Autor: Pawel Mielniczek, Ekspert ds. ochrony danych, ODO 24.
Komentarz eksperta ODO 24: Kara 50 milion?w euro dla Google LLC – powody i znaczenie decyzji francuskiego organu
W dniu 21 stycznia 2019 r., francuski organ nadzorczy (CNIL) nalozyl na Google LLC kare w wysokosci 50 mln euro za brak przejrzystosci, nieadekwatne informowanie oraz brak waznej zgody na personalizacje reklam. Na czym dokladnie polegaly niezgodnosci i dlaczego zdaniem organu, zaslugiwaly na tak wysokie sankcje? Co oznacza to dla innych administrator?w?
Skarge na przetwarzanie przez Google danych osobowych bez podstawy prawnej w imieniu przeszlo 10 tys. os?b zlozyly stowarzyszenia None Of Your Business oraz La Quadrature du Net. Po konsultacji z organami z innych kraj?w – w szczeg?lnosci z Irlandii – CNIL uznal, ze gl?wna jednostka organizacyjna Google nie znajduje sie w Europie, nie ma zatem zastosowania zasada „one stop shop”, wymagajaca prowadzenia postepowania przez wiodacy organ nadzorczy w panstwie gl?wnej siedziby administratora. Jako okolicznosc przemawiajaca za tym, ze irlandzka siedziba Google nie jest gl?wna jednostka organizacyjna, organ uznal fakt, iz nie decyduje ona o operacjach przetwarzania w ramach systemu operacyjnego Android i uslug dostarczanych przez Google w odniesieniu do tworzenia konta podczas konfiguracji urzadzenia. CNIL ocenil zatem operacje przetwarzania prowadzone przez administratora Google LLC z siedziba w Moutain View w Kalifornii, dotyczace uzytkownik?w konta Google we Francji i pozostawil tym samym mozliwosc wszczecia analogicznych postepowan w pozostalych panstwach czlonkowskich Unii Europejskiej.
W ocenie organu sp?lka Google nie zrealizowala wymog?w dotyczacych przejrzystosci oraz podstaw prawnych przetwarzania danych (zgody). CNIL uznal, iz naruszenia pozbawialy uzytkownik?w podstawowych gwarancji dotyczacych operacji przetwarzania opartych na wielkiej ilosci danych, kt?re moga ujawnic wazne czesci ich zycia prywatnego. Wymierzajac kare Urzad wzial pod uwage skale przetwarzania danych (tysiace nowych kont dziennie) oraz fakt, ze naruszenia wystepuja w ramach ciaglego procesu, a nie pojedynczej, ograniczonej w czasie niezgodnosci. Obciazajacy byl takze fakt, ze personalizacja reklam stanowi jedna z podstaw modelu biznesowego Google, w zwiazku z czym realizacja obowiazk?w w tym zakresie stanowi „najwyzsza odpowiedzialnosc” sp?lki.
Decyzja CNIL jest powaznym ostrzezeniem takze dla polskich administrator?w. Unikac nalezy szczeg?lnie laczenia zg?d w ramach jednego oswiadczenia. Ponadto administrator powinien upewnic sie, czy udzielane informacje sa nie tylko poprawne formalnie, ale takze zapewniaja najwyzszy poziom zrozumienia i kontroli nad dotyczacymi ich danymi.
nšr?dla: Informacja prasowa CNIL (j. angielski), Tresc decyzji (j. francuski);
ODO 24 sp. z o. o. oferuje kompleksowe rozwiazania w zakresie ochrony danych osobowych i bezpieczenstwa informacji. Dzieki doswiadczonemu zespolowi ekspert?w z zakresu m.in. prawa, informatyki, zarzadzania kryzysowego oraz ciaglosci dzialania dostarcza organizacjom praktyczne rozwiazania, pozwalajace skutecznie zabezpieczyc posiadane zasoby informacyjne.
