Националният надзорен орган за защита на данните намали размера на санкцията заради предприетите мерки от страна на компанията, но може да последва и ново наказание
Норвежкият орган за защита на данните, Datatilsynet, съобщи, че глобата на приложението за запознанства Grindr ще е 65 милиона NOK заради нарушения на GDPR. Регулаторът намали първоначалната си глоба от 106,4 милиона NOK срещу приложението, на 27 януари тази година писах, че Норвежкият орган за защита на данните има намерение да наложи на Grindr глоба от почти 10 милиона евро.
Нашето заключение е, че Grindr е разкрил лична информация за потребителите на трети страни за маркетинг, базиран на поведение, без правно основание, е цитиран да казва генералният директор на надзорния орган Бьорн Ерик Тон.
Grindr е базирано на местоположение приложение за запознанства, насочено към гейове и бисексуални мъже, транссексуални хора и пр. През 2020 г. Съветът на потребителите подаде жалба до Норвежкия орган за защита на данните. Предисторията беше, че Grindr разкри информация за потребителите и GPS местоположение, IP адрес, рекламен идентификатор на мобилния телефон, възраст и пол на няколко трети страни за маркетингови цели. С тази информация потребителите могат да бъдат идентифицирани и трети страни биха могли да споделят допълнително тези данни. Потребителският съвет смята, че разкриването на лични данни е в нарушение на Наредбата за поверителност.
– Заключението на Инспектората по данни е, че е необходимо съгласие за споделяне на тази лична информация, но така нареченото съгласие, събрано от Grindr, не е валидно, казва Тон.
Потребителите трябваше да приемат декларацията за поверителност в нейната цялост, за да използват приложението, и не бяха изрично попитани дали биха се съгласили да бъдат разкрити на трети страни за маркетингови цели. Освен това информацията за разкриването на лична информация не беше достатъчно ясна или достъпна за потребителите. Считаме, че това противоречи на изискванията за съгласие в GDPR.
Ние се концентрирахме върху периода от влизането в сила на Наредбата за поверителност през юли 2018 г. и до април 2020 г., когато Grindr промени решението за съгласие. Не е оценявана законността на настоящото решение за съгласие на Grindr.
Считаме, че информацията, че някой е потребител на Grindr, е специална категория лична информация, тъй като категорично показва, че той принадлежи към сексуално малцинство. Информацията за нечия сексуална ориентация има специална защита в Наредбата за поверителност. Тъй като полученото от Grindr съгласие е невалидно, Grindr няма законово право да споделя такава информация.
– Grindr се използва за свързване с други в LGBTQ + общността и знаем, че много потребители избират да не въвеждат пълното си име или да качват снимки на лицето си, за да могат да бъдат дискретни. Въпреки това информацията за идентифициране за тях и тяхното използване на Grindr е предадена на неизвестен брой компании за маркетингови цели, без потребителите да получават налична информация или реален избор, казва Тон.
Данните за местоположението също са чувствителни и лични, въпреки че не се определят като специални категории лична информация. Сериозно е, че Grindr също е споделил тези данни незаконно.
Глобите за нарушение трябва да са ефективни, да са в разумна пропорция на нарушението и да имат възпиращ ефект.
– В този случай налагаме висока такса за нарушение, тъй като смятаме, че нарушенията са много сериозни. Хиляди потребители в Норвегия са разкривали незаконно личните им данни за търговски интереси на Grindr, включително данни за местоположението и че те са потребители на Grindr. Бизнес моделите, базирани на маркетинг, базиран на поведение, са често срещани в дигиталната икономика и е важно таксата за нарушение за нарушения да действа като възпиращ фактор и допринася за спазването на разпоредбите за поверителност, подчертава Бьорн Ерик Тон.
Оттогава получихме коментари от Grindr с информация за размера и финансите на компанията, а също така сме взели предвид промените, които Grindr направи след нарушението, като смекчаващо вината обстоятелство.
След нашето уведомление, Съветът на потребителите заяви, че Grindr е нарушил допълнителни разпоредби в Наредбата за поверителност. Те също така поискаха от Инспектората по данни да разпореди на Grindr да изтрие незаконно обработваните лични данни до степен, в която Grindr все още ги обработва. Поради това не изключваме възможността по-късно да бъде издадена заповед от Норвежкия орган за защита на данните в този случай.
Grindr може да обжалва решението в рамките на три седмици от получаването му на 13 декември 2021 г. Този срок може да бъде отложен в зависимост от обстоятелствата.