La Top 5 GDPR-Fine-L'elenco relativo al mese di luglio evidenzia: gravi violazioni delle GDPR vengono perseguiti e sanzionati in tutta Europa. Ne ha fatto le spese il noto portale di articoli di seconda mano Vinted: l’azienda dovrà pagare circa 2,4 milioni di euro per aver commesso gravi violazioni della normativa sulla protezione dei dati nell’UE. Le cinque sanzioni più elevate GDPR- Panoramica delle multe del mese di luglio:
1° Vinted, Lituania: 2.385.276 euro
Il 2 luglio 2024, l'autorità lituana di controllo della protezione dei dati, l'Ispettorato statale per la protezione dei dati (SDPI), ha imposto una Fine per un importo di 2.385.276 euro nei confronti di Vinted, UAB, gestore della piattaforma di commercio online di abiti di seconda mano "Vinted". La multa è stata comminata in seguito alle denunce delle autorità di vigilanza francesi e polacche.
Il Fine è stato imposto perché Vinted ha presentato domande di Cancellazione di dati personali e l'accesso a tali dati. Le richieste sono state respinte in quanto i richiedenti non hanno fornito un motivo specifico ai sensi dell'articolo 17 del Regolamento generale sulla protezione dei dati.
Inoltre, Vinted ha utilizzato illegalmente il "blocco ombra", in base al quale i dati degli utenti sono stati trattati a loro insaputa, violando i principi di correttezza e trasparenza. Trasparenza violati. Inoltre, non sono state adottate misure tecniche e organizzative sufficienti a garantire la responsabilità e a dimostrare che le richieste di esercizio dei diritti degli interessati hanno ricevuto una risposta adeguata.
Le violazioni avevano carattere transfrontaliero e hanno interessato un numero elevato di persone per un periodo di tempo prolungato. La decisione è stata quindi presa nel corso di una riunione a porte chiuse con i rappresentanti della SDPI e dell’azienda e concordata con le autorità garanti della protezione dei dati di altri Stati membri dell’UE.
Fonte: Comunicato stampa Ispettorato statale per la protezione dei dati
2° AS Watson Health & Beauty Continental Europe, Paesi Bassi: 600.000 euro
L'autorità olandese per la protezione dei dati personali Autoriteit Persoonsgegevens (AP) ha avviato un procedimento contro la società che gestisce la catena di farmacie Kruidvat. Fine per un importo di 600.000 euro.
Il motivo è che l'azienda utilizza i dati dei visitatori del sito web Kruidvat.nl a loro insaputa e senza il loro consenso per Tracciamento-Biscotti ha perseguito. In questo modo, Kruidvat ha raccolto dati sensibili Dati personali di milioni di visitatori di siti web senza il loro consenso.
L'azienda creava inoltre profili personali dei visitatori, raccogliendo dati quali la posizione, le pagine visitate, i prodotti aggiunti al carrello e acquistati, nonché i suggerimenti cliccati. I dati raccolti includevano informazioni sensibili quali test di gravidanza, contraccettivi e farmaci, che consentivano di tracciare un profilo dettagliato e invasivo dei visitatori.
Inoltre, il banner dei cookie su Kruidvat.nl conteneva caselle di consenso spuntate per impostazione predefinita, il che non è consentito. I visitatori del sito web hanno dovuto superare diversi passaggi per accettare i cookie. Biscotti da respingere.
3. GSMA Limited, Spagna: 600.000 euro
L'autorità spagnola per la protezione dei dati, Agencia española protección datos (AEPD), ha indagato su una Reclamo della GSMA Limited, organizzatrice del Mobile World Congress 2022 (MWC 2022).
I collaboratori del MWC 2022 hanno dovuto caricare su un portale online il proprio certificato di vaccinazione contro il COVID-19 o informazioni sanitarie equivalenti per poter accedere all’area della fiera. La GSMA ha spiegato che la raccolta dei Dati sulla salute necessario per garantire la sicurezza dell’evento e impedire la diffusione del COVID-19. Hanno precisato che i dati sarebbero stati gestiti da Quironprevención, un fornitore di servizi sanitari, e cancellati al termine dell’evento.
L'indagine dell'AEPD ha rivelato che la GSMA non aveva informato sufficientemente gli interessati sul trattamento dei dati. Inoltre, il GSMA non disponeva di una base giuridica sufficiente per il trattamento dei dati. Elaborazione il Dati sulla salute.
Il Fine è così composto: 100.000 euro per la Violazione contro l'articolo 14 GDPR. 300.000 euro per violazione dell'art. 9 par. 2 GDPR. 200.000 euro per violazione dell'art. 6 par. 1 GDPR.
Fonte: Avviso di sanzione dell'Agenzia spagnola per la protezione dei dati
4. Telefónica Móviles España (TME), Spagna: 200.000 euro
In data 21 marzo 2023, una persona ha presentato un Reclamo all'autorità spagnola per la protezione dei dati Agencia española protección datos (AEPD). Il denunciante ha dichiarato che la sua carta SIM Movistar ha improvvisamente smesso di funzionare il 7 gennaio 2023. Dopo essersi recato in un negozio Movistar il 9 gennaio, ha ricevuto una nuova carta SIM e successivamente ha scoperto che tra il 7 e il 9 gennaio erano state effettuate sei transazioni bancarie non autorizzate. Il 17 gennaio TME ha informato il denunciante che il 7 gennaio era stato inviato un duplicato della carta SIM a un terzo persona è stato emesso.
Nel corso dell’indagine condotta dall’autorità per la protezione dei dati, TME ha spiegato che la procedura standard per il rilascio di una scheda SIM duplicata prevede una doppia verifica dell’identità (visiva e tramite documenti) al fine di garantire che solo le persone autorizzate ricevano la scheda. TME non è stata tuttavia in grado di presentare alcuna documentazione che confermasse la verifica dell’identità della terza persona avvenuta il 7 gennaio.
L'AEPD ha rilevato che TME ha violato l'articolo 6, paragrafo 1, del regolamento generale sulla protezione dei dati (GDPR) rilasciando la carta SIM a un terzo non autorizzato senza una sufficiente verifica dell'identità. Il fatto che l'incidente sia stato causato da un comportamento fraudolento da parte di un terzo non impedisce che ciò avvenga. A TME sarà inflitta una multa di 200.000 euro.
Fonte: Avviso di sanzione dell'Agenzia spagnola per la protezione dei dati
5. Vodafone España, Spagna: 200.000 euro
Un privato ha ricevuto ripetutamente chiamate pubblicitarie non autorizzate da numeri Vodafone, nonostante il suo numero fosse iscritto nella lista Robinson per il blocco delle chiamate pubblicitarie.
Vodafone ha dichiarato che le chiamate non provenivano dai suoi partner autorizzati e che i numeri di telefono in questione erano gestiti da terzi. Inoltre, Vodafone ha informato l’Autorità spagnola per la protezione dei dati (AEPD) di aver interrotto la collaborazione con i partner che avevano ripetutamente violato le norme sulla protezione dei dati e di aver adottato misure per identificare meglio i numeri di telefono.
Nel corso dell'indagine, tuttavia, l'AEPD ha riscontrato che Vodafone ha violato l'articolo 58, paragrafo 1, del Regolamento generale sulla protezione dei dati (GDPR) non avendo fornito le informazioni necessarie per indagare sulle chiamate. L'azienda è stata multata di 200.000 euro per insufficiente collaborazione e mancata fornitura delle informazioni necessarie nell'ambito di un'indagine sulla protezione dei dati.
Fonte: Avviso di sanzione dell'Agenzia spagnola per la protezione dei dati
German 
English 
Italian 
French