovních míst (při započítání nepřímých a vyvolaných účinků 1,4 milionů pracovních míst).

Návrh možného řešení -  přístup založený na míře rizika a transparentnosti

SPIR souhlasí s deklarovaným cílem návrhu nařízení, kterým je zajištění soukromí uživatelů internetu. Domníváme se, že tohoto cíle lze dosáhnout, aniž by docházelo k negativním vedlejším dopadům, které hrozí v případě stávajícího návrhu nařízení.

Klíčovým východiskem by měl být přístup založený na míře rizika. Za tímto účelem je třeba rozlišovat mezi profilováním na základě osobních údajů, kterým se zabývá GDPR, a segmentací za účelem cílené reklamy. V případě segmentace jsou o uživateli shromažďovány jen základní informace, na jejichž základě nelze uživatele v žádném případě identifikovat (např. uživatelem je muž se zájmem o sport a rockovou hudbu) a tudíž nehrozí žádný významný zásah do uživatelova soukromí.

Dalším klíčovým faktorem je transparentnost. Je třeba zajistit, aby uživatel věděl, co se s jeho údaji, a jakými údaji, děje, k čemu jsou shromažďovány či zpracovávány a k čemu slouží, aby se předešlo situaci, kdy uživatel kategoricky jakékoliv zpracování  - byť s nulovým rizikem pro zásah do jeho soukromí – odmítne a tím ohrozí samu existenci poskytovatele obsahu. Uživatelé by měli být schopni se kvalifikovaně rozhodnout mezi různými úrovněmi nastavení soukromí, nikoliv na základě mylného předpokladu, že cookies třetích stran jsou automaticky nebezpečné.

Základní znalost uživatelů ohledně soukromí na internetu by měla zahrnovat povědomí o tom, že soubory cookie  jsou vytvářeny webovými stránkami, které uživatel navštíví. Ukládají se do nich údaje o prohlížení, jako je např. nastavení webu nebo údaje v profilu. Cookies obsahují pouze krátké textové informace a jsou přístupné pouze v rámci jednoho internetového prohlížeče. Existují dva typy souborů cookie: soubory cookie první strany, které ukládá web uvedený na adresním řádku webové stránky, a soubory cookie třetích stran, které pocházejí z jiných webů a jejichž položky (například reklamy, obrázky, ale i skripty pro měření návštěvnosti) jsou na navštívené stránce vloženy. Některé cookies pomáhají webům např. zapamatovat si preferované nastavení uživatele, aby bylo možné jej načíst, až stránku opět navštíví, nebo jeho geografickou polohu, na jejímž základě pak může dostat vhodný obsah, např. předpověď počasí.

Povolení cookies prvních stran je důležité vůbec pro samotné správné zobrazení webové stránky, kterou uživatel navštěvuje. Ale i existence cookies třetích stran je důležitá. Některé obsahové prvky stránky jsou z technických důvodů servírovány z jiné domény, která však patří témuž provozovateli, typicky video obsah, který se bez povolení cookies třetích stran vůbec nespustí. Cookies třetích stran umožňují také měření návštěvnosti stránek, což je pro provozovatele těchto stránek zcela klíčový údaj. Důležité jsou tyto cookies ale i pro správné zobrazování reklamy a právě možnost základní segmentace návštěvníků, bez níž se jakákoliv reklama stává pro uživatele méně relevantní a tudíž více obtěžující. Cookies zároveň pomáhají omezit frekvenci zobrazení reklamy (bez nich reklamní systém nedokáže poznat, že reklamu již zobrazil, a uživatel je tudíž vystaven ještě většímu množství opakované reklamy).

Praxe nejen v ČR, ale i dalších evropských zemích ukazuje, že reklama je životně důležitým zdrojem financování pro naprostou většinu médií. Uživatelé internetu musí vědět, že pokud nechtějí platit za obsah, musí umět přijmout reklamu. Cílená reklama přitom představuje pro uživatele nejméně obtěžující a co do frekvence zobrazení nejméně zatěžující formu reklamy. Poskytovatelům obsahu přitom díky své efektivitě zajišťuje nezbytné prostředky pro tvorbu hodnotného obsahu. O necílenou reklamu není ze strany zadavatelů zájem, jelikož není tak efektivní jako reklama cílená, a tudíž představuje znatelně vyšší náklady a výrazně nižší zisk, a ve svém výsledku větší zátěž pro uživatele i zhoršení kvality a rozmanitosti obsahu.

 

Konkrétní návrh technického řešení SPIR připravuje a bude distribuován samostatně.