Press review: Online advertising causes the world's biggest data breach - Spirit Legal joins Johnny Ryan (ICCL) in lawsuit
ICCL's lawsuit takes aim at Google, Facebook, Amazon, Twitter, Verizon, AT&T and the entire online advertising/tracking industry by challenging industry rules. Johnny Ryan (Irish Council for Civil Liberties) and Spirit Legal are going to court to stop it.
The online advertising industry is governed by reckless and harmful rules set by IAB TechLab, the industry trade body. IAB TechLab's members include big tech (Google, Facebook, Amazon...), data brokers (Equifax, Experian, Acxiom...), advertising agencies (Groupm, Publicis, IPG...).
It is headquartered in New York. But being in New York does not protect IAB TechLab from European law. Nor does it protect the thousands of companies that use IAB TechLab’s rules to share and trade our most intimate secrets.
IAB TechLab has a European presence in Hamburg. ICCL approached Spirit Legal, a German law firm, to act against IAB TechLab and two other defendants that use its systems at the Landgerichte Hamburg.
Make sure to read all about the Landmark Litigation on the Irish Council for Civil Liberties website.
Watch the film about ICCL litigation against RTB
Press review ICCL lawsuit
Johnny Ryan – Googles größte Nervensäge
Die Geschichte von Johnny Ryan, 41, ist die Geschichte eines Kampfs gegen das Tun und das Nichtstun der Mächtigen: dagegen, dass Techkonzerne mit Daten Milliarden verdienen. Und dagegen, dass die EU das toleriert, obwohl sie stets vorgibt, den Datenschutz hochzuhalten.
~
The Irish Times: Irish Council for Civil Liberties files privacy lawsuit over online ads
The Irish Council for Civil Liberties (ICCL) is on Wednesday filing a lawsuit in a German court against the world’s online advertising industry. The not-for-profit said its lawsuit takes aim at tech giants such as Google, Facebook, Amazon, and Twitter by challenging industry rules.
Dr Johnny Ryan, a senior fellow at ICCL, told The Irish Times the lawsuit is necessary because the Data Protection Commission in Ireland, along with regulators in other jurisdictions, has failed to act on formal complaints the organisation have submitted over the last three years.
ICCL said it will submit hundreds of pages of evidence to the court in Hamburg on users’ personal data harvested from real-time bidding systems. Hamburg has been chosen as New York-based IAB Tech Lab, the affiliated standard-setting body for IAB, which has an office in the city, subjecting the local unit to GDPR.
~
BBC News: Digital ad industry accused of huge data breach
"Every time we load a page on a commercial website or use an app, the website or app tells tens or hundreds of companies all about us, so that their clients can decide whether to bid on the opportunity to show you an ad," Johnny Ryan says.
"These bid requests include inferences of your sexual orientation, religion, what you're reading, watching, and listening to, your location." The firms can also tell whether they have seen the individual's profile before, Mr Ryan adds. Mr Ryan has now lodged the case with a court in Hamburg, on the grounds that nobody has actively consented to this data being gathered or shared.
~
ZEIT: Aktivist klagt vor Hamburger Landgericht gegen Onlinewerbung
Die Klage richtet sich gegen die Versteigerung von Onlinewerbung in Echtzeit – ein Geschäftsmodell, mit dem sich die meisten kostenlosen Internetangebote finanzieren, darunter auch journalistische Portale. Es funktioniert, vereinfacht gesagt, wie folgt: Besucht eine Nutzerin oder ein Nutzer eine Website, werden Daten von ihnen erfasst. Diese werden an eine große Zahl externer Dienstleister weitergereicht, die sie wiederum an Auktionsbörsen weitergeben. Will ein Unternehmen nun Werbung an eine bestimmte Zielgruppe ausspielen – zum Beispiel alle Menschen in Berlin über 40 Jahren, die sich für ein bestimmtes Thema interessieren –, kann es auf freie Werbeplätze bieten.
Alle Menschen, die nach den Informationen der Dienstleister in diese Kategorie gezählt werden, bekommen die entsprechende Werbung ausgespielt. Wer nicht als eine Person dieser Kategorie erkannt oder klassifiziert wird, sieht eine andere Werbung. Die Versteigerung dauert in der Regel weniger als eine Sekunde und läuft von den Nutzern unbemerkt im Hintergrund ab.
Der Datenschutzaktivist Ryan hält dieses als Real-Time-Bidding bekannte Verfahren für rechtswidrig: Es verletze die Datenschutzgrundverordnung (DSGVO) der Europäischen Union.
~
SPIEGEL: Ein Ire verklagt die Schaltstellen der Werbeindustrie
Ziel des Aktivisten ist aber keine einzelne Firma, sondern ein komplettes Geschäftsmodell. Beim »Real Time Bidding« (kurz:RTB) handelt es sich um ein System, mit dem Werbung auf Websites auf der ganzen Welt ausgespielt werden kann, auch auf SPIEGEL.de. Der Grundgedanke: Statt Werbung auf bestimmten Werbeplätzen zu buchen, können sich Werbetreibende stattdessen einen Platz auf dem Bildschirm bestimmter Kundengruppen reservieren.
Wird mit den Neuregelungen das Real Time Bidding verkompliziert oder abgeschafft, könnte es für Website-Betreiber teuer werden. »Datenbasierte Werbung im weiteren Sinne macht in Deutschland heute 60 bis 70 Prozent der gesamten digitalen Werbeeinnahmen aus«, sagt Thomas Duhr, Vizepräsident des Digitalverbandes BVDW.
~
The Times: Irish Council for Civil Liberties targets digital advertising over privacy concerns
An Irish human rights group has filed a lawsuit in a German court aimed at challenging the online advertising tactics used by the world’s biggest tech companies.
The Irish Council for Civil Liberties (ICCL) announced yesterday that it had begun legal action against IAB Tech Lab, which sets the standards that govern the online advertising industry, over alleged breaches of EU privacy rules.
The not-for-profit group said the lawsuit takes aim at online advertising and tracking methods used by tech companies including Google, Facebook, Twitter and Amazon. It said it would tender hundreds of pages of evidence to the Hamburg court, including the “industry rulebook” for compiling “secret dossiers” on social media users.
~
Independent.ie: Irish Council for Civil Liberties to sue online advertising body
The ICCL move comes after Europe’s highest court ruled that Ireland can be avoided in cases taken against Facebook and other tech giants on sensitive data privacy issues.
The court said that the Irish regulator, despite being the “lead” data authority in relation to companies such as Facebook, must take account of “relevant and reasoned objections made by one of the other supervisory authorities” in other EU countries.
Mr Ryan says that “nothing” has happened on foot of his complaint to the Irish Data Protection Commissioner about the IAB in 2018.
~
AdExchanger: IAB Tech Lab Has a Court Date
Dun, dun! Cue the “Law & Order” sound effect because the IAB Tech Lab is being taken to court in Germany by the Irish Council for Civil Liberties (ICCL) over what the advocacy group considers an ongoing breach of personal privacy by RTB-based online ad platforms (i.e. ad tech and the walled gardens).
The person driving the suit is Johnny Ryan, former head of ecosystem at PageFair, an ad tech company that made publisher solutions to counteract ad blockers. He served a stint at Brave, a privacy-focused browser, where he tried to force regulatory action against RTB tech companies – EU data protection authorities have opened investigations, but not taken action on Ryan’s issues. Now a senior fellow at the ICCL, Ryan is pursuing the case himself.
He has his work cut out: the ICCL must prove its standing in a German court – they’re suing there because the IAB Tech Lab has a German consultancy that represents them in Europe, which the group considers grounds to litigate there, TechCrunch reports. Then he has to make the case.
~
Cory Doctorow: Suing all of ad-tech
The EU's General Data Protection Regulation (GDPR) has been a mixed bag, but at its core is an exemplary and indisputable principle: you can't give informed consent for activities you don't understand.
Since the dawn of online commercial surveillance, ad-tech sector maintained the obvious fiction that we agreed to allow it to nonconsensually suck in our private information, either by clicking "I Agree" on a garbage novella of unreadable legalese, or just by using a service.
Ryan and the ICCL say that no one ever consented to this, and thus the entire ad-tech industry is in violation of the GDPR. By targeting the IAB and its taxonomy, they might be able to yank the foundation out from beneath the targeted advertising industry.
There are 27 EU nations, and the ad-tech industry violates the GDPR in every single one of them. Ryan is betting that he will eventually find a jurisdiction where the courts will actually enforce the law.
It's a neat illustration of the power and peril of a private right of action: on the one hand, it lets individuals take up cases that prosecutors ignore; on the other hand, these cases are subject to the whims of judges who might delay them indefinitely. But with 27 courts to choose from, the odds of enforcement tilt towards the public interest.
~
Publicité en ligne : Les grandes entreprises technologiques sont accusées de violer le RGPD
Basée à New York, l'IAB compte parmi ses membres de grandes entreprises technologiques telles que Facebook, Google, Amazon, Twitter, Verizon ou encore AT&T. L'ICCL les accuse de violer le Règlement général sur les données personnelles (RGPD) en collectant des données sensibles sans que le consentement des internautes ne soit valablement recueilli.
C'est le système "Real-Time Bidding" (RTB) qui est au cœur de ces accusations. Cette pratique consiste à mettre en concurrence en temps réel des annonceurs pour afficher une publicité sur une page web selon le profit ou le comportement de l'internaute. Cette technique publicitaire peut conduire à l'envoi de données personnelles puisqu'elle consiste justement à envoyer de façon permanente des informations sur le visiteur.
~
t3n: Gegen Onlinewerbung: Irischer Aktivist klagt vor Hamburger Landgericht
Dass persönliche Daten im Netz weitergegeben werden und so automatisiert speziell zugeschnittene Werbeanzeigen ausgespielt werden, ist gang und gäbe. Ein Unding, findet der Bürgerrechtler Johnny Ryan. Personalisierte Werbeanzeigen sind Standard. Dennoch ist es mitunter erschreckend, zu sehen, wie spezifisch die Anzeigen sich an den eigenen Interessen orientieren. Nicht selten stellen sich Nutzerinnen und Nutzer die Frage woher Unternehmen ihr Wissen haben.
Dem irischen Bürgerrechtler Johnny Ryan geht genau das gehörig auf den Zeiger, weswegen er jetzt eine Klage vor dem Hamburger Landgericht eingereicht hat. Der Vorwurf: Zwei Unternehmen und der Onlinewerbeverband hätten persönliche Daten wie Wohnort, Geburtstag und andere Interessen an Werbedienstleister übermittelt. Und das offensichtlich ohne Ryans Zustimmung.
~
La industria de publicidad acusada de una enorme violación de datos
El Consejo Irlandés para las Libertades Civiles está demandando a una rama de la Interactive Advertising Bureau (IAB) y otras por lo que describe como "la violación de datos más grande del mundo". El IAB Tech Lab, con sede en Nueva York, se centra en estándares de la industria en publicidad digital.
Los miembros de IAB incluyen Facebook, Google y Amazon. El caso presentado por Johnny Ryan se centra en los datos compartidos entre los corredores de publicidad y otras empresas, mientras que el espacio publicitario se subasta a medida que se carga un sitio. La IAB dijo que era la primera vez que tenía conocimiento de la demanda, aunque los documentos judiciales tienen fecha del 18 de mayo.
~
TechCrunch: Adtech ‘data breach’ GDPR complaint is headed to court in EU
New York-based IAB Tech Labs, a standards body for the digital advertising industry, is being taken to court in Germany by the Irish Council for Civil Liberties (ICCL) in a piece of privacy litigation that’s targeted at the high speed online ad auction process known as real-time bidding (RTB). The driving force behind the lawsuit is Dr Johnny Ryan, a former adtech insider turned whistleblower who’s now a senior fellow a the ICCL — and who has dubbed RTB the biggest data breach of all time.
The lawsuit contends that other industry documents vis-a-vis the ad auction system confirm there are no technical measures to limit what companies can do with people’s data, nor who they might pass it on to. The lack of security inherent to the RTB process also means other entities not directly involved in the adtech bidding chain could potentially intercept people’s information — when it should, on the contrary, be being protected from unauthorized access, per EU law…