Aici descoperim
dreptul tehnologiei

google-spying-1024x576.jpg

Transparență, informare și consimțământ. Azi, 21 ianuarie 2019, CNIL, Autoritatea de supraveghere din Franța a amendat Google în temeiul Regulamentului General privind Protecția Datelor cu 50.000.000 Euro pentru lipsa transparenței față de persoanele vizate, pentru informarea neadecvată și lipsa unui consimțământ valabil pentru utilizarea reclamelor personalizate. 

Amendă GDPR Google. Istoric

Investigația a început în iunie 2018 la plângererile persoanelor vizate și a durat aproximativ 7 luni. Pentru a investiga plângerile depuse, CNIL a efectuat inspecții online în luna septembrie 2018. Scopul a fost de a verifica conformitatea operațiunilor de prelucrarea implementate de GOOGLE cu legislația privind protecția datelor din Franța și GDPR. Verificarea conformității cu legislația privind protecția datelor s-a realizat prin analizarea modelului de navigare al unui utilizator și documentele la care utilizatorul poate avea acces atunci când creează un cont GOOGLE în timpul configurării unui echipament mobil care utilizează Android.


Amendă GDPR Google. Încălcarile GDPR sesizate de către CNIL

Pe baza inspecțiilor efectuate, comisia restrânsă a CNIL responsabilă de examinarea încălcărilor legii privind protecția datelor a observat două tipuri de încălcări ale GDPR.

Încălcarea obligațiilor de transparență și informare a persoanelor vizate

În primul rând, comisia restrânsă a observat că informațiile furnizate de GOOGLE nu sunt ușor accesibile utilizatorilor.

CNIL a observat că modul de structurare a informațiilor prezentate utilizatorilor nu respectă GDPR. Informațiile esențiale, cum ar fi scopurile procesării datelor, perioadele de stocare a datelor sau categoriile de date personale utilizate pentru personalizarea anunțurilor, sunt difuzate excesiv în mai multe documente, cu butoane și link-uri pe care trebuie să faceți clic pentru a accesa informații suplimentare. Informațiile relevante sunt accesibile după mai multe etape, implicând uneori până la 5 sau 6 acțiuni. De exemplu, acesta este cazul când un utilizator dorește să aibă o informație completă cu privire la datele sale colectate în scopuri de personalizare sau pentru serviciul de urmărire geografică.

Mai multe despre modul în care trebuie să efectuați informarea online a utilizatorilor puteți afla aici

În plus, CNIL a observat că unele informații nu sunt întotdeauna clare și complete.

 

Te-ar putea interesa și:

 

Utilizatorii nu sunt în măsură să înțeleagă pe deplin amploarea operațiunilor de procesare efectuate de GOOGLE. Dar operațiunile de procesare sunt deosebit de masive și intruzive datorită numărului de servicii oferite (aproximativ douăzeci), cantității și naturii datelor prelucrate și combinate. CNIL observă în special că scopul prelucrării este descris într-o manieră prea  vagă, la fel și categoriile de date prelucrate în aceste scopuri diferite. În mod similar, informațiile comunicate nu sunt suficient de clare, astfel încât utilizatorul să poată înțelege ca baza legală a operațiunilor de procesare (anunțurilor personalizate) este consimțământul, iar nu interesul legitim al companiei. În cele din urmă, CNIL observă că informațiile privind perioada de păstrare nu sunt furnizate pentru unele date.

Amendă GDPR Google. Încălcarea obligației de a avea un temei juridic pentru utilizarea anunțurilor personalizate. Consimțământul nu este valabil

Compania GOOGLE afirmă că obține consimțământul utilizatorului de a procesa date în scopul personalizării anunțurilor. Cu toate acestea, CNIL consideră că acordul nu este obținut în mod valabil din două motive.

În primul rând, comisia restrânsă observă că acordul utilizatorilor nu este suficient de informat.

Mai multe despre ce condiții trebuie să îndeplinească consimțământul pentru a respecta GDPR, puteți afla aici

Informațiile despre operațiile de prelucrare cu privire la anunțurile personalizate sunt împrăștiate în mai multe documente și nu permit utilizatorului să fie conștient de amploarea lor.

Dacă vrei să aflii mai multe despre ce condiții trebuie să îndeplinească consimțământul pentru a fi valabil din punct de vedere GDPR, poți afla de aici. 

CNIL observă că acordul colectat nu este “specific” și nici “neechivoc” așa cum cere GDPR. Atunci când un cont este creat, utilizatorul poate modifica anumite opțiuni asociate contului făcând clic pe butonul «Mai multe opțiuni», accesibil deasupra butonului «Creare cont». Dar acest lucru nu înseamnă că GDPR este respectat având în vedere că, printre altele, afișarea personalizării anunțurilor este, de asemenea, pre-bifată. Cu toate acestea, așa cum se prevede în GDPR, consimțământul este “neechivoc” doar în urma unei acțiuni afirmative a utilizatorului (prin bifarea unei casete care nu este pre-bifată, de exemplu). În cele din urmă, înainte de a crea un cont, utilizatorul este rugat să bifeze casetele “Sunt de acord cu Termenii și condițiile Google” și “Sunt de acord cu prelucrarea informațiilor mele așa cum sunt descrise mai sus și explicate în continuare în Politica de confidențialitate” pentru a crea cont. Prin urmare, utilizatorul își dă consimțământul în întregime pentru toate operațiunile de procesare efectuate de GOOGLE pe baza acestui consimțământ (personalizarea anunțurilor, recunoașterea vorbirii etc.). Această practică nu corespunde cerințelor GDPR deoarece acordul este „specific” numai dacă este acordat distinct pentru fiecare scop, iar nu o singură dată pentru toate scopurile.

 

Te-ar putea interesa și:

 

Google este amendat cu 50 de milioane de EURO

CNIL sancționează Google cu o amendă de 50 de milioane de EURO.

Aceasta este prima dată când CNIL aplică noile limite de sancționare prevăzute de GDPR. Suma stabilită și publicitatea amenzii sunt justificate de gravitatea încălcărilor constatate în ceea ce privește principiile esențiale ale GDPR: transparență, informare și consimțământ.

În ciuda măsurilor puse în aplicare de GOOGLE,  încălcările constatate îi privează pe utilizatori de garanții esențiale în ceea ce privește operațiunile de procesare care pot dezvălui părți importante din viața privată, deoarece se bazează pe procesarea unei cantități imense de date și combinații aproape nelimitate. CNIL reamintește că amploarea acestor operațiuni de prelucrare în cauză impune utilizatorilor să-și controleze datele. Utilizatorii trebuie să fie informați, să își dea consimțământul în mod valabil și să le fie respectate drepturile în temeiul GDPR.

Amenda uriașă este justificată și raportat la faptul că încălcările sunt continue ale Regulamentului, deoarece acestea încă se produc.

În sfârșit,  CNIL justifică amendă și raportat la numărul mare de utilizatori vizați, luând în considerare locul important pe care sistemul de operare Android îl are pe piața franceză, mii de utilizatori francezi creând zilnic noi conturi Google.

Sursa aici




Pe scurt:

  • Datele cu caracter personal sunt orice informații care se referă la o persoană identificată sau care poate fi identificată, denumită „persoană vizată”;
  • O persoană poate fi identificată dacă se pot obține informații suplimentare cu privire la ea pentru a o identifica;
  • Datele cu caracter personal trebuie să se refere la o persoană fizică în viață;
  • Datele publice pot fi date cu caracter personal, cu excepția situației în care au fost făcute publice de către persoana vizată în mod direct, fără dubiu;
  • Există mai multe categorii de date:
    • datele obișnuite (ca de exemplu numele, adresa de e-mail, domiciliul etc), majoritatea datelor intrând în această categorie și există categorii speciale de date, și
    • așa-numitele date sensibile (datele biometrice, datele medicale, CNP-ul etc), care au un regim special și pot fi prelucrate respectând anumite condiții stricte.
  • Anonimizarea datelor înseamnă că datele nu mai conțin niciun element de identificare;
  • Pseudonimizarea datelor înseamnă că datele sunt înlocuite cu un cod.

Datele anonimizate nu mai sunt date cu caracter personal, în schimb datele pseudonimizate sunt în continuare date cu caracter personal.

Regulamentul definește datele cu caracter personal drept orice informații privind o persoană fizică identificată sau identificabilă („persoana vizată”); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale”.[1]

GDPR extinde definiția datelor cu caracter personal. Acest lucru poate include acum identificatori online și chiar date genetice și biometrice, cum ar fi amprentele digitale, scanarea retinei, recunoașterea vocală și recunoașterea facială. Parolele sunt, de asemenea, considerate date personale în cadrul GDPR.[2]

Utilizarea sintagmei „orice informație” a fost folosită în mod intenționat de legiuitorul european, pentru a nu exclude, din sfera de protecție, anumite categorii de date cu caracter personal.

Curtea de Justiție a Uniunii Europene a decis, în cauza C-582/14 faptul că inclusiv o adresă IP dinamică poate fi, în anumite circumstanțe, o dată cu caracter personal.

Asemănător, în Cauza C‑434/16, CJUE a decis că foaia de examen a unui candidat se încadrează în conceptul de date cu caracter personal.

Grupul de Lucru Art. 29 recomandă, pentru a identifica dacă o anumită informație este dată cu caracter personal, a se lua în calcul patru piloni:[3]

  • orice informație;
  • care se referă la;
  • o persoană fizică identificată sau identificabilă.

 

„Orice informație”

Domeniul este atât de vast încât nu va exista niciodată o listă exhaustivă a datelor cu caracter personal. Acestea includ numele, adresa de e-mail, datele biometrice (imagini faciale, amprente), CNP, locația unei persoane, ocupația, sexul etc. Absolut orice informație.

Datele trebuie să se refere la persoanele fizice în viață. Regulamentul nu se aplică și datelor privind persoanele decedate.[4]

Informațiile pot fi atât obiective, cât și subiective:

Exemplu: Evaluarea performanței unui angajat la locul de muncă reprezintă o informație cu caracter personal, chiar dacă reflectă doar opinia personal a supervizorului, ca de exemplu „Angajatul X este mereu obosit” sau „Angajatul X nu este dedicat muncii sale.”

Informațiile sunt date cu caracter personal, indiferent că se referă la viața privată sau viața profesională a individului.[5] De exemplu, adresa de e-mail de serviciu intră în categoria de date cu caracter personal.

Paragraful 30 din Preambulul Regulamentului spune faptul că inclusiv adresele IP, identificatorii cookie sau alți identificatori precum etichetele de identificare prin frecvențe radio pot fi date cu caracter personal, deoarece pot lăsa urme, care, combinate cu alte informații primite de servere pot conduce către identificarea persoanelor, prin crearea de profiluri.[6]

„Care se referă la”

Pentru a intra în sfera datelor cu caracter personal, informațiile trebuie să se refere la o persoană fizică în viață. În unele cazuri informațiile cu privire la obiecte, fapte sau procese pot fi date cu caracter personal dacă există o legătură strânsă între acestea și persoana fizică, de exemplu, mașina colegului Mihai, telefonul clientului Andrei, parola utilizatorului mihai.andrei78.

Dacă anumiți factori exteriori, cum ar fi obiectele, procesele, evenimentele, faptele pot conduce la evalua sau analiza un individ într-un anumit mod, ar trebui să se considere a fi date cu caracter personal. [7]

„O persoană fizică identificată sau identificabilă.”

Situația datelor referitoare la persoane fizice identificate este clară (domiciliul angajatului X, CNP-ul clientului Y, e-mail-urile abonaților X,Y,Z).

Ce se întâmpla, însă, dacă avem date care nu se refera la o persoana fizica deja identificată? Sunt ele date personale?

Pot fi. Dacă există mijloace care pot conduce către identificarea persoanei. Aceste mijloace trebuie să țină cont atât de tehnologia actuală, cât și de cea care va fi, în mod rezonabil, dezvoltată în viitor.

Identificarea persoanei se poate realiza prin nume. Însă, simplul fapt că nu știm numele unei persoane, nu înseamnă că aceasta nu poate fi identificată. Cei mai mulți dintre noi nu știm numele tuturor vecinilor, însă îi putem identifica. Pentru identificare, ne raportăm, potrivit Regulamentului la „un număr de identificare ori la unul sau la mai mulţi factori specifici identităţii sale fizice, fiziologice, psihice, economice, culturale sau sociale

Cu alte cuvinte, daca avem o informație care nu este atribuita unei persoanei, însă putem folosi informații suplimentare (prin orice mijloace) pentru a identifica persoana respectiva, vorbim de date cu caracter personal.

Exemplu: „Datele referitoare la salariile într-o companie nu sunt, în general, date cu caracter personal. Aceste date se pot regăsi, fără probleme, în anunțurile de recrutare. Însă, dacă într-o companie există un singur angajat pe un anumit post, salariul aferent acelui post este o informație cu caracter personal care se referă la singurul angajat care ocupa respectivul post. ”[8]

În KIT-ul nostru de implementare GDPR, am inclus toate documentele necesare (registre, proceduri, politici, acorduri de confidentialitate, note de informare) astfel încât să îți protejezi afacerea. Urmând instrucțiunile și ghidurile explicate pe înțelesul tău, îți poți face chiar tu implementarea, evitând costurile consultanței.

 

[1] Art. 4 pct. 1 din Regulamentul (EU) 679/2016.

[2] GDPR for Dummies. Editat de Meta Compliance Group, ce poate fi accesat aici.

[3] Opinia 4/2007 a Grupului de Lucru Art. 29, adoptată pe 20 iunie 2017, ce poate fi accesată aici.

[4] https://www.facebook.com/legalup.ro/?ref=search, Ruxandra Sava, 5 ianuarie 2018

[5] A se vedea Hotărârea CEDO din 16 februarie 2000 în cauza Amann/Elveţia, nr. 27798/95, punctul 65.

Preambul (30) din Regulamentul (EU) 679/2016: „Persoanele fizice pot fi asociate cu identificatorii online furnizați de dispozitivele, aplicațiile, instrumentele și protocoalele lor, cum ar fi adresele IP, identificatorii cookie sau alți identificatori precum etichetele de identificare prin frecvențe radio. Aceștia pot lăsa urme care, în special atunci când sunt combinate cu identificatori unici și alte informații primite de servere, pot fi utilizate pentru crearea de profiluri ale persoanelor fizice și pentru identificarea lor.”

[7] Opinia 4/2007 a Grupului de Lucru Art. 29.

[8] A se vedea în acest sens și postarea de pe Facebook a paginii LegalUp din data de 5 ianuarie 2018, ce poate fi accesată aici.



Deadline-ul (25 mai 2018) pentru alinierea companiilor la GDPR se apropie. Cu siguranță că primul pas pe care trebuie să-l facă companiile este să identifice ce date cu caracter personal dețin, pentru a ști ce este de făcut în continuare. Identificarea corectă a datelor personale te va ajuta, printre altele, să:

  • înțelegi dacă prelucrezi date sensibile care au nevoie de protecție suplimentară;
  • întocmești registrul prelucrărilor, care este obligatoriu pentru majoritatea firmelor;
  • redactezi Politici de confidențialitate care să corespundă standardelor GDPR;
  • elaborezi un plan corect de conformare.

În practică, am observat că firmelor le este destul de greu să identifice datele cu caracter personal. De aceea, pentru a veni în ajutor, am creat acest inforgrafic care prezintă pe scurt categoriile de date cu caracter personal.

Cu toate acestea, nu va exista niciodată o listă exhaustivă a datelor cu caracter personal. Potrivit GDPR, o dată cu caracter personal va fi „orice informatie referitoare la o persoană fizică identificată sau identificabilă.” 

Operatorul ar trebui să identifice datele personale pe care le procesează în activitatea sa pentru a le oferi protecția potrivită.

Descarca infograficul cu datele personale


arhive-date-personale-legalup

Ești în siguranță pe site-ul nostru.

LegalUp Innovators at Law utilizează fişiere de tip cookie pentru a personaliza și îmbunătăți experiența ta pe Website-ul nostru. Te informăm că ne-am actualizat politicile pentru a integra în acestea si în activitatea curentă a LegalUp.ro cele mai recente modificări propuse de Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date. Înainte de a continua navigarea pe Website-ul nostru te rugăm să aloci timpul necesar pentru a citi și înțelege conținutul Politica privind utilizarea modulelor Cookie și Politica noastră de confidențialitate. Nu uita totuși că poți modifica în orice moment setările acestor fişiere cookie urmând instrucțiunile din Politica de Cookies.

Privacy Settings saved!
Setari permisiuni

Cookie-urile sunt folosite pe acest site pentru a oferi cea mai bună experiență de utilizator. Dacă continuați, presupunem că sunteți de acord să primiți cookie-uri de pe acest site

Utilizăm fișiere de tip cookie pentru a personaliza și imbunătăți experiența ta pe website-ul nostru.

Utilizăm fișiere de tip cookie pentru a personaliza și îmbunătăți experiența ta pe website-ul nostru.
  • wordpress_test_cookie
  • wordpress_logged_in_
  • wordpress_sec

Decline all Services
Da, Sunt de acord