Приложението не работи, ако не се съгласите с незаконно споделяне на данни
Неправителствената организация за защита на неприкосновеността на личния живот NOYB днес подаде три жалби срещу Fitbit в Австрия, Нидерландия и Италия. Популярната компания за здраве и фитнес, придобита от Google през 2021 г., принуждава новите потребители на нейното приложение да дават съгласие за трансфер на данни извън ЕС. Противно на законовите изисквания, на потребителите дори не се предоставя възможност да оттеглят съгласието си. Вместо това те трябва напълно да изтрият акаунта си, за да спрат незаконната обработка, пише в сайта на NOYB.
Няма начин да се заобиколи прехвърлянето на лични данни. Когато създават профил с Fitbit, европейските потребители са задължени да „се съгласят с прехвърлянето на техните данни към Съединените щати и други страни с различни закони за защита на данните“. Това означава, че техните данни могат да попаднат във всяка страна по света, която няма същата защита на поверителността като ЕС. С други думи: Fitbit принуждава потребителите си да дадат своето съгласие за споделяне на чувствителни данни, без да им предоставя ясна информация за възможните последици или конкретните държави, към които отиват техните данни. Това води до съгласие, което не е нито безплатно, нито информирано, нито конкретно – което означава, че съгласието очевидно не отговаря на изискванията на GDPR.
Съгласно политиката за поверителност на Fitbit, споделените данни включват не само неща като имейл адрес на потребителя, дата на раждане и пол. Компанията може също да споделя „данни като дневници за храна, тегло, сън, вода или проследяване на здравето на жените“; и дори съобщения до приятели. Събраните данни могат да бъдат споделени за обработка с компании на трети страни, за които не знаем къде се намират. Освен това за потребителите е невъзможно да разберат кои конкретни данни са засегнати. И тримата жалбоподатели упражниха правото си на достъп до информация при длъжностното лице по защита на данните на компанията – но така и не получиха отговор.
Адвокат по защита на данните в NOYB казва: „Първо, купувате часовник Fitbit за поне 100 евро. След това се регистрирате за платен абонамент, само за да откриете, че сте принудени „свободно“ да се съгласите на споделянето на вашите данни с получатели по целия свят.“
За да се гарантира, че потребителите могат да променят решението си, GDPR също така дава право на всеки човек да оттегли своето съгласие. Поне на теория. Политиката за поверителност на Fitbit гласи, че единственият начин да оттеглите съгласието е да изтриете профила. За потребителите това означава загуба на всички техни предварително проследени тренировки и здравни данни. Това важи дори ако закупите премиум абонамент за 79,99 евро на година. Въпреки че тези функции са основната причина да закупите Fitbit, няма реален начин да възвърнете контрола върху данните си, без да направите продукта си безполезен.
Адвокат по защита на данните в NOYB казва: „Fitbit иска да напишете празен чек, което им позволява да изпращат вашите данни навсякъде по света. Като се има предвид, че компанията събира най-чувствителните здравни данни, учудващо е, че тя дори не се опитва да обясни използването на такива данни, както се изисква от закона“.
Дори и да имаше начин да се оттегли съгласието, Fitbit пак нямаше да спазва европейския закон за поверителност. GDPR ясно посочва, че съгласието може да се използва само като изключение от забраната за трансфер на данни извън ЕС – което означава, че съгласието може да бъде валидно правно основание само за случайни и неповтарящи се трансфери на данни. Fitbit обаче използва съгласие за рутинно споделяне на всички здравни данни.
Ромен Робърт, един от жалбоподателите, пише: „Fitbit може да е хубаво приложение за проследяване на вашата физическа форма, но щом искате да научите повече за това как се обработват вашите данни, вие сте обречени на маратон.“
NOYB изисква от австрийския, нидерландския и италианския надзорен орган да наредят на Fitbit да споделя цялата задължителна информация за трансферите със своите потребители и да им позволи да използват приложението му, без да се налага да дават съгласие за трансферите на данни. Въз основа на оборота на Alphabet (компанията майка на Google) за миналата година, компетентните органи могат да наложат глоба до 11,28 милиарда евро.
Noyb е акроним за „none of your business“.