Нарушенията са прехвърляне на данни на трета страна без основание и възпрепятстване на правото на изтриване
Испанската агенция за защита на данните (AEPD) публикува решение по образувана процедура срещу компанията Google LLC, в която обявява наличието на две много сериозни нарушения на разпоредбите за защита на данните.
Наложена е глоба от 10 милиона евро за предоставяне на данни на трети лица без правно основание и възпрепятстване на правото на изтриване на граждани (чл. 6 и 17 от Общия регламент относно защита на данните GDPR).
Google LLC действа като администратор на анализираното обработване, извършено в САЩ.
AEPD установява, че Google LLC изпраща информация на проекта Lumen относно искания, направени от граждани, включително тяхната идентификация, имейл адрес, предполагаемите причини и URL.
Проектът Lumen събира и предоставя заявки за премахване на съдържание. Надзорният орган счита, че тъй като цялата информация, съдържаща се в искането на гражданина, се изпраща за включване в друга публично достъпна за обществеността база данни и за разпространение чрез уебсайт, на практика се осуетява целта за упражняване на правото на изтриване.
В решението се посочва, че това предаване на данни от Google LLC към проекта Lumen е наложено на потребителя, който възнамерява да използва формуляри на Google, без възможност да възрази срещу това и следователно без валидно съгласие за извършване на тази комуникация.
Установяването на такова условие за упражняване на правото на изтриване, предоставено на субектите на данни, е в нарушение на Общия регламент за защита на данните, като генерира „допълнителна обработка на данните, съдържащи се в искането за изтриване, при съобщаването им на трета страна“.
Освен това в политиката за поверителност на Google LLC не се споменава тази обработка на лични данни на потребителите, нито комуникацията с Project Lumen се появява сред целите.
След подаване на искане за премахване на съдържание и упражняване на правото за изтриване на личните данни, „няма законови основания за по-нататъшна обработка като комуникацията, която Google LLC прави към проекта Lumen“.
Що се отнася до упражняването на правата на гражданите, AEPD посочва в решението си, че трудно е да се заключи дали искането е направено въз основа на разпоредбите на GDPR. Регламентът не се споменава в нито една от готовите форми, независимо от причината, поради която субектът на данните избира от предложените опции. Изричното позоваване на този регламент фигурира само във формуляра, озаглавен „Оттегляне съгласно правото на ЕС за поверителност“.
Системата, проектирана от Google LLC, която води субекта на данните през различни страници, за да попълни заявление, принуждавайки го преди това да маркира предложените опции, „може да доведе до това субектът на данните да маркира опция, която отговаря на причините, които счита за подходящи в неговия или нейния интерес, но което го отклонява от първоначалното му намерение, което може да бъде ясно свързано със защитата на личните му данни, без да знае, че тези опции го поставят в различен регулаторен режим, тъй като Google LLC е пожелал или че искането му ще бъде да бъде решено в съответствие с вътрешните политики, установени от този субект“. Решението на надзорния орган гласи, че тази система е еквивалентна на „оставяне на решението на Google LLC кога се прилага GDPR, и кога не.
В допълнение към финансовата глоба, наложена в решението, AEPD е изискала Google LLC да постави предаването на данни в Lumen Project, процедурите за упражняване на правото на изтриване във връзка с искания за премахване на съдържание от неговите продукти и услуги, както и информацията, която предлага на своите потребители, в съответствие с правилата за защита на данните.
Освен това Google LLC трябва да изтрие всички лични данни, които са били обект на искане за право на изтриване, съобщено на Lumen Project.
Google LLC се задължава да настоява Lumen Project да изтрие и да спре използването на личните данни, които е получил.