Le top 5 RGPD-Amende-La liste du mois de juillet montre : de graves violations de la RGPD sont poursuivies et sanctionnées dans toute l'Europe. C'est ce qu'a dû constater le célèbre portail de vente d'occasion Vinted : l'entreprise doit payer environ 2,4 millions d'euros pour avoir commis de graves violations de la protection des données au sein de l'UE. Les cinq amendes les plus élevées RGPD- Aperçu des amendes infligées au mois de juillet :
1. Vinted, Lituanie : 2.385.276 euros
Le 2 juillet 2024, l'autorité lituanienne de contrôle de la protection des données, le State Data Protection Inspectorate (SDPI), a imposé un Amende d'un montant de 2.385.276 euros à Vinted, UAB, l'opérateur de la plateforme de vente en ligne de vêtements d'occasion "Vinted". L'amende a été infligée à la suite de plaintes déposées par les autorités de contrôle françaises et polonaises.
Le site Amende a été imposée parce que Vinted a déposé des demandes de Suppression de données à caractère personnel et d'accès à ces données n'avait pas été traité correctement. Les demandes ont été rejetées au motif que les demandeurs n'avaient pas fourni de motif spécifique conformément à l'article 17 du RGPD.
En outre, Vinted a utilisé illégalement le "shadow blocking", qui consiste à traiter les données des utilisateurs à leur insu, ce qui est contraire aux principes d'équité et de transparence. Transparence ne sont pas respectées. En outre, des mesures techniques et organisationnelles suffisantes n'ont pas été prises pour garantir la responsabilisation et démontrer que les demandes d'exercice des droits des personnes concernées ont fait l'objet d'une réponse adéquate.
Ces infractions présentaient un caractère transfrontalier et concernaient un grand nombre de personnes sur une longue période. La décision a donc été prise lors d'une réunion à huis clos avec des représentants de la SDPI et de l'entreprise, et a fait l'objet d'une concertation avec les autorités chargées de la protection des données d'autres États membres de l'UE.
Source : Communiqué de presse de l'Inspection nationale de la protection des données
2. AS Watson Health & Beauty Continental Europe, Pays-Bas : 600.000 euros
L'autorité néerlandaise de protection des données Autoriteit Persoonsgegevens (AP) a lancé une procédure contre l'entreprise derrière la chaîne de drugstores Kruidvat. Amende d'un montant de 600 000 euros.
La raison en est que l'entreprise utilise les données des visiteurs du site Kruidvat.nl à leur insu et sans leur consentement pour Suivi-Cookies a suivi. C'est ainsi que Kruidvat a collecté des données sensibles données à caractère personnel de millions de visiteurs du site web sans leur consentement.
L'entreprise établissait également des profils personnels des visiteurs en collectant des données telles que leur localisation, les pages consultées, les produits ajoutés au panier et achetés, ainsi que les recommandations sur lesquelles ils avaient cliqué. Les données collectées comprenaient des informations sensibles telles que les tests de grossesse, les contraceptifs et les médicaments, ce qui permettait d'établir un profil détaillé et intrusif des visiteurs.
En outre, la bannière des cookies sur Kruidvat.nl contenait des cases de consentement cochées par défaut, ce qui est inadmissible. Les visiteurs du site web devaient passer par plusieurs étapes pour Cookies de refuser.
3. GSMA Limited, Espagne : 600 000 euros
L'Agencia española protección datos (AEPD), l'autorité espagnole chargée de la protection des données, a enquêté sur la base d'une Plainte d'un particulier la démarche de GSMA Limited, l'organisateur du Mobile World Congress 2022 (MWC 2022).
Les employés du MWC 2022 ont dû télécharger leur certificat de vaccination contre la COVID-19 ou des informations sanitaires équivalentes sur un portail en ligne pour pouvoir accéder au site. La GSMA a expliqué que la collecte des Données de santé nécessaire pour garantir la sécurité de l'événement et empêcher la propagation du COVID-19. Ils ont précisé que les données seraient gérées par Quironprevención, un prestataire de services médicaux, et supprimées à l'issue de l'événement.
L'enquête de l'AEPD a révélé que la GSMA n'avait pas suffisamment informé les personnes concernées du traitement des données. En outre, la GSMA ne disposait pas d'une base juridique suffisante pour Traitement le Données de santé.
Le site Amende se compose comme suit : 100.000 euros pour le Violation contre l'article 14 RGPD. 300.000 euros pour violation de l'article 9, paragraphe 2 RGPD. 200.000 euros pour violation de l'article 6, paragraphe 1 RGPD.
Source : Avis d'amende de l'Agence espagnole de protection des données
4. Telefónica Móviles España (TME), Espagne : 200 000 euros
Le 21 mars 2023, une personne a déposé une Plainte auprès de l'Agencia española protección datos (AEPD), l'autorité espagnole chargée de la protection des données. Le plaignant a déclaré que sa carte SIM Movistar s'était soudainement arrêtée de fonctionner le 7 janvier 2023. Après s'être rendu dans un magasin Movistar le 9 janvier, il a reçu une nouvelle carte SIM et a constaté par la suite que six transactions bancaires non autorisées avaient été effectuées entre le 7 et le 9 janvier. Le 17 janvier, TME a informé le plaignant qu'un duplicata de la carte SIM avait été envoyé le 7 janvier à un troisième personne.
Au cours de l'enquête menée par l'autorité chargée de la protection des données, TME a expliqué que la procédure habituelle de délivrance d'une carte SIM de remplacement comprenait une double vérification d'identité (visuelle et sur pièces) afin de s'assurer que seules les personnes autorisées reçoivent la carte. TME n'a toutefois pas été en mesure de fournir de documents confirmant la vérification de l'identité de la tierce personne le 7 janvier.
L'AEPD a constaté que TME violait l'article 6, paragraphe 1, du règlement général sur la protection des données (RGPD) en délivrant la carte SIM à un tiers non autorisé sans vérification suffisante de l'identité. Le fait que l'incident ait été causé par les agissements frauduleux d'un tiers n'y fait pas obstacle. Une amende de 200.000 euros est infligée à TME.
Source : Avis d'amende de l'Agence espagnole de protection des données
5. Vodafone España, Espagne : 200 000 euros
Un particulier a reçu à plusieurs reprises des appels publicitaires non autorisés provenant de numéros Vodafone, alors que son numéro figure sur la liste Robinson destinée à empêcher les appels publicitaires.
Vodafone a expliqué que ces appels ne provenaient pas de ses partenaires agréés et que les numéros de téléphone en question étaient exploités par des tiers. Par ailleurs, Vodafone a informé l'Autorité espagnole de protection des données (AEPD) qu'elle avait mis fin à sa collaboration avec des partenaires ayant enfreint à plusieurs reprises les règles relatives à la protection des données et qu'elle avait pris des mesures pour mieux identifier les numéros de téléphone.
Toutefois, au cours de son enquête, l'AEPD a constaté que Vodafone avait enfreint l'article 58, paragraphe 1, du règlement général sur la protection des données (RGPD) en ne fournissant pas les informations nécessaires à l'enquête sur les appels. Une amende de 200 000 euros a été infligée à l'entreprise pour avoir insuffisamment coopéré et ne pas avoir fourni les informations nécessaires dans le cadre d'une enquête sur la protection des données.
Source : Avis d'amende de l'Agence espagnole de protection des données
German 
English 
Italian 
French