Protection des données Pénalités

Le RGPD a infligé des amendes jusqu'à présent

Au terme de l'année 2019, on constate que la dynamique des amendes infligées en raison d'infractions aux RGPD a augmenté. Depuis l'introduction du RGPD en mai 2018, le nombre de notifications de violations de données a massivement augmenté et certaines d'entre elles ont entraîné des amendes considérables.

RGPD Amendes en 2019

En 2019, nous avons constaté une nette accélération du rythme des sanctions prononcées RGPD-Amendes.

En janvier 2019, Google s'est vu infliger une amende de 50 millions d'euros par la CNIL, l'autorité française chargée de la protection des données, pour violation de la réglementation européenne en matière de protection des données.

En mars 2019, l'autorité danoise chargée de la protection des données a infligé une amende de 1,2 million de DKK à une société de taxis, et l'autorité polonaise autorité de contrôle a infligé une amende de 220 000 euros pour collecte illégale de données.

En avril, la Nationale a imposé autorité de contrôle La Roumanie a infligé une amende de 146 000 dollars américains à Unicredit Bank S.A. pour ne pas avoir mis en place les mesures techniques et organisationnelles appropriées au sein de sa filiale nationale.

En mai 2019, l'autorité nationale lituanienne de protection des données a infligé une amende à MisterTango UAB. Amende d'un montant de 61 500 EUR.

En juin 2019, l'Espagne a infligé une amende de 250 000 euros à la Ligue de football La Liga À la suite d'une enquête menée lors de matchs de football concernant des actes de piratage et en France, la société immobilière Sergic s'est vu infliger une amende de 400 000 euros pour avoir permis l'accès à ses sites web sans authentification des utilisateurs.

En juillet 2019, certaines des plus grosses amendes jamais infligées depuis l'introduction de la RGPD a été imposée. 

L'autorité britannique de contrôle de la protection des données (ICO) a infligé des amendes de 183,4 millions de livres (230 millions de livres) à British Airways et de 99,2 millions de livres (124 millions de livres) aux hôtels Marriott pour avoir enfreint les règles de protection des données. Ces sanctions étaient les deux plus importantes jamais imposées dans le cadre de la RGPD ont été imposées.

Toujours en juillet, les Pays-Bas ont infligé une amende de 460 000 euros à un hôpital néerlandais pour le manque de rigueur dans le contrôle des dossiers médicaux.  Par ailleurs, la CNIL française a infligé une amende de 180 000 euros à la société ACTIVE INSURANCES pour avoir insuffisamment protégé les données des utilisateurs de son site web.

En août 2019, un détaillant polonais a reçu une amende de 645 000 euros pour "garanties organisationnelles et techniques insuffisantes" en raison de la RGPD.

En août également, une académie scolaire suédoise a été sanctionnée pour avoir utilisé la reconnaissance faciale lors de l'appel quotidien en classe.

Amendes au titre du RGPD en 2018

Quelques mois seulement après l'entrée en vigueur du RGPD, l'autorité portugaise a infligé autorité de contrôle ("CNPD") a infligé le 17 juillet 2018 une amende de 400.000 euros à un hôpital pour avoir enfreint le RGPD.

En octobre 2018, lorsque l’Autorité autrichienne de protection des données (DSB) a infligé à une petite entreprise une amende de 4 800 euros pour avoir installé illégalement une caméra de vidéosurveillance qui filmait également l’espace public situé devant ses locaux, il est apparu pour la première fois que même les petites entreprises étaient concernées.

En novembre 2018, une plateforme allemande de réseaux sociaux appelée Knuddels.de s'est vu infliger une amende de 20 000 euros, après qu’une faille de sécurité eut entraîné la divulgation des données à caractère personnel de 330 000 utilisateurs, y compris leurs mots de passe et leurs adresses e-mail. Le montant modeste de l’amende s’explique principalement par la coopération active de l’entreprise et ses investissements massifs dans la Protection des données par les responsables.

Les amendes liées au RGPD s'accélèrent au troisième trimestre

Le 16 octobre 2019, l'organe commun des autorités allemandes chargées de la protection des données, la Conférence sur la protection des données (DSK), a publié le modèle sur lequel elle s'est appuyée pour établir la liste des personnes concernées, conformément à l'article 83 RGPD veut calculer les amendes.

En octobre, il y a aussi eu le premier Amende de plusieurs millions de dollars en Allemagne, lorsque la commissaire berlinoise à la protection des données et à la liberté d'information a annoncé que Deutsche Wohnen AG devait payer une amende de 14,5 millions d'euros pour ne pas avoir mis en place un système de protection des données adéquat. Stratégie d'extinction pour les justificatifs relatifs aux locataires.

Le 25 octobre, l'autorité espagnole chargée de la protection des données a infligé à Vodafone Spain une amende de 35 000 euros pour insuffisance Bases juridiques imposée en matière de traitement des données.

Le 31 octobre, les Pays-Bas ont infligé une amende de 900 000 euros à l'organisme néerlandais d'assurance sociale UWV en raison de la sécurité insuffisante de son portail en ligne destiné aux salariés.

En octobre 2019, Facebook a accepté de payer l'amende annoncée par l'ICO en juillet 2018 en lien avec les violations de données de Cambridge Analytica en 2015. Étant donné que la mesure a été prise avant RGPD l'amende maximale que l'ICO pouvait imposer était de 500 000 £. Si les infractions avaient été commises après mai 2018, l'amende potentielle aurait pu être beaucoup plus élevée - à savoir jusqu'à 4% du chiffre d'affaires annuel de Facebook.

En novembre, la Banque nationale roumaine a imposé autorité de contrôle pour les Traitement de données à caractère personnel, la Commission européenne a infligé des amendes à quatre entreprises :

• 2 500 euros à l'encontre du président royal pour avoir rejeté une demande d'accès à des données à caractère personnel conformément à l'article 15 du RGPD et pour avoir divulgué ces données sans le consentement des personnes concernées.
• 80 000 euros à l'encontre de la banque ING N.V. de Bucarest, pour ne pas avoir pris les mesures techniques et organisationnelles appropriées pour un système de traitement automatisé des données dans le cadre du traitement des transactions par carte de 225 525 clients.
• Une entreprise de messagerie se voit infliger une amende de 11 000 euros pour ne pas avoir pris les mesures techniques et organisationnelles appropriées, ce qui a entraîné la perte et l'accès non autorisé à données à caractère personnel concernant environ 1 100 personnes.
• 2 000 euros à l'encontre de BNP Paribas Personal Finance S.A. pour non-respect d'une demande de suppression dans le délai fixé par le RGPD.

En novembre, l'Autorité espagnole de protection des données (AEPD) a infligé des amendes à plusieurs entreprises :

• Amende de 1 500 euros infligée à Cerrajero Online pour avoir collecté des données à caractère personnel sans fondement juridique suffisant.
• 900 euros Amende à TOTO TECNICOS24H S.L. pour la collecte de données à caractère personnel sans base juridique suffisante.
• 3.000 euros Amende à la Confédération générale du travail pour la divulgation de données personnelles dans un mailing sans Consentement.
• 30 000 euros Amende à nouveau Telefonica SA pour non-respect des principes généraux de traitement des données.
• Xfera Moviles SA s'est vu infliger une amende de 60 000 euros pour défaut de mesures techniques et organisationnelles (TOM) visant à garantir la sécurité de l'information.
• La Corporación Radiotelevisión Española s'est également vu infliger une amende de 60 000 euros pour défaut de mesures techniques et organisationnelles (TOM) visant à garantir la sécurité de l'information.

L'Autorité belge de protection des données (APD) a infligé une amende de 5 000 euros à un conseiller municipal et à un maire pour avoir envoyé des courriers électoraux sans fondement juridique suffisant.

En novembre, la CNIL française a infligé à Futura Internationale la deuxième amende la plus élevée, d'un montant de 500 000 euros, pour des appels non sollicités, après que plusieurs plaignants eurent reçu des appels non sollicités alors qu’ils avaient clairement indiqué à l’appelant, tant oralement que par courrier, qu’ils ne souhaitaient pas recevoir de tels appels, et que la société n’avait pas mis en place de mécanismes de transfert de données conformes ni coopéré avec la CNIL.

En décembre, une série d'amendes et de sanctions ont été infligées, dont une par l'autorité espagnole de protection des données qui a infligé à Ikea Iberica une amende de 10 000 euros pour avoir installé des Cookies sur les appareils mobiles de vos clients sans leur consentement préalable.

Le 3 décembre, l'autorité allemande de protection des données a infligé une amende de 105.000 euros à un hôpital pour plusieurs violations de la RGPD en rapport avec une confusion de patient lors de l'admission du patient. Des déficits structurels techniques et organisationnels dans la gestion des patients de l'hôpital ont ainsi été mis en évidence.

Le 4 décembre, l'autorité roumaine chargée de la protection des données a infligé une amende de 20 000 euros à une compagnie aérienne pour ne pas avoir pris les mesures appropriées afin de garantir que toute personne physique travaillant sous sa responsabilité, données à caractère personnel traitées conformément à vos instructions, conformément au RGPD.

Le 9 décembre, le commissaire fédéral à la protection des données et à la liberté de l'information (BfDI), Ulrich Kelber Amende d'un montant de 9,5 millions d'euros à l'encontre du prestataire de services de télécommunications 1&1 Telecom GmbH (1&1), qui ne protégerait pas suffisamment les données de ses clients.

Décisions tardives

L'autorité irlandaise de contrôle de la protection des données, la Data Protection Commission (DPC), devait annoncer en décembre si WhatsApp avait enfreint la RGPD en n'informant pas assez clairement ses utilisateurs sur la manière dont elle utilise leurs données personnelles. La décision est désormais attendue pour janvier 2020.

En résumé, si l'on regarde les amendes infligées jusqu'à présent après RGPD a pris un certain élan cette année. Avec des milliers de plaintes déposées ces derniers mois, l'année 2020 s'annonce très intéressante en ce qui concerne la RGPD- en ce qui concerne les amendes.

Vous vous inquiétez du respect des RGPD-Les directives ? Il n'est pas encore trop tard. 

Contactez-nous dès aujourd'hui pour savoir comment vous conformer à la réglementation sur la protection des données en 2020.