Francusko nadzorno tijelo (CNIL) je kaznilo tvrtku HUBSIDE.STORE s 525.000 eura zbog upotrebe osobnih podataka koje su im dostavili brokeri podataka u komercijalne svrhe, a da nije osigurao da su ispitanici dali valjani pristanak.
Pozadina slučaja
HUBSIDE.STORE provodi telefonske i SMS kampanje kako bi promovirao proizvode koje prodaju u svojim trgovinama (mobiteli, prijenosna računala…). Podatke o traženim potencijalnim kupcima tvrtka inače kupuje od data brokera i vlasnika web stranica.
Nije dobro kupovati podatke od drugih osobito ako su ilegalno stečeni i ne postoji pravni osnov obrade...
Na temelju nalaza napravljenih tijekom istrage, CNIL kao tijelo nadležno za izricanje sankcija - smatrao je da pogrešan i nezakonit izgled obrazaca za prikupljanje podataka koje koriste data brokeri odgovorni za prikupljanje podataka nije omogućio dobivanje valjane suglasnosti ispitanika. Zbog navedenog HUBSIDE.STORE nije mogao zakonito obrađivati podatke te obavljati svoje kampanje oglašavanja putem SMS-a odnosno telefonski.
CNIL je nadalje smatrao da, tijekom svoje kampanje putem telefonskih poziva, tvrtka nije omogućila pojedincima da budu dovoljno jasno i transparentno informirani, što je u suprotnosti i s člankom 14. GDPR-a.
Nadalje, CNIL je blisko surađivao sa svojim kolegama u drugim nadzornim tijelima (Belgija, Italija, Španjolska, Portugal) pri ispitivanju slučaja i donošenju odluke, sve u sklopu procedure one-stop shop, budući da HUBSIDE.STORE obrađuje podatke kupaca i potencijalnih klijenata u nekoliko država članica Europske unije.
Iznos kazne, koji predstavlja oko 2% prometa tvrtke, određen je u svjetlu ozbiljnosti kršenja i odgovornosti koju je organizacija preuzela korištenjem prikupljenih podataka. CNIL je razmotrio prilikom kažnjavanja činjenicu da je HUBSIDE.STORE provodio komercijalno istraživanje na velikom broju ispitanika.
Okolnosti slučaja...
Kako bi proveo svoje telefonske kampanje prodaje, HUBSIDE.STORE je kupio podatke potencijalnih kupaca od nekoliko data brokera. Podaci su prikupljeni putem obrazaca za sudjelovanje u online testiranju proizvoda te nagradnim igrama na raznim web stranicama.
Nadzorno tijelo je smatralo da obmanjujući izgled ovih obrazaca (slike niže) onemogućuje dobivanje slobodnog i nedvosmislenog pristanka, kako to zahtijeva GDPR, koji bi pružio osnovu za poslovanje tvrtke putem SMS-a.
Značaj koji se daje gumbima koji zahtijevaju od korisnika da prenesu svoje podatke u komercijalne svrhe (po njihovoj veličini, boji, naslovu i lokaciji), u usporedbi s hipertekstualnim vezama koje korisnicima omogućuju sudjelovanje u igri bez prihvaćanja ovog prijenosa (od mnogo manje veličine + stapa se s tijelom teksta), snažno potiče korisnike da nešto prihvate (nema stvarne dobrovoljnosti/ zabluda ispitanika).
Na tvrtki je, kao korisniku prikupljenih podataka, osigurati da su dotični pojedinci izrazili valjanu suglasnost. U tom smislu, CNIL je primijetio da, iako je tvrtka nametnula određene ugovorne zahtjeve data brokerima, nikakva učinkovita kontrola tih zahtjeva nije provedena.
Nepoštivanje obveze pravne osnove za obradu podataka (čl. 6. GDPR-a) - kršenje zakonitosti
CNIL je naglasio da se komercijalno istraživanje putem telefona može temeljiti na legitimnom interesu tvrtke, no pod uvjetom da ispitanici, u trenutku prikupljanja njihovih podataka, budu jasno i nedvojbeno obaviješteni da mogu dobiti komercijalne upite od ovog poduzeća.
Međutim, CNIL je otkrio da obrasci za nagradne igre korišteni za prikupljanje podataka potencijalnih kupaca nisu uključivali HUBSIDE.STORE na popis partnera koji bi mogli ubuduće kontaktirati dotične osobe.
Nepoštivanje obveze informiranja ispitanika (članak 14. GDPR-a)
Istraga je na kraju otkrila da pojedinci koji su ispitani telefonski nisu dobili sve potrebne informacije o prikupljanju i korištenju njihovih osobnih podataka (na primjer, identitet i kontakt podatke organizacije, svrhe za koje su podaci korišteni, razdoblja čuvanja, izvor podataka, njihova prava ili čak mogućnost podnošenja pritužbe CNIL-u). Navedene informacije su ključne kako bi se ispitanicima omogućilo ostvarivanje njihovih prava, poput pristupa i ispravljanja njihovih podataka ili prigovor na daljnje traženje, jednostavno i nenaplatno.
Zaključno, svaka obrada mora biti pažljivo razmotrena te je nužno da i prilikom izrade i objave Uvjeta nagradne igre ili drugih obrada koje za cilj imaju da možete te sve dobivene kontakte koristiti u druge svrhe imaju i adekvatne odredbe o navedenom. Nije dovoljno nekoliko rečenica, postoje obvezne stavke koje takvi dokumenti moraju sadržavati. Stoga, ako vam je potrebna pomoć u kreiranju uvjeta natječaja ili pravila nagradnih igara javite nam se kako biste prevenirali situaciju koju smo, među ostalim, opisali u našem blogu.
