Anche nel mese di agosto le autorità garanti della protezione dei dati sono state attive e hanno inflitto sanzioni in alcuni casi molto elevate. Ha suscitato grande scalpore la sanzione di 290 milioni di euro comminata dall’autorità olandese per la protezione dei dati alla piattaforma di trasporto Uber. Inoltre, ad agosto vale la pena dare un’occhiata alle decisioni di sanzione emesse in Belgio, Svezia e Spagna, che presentano dettagli interessanti. Le indagini condotte in Spagna nei confronti dell’azienda di moda Uniqlo Europe dimostrano come un errore di negligenza commesso da un singolo dipendente possa costare caro a un’azienda.
1 Uber: 290 milioni di euro (Paesi Bassi)
L'autorità olandese per la protezione dei dati Autoriteit Persoonsgegevens (AP) ha presentato un reclamo contro il servizio di ride-hailing Uber. Fine per un importo di 290 milioni di euro. Il motivo della multa è la protezione inadeguata dei dati personali dei tassisti europei trasferiti alla sede centrale di Uber negli Stati Uniti.
L'indagine dell'autorità per la protezione dei dati ha fatto seguito alle denunce di oltre 170 autisti francesi di Uber. Essi avevano presentato un reclamo all'organizzazione francese per i diritti umani Ligue des droits de l'Homme (LDH) in merito alle pratiche di protezione dei dati di Uber. La LDH ha quindi presentato un Reclamo all'autorità francese per la protezione dei dati. Poiché la sede europea di Uber si trova nei Paesi Bassi, l'autorità olandese per la protezione dei dati è stata responsabile dell'indagine.
Tra le altre cose, Uber era in possesso di informazioni sensibili come i dati dell'account e della patente di guida e i dati relativi alla posizione, FotoLe informazioni di pagamento, i documenti d'identità e, in alcuni casi, i dati penali e medici dei conducenti europei vengono raccolti e conservati su server negli Stati Uniti.
Il trasferimento di questi dati sensibili è avvenuto per un periodo di oltre due anni. Nel corso del processo, non sono state attuate le necessarie misure di protezione che avrebbero potuto essere evitate dalla GDPR sono prescritti. L'autorità di protezione dei dati classifica i Violazione di Uber come una cosa seria.
Fonte: Provvedimento sanzionatorio dell’Autoriteit Persoonsgegevens nei confronti di Uber
2. T-Mobile US: 60 milioni di USD
Il Committee on Foreign Investment in the U.S. (CFIUS) ha inflitto all’operatore di telefonia mobile T-Mobile US una sanzione pecuniaria pari a 60 milioni di dollari (circa 55 milioni di euro).
L'azienda non è riuscita a impedire e a segnalare l'accesso non autorizzato a dati sensibili, hanno dichiarato alcuni alti funzionari statunitensi il 14 agosto all'agenzia di stampa Reuters. Inoltre, T-Mobile US non avrebbe segnalato alcune violazioni con sufficiente tempestività, rendendo più complesse le indagini dell'autorità.
In una dichiarazione, T-Mobile ha spiegato che, nel corso della fusione con l'operatore di telefonia mobile statunitense Sprint, si sono verificati alcuni problemi tecnici che sono stati rapidamente risolti. Nello specifico, tra agosto 2020 e giugno 2021 si sono verificati, in alcuni casi, accessi non autorizzati a dati sensibili. Secondo quanto riferito dall’azienda, il problema ha riguardato un numero esiguo di richieste da parte delle autorità investigative.
A T-Mobile US è stata inflitta già la seconda multa milionaria quest'anno. Già ad aprile la FCC aveva comminato una sanzione di 80 milioni di dollari (circa 74,7 milioni di euro) perché l'azienda non aveva protetto adeguatamente i dati di localizzazione dei propri clienti.
Suggerimento di lettura: Sanzioni attualmente in vigore negli Stati Uniti per le violazioni della normativa sulla protezione dei dati
3. Apoteket AB e Apohem AB: 37 milioni di SEK e 8 milioni di SEK (Svezia)
L’autorità svedese per la protezione dei dati, Integritetsskyddsmyndigheten (IMY), ha inflitto ammende per un importo di 37 milioni di SEK (circa 3,26 milioni di euro) ad Apoteket AB e di 8 milioni di SEK (circa 705.000 euro) nei confronti di Apohem AB. Le società avevano utilizzato il «Meta-Pixel» sui propri siti web e, per un periodo di tempo prolungato, avevano raccolto dati rilevanti ai fini della protezione dei dati personali Dati personali trasmesso a Meta.
Apoteket e Apohem hanno utilizzato lo strumento analitico Meta-Pixel di Meta sui loro siti web dal gennaio 2010 all'aprile 2022 per analizzare le loro Marketing su Facebook e Instagram. L'errata Trasmissione dei dati personali è stato causato dal fatto che le aziende hanno attivato una nuova sottofunzione del meta pixel.
L'attivazione della funzione "Advanced Matching" (AAM) di Meta Pixel ha fatto sì che venissero elaborati e trasmessi a Meta più dati di quelli originariamente previsti. Tra l'altro, le società hanno trasmesso dati sull'acquisto di farmaci da banco, autotest e trattamenti per malattie sessualmente trasmissibili e giocattoli sessuali. Tali dati possono fornire informazioni sulla salute o sulla vita sessuale di una persona e sono pertanto soggetti alle disposizioni dell'art. 9 del GDPR. GDPR protezione speciale.
L'indagine dell'IMY ha rivelato che le società non avevano adottato misure tecniche e organizzative appropriate per garantire un livello adeguato di protezione dei dati personali dei clienti. Solo dopo l'incidente entrambe le società hanno adottato diverse misure per migliorare la conformità alle normative sulla protezione dei dati. Tra queste, una revisione completa del sistema di Biscotti e strumenti di analisi, l'implementazione della formazione dei dipendenti e la creazione di una nuova funzione di controllo della conformità alle normative sulla protezione dei dati nel reparto marketing.
Fonte: Avviso di sanzione dell’Autorità per la tutela della privacy nei confronti di Apoteket AB
Fonte: Avviso di sanzione dell'Autorità per la tutela della privacy nei confronti di Apohem AB
4° Uniqlo Europa: 270.000 euro (Spagna)
Un contrattempo con conseguenze: un ex dipendente dell’azienda di moda giapponese Uniqlo ha richiesto l’invio della propria busta paga relativa a luglio 2022. Oltre alla propria busta paga, il file PDF che gli è stato inviato conteneva anche le buste paga di altri 446 dipendenti.
L'indagine dell'autorità spagnola per la protezione dei dati Agencia Española de Protección de Datos (AEPD) ha rivelato che la violazione dei dati è stata causata da un errore delle risorse umane. Tuttavia, questo errore non è stato né segnalato internamente né riconosciuto in tempo. Solo quando UNIQLO è stata informata nell'aprile del 2023 della Reclamo è stata informata dall'AEPD, l'azienda ha riconosciuto l'incidente come una violazione della sicurezza. Inoltre, i dipendenti interessati non sono stati informati immediatamente. La notifica è stata effettuata solo il 4 maggio 2023, dopo che Uniqlo è stata informata dell'incidente. Reclamo è stata informata. Uniqlo ha dichiarato di non aver ricevuto alcuna indicazione che i dati siano stati compromessi o utilizzati in altro modo. Tuttavia, l'azienda ha consigliato ai dipendenti interessati di rimanere vigili e di monitorare i loro conti bancari per verificare la presenza di attività insolite.
L'AEPD ha riscontrato che Uniqlo ha violato diverse disposizioni della legge. GDPR è stato violato:
- Articolo 5, paragrafo 1, lettera f) GDPRUNIQLO ha violato il principio di Riservatezza e Integrità trattando i dati personali di 447 dipendenti in modo improprio. Trasmissione ha divulgato. La divulgazione non autorizzata di queste informazioni sensibili costituisce un grave reato. Violazione in particolare perché i dati non erano criptati e venivano trasmessi via e-mail, aumentando così il rischio di accesso da parte di persone non autorizzate. Terza parte è stato aumentato.
- Articolo 32 GDPRUNIQLO non aveva adottato misure tecniche e organizzative adeguate per garantire un livello di protezione adeguato. Nonostante l'introduzione di un portale di sicurezza e di un manuale sulla sicurezza delle informazioni, l'attuazione dei protocolli di sicurezza era chiaramente insufficiente a prevenire una simile violazione dei dati. La formazione e la sensibilizzazione dei dipendenti sulla Protezione dei dati non erano sufficienti a minimizzare il rischio di errore umano.
Il fatto che un dipendente abbia commesso un errore non esime l'azienda dalla sua responsabilità. Secondo la giurisprudenza della Corte Suprema spagnola (STS n. 188/2022), l'azienda rimane responsabile anche se il dipendente ha commesso l'errore. Violazione è dovuto alla negligenza di un dipendente.
La multa originariamente inflitta dall'AEPD per un totale di 450.000 euro è stata ridotta a 270.000 euro. Uniqlo ha cancellato il Violazione e da allora ha adottato misure per evitare che un simile incidente si verifichi in futuro.
Fonte: Avviso di sanzione dell'Agencia Española de Protección de Datos
5a società di telecomunicazioni: 100.000 euro (Belgio)
Il 23 agosto 2024, la Chambre Contentieuse dell’Autorità belga per la protezione dei dati (Autorité de Protection des Données, APD) ha inflitto un’ammenda di 100.000 euro a un’azienda di telecomunicazioni di cui non è stato reso noto il nome.
L'azienda ha risposto solo 14 mesi dopo aver ricevuto una richiesta di informazioni da un cliente. Il ritardo nella risposta ha comportato l'impossibilità per APD di soddisfare la richiesta a causa del Reclamo della persona interessata ha avviato un'indagine.
La Chambre Contentieuse ha ritenuto che la società abbia violato gli articoli 12 e 15 del Codice Civile. GDPR aveva violato il Diritto all'informazione non è stato debitamente concesso all’interessato.
Articolo 15 del GDPR garantisce all'interessato il diritto di ottenere dal titolare del trattamento la conferma che Dati personali vengano trattati, nonché di ottenere l'accesso a tali dati e a ulteriori informazioni.
Secondo l'articolo 12 del GDPR deve essere lo stesso per l'elemento Elaborazione Il responsabile del trattamento deve adottare misure per facilitare l'esercizio dei diritti degli interessati e rispondere alle richieste "senza indebito ritardo e in ogni caso entro un mese".
Tuttavia, il convenuto non aveva agito entro il termine previsto dall'art. 12, par. 3, del regolamento. GDPR Il denunciante non ha risposto alla richiesta di informazioni entro il termine stabilito. Inoltre, le informazioni richieste sono state messe a disposizione del denunciante solo dopo ripetute richieste e durante il procedimento in corso.
Nel calcolare l'ammenda, si è tenuto conto del fatto che la violazione del diritto all'informazione è generalmente considerata un reato grave. Violazione è da classificare. Il ritardo nella risposta alla richiesta di informazioni di oltre 14 mesi è stato considerato un reato continuato. Violazione valutato. Si è anche tenuto conto del fatto che una risposta soddisfacente è stata data solo su pressione dell'autorità.
Fonte: Avviso di sanzione dell'Autorité de Protection des Données
German 
English 
Italian 
French