Основателните очаквания на субектите на данни надали покриват следенето на покупките в интернет
Според службата на комисаря по защита на данните в Долна Саксония (LfD) все по-често се оценяват клиентски данни, които първоначално са били законно обработени, за целите на профилирането. За целта понякога се използват външни доставчици или се сравняват резултатите с тях, съобщи LfD в сайта си по повод на наложена санкция от 900 000 евро на банка.
Според служителя във ведомството Барбара Тийл често не се търси съгласието на клиентите, защото се позовават на балансиране на интереси съгласно член 6, параграф 1, буква е на GDPR. Това правно основание обаче не позволява да се създават профили за рекламни цели чрез оценка на големи бази данни.
Според надзорния орган при претеглянето преобладават интересите на клиентите.
Според GDPR при тестване на баланса на интересите администраторите трябва, наред с други неща, да вземат предвид разумните очаквания на клиентите. „Засегнатите обаче обикновено не очакват администраторът да използват бази данни в голям мащаб, за да идентифицират тяхната склонност към определени продуктови категории или комуникационни канали“, казва Барбара Тийл. Следователно в тези случаи администраторите не могат да се позовават на легитимен интерес и вместо това трябва да получат съгласие.
Банката, която е глобена, е обработвала данни на бивши клиенти без тяхното съгласие.
Анализирано е поведението в интернет като общия обем покупки в магазините за приложения, честотата на използване на принтери за извлечения по сметки и общата сума на преводите в онлайн банкирането в сравнение с използването на банкови клонове.
Администраторът използва външен доставчик на услуги. Освен това резултатите от анализа са били сравнени с кредитна агенция и обогатени допълнително.
Целта е била да се идентифицират клиенти с повишена склонност към дигитални медии и да се използват повече електронни комуникационни канали за достигане до тях за подписване на договор или с рекламна цел.
Информацията за тези действия наистина е била изпратена на повечето клиенти предварително заедно с други документи. Това действие обаче не замества необходимото съгласие, смята надзорният орган.
Администраторът е обвинен, че не е съвместим с член 6, параграф 1, буква е) от Общия регламент относно защита на данните (GDPR).
Това е текстът, според който администраторът извършва обработването на лични данни за свои законни интереси след балансиращ тест. Интересите на съответното лице не трябва да надделяват. При определяне на глобата е взето предвид, че банката не е използвала резултатите от своите оценки, съдействала е на надзорния орган през целия процес. Глобата не е окончателна.