Ha egy közösségi platform azt mondja, „már mások vagyunk, engedjetek el”, az adatvédelemben ritkán jó hír. Most az a kérdés, hogy az X kikerülhet-e egy olyan felügyelet alól, ami pont azért jött létre, mert egyszer már félrement a felhasználói adatok kezelése.

Mi történt

Az X (a korábbi Twitter) azt kérte az amerikai Szövetségi Kereskedelmi Bizottságtól (FTC), hogy szüntesse meg azt a korábbi hatósági kötelezést, amely előírja a platform adatkezelésének független, rendszeres auditálását. A kérésről az FTC nyilvános véleményezést indított, amelynek határideje július 2.

A háttér: az FTC korábban azért rendelte el a szigorúbb felügyeletet, mert egy kódolási hiba miatt a platform olyan elérhetőségi adatokat (például telefonszámokat) használt fel hirdetéscélzásra, amelyeket a felhasználók eredetileg kétfaktoros hitelesítéshez (2FA) adtak meg. Gondolj a 2FA-ra úgy, mint egy „második zárra” a fiókod ajtaján: a telefonszámod itt kulcs, nem marketinges címke. Az elrendelt rendszerben az X-nek költséges, független auditokat kell elvégeztetnie, és az FTC külön pereskedés nélkül is kérhet be dokumentumokat a megfelelés ellenőrzésére.

Miért fontos

Az X azzal érvel, hogy a kötelezés felesleges és túl drága, mert a cég „teljesen átalakult” a rebrand óta, és amúgy is hasonló kötelezettségei vannak az Európai Unió GDPR-ja (általános adatvédelmi rendelet) miatt. Csakhogy a GDPR és az FTC-felügyelet nem ugyanazt jelenti: az egyik egy jogi keretrendszer Európában, a másik egy konkrét, célzott „póráz” egy korábbi incidens után, auditokkal és gyors hatósági rálátással. Ha ez a póráz lekerül, az amerikai felhasználók szempontjából csökkenhet a közvetlen ellenőrzés – miközben a platformon egyre több új adatfelhasználási forgatókönyv merül fel, például AI-tréninghez.

Mire figyelj

  1. Az FTC döntési logikája: a kulcskérdés, hogy az X valóban teljesíti-e azt a „magas lécet”, ami egy meglévő hatósági kötelezés megszüntetéséhez kell. Nem az számít, hogy a márkanév megváltozott, hanem hogy a kockázatok érdemben csökkentek-e és tartósan kezeltek-e.
  2. Mit jelent a „duplikáció” a GDPR-ra hivatkozva: attól, hogy Európában vannak kötelezettségek, még nem automatikus, hogy az amerikai felügyelet felesleges. Érdemes figyelni, elfogadja-e a hatóság azt az érvet, hogy ugyanazt a biztonsági és adatkezelési szintet több rendszer „úgyis kikényszeríti”.
  3. AI-tréning és új eszközök: a levélben felsorakozó 15 adatvédelmi és fogyasztóvédelmi szervezet azt hangsúlyozza, hogy az X jelenlegi iránya – különösen az AI-hoz kapcsolódó adatfelhasználás – önmagában is piros zászló. Ez azért lényeges, mert az AI-tréning tipikusan nagy mennyiségű felhasználói tartalmat és viselkedési jelet igényel; ha a kontrollok gyengék, a „mire használták” kérdés gyorsan átláthatatlanná válik.

A valódi tét nem az, hogy X-nek hívják-e a platformot, hanem hogy marad-e olyan, kézzelfogható és kikényszeríthető ellenőrzés, ami a múltbeli hibák után a jövőbeli adatkezelési kockázatokat is kordában tartja.