Autoritatea irlandeză pentru protecția datelor (DPC) a aplicat vineri, 13 noiembrie, o amendă GDPR de 11 milioane de euro companiei care administrează Tinder în Uniunea Europeană. Totul pornește de la un buton aparent banal din aplicație, cel prin care utilizatorii își puteau descărca datele personale. Arhiva primită era incompletă, iar aplicația nu le spunea utilizatorilor acest lucru.
Un buton care promitea mai mult decât oferea
Instrumentul se numește „Download My Data”, iar Tinder îl prezenta drept calea prin care utilizatorii își pot obține o copie a datelor. Apăsau un buton și primeau o arhivă cu informațiile pe care aplicația le păstra despre ei.
Ancheta a arătat că unele categorii de date lipseau cu totul din această copie, fără ca utilizatorul să fie anunțat. Altele apăreau doar sub formă de rezumat. Pentru autoritate, asta înseamnă o încălcare a articolului 15 din Regulamentul general privind protecția datelor, care garantează dreptul oricărei persoane de a afla ce date deține o companie despre ea.
Niamh Sweeney, membră a conducerii DPC, a explicat pentru postul public irlandez RTÉ ce găseau, concret, oamenii în arhivă. Puteau vedea, de pildă, de câte ori au glisat la stânga sau la dreapta într-o zi, ora la care s-au conectat ori câte potriviri au avut. Lipseau însă datele analitice, care puteau include genul, coordonatele de latitudine și longitudine sau orașul din care intrau în aplicație.
Zeci de mii de utilizatori au cerut astfel o copie
Potrivit comisarului adjunct Graham Doyle, zeci de mii de oameni au folosit instrumentul în perioada analizată. Doyle a spus că astfel de instrumente automate pot fi o cale utilă și eficientă de acces la date, dar a insistat asupra felului în care sunt prezentate.
„Aceste instrumente pot fi o modalitate utilă și eficientă de a le oferi oamenilor acces la datele lor cu caracter personal, dar trebuie să fie corecte și transparente față de persoanele vizate în ceea ce privește amploarea datelor furnizate”, a declarat Doyle.
Miza ține, așadar, și de transparență. Utilizatorul trebuie să știe dacă primește tot sau doar o parte.
Pe lângă amendă, compania a primit o mustrare oficială și are la dispoziție trei luni ca să-și pună prelucrarea datelor în acord cu legislația europeană. Decizia a fost luată de Des Hogan, Dale Sunderland și Niamh Sweeney, cei trei comisari ai autorității. Textul integral va fi publicat ulterior.
O anchetă care a durat aproape șapte ani
Investigația a fost deschisă din oficiu în ianuarie 2020. Irlanda a condus-o pentru că MTCH Technology Services, compania vizată de decizie, are sediul la Dublin. Compania face parte din grupul american Match Group.
Drumul până la decizie a fost lung. DPC a trimis un prim proiect de decizie în ianuarie 2024, iar compania și-a trimis obiecțiile două luni mai târziu. În iulie 2026, autoritatea a propus o amendă între 8 și 11 milioane de euro, arată rapoartele depuse de Match Group la Comisia americană pentru valori mobiliare (SEC).
În 2024, grupul le spunea investitorilor că expunerea ar putea ajunge la 60 de milioane de dolari. Anul acesta a pus deoparte 9,1 milioane de dolari pentru dosar, iar suma a ajuns ulterior la 12,6 milioane. Raportul pentru trimestrul al treilea mai conține un detaliu. DPC emisese decizia finală încă din 13 octombrie, cu o lună înaintea anunțului public.
Match Group contestă amenda
Proprietarul aplicației a anunțat că va face apel. Un purtător de cuvânt a transmis că Tinder a colaborat cu autoritatea pe toată durata anchetei și că firma își susține măsurile de protecție a vieții private construite pentru utilizatori.
Amenda nu se plătește deocamdată. Potrivit DPC, sancțiunile sale devin plătibile abia după ce le confirmă o instanță, iar pe durata unui apel nu pot fi încasate. Pentru o sumă de această mărime, contestația se judecă la Înalta Curte a Irlandei.
Dosarul Tinder nu este singura anchetă veche încheiată în această toamnă la Dublin. Pe 21 septembrie, aceeași autoritate amendase Google cu 403 milioane de euro pentru felul în care a prelucrat datele de localizare, după o anchetă pornită tot la începutul lui 2020.
Ce înseamnă pentru utilizatorii din România
Dreptul de acces nu este o particularitate irlandeză. Regulamentul se aplică în toată Uniunea Europeană, așa că orice utilizator din România poate cere unei aplicații o copie completă a datelor sale. Compania are, în mod obișnuit, o lună la dispoziție să răspundă, termen care poate fi prelungit în cazurile complicate.
Decizia de la Dublin arată că un buton de export nu ține loc acestei obligații dacă oferă doar o parte din informații fără să o spună. Cine vrea să afle ce adună telefonul despre el poate începe cu ghidul Semnal despre datele pe care le colectează aplicațiile mobile. Pasul următor, pentru cei care vor să renunțe la un cont, este dreptul la ștergerea datelor.
