Підстава для накладення штрафу
На початку липня Vinted UAB, яка надає платформу для продажу вживаного одягу, отримала адміністративний штраф у розмірі 2 300 000,00 євро. Штраф був накладений литовським наглядовим органом. Провадження було розпочато після скарг користувачів веб-сайту.
Користувачі вказали на нездатність компанії реалізувати їхні права, зокрема право на доступ до своїх персональних даних та право бути забутим. Крім того, компанію критикували за твердження, що хоча вхід на платформу простий та інтуїтивно зрозумілий, виведення коштів після покупки є складним, і що платформа вимагає надання численних додаткових персональних даних, включаючи скан посвідчення особи.
Цей випадок чітко демонструє, що навіть великі компанії досі не мають належного підходу до захисту даних. Нездійснення прав суб'єкта даних тягне за собою вищий рівень штрафів, тобто до 20 мільйонів євро, або, у випадку компанії, до 4% від її загального річного світового обороту за попередній фінансовий рік, залежно від того, що більше.
Права суб'єкта даних
Слід нагадати, що особи, чиї дані обробляються, мають такі права:
- право на отримання інформації (стаття 12 GDPR),
- право доступу до персональних даних, включаючи отримання їх копії у машинозчитуваній формі (стаття 15 GDPR),
- право на виправлення даних, якщо вони є неправильними або неповними, включаючи їх оновлення (стаття 16 GDPR),
- право на видалення даних, якщо немає інших підстав для подальшої обробки (стаття 17 GDPR),
- право обмежувати обробку даних (стаття 18 GDPR),
- право на перенесення даних (стаття 20 GDPR)
- право заперечувати проти обробки даних та право не підлягати автоматизованому прийняттю рішень, включаючи профілювання (статті 21 та 22 GDPR).
Суб'єкти даних мають право знати, як і для яких цілей контролер обробляє їхні персональні дані, та мати над цим контроль. Контролер повинен бути технічно та організаційно готовим до реалізації кожного з цих прав.
Принцип мінімізації даних
Слід зазначити, що контролеру заборонено збирати надлишкові дані, так звані «на всяк випадок», або дані, призначені для подальшого використання. Персональні дані, відповідно до принципу мінімізації даних, повинні збиратися лише в обсязі, необхідному для досягнення певної мети. Сканування посвідчень особи, перш за все, передбачає обробку додаткових даних, включаючи зображення, імена батьків, номер PESEL та номер документа, які не є необхідними для переказу коштів. Якщо їхня конфіденційність порушується, ці дані становлять високий ризик порушення прав і свобод суб’єкта даних, зокрема крадіжки особистих даних або можливості виникнення фінансових зобов’язань.
Відповідно до принципу конфіденційності за принципом проектування , контролер повинен завжди розробляти свої процеси таким чином, щоб захистити обробку з самого початку та гарантувати конфіденційність суб’єктів даних. Кожна дія з обробки також повинна бути підкріплена правовою основою, як зазначено у статті 6 GDPR.
Підхід, що ґрунтується на ризиках
Цей випадок чітко демонструє, що обізнаність осіб щодо обробки їхніх персональних даних постійно зростає, що слід вважати позитивним явищем. Суб'єкти даних, помічаючи порушення в обробці своїх даних, повідомляють про ці ситуації наглядовому органу. Для контролерів даних це означає, що вони повинні переглянути свої процеси обробки та перевірити, чи діють вони на будь-якому етапі з порушенням GDPR, відповідно до фундаментального принципу ризик-орієнтованого підходу.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Правовий статус станом на 24 липня 2024 року.
автор:
