Ірландська комісія із захисту даних (DPC) оголосила про штраф €11 млн для MTCH Technology Services Limited, компанії, що відповідає за сервіс знайомств Tinder. За висновками регулятора, інструмент завантаження персональних даних видавав користувачам неповні копії, не пояснюючи обмеження вивантаження. Перевірка стосувалася інструмента Download My Data — «Завантажити мої дані».
Деякі категорії інформації були відсутні без повідомлення користувача, інші надавалися лише в узагальненому вигляді. У досліджений період інструментом скористалися десятки тисяч людей. Йдеться про неповне надання інформації за запитом, а не про витік даних.
Які саме категорії були відсутні у вивантаженнях, у повідомленні DPC не перелічено. Повний текст рішення регулятор обіцяє опублікувати пізніше. Для користувачів у ЄС, включно з українцями, право доступу означає більше, ніж можливість переглянути власну анкету.
Як пояснює Єврокомісія, людина може запросити копію оброблюваних персональних даних та інформацію про цілі обробки, категорії даних і отримувачів. Перша копія надається безкоштовно. Це чинне право, а не нова можливість, що з'явилася після штрафу Tinder.
Сервіс може пропонувати скорочене автоматичне вивантаження, якщо ясно пояснює його обмеження. Але таке вивантаження не скасовує права користувача запросити копію оброблюваних персональних даних відповідно до Загального регламенту ЄС із захисту даних (GDPR). Про підсумки перевірки DPC повідомила 13 листопада.
Окрім штрафу, компанія отримала припис привести обробку даних у відповідність до вимог протягом трьох місяців. Сама Match Group у фінансовій звітності зазначає, що рішення винесено 13 жовтня, і заявляє про намір його оскаржити. Компанія також відобразила резерв $12,6 млн за цією справою — це бухгалтерське визнання витрат, а не додатковий штраф чи підтвердження вже здійсненої виплати.
У своїй довідці Tinder зазначає, що вивантаження може включати відомості профілю, активність повідомлень, свайпів і збігів, а також інформацію про покупки та підписки. Цей перелік описує можливий вміст архіву, а не категорії, пропущені у випадках, вивчених регулятором. Щоб запросити архів, потрібно увійти в інструмент керування обліковим записом, вибрати Download My Information і вказати електронну пошту для отримання посилання.
Якщо обліковий запис видалено або доступ до нього втрачено, Tinder пропонує звернутися через форму запиту з питань персональних даних. Якщо відповідь здається неповною, можна надіслати уточнюючий запит, зазначивши, яких відомостей не вистачає. За роз'ясненнями Європейської ради із захисту даних, організація повинна відповісти без невиправданої затримки, не пізніше місяця після отримання запиту.
У разі складності запиту термін може бути продовжений ще на два місяці, але про це необхідно повідомити протягом першого місяця. Право доступу має обмеження, зокрема для захисту прав інших людей. Якщо користувач вважає, що його право порушено, він може подати скаргу до органу із захисту персональних даних.
За матеріалами: ірландської комісії DPC, звітності Match Group, Tinder, Єврокомісії.
