Kié az adat, ha felvásárolnak egy céget?

Harmadik félnek nem adjuk át felhasználóink adatait - áll rengeteg kisebb-nagyobb online szolgáltatás adatvédelmi nyilatkozatában. A legtöbben azonban azt is hozzáteszik, hogy ha a cég csődbe megy, felvásárlás alanya lesz vagy összeolvad egy másik vállalattal, akkor az adatok ilyen formában kikerülhetnek az eredeti cég irányítása alól és egy másik szervezet adott esetben eltérő adatvédelmi irányelvei lesznek rá érvényesek. A téma az Egyesült Államokban nemrég különös apropót kapott az elektronikai áruházlánc, a Radioshack-csőd kapcsán. A New York Times ezen apropóból az Amerikában legnépszerűbb 100 weboldal adatvédelmi politikáját vette vizsgálat alá. Az elemzés során fény derült arra, hogy 100-ból 85 nagy név hagyja nyitva a kiskaput az adatok továbbértékesítésére és átadására, köztük az olyan nagy nevek is, mint a Facebook, a Google, az Amazon, vagy épp a Hulu.

Az információ áru is

A különféle alkalmazások, weboldalak, és elemző cégek jellemzően a felhasználó adatain alapuló, személyreszabott hirdetések céljából gyűjtenek adatokat. Ezek a bizalmas információk arra is használhatók, hogy következtetéseket lehessen levonni a tulajdonos pénzügyi helyzetéről, politikai és vallási beállítottságáról. Efelett a felhasználóknak vajmi kevés kontroll jut - egy szolgáltatás használatának megkezdése előtt az adatvédelmi feltételek elfogadásával egyben azzal is egyetértünk, ahogy a cég rendelkezik megosztott adataink felett.

Ezután a felhasználói adatok a cég vagyontárgyát képezik, és az információ, mint áru olyan esetekben kerülhet előtérbe, mikor egy cég csőd előtt állva a banki eszközök, és a saját vagyontárgyainak tömeges kiárusításába kezd. Erre már több ízben is akadt példa: két éve a True.com texasi társkereső oldal úgy próbált kártérítési összegeket szerezni, hogy 43 millió felhasználójának adatait bocsátotta áruba, melyek közt a szexuális beállítottság, faj, vallás és más információk is szerepeltek. Mivel ez több texasi állampolgárt is érzékenyen érintett volna, Texas állam perre vitte az ügyet. Az ügy végkimeneleként az egész adatbázist törölni kellett, ami annak volt köszönhető, hogy a szolgáltatás adatvédelmi nyilatkozatában írásban fektette le azt, hogy az oldal nem adja ki a felhasználói adatokat előzetes engedély nélkül, ennek pedig nem tett eleget - ebben az esetben az értékesítés megtévesztő és tisztességtelen gyakorlatnak számít, ami jogilag támadható.

Ünnepi mix a bértranszparenciától a kódoló vezetőkig Négy IT karrierrel kapcsolatos, érdekes témát csomagoltunk a karácsonyfa alá.

Ünnepi mix a bértranszparenciától a kódoló vezetőkig Négy IT karrierrel kapcsolatos, érdekes témát csomagoltunk a karácsonyfa alá.

Nemrég a becsődölt Radioshack vitte licitre adatbázisát, azzal a céllal, hogy ebből fedezze a kártérítések kifizetéséhez szükséges pénzt, és kárpótolja befektetőit. Az információs adatbázis 65 millió vásárló nevét, e-mail címét, és lakcímét tartalmazta, a főbb gondot viszont a telefonszámok és a bankkártya adatok átadása okozta. Ebben azonban több vállalat is érintett volt, többek közt az Apple is: Cupertino azt kifogásolta, hogy a Radioshack nem tartotta be a viszonteladói megállapodást, melynek értelmében nem adhatja tovább az Apple ügyfelek adatait, főleg nem pénzért. A titlakozásnak sok eredménye nem lett, a General Wireless 26,2 millió dollárért jutott hozzá a Radioshack adatbázisához.

Csak kevesen szólnak előtte a felhasználónak

Amennyiben az adatvédelmi nyilatkozatban írásban fekteti le a szolgáltatás, hogy milyen esetekben adja át a felhasználói információkat (és abba a felhasználó a feltételek elfogadásával bele is egyezik) onnantól a tevékenység jogilag nem támadható - a New York Times által vizsgált 100 oldalból 85 ilyen módon jár el. Ilyen többek közt a Facebook, amelynek adatvédelmi nyilatkozatában ez olvasható: "Ha a szolgáltatásunk egésze vagy része gazdát cserél, jogunk van átadni az adatokat az új tulajdonos számára." A WhatsApp esetében ugyanez érvényes, kissé más fogalmazásban: "Amennyiben a WhatsApp szolgáltatást akvirálják, összeolvad egy másik céggel, vagy csődbe megy, a cég nem vállal felelősséget a felhasználó adatok további kezeléséért és azok felhasználásáért."

Az adatvédelmi nyilatkozatot legtöbbször átgörgető felhasználók tekintete legtöbb esetben afelett is elsiklik, hogy a szolgáltatásnak értesítést sem kötelező küldenie az információik átadásáról. Csak 17 oldal esetében találta úgy a New York Times, hogy saját elhatározásból előzetesen értesíti felhasználóit az adatok átadásáról, még kevesebb esetben azt, hogy ennek engedélyezéséről akár dönthet is a felhasználó. Ezen kevés példa közé tartozik az Etsy: "Bizonyos körülmények közt az Etsy-t felvásárolhatják, vagy a cég eladhatja vagyonát. Ilyen típusú tranzakció esetén (felvásárlás, összeolvadás), a felhasználói adatok is részét képezik az üzletnek. Ezesetben az Etsy e-mailes értesítést küld, vagy az oldal felületén értesíti felhasználóit, hogy azok dönthessen adataik felett, mielőtt azok egy másik szolgáltatás adatvédelmi szabályozása alá esnének."

Amíg nincs egységes szabályozás az Egyesült Államokban arra, hogyan kell kezelni a felhasználói adatokat csőd esetében, minden cég maga által határozhatja meg az általa követett politikát. A szabályzatlanságot bizonyítja az is, hogy számos oldal még saját magával is ellentmondásba keveredik, például a Google tulajdonában lévő, okostermosztátjáról elhíresült Nest. Míg a cég honlapjának egyik oldalán még az adatok védelmét  kommunikálja az ügyfélnek - kiemelve azt, hogy nem kínálja eladásra adatait, a hivatalos adatvédelmi nyilatkozatban már árnyalódik a kép: "A cég vagyontárgyainak részleges, vagy teljes eladása vagy átadása során a személyes információk is az üzlet részét képezhetik."