Kary dla Google to efekt skargi złożonej tuż po 25 maja 2018 r. przez dwa stowarzyszenia None of your busines (NOYB) i La Quadrature du Net (LQDN) w imieniu blisko 10 tys. użytkowników. Na czele NOYB stoi Max Schrems, który pozwał wcześniej Facebooka. . Stowarzyszenia zarzucają Google, że nie posiada on ważnej podstawy prawnej do przetwarzania danych osobowych użytkowników swoich usług, w szczególności w celu wyświetlania spersonalizowanych reklam. By sprawdzić, czy Google przestrzega francuską ustawę o ochronie danych i RODO, francuska Krajowa Komisja Ochrony Danych (CNIL, z fr. Commission Nationale de l'Informatique et des Libertés) przeprowadziła kontrolę on-line. Sprawdziła m.in. dokumenty, do których można mieć dostęp podczas zakładania konta oraz konfiguracji telefonu z systemem Android. Komisja uznała, że informacje przekazywane przez Google użytkownikom nie są łatwo dostępne, jasne i przejrzyste. Ponadto gigant zbiera zgody na wyświetlanie reklam niezgodnie z RODO.
Czytaj również: 4,34 mld euro kary dla Google >>
Dane dobrze ukryte
Komisja stwierdziła, że informacje o celu przetwarzania danych, czasie ich przechowywania, kategoriach danych wykorzystywane do personalizacji reklam nie są łatwo dostępne dla użytkowników. - CNIL zarzucił Google, m.in. że informacje dotyczące przetwarzania danych w zakresie reklam spersonalizowanych nie były dostępne w jednym miejscu – tłumaczy Katarzyna Kloc, adwokat, partner w kancelarii Gawroński & Piecuch. - Zdobycie informacji o reklamach spersonalizowanych przez użytkownika wymagało wielu „kliknięć” - dodaje Katarzyna Kloc. Według CNIL konieczne jest wykonanie pięciu czynności, aby użytkownik mógł uzyskać dostęp do informacji związanych z personalizacją reklam, a sześć do geolokalizacji. Trudno też otrzymać informację o okresie ich przechowywania. W efekcie użytkownicy nie są w stanie w pełni zrozumieć zakresu operacji przetwarzania przeprowadzanych przez Google, a także konsekwencji łączenia przetwarzania różnych danych.
Paweł Litwiński, adwokat, partner w Kancelarii barta Litwiński zwraca uwagę, że według CNIL niektóre informacje nie są wystarczająco jasne i przejrzyste. CNIL podaje, że na przykład z sekcji "Personalizacja reklam" nie wynika, że w przetwarzanie danych jest zaangażowanych wiele usług i aplikacji, np. wyszukiwarka Google, You Tube, dom Google, mapy Google, Playstore, zdjęcia Google, a zatem użytkownik nie ma wie o liczbie przetworzonych i połączonych danych. Tymczasem dane pochodzą z różnych źródeł: telefony, Gmaila, You Tuba, plików coockies. Jak decyzja francuskiego odpowiednika UODO przełoży się na praktykę?
Moim zdaniem tego typu serwisy internetowe muszą położyć nacisk niekoniecznie na ilość dostarczanych informacji, ale na jakość spełnienia obowiązku informacyjnego – rozumianą jako transparentność, przejrzystość i pewnego rodzaju „przyjazność” dla ich użytkowników - uważa Katarzyna Kloc. - Informacje o reklamach spersonalizowanych takie jak: zakres danych, okres przez jaki administrator przechowuje informacje, wyrażenie sprzeciwu, cofnięcie zgody, pełne dane administratora itd. powinny łatwo dostępne, np. w formie odpowiedniej zakładki „Reklamy” czy „Google Ads”, czytelne i zrozumiałe dla przeciętnego użytkownika - tłumaczy mec. Kloc.
Każdy cel przetwarzania wymaga zgody
Według CNIL użytkownik może mieć też kłopoty, ze zrozumieniem, że podstawą przetwarzania jego danych w celu personalizacji reklam jest zgoda, a nie uzasadniony interes firmy. Francuska Komisja uważa też, że gigant zbiera zgody na wyświetlanie spersonalizowanych reklam niezgodnie z przepisami, nie jest ona bowiem ani konkretna, ani jednoznaczna, a tego wymaga art. 4 RODO. - Organ kwestionuje to, że żeby wyrazić zgodę, użytkownik musi sam wykazać się pewna aktywnością i wybrać odpowiednie opcje, a także to, że zgody są z góry zaznaczone na „tak”. Ponadto CNIL uważa, że Google powinien zbierać oddzielne zgody na różne cele przetwarzania, a zdaniem organu zbiera połączoną zgodę – tłumaczy Paweł Litwiński.
CNIL wyjaśnia, że przed utworzeniem konta, użytkownik jest proszony o zaznaczenie pól "Zgadzam się na Warunki korzystania z usługi Google" i " Zgadzam się na przetwarzanie moich informacji zgodnie z powyższym opisem i wyjaśnieniami w Polityce prywatności» w celu utworzenia konta. Gdy ją zaznaczy, zgadza się na wszystkie operacje przetwarzania danych przeprowadzanych przez Google w tym na m.in. personalizację reklam na podstawie historii przeglądarki, aktywności w You tubie, rozpoznawania mowy itp. Tymczasem zgodnie z RODO zgoda jest konkretna tylko, gdy jest wyraźnie przyznana dla każdego celu. Google tłumaczy, że po utworzeniu konta użytkownik może modyfikować niektóre opcje, klikając przycisk «Więcej opcji», dostępny nad przyciskiem «Utwórz konto». W szczególności można skonfigurować wyświetlanie spersonalizowanych reklam. W rzeczywistości użytkownik musi nie tylko kliknąć przycisk "Więcej opcji", aby uzyskać dostęp do konfiguracji. Zgodnie z RODO jednak zgoda jest jednoznaczna" tylko z wyraźnym działaniem ze strony użytkownika, to on musi zaznaczyć pole wyboru.
- Case Google pokazuje, że stosowanie niezgodnych z prawem predefiniowanych zgód, czyli zaznaczonych checkboxów) może skutkować sankcją finansową dla firmy - podkreśla Katarzyna Kloc.
Kara nie jest wysoka
CNIL zastosował już wysokość kar z RODO. Tyle, że zdaniem mec. Litwińskiego jest ona znikoma w stosunku do obrotu Google. - To jest bardziej symboliczna kara, niż „odstraszająca”, jak chce RODO – uważa mec. Litwiński. Katarzyna Kloc również uważa, że 50 mln EUR z perspektywy Google nie jest wysoką karą. - Pamiętajmy jednak, że jest to pierwsza kara takiego rzędu nałożona przez organ nadzorczy. Pokazuje, że RODO to nie martwe przepisy, a realna groźba wysokiej kary finansowej – dodaje Katarzyna Kloc.
Według danych CNIL Google w 2017 roku osiągnęła sprzedaż o wartości 109,7 mld dolarów (około 96 mld euro). Posiada ok. 70 tys. pracowników na całym świecie.. Francuski oddział zatrudnia ok. 600 pracowników i osiągnął w 2017 r. obrót w wysokości ok. 325 mln euro. Tutaj można przeczytać decyzję CNIL w sprawie Google.
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.
