Надзорните органи в Испания и Италия все още не са се произнесли
Френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés CNIL съобщи вчера, че на 16 март 2023 г. е наложил глоба от 125 000 евро на компанията CITYSCOOT за това, че е причинила непропорционално нахлуване в поверителността на своите клиенти, като ги геолокира почти постоянно.
През 2020 г. CNIL обяви, че ще насочи контролните си действия върху няколко приоритетни теми, свързани с ежедневието на французите, включително геолокация за местни услуги.
В този контекст CNIL проверява CITYSCOOT, чиято дейност е отдаване под наем на скутери за кратък период. Проверките се отнасяха по-специално до събраните данни, както и до информацията и събирането на съгласието на потребителите преди регистрация и четене на информация на тяхното електронно комуникационно крайно оборудване.
По време на проверката CNIL установява, че при наемане на скутер от физическо лице компанията събира данни, свързани с геолокацията на превозното средство на всеки 30 секунди. Освен това компанията пази историята на тези пътувания.
Въз основа на тези констатации органът CNIL, отговорен за санкциите – наложи глоба от 125 000 евро на CITYSCOOT, която се оповестява публично. Това решение беше взето в сътрудничество с испанските и италианските органи за защита на данните, тъй като CITYSCOOT също предлага тези услуги в тези страни, пише в сайта на CNIL.
Размерът на санкцията е съобразен с оборота на фирмата, сериозността на констатираните нарушения, но и предприетите от фирмата мерки за отстраняването им по време на процедурата.
Според надзорния орган има нарушение на задължението за осигуряване на минимизиране на данните (член 5., пар. 1, буква „в“ от GDPR) – компанията събира данни за геолокация от превозни средства по различни причини: справяне с пътни нарушения; обработка на жалби на клиенти; поддръжка на потребител (за да се обадите за помощ в случай на падане на потребител); управление на искове и кражби.
След като анализира каква е била употребата на данни за геолокация за всяка от целите, изложени от CITYSCOOT, CNIL счита, че нито една от тези цели не оправдава събирането на данни за геолокация, толкова подробни, колкото компанията извършва.
Според надзорния орган подобна практика е прекомерна, доколкото има вероятност да разкрие движенията на потребителите, местата им на често посещаване или дори всички спирки, направени по време на пътуване.
Компанията би могла да предложи идентична услуга, без да геолокира своите клиенти почти постоянно.
Изводът на CNIL е, че CITYSCOOT нарушава принципа за минимизиране на данните: данните трябва да бъдат адекватни, подходящи и не прекомерни по отношение на целта, за която се събират и използват.
Друго констатирано нарушение е на задължението за сключване на договор с обработващия лични данни (член 28, чл. 28, пар. 3 от GDPR).
CNIL установи, че три договора, сключени с подизпълнители на CITYSCOOT, не съдържат цялата информация, предвидена от GDPR.
Всъщност тези договори трябва да включват минимален набор от клаузи, например относно събраните данни, мерките за сигурност, които трябва да бъдат въведени, или съдбата на данните в случай на прекратяване на договорите.
Установено е и нарушение на задължението за информиране на потребителя и получаване на неговото съгласие преди регистрация и четене на информация на личното му оборудване (чл. 82 от ЗЗЛД).
Компанията CITYSCOOT използва reCAPTCHA механизъм, предоставен от компанията GOOGLE, при създаване на акаунт в мобилното приложение, както и при свързване и процедура за забравена парола в уебсайта. Този механизъм събира информация за хардуера и софтуера (като данни за устройство и приложение).
Въпреки че събраните данни се предават на GOOGLE за анализ, компанията не е предоставила никаква информация на потребителя и не е получила предварителното му съгласие за достъп до информацията, съхранявана на неговото оборудване, или за записване на информация върху него.
Компанията посочи по време на процедурата, че ще спре да използва този механизъм.