Zaplatit, nebo dát souhlas se zpracováním svých údajů pro behaviorální marketing? Nové pokyny Evropského sboru pro ochranu osobních údajů pro tento model velkých online platforem

28. 7. 2024

Evropský sbor pro ochranu osobních údajů („Sbor“) 17. dubna 2024 přijal pokyny číslo 8/2024[1] k platnosti souhlasu v rámci modelu „souhlas, nebo zaplať“. Vyjádření Sboru k této otázce si v lednu 2024 vyžádaly dozorové úřady Německa, Nizozemska a Norska, a to na základě článku 64 odstavce 2 obecného nařízení. Komu jsou pokyny určeny? Pokyny jsou určeny zejména velkým online platformám. Sbor reaguje na aktuální vývoj, kdy stále více online platforem staví své uživatele před volbu buď zaplatit poplatek za užívání služby, nebo udělit souhlas se zpracováním osobních údajů pro účel behaviorálního marketingu. Mezi českými doménami nedávno tento model začal používat Seznam.cz.[2] Obecné nařízení pojem „online platforma“ nedefinuje, Sbor se proto odkazuje na definici obsaženou v článku 3 písm. i) nařízení o digitálních službách.[3] Velkou online platformu Sbor definuje[4] rámcově jako platformu, která má velký počet uživatelů (subjektů údajů),[5] významné postavení na trhu a provádí rozsáhlá zpracování osobních údajů. Mohou sem spadat „velmi velké online platformy“ a „strážci přístupu“ podle jiných předpisů EU.[6] Behaviorální marketing, jenž patří do cílené reklamy, zažil dynamický rozvoj zejména v online prostředí. Vychází z analýzy chování zákazníků. Základem je detailní profilování chování uživatele v síti, a to včetně údajů získaných od třetích stran nebo z offline prostředí. Behaviorální marketing je tak nutno považovat za obzvlášť […]

Úřad pro ochranu osobních údajů i americká Federální obchodní komise uložily rekordní pokuty společnosti Avast za nakládání s osobními údaji svých zákazníků

27. 6. 2024

II. část Pokutu ve výši 351 milionu Kč uložil společnosti Avast podle již pravomocného rozhodnutí Úřad pro ochranu osobních údajů (ÚOOÚ) za neoprávněné zacházení s osobními údaji získanými prostřednictvím antivirového programu, respektive rozšířením prohlížeče. Ze stejného důvodu uložila této společnosti pokutu ve výši 16,5 milionu dolarů (cca 385 milionů Kč) také americká Federální obchodní komise (dále FTC). Jak Úřad své rozhodnutí odůvodnil, jsme rozebírali už v květnovém čísle DPO PRO na str. 4–6. Tady je pokračování. Neinformování subjektů údajů Druhé zásadní porušení ÚOOÚ konstatoval ve vztahu k čl. 13, odst. 1 písm. c) obecného nařízení, tedy přestupek podle § 62 odst. 1 písm. c) zákona o zpracování osobních údajů. Společnost Avast nedostatečně informovala své klienty o účelech zpracování a právním základu zpracování jejich osobn . . .

Úřad pro ochranu osobních údajů a americká Federální obchodní komise uložily rekordní pokuty společnosti Avast za nakládání s osobními údaji svých zákazníků

27. 5. 2024

I. část Pokutu ve výši 351 milionu Kč uložil společnosti Avast[1] podle již pravomocného rozhodnutí Úřad pro ochranu osobních údajů (ÚOOÚ) za neoprávněné zacházení s osobními údaji získanými prostřednictvím antivirového programu, respektive rozšířením prohlížeče. Ze stejného důvodu uložila této společnosti pokutu ve výši 16,5 milionu dolarů (cca 385 milionů Kč)[2] také americká Federální obchodní komise (dále FTC). K pokutě uložené orgány USA se společnost Avast již vyjádřila v tom smyslu, že ji uhradí, přestože nesouhlasí s tvrzeními FTC.[3] ÚOOÚ zahájil šetření v roce 2020 na základě informací zveřejněných v médiích a na základě podnětu ze dne 22. 2. 2020.[4] Délka řízení byla ovlivn . . .

Pokyny Sboru pro ochranu osobních údajů k virtuálním hlasovým asistentům

27. 3. 2024

V roce 2021 vydal Evropský sbor pro ochranu osobních údajů (dále „Sbor“) pokyny k virtuálním hlasovým asistentům.[1] Jde o technologii, která se velmi rychle prosazuje a s níž se pojí několik specifik ochrany osobních údajů. Nástup umělé inteligence do této oblasti používání virtuálních hlasových asistentů dynamicky mění. Virtuální hlasový asistent je softwarová aplikace na zařízení vybaveném mikrofonem a reproduktorem. Slouží jako prostředník mezi uživatelem, zařízeními a online službami. Asistent rozpoznává hlasové příkazy a na jejich základě může provádět velmi širokou paletu funkcí. Bývá součástí chytrého telefonu, auta, tabletu či jiného zařízení. V rámci internetu věcí pak může být napojen na řadu dalších prvků chytré domácnosti. Výhodou je přirozenost interakce, jednoduchost ovládání, rychlejší přístup k informacím. Předpokládá se, že v roce 2024 počet hlasových asistentů překro . . .

Smluvní klauzule o ochraně osobních údajů mezi Soudním dvorem EU a společností Cisco

28. 2. 2024

Tentokráte se nepozastavíme nad judikaturou, ale nad provozními záležitostmi soudu, konkrétně Soudního dvora EU (SD EU). Evropský sbor pro ochranu osobních údajů (Sbor) v červenci 2023 vydal rozhodnutí, ve kterém se po několikaleté komunikaci se SD EU vyjádřil k příslušným klauzulím smlouvy mezi SD EU a společností Cisco Systems Inc. (dále jen „Cisco“).[1] Celý proces spustila žádost SD EU o rozhodnutí Sboru ve věci případného předávání osobních údajů na základě uvedené smlouvy. Současné rozhodnutí navazuje na předchozí dočasná rozhodnutí,[2] která obsahovala podmínky, jejichž splnění se vyžadovalo k plnému souladu s Nařízením Evropského parlamentu a Rady (EU) 2018/1725[3] o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále „nařízení“). Sbor nevedl šetření na m . . .

Francouzský dozorový úřad radí náborářům

28. 9. 2023

Francouzský dozorový úřad (Commission Nationale de l’Informatique et des Libertés, dále CNIL) vydal letos 30. ledna návod pro náboráře a personalisty zaměřený na standardy ochrany osobních údajů v souvislosti s výběrem a najímáním nových zaměstnanců.[1] Při náborech dochází ke zpracování velkého množství údajů více osob Nábor zaměstnanců je proces, při kterém dochází ke zpracování velkého množství údajů více osob. Nepřekvapí proto, že se tímto tématem CNIL zabýval už dříve, konkrétně v roce 2002.[2] Technologický posun a další změny v následujících 20 letech vedly k silnému zájmu odborné veřejnosti o nová vodítka k ochraně osobních údajů. Není snad ani třeba připomínat změnu právního prostředí díky nové evropské úpravě. Nové technologie přinesly nové možnosti náboru např. prostřednictvím sociálních sítí, personalizované reklamy a specializovaných vyhledávacích programů. Běžně se využívají nové formy komunikace. Kromě videokonferenčních hovorů jde o chatboty, různé mobilní aplikace a další nástroje. Mnohem snáze lze vytvořit velkou databázi údajů. Tu pak může zpracovat umělá inteligence nebo jiný nástroj, který na základě dostupných informací vyhodnotí „umění žít“ či tzv. měkké dovednosti kandidátů. Všechny tyto nové prvky s sebou nesou rizika narušení soukromí uchazečů o práci. Příručka CNIL se zaměřila na všechny fáze náboru Příručka je rozdělena na dvě poloviny. První připomíná základy právní úpravy ochrany osobních údajů. Druhá […]

Francouzský dozorový úřad udělil vysokou pokutu kvůli cookies

28. 4. 2023

Dne 19. prosince 2022 vydal francouzský dozorový úřad (CNIL, Commission nationale de l’informatique) rozhodnutí o udělení pokuty ve výši 60 milionů euro společnosti Microsoft Ireland Operations Limited. Hlavním porušením zákonných ustanovení na ochranu osobních údajů byla špatně nastavená možnost odmítnout cookies, neboť jejich odmítnutí nebylo stejně snadné jako přijetí.[1] Francouzský dozorový úřad věc šetřil na základě stížnosti na podmínky uchovávání cookies na stránce bing.com, tedy prohlížeče vyvinutého společností Microsoft. Opakovaná šetření na této stránce proběhla v září 2020 a v květnu 2021. Francouzský dozorový úřad získal doklady o tom, že se na terminál stránky prohlížeče bez souhlasu uživatelů ukládaly cookies. Ty byly dále využity mimo jiné k marketingovým účelům. Stránka rovněž neumožňovala, aby uživatel ukládání cookies odmítl stejně jednoduše, jako by je přijal. Vedle možnosti souhlasu nebylo hned na první stránce tla . . .

Francouzský dozorový úřad vydal doporučení k ověřování věku na internetu

29. 12. 2022

Francouzský dozorový úřad (CNIL) vydal v září po předchozím průzkumu svá doporučení k metodám ověřování věku na internetu, a to zejména na stránkách s pornografickým obsahem.[1] U pornografického obsahu totiž francouzský trestní zákoník ověření věku[2] vyžaduje. Zde nestačí pouhé prohlášení uživatele, že už mu bylo 18 let. Zavést účinné ověření věku internetového uživatele nařídil několika pornografickým stránkám předsedající Regulačního úřadu pro audiovizuální a digitální komunikaci (Arcom) v prosinci 2021. Když se v březnu 2022 ukázalo, že tento příkaz nebyl splněn, požádal předsedající Arcom pařížský soud o vydání příkazu k zablokování příslušných pornografických stránek. Nejde jen o stránky s lechtivým obsahem Ověřování věku je potřeba také při nákupu alkoholu, tabákových výrobků,[3] sázení, hraní hazardních a některých dalších her,[4] věk ověřují i některé bankovní služby, a to i na síti. Některé služby mají zase věková omezení daná smluvně (poměrná část dětí nemůže měnit nastavení aplikace). CNIL: Mechanismy nadměrně zasahují do soukromí a lze je zároveň obejít Podle základního zjištění CNIL ale nejčastěji používané mechanismy nadměrně zasahují do soukromí uživatele a zároveň je lze obejít. Stačí použít VPN, která „umístí“ uživatele do jiné země, která nemá takové právní nároky na ověřování věku. Některé pornografické stránky dokonce nabízí VPN službu. Mantinely jsou poměrně úzké. Na jedné straně má provozovatel stránky povinnost […]

Španělsko a jeho problém s únikem informací a fotografií z policejní databáze: Jak o případu rozhodl Evropský soud pro lidská práva?

27. 11. 2022

Evropský soud pro lidská práva (ESLP) ve Štrasburku vydal 28. června rozsudek ve věci M.D. a další proti Španělsku. Žaloba se týkala i práva na soukromí podle článku 8 Evropské úmluvy o ochraně základních lidských práv a svobod. Vymezení věci Žalobu podalo celkem 20 osob, soudců a smírčích soudců ze španělského Katalánska. V únoru 2014 podepsali manifest, který obsahoval právní argumentaci ve prospěch možnosti, aby obyvatelé Katalánska uplatnili své „právo na rozhodování“ či sebeurčení v rámci španělské ústavy a mezinárodních právních norem, tedy, že by případné referendum bylo legální. Dne 3. března 2014 noviny La Razón otiskly článek s titulkem „Spiknutí 33 separatistických soudců“, ve kterém se objevily fotografie a osobní údaje všech signatářů manifestu, a to jméno, příjmení, informace, u kterého soudu pracují, a komentáře k jejich politickým názorům. Žalobci se domnívali, že fotografie a osobn . . .

Dozorové úřady hodlají úžeji spolupracovat na strategických případech. Případ Vinted UAB může být vzorem

28. 7. 2022

Evropský sbor pro ochranu osobních údajů (Sbor) vydal za čtyři roky své existence již 57 vodítek a šest doporučení. Dozorové úřady v něm zastoupené uložily do konce roku 2021 pokuty v souhrnné výši 1,55 miliardy eur.[1] Užší spolupráce na dubnovém jednání Na letošním zasedání Sboru ve Vídni, které se konalo ve dnech 27. – 28. dubna se úřady dohodly, že každoročně určí několik strategicky významných případů přesahujících hranice jednoho členského státu EU. Strategicky významné jsou např. případy, které se týkají velkého počtu subjektů osobních údajů v Evropském hospodářském prostoru nebo takové, kde se jedná o strukturální či opakující se problém v několika členských státech nebo o situaci, kdy se ochrana osobních údajů protíná s jinými oblastmi práva.[2] U takových . . .