Ar Lietuvos verslai žino, kaip tinkamai tvarkyti pirkėjų vietos duomenis? Šis klausimas itin aktualus dabar, kai įmonės ruošiasi lapkričio išpardavimams ir kalėdinei prekybai. Planuojamose kampanijose vietos duomenys gali padėti pirkėjui rasti artimiausią parduotuvę arba pritaikyti jam reklamą.
Tačiau neseniai „Google“ skirta 403 mln. eurų bauda už vietos duomenų tvarkymo pažeidimus priminė, kad įmonės turi aiškiai informuoti žmones, kam jų buvimo vietos duomenys naudojami, ir saugoti juos tik tiek, kiek būtina. Į ką atkreipti dėmesį Lietuvos verslams, kad panašių situacijų būtų išvengta?
Vietos duomenys, susieti su konkrečiu žmogumi, jo paskyra ar atpažįstamu įrenginiu, laikomi asmens duomenimis. Todėl verslui svarbu įvertinti ne tik tai, kokiu tikslu jie renkami, bet ir kiek tikslūs duomenys tam tikslui būtini: ar vieta nustatoma vieną kartą, ar nuolat, ar kaupiama žmogaus judėjimo istorija. BDAR reikalauja rinkti tik konkrečiam tikslui būtinus duomenis.
Ar parduotuvei tikrai reikia tikslios pirkėjo vietos?
Pirmiausia reikėtų įvertinti, kokios informacijos pakanka pirkėjo pasirinktai funkcijai. Prekių pasiūlai konkrečiame mieste paprastai pakanka miesto, o ne tikslių koordinačių. Pristatymui reikia pirkėjo nurodyto adreso, tačiau tai savaime nepateisina prieigos prie telefono vietos. Sutarčiai vykdyti būtiną adresą galima tvarkyti atskiru sutikimu nesiremiant. Pristatant į paštomatą pakanka žinoti pasirinktą paštomatą. Artimiausiai parduotuvei rasti gali užtekti vienkartinio vietos nustatymo, bet ne visos dienos judėjimo istorijos.
Jei vietos prieiga konkrečiai paslaugai nėra objektyviai būtina, įprasto apsipirkimo galimybė neturėtų priklausyti nuo tokio leidimo. Pirkėjas turėtų galėti miestą, adresą ar atsiėmimo vietą pasirinkti rankiniu būdu. Atsisakius vietos prieigos gali tapti nepasiekiama nuo jos priklausanti funkcija, bet neturėtų būti ribojama galimybė naudotis paslauga, kuriai vietos duomenys nebūtini.
Leidimas nustatyti vietą – ar kartu ir leidimas reklamai?
Telefono ar naršyklės leidimas suteikia techninę prieigą prie įrenginio vietos. Jis savaime nėra sutikimas vietą naudoti reklamai, profiliavimui ar perduoti partneriams, nors galėtų atlikti sutikimo funkciją, jei atitiktų visus BDAR reikalavimus. Jei vietos duomenys surinkti sutikus tik parduotuvei rasti, jų naudojimui reklaminiam profiliui kurti reikia naujo, konkretaus ir tinkamai informuoto sutikimo. Pirkėjui turi būti aišku, kokie duomenys bus naudojami, su kuo jungiami ir kas juos naudos; skirtingus tikslus turi būti galima pasirinkti atskirai.
Prieigai prie informacijos vartotojo įrenginyje pagal bendrą taisyklę reikia sutikimo pagal Elektroninių ryšių įstatymą, nors numatyta ribotų išimčių. Jei gauta informacija yra asmens duomenys, jos tolesniam tvarkymui atskirai reikia BDAR teisinio pagrindo. Ribotas teisėtai turimų duomenų naudojimas kai kuriais atvejais gali būti grindžiamas teisėtu interesu, įvertinus būtinybę, žmogaus pagrįstus lūkesčius, poveikį jo teisėms ir ryšį su pirminiu tikslu. Tačiau teisėtas interesas nepakeičia sutikimo ten, kur jis būtinas.
IP adresą naudojant tik vartotojo užklausai techniškai perduoti, sutikimo šiai operacijai nereikia. Tačiau pagal IP nustatyto miesto naudojimas profiliui papildyti, interesams vertinti ar reklamos auditorijai sudaryti yra papildomas duomenų tvarkymas, kurio tikslą ir teisinį pagrindą reikia įvertinti atskirai. Apytikslė vieta nėra anoniminė, jei ją galima susieti su nustatytu ar nustatomu žmogumi. Sekimas vien IP adresu taip pat gali patekti į įrenginio informacijos apsaugos taisyklių taikymo sritį, todėl vien slapukų nenaudojimo nepakanka sutikimo poreikiui atmesti.
Kas atsako, kai duomenis renka reklamos ar analitikos partneris?
Prekybininkas negali atsiriboti nuo atsakomybės vien todėl, kad duomenis renka partnerio įrankis – svarbūs realūs šalių sprendimai dėl duomenų rinkimo ir naudojimo. Jei partneris veikia tik pagal prekybininko nurodymus, jis paprastai yra duomenų tvarkytojas, o jų santykius turi apibrėžti BDAR 28 straipsnį atitinkanti sutartis. Jei šalys kartu nustato tikslus ir esmines priemones, jos gali būti bendros duomenų valdytojos. Jei partneris duomenis naudoja savo tikslais, reikia vertinti jo, kaip savarankiško valdytojo, vaidmenį ir perdavimo jam teisėtumą.
ES Teisingumo Teismo byloje „Fashion ID“ išaiškinta, kad svetainės valdytojas gali būti bendras valdytojas dėl lankytojų duomenų surinkimo ir perdavimo įskiepio teikėjui, jei kartu nustato šių veiksmų tikslus ir priemones. Tai taikoma net jei svetainės valdytojas pats nemato perduodamų duomenų, tačiau neapima vėlesnio platformos savarankiško jų naudojimo.
Prieš diegiant įrankį verta išsiaiškinti, kokie duomenys ir kada perduodami, ar partneris juos naudoja savo tikslais, kam atskleidžia, kaip užtikrina ištrynimą ir ar perduoda už Europos ekonominės erdvės ribų.
Išpardavimas baigėsi – kas nutinka surinktiems duomenims?
BDAR nenustato vieno vietos duomenų saugojimo termino – jis turi būti pagrįstas konkrečiu tikslu ir būtinybe. Vienkartinei parduotuvės paieškai panaudotų koordinačių dažnai nebereikia saugoti pateikus rezultatą. Dalį užsakymo duomenų gali tekti saugoti sutarčiai vykdyti, apskaitai ar teisiniams reikalavimams, tačiau tai nesuteikia teisės jų naudoti reklamai. Duomenų perkėlimą į kitą kampaniją reikia pagrįsti tikslu, sutikimo apimtimi ir saugojimo terminu.
Atšaukus sutikimą, juo grindžiamas tvarkymas turi būti nutrauktas; iki tol teisėtai atliktas tvarkymas dėl to netampa neteisėtas. Jei nėra kito pagrindo ar ištrynimo išimties, duomenis reikia nepagrįstai nedelsiant ištrinti – taip pat su žmogumi susietus profilius ir priskyrimus reklamos auditorijoms. Įmonė turi užtikrinti ištrynimą ir tvarkytojų sistemose, o apie jį pranešti duomenų gavėjams, nebent tai neįmanoma ar pareikalautų neproporcingų pastangų. Žmogui nesutikus su tiesiogine rinkodara, duomenų tvarkymą šiuo tikslu reikia nedelsiant nutraukti; priežasčių nurodyti nereikia.
Ką pasitikrinti prieš išpardavimų sezoną?
Kiekvienai funkcijai verta susirašyti, kokie duomenys renkami, kokiu tikslu ir teisiniu pagrindu, kam perduodami ir kada ištrinami. Parduotuvės paieška, pristatymas, analitika ir reklaminis profiliavimas neturėtų būti sujungti į vieną neapibrėžtą tikslą. Reikia patikrinti, ar nebūtinos sekimo technologijos neveikia iki sutikimo, ar atsisakyti taip pat paprasta kaip sutikti, ar sutikimo langas neklaidina ir nestumia rinktis vien „Sutinku“, o vėliau sutikimą lengva atšaukti.
Dar iki kampanijos su partneriais verta susitarti, kas reaguos į pirkėjo prašymus, sustabdys sekimą, pašalins duomenis iš reklamos auditorijų ir patvirtins, kad tai padaryta. Taip pat reikia įvertinti duomenų saugumą, kitų tvarkytojų pasitelkimą ir perdavimo už Europos ekonominės erdvės ribų pagrindą. Patikrinime turėtų dalyvauti teisininkai, rinkodaros ir IT komandos. Poveikio duomenų apsaugai vertinimo nereikia kiekvienai elektroninei parduotuvei, tačiau jo gali prireikti prieš sistemingai stebint vietą, plačiai profiliuojant ar jungiant skirtingus duomenų šaltinius.
Prieš kampaniją verta išbandyti, kokie duomenys perduodami pirkėjui dar nepasirinkus, atsisakius reklamos, leidus tik nustatyti vietą, atšaukus sutikimą ar paprašius duomenis ištrinti. Jei tokios parinktys siūlomos, pirkėjas gali vietoj tikslios vietos įvesti miestą, pasirinkti apytikslę vietą ar ribotą prieigos trukmę. Vietos prieigos išjungimas savaime neištrina anksčiau surinktų duomenų ir neatšaukia reklamos pasirinkimų. Prireikus galima atskirai atšaukti reklamos sutikimą, paprašyti ištrinti duomenis, nesutikti su tiesiogine rinkodara arba kreiptis į Valstybinę duomenų apsaugos inspekciją, jei manoma, kad teisės pažeistos.
