תקנות ה-GDPR נכנסו לתוקף; האם גוגל ופייסבוק ייקנסו במיליארדים?

בתום שנה של הכנות, נכנסו לתוקף בסוף השבוע האחרון התקנות החדשות של האיחוד האירופי בנושא הגנת הפרטיות – ה-GDPR. מיד עם כניסתן לתוקף, הוגשו נגד גוגל (Google) ופייסבוק (Facebook) תביעות בגין הפרת חובות על פי תקנות אלה, שהקנסות בגינן עלולים להצטבר לשיעור כולל של כ-7.6 מיליארד יורו.

התביעות הוגשו על ידי ארגון ללא כוונת רווח בשם NOYB (ר"ת None of Your Business), שבראשו עומד מקס שרמס, עו"ד ואקטיביסט אוסטרי בנושא הגנת הפרטיות. הארגון הגיש בסך הכל ארבע תביעות – נגד גוגל, בגלל פלטפורמת אנדרואיד (Android) שאותה מפעילה החברה, ווטסאפ (WhatsApp), אינסטגרם (Instagram) ופייסבוק.

הטענות העיקריות במסגרת התביעות דומות, ובמרכזן האיסור על כריכת שירותים במתן רשות לשימוש במידע. על פי כתב הטענות, הדרישה מלקוח לתת הסכמה לשימוש במידע כתנאי, לדוגמה, ליכולתו להשתמש במכשיר האנדרואיד שרכש אינה עולה בקנה אחד עם דרישת ההסכמה מדעת של ה-GDPR ואינה מותירה, למעשה, בידי המשתמש ברירה האם לאשר שימוש במידע או לא לאשר, כמו גם את האפשרות לברור את המידע שהשימוש בו מאושר על ידו.

האזרח הקטן מול ענקיות הטכנולוגיה

לטענת התובעים, קיים חוסר איזון בין כוחו של הלקוח לכוחו של תאגיד כגון גוגל או פייסבוק, וחוסר איזון זה משפיע על מהות ההסכמה של הלקוח, ולמעשה יכול לאיין אותה. העובדה שהתאגיד שולט בשוק הרלוונטי (למשל, גוגל מהווה חלק מדואופול בשוק מערכות ההפעלה הסלולריות, כש-85% מהסמארטפונים בנויים על מערכת אנדרואיד שלה ו-15% הנותרים על iOS של אפל) אינה מותירה ברירה בידי הלקוח אלא להסכים לשימוש במידע שלו ולפיכך, אין לראות בהסכמתו של הלקוח לתנאי השימוש משום הסכמה מדעת במשמעות שאליה מתכוונות התקנות.

עוד טוענים התובעים כי ההתניה של מתן שירות מסוים בהסכמה לאיסוף מידע, שאינו רק מידע החיוני לשם מתן אותו שירות, הינה הפרה של ה-GDPR מצד נותן השירות. כך גם הדבר בכל הנוגע לדרישת הסכמה כללית לאיסוף מידע עבור מגוון גדול של שירותים, מבלי לאפשר ללקוח לברור רק את השירותים שבהם הוא מעוניין להשתמש. כך, לדוגמה, הסכמה למגוון שירותי גוגל הכלולים בחבילה הבסיסית של החברה באנדרואיד, כגון Google Maps, YouYTube, Google Search, Gmail, Adwords וכו'…, בין אם הלקוח מתכוון לעשות שימוש בשירותים אלה ובין אם לאו.

גם העובדה שהלקוח כבר "מושקע" בשירות הרלוונטי – למשל, בעל פרופיל ברשת חברתית מזה זמן, והשקיע מזמנו וממרצו בבניית הפרופיל שלו – פוגמת באמינות ההסכמה שלו. כלומר, העובדה שהדברים מוצגים בפני הלקוח כאילו ההסכמה לשימוש בכלל המידע מהווה תנאי לשימוש בשירות עצמו אינה מותירה בידיו ברירה אמיתית, שכן האלטרנטיבה היא הפסקת השימוש בשירות שהוא כבר עושה בו שימוש מזה זמן.

הסוואה של הסכמה לשימוש במידע

בין הטענות שמעלים אנשי NOYB נגד הארגונים נמצאות גם טענות נגד "הסוואה" של הסכמה לשימוש במידע לשם חשיפה לפרסומות מותאמות – דבר שמהווה מודל רווח משמעותי עבור הארגונים. לא ניתן לכרוך הסכמה כזו, טוענים התובעים, עם הסכמה לשימוש בשירות, שכן הפרסומות כלל אינן חלק ממהות השירות עצמו. אם תתקבלנה טענות אלה של התובעים, הדבר עשוי לשים סוף לפרסומות פופ-אפ המופיעות ברשתות החברתיות ובאתרים דומים.

שרמס, הצעיר שתבע את פייסבוק בטענה שהעברת המידע של המשתמשים מאירופה לארצות הברית מפרה את פרטיות המשתמשים, אמר בראיון לפייננשל טיימס (Financial Times) שארגוני הענק מפרים במודע וברגל גסה את כללי ה-GDPR, ואפילו לא מנסים להסתיר זאת.

מאידך, הן פייסבוק והן גוגל דחו את הטענות נגדן מכל וכל, וטענו שהן מתכוננות לכניסת התקנות לתוקף מזה יותר משנה והטמיעו את נושא ההגנה על הפרטיות בתוך המוצרים שלהן כבר בשלבים המוקדמים.

ארבע התביעות בנושא הפרת ה-GDPR הן הפעולה הראשונה שנוקט NOYB, שקורא לציבור לתרום לטובת פעילותו, שסכומה המינימלי הוא 250 אלף יורו לשנת הפעילות הראשונה. הארגון הודיע שבקנה נמצאות תביעות נוספות בנוגע לשימוש לא חוקי במידע ששייך למשתמשים למטרות פרסום ובנושא הסכמה פיקטיבית.

אין ספק שמדובר בהתפתחות מעניינת של הדברים. נמשיך לעקוב אחר הדרך שבה יבחרו הרשויות בצרפת, בלגיה, המבורג ואוסטריה, אליהן הוגשו התביעות, להגיב לטענות ולפעול.

הכותבות הינן אתי ברגר, דוקטורנטית, מומחית לתחום הסייבר והפרטיות בהיבט המשפטי והטכנולוגי, ועו"ד לאה מילר פורשטט ממשרד עורכות הדין SGF, מומחית בתחום המשפט המסחרי, תאגידים והיי-טק.