Dňa 13. mája 2025 zverejnil CNIL (Commission nationale de l'informatique et des libertés) finálnu verziu svojich odporúčaní zameraných na ochranu osobných údajov v mobilných aplikáciách. Dokument je určený pre všetkých aktérov digitálneho ekosystému a poskytuje podrobný rámec pre zabezpečenie súladu s nariadením GDPR.

1. Presné vymedzenie zodpovedností medzi aktérmi v ekosystéme mobilných aplikácií

CNIL reflektuje komplexný reťazec dodávateľov a partnerov zapojených do životného cyklu mobilnej aplikácie:

• Vydavatelia aplikácií – právne zodpovední za spracovanie osobných údajov.

• Vývojári aplikácií – technickí realizátori zodpovední za implementáciu funkcionalít a zabezpečenie.

• Poskytovatelia SDK (Software Development Kits) – dodávatelia knižníc, často obsahujúcich analytické alebo reklamné moduly.

• Prevádzkovatelia platforiem (iOS, Android) a obchodov s aplikáciami (Google Play, App Store) – zodpovední za distribúciu a prevádzku platforiem.

Každý z týchto subjektov má špecifické povinnosti, pričom CNIL zdôrazňuje potrebu zmluvného a technického zosúladenia zodpovedností.

2. Transparentnosť a informovanie používateľov podľa článkov 13 a 14 GDPR

Odporúčania vyžadujú:

• Jasné, zrozumiteľné informácie o tom, aké údaje sa spracúvajú, na akom právnom základe a v akom rozsahu.

• Poskytnutie informácií včas, teda pred samotným zhromažďovaním údajov, ideálne pri prvom spustení aplikácie.

• Rozlíšenie nevyhnutných a voliteľných povolení (napríklad prístup k lokalizácii iba ak je nevyhnutný pre hlavnú funkcionalitu).

Implementácia by mala zahŕňať vrstvené informovanie, doplnené vizuálnymi prvkami pre lepšiu zrozumiteľnosť.

3. Platný a informovaný súhlas podľa GDPR

CNIL pripomína, že:

• Udelenie technického povolenia (napríklad prístup k mikrofónu) nie je automaticky súhlasom na spracovanie údajov na iné účely, ako je napríklad cielená reklama.

• Súhlas musí byť konkrétny, informovaný, dobrovoľný a odvolateľný.

• Používateľ musí mať možnosť súhlas odmietnuť bez negatívnych dôsledkov na základnú funkcionalitu aplikácie.

Odporúča sa implementácia technicky správnych a auditovateľných systémov na správu súhlasov (Consent Management Platforms).

4. Privacy by Design a Privacy by Default: Minimalizmus a bezpečnosť

Aplikácie by mali byť navrhnuté tak, aby:

• Zbierali iba nevyhnutné údaje podľa princípu minimalizácie (napríklad namiesto prístupu k presnej lokalizácii umožniť manuálne zadanie PSČ).

• Obsahovali integrované bezpečnostné opatrenia ako end-to-end šifrovanie, tokenizáciu či sandboxing.

• Používateľom poskytovali efektívnu kontrolu nad ich údajmi vrátane prístupu, opráv, vymazania a prenosu údajov.

5. Dohľad a vymáhanie

CNIL oznámila, že od jari 2025 plánuje spustiť cielenú inšpekčnú kampaň zameranú na mobilné aplikácie. Kontroly sa budú sústreďovať na:

• Správnosť implementácie súhlasov,

• Plnenie oznamovacích povinností podľa GDPR,

• Kvalitu a platnosť zmlúv s poskytovateľmi SDK a inými partnermi,

• Technické a organizačné bezpečnostné opatrenia.

Súčasťou kampane budú aj webináre a praktické návody na podporu dodržiavania odporúčaní.

Odporúčania pre prevádzkovateľov a vývojárov mobilných aplikácií

• Vykonať audit všetkých spracovaní osobných údajov – identifikovať typy údajov, účely a právne základy.

• Zabezpečiť platnosť získaných súhlasov a ich správne zdokumentovanie.

• Uzavrieť zmluvy s partnermi (najmä poskytovateľmi SDK) podľa článku 28 GDPR.

• Implementovať funkcionality na správu práv používateľov (prístup k údajom, opravy, vymazanie, prenos).

• Zabezpečiť transparentnosť a včasné informovanie používateľov.

Pre viac informácií si môžete prečítať celý dokument odporúčaní CNIL: Recommendation on mobile applications - CNILcnil.fr+2cnil.fr+2cnil.fr+2

Ak máte záujem o ďalšie informácie alebo potrebujete pomoc s implementáciou týchto odporúčaní, neváhajte nás kontaktovať.