Comitetul European pentru Protecția Datelor cere respectarea opțiunii fără profilare și clarifică limitele colectării datelor prin verificarea vârstei

Platformele online foarte mari trebuie să respecte alegerea utilizatorilor de a primi recomandări fără profilare și să înceteze colectarea datelor pentru profilarea destinată recomandărilor cât timp această opțiune este activă, precizează Comitetul European pentru Protecția Datelor (CEPD). Orientările sale finale privind relația dintre Regulamentul privind serviciile digitale (DSA) și Regulamentul general privind protecția datelor (RGPD) stabilesc și limite pentru datele folosite la verificarea vârstei, astfel încât protejarea minorilor să respecte viața privată a utilizatorilor.

Orientările 3/2025, adoptate în versiune finală după consultarea publică, privesc situațiile în care funcționarea platformelor este reglementată de ambele acte europene. DSA stabilește obligații pentru serviciile online, iar RGPD guvernează prelucrarea datelor personale. CEPD explică modul în care furnizorii trebuie să aplice RGPD în aceste situații, păstrând competențele autorităților responsabile de DSA și ale instanțelor europene.

Un sistem de recomandare stabilește ce informații sunt prezentate unui utilizator și în ce ordine. El poate funcționa fără profilare, de exemplu atunci când un magazin afișează produsele cele mai vândute fără să folosească trăsăturile vizitatorului. Analizarea comportamentului unei persoane pentru a-i anticipa preferințele reprezintă însă creare de profiluri și intră sub incidența RGPD.

Articolul 38 DSA obligă platformele și motoarele de căutare desemnate foarte mari să ofere cel puțin o opțiune fără profilare pentru fiecare sistem de recomandare. CEPD precizează că opțiunile trebuie prezentate în mod egal la prima utilizare și că furnizorii trebuie să respecte alegerea inclusiv după închiderea și redeschiderea serviciului. Revenirea la profilare presupune o schimbare activă din partea utilizatorului.

Alegerea trebuie să producă efecte și asupra colectării datelor. Potrivit orientărilor, platforma nu poate acumula informații pentru recomandări personalizate viitoare cât timp este activă varianta fără profilare, invocând posibilitatea ca persoana să se răzgândească ulterior. Limita privește profilarea pentru recomandări; datele necesare pentru înregistrarea opțiunii utilizatorului pot fi prelucrate pentru respectarea DSA și păstrate atât cât este necesar.

În privința minorilor, DSA interzice publicitatea bazată pe profilare folosind datele destinatarului atunci când platforma știe cu un grad rezonabil de certitudine că acesta este minor. Totodată, articolul 28 nu obligă furnizorul să colecteze date suplimentare pentru a stabili acest lucru. Când o măsură de protecție presupune prelucrarea datelor, platforma trebuie să demonstreze necesitatea și proporționalitatea acesteia.

CEPD recomandă evitarea mecanismelor care identifică fără echivoc utilizatorul pe baza exclusivă a articolului 28 DSA, precum solicitarea unui act de identitate direct de către platformă. Dacă un interval de vârstă este suficient pentru a stabili că persoana este minoră, verificarea datei exacte a nașterii nu este justificată. Orientările indică înregistrarea îndeplinirii condițiilor de acces la serviciu, în locul stocării permanente a vârstei pe acest unic temei.

Această precizare răspunde și unei obiecții formulate în consultarea publică. Participanți la consultare au susținut că păstrarea vârstei poate fi necesară pentru adaptarea setărilor și a conținutului pe măsură ce copilul crește. Raportul CEPD arată că textul a fost modificat pentru a recunoaște posibilitatea unui temei juridic din afara DSA pentru stocarea vârstei sau a intervalului de vârstă.

Verificarea rămâne adaptată riscurilor serviciului. Orientările Comisiei Europene privind protecția minorilor recomandă metode eficace, fiabile și neintruzive, inclusiv verificări pentru accesul la conținut destinat adulților, precum pornografia și jocurile de noroc. Evaluarea trebuie să privească atât protecția copilului, cât și efectele asupra drepturilor persoanelor cărora li se cer date.