ÚOOÚ uložil za porušení GDPR pokutu ve výši 351 milionů Kč
Předseda Úřadu pro ochranu osobních údajů potvrdil prvostupňové rozhodnutí, kterým byla společnost Avast Software s.r.o. shledána vinnou ze spáchání přestupku v souvislosti se zpracováním osobních údajů uživatelů antivirového programu Avast. Společnost dle odůvodnění rozhodnutí zejména nedostatečně informovala uživatele o účelu předávání jejich osobních údajů třetí straně a dále jejich osobní údaje předávala bez řádného právního titulu.
Společnost Avast Software s.r.o. předávala v roce 2019 své sesterské společnosti údaje o chování uživatelů antivirového programu na internetu, a to jejich historii on-line vyhledávání a nákupů. Tato sesterská společnost dále zpřístupňovala předaná data marketérům, kterým nabízela vhled do on-line chování spotřebitelů a detailní sledování jejich on-line cesty. Po uveřejnění této „kauzy“ v médiích se jí začal zabývat i ÚOOÚ, podle kterého se jednalo o data řádově 100 milionů uživatelů bezpečnostního doplňku internetových vyhledávačů z celé Evropské unie.
Zatímco společnost argumentovala tím, že údaje byly anonymizovány a využívány k určení obecných internetových trendů a spotřebitelských preferencí, dle ÚOOÚ nebyly nabízené a předávané osobní údaje „o každém kliknutí“ dostatečně anonymizovány a na jejich základě bylo možné subjekt údajů zpětně identifikovat.
Přestože společnost Avast Software s.r.o. ve smlouvě se svou sesterskou společností, které osobní údaje uživatelů předávala, zakázala jakoukoli zpětnou identifikaci konkrétních osob, ÚOOÚ připomněl, že splnění smluvní povinnosti se může domáhat pouze druhá smluvní strana a nikoli subjekty údajů. Zároveň se mohou smluvní strany kdykoli rozhodnout smlouvy změnit nebo zrušit. Smluvní zákaz zpětné identifikace tak dle ÚOOÚ nepostačí pro dostatečnou anonymizaci či pseudonymizaci.
ÚOOÚ sice částečně přisvědčil společnosti, že účelem zpracování osobních údajů byly předem deklarované statistické účely, zároveň však podotkl, že je rozdíl mezi statistickým zpracováním přímo správcem osobních údajů pro vlastní potřeby a jejich poskytnutím třetí osobě, která může na základě poskytnutých dat identifikovat jednotlivé subjekty údajů.
Předseda ÚOOÚ proto potvrdil nejen spáchání přestupku společností, ale i rekordní pokutu ve výši 351 milionů Kč. Připustil, že výše pokuty je nesrovnatelná s pokutami dříve uloženými Úřadem; případ však označil za zcela bezprecedentní mimo jiné i rozsahem údajů a množstvím dotčených subjektů.
Další vývoj v nejen v oblasti ochrany osobních údajů pro Vás nadále sledujeme a budeme Vás o něm informovat. V případě zájmu o podrobnější informace se prosím obraťte na autorky článku nebo na další členy advokátní kanceláře EY Law či týmu EY, se kterými spolupracujete.
Autorky:
