Francouzský dozorový úřad CNIL minulý týden ukončil šetření společností Google a Amazon,
které se podle něj dopustily porušení francouzského zákona o ochraně osobních údajů (a
nepřímo tak i Nařízení GDPR, neboť se stejně jako u nás jedná o zákon prováděcí). Obě
americké technologické společnosti měly neoprávněně sbírat údaje o uživatelích internetu
pomocí souborů cookies.
Cookies byly na uživatelská zařízení uloženy pokaždé, když uživatelé navštívili webové stránky
obou zmíněných společností, aniž by k tomuto sledování a sbírání informací dali jednotliví
uživatelé souhlas.
Vedle neoprávněného ukládání souborů cookies se CNIL taktéž nelíbila nedostatečná
informovanost uživatelů ze strany Google ohledně zpracování osobních údajů, u Amazonu pak
předpokládaný automatický souhlas uživatelů s ukládáním cookies v případě využívání jejich
webových stránek.
Třetí prohřešek se týkal jen Google, kdy jeho nástroj umožňující deaktivaci ukládání cookies
pro účely personalizované reklamy nefungoval tak, jak měl. Při jeho využití totiž nedošlo k
úplnému ukončení tohoto zpracování, neboť pokaždé alespoň jeden soubor cookies zůstal stále
aktivní a pokračoval tak ve sbírání osobních údajů uživatelů.
Výše pokut pak odpovídala samotným prohřeškům, velikosti obou společností, ale především
pověsti, kterou CNIL jakožto jeden z nejaktivnější dozorových úřadů má. V případě společnosti
Google se tak CNIL rozhodl udělit pokutu ve výši 100 milionů euro, u Amazonu se rozhodl
pouze pro 30 milionů euro.
Více než třínásobnou výši sankce pro Google CNIL odůvodnil oním třetím prohřeškem a dále
skutečností, že Google má mnohem větší dosah, co se dotčených subjektů údajů týká. CNIL
dále oběma společnostem určil lhůtu 3 měsíců, v rámci které musí veškerá pochybení napravit,
nebo jim hrozí následná pokuta 100 000 euro za každý den.
Irský dozorový úřad udělil pokutu Twitteru, ale…
Irský dozorový úřad (DPC) je v rámci EU jeden z nejdůležitějších, a to z toho důvodu, že
většina největších technologických společností ze zámoří má své evropské sídlo právě v Irsku.
DPC je tak i díky tomu od účinnosti Nařízení GDPR pod velkým drobnohledem. O to více
bylo s podivem, že ani po dvou a půl letech nebyl schopen uzavřít jedinou větší kauzu, která
by se týkala právě některé z těchto větších společností. Do dnešního dne jich běží více než
dvacet.
To se ovšem tento týden změnilo. DPC udělilo sociální síti Twitter pokutu za pozdní
oznámení bezpečnostní incidentu a jeho nedostatečné zdokumentování. Twitter se hájil tím,
že bezpečnostní incident proběhl v době svátků a velký počet zaměstnanců dohlížejících na
kyberbezpečnost a ochranu osobních údajů byl na dovolené.
Bezpečnostní incident spočíval ve špatné funkci nástroje, který měl skrýt vybrané
příspěvky tak, aby nebyly veřejně dostupné. Nedostatečné skrytí vybraných tweetů navíc trvalo
již od roku 2014.
I když by se tedy mohlo zdát, že se po více než dvou letech jedná o první velký úspěch DPC,
není tomu tak. Zmíněná sankce totiž činila pouze 450 000 euro, tedy přibližně 0,1
celosvětového obratu společnosti. S ohledem na provinění a význam pokutované společnosti
se totiž její výše jeví jako velmi malá.
O to víc je s podivem, že původní idea DPC o výši pokuty byla ještě nižší, a to v rozmezí 150-
300 tisíc euro. Její finální výši tak ovlivnila zejména pravidelná konzultace s ostatními
dozorovými úřady v Evropě, kterým se navrhovaná sankce zdála absurdní a trvaly na jejím
zvýšení (např. německý dozorový úřad navrhoval udělit pokutu v rozmezí 7-22 milionů euro).
DPC tak nenaplnil očekávání, které ochránci osobních údajů z celé Evropy měli. Nyní bude
záležet na tom, jaká bude tendence DPC do budoucna, neboť jak už bylo výše zmíněno,
v současnosti řeší více než 20 případů s podobně významnými subjekty.