5,8 млн. евро е най-високата санкция, налагана от Datatilsynet
Норвежкият орган за защита на данните, Datatilsynet, съобщи, че глобата на приложението за запознанства Grindr от 65 милиона норвежки крони е потвърдена. Това стана ясно на 29 септември, когато апелативният орган за поверителност потвърди решението на Datatilsynet относно административната глоба.
Ние сме много доволни, че Съветът за обжалване на неприкосновеността на личния живот е съгласен с нашите заключения и потвърди нашето решение. Това беше важен и приоритетен случай за норвежкия орган за защита на данните и, разбира се, за защитата на данните на потребителите“, е цитиран да коментира директорът на Datatilsynet Лайн Кол.
Писах за решението на Datatilsynet на 16.12.2021 година: Глобата за нарушаване на GDPR от приложението за запознанства Grindr е 65 милиона норвежки крони.
Grindr е базирано на местоположението приложение за запознанства, насочено към гейове, бисексуални, транссексуални и др. През 2020 г. Норвежкият съвет на потребителите подаде жалба срещу приложението до надзорния орган за защита на данните. Причината беше, че Grindr сподели информация за GPS местоположение, IP адрес, рекламен идентификатор на мобилен телефон, възраст и пол – в допълнение към това, че дадено лице е потребител на Grindr – на няколко трети страни за маркетингови цели.
Datatilsynet заключи, че Grindr е разкрил лични данни за потребителите на трети страни за поведенчески маркетинг без правно основание. Поради това през декември 2021 г. беше наложена глоба от 65 милиона норвежки крони.
Случаят се отнася до практиките на Grindr в периода от момента, в който GDPR стана приложим до април 2020 г., когато Grindr промени своя механизъм за съгласие. Норвежкият орган за защита на данните не е оценил законността на настоящите практики на Grindr.
Заключението на Норвежкия орган за защита на данните в решението беше, че е необходимо съгласие за споделяне на въпросните лични данни, но така наречените „съгласия“, които Grindr събира, не са валидни.
Съветът за обжалване на поверителността е съгласен, заявявайки, че съгласието не е нито доброволно, нито конкретно, нито информирано. Съветът посочва, наред с други неща, че на потребителя не е предоставен свободен избор да даде съгласие за разкриване на лични данни по време на регистрацията в приложението и че съответната информация, че потребителят е дал съгласието си за разкриване на лични данни на рекламни партньори, е била включени само в политиката за поверителност.
– Съгласието е инструмент за предоставяне на контрол на потребителите върху собствените им лични данни. Ако потребителите не са в състояние да разберат за какво са се съгласили или ако не им бъде предоставена реална свобода на избор, съгласията са илюзорни, подчертава Кол.
Информацията за сексуалната ориентация се ползва с особена защита съгласно GDPR. Органът за защита на данните счита, че информацията, разкриваща, че някой е потребител на Grindr, представлява такава специална категория лични данни, тъй като разкрива принадлежност към едно от сексуалните малцинства, към които е насочено приложението Grindr. Тъй като съгласията, събрани от Grindr, бяха невалидни, Grindr нямаше законово разрешение да споделя такава информация.
В решението Съветът за обжалване на поверителността посочва, че въпреки че конкретната сексуална ориентация на потребителите не е разкрита, информацията, че някой е потребител на Grindr, означава, че най-вероятно има различна сексуална ориентация. Според Съвета това означава, че Grindr е разкрил незаконосъобразно лични данни от специална категория.
– Grindr се използва за свързване с други хора в LGBTQ+ общността и информация за идентифициране на потребителите и тяхното използване на Grindr беше споделена с неизвестен брой трети страни за маркетингови цели. Съдът на Европейския съюз наскоро потвърди в няколко решения, че понятието специални категории лични данни трябва да се тълкува широко, за да се гарантира високо ниво на защита на данните, казва Кол.
Глобата от 65 милиона норвежки крони (приблизително 5,8 млн. евро) е най-високата, която някога е налагал органът за защита на данните. Причината за високата глоба е тежестта на нарушенията. Личните данни на хиляди потребители в Норвегия бяха незаконно разкрити на неизвестен брой компании, за да обслужват търговските интереси на Grindr, включително данни за местоположение и факта, че те са потребители на Grindr. Бизнес моделите, базирани на поведенческа реклама, са често срещани в цифровата икономика и е важно глобите за нарушения да са възпиращи и да допринасят за спазването на правилата за защита на данните.
Норвежкият апелативен съвет за защита на личните данни (Personvernnemnda) не намери причина да промени размера на глобата и подчертава сериозността на нарушението, броя на засегнатите субекти на данни, въпросните категории лични данни и факта, че нарушението е продължило почти две години. Бордът също така посочва, че това е умишлено действие, при което компанията съзнателно е избрала техническо решение, което не позволява регистрация в приложението, без едновременно с това да „одобри“ разкриването на информация за поведенческа реклама.
– Нашите потребители имат право на защита на данните в приложения, предоставени от международни играчи. Решението създава очакване и показва, че международните играчи на норвежкия пазар трябва да предоставят услуги, които защитават норвежките потребители и техните права за защита на данните, казва директор Кол.
Решенията на Personvernnemnda не могат да бъдат обжалвани допълнително, но Grindr може да заведе дело пред съдилищата относно валидността на решението на Съвета по обжалване на поверителността.