Adform

Запрос по ст.15 GDPR на privacy@adform.com: все персональные данные и цели обработки; категории данных, включая RTB-аукционные данные, поведенческие профили, аудиторные сегменты и идентификаторы устройств; получатели, включая третьих лиц и брокеров; сроки хранения; автоматизированные решения и профилирование (ст.22) с логикой; источники данных не от субъекта; трансграничные передачи и гарантии. Срок — 30 дней.

Adform DPO ответил по существу запроса: цели обработки описаны в политике конфиденциальности и уточняются через форму Rights to Insights; категории данных варьируются по целям — подробнее в политике; получатели перечислены в разделе политики о передаче данных; cookie-данные хранятся не более 13 месяцев, cookie в браузерах истекают через 60 дней после последнего взаимодействия; для уточнения данных по конкретному случаю предложено воспользоваться формой Rights to Insights; трансграничные передачи осуществляются в «адекватные» страны либо на основании SCC с дополнительными мерами.

Воспользовался формой Rights to Insights — портал сообщил об отсутствии отслеживающего cookie Adform в браузере. Направлен запрос в DPO: подтвердить, обрабатывает ли Adform какие-либо данные, связанные с идентификаторами устройства или IP-адресом, либо предоставить письменное подтверждение отсутствия обработки.

Уведомление о смене контактного адреса для дальнейшей переписки.

Фоллоу-ап с альтернативными идентификаторами: форма Rights to Insights недоступна из-за использования privacy-технологий (VPN с блокировкой трекеров), которые не позволяют Adform обнаружить cookie. Предоставлены идентификаторы баннерных кампаний, зафиксированные в HAR-логах запросов к track.adform.net — три Banner ID, направленных на устройство субъекта. По ст.11(2) GDPR отсутствие cookie не освобождает контролёра от обязанности ответить при наличии достаточных альтернативных идентификаторов. Запрошено: поиск в базе по Banner ID и связанным идентификаторам; предоставление всех хранимых данных, включая поведенческие профили и источники; подтверждение правового основания и всех получателей. Срок 30 дней с 24.02 истёк 26.03.

Adform DPO подтвердил, что компания не обрабатывает персональные данные способом, позволяющим идентифицировать физическое лицо по имени, email, IP-адресу или аналогичным прямым идентификаторам. Banner ID, зафиксированные в сетевых запросах, относятся к элементам рекламных кампаний и не позволяют установить конкретного пользователя — поэтому не могут быть использованы для поиска связанных персональных данных. Adform работает с псевдонимными идентификаторами и для обработки запроса субъекта требует надёжного сопоставления с таким идентификатором. Повторно предложено подать запрос через форму Rights to Insights с браузера, в котором присутствует идентификатор Adform.

Жалоба в AKI на Adform A/S (Дания, DPO: DPO@adform.com). Зафиксированы нарушения: (1) ст.12(3) — 30-дневный срок с 24.02 истёк 26.03, содержательного ответа или уведомления о продлении не поступало; (2) ст.15 — ни один из семи пунктов запроса не получил прямого ответа, компания лишь отсылала к порталу и политике; (3) ст.11(2) — три Banner ID из HAR-логов track.adform.net, подтверждающих обработку данных устройства, полностью проигнорированы; второй ответ Adform от 24.04 дословно повторил первый без учёта предоставленных идентификаторов; (4) ст.5(1)(e) — в политике конфиденциальности стороннего сайта зафиксирован срок хранения cookie Adform в 3650 дней (~10 лет), что противоречит собственному заявлению компании о максимальном сроке 13 месяцев. Требования: проверить соответствие Adform ст.12(3), 15, 11(2) и 5(1)(e); обязать предоставить содержательный ответ; при необходимости передать жалобу в Datatilsynet (Дания) по ст.56 GDPR как ведущему регулятору.