Francouzský dozorový úřad pro ochranu osobních údajů CNIL uložil pokutu 1 milion eur britské
společnosti Mobius Solutions Ltd, která pro platformu Deezer dříve zajišťovala služby pro
personalizované reklamní kampaně. Mobius tuto činnost vykonával v pozici zpracovatele
osobních údajů. Deezer je mezinárodní hudební streamovací služba, která uživatelům umožňuje
poslouchat hudbu a podcasty online.
Případ se začal řešit už v listopadu 2022, kdy Deezer nahlásil porušení zabezpečení a uvedl, že data
jeho uživatelů se objevila na darknetu, přičemž to může mít souvislosti s jeho bývalým
zpracovatelem osobních údajů. CNIL po prověření dospěl k závěru, že Mobius jako zpracovatel
porušil několik povinností podle GDPR. Výši pokuty úřad odůvodnil závažností porušení, počtem
dotčených osob a obratem společnosti.
CNIL tak potvrdil, že i zpracovatele osobních údajů jsou odpovědní za dodržování pravidel
zpracování osobních údajů, a to zejména v případech, kdy postupují v rozporu s pokyny správce
osobních údajů.
Z rozhodnutí dále vyplývá, že správci by neměli podceňovat řádné ukončení spolupráce se
zpracovatelem. Smlouva mezi Deezerem a Mobiem skončila 1. prosince 2020, přesto si Mobius
ponechal kopii neanonymizovaných údajů více než 46 milionů uživatelů Deezeru. Mobius sice
tvrdil, že kopii bez vědomí vedení vytvořili tři zaměstnanci, CNIL ale zdůraznil, že zpracovatel
odpovídá i za jednání lidí, kteří pracují jeho jménem. Kopie byla podle rozhodnutí odstraněna až
1. října 2023, tedy velmi pozdě, čímž došlo k dalšímu nelegitimnímu zvýšení rizika pro bezpečnost
osobních údajů.
CNIL zároveň vytkl, že Mobius použil data Deezera i mimo pokyny správce, a to pro zlepšování
vlastních služeb bez smluvní opory nebo předchozí instrukce, a že nevedl záznam o činnostech
zpracování.
Správci by v praxi neměli spoléhat jen na uzavření smlouvy se zpracovatelem, ale pravidelně
kontrolovat, co se s daty děje v reálném provozu, jak se nakládá s kopiemi dat, kdo k nim má
přístup nebo jak proběhl deklarovaný výmaz dat po ukončení spolupráce.