Francuski organ nadzoru ds. prywatności CNIL ukarał firmę CRITEO karą w wysokości 40 mln euro.
Czym się zajmowała firma?
CRITEO specjalizuje się w „reklamowym retargetingu”, który polega na śledzeniu nawigacji internautów w celu wyświetlenia im spersonalizowanych reklam. W tym celu firma zbiera dane przeglądania od użytkowników Internetu za pomocą pliku cookie CRITEO, który jest przechowywany na ich urządzeniach końcowych, gdy odwiedzają oni niektóre witryny partnerów CRITEO. Za pomocą tego modułu śledzącego firma ta analizuje nawyki przeglądania w celu ustalenia, dla którego reklamodawcy i dla jakiego produktu wyświetlenie reklamy konkretnemu użytkownikowi Internetu byłoby najbardziej odpowiednie. Następnie bierze udział w licytacji w czasie rzeczywistym, a następnie, jeśli wygra aukcję, wyświetla spersonalizowaną reklamę.
Za co firma została ukarana?
Naruszenie obowiązku wykazania, że osoba wyraziła zgodę (art. 7 ust. 1 RODO)
Zgodnie z prawem znacznik CRITEO (cookie) służący do targetowania reklam nie może zostać umieszczony na urządzeniu końcowym internauty bez jego zgody. Za zebranie tej zgody odpowiadają partnerzy firmy, którzy mają bezpośredni kontakt z internautami. Nie zwalnia to jednak CRITEO z obowiązku weryfikacji i możliwości wykazania, że użytkownicy Internetu wyrazili na to zgodę. Okazało się jednak, że znacznik CRITEO (cookie) został zdeponowany przez kilku partnerów firmy w terminalach internautów bez ich zgody.
Naruszenie obowiązku informacyjnego i przejrzystości (art. 12 i 13 RODO)
Polityka prywatności firmy nie była kompletna, ponieważ nie obejmowała wszystkich celów przetwarzania. Ponadto niektóre cele zostały wyrażone w sposób niejasny i ogólny, co nie pozwalało użytkownikowi dokładnie zrozumieć, jakie dane osobowe są wykorzystywane i do jakich celów.
Od tego czasu firma uzupełniła swoją politykę prywatności, aby zawierała brakujące informacje oraz używała prostych i zrozumiałych terminów.
Naruszenie prawa dostępu (art. 15 ust. 1 RODO)
Gdy dana osoba skorzystała z prawa dostępu, firma przesyłała jej w formie tabel dane wyodrębnione 3 z 6 tabel składających się na jej bazę danych. CNIL zauważył jednak, że dane osobowe zawarte w 2 z 3 innych tabel powinny także zostać przekazane osobom. Ponadto, gdy CRITEO przekazało te tabele, nie dostarczyło im wystarczających informacji, aby umożliwić im zrozumienie ich treści.
Nierespektowania prawa do wycofania zgody i usunięcia danych (art. 7 ust. 3 i 17 ust. 1 RODO)
Gdy osoba skorzystała z prawa do wycofania zgody lub usunięcia swoich danych, wdrożony przez firmę proces skutkował jedynie zaprzestaniem wyświetlania użytkownikowi spersonalizowanych reklam. Firma nie przystąpiła jednak do usunięcia identyfikatora nadanego tej osobie, ani do usunięcia zdarzeń przeglądania powiązanych z tym identyfikatorem.
Naruszenie obowiązku zawarcia umowy między współadministratorami (art. 26 RODO)
Umowa zawarta przez spółkę z jej partnerami nie określała niektórych odpowiednich obowiązków administratorów danych w odniesieniu do wymagań zawartych w RODO, takich jak wykonywanie przez osoby, których dane dotyczą, ich praw, obowiązek zgłoszenia naruszenia ochrony danych organowi nadzorczemu i zainteresowanym osobom lub, jeśli to konieczne, przeprowadzenie analizy wpływu na podstawie art. 35 RODO.
Jak możemy pomóc?
Zachęcamy do skorzystania z audytu strony internetowej, w tym stosowanych cookie! Możemy także zaproponować konsultacje planowanych akcji marketingowych, audyt już stworzonych baz danych lub prowadzonych działań, a także stałe wsparcie. Zapraszamy do zapoznania się z naszą ofertą (kliknij tutaj po ofertę). Żeby zacząć współpracę wystarczy się z nami skontaktować (kliknij tutaj)!
