Jak Google dostosowuje się do RODO?

Przepisy Rozporządzenia ogólnego o ochronie osób fizycznych w związku z przetwarzaniem ich danych osobowych (RODO) miały na celu zwiększenie kontroli nad międzynarodowymi korporacjami, które działając w obszarze nowych technologii, gromadziły ogromne ilości informacji o użytkownikach Internetu i przetwarzały na potrzeby realizacji swoich celów gospodarczych, często przy ograniczonej świadomości osób, których dane dotyczą. Jednym z podmiotów, który musiał dostosować swoje działania do RODO było Google Inc z siedzibą w Mountain View w Kalifornii.

Czy Google powinno wdrożyć RODO?

Biorąc pod uwagę międzynarodowy charakter działalności Google Inc, jak również fakt, że główna siedziba tej spółki znajduje się na terytorium Stanów Zjednoczonych Ameryki, konieczne jest odpowiedzenie sobie na pytanie czy Google musi w ogóle stosować przepisy rozporządzenia o ochronie danych osobowych, czyli aktu prawnego uchwalonego przez Parlament Europejski i stosowanego przede wszystkim na terenie Unii Europejskiej.

Wskazówki dotyczące rozstrzygnięcia tej kwestii mogą zostać odnalezione w treści samego rozporządzenia, które wskazuje, że do jego stosowania zobowiązane są nie tylko podmioty, które mają siedzibę na terenie Unii Europejskiej i przetwarzają dane osobowe, ale także inne organizacje, np. firmy, które mają siedzibę poza terenem Unii Europejskiej, ale kierują swoje usługi do osób na terenie Unii i w tym zakresie przetwarzają dane osobowe osób, które znajdują się na terenie UE. Warto podkreślić, że aby stwierdzić, czy jakaś firma kieruje usługi do osób na terenie UE, wystarczające jest, że reklamuje swoje usługi językach obowiązującym na terenie państw Unii lub umożliwia płatność za swoje usługi za pomocą walut, z których korzystają mieszkańcy poszczególnych państw UE. Należy wskazać, że usługi Google świadczone są również np. w języku Polskim, a użytkownicy mają możliwość uiszczenia opłat za nie w złotych polskich. Tym samym Google kieruje swoje usługi również do obywateli UE, co przesądza o konieczności stosowania RODO.

Jakie dane osobowe przetwarza Google?

Aby spróbować ocenić, do jakich danych osobowych ma dostęp Google, konieczne jest odpowiedzenie sobie na pytanie, w związku z jakimi usługami Google może mieć dostęp do informacji o swoich użytkownikach. Z uwagi na ogromną ilość usług, świadczonych przez tę korporację należy wskazać, że dane osobowe mogą być przetwarzane w związku z :

1. Działaniem przeglądarki internetowej – w takiej sytuacji Google posiada informacje o adresie IP i urządzeniu, z którego korzysta użytkownik oraz dane o wyszukiwanych hasłach. Na jego podstawie algorytmy są w stanie wyświetlać np. proponowane treści bazujące na wpisywanych dotychczas słowach,
2. Obsługą poczty elektronicznej – Google zajmuje się również obsługą (w tym hostingiem) poczty elektronicznej – posiada więc dostęp do kont pocztowych użytkowników. Konta te odpowiadają także za możliwość korzystania z innych usług tej spółki. Dodatkowo, Google może mieć dostęp do treści wysyłanych i odbieranych przez nas wiadomości, gdyż przechowuje je na swoich serwerach
3. Obsługą urządzeń mobilnych – w przypadku urządzeń z systemem android, stworzonym przez Google, do ich pełnego wykorzystywania konieczne jest posiadanie konta Google. Korporacja uzyskuje dostęp do większości danych, które przechowujemy na swoich urządzeniach mobilnych. Należy wskazać, że w ich zakresie mogą znajdować się również dane szczególnej kategorii (tj. dane wrażliwe) takie jak informacje biometryczne czy informacje o stanie zdrowia użytkownika.
4. Wyświetlaniem filmów w Internecie – Google obsługuje portale na których możliwe jest oglądanie w Internecie filmów. W ramach korzystania z tej usługi Google może zapisywać informacje o użytkownikach, tak aby wyświetlać im kolejne, interesujące ich treści.

Profilowanie w celach reklamowych

Istotnym elementem działalności Google, stanowiącym o dużej części przychodów korporacji, jest możliwość wyświetlania użytkownikom dedykowanych reklam. Bazują one na dużej ilości danych, zbieranych o użytkownikach korzystających z komputerów i urządzeń mobilnych. Na ich podstawie algorytmy stworzone przez Google są w stanie wyświetlać spersonalizowane reklamy i proponowane materiały, które mogą spodobać się użytkownikowi. Algorytmy te mogą brać pod uwagę takie kryteria jak język, lokalizacja, dotychczasowa historia korzystania z usług Google czy też inne, wyrażone przez użytkownika preferencje. Należy przy tym wskazać, że proces ten odbywa się bez konieczności ingerencji człowieka i jest w pełni zautomatyzowany.

Obecnie, z uwagi na proces dostosowania Google do RODO, korporacja ta wymaga zgody użytkownika na przetwarzanie jego danych osobowych w celu wyświetlania profilowanych reklam. Dzieje się tak z uwagi na treść przepisów RODO, które wskazują na generalny zakaz oparcia przetwarzania danych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywoływaniu wobec osoby skutków prawnych lub w podobny sposób istotnie wpływaniu na nią. Należy wskazać, że kompleksowe wyświetlanie reklam, obejmujące ocenę wielu czynników dotyczących osoby fizycznej może zostać uznane za istotny wpływ na osobę, wywarty na podstawie zautomatyzowanego przetwarzania danych. Osoba, której dane dotyczą powinna wyrazić osobną, dobrowolną, konkretną, jednoznaczą i świadomą zgodę na przetwarzanie jej danych w tym zakresie. Wydaje się, że Google uwzględniło ten zapis RODO i zmodyfikowało swoje postępowanie w tym zakresie.

Usługi biznesowe Google

Istotnym zagadnieniem dla polskich przedsiębiorców jest możliwość przetwarzania danych osobowych swoich pracowników, klientów lub innych osób, których dane przetwarzane są w toku prowadzonej działalności gospodarczej również za pomocą narzędzi Google. Mogą one obejmować np. możliwość zapisywania danych w dysku chmurowym, korzystania z poczty elektronicznej w celach prowadzenia działalności gospodarczej czy też z arkuszy google umożliwiających tworzenie dokumentów. Należy pamiętać, że w takiej sytuacji google przetwarza nie tylko dane osobowe swoich użytkowników, ale także kontrahentów czy pracowników podmiotu, który wykorzystuje wskazane usługi w ramach swojej pracy. Tym samym konieczne jest zawarcie umowy powierzenia przetwarzania danych osobowych pomiędzy przedsiębiorcą, który powierza dane osobowe (np. w zakresie usług chmurowych) na rzecz Google.

Google wyszło naprzeciw oczekiwaniom użytkowników w tym zakresie i w przypadku korzystania z usług biznesowych G-suite treść dokumentów dotyczących ochrony prywatności została dostosowana do wymogów RODO. Odpowiednie zapisy obejmują m.in. zobowiązanie Google do uczestnictwa w programie Tarcza prywatności. Jest to dobrowolny program, na mocy którego firmy amerykańskie mogą zobowiązać się do przestrzegania unijnych przepisów o ochronie danych osobowych i poddać w tym zakresie ewentualnym kontrolom ze strony amerykańskiego Departamentu Handlu. Dodatkowo, treść zasad ochrony prywatności obejmuje również regulacje odpowiadające treści umowy powierzenia przetwarzania danych osobowych. Tym samym nie jest konieczne podpisywanie odrębnej umowy z Google w tym zakresie, zwłaszcza że RODO przewiduje możliwość jej zawarcia również w formie elektronicznej.

Sprawdź również:

• Wymuszenia na RODO – czego nie musisz zrobić?
• Ochrona danych osobowych a dostęp do informacji publicznej
• Jakie dane pracowników może zbierać pracodawca według RODO?