GDPR NEWS: Facebook dostal další pokutu za porušení povinnosti při zpracování osobních údajů

Tentokrát Facebook narazil u Španělského úřadu pro ochranu osobních údajů (AEPD), který Facebooku vyměřil pokutu ve výši 1,2 milionů Eur (cca 31 milionů Kč).

AEPD spatřoval pochybení na straně Facebooku v případě zpracování osobních údajů, konkrétně údajů o pohlaví, ideologii a náboženském přesvědčení, které Facebook shromažďoval ze svých stránek nebo stránek třetích stran, aniž by o tomto uživatele informoval či získával jednoznačný, konkrétní a informovaný souhlas.

Zjednodušeně řečeno, AEPD vyčítá Facebooku několik porušení tamního zákona o zpracování osobních údajů, jmenovitě:

• shromažďování „citlivých“ osobních údajů bez vědomí subjektů údajů o účelech takového zpracování, a to bez platného právního titulu;
• nedostatečné informování subjektů údajů o zpracování osobních údajů (pouze u několika případů);
• shromažďování osobních údajů z interakcí subjektů údajů na webových stránkách třetích stran, které sice nepatří Facebooku, ale obsahují možnost udělit „like“, a to i v případě nepřihlášených uživatelů;
• Facebook nemaže informace, které shromažďuje při sledování uživatelských návyků, a znovu je používá a přidružuje k příslušnému uživateli;
• i po vymazání účtu na Facebooku jej provozovatel této sociální služby uchovává ještě 17 měsíců za využití cookies a pravděpodobně ani poté nedochází ke kompletnímu výmazu.

Pro Facebook je to již další z řady řízení, které jsou sním vedeny ze stran různých orgánů členských států. Naposledy řešil německý soud právě sledování nepřihlášených uživatelů prostřednictvím internetových stránek třetích osob, které používaly funkcionalitu „Dát like“ na svých stránkách. Většina uživatelů se poté diví, jaké reklamy jim na hlavní stránce Facebook nabízí.

(I autoři tohoto příspěvku se občas diví, co jim Facebook nabízí k náhledu:)

Kompletní rozhodnutí AEPD naleznete na této stránce>>.

Výše uvedené je však nutno ve světle nového nařízení GDPR vnímat mnohem šířeji. Zpracování osobních údajů pro marketingové účely dozná oproti současné praxi velké změny. Pro každého správce je proto důležité dbát na to, aby zpracovával pouze nezbytný rozsah osobních údajů a na základě správného právního titulu, kterým již nebude moci být pouze souhlas subjektů údajů, ale oprávněný zájem správce jakožto nový právní titul dle nařízení GDPR. Netřeba dodávat, že další prioritou bude informování subjektů údajů o probíhajícím zpracování.

Potřebujete poradit se zpracováním osobních údajů pro účely marketingu? Ozvěte se nám a stavte se za námi na kávu.