Cum poti evita amenzile pentru gestionarea incorecta a datelor, prin modulele cookie?
In ultimele luni, utilizarea modulelor cookie a fost o tema majora de discutie, la nivel european, apropo de protectia datelor cu caracter personal, noteaza PwC, intr-un comunicat de presa. Autoritatile de supraveghere competente au luat pozitie apropo de incalcarile le Regulamentului general privind protectia datelor (GDPR), cu ocazia prelucrarilor de date cu caracter personal prin intermediul modulelor cookie.
Daniel Vinerean (foto, Managing Associate D&B David si Baias, societate de avocatura corespondenta PwC in Romania) a redactat un articol util pe aceasta tema, menit sa sintetizeze faptele constatate de autoritatile europene. Analizele si concluziile acestora trebuie avute in vedere de toate entitatile care prelucreaza date cu caracter personal prin activitati de prelucrare similare, indiferent de jurisdictia in care isi desfasoara activitatea.
Cazurile Google si Facebook – mecanismul neconform de respingere a modulelor cookie
Google si Facebook au fost marile lovite de autoritatea de supraveghere franceza (CNIL), care a publicat, in luna ianuarie, doua decizii de sanctionare. Google a fost sanctionata cu o amenda de 150 de milioane €, in timp ce Facebook a primit o amenda de 60 de milioane €. In ambele cazuri, motivul sanctionarii a constat in faptul ca bannerele de informare privind utilizarea modulelor cookie de pe paginile Google si Facebook nu aveau un mecanism care sa permita vizitatorilor sa respinga utilizarea acestora la fel de usor ca si in cazul acceptarii utilizarii.
Astfel, CNIL a constatat ca bannerele de informare privind utilizarea modulelor cookie plasate pe www.google.fr, www.youtube.com si www.facebook.com ofera optiunea de a accepta cu usurinta modulele cookie, dar nu si de a le respinge.
Cazul IAB – mecanismul TCF, contrar GDPR
Cateva saptamani mai tarziu, autoritatea de supraveghere belgiana a constatat ca Mecanismul de Transparenta si Consimtamant (TCF) dezvoltat de Interactive Advertising Bureau Europe (IAB) nu respecta cerintele GDPR si, prin urmare, a aplicat o amenda de 250.000 €. TCF este un mecanism folosit pentru gestionarea preferintelor utilizatorilor prin module cookie de stocare si de recuperare a datelor. Acest mecanism este implementat de furnizorii de servicii de marketing digital in scopul afisarii de reclame in timp real si este intemeiat pe consimtamantul utilizatorilor.
Stirea a avut efecte imediate in randul furnizorilor de servicii digitale de marketing, in conditiile in care TCF este integrat in foarte multe pagini online din Europa. Intrebarea este daca standardele de adecvare stabilite de IAB sunt inca valabile pentru obtinerea unui consimtamant care sa respecte cerintele GDPR. Autoritatea de supraveghere belgiana nu a analizat activitatile de prelucrare realizate prin intermediul paginilor de Internet care utilizeaza TCF, ci insasi activitatea de prelucrare care presupune inregistrarea, stocarea si partajarea preferintelor privind consimtamantului de catre IAB, in calitate de operator, cu editorii si furnizorii de tehnologie publicitara, creand astfel un asa numit „lant de consimtamant”.
Astfel, concluzia autoritatii belgiene a fost ca, interpretand in sens larg notiunea de „operator de date cu caracter personal”, IAB, editorii si furnizorii de tehnologie publicitara pot fi responsabili pentru tratamentul legat de obtinerea si partajarea preferintelor de consimtamant ale utilizatorilor, intelegand ca, in cazul in care unul dintre participantii la acest proces joaca un rol decisiv in partajarea datelor cu caracter personal, acesta trebuie considerat responsabil pentru prelucrare.
Cazul Google Analytics – transfer international de date cu caracter personal, contrar GDPR
Google Analytics (cel mai utilizat set de module cookie de analiza si masurare a traficului pe paginile de Internet) a fost protagonistul mai multor investigatii realizate de autoritatile de supraveghere europene, ca urmare a invalidarii Scutului de Confidentialitate (cunoscut sub numele de Privacy Schield si utilizat in cazul transferurilor de date catre SUA), prin hotararea pronuntata de Curtea de Justitie a Uniunii Europene, in cauza Schrems II.
In esenta, s-a stabilit ca utilizarea Google Analytics reprezinta un transfer international de date cu caracter personal realizat cu nerespectarea prevederilor art. 46 din GDPR. Astfel, in ianuarie 2022, Autoritatea Europeana pentru Protectia Datelor (AEPD) a emis o avertizarea adresata Parlamentului European pentru nerespectarea prevederilor Regulamentului 2018/1725 (echivelentul GDPR pentru institutiile europene) si a altor prevederi ale Directivei E-Privacy.
Subliniind inclusiv neconformitatea bannerului de informare privind utilizarea modulelor cookie de pe pagina Parlamentului European, AEPD a constatat ca modulele cookie de analiza si masurare Google Analytics reprezinta (in esenta) transferuri internationale de date cu caracter personal, realizate fara aplicarea unor masuri suplimentare, care sa garanteze mentinerea unui nivel de protectie echivalent cu cel stabilit de GDPR.
In acest context, AEPD a reamintit ca, dupa invalidarea Scutului de Confidentialitate, clauzele contractuale standard aprobate de Comisia Europeana nu sunt suficiente pentru a garanta securitatea datelor cu caracter personal in tara de destinatie, respectiv in SUA.
Tot in luna ianuarie a acestui an, autoritatea austriaca de supraveghere a constatat ca utilizarea Google Analytics nu respecta prevederile capitolului V din GDPR. Desi vine in completarea deciziei AEPD, decizia autoritatii austriece este importanta, pentru ca pare a deschide un sir mai lung de decizii intemeiate pe cele constatate de Curtea de Justitie a UE, in cauza Schrems II.
Decizii similare sunt asteptate si in alte state europene. Astfel, dupa ce a primit mai multe reclamatii din partea NOYB – European Center for Digital Rights, autoritatea de supraveghere franceza a analizat conditiile in care se fac transferurile de date catre Statele Unite ale Americii prin intermediul Google Analytics, precum si riscurile asociate acestor transferuri. Potrivit analizei CNIL, Google Analytics este o functionalitate pe care poate fi integrata in paginile de internet pentru a masura numarul utilizatorilor. In acest context, fiecarui vizitator i se atribuie un identificator unic (care constituie date cu caracter personal), si care, impreuna cu alte datele asociate sunt transferate de Google in SUA.
In urma analizei efectuate, CNIL a concluzionat ca, desi Google a stabilit masuri suplimentare pentru asigurarea conformitatii transferurilor catre o tara terta, acestea nu sunt suficiente pentru a exclude posibilitatea ca serviciile de informatii americane sa acceseze datele astfel transmise, iar fapt creeaza riscuri pentru utilizatorii care acceseaza paginile de internet care au integrat Google Analytics.
Problema transferurilor internationale de date cu caracter personal realizate ca urmare a utilizarii Google Analytics a fost, de asemenea, supusa analizei autoritatii norvegiene de supraveghere, aceasta recomandand operatorilor sa exploreze alternative la utilizarea Google Analytics.
Concluzii si recomandari
Avand in vedere recentele decizii ale autoritatilor europene de supraveghere, este recomandabila evaluarea modului in care operatorii utilizeaza modulele cookie. Pornind de la bannerul de informare cu privire la utilizarea modulelor cookie si pana la informarea detaliata a utilizatorilor paginilor de internet, operatorii trebuie sa tina cont de regulile aplicabile prelucrarilor de date cu caracter personal.
In plus, in cazul unor transferuri de date in afara Spatiului Economic European (inclusiv cu ocazia utilizarii Google Analytics) este necesara realizarea unei evaluari a impactului transferului international de date pentru stabilirea caracterului adecvat al acestor transferuri. O astfel de evaluare trebuie sa aiba in vedere riscurile de confidentialitate ale transferului de date tinand cont de legile locale si de cadrul de reglementare privind protectia datelor din tara de destinatie, de compatibilitatea cu garantiile esentiale europene si, in special, de circumstantele specifice ale transferului (cum ar fi: continutul si durata, natura datelor care urmeaza sa fie transferate, destinatarul, scopul tratamentului) si orice garantie implementata in plus fata de clauzele contractuale standard (inclusiv cele tehnice si organizatorice relevante).
Comentariu ( 1 )
[…] Cum poti evita amenzile pentru gestionarea incorecta a datelor, prin modulele cookie? – ECOMpe… […]