Zaujímavý rozhovor s nemeckou ministerkou a kandidátkou na poslanyňu Európskeho parlamentu Katharinou Barley o prístupe k FB a službám, ktoré vlastní. Obmedzenie monopolizácie vidí napríklad v možnosti posielania a prijímanie správ naprieč rôznymi platformami instantných messengerov Whatspapp – Signal – FB Messenger – Threema tak ako funguje posielanie SMS správ bez ohľadu na subjekt mobilného operátora.

Nový BLOG: Prečítali a zosumarizovali sme pravidlá pre spracúvanie osobných údajov na základe zmluvy s dotknutou osobou, ktoré pripravil Európsky výbor pre ochranu údajov. Veľmi poučné čítanie pre tých čo zbierajú a spracúvajú údaje v súvislosti dodaním tovarov a služieb koncovým zákazníkom. Výbor zodpovedal napríklad aj otázky o marketingu, profilovaní či skvalitňovaní služieb.

Ohľadom spracúvania osobných údajov pri príležitosti volieb do Európskeho parlamentu, ale aj iných volieb sa vyjadril Európsky výbor pre ochranu údajov vo svojom Vyhlásení 2/2019 o používaní osobných údajov v priebehu politických kampaní.

„Politické strany, politické koalície a kandidáti sa čoraz viac spoliehajú na osobné údaje a sofistikované techniky profilovania s cieľom monitorovať voličov a mienkotvorcov a zamerať sa na ne. V praxi jednotlivci dostávajú vysoko personalizované správy a informácie, najmä na platformách sociálnych médií, na základe osobných záujmov, životných návykov a hodnôt.“

Hlavným odkazom EDPB je to, že:

  1. informácie o politických preferenciách sú proste citlivými údajmi a prevádzkovateľ potrebuje explicitný, špecifický, plne informovaný a slobodne udelený súhlas;
  2. všetko čo zdieľajú voliči na sociálnych sieťach je chránené podľa GDPR;
  3. dodržiavanie zásad spracúvania je nevyhnutnosť (v EDPB vypichli najmä zákonnosť, spravodlivosť a transparentnosť);
  4. automatizované rozhodovanie a profilovanie je prípustné iba s výslovným súhlasom dotknutej osoby;
  5. voliči musia vedieť prečo prijímajú konkrétnu správu, kto je za jej odoslanie zodpovedný a ako môžu vykonávať svoje práva dotknutých osôb.

Súdne rozhodnutie z Nemecka prinieslo pár zaujímavých poznatkov o monitorovaní firemných automobilov podľa GDPR: (a) musí na to existovať sakramentsky dobrý dôvod (nehovoriac o permanentnom monitorovaní aj počas privátnej prevádzky), (b) ukladanie dát nesmie presiahnuť 150 dní, monitorovanie musí byť deaktivovateľné a musí existovať možnosť vidieť iba autá bez identifikácie šoférov, (c) súhlas nemusí byť dostatočným právnym základom.

Pokuty, pokuty, pokuty…

Blížime sa k výročiu účinnosti GDPR a tak namieste je aspoň stručná sumarizácia:

  1. U susedov v Českej republike je miestny úrad pomerne zdielny. Na svojich stránkach zverejňuje celý rad informácií dostupných podľa infozákona. Vďaka tomu vieme, že úrad právoplatne udelil pokuty v rozsahu od 10 do 30 tisíc českých korún a neprávoplatne (stále beží nejaká forma odvolacieho konania) ešte 2 pokuty vo výške 50 a 250 tisíc korún. Celkovo sa tak bavíme o ôsmych pokutách, pričom porušenia sa týkali článkov 5 (4 pokuty), 6 (2 pokuty) a 15 (2 pokuty) GDPR. Prevádzkovatelia tak v Čechách a na Morave majú predbežne najväčšie problémy s právnym základom a s uplatňovaním práv dotknutých osôb.
  2. Na sever od nás bola udelená takmer miliónová pokuta. Keďže však hovoríme o poľskej mene, tak ide “len” o 220 000,- eur. V tomto prípade sa jedná o spoločnosť spracúvajúcu osobné údaje z verejných zdrojov. Porušenie sa malo týkať nesplnenia informačnej povinnosti vo vzťahu k 6 miliónom dotknutých osôb. Argument “stálo by nás to 7 miliónov eur” nepomohol a tak v prípade právoplatnosti rozhodnutia bude prevádzkovateľ platiť pokutu a zároveň tie náklady vytiahne z vrecka tak či tak.
  3. Rovný 1 milión HUF (niečo málo cez 3100,- eur) sa ušiel prevádzkovateľovi v Maďarsku, ktorý obmedzil právo dotknutej osobe vo vzťahu ku kamerovému záznamu. Miestna legislatíva určovala povinnosť dotknutej osoby preukázať oprávnený záujem, no GDPR takúto požiadavku nepozná. Kolíziu noriem vyriešili v prospech GDPR.
  4. Portugalský úrad si zgustol na zdravotníckom zariadení po zistení, že k zdravotným údajom pacientov pristupujú zdravotníci pod fiktívnymi profilmi (aj ex-zamestnancov) a nebol zabezpečená minimalizácia ani proporcionalita. Pokuta 400 tisíc eur chvíľu viedla rebríček GDPR sankcií.
  5. Prekonal ju samozrejme Google s 50 miliónmi eur od francúzskeho úradu CNIL za nedostatočné splnenie informačnej povinnosti, nehovoriac o Facebooku s 500 tisícmi za Cambridge Analytica (ešte spred GDPR) s čím dodnes bojuje.
  6. Ešte pred účinnosťou GDPR neoprávnene obchodovala spoločnosť Bounty Limited (prevádzkovateľ tehotenského/rodičovskeho portálu) s údajmi svojich používateľov. Nezákonné poskytovanie sa týkalo 14 miliónov dotknutých osôb. Práve teraz sa dočkali pokuty, ktorá však napriek predGDPRovej dobe nie je vôbec nízka. Jej výška 400 tisíc libier ukazuje, že komisár v Spojenom kráľovstve ani v minulosti netrpel nedostatkom sankčných kompetencií.

Čo ďalej?

Tri veci, ktoré sme sa počas prvého roka o pokutovaní podľa GDPR naučili sú: (a) pokút bude v tomto roku viac (vlaňajšok bol aj pre dozorné orgány len taký warmup a oboznámenie sa s možnosťami GDPR), (b) spolupracujte a dostanete nižší trest (nemecká prax) a na záver (c) pokuty nelietajú v oblakoch (ak si odmyslíme Google).

Zaujímavý post sa objavil na sociálnej sieti Linkedin. Pochádza od Sarah Day, ktorá komunikovala s úradom Komisára pre informácie v UK. Ide o dozorný orgán pre ochranu osobných údajov v UK, niečo ako slovenský Úrad na ochranu osobných údajov SR. Položila otázku ohľadom marketingovej komunikácie na biznisové emailové adresy a právneho základu pre komunikáciu správ priameho marketingu. Odpoveď zo strany úradov na seba nechala čakať, ale nakoniec prišla….

Direct Marketing v B2B segmente a GDPR

Zaujímavý post sa objavil na sociálnej sieti Linkedin. Pochádza od Sarah Day, ktorá komunikovala s úradom Komisára pre informácie v UK. Ide o dozorný orgán pre ochranu osobných údajov v UK, niečo ako slovenský Úrad na ochranu osobných údajov SR. Položila otázku ohľadom marketingovej komunikácie na biznisové emailové adresy a právneho základu pre komunikáciu správ priameho marketingu. Obstaranie stanoviska trvalo cez dva mesiace, ale odpoveď je v zásade pozitívna a na konci dňa aplikovateľná aj u nás vďaka mechanizmu konzistentnosti (ľudskou rečou – úrady naprieč EÚ by si nemali protirečiť). Oprávnený záujem prevádzkovateľa je v tomto prípade považovaný za použiteľný právny základ a predchádzajúci súhlas nie je potrebný. Je pravdepodobné, že by sa s týmto názorom stotožnil aj náš dozorný orgán, hoci istotu by sme mali po formálnom posvätení. Pre všetkých čo rozmýšľali nad tým ako spojiť potrebu komunikácie na potenciálnych obchodných partnerov (spoznaných pri rôznych neformálnych príležitostiach) práve s aplikáciou tvrdého znenia GDPR, je práve toto potvrdením vhodnej cesty.

Voľný preklad príspevku od Sarah je:

Trvalo to 67 dní, ale som rada, že som dnes ráno dostanala oficiálnu odpoveď od tímu Office Case. Moja konkrétna otázka bola: „Odpovedzte „áno/nie“ na to, či oprávnené záujmy môžu byť vhodné (ako právny základ spracúvania osobných údajov) na posielanie marketingových e-mailov zamestnancom v právnickej osobe na ich osobné firemné e-mailové adresy (napríklad menoapriezvisko@firma.com) soft-opt in neplatí (napr. ak osoba nie je existujúcim zákazníkom). “ Odpoveď ICO je: „Ak posielate marketingový e-mail podnikateľovi, napríklad menoapriezvisko@firma.com, potom pred odoslaním marketingového e-mailu nepotrebujete predchádzajúci súhlas … Bolo by možné spoľahnúť na legitímne záujmy, ktoré oprávňujú niektorý z vašich podnikov k obchodnému marketingu“.

Netreba však opomenúť fakt, že emailová adresa obsahujúca meno a priezvisko zamestnanca v spojení s zamestnávateľom, môže byť bez akýchkoľvek problémov považovaná za osobný údaj a podlieha pravidlám nakladania s osobnými údajmi v zmysle GDPR, vrátane informačnej povinnosti, technických a organizačných opatrení ako aj uplatňovania práv dotknutých osôb. Potvrdenie oprávneného záujmu od komisára v UK je však dobrá správa pre všetkých čo využívajú túto formu marketingu v komunikácii na biznisových zákazníkov. Ani v tomto prípade by sme však nezabúdali na možnosť odhlásenia z odberu správ (unsubscribe) v každej jednej správe.

Privacy Shield a.k.a. Štít na ochranu súkromia ustál svoj prvý rok. Európska komisia zverejnila prvú správu o jeho fungovaní.  Stal sa jednou z mála alternatív pre prenos dát mimo EÚ a preto je jeho existencia veľmi dôležitá. Po páde Bezpečného prístavu sa naň spoliehajú najmä firmy operujúce celosvetovo.

„Naše prvé preskúmanie ukázalo, že štít na ochranu osobných údajov funguje dobre, ale stále existuje určitý priestor na zlepšenie jeho realizácie v praxi. Nie je to dokument, ktorý by ležal v zásuvke. Je to živá dohoda, ktorú musia EÚ aj USA aktívne monitorovať, aby zaistili, že naše prísne normy v oblasti ochrany údajov sa budú dodržiavať,“ uviedla komisárka pre spravodlivosť, spotrebiteľov a rodovú rovnosť Věra Jourová.