Application Burger King: taquinez votre vie privée. Sommes-nous en train de corriger?

Après que Habr ait littéralement interrompu en une journée une série d'articles sur les délicieux utilisateurs de produits alimentaires de Burger King ( un , deux , trois ), le développeur de l'application e-Legion a publié un message de réponse sur Habr.

Oui, ce sujet a suscité beaucoup d'enthousiasme, à l'heure actuelle, au total, ces articles ont été consultés plus de 230 000 fois et plus de 1000 commentaires ont été laissés.

Dans son article, le développeur essaie de réfuter les arguments d'un jeune homme qui a expliqué que l'application Burger King ne surveillait évidemment pas le comportement des utilisateurs, et affirme que le traitement des données personnelles est même conforme au RGPD , qui est plus strict que la loi nationale n ° 152-FZ «sur les données personnelles».

RosKomSvoboda montrera pourquoi l'application Burger King n'est pas conforme à la loi n ° 152-FZ et donnera à Burger Rus LLC une heure de conseils juridiques gratuits sur les données personnelles.

Alors allons-y!

Lors du téléchargement, de l'installation et du premier lancement de l'application avant utilisation, LLC Burger Rus (l'entité juridique officielle) ne donne pas la possibilité de se familiariser avec la politique de traitement des données personnelles, les informations sur les exigences mises en œuvre pour la protection des données personnelles, comme requis par l'art. 18,1 152-FZ. Il y a une demande pour un téléphone portable, il est proposé de lire l'accord d'utilisation. Le numéro de téléphone mobile dans ce cas se réfère directement à un individu spécifique et correspond à des données personnelles.


Dans le but de trouver la politique de traitement des données personnelles et des informations sur les exigences mises en œuvre pour la protection des données personnelles, nous allons sur le site burgerking.ru
Aucun lien vers la stratégie lors d'une inspection rapide n'a été trouvé.

Accédez à la page de commentaires.


Il est proposé de laisser tout un tas de données personnelles, tandis que la politique de leur traitement et les informations sur les exigences mises en œuvre pour leur protection n'ont pas non plus été trouvées lors d'une inspection rapide.
Dans le même temps, nous découvrons qu'à travers la page de commentaires, les données personnelles sont traitées sur la base du consentement, qui est donné sous forme implicite en remplissant les champs et en cliquant sur le bouton envoyer. Nous n'avons pas pu trouver d'autres consentements au traitement des données personnelles par rétroaction.

Le traitement des données personnelles sur la base du consentement implique la notification à Roskomnadzor conformément à l'art. 22 152-FZ. Nous recherchons Burger Rus LLC dans le registre des opérateurs de données personnelles, nous prenons le PSRN de l'accord d'utilisation. La recherche a également échoué:




Dans le cadre de la poursuite de l'installation de l'application, une autorisation a également été demandée pour la gestion des appels; aucune réflexion documentaire de ce privilège n'a été trouvée sur le site Web de la société. Il n'est pas clair pourquoi et dans quelle mesure, il n'y a pas de transparence.


L'application n'a pas non plus trouvé de lien vers des informations sur la politique de traitement des données personnelles avec les informations pertinentes sur leur protection.


Examinons l'accord d'utilisation.

clause 2.7. vous oblige à quitter l'application si vous n'êtes pas d'accord avec quelque chose. Cela peut indiquer que Burger King n'est pas prêt à faire des compromis. N'oubliez pas.


Au lieu d'une adresse e-mail, une page avec des contacts est indiquée, ce qui ne correspond pas à l'essence de la condition. Par accord, l'adresse e-mail n'est pas définie et l'adresse e-mail est également manquante sur la page de contact. L'accord n'établit donc pas la possibilité d'une interaction électronique avec l'utilisateur, comme Le formulaire de feedback n'est pas contractuel.


Dans la clause 3.3. la société semble être malhonnête. Ne laissez pas les cartes bancaires lui être traitées directement, mais il existe évidemment une collection d'identifiants de paiement, de délai de paiement (et d'autres données sur la commande), qui concernent directement ou indirectement la personne désignée ou spécifique. Je voudrais voir si cela se reflète dans la politique.


La section 4.10 est généralement excellente. Si l'utilisateur supprime l'application en résiliant le contrat, ses données personnelles continueront d'être traitées dans leur intégralité jusqu'à l'envoi d'une notification écrite. N'oubliez pas la clause 2.7.

Violation explicite des principes de traitement conformément à l'article 5 152-FZ et des motifs de traitement conformément à l'article 6 152-FZ


Selon la clause 5.1. vous n'avez pas la possibilité de recevoir de la publicité en quantité illimitée, même si vous résiliez le contrat conformément au paragraphe 4.10


Selon la clause 5.4. Vous résiliez l'accord à tout moment, bloquez l'application. Très probablement, personne ne détruira les données personnelles en violation de 152-; continuez à recevoir de la publicité.

Dans la clause 5.6. Les accords, le consentement au transfert de données personnelles sont donnés en violation de la clause 3 de l'article 6 de 152-FZ, en particulier, les tiers auxquels les données personnelles sont transférées ne sont pas indiqués.


Enfin, nous pouvons dire que selon la clause 7.3. La Société n'est pas responsable de la perte des données utilisateur. Cela constitue à lui seul une violation flagrante des dispositions du 152-FZ (article 7, article 19)


Selon RosKomSvoboda Denis Lukash, directeur exécutif du Center for Digital Rights :

Le RGPD impose des exigences plus strictes au traitement des données personnelles. Si les principes de base du traitement des données personnelles conformément à 152- sont violés, nous ne pouvons même pas parler d'éventuelles violations du RGPD (le cas échéant). Lorsque les violations dans l'entreprise ne sont visibles que par une inspection visuelle du site, il est très probable qu'il n'y ait pas (ou n'est pas officiellement présente) la documentation organisationnelle et administrative appropriée, c'est une conséquence directe. Les documents externes (ceux que tout le monde peut ou devrait connaître) devraient toujours être idéaux, et le développement d'applications non seulement conformément au RGPD, mais même conformément au 152- devrait commencer par les principes de la «confidentialité dès la conception».

Les avocats de RosKomSvobody estiment que Burger Rus LLC a au moins des signes de violations en vertu des clauses 5, 6, 18.1, 19 de la loi fédérale sur les données personnelles et nous sommes prêts à accorder une heure de consultation gratuite du Digital Rights Center, dont le service juridique contribuera à assurer la sécurité des utilisateurs au bon niveau.

E-Legion et Burger King, frappez le PM!