Polityka prywatności

Administrator danych

JANJOR CARS LTD, Flat 1, 61 Morpeth Street, Hull, HU3 1RF, Wielka Brytania — numer rejestrowy 16568399 (Anglia i Walia) — telefon +44 7537 174486.

Kontakt w sprawach prywatności

[email protected] — do realizacji praw i do wszelkich pytań o tę politykę.

Inspektor ochrony danych

[email protected] — do wniosków dotyczących bazy danych pojazdów i do skarg.

Powołanie inspektora ochrony danych zaleca analiza zgodności i najprawdopodobniej jest ono obowiązkowe: główna działalność vincode polega na regularnym i systematycznym monitorowaniu na dużą skalę danych powiązanych z identyfikatorami pojazdów (art. 37 ust. 1 lit. b) RODO). Po powołaniu dane kontaktowe inspektora trzeba zgłosić Garante przez przeznaczony do tego portal (art. 37 ust. 7).

To najczęściej dyskutowane pytanie w tej branży, a uczciwa odpowiedź brzmi: zależy, kto go ma.

Trybunał Sprawiedliwości Unii Europejskiej w sprawie C-319/22 (Gesamtverband Autoteile-Handel eV przeciwko Scania CV AB, wyrok z 9 listopada 2023 r.) przyjął podejście względne: numer VIN sam w sobie nie jest daną osobową, ale staje się nią dla tego, kto rozsądnie dysponuje środkami pozwalającymi powiązać go z określoną osobą. Trzeba przy tym uwzględnić wszystkie środki, po które administrator albo osoba trzecia może rozsądnie sięgnąć. Trybunał dodaje, że nie jest konieczne, aby wszystkie informacje pozwalające zidentyfikować osobę znajdowały się w rękach jednego podmiotu: to właśnie ograniczenie ciąży na nas najbardziej, bo „nie mamy powiązania z tablicą rejestracyjną” samo w sobie nie jest odpowiedzią.

We Włoszech ramy są ostrzejsze. Włoski Sąd Kasacyjny (Corte di cassazione) postanowieniem nr 4648 z 21 lutego 2024 r. stwierdził, że numer rejestracyjny jest daną osobową, ponieważ pozwala zidentyfikować posiadacza pojazdu i go profilować. Ponieważ Pubblico Registro Automobilistico, włoski publiczny rejestr pojazdów, można odpytać po numerze rejestracyjnym, we Włoszech środki identyfikacji są dostępne dla każdego, tanio i legalnie: test „środków, po które można rozsądnie sięgnąć” jest spełniony niemal z definicji.

EDPB w wytycznych 01/2020 dotyczących pojazdów podłączonych do sieci (przyjętych 9 marca 2021 r.) zauważa z kolei, że dane techniczne, takie jak styl jazdy, przejechane kilometry i zużycie części, dotyczą kierowcy albo pasażera, bo zestawione z innymi danymi, na przykład z numerem VIN, można je przypisać konkretnej osobie.

Wniosek operacyjny vincode brzmi: projektujemy przy założeniu, że odpowiedź brzmi tak, i budujemy system tak, żeby w naszych rękach brzmiała nie. Oto zasady, które z tego wynikają, i wiążą one piszących kod tak samo jak piszących dokumenty.

Sam numer VIN

Klucz bazy danych zdarzeń. Z rekordem nigdy nie jest powiązane żadne nazwisko, żaden adres, żadne dane kontaktowe.

Numer rejestracyjny

Traktowany jako dana osobowa w każdym przypadku: szyfrowany w spoczynku, przechowywany krótko, dostępy rejestrowane.

Powiązanie numer rejestracyjny → VIN

To most, który czyni identyfikowalną całą resztę. Odizolowany od bazy danych zdarzeń, szyfrowany, usuwany po 90 dniach.

VIN razem z nazwiskiem albo adresem

Niepozyskiwany, nieprzechowywany, niepokazywany. Nigdy, z żadnego źródła, w żadnym celu.

Zdjęcia z archiwalnych ogłoszeń

Numery rejestracyjne i twarze zamazywane na etapie pozyskania, zanim obraz trafi do archiwum.

Rozdzielenie tych trzech strumieni jest najbardziej użyteczną decyzją w całej tej polityce: mają różne osoby, których dane dotyczą, różne cele i różne podstawy prawne, a ich mieszanie to najkrótsza droga do błędu.

Nie opieramy przetwarzania A na zgodzie. To byłby błędny wybór: uczyniłby odwołalnym w każdej chwili przetwarzanie niezbędne do wykonania umowy, o której wykonanie sam poprosiłeś, i zmusiłby nas do wstrzymania dostarczenia już opłaconego Raportu.

Nie opieramy na zgodzie także przetwarzania B, z innego powodu: nie da się uzyskać zgody poprzedniego właściciela, z którym nie możemy się skontaktować, a zgoda, której nie da się wykazać, jest gorsza niż brak zgody. Przed startem trzeba sformalizować na piśmie ocenę prawnie uzasadnionego interesu (LIA) oraz ocenę skutków dla ochrony danych (DPIA).

Dane kontaktowe i dane konta

Adres e-mail, hasło przechowywane w postaci skrótu (hash), język i kraj, preferencje komunikacyjne.

Dane zamówienia

Kupiony pakiet, kwota, waluta, zastosowana stawka VAT i kraj jej zastosowania, identyfikator transakcji, kredyty kupione i zużyte.

Dowód zgody na rezygnację z prawa odstąpienia

Dosłowna treść, którą zaakceptowałeś, numer wersji, data i godzina, język, stan pola wyboru przed wysłaniem, etykieta przycisku zamówienia, identyfikator e-maila potwierdzającego oraz moment odblokowania Raportu.

Dowody lokalizacji na potrzeby VAT

Zadeklarowany kraj rozliczenia, kraj ustalony po stronie serwera na podstawie adresu IP, kraj wydania karty, wynik porównania tych elementów.

Wykonane wyszukiwania

Numery VIN i numery rejestracyjne, których szukałeś, wraz z datą. Numery rejestracyjne są szyfrowane i usuwane w terminach wskazanych w punkcie 7.

Dane obsługi klienta

Treść wiadomości, które do nas wysyłasz, i związana z nimi korespondencja.

Logi techniczne

Adres IP, data i godzina, żądany zasób, wynik żądania, user agent.

Nie przetwarzamy szczególnych kategorii danych w rozumieniu art. 9 RODO i o takie dane nie prosimy. Nie otrzymujemy i nie przechowujemy danych twojej karty płatniczej: przetwarza je Stripe, a my widzimy wyłącznie wynik, kraj wydania karty i cztery ostatnie cyfry.

Podanie danych kontaktowych i danych zamówienia jest niezbędne do zawarcia umowy: bez nich nie możemy dostarczyć ci Raportu ani wystawić dokumentów księgowych. Cała reszta jest dobrowolna.

Dane dotyczące ciebie jako klienta podajesz nam ty, z dwoma wyjątkami: dane techniczne zbierane automatycznie przez serwer oraz informacje, które otrzymujemy od Stripe w związku z płatnością, czyli wynik, kraj wydania karty i cztery ostatnie cyfry.

Dane zawarte w bazie danych pojazdów nie pochodzą natomiast od osób, których dotyczą. Pochodzą z rejestrów rejestracji pojazdów, z baz przeglądów technicznych, od podmiotów likwidujących szkody ubezpieczeniowe, ze zgłoszeń kradzieży, z sieci warsztatów i autoryzowanych serwisów, z archiwalnych ogłoszeń sprzedaży i z akcji serwisowych producentów.

Dlatego do tego przetwarzania stosuje się art. 14 RODO, a nie art. 13, i dlatego informacja o danych pojazdów musi być publiczna, indeksowalna przez wyszukiwarki i dostępna bez konta oraz bez zapisywania jakiegokolwiek pliku cookie. Trzeba w niej podać także źródło, w tym to, czy chodzi o źródła publicznie dostępne (art. 14 ust. 2 lit. f)).

Każda kategoria ma zadeklarowany termin i uzasadnienie. Termin bez uzasadnienia nie jest polityką przechowywania, tylko wymyśloną datą.

Korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu. Są powołani jako podmioty przetwarzające w rozumieniu art. 28 RODO i związani pisemną umową określającą cele, czas trwania, środki bezpieczeństwa i obowiązki usunięcia danych.

Nie sprzedajemy, nie przekazujemy i nie wynajmujemy danych osobowych osobom trzecim w celach marketingowych. Nie wzbogacamy profili i nie kupujemy baz adresowych.

Wybieramy dostawców z siedzibą w Unii Europejskiej albo w Europejskim Obszarze Gospodarczym. Tam, gdzie dostawca ze Stanów Zjednoczonych jest nieunikniony, nie opieramy się na samej decyzji stwierdzającej odpowiedni stopień ochrony: i tak podpisujemy standardowe klauzule umowne zatwierdzone przez Komisję i przeprowadzamy ocenę skutków przekazania. Jeżeli taki dostawca ma certyfikację w EU–US Data Privacy Framework, sprawdzamy jej aktywność w oficjalnym rejestrze przed uruchomieniem i zachowujemy dowód z tego sprawdzenia, ale traktujemy ją jako dodatkową gwarancję, a nie jako podstawę przekazania.

Do standardowych klauzul umownych dokładamy, gdzie to konieczne, dodatkowe zabezpieczenia, takie jak szyfrowanie kluczami pozostającymi w Unii. Powód takiego ustawienia jest praktyczny: decyzja o odpowiednim stopniu ochrony może zostać unieważniona albo zawieszona ze skutkiem natychmiastowym, a ten, kto opierał się wyłącznie na niej, zostaje tego dnia bez podstawy prawnej przekazania.

Raport zawiera zbiorczą ocenę generowaną automatycznie na podstawie znalezionych zdarzeń. Ta ocena dotyczy pojazdu, a nie osoby: nie wywołuje wobec ciebie skutków prawnych i nie wpływa na ciebie w podobnie istotny sposób. Nie decyduje, czy możesz kupić, nie przypisuje ci zdolności kredytowej, nie warunkuje dostępu do usługi.

Ocena skutków dla ochrony danych i tak jest obowiązkowa, ale nie z powodu punktacji. Garante w provvedimento nr 467 z 11 października 2018 r. (doc. web 9058979) — swojej formalnej decyzji — wylicza przetwarzania, które jej wymagają, a nasze wchodzi tam przede wszystkim dlatego, że działa „przez wzajemne powiązanie, łączenie albo zestawianie informacji”: baza danych zdarzeń i powiązanie tablica → VIN to dokładnie to, a ta pozycja nie stawia żadnego progu wielkości. DPIA musi zostać ukończona przed rozpoczęciem przetwarzania; gdyby ryzyko szczątkowe pozostało wysokie, konieczna staje się uprzednia konsultacja z Garante w trybie art. 36 RODO.

W każdym razie możesz poprosić nas o ręczne zweryfikowanie oceny, którą uważasz za błędną, a weryfikacja jest bezpłatna. To ten sam kanał, co zgłoszenia błędów w Raporcie.

W każdej chwili możesz skorzystać z praw przewidzianych w art. 15–22 RODO.

Jak z nich skorzystać: napisz na [email protected] i wskaż, z którego prawa chcesz skorzystać. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w sprawach złożonych termin można przedłużyć o dwa miesiące, o czym informujemy cię w ciągu pierwszego miesiąca (art. 12 ust. 3). Realizacja praw jest bezpłatna (art. 12 ust. 5) i nie zamierzamy pobierać opłaty przewidzianej dla żądań ewidentnie nieuzasadnionych albo nadmiernych.

Jeśli jesteś klientem, identyfikujemy cię po koncie i o nic więcej nie pytamy: otrzymujesz dane konta, zamówień i dostępów do Raportu. Jeśli natomiast wniosek dotyczy pojazdu — „podajcie wszystko, co macie na numer VIN X” — prosimy o dokument tożsamości i o dowód twojego powiązania z tym pojazdem: cyfrowy certyfikat własności, dowód rejestracyjny albo wypis z PRA wystawiony na ciebie.

Jeśli poprosisz nas o usunięcie swoich danych, usuwamy konto i wszystko, czego nie musimy zachować. Nie możemy jednak usunąć zapisów księgowych, faktur i potwierdzeń dotyczących dokonanych przez ciebie zakupów: art. 2220 Codice civile nakazuje przechowywać księgi rachunkowe i związaną z nimi korespondencję przez dziesięć lat, a art. 17 ust. 3 lit. b) RODO wyłącza prawo do usunięcia danych, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego.

Z tego samego powodu przez dziesięć lat przechowujemy dowody lokalizacji użyte do ustalenia VAT. Równie długo przechowujemy dowód zgody na natychmiastowe wykonanie i na rezygnację z prawa odstąpienia, gdzie podstawą jest także art. 17 ust. 3 lit. e): ustalenie, dochodzenie lub obrona roszczeń.

Wolimy powiedzieć to otwarcie, zamiast obiecywać ci całkowite usunięcie, które i tak nie następuje. W praktyce dzieje się to: dane, które musimy zachować, zostają odizolowane, nie są już wykorzystywane do żadnego celu operacyjnego, nie trafiają do żadnej komunikacji handlowej, są dostępne wyłącznie dla osób mających powód administracyjny, żeby do nich zajrzeć, i są usuwane z upływem terminu.

Podobna logika, choć z innych powodów, dotyczy wniosków o usunięcie danych z bazy danych pojazdów. Żądanie usunięcia wpisu o manipulacji przy liczniku przebiegu jest dokładnie tym przypadkiem, w którym trzeba ocenić, czy istnieją ważne prawnie uzasadnione podstawy nadrzędne wobec interesów osoby, której dane dotyczą (art. 17 ust. 1 lit. c) i art. 21 ust. 1 RODO): przeciwdziałanie oszustwom i bezpieczeństwo drogowe tego, kto ten pojazd kupi. Oceniamy każdy przypadek osobno, spisujemy decyzję i prowadzimy jej rejestr. Ani „zawsze usuwamy”, ani „nigdy nie usuwamy” nie byłyby odpowiedziami do przyjęcia.

Gdy dokonujemy sprostowania albo usunięcia, informujemy o tym odbiorców, którym dane zostały ujawnione, tak jak przewiduje art. 19 RODO, chyba że okaże się to niemożliwe albo będzie wymagać niewspółmiernie dużego wysiłku.

Środki techniczne i organizacyjne są dostosowane do ryzyka, tak jak wymaga art. 32 RODO. W skrócie:

• TLS 1.3 dla całego ruchu w tranzycie;
• szyfrowanie w spoczynku dla danych osobowych klientów i dla tabeli powiązań numer rejestracyjny → VIN;
• rozdzielenie ról między archiwum zdarzeń a tabelę pomostową, które nie znajdują się w tym samym środowisku logicznym;
• rejestrowanie każdego odczytu tabeli pomostowej wraz z okresowym przeglądem dostępów;
• hasła przechowywane wyłącznie w postaci skrótu (hash), nigdy jawnie;
• zasada minimalnych uprawnień przy dostępach wewnętrznych, z okresowym przeglądem.

W razie naruszenia ochrony danych osobowych powodującego ryzyko naruszenia praw i wolności osób, których dane dotyczą, zgłaszamy je Garante w ciągu 72 godzin od chwili, w której się o nim dowiedzieliśmy (art. 33), i zawiadamiamy te osoby bez zbędnej zwłoki, gdy ryzyko jest wysokie (art. 34). Procedurę reagowania trzeba spisać przed incydentem, a nie w jego trakcie.

Organem nadzorczym właściwym dla Włoch jest Garante per la protezione dei dati personali, włoski organ ochrony danych osobowych (garanteprivacy.it). Możesz wnieść skargę na podstawie art. 77 RODO i odpowiadających mu przepisów Codice Privacy (D.Lgs. z 30 czerwca 2003 r. nr 196) albo zwrócić się do organu nadzorczego państwa członkowskiego, w którym masz miejsce zwykłego pobytu lub w którym pracujesz.

Możesz też wystąpić bezpośrednio na drogę sądową (art. 79 RODO). Skarga do Garante i droga sądowa wykluczają się wzajemnie: po wniesieniu jednej nie da się już wnieść drugiej w tej samej sprawie.

Prosimy, żebyś w miarę możliwości napisał najpierw do nas: większość spraw rozwiązuje się w kilka dni, a dobrze uzasadniona skarga i tak jest dla nas cenna.

Każda wersja tej polityki jest numerowana, datowana i archiwizowana: musimy umieć wykazać, jaki tekst był opublikowany danego dnia, a jest to obowiązek wynikający z zasady rozliczalności, nie tylko dobra praktyka.

Jeśli wprowadzimy istotne zmiany, informujemy cię o nich — o ile mamy odpowiednie dane kontaktowe — zanim zaczną obowiązywać. Zmiany o charakterze redakcyjnym publikujemy z nowym numerem wersji i nową datą.