DPIA

L'attesa è finita
Ailance™ DPIA è qui!

Le cinque multe più alte a settembre 2024

Quali normative GDPR Meta e Clearview AI hanno violato e cosa possono imparare le altre aziende dalle multe.
Categorie:

Con l'imposizione di multe milionarie a grandi aziende statunitensi, a settembre le autorità per la protezione dei dati dell'UE hanno preso posizione: quali sono le norme GDPR violate da Meta e Clearview AI e cosa possono imparare le altre aziende.

1. Meta Platforms Ireland Ltd: 91 milioni di euro (Irlanda)

La Commissione irlandese per la protezione dei dati (DPC) ha imposto una multa di 91 milioni di euro a Meta Platforms Ireland Limited (MPIL) il 26 settembre 2024.

Nel marzo 2019, MPIL ha informato il DPC che le password degli utenti dei social media erano state inavvertitamente memorizzate in chiaro. Le password non erano né criptate né altrimenti protette crittograficamente. Terzi non autorizzati non avevano accesso alle password.

L'incidente ha dato il via a un'indagine da parte del DPC. L'indagine si è concentrata sulla questione se MPIL avesse adottato adeguate precauzioni di sicurezza nel trattamento delle password degli utenti e se l'azienda avesse rispettato gli obblighi previsti dal GDPR, in particolare per quanto riguarda la documentazione e la segnalazione delle violazioni dei dati.

L'indagine del DPC ha rivelato diverse violazioni del GDPR:

  • Articolo 33, paragrafo 1, del GDPR - MPIL non ha informato immediatamente il DPC della violazione dei dati in relazione alla memorizzazione delle password degli utenti in chiaro.
  • Articolo 33(5) GDPR - MPIL non ha documentato adeguatamente la violazione dei dati in relazione alla memorizzazione delle password degli utenti in chiaro.
  • Articolo 5, paragrafo 1, lettera f), GDPR - MPIL non ha adottato misure tecniche e organizzative adeguate per garantire la sicurezza delle password degli utenti, compromettendo così l'integrità e la riservatezza dei dati.
  • Articolo 32, paragrafo 1, GDPR - MPIL non ha effettuato una valutazione dei rischi sufficiente.


Fonte:
Comunicato stampa della DPC sulla multa inflitta a Meta Platforms Ireland Limited

2. Clearview AI: 30,5 milioni di euro (Paesi Bassi)

L'autorità olandese per la protezione dei dati "Autoriteit Persoonsgegevens" (AP) ha inflitto una multa di 30,5 milioni di euro all'azienda statunitense Clearview AI Inc.

Clearview AI offre un software di riconoscimento facciale basato su un database di oltre 30 miliardi di foto. Queste foto provengono da fonti pubbliche su Internet, come social network, siti di notizie e database pubblici. Clearview AI utilizza questi dati per offrire vari servizi di identificazione delle persone.

Nel corso dell'indagine, l'Autorità per la protezione dei dati ha riscontrato che Clearview AI aveva trattato i dati personali di persone residenti nei Paesi Bassi senza una base legale. In particolare, Clearview AI ha trattato dati biometrici - una categoria particolarmente sensibile di dati personali - senza autorizzazione o base legale.

Le violazioni di Clearview AI riguardano varie disposizioni del Regolamento generale sulla protezione dei dati, tra cui

  • Articoli 5 e 6 del GDPR: Clearview AI ha trattato i dati personali senza una base legittima. Ciò viola il principio di liceità, che mira a garantire che il trattamento sia effettuato solo su una base legittima.
  • Articolo 9 GDPR: Il trattamento di dati biometrici come le immagini del volto senza un consenso esplicito o un'altra base giuridica viola il divieto di trattare categorie particolari di dati personali.
  • Articoli 12 e 14 del GDPR: Clearview AI non ha informato sufficientemente gli interessati sul trattamento dei loro dati personali. Gli obblighi di informazione sono una parte essenziale del GDPR per garantire la trasparenza e i diritti degli interessati.
  • Articolo 15 GDPR: Clearview AI non ha ottemperato alle richieste di accesso ai dati in possesso degli interessati.
  • Articolo 27 GDPR: Clearview AI non ha nominato un rappresentante nell'Unione Europea, sebbene ciò sia obbligatorio per le aziende che non hanno sede nell'UE ma che trattano dati di cittadini dell'UE.


La multa è costituita dalle varie violazioni del GDPR. Oltre alle sanzioni finanziarie, Clearview AI è stata obbligata dall'AP a porre rimedio alle violazioni in corso. Ciò include in particolare la cessazione del trattamento illegale dei dati personali e la nomina di un rappresentante nell'Unione Europea.

Fonte: Avviso di multa da parte dell'Autoriteit Persoonsgegevens nei confronti di Clearview AI

3. TD Bank: 27.760.000 USD (USA)

L'11 settembre 2024, il Consumer Financial Protection Bureau (CFPB) ha emesso una notifica di sanzione contro TD Bank, N.A. per gravi violazioni del Fair Credit Reporting Act (FCRA) e del Consumer Financial Protection Act (CFPA). TD Bank è stata condannata a pagare una multa di 20 milioni di dollari. Inoltre, è stato stabilito un risarcimento di 7,76 milioni di dollari per i consumatori interessati.

Il rapporto di esame della CFPB ha evidenziato diverse violazioni da parte di TD Bank relative all'inadeguato trattamento dei conti di prestito e di deposito. In particolare, le violazioni riguardavano la segnalazione incompleta o imprecisa di informazioni sul credito alle agenzie di rating del credito (CRA). Ciò ha avuto gravi conseguenze per i consumatori interessati.

Ad esempio, TD Bank non ha corretto tempestivamente informazioni errate o incomplete sui conti delle carte di credito dei consumatori. In alcuni casi, ciò ha fatto sì che consumatori che avevano pagato o saldato completamente i loro conti continuassero a essere indicati come inadempienti. La banca non ha inoltre condotto indagini adeguate e tempestive quando i consumatori hanno contestato le loro informazioni sul credito. Ciò comprendeva sia le contestazioni dirette presentate dai consumatori stessi, sia quelle indirette presentate attraverso gli uffici di credito al consumo. Per molti conti di carte di credito, la banca ha riportato in modo errato la data della prima inadempienza, con il risultato che le voci negative sono rimaste sui rapporti di credito dei consumatori per un periodo più lungo del consentito.

Oltre a una multa civile di 20 milioni di dollari e a un risarcimento per i consumatori danneggiati per un totale di 7,76 milioni di dollari, a TD Bank sono state imposte ampie condizioni per migliorare i propri processi:

  • La banca deve assicurarsi che le informazioni errate vengano corrette immediatamente.
  • TD Bank deve rivedere le proprie politiche di gestione delle controversie per garantire che le indagini siano condotte entro i tempi previsti dalla legge.
  • La banca deve presentare un piano di conformità completo con relazioni periodiche al Consiglio di amministrazione entro 90 giorni.


Fonte:
Avviso di multa da parte del Consumer Financial Protection Bureau nei confronti di TD Bank

4° Enérgya-VM: 2,5 milioni di euro (Spagna)

L'autorità spagnola per la protezione dei dati "Agencia Española de Protección de Datos" (AEPD) ha inflitto una multa di 2,5 milioni di euro a Energya-VM Gestión de Energía, S.L.U. (di seguito "Energya-VM").

Già nel 2019, Energya-VM era venuta a conoscenza di pratiche ingannevoli e potenzialmente illegali da parte del fornitore esterno di servizi Nivalco attraverso segnalazioni di terzi. Nivalco era stata incaricata da Energya-VM di acquisire nuovi clienti. È emerso che Nivalco utilizzava dati personali, tra cui coordinate bancarie e altre informazioni sensibili, senza un'adeguata base legale per contattare potenziali clienti e convincerli a firmare un contratto con Energya-VM.

Nel corso dell'indagine, l'AEPD ha rilevato che Nivalco ha utilizzato i dati di potenziali clienti senza informarli con sufficiente anticipo del trattamento dei loro dati (violazione dell'articolo 13 del GDPR).

Energya-VM è stata considerata il responsabile del trattamento dei dati di Nivalco ai sensi del GDPR, anche se Nivalco agiva formalmente come incaricato del trattamento. L'AEPD ha sostenuto che Energya-VM esercitava un controllo sufficiente sulle attività di Nivalco per essere corresponsabile delle violazioni.

Energya-VM è stata accusata di non aver adottato misure sufficienti per monitorare la conformità di Nivalco alle norme sulla protezione dei dati. Nonostante i ripetuti avvertimenti e gli audit interni, non sono state adottate misure efficaci per porre rimedio alle pratiche problematiche. Energya-VM non ha inoltre garantito che gli interessati fossero informati in modo trasparente sul trattamento dei loro dati, in particolare quando sono stati contattati per la prima volta da Nivalco.

Oltre alla multa, è stato ordinato a Energya-VM di adottare misure immediate per migliorare le sue pratiche di protezione dei dati. Tali misure comprendono l'introduzione di controlli più severi sulle attività dei suoi fornitori di servizi.

Fonte: Avviso di multa Agencia Española de Protección de Datos contro Energya-VM

5. Cegedim Santé: 800.000 euro (Francia)

L'autorità francese per la protezione dei dati CNIL (Commission Nationale de l'Informatique et des Libertés) ha inflitto una multa di 800.000 euro alla società Cegedim Santé con una decisione del 5 settembre 2024. La multa è il risultato di una serie di violazioni della protezione dei dati in relazione al trattamento illecito di dati sanitari sensibili.

Cegedim Santé sviluppa e distribuisce soluzioni software per studi medici e centri sanitari per la gestione di appuntamenti, cartelle cliniche e prescrizioni.

Durante le ispezioni del 2021, la CNIL ha scoperto che l'azienda aveva raccolto e trattato dati sanitari senza la necessaria autorizzazione. I dati raccolti sono stati successivamente resi disponibili da Cegedim Santé per la preparazione di studi e statistiche nel settore sanitario. I dati sanitari non erano anonimizzati, ma solo pseudonimizzati. Ciò significa che era tecnicamente possibile identificare nuovamente gli interessati, in particolare combinando dati provenienti da fonti diverse.

I dati trattati da Cegedim Santé comprendevano un'ampia gamma di informazioni sensibili, tra cui l'anno di nascita, il sesso, le allergie, l'anamnesi, l'altezza, il peso, le diagnosi, le prescrizioni, i certificati di inabilità al lavoro e i risultati delle analisi. Queste informazioni erano collegate da un identificativo unico che consentiva di seguire l'intera storia terapeutica di un paziente. Data la mole di dati e la possibilità di collegarli a fonti esterne, la CNIL ha riconosciuto un elevato rischio di reidentificazione dei pazienti.

La CNIL ha rilevato che i dati saranno trattati in questa forma non sufficientemente pseudonimizzata almeno fino al 2022. Trattandosi di dati sanitari sensibili, la CNIL ha ritenuto che si tratti di una violazione particolarmente grave della legge sulla protezione dei dati.

Fonte: Multa della CNIL contro Cegedim Santé

Tag:
Condividi questo post :
it_ITItalian