Le cinque multe più alte nell'agosto 2024

Multe nell'agosto 2024.
Categorie:

Le autorità per la protezione dei dati sono state attive anche nel mese di agosto e hanno imposto multe molto elevate. Ha fatto scalpore la multa di 290 milioni di euro inflitta dall'autorità olandese per la protezione dei dati alla società di ride-hailing Uber. Ad agosto vale la pena dare un'occhiata anche alle multe comminate in Belgio, Svezia e Spagna, con dettagli interessanti. Le indagini contro l'azienda di moda Uniqlo Europe in Spagna mostrano come l'errore negligente di un singolo dipendente possa costare caro a un'azienda.

1 Uber: 290 milioni di euro (Paesi Bassi)

L'autorità olandese per la protezione dei dati Autoriteit Persoonsgegevens (AP) ha presentato un reclamo contro il servizio di ride-hailing Uber. Fine per un importo di 290 milioni di euro. Il motivo della multa è la protezione inadeguata dei dati personali dei tassisti europei trasferiti alla sede centrale di Uber negli Stati Uniti.

L'indagine dell'autorità per la protezione dei dati ha fatto seguito alle denunce di oltre 170 autisti francesi di Uber. Essi avevano presentato un reclamo all'organizzazione francese per i diritti umani Ligue des droits de l'Homme (LDH) in merito alle pratiche di protezione dei dati di Uber. La LDH ha quindi presentato un Reclamo all'autorità francese per la protezione dei dati. Poiché la sede europea di Uber si trova nei Paesi Bassi, l'autorità olandese per la protezione dei dati è stata responsabile dell'indagine.

Tra le altre cose, Uber era in possesso di informazioni sensibili come i dati dell'account e della patente di guida e i dati relativi alla posizione, FotoLe informazioni di pagamento, i documenti d'identità e, in alcuni casi, i dati penali e medici dei conducenti europei vengono raccolti e conservati su server negli Stati Uniti.

Il trasferimento di questi dati sensibili è avvenuto per un periodo di oltre due anni. Nel corso del processo, non sono state attuate le necessarie misure di protezione che avrebbero potuto essere evitate dalla GDPR sono prescritti. L'autorità di protezione dei dati classifica i Violazione di Uber come una cosa seria.

Fonte: Multe imposte a Uber dall'Autoriteit Persoonsgegevens

2. T-Mobile US: 60 milioni di USD

Il Comitato per gli investimenti esteri negli Stati Uniti (CFIUS) ha imposto una multa di 60 milioni di dollari (circa 55 milioni di euro) all'azienda di comunicazioni mobili T-Mobile US.

L'azienda non è riuscita a prevenire e a segnalare l'accesso non autorizzato a dati sensibili, hanno dichiarato alti funzionari statunitensi alla Reuters il 14 agosto. Inoltre, T-Mobile US non ha segnalato alcune violazioni con sufficiente rapidità, rendendo più difficili le indagini delle autorità.

In un comunicato, T-Mobile ha spiegato che la fusione con la società di telefonia mobile statunitense Sprint ha comportato problemi tecnici che sono stati rapidamente risolti. In particolare, si sono verificati alcuni casi di accesso non autorizzato a dati sensibili tra agosto 2020 e giugno 2021. Secondo l'azienda, è stato interessato un piccolo numero di richieste da parte delle autorità investigative.

T-Mobile US è già stata multata per milioni di dollari per la seconda volta quest'anno. Ad aprile la FCC aveva già imposto una multa di 80 milioni di dollari (circa 74,7 milioni di euro) perché l'azienda non aveva protetto adeguatamente i dati di localizzazione dei suoi clienti.

Suggerimento di lettura: Le attuali sanzioni per le violazioni della protezione dei dati negli USA

3. Apoteket AB e Apohem AB: 37 milioni di SEK e 8 milioni di SEK (Svezia)

L'autorità svedese per la protezione dei dati Integritetsskyddsmyndigheten (IMY) ha imposto multe per un totale di 37 milioni di corone svedesi (circa 3,26 milioni di euro) ad Apoteket AB e 8 milioni di corone svedesi (circa 705.000 euro) ad Apohem AB. Le società avevano utilizzato il meta pixel sui loro siti web e violato la legge sulla protezione dei dati per un lungo periodo di tempo. Dati personali trasmesso a Meta.

Apoteket e Apohem hanno utilizzato lo strumento analitico Meta-Pixel di Meta sui loro siti web dal gennaio 2010 all'aprile 2022 per analizzare le loro Marketing su Facebook e Instagram. L'errata Trasmissione dei dati personali è stato causato dal fatto che le aziende hanno attivato una nuova sottofunzione del meta pixel.

L'attivazione della funzione "Advanced Matching" (AAM) di Meta Pixel ha fatto sì che venissero elaborati e trasmessi a Meta più dati di quelli originariamente previsti. Tra l'altro, le società hanno trasmesso dati sull'acquisto di farmaci da banco, autotest e trattamenti per malattie sessualmente trasmissibili e giocattoli sessuali. Tali dati possono fornire informazioni sulla salute o sulla vita sessuale di una persona e sono pertanto soggetti alle disposizioni dell'art. 9 del GDPR. GDPR protezione speciale.

L'indagine dell'IMY ha rivelato che le società non avevano adottato misure tecniche e organizzative appropriate per garantire un livello adeguato di protezione dei dati personali dei clienti. Solo dopo l'incidente entrambe le società hanno adottato diverse misure per migliorare la conformità alle normative sulla protezione dei dati. Tra queste, una revisione completa del sistema di Biscotti e strumenti di analisi, l'implementazione della formazione dei dipendenti e la creazione di una nuova funzione di controllo della conformità alle normative sulla protezione dei dati nel reparto marketing.

Fonte: Avviso di multa Integritetsskyddsmyndigheten contro Apoteket AB

Fonte: Comunicazione di ammenda Integritetsskyddsmyndigheten contro Apohem AB

4° Uniqlo Europa: 270.000 euro (Spagna)

Un contrattempo con conseguenze: Un ex dipendente dell'azienda di moda giapponese Uniqlo ha chiesto che gli venisse inviata la sua busta paga del luglio 2022. Oltre alla sua busta paga, il file PDF inviatogli conteneva le buste paga di altri 446 dipendenti.

L'indagine dell'autorità spagnola per la protezione dei dati Agencia Española de Protección de Datos (AEPD) ha rivelato che la violazione dei dati è stata causata da un errore delle risorse umane. Tuttavia, questo errore non è stato né segnalato internamente né riconosciuto in tempo. Solo quando UNIQLO è stata informata nell'aprile del 2023 della Reclamo è stata informata dall'AEPD, l'azienda ha riconosciuto l'incidente come una violazione della sicurezza. Inoltre, i dipendenti interessati non sono stati informati immediatamente. La notifica è stata effettuata solo il 4 maggio 2023, dopo che Uniqlo è stata informata dell'incidente. Reclamo è stata informata. Uniqlo ha dichiarato di non aver ricevuto alcuna indicazione che i dati siano stati compromessi o utilizzati in altro modo. Tuttavia, l'azienda ha consigliato ai dipendenti interessati di rimanere vigili e di monitorare i loro conti bancari per verificare la presenza di attività insolite.

L'AEPD ha riscontrato che Uniqlo ha violato diverse disposizioni della legge. GDPR è stato violato:

  1. Articolo 5, paragrafo 1, lettera f) GDPRUNIQLO ha violato il principio di Riservatezza e Integrità trattando i dati personali di 447 dipendenti in modo improprio. Trasmissione ha divulgato. La divulgazione non autorizzata di queste informazioni sensibili costituisce un grave reato. Violazione in particolare perché i dati non erano criptati e venivano trasmessi via e-mail, aumentando così il rischio di accesso da parte di persone non autorizzate. Terza parte è stato aumentato.
  2. Articolo 32 GDPRUNIQLO non aveva adottato misure tecniche e organizzative adeguate per garantire un livello di protezione adeguato. Nonostante l'introduzione di un portale di sicurezza e di un manuale sulla sicurezza delle informazioni, l'attuazione dei protocolli di sicurezza era chiaramente insufficiente a prevenire una simile violazione dei dati. La formazione e la sensibilizzazione dei dipendenti sulla Protezione dei dati non erano sufficienti a minimizzare il rischio di errore umano.

Il fatto che un dipendente abbia commesso un errore non esime l'azienda dalla sua responsabilità. Secondo la giurisprudenza della Corte Suprema spagnola (STS n. 188/2022), l'azienda rimane responsabile anche se il dipendente ha commesso l'errore. Violazione è dovuto alla negligenza di un dipendente.

La multa originariamente inflitta dall'AEPD per un totale di 450.000 euro è stata ridotta a 270.000 euro. Uniqlo ha cancellato il Violazione e da allora ha adottato misure per evitare che un simile incidente si verifichi in futuro.

Fonte: Avviso di multa Agencia Española de Protección de Datos

5a società di telecomunicazioni: 100.000 euro (Belgio)

Il 23 agosto 2024, la Chambre Contentieuse dell'autorità belga per la protezione dei dati (Autorité de Protection des Données, APD) ha inflitto una multa di 100.000 euro a una società di telecomunicazioni senza nome.

L'azienda ha risposto solo 14 mesi dopo aver ricevuto una richiesta di informazioni da un cliente. Il ritardo nella risposta ha comportato l'impossibilità per APD di soddisfare la richiesta a causa del Reclamo della persona interessata ha avviato un'indagine.

La Chambre Contentieuse ha ritenuto che la società abbia violato gli articoli 12 e 15 del Codice Civile. GDPR aveva violato il Diritto all'informazione l'interessato non è stato concesso in modo appropriato.

Articolo 15 del GDPR garantisce all'interessato il diritto di ottenere dal titolare del trattamento la conferma che Dati personali elaborati, nonché l'accesso a questi dati e a ulteriori informazioni.

Secondo l'articolo 12 del GDPR deve essere lo stesso per l'elemento Elaborazione Il responsabile del trattamento deve adottare misure per facilitare l'esercizio dei diritti degli interessati e rispondere alle richieste "senza indebito ritardo e in ogni caso entro un mese".

Tuttavia, il convenuto non aveva agito entro il termine previsto dall'art. 12, par. 3, del regolamento. GDPR Il denunciante non ha risposto alla richiesta di informazioni entro il termine stabilito. Inoltre, le informazioni richieste sono state messe a disposizione del denunciante solo dopo ripetute richieste e durante il procedimento in corso.

Nel calcolare l'ammenda, si è tenuto conto del fatto che la violazione del diritto all'informazione è generalmente considerata un reato grave. Violazione è da classificare. Il ritardo nella risposta alla richiesta di informazioni di oltre 14 mesi è stato considerato un reato continuato. Violazione valutato. Si è anche tenuto conto del fatto che una risposta soddisfacente è stata data solo su pressione dell'autorità.  

Fonte: Avviso di multa Autorité de Protection des Données

Tag:
Condividi questo post :