U našich susedov v Rakúsku riešili prípad, na ktorého konci bola obrovská pokuta vo výške pol milióna eur, a to za jeden vernostný program, ktorého fungovanie nespĺňalo požiadavky všeobecného nariadenia o ochrane údajov (GDPR). Poďme sa pozrieť na to, čo bolo dôvodnom tak vysokej pokuty a ako sa jej vyvarovať.
Popis problému s vernostným programom
Kontrola sa zamerala na prevádzkovateľa, ktorý je poskytovateľom vernostného programu pre zákazníkov. Na tomto programe sa zúčastňovali aj iné firmy – maloobchodní predajcovia (partneri). S partnermi prevádzkovateľ uzatváral zmluvy. Zákazníci, ktorí nakupujú produkty u partnerov sa mohli zaregistrovať do vernostného programu. V rámci siete partnerov a programu potom získavali dotknuté osoby (členovia vernostného programu) body, ktoré mohli využiť na uplatnenie zliav zo svojich nákupov.
Prevádzkovateľ vo svojich zásadách o ochrane osobných údajov uvádzal, že len v prípade súhlasu člena vernostného programu, budú jeho údaje ďalej používané na analyzovanie údajov o jeho nákupoch na účely poskytovania personalizovanej reklamy a marketingových kampaní, pričom prevádzkovateľ vytváral o členovi vernostného programu jeho marketingové profilové údaje. Pričom výhody z členstva bolo možné získavať aj bez toho, aby bola dotknutá osoba predmetom profilovania.
Aký ma byť správny súhlas?
Akýkoľvek súhlas so spracúvaním osobných údajov dotknutej osoby musí vždy spĺňať kritériá podľa:
- čl. 4 ods. 11 GDPR, podľa ktorého musí byť každý súhlas udelený slobodne, musí byť konkrétny, informovaný a jednoznačný
- a čl. 7 GDPR, podľa ktorého (okrem iného) musí každý prevádzkovateľ vedieť udelený súhlas preukázať.
Zároveň musí byť obsah a rozsah informácií, ktoré sú dotknutej osobe poskytované, vždy transparentný.
Čo je to profilovanie?
Definícia hovorí, že je to „akákoľvek forma automatizovaného spracúvania osobných údajov, ktoré pozostáva z použitia týchto osobných údajov na vyhodnotenie určitých osobných aspektov týkajúcich sa fyzickej osoby, predovšetkým analýzy alebo predvídania aspektov dotknutej fyzickej osoby súvisiacich s výkonnosťou v práci, majetkovými pomermi, zdravím, osobnými preferenciami, záujmami, spoľahlivosťou, správaním, polohou alebo pohybom.“
Preto, keď napríklad svojich zákazníkov zatrieďujete do skupín podľa veku alebo miesta, aby ste získali štatistický prehľad o tom, kto (v akej vekovej kategórii) a odkiaľ u vás nakupuje, obvykle neprofilujete. Aj napriek tomu, že spracúvate osobné údaje automatizovane, nevyhodnocujete ich osobnostné aspekty povedzme s cieľom predvídania ich nákupného správania v budúcnosti. Preto o profilovanie nejde.
Dva rôzne účely spracúvania
Vráťme sa však nášmu príkladu prevádzkovateľa vernostného programu.
Vidíme, že prevádzkovateľ spracúval osobné údaje pre dva samostatné účely:
- Realizácia vernostného programu a poskytovanie výhod jeho členom
- Profilovanie členov s cieľom poskytovania personalizovných reklám a marketingových kampaní.
Každý účel preto musí byť podložený samostatným právnym základom, aby bolo spracúvanie zákonné.
Kameň úrazu
Pri registrácii do vernostného programu prostredníctvom webovej stránky, sa však dotknutej osobe v časti s názvom „Využite svoje osobné výhody“ viditeľne hneď nezobrazovala žiadna výrazná informácia o tom, že „osobné výhody“ sa týkajú spracúvania osobných údajov na účely profilovania. Prevádzkovateľ do tejto časti informácii vložil len odkaz na všeobecné obchodné podmienky, ktoré obsahovali aj zásady spracúvania osobných údajov. Až v ďalšej časti, po posunutí textu nadol, prevádzkovateľ uviedol odkaz na spracúvanie osobných údajov prostredníctvom profilovania. Informácie o profilovaní tak dotknutej osobe neboli k dispozícii v ľahko prístupnej, jasnej, stručnej a zrozumiteľnej forme. Z tejto formy získavania osobných údajov tak dotknutá osoba mohla nadobudnúť dojem, že poskytuje svoje osobné údaje len za účelom získania „exkluzívnych výhod a propagačných akcií“. Nie za účelom jej profilovania. Súhlas s profilovaním nebol získaný v súlade s nariadením, a preto nebol platný.
Prevádzkovateľ získaval osobné údaje aj v kamenných predajniach partnerov, a to prostredníctvom brožúr. Tieto obsahovali registračné formuláre pre účasť vo vernostnom programe. Aj tento text bol však nešťastne formulovaný. Priemerný užívateľ vernostného programu mohol byť totiž uvedený do omylu, keď podpisom registračného formulára predpokladal, že udeľuje súhlas k spracúvaniu jeho osobných údajov za účelom členstva v programe, nie za účelom jeho profilovania.
Následne boli všetky spracovateľské operácie prevádzkovateľa, ktoré vykonával v súvislosti s profilovaním, nezákonné.
Celý dokument si môžete prečítať na adrese: https://www.ris.bka.gv.at/Dokumente/Bvwg/BVWGT_20240607_W256_2246230_1_00/BVWGT_20240607_W256_2246230_1_00.html
Čo urobiť, aby ste sa neocitli v podobnej situácii?
Ak ste prevádzkovateľom vernostného programu, ktorého súčasťou je aj to, že profilujete svojich zákazníkov, aby ste im mohli poskytnúť napríklad reklamu „na mieru“ (na základe ich predchádzajúcich nákupov) potom si preverte toto:
- Či viete preukázať súhlas so spracúvaním osobných údajov za účelom členstva vo vernostnom programe.
- Či viete preukázať súhlas s profilovaním členov vernostného programu.
- Či súhlasy, na základe ktorých spracúvate osobné údaje skutočne spĺňajú požiadavky GDPR.
- Za súhlas s profilovaním nie je považované, keď záujemca o členstvo vo vernostnom programe len odklikne resp. potvrdí, že sa oboznámil so všeobecnými obchodnými podmienkami, ktorých súčasťou je aj informácia o profilovaní na základe súhlasu.
- Či aj vy neuvádzate dotknuté osoby do omylu, keď vyplňujú registračný formulár s názvov „Staňte sa členom nášho lákavého vernostného programu a využívajte výhody už dnes“, vy však automaticky údaje z neho využije aj na ich profilovanie. Bez samostatného súhlasu, bez riadneho informovania.