Dwa miliony dla amerykańskiego brokera danych: prawnie uzasadniony interes nie obejmuje sprzedaży kontaktów

Skąd pochodziły dane

Spółka zbierała informacje z wielu źródeł: scrapingu z serwisów społecznościowych i zakupu od innych brokerów danych. Następnie udostępniała je klientom platformy do celów handlowych lub antyfraudowych. Wśród dostępnych informacji znajdowały się dane wysokich funkcjonariuszy instytucji, urzędników administracji publicznej, funkcjonariuszy służb i sędziów.

To właśnie odróżnia tę decyzję od typowych spraw marketingowych: żadna z tych osób nigdy nie miała relacji ze spółką i żadna nie wiedziała, że figuruje w katalogu na sprzedaż.

Co zarzucił organ

• Naruszenie zasad zgodności z prawem, rzetelności i przejrzystości
• Naruszenie zasady minimalizacji danych
• Informacja ani jasna, ani łatwo dostępna dla osób, których dane dotyczą
• Brak odpowiedniej podstawy prawnej: prawnie uzasadniony interes nie został uznany za właściwą podstawę tego przetwarzania

Odrzucenie prawnie uzasadnionego interesu to część wykraczająca poza tę sprawę. Handel danymi opiera się na niej od lat: zbieram publicznie dostępne dane zawodowe, wzbogacam je, odsprzedaję i uznaję swój interes handlowy za przeważający. Organ mówi, że to wyważenie nie broni się, gdy osoba nie ma żadnej relacji z administratorem, nie może rozsądnie spodziewać się przetwarzania i nie otrzymuje zrozumiałej informacji.

Spółka jest amerykańska, i co z tego?

Lusha nie ma jednostki we Włoszech i to jej nie ochroniło. Decyzja jest przykładem eksterytorialnego zasięgu rozporządzenia: gdy przetwarzanie dotyczy osób przebywających w Unii i wiąże się z oferowaniem usług lub monitorowaniem ich zachowania, przepisy stosuje się niezależnie od siedziby administratora.

Poza karą organ zakazał spółce przetwarzania danych osób przebywających we Włoszech i nakazał usunięcie danych zebranych bezprawnie.

Co zmienia się w praktyce

• Oświadczenie umowne, że „dane zbierane są zgodnie z RODO”, nie jest dowodem, tylko obietnicą
• Obowiązek poinformowania osoby w ciągu miesiąca, gdy dane nie pochodzą od niej, spoczywa na tym, kto ich używa
• Jeśli dostawcę obejmie zakaz przetwarzania, dane już pobrane nie stają się legalne dlatego, że pobrano je wcześniej
• Dla każdej używanej platformy warto sprawdzić, czy zapadły wobec niej decyzje organów europejskich: są jawne

Rynek zawodowych danych kontaktowych wyrósł w szarej strefie między „danymi publicznymi” a „danymi swobodnie używalnymi”, a to nie to samo. Ta decyzja należy do najjaśniejszych w stwierdzeniu, że publicznie dostępne nie znaczy dostępne do odsprzedaży.