L’autoritat francesa de protecció de dades sanciona Google amb 50 milions d’euros per falta de transparència i de consentiment vàlid en la publicitat personalitzada.
El 21 de gener del 2019, la CNIL, l’autoritat francesa de protecció de dades, va anunciar una multa de 50 milions d’euros a Google. Segons la resolució, l’empresa va incomplir el Reglament general de protecció de dades (RGPD) per falta de transparència, per informació insuficient als usuaris i per no obtenir un consentiment vàlid per personalitzar els anuncis. La sanció respon a queixes presentades per l’associació La Quadrature du Net, en nom d’unes 10.000 persones, i per l’organització noyb, fundada per Max Schrems.
El RGPD és aplicable des del 25 de maig del 2018 i permet sancions de fins al 4 % de la facturació mundial anual del grup o 20 milions d’euros, segons la xifra que resulti més gran. Els 50 milions queden molt per sota d’aquest topall, però és la primera vegada que una autoritat europea sanciona amb el nou marc una gran plataforma d’internet, i això la converteix en una referència.
Què retreu l’autoritat
La CNIL considera que la informació essencial sobre com s’usen les dades per a la publicitat personalitzada està repartida en diversos documents i és difícil de trobar i d’entendre. També entén que el consentiment que s’obtenia no era específic ni inequívoc, requisits que el Reglament exigeix perquè una persona accepti de debò que es tractin les seves dades amb una finalitat concreta.
L’enfocament és rellevant perquè no discuteix que es faci publicitat personalitzada, sinó la manera d’informar i de demanar permís. El missatge per al mercat és que un consentiment global, que s’accepta d’un sol cop per a molts usos diferents, difícilment compleix el que exigeix la norma, tot i que el servei sigui gratuït i la plataforma tingui una gran base d’usuaris.
Què significa a Espanya
A Espanya, el RGPD es complementa amb la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals, i l’autoritat competent és l’Agència Espanyola de Protecció de Dades. Les obligacions són les mateixes per a una multinacional que per a una pime: informar amb claredat, tenir una base legal per a cada ús i poder demostrar el consentiment quan aquest és la base triada.
Això afecta més empreses de les que se sol pensar: qualsevol web amb formularis, butlletins, galetes de seguiment o campanyes de màrqueting tracta dades personals. La sanció no depèn de la mida de l’empresa en termes absoluts, sinó de la gravetat de la infracció, de la durada i de la diligència mostrada, i a les pimes els errors més freqüents són senzills: textos poc clars, caselles ja marcades o consentiments sense registre.
Què convé revisar
Un repàs pràctic comença pel registre d’activitats de tractament: quines dades es recullen, per a què i amb quina base legal. Després, els textos informatius a la web, als formularis i als contractes, que han de ser clars i estar a l’abast. I, finalment, com es recull i es guarda el consentiment per a màrqueting i galetes, i si els proveïdors que tracten dades per compte de l’empresa tenen el contracte exigit.
No cal una gran estructura per fer-ho bé, però sí constància: documentar el que es fa i revisar-ho quan canvia el servei o l’eina utilitzada. Un assessor especialitzat pot ajudar a prioritzar segons el tipus de dades i el volum de tractament de cada empresa. Una mesura útil i poc costosa és nomenar una persona de referència per a la protecció de dades, encara que no sigui obligatori un delegat, de manera que algú respongui de mantenir al dia els registres, atendre les sol·licituds dels usuaris i vigilar els canvis.
La protecció de dades es demostra amb documents i processos, no només amb bones intencions.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
