Burger King App: Verspotten Sie Ihre Privatsphäre. Korrigieren wir?

Nachdem Habr buchstäblich an einem Tag eine Reihe von Artikeln über köstliche Food- Tracking-Benutzer von Burger King ( eins , zwei , drei ) veröffentlicht hatte, veröffentlichte der Entwickler der e-Legion-Anwendung einen Antwortbeitrag auf Habr.

Ja, dieses Thema hat ernsthafte Aufregung ausgelöst. Im Moment wurden diese Artikel insgesamt mehr als 230.000 Mal angesehen und es wurden mehr als 1000 Kommentare hinterlassen.

In seinem Artikel versucht der Entwickler, die Argumente eines jungen Mannes zu widerlegen, der darüber sprach, dass die Burger King-Anwendung das Benutzerverhalten nicht auf offensichtliche Weise überwacht, und behauptet, dass die Verarbeitung personenbezogener Daten auch der DSGVO entspricht , die strenger ist als das nationale Gesetz Nr. 152-FZ „Über personenbezogene Daten“.

RosKomSvoboda wird zeigen, warum der Burger King-Antrag nicht dem Gesetz Nr. 152-FZ entspricht, und Burger Rus LLC eine Stunde kostenlose Rechtsberatung zu personenbezogenen Daten geben.

Also lass uns gehen!

Beim Herunterladen, Installieren und erstmaligen Starten der Anwendung vor der Verwendung bietet LLC Burger Rus (die offizielle juristische Person) keine Gelegenheit, sich mit den Richtlinien zur Verarbeitung personenbezogener Daten und Informationen zu den implementierten Anforderungen zum Schutz personenbezogener Daten gemäß Art. 4 vertraut zu machen. 18,1 152-FZ. Es gibt eine Anfrage für ein Mobiltelefon, es wird vorgeschlagen, die Benutzervereinbarung zu lesen. Die Handynummer bezieht sich in diesem Fall direkt auf eine bestimmte Person und ist eine personenbezogene Daten.


Bei dem Versuch, die Richtlinie zur Verarbeitung personenbezogener Daten und Informationen zu den implementierten Anforderungen zum Schutz personenbezogener Daten zu finden, besuchen wir die Website burgerking.ru
Während einer flüchtigen Prüfung wurden keine Links zu der Richtlinie gefunden.

Gehen Sie zur Feedback-Seite.


Es wird vorgeschlagen, eine ganze Reihe personenbezogener Daten zu hinterlassen, während die Richtlinie für deren Verarbeitung und Informationen zu den umgesetzten Anforderungen für ihren Schutz bei einer schnellen Überprüfung ebenfalls nicht gefunden wurden.
Gleichzeitig stellen wir fest, dass über die Feedback-Seite personenbezogene Daten auf der Grundlage einer Einwilligung verarbeitet werden, die implizit durch Ausfüllen der Felder und Klicken auf die Schaltfläche Senden erteilt wird. Wir konnten keine anderen Einwilligungen zur Verarbeitung personenbezogener Daten durch Rückmeldung finden.

Die Verarbeitung personenbezogener Daten auf der Grundlage einer Einwilligung impliziert eine Mitteilung an Roskomnadzor gemäß Art. 22 152-FZ. Wir suchen Burger Rus LLC in der Registrierung von Betreibern personenbezogener Daten, wir nehmen die PSRN aus der Nutzungsvereinbarung. Suche auch fehlgeschlagen:




Bei der weiteren Installation der Anwendung wurde auch um Erlaubnis zur Verwaltung von Anrufen gebeten. Auf der Website des Unternehmens wurde keine dokumentarische Darstellung dieses Privilegs gefunden. Es ist nicht klar, warum und in welchem ​​Umfang keine Transparenz besteht.


Die Anwendung fand auch keinen Link zu Informationen über die Richtlinie zur Verarbeitung personenbezogener Daten mit den relevanten Informationen zu deren Schutz.


Schauen wir uns die Benutzervereinbarung an.

Abschnitt 2.7. verpflichtet Sie, die Anwendung zu verlassen, wenn Sie mit etwas nicht einverstanden sind. Dies kann darauf hinweisen, dass Burger King nicht kompromissbereit ist. Denken Sie daran.


Anstelle einer E-Mail-Adresse wird eine Seite mit Kontakten angezeigt, die nicht dem Wesen der Bedingung entspricht. Nach Vereinbarung wird die E-Mail-Adresse nicht festgelegt, die E-Mail-Adresse fehlt auch auf der Kontaktseite. Die Vereinbarung begründet somit nicht die Möglichkeit einer elektronischen Interaktion mit dem Nutzer, wie Das Feedback-Formular ist nicht vertraglich.


In Abschnitt 3.3. Das Unternehmen scheint unaufrichtig zu sein. Lassen Sie die Bankkarten nicht direkt an sie weiterverarbeiten, aber es gibt eindeutig eine Sammlung von Kennungen für Zahlung, Zahlungszeit (und andere Daten auf der Bestellung), die sich direkt oder indirekt auf die angegebene oder bestimmte Person beziehen. Ich würde gerne sehen, ob sich dies in der Politik widerspiegelt.


Abschnitt 4.10 ist im Allgemeinen ausgezeichnet. Wenn der Nutzer den Antrag durch Kündigung des Vertrages löscht, werden seine personenbezogenen Daten bis zur Absendung einer schriftlichen Mitteilung weiterhin vollständig verarbeitet. Vergessen Sie nicht Abschnitt 2.7.

Ein klarer Verstoß gegen die Verarbeitungsgrundsätze gemäß Art. 5 152-FZ und die Verarbeitungsgründe gemäß Art. 5 152-FZ.


Gemäß Ziffer 5.1. Ihnen wird nicht die Alternative angeboten, Werbung in unbegrenzter Höhe zu erhalten, selbst wenn Sie den Vertrag gemäß Absatz 4.10 kündigen


Gemäß Ziffer 5.4. Sie können die Vereinbarung jederzeit kündigen und die Anwendung blockieren. Höchstwahrscheinlich wird niemand personenbezogene Daten unter Verstoß gegen 152-destroy zerstören und weiterhin Werbung erhalten.

In Abschnitt 5.6. Vereinbarungen, die der Übermittlung personenbezogener Daten zustimmen, verstoßen gegen Artikel 6 Absatz 152 von F-3, insbesondere werden Dritte, an die personenbezogene Daten übermittelt werden, nicht angegeben.


Schließlich können wir das gemäß Abschnitt 7.3 sagen. Das Unternehmen ist nicht verantwortlich für den Verlust von Benutzerdaten. Dies allein ist ein offensichtlicher Verstoß gegen die Bestimmungen von 152-FZ (Artikel 7, Artikel 19).


Laut RosKomSvoboda Denis Lukash, Exekutivdirektor des Zentrums für digitale Rechte :

Die DSGVO stellt strengere Anforderungen an die Verarbeitung personenbezogener Daten. Wenn die Grundprinzipien der Verarbeitung personenbezogener Daten gemäß 152- verletzt werden, können wir nicht einmal über mögliche Verstöße gegen die DSGVO sprechen (falls zutreffend). Wenn Verstöße im Unternehmen nur durch visuelle Inspektion der Website sichtbar werden und höchstwahrscheinlich keine ordnungsgemäße organisatorische und administrative Dokumentation vorhanden ist (oder formal vorhanden ist), ist dies eine direkte Folge. Externe Dokumente (mit denen jeder vertraut sein kann oder sollte) sollten immer ideal sein, und die Anwendungsentwicklung muss nicht nur gemäß der DSGVO, sondern auch gemäß 152- mit den Grundsätzen von "Privacy by Design" beginnen.

Die Anwälte von RosKomSvobody sind der Ansicht, dass Burger Rus LLC zumindest Anzeichen von Verstößen gemäß den Abschnitten 5, 6, 18.1, 19 des Bundesgesetzes über personenbezogene Daten aufweist, und wir sind bereit, das Digital Rights Center eine Stunde lang kostenlos zu konsultieren. deren juristischer Dienst dazu beiträgt, die Sicherheit der Benutzer auf dem richtigen Niveau zu gewährleisten.

E-Legion und Burger King, klopft an die PM!