Raport RODO: Status podmiotów przetwarzających dane osobowe w ramach reklamy programmatic

12/12/2019
Czytaj artykuł Przemysława Szymańskiego z Raportu RODO IAB Polska.

Uwagi wprowadzające

Przepisy RODO utrzymały tradycyjny podział podmiotów uczestniczących w procesach przetwarzania danych osobowych na „administratorów danych”, tj. podmioty, które samodzielnie lub wspólnie z innymi ustalają cele i sposoby przetwarzania danych osobowych, oraz „podmioty przetwarzające”, które przetwarzają dane osobowe w imieniu administratorów (art. 4 pkt 7-8 RODO).

Dodatkowo wprowadzono przepisy dotyczące współadministratorów danych (art. 26 RODO), odnoszące się do zawieranych pomiędzy nimi porozumień (art. 26 RODO). Równocześnie nie rozwiązano jednak w sposób kompleksowy praktycznych problemów interpretacyjnych, które pojawiły się w praktyce obrotu na gruncie stosowania Dyrektywy 95/46/WE i wzorowanej na niej polskiej ustawie o ochronie danych osobowych.

O ile przypisanie ról „administratora” lub „podmiotu przetwarzającego” podmiotom funkcjonują-cym w ramach tradycyjnych, „linearnych” relacji gospodarczych, w większości sytuacji nie stwarzało istotnych trudności, o tyle w przypadku nowych rynków, opartych na relacjach wielostronnych oraz szerokim wykorzystaniu danych w ramach powiązanych ze sobą operacji przetwarzania, kategoryczny podział ustawowo zdefiniowanych ról pomiędzy podmiotami aktywnymi na tych rynkach, wyłącznie w oparciu o ogólną przesłankę „decydowania o celach i sposobach przetwarzania”, nie zawsze jest możliwy.

Problem ten jest szczególnie widoczny w przypadku reklamy internetowej (w szczególności reklamy programmatic/RTB) przede wszystkim z uwagi na stopień skomplikowania tego rynku i wykorzystywanych na nim technologii oraz różnorodność modeli funkcjonowania podmiotów aktywnych w jego poszczególnych segmentach. W konsekwencji brak jest jednolitego stanowiska uczestników rynku w zakresie określania ról w poszczególnych procesach przetwarzania danych tworzących ekosystem reklamy internetowej.

Mając na uwadze powyższe, w niniejszym rozdziale zostały przedstawione kryteria pomocnicze, specyficzne dla branży reklamy internetowej, które mogą być stosowane przez podmioty z tej branży do określania swoich ról w ramach konkretnych procesów przetwarzania danych wraz z propozycjami kwalifikacji relacji pomiędzy poszczególnymi uczestnikami rynku reklamy programmatic.

Rynek programmatic/RTB

Struktura i uczestnicy rynku

Rynek reklamy programmatic funkcjonuje w oparciu o model nabywania powierzchni reklamowej dostępnej na stronach internetowych lub w aplikacjach mobilnych w sposób zautomatyzowany, przy użyciu dedykowanego oprogramowania i algorytmów. Istotnym i stale rosnącym segmentem rynku programmatic jest rynek RTB (Real-Time Bidding), w ramach którego proces nabywania powierzchni reklamowej odbywa się w trybie aukcji prowadzonych w czasie rzeczywistym. Pozostałą część rynku stanowi segment programmatic direct, na którym reklamodawcy (agencje) nabywają powierzchnię reklamową bezpośrednio od wydawców na indywidualnie określonych warunkach.

Rynek programmatic funkcjonuje w oparciu o identyfikatory internetowe (cookie ID, mobile advertising ID) oraz powiązane z nimi dane behawioralne, które łącznie na gruncie RODO traktowane są jako dane osobowe. Aukcje w systemie RTB prowadzone są na podstawie ogólnie przyjętych protokołów (w szczególności protokołu OpenRTB), które określają ich szczegółowy przebieg oraz kategorie danych, które mogą być przesyłane w ramach aukcji. Głównymi uczestnikami rynku programmatic są:

–  wydawcy, tj. operatorzy stron internetowych, udostępniający na nich powierzchnię reklamową (tzw. inventory) o określonych parametrach;

–  platformy SSP (Supply Side Platforms), tj. platformy podażowe, oferujące powierzchnie reklamowe dostępne na stronach wydawców platformom DSP, bezpośrednio lub poprzez tzw. giełdy reklam (Ad Exchange);

–  platformy DSP (Demand Side Platforms), tj. platformy popytowe, umożliwiające reklamodawcom zarządzanie procesem zakupu powierzchni reklamowej dostępnej na stronach wydawców;

–  platformy DMP (Data Management Platforms), tj. platformy zarządzania danymi, dostarczające dane o użytkownikach (lub segmenty tych danych, opracowane w oparciu o kryteria behawioralne lub demograficzne) i umożliwiające wykorzystywanie przez reklamodawców danych z różnych źródeł w celu optymalizacji kampanii reklamowych;

–  reklamodawcy (lub agencje interaktywne i domy mediowe działające w imieniu reklamodawców), zlecający platformom DSP (w modelu Real-Time Bidding) lub wydawcom (w modelu programmatic direct) realizację kampanii reklamowych ich produktów i usług.

 

Przebieg aukcji w systemie RTB

Aukcje powierzchni reklamowej w modelu RTB oraz związane z nim transfery danych odbywają się w kilku etapach, których łączny czas trwania wynosi ok. 300 milisekund:

–  aukcja zostaje zainicjowana w momencie wejścia użytkownika na stronę internetową wydawcy;wówczas skrypty platformy SSP zainstalowane na stronie inicjują instalację identyfikatora internetowego na urządzeniu końcowym użytkownika lub odczytanie identyfikatora już zainstalowanego na urządzeniu (tj.cookie ID lub mobile advertising ID) oraz powodują wysłanie komunikatu o dostępnej powierzchni reklamowej (Ad Call) do platformy SSP;

–  po otrzymaniu komunikatu Ad Call platforma SSP przesyła do zintegrowanych z nią platform DSPlub giełd reklam zaproszenie do składania ofert na określoną powierzchnię reklamową ze wskazaniem m.in. jej formatu i adresu domeny (tzw. Bid Request) wraz z informacjami o użytkowniku, któremu reklama może zostać wyświetlona (m.in. cookie ID, informacje o urządzeniu końcowym użytkownika);

– platformy DSP dokonują wyceny wyświetlenia reklamy na podlegającej aukcji powierzchni reklamowej (np. w oparciu o parametry wyświetlenia – rozmiar banera reklamowego, jego położenie na stronie – czy dane o użytkowniku uzyskane od reklamodawców, na rzecz których działają lub dane segmentowe od platform DMP) i wysyłają swoje oferty (Bid Response);

–  platforma DSP, która zaoferowała najwyższą cenę za wyświetlenie reklamy, otrzymuje odpowiednią notyfikację o wygranej aukcji (Win Notice) i wysyła dedykowaną grafikę lub wideo (Ad Impression) na powierzchnię reklamową.

 

Kryteria określania statusu podmiotu w procesach przetwarzania danych

W ramach aukcji RTB funkcjonują w obiegu dwie kategorie danych osobowych, powiązanych z unikalnymi identyfikatorami internetowymi, tj.:

–  dane zawarte w ofertach wyświetlenia reklam na stronach wydawców (Bid Requests), rozsyłanych przez platformy SSP; kategorie obowiązkowych, rekomendowanych i opcjonalnych danych, które powinien (może) zawierać Bid Request określone są protokołem OpenRTB i obejmują m.in. adres IP (pełny lub okrojony), informacje o urządzeniu użytkownika, adres URL dostępnej powierzchni reklamowej (pełny lub okrojony), kategorię treści dostępnej na stronie (np. sport, muzyka itp.);
–  dane segmentowe (behawioralne, demograficzne) uzyskane ze stron internetowych i systemów CRM reklamodawców lub udostępniane przez platformy DMP, wykorzystywane do optymalizacji wyceny powierzchni reklamowych w ramach aukcji RTB.

Określony podmiot w ramach powiązanych procesów przetwarzania danych może być administratorem w odniesieniu do jednego zestawu danych i podmiotem przetwarzającym w stosunku do innego, przy czym w niektórych okolicznościach zakresy tych oddzielnych zbiorów danych w pewnym stopniu mogą się pokrywać (np. dane powiązane z jednym identyfikatorem internetowym mogą być wykorzystywane w odrębnych procesach przetwarzania, prowadzonych na rzecz różnych podmiotów).

Biorąc pod uwagę wskazane wcześniej problemy przy ustalaniu statusu poszczególnych uczestników rynku RTB w odniesieniu do przetwarzanych zbiorów danych, rekomendowane jest uwzględnienie przez podmioty z branży kryteriów pomocniczych wskazanych poniżej11, przy czym należy zauważyć, że spełnienie przez dany podmiot jednego lub więcej z tych kryteriów może, lecz nie musi, spowodować uznania takiego podmiotu za administratora danych. Zgodnie bowiem z opinią Grupy Roboczej Art. 29 „pojęcie administratora danych jest pojęciem funkcjonalnym, mającym na celu przypisanie obowiązków tam, gdzie występuje faktyczny wpływ, a zatem raczej w oparciu o analizę okoliczności faktycznych niż o analizę formalną”.

a) Tworzenie unikalnego identyfikatora użytkownika (UID)
Jeśli w ramach określonej operacji przetwarzania danych podmiot tworzy unikalny identyfikator użytkownika (np. przy instalacji pliku cookie w przeglądarce użytkownika) wyłącznie lub częściowo dla własnych celów, należy uznać, że w typowej sytuacji podmiot taki pełnić będzie rolę administratora w stosunku do danych przypisanych do tego identyfikatora.

Jeżeli natomiast w ramach danej operacji przetwarzania podmiot tworzy lub używa identyfikatora wyłącznie dla celów świadczenia usług na rzecz swojego klienta (klientów), podmiot ten w tym zakresie powinien być uznany za podmiot przetwarzający dane, ponieważ działa „w ramach” celu określonego już klienta zlecającego realizację danej usługi (przy czym używanie tego samego identyfikatora dla różnych klientów może w określonych sytuacjach powodować uznanie podmiotu za administratora danych – zgodnie z pkt b) poniżej).

Podmioty wykorzystujące identyfikatory (takie jak np. mobile advertising ID) utworzone przez pod-mioty trzecie, takie jak dostawcy systemów operacyjnych (iOS, Android), w celu określenia swojego statusu powinny korzystać z pozostałych kryteriów pomocniczych.

b) Sposób korzystania z identyfikatora użytkownika i powiązanych z nim danych
Jeżeli podmiot wykorzystuje ten sam identyfikator użytkownika w ramach świadczenia usług na rzecz kilku klientów i nie jest umownie ani technicznie ograniczony w wykorzystywaniu tego identyfikatora na cele inne niż wykonywanie instrukcji poszczególnych klientów, można przyjąć, że w typowej sytuacji podmiot taki powinien zostać uznany za administratora danych przypisanych do tego identyfikatora. W sytuacjach tych podmiot, w ramach korzystania ze wspólnego identyfikatora użytkownika, ma bowiem faktyczną możliwość wykorzystania powiązanych z nim danych przetwarzanych w związku ze świadczeniem usług na rzecz różnych klientów, np. w celu optymalizacji częstotliwości wyświetlania reklam dla danego użytkownika (frequency capping) lub budowania bar-dziej kompleksowych profili behawioralnych, co należy uznać za jednoznaczne z określaniem celów i zasadniczych sposobów przetwarzania danych.

W przypadku natomiast gdy określony podmiot używa osobnego identyfikatora w stosunku do każdego klienta lub mimo wykorzystania wspólnego identyfikatora użytkownika, dokonuje logicznej separacji danych zebranych w ramach świadczenia usług na rzecz poszczególnych klientów i poszczególne podzbiory danych wykorzystuje wyłącznie na cele świadczenia usług na rzecz odpowiednich klientów i zgodnie z ich instrukcjami, wówczas podmiot ten powinien zostać uznany za podmiot przetwarzający dane w odniesieniu do takich odrębnych procesów przetwarzania.

Należy również zwrócić uwagę, że dany unikalny identyfikator użytkownika może być powiązany z oddzielnymi zestawami danych przetwarzanymi przez jeden podmiot, w odniesieniu do których ten podmiot można uznać zarówno za administratora, jak i za podmiot przetwarzający ten identyfikator w ramach odrębnych procesów przetwarzania (np. odrębne zbiory danych przypisane do określonego cookie ID mogą być przetwarzane przez platformę DSP lub platformę DMP na rzecz różnych klientów, jak również w celach własnych).

c) Określenie zakresu i kategorii przetwarzanych danych
Jeżeli w związku ze świadczeniem usług na rzecz swojego klienta dany podmiot posiada pełną autonomię przy określaniu zakresu danych, które będą zbierane za pomocą technologii opartej na unikalnych identyfikatorach, decyduje o odbiorcach tych danych oraz ustala, przez jaki okres dane te będą przetwarzane, taki podmiot w typowej sytuacji może zostać uznany za administratora (współadministratora) danych z uwagi na to, że określa zasadnicze sposoby przetwarzania danych.

Jeżeli natomiast zakres danych zbieranych i przetwarzanych przez podmiot jest determinowany lub ostatecznie zatwierdzany przez jego klienta (np. poprzez zaakceptowanie standardowego wzorca umowy, jednak przy zachowaniu możliwości modyfikacji zakresu przetwarzania danych), w typowej sytuacji podmiot taki powinien zostać uznany za podmiot przetwarzający, należy bowiem przyjąć, że określa on jedynie techniczne aspekty przetwarzania danych.

Typowe role uczestników rynku RTB w procesach przetwarzania danych

Jak zostało wskazane powyżej, wprowadzenie jednolitej typologii relacji między podmiotami działającymi na rynku programmatic/RTB w zakresie przetwarzania danych osobowych napo-tyka w praktyce trudności. Poniżej przedstawiona kwalifikacja relacji pomiędzy głównymi uczestnikami rynku programmatic w odniesieniu do ich ról w procesie przetwarzania danych powinna być więc traktowana jako próba systematyzacji, oparta na zaobserwowanej praktyce kontraktowej oraz uwzględniająca stanowiska wyrażone w opiniach Grupy Roboczej Art. 29 oraz dotychczasowym orzecznictwie Trybunału Sprawiedliwości UE („TSUE”). Należy jednak podkreślić, że ostateczne ustalenie roli określonego podmiotu w procesie przetwarzania w konkretnej sytuacji będzie możliwe dopiero na podstawie szczegółowej analizy faktycznych okoliczności, w szczególności technicznych aspektów tego procesu przetwarzania.

Wydaje się, że co do zasady duża część podmiotów na rynku RTB powinna, przynajmniej w odniesieniu do części podejmowanych operacji przetwarzania danych osobowych, przyjąć rolę administratora danych, przede wszystkim z uwagi na fakt, że wiele z nich nadaje użytkownikom unikalne identyfikatory internetowe i w istotnej części ma wpływ na zakres przetwarzanych danych. Pozo-stają jednak grupy operacji przetwarzania danych, w których z uwagi na relacje kontraktowe i okoliczności faktyczne będziemy mieć do czynienia z relacją administrator – podmiot przetwarzający.

Należy również zaznaczyć, że w przypadku gdy w ramach jednej kampanii reklamowej dane są przetwarzane w tym samym celu (np. marketingowym) przez więcej niż jeden podmiot, nie czyni ich to jednak automatycznie współadministratorami danych. Kwestię (współ)administrowania danymi należy bowiem zawsze oceniać w odniesieniu do indywidualnej operacji przetwarzania danych, a nie w odniesieniu do nieokreślonego zbioru wszystkich czynności określanych mianem przetwarzania w ramach określonego rynku.

Mając na uwadze powyższe, wydaje się, że na gruncie reklamy programmatic tak rozumiana koncepcja współadministrowania danymi osobowymi nie będzie mieć szerokiego zastosowania. Jednocześnie należy zauważyć, że tendencja do automatycznego stosowania tej konstrukcji do procesów, w których uczestniczy dwóch lub więcej administratorów danych, niekoniecznie będzie gwarantować wyższy poziom ochrony podstawowych praw i wolności podmiotów danych, co bywa wskazywane jako przesłanka do rozszerzającej interpretacji pojęcia współadministrowania.

a) Wydawca – platforma SSP

W ramach systemu RTB wydawca udostępnia platformom SSP i innym podmiotom przestrzeń reklamową na swojej stronie internetowej. Umożliwia im również instalowanie plików cookie na urządzeniach końcowych użytkowników internetu odwiedzających strony wydawcy i stosowanie innych technologii umożliwiających przetwarzanie danych tych użytkowników w celu wyświetlania spersonalizowanej reklamy.

W odniesieniu do roli wydawcy w procesie przetwarzania danych osobowych użytkowników należy odwołać się do stanowiska wyrażonego w Opinii 1/2010 Grupy Roboczej Art. 29, zgodnie z którym co do zasady „wydawcę należy uznać za niezależnego administratora danych, w zakresie w jakim gromadzi on dane osobowe od użytkowników (profil użytkownika, adres IP, lokalizacja, język systemu operacyjnego itp.) dla własnych celów”. Dodatkowo, „w zależności od warunków współpracy pomiędzy wydawcą a dostawcą sieciowej reklamy, jeśli na przykład wydawca umożliwia przekazy-wanie danych osobowych dostawcy sieciowej reklamy, w tym poprzez przekierowanie użytkownika na stronę internetową dostawcy reklamy sieciowej, mogą oni być wspólnymi administratorami (joint controllers) dla grupy operacji przetwarzania danych prowadzących do marketingu behawioralnego”.

Do określenia platform SSP w procesie przetwarzania zastosowanie mogą mieć natomiast fragmenty przywołanej wyżej opinii w zakresie dotyczącym „dostawcy reklamy sieciowej” (ad network provider), kwalifikujące ten podmiot jako administratora danych, z uwagi na fakt, iż „określa on cele (monitorowanie użytkowników na stronach internetowych) lub podstawowe sposoby przetwarzania danych”.16 Zgodnie z Opinią 2/2010 Grupy Roboczej Art. 29 „operatorzy sieci reklamowych mają całkowitą kontrolę nad celami i środkami przetwarzania. „Wynajmują” przestrzeń na stronach internetowych wydawców, aby umieszczać w niej reklamy; określają i odczytują informacje dotyczące plików cookie oraz, w większości przypadków, gromadzą adresy IP i inne ewentualne dane, jakie można uzyskać z przeglądarki. (…)”.17 Stanowisko to wynika z faktu, iż w ramach współpracy wydawcy nie udzielają platformom SSP żadnych instrukcji w zakresie procesów przetwarzania danych. Platformy SSP działają w sposób niezależny od wydawców, określając zakres danych, jakie zostają zbierane na stronie wydawcy za pomocą własnych kodów, krąg odbiorców tych danych (platformy DSP, DMP), okres retencji danych, jak również zakres danych wysyłanych do poszczególnych odbiorców.

b) Platforma SSP – platforma DSP

Fragmenty przytoczonej powyżej opinii Grupy Roboczej Art. 29 nr 1/2010 znajdują także zastosowanie w odniesieniu do relacji pomiędzy platformą SSP i platformą DSP z uwagi na fakt, że oba te pod-mioty można uznać za realizujące w odpowiednich częściach zadania zarezerwowane wcześniej dla wspomnianych w opinii „dostawców reklamy sieciowej”. Należy więc przyjąć, że zarówno platformy SSP, jak i DSP są niezależnymi administratorami danych zawartych w ofertach wyświetlenia reklam (Bid Requests), takich jak dane o wizycie użytkownika na stronie internetowej, przypisanych do jego identyfikatora internetowego.

Platforma DSP we własnym zakresie podejmuje decyzje, czy odpowiedzieć na daną ofertę wyświetlenia reklamy, jaką cenę wyświetlenia wskazać w aukcji RTB i reklamę którego ze swoich klientów wyświetlić oraz czy wykorzystywać dane otrzymane od platformy SSP w innym celu niż udział w danej aukcji (np. wzbogacanie profili zidentyfikowanych użytkowników, tzw. frequency capping, opracowywanie statystyk wyświetleń reklam na cele optymalizacji kampanii), a więc określa cele przetwarzania. Podejmuje również decyzje w zakresie zasadniczych sposobów przetwarzania danych otrzymywanych od platformy SSP poprzez określanie zakresu przetwarzania danych zawartych w ofertach wyświetlenia reklamy (tj. określenie, które dane zawarte w ofercie wyświetlenia reklamy przetwarzać na cele udziału w aukcji) oraz okres ich przechowywania po zakończeniu aukcji. Z obserwacji dotychczasowej praktyki obrotu wynika, że w zdecydowanej większości przypadków platformy SSP i platformy DSP określają swoje relacje jako współpracę niezależnych administratorów. Nawet jeżeli platforma SSP w ramach umowy z platformą DSP określa niektóre parametry przetwarzania danych (np. zakaz tworzenia profili w celu ich odsprzedaży, zakaz łączenia z danymi bezpośrednio identyfikującymi), takie ustalenia stron należy postrzegać jako wyraz ich swobody kontraktowej, nie zaś jako instrukcje udzielane przez platformę SSP platformie DSP, charakterystycznej dla relacji administrator – podmiot przetwarzający.

c) Reklamodawca – platforma DSP

W sytuacji gdy reklamodawca umożliwia platformie DSP zbieranie na jego stronie internetowej danych o aktywności użytkowników odwiedzających tę stronę, np. w celu późniejszego wyświetlania im na stronach wydawców reklam kategorii produktów, które wcześniej oglądały (tzw. retargeting), wówczas platformę DSP można uznać za podmiot przetwarzający dane na rzecz reklamodawcy działającego jako administrator danych. To bowiem reklamodawca inicjuje proces przetwarzania poprzez zlecenie prowadzenia kampanii reklamowej (określa cele przetwarzania), jak również na podstawie umowy z platformą DSP ma kontrolę nad zasadniczymi aspektami przetwarzania danych m.in. poprzez decydowanie, na których spośród jego stron internetowych ma następować zbieranie danych, określanie rodzajów kodów, które zostaną użyte w ramach zbierania danych oraz udostępnianie dodatkowych danych o użytkownikach, np. w celu wyświetlania im reklam na różnych urządzeniach (tzw. cross-device tracking).

Należy jednak podkreślić, że platforma DSP może być uznana za podmiot przetwarzający tylko w zakresie, w jakim wykorzystuje te dane do realizacji celów określonych przez reklamodawcę (tj. budowania profili marketingowych użytkowników w celu prezentowania im reklam produktów i usług tego reklamodawcy). W sytuacji gdy wykorzystuje wskazane dane w celu prowadzenia kampanii reklamowych innych klientów (w szczególności poprzez tworzenie jednego profilu behawioralnego użytkownika na potrzeby wielu kampanii prowadzonych na rzecz różnych klientów), przyjmuje wówczas rolę niezależnego administratora danych i wynikające z tego statusu obowiązki.

W sytuacji gdy reklamodawca w ramach współpracy z platformą DSP nie przekazuje jej danych (np. ze swojego systemu CRM) ani nie umożliwia jej zbierania danych ze swojej strony internetowej, a jedynie określa ogólne kryteria, którymi powinna się kierować platforma DSP przy wyborze adresatów określonej kampanii reklamowej, wówczas trudno go uznać za administratora danych przetwarzanych przez platformę DSP w ramach realizowanych na jego rzecz kampanii. Taki reklamodawca nie tylko bowiem nie ma dostępu do danych osobowych przetwarzanych w ramach aukcji RTB (co samo w sobie nie stoi na przeszkodzie uznaniu go za administratora danych18), ale przede wszystkim nie ma żadnego wpływu na wynik poszczególnych aukcji ani na sposób wykorzystania danych z tych aukcji przez platformę DSP, a więc nie określa celów ani sposobów poszczególnych procesów przetwarzania danych w ramach aukcji. Posiada jedynie ogólny interes gospodarczy w realizacji kampanii reklamowej, co nie jest wystarczającą przesłanką uznania za administratora danych.

d) Wydawca – platforma DMP

W ramach relacji z platformami DMP wydawcy poprzez odpowiednie ustawienia swojej strony inter-netowej umożliwiają instalację w urządzeniu końcowym użytkowników plików cookie dla potrzeb monitorowania ich aktywności na stronie i tworzenia na podstawie zebranych danych grup docelowych użytkowników (segmentacja). Należy uznać, że tak jak w przypadku relacji wydawca – platforma SSP (por. pkt a) powyżej), zarówno wydawca, jak i platforma DMP działają jako niezależni administratorzy danych z uwagi na fakt, iż wydawca umożliwia (inicjuje) zbieranie danych przez platformę DMP, która następnie w pełni autonomicznie decyduje o sposobach ich dalszego wykorzystania.

e) Reklamodawca – platforma DMP

W przypadku, gdy reklamodawca udostępnia platformie DMP dane osobowe użytkowników w celu ich integracji i wykorzystania na potrzeby realizacji kampanii reklamowych tego reklamodawcy, platforma DMP będzie przeważnie pełniła rolę podmiotu przetwarzającego dane na rzecz reklamodawcy (w zakresie, w jakim wykorzystuje te dane wyłącznie we wskazanym powyżej celu). Natomiast w sytuacji, gdy platforma DMP udostępnia reklamodawcy dane segmentowe użytkowników uzyskane wcześniej we własnym zakresie, relacja tych podmiotów powinna zostać uznana za relację niezależnych administratorów.

f) Platforma DMP – platforma DSP

W sytuacji gdy platforma DMP w ramach prowadzonej kampanii reklamowej udostępnia platformie DSP segmenty danych, platforma DSP pełni rolę podmiotu przetwarzającego, ponieważ nie decyduje o środkach i celach przetwarzania (sytuacja analogiczna do relacji reklamodawca – platforma DSP). Platforma DSP może również nabywać segmenty danych od platformy DMP w celu optymalizacji prowadzonych kampanii, co będzie skutkowało powstaniem relacji administrator – administrator (przy założeniu, że platforma DSP realizuje własne cele przetwarzania danych).


 

Raport “RODO – rok obowiązywania. Interpretacje i dobre praktyki branży rerklamy cyfrowej” to publikacja Grupy Roboczej RODO działającego w strukturach IAB Polska. Na blisko 60 stronach zawiera szczegółową interpretację, rozwiązania i dobre praktyki RODO, które wypracowane zostały w ostatnim roku przez branżę interaktywną, często w wyniku dyskusji z regulatorem – UODO. Publikacja miała swoją premierę w dniu 22.10.2019 podczas spotkania IAB ExpertPanel.

Pobierz pełny raport

Czytaj także

Patronat IAB Polska: Legaltech Forum 11 kwietnia w Warszawie

Patronat IAB Polska: Legaltech Forum 11 kwietnia w Warszawie

Perspektywy rozwoju rynku legal tech w Polsce, sztuczna inteligencja (AI) w kancelarii prawnej oraz nowe regulacje prawne związane z prawem nowych technologii – to tematy przewodnie #LegalTech Forum 2024! IAB Polska został patronem honorowym wydarzenia.

Weź udział w badaniu “Firma jako marka”

Weź udział w badaniu “Firma jako marka”

W imieniu organizatorów zapraszamy do wzięcia udziału w badaniu “Firma jako marka” mającym na celu wzajemne zrozumienie i zbadanie potrzeb między biznesem, a branżą marketingową.