Španjolsko nadzorno tijelo je kaznilo fitness franšizu s 36.000 eura zbog slika članova teretane bez valjanog pristanka, pohranjivanja slika na neodređeno vrijeme i neuspjeha u formaliziranju odgovarajućeg ugovora o obradi između lokalne teretane i fitness franšize.
Ispitanik je bio član teretane koja je navodno djelovala kao zajednički voditelj obrade zajedno s lokalnom teretanom koja je bila dio franšize. Dana 7. veljače 2021., ispitanik je podnio pritužbu putem web stranice voditelja obrade jer nije bio zadovoljan što je sniman tijekom fitness satova bez pristanka.
U svom odgovoru, voditelj obrade tvrdio je da je ispitanik dao privolu potpisivanjem ugovora o članstvu. Ugovor je sadržavao klauzulu u kojoj se navodi da potpisivanjem član ovlašćuje tvrtku da koristi sve slike, fotografije, videozapise, glasovne snimke, grafiku itd. u kojima se pojavljuju.
Dana 9. svibnja 2023., ispitanik je primijetio da se mobilnim uređajem snima sat fitnessa, unatoč ponovljenim prigovorima na snimanje. Ispitanik je smatrao da je ugovorna klauzula na koju se upućuje u odgovoru na prigovor zlouporaba te je 30. svibnja 2023. podnio pritužbu AEPD-u (španjolskom nadzornom tijelu).
Po primitku zahtjeva od nadzornog tijela, voditelj je porekao navode. Tvrdio je da su članovi koji su potpisali ugovor izričito pristali na snimanje i na širenje snimljenog materijala u promotivne svrhe. Također je tvrdio da je tijekom sata dobivena dodatno i usmena suglasnost.
Glavna pitanja istrage...
Tijekom istrage pojavila su se tri glavna pitanja:
- je li klauzula u ugovoru o članstvu valjana i smatra li se da takva klauzula znači ujedno i valjano danu suglasnost za snimanje;
- je li voditelj obrade poštovao načela GDPR-a vezano uz obradu fotografija;
- je li postojao pravilno formalizirani ugovor o obradi podataka između franšize i lokalne teretane u vezi s razmjenom podataka.
Osim svega navedenog, politika čuvanja podataka ukazivala je na to da će se slike čuvati neograničeno.
Što kaže nadzorno tijelo...
DPA je utvrdio da kombinacija klauzule u ugovoru i davanje usmene suglasnosti ne ispunjava standarde iz članka 7(1) GDPR-a.
Sloboda privole nije se mogla dokazati. Nedostajala je specifična, jasno odvojena klauzula posvećena korištenju fotografija te s tim u vezi nadzorno tijelo nije moglo utvrditi da je klauzula u ugovoru bila valjana kada govorimo o njoj iz kuta davanja suglasnosti odnosno privole.
Prihvaćanje fotografiranja i obrada vezanih uz navedeno nije se moglo razlikovati od prihvaćanja općih i posebnih ugovornih uvjeta stoga nije bilo razvidno u odnosu na što je točno dao ispitanik suglasnost niti je njemu to moglo biti jasno. Nadalje, nisu postojali dokazi koji bi pokazali da je dana usmena privola, a kamoli da je ispravno i u skladu sa svim zahtjevima zatražena i dobivena. Nadzorno tijelo je smatralo da je voditelj obrade time prekršio članak 7(1) GDPR-a.
Nadalje, nadzorno tijelo je utvrdilo da je voditelj obrade prekršio načelo ograničenja pohrane. Interni zapisi tvrtke ukazivali su na to da su fotografije i videozapisi zadržani neograničeno. Nisu odredili određeno razdoblje pohrane niti su procijenili potrebu na temelju izvorne svrhe. Time nisu uspjeli utvrditi i poštivati definirano razdoblje pohrane podataka. Stoga je nadzorno tijelo također utvrdio kršenje članka 5(1)(e) GDPR-a.
Konačno, nadzorno tijelo je kritiziralo dogovor između fitness franšize i njezinog lokalnog operatera teretane. Tvrdili su da djeluju kao zajednički voditelji, ali to u stvarnosti nije bio slučaj. Prema Smjernicama EDPB-a 07/2020, zajednička obrada mora se temeljiti na činjeničnoj analizi stvarnog utjecaja na svrhe i sredstva obrade. U praksi je fitness franšiza isključivo određivala način na koji su se obrađivali osobni podaci. Lokalna teretana izvršavala je upute bez stvarne moći donošenja odluka. Budući da lokalna teretana nije dijelila kontrolu nad aktivnostima obrade podataka, trebala je biti kvalificirana kao izvršitelj obrade, a ne kao zajednički voditelj obrade. Sukladno tome, nadzorno tijelo je donijelo odluku da je fitness franšiza prekršila članak 28(3) GDPR-a.
Ugovori možda "trpe na papiru" svašta no to ne znači da nadzorno tijelo smatra da je klasifikacija odnosa njima ispravna i da za taj dio kršenja GDPR-a ne možete biti kažnjeni!
Posljedično, voditelj obrade je dobio novčanu kaznu od 36.000 eura. Nakon prepoznavanja odgovornosti i brze uplate, taj je iznos smanjen na 21.600 eura. Voditelju je također naloženo da provede korektivne mjere. Morali su osigurati da se snimanje i objavljivanje fotografija i videozapisa ispitanika provodi s ispravnom pravnom osnovom uz poštivanje razdoblja čuvanja podataka i formalizaciju ispravnog ugovora o obradi i dijeljenju podataka.
