La Commissione irlandese per la protezione dei dati (DPC) ha avviato un'azione legale contro la rete aziendale LinkedIn, di proprietà di Microsoft. Fine per un importo di 310 milioni di euro. L'oggetto dell'indagine era il Elaborazione dati personali degli utenti di LinkedIn per analisi comportamentali e analisi mirate. Pubblicità. Che cosa possono imparare le altre aziende dalla notifica di multa.
La CNIL inoltra il reclamo di LinkedIn al DPC
L'indagine del DPC si è conclusa il 20 agosto 2018 a seguito di una Reclamo dell'organizzazione no-profit francese La Quadrature Du Net. Il Reclamo è stato prima depositato presso l'autorità francese per la protezione dei dati CNIL e poi sottoposto al DPC in qualità di autorità capofila. Autorità di vigilanza inoltrata per LinkedIn.
Secondo la dichiarazione del DPC, l'indagine ha riguardato "la legalità, l'equità e l'integrità del sistema di controllo dei dati". Trasparenza il Elaborazione i dati personali degli utenti della piattaforma LinkedIn ai fini dell'analisi comportamentale e di analisi mirate. Pubblicità". Il DPC ha rilevato che i dati personali in questione erano dati forniti direttamente a LinkedIn dai suoi membri (dati di prima parte) e dati raccolti da LinkedIn attraverso i suoi partner terzi in relazione ai suoi membri (dati di terzi).
Mancanza di consenso da parte degli utenti di LinkedIn
Nella sua decisione del 22 ottobre 2024, il DPC ha riscontrato diverse violazioni del diritto di proprietà intellettuale. GDPR fissata:
- Art. 6 e art. 5 par. 1 lett. a GDPRLinkedIn non è riuscito a trovare una base giuridica valida per il Elaborazione dei dati dei soci ai fini dell'analisi comportamentale e di un'analisi mirata. Pubblicità dimostrare. In particolare, il DPC ha rilevato che
- Il Consenso non era valido perché le informazioni ottenute da LinkedIn Consenso non è stata volontaria, non è stata sufficientemente informata o non è stata specifica e inequivocabile (articolo 6, paragrafo 1, lettera a)). GDPR).
- LinkedIn non ha potuto nemmeno invocare efficacemente l'articolo 6, paragrafo 1, lettera f). GDPR (interesse legittimo) al fine di Dati personali dei suoi membri per analisi comportamentali e analisi mirate Pubblicità o per elaborare dati di terzi a fini di analisi. Gli interessi e i diritti e le libertà fondamentali degli interessati prevalgono sugli interessi di LinkedIn.
- LinkedIn non è stato in grado di concentrarsi sulla Necessità per l'adempimento del contratto (articolo 6, paragrafo 1, lettera b)). GDPR), come elaborazione dei dati per l'analisi comportamentale e Pubblicità non era necessario.
- LinkedIn non ha inoltre fornito informazioni sufficienti sulla Base giuridica disponibili, violando così i requisiti di trasparenza previsti dal GDPR viola gli artt. 13 cpv. 1 lett. c e 14 cpv. 1 lett. c GDPR.
- Articolo 5, paragrafo 1, lettera a) GDPR - Violazione contro il principio di correttezza: il DPC ha riscontrato che il trattamento dei dati da parte di LinkedIn violava il principio di correttezza, in quanto le pratiche limitavano la fiducia e la libertà di scelta degli utenti in relazione ai loro dati personali.
Suggerimento di lettura: L'EDPB pubblica le linee guida sul legittimo interesse
Misure e sanzioni del DPC nei confronti di LinkedIn
In risposta a queste violazioni, il DPC ha attuato diverse misure:
- Un reclamo contro LinkedIn ai sensi dell'articolo 58, paragrafo 2, lettera b). GDPR.
- Tre sanzioni amministrative per un totale di 310 milioni di euro ai sensi dell'articolo 58, paragrafo 2, lettera i), e dell'articolo 83 GDPR.
- Un accordo che garantisca l'elaborazione dei dati in conformità con le norme di GDPR ai sensi dell'articolo 58, comma 2, lettera d) GDPR.
Cosa possono imparare le aziende dalla decisione di LinkedIn
Questa decisione illustra gli enormi rischi per le aziende che Dati personali senza un'adeguata base giuridica. Le conseguenze includono non solo sanzioni finanziarie, ma anche danni duraturi alla reputazione. Questa decisione comporta diversi insegnamenti e obblighi per le aziende:
- Aumento delle misure di conformità:
Le aziende devono assicurarsi di avere una base legale valida per il Elaborazione dei dati personali e che il consenso, ove utilizzato, soddisfi i rigorosi requisiti del GDPR. GDPR sono sufficienti. - Chiarezza e Trasparenza:
Le aziende sono tenute a comunicare le loro pratiche di trattamento dei dati in modo chiaro e comprensibile, in modo che gli utenti siano informati sulle finalità e sulle conseguenze del trattamento dei dati e possano esercitare i loro diritti. - Equità e diritti degli utenti:
Le aziende non devono solo assicurare la base giuridica del loro trattamento dei dati, ma anche garantire la correttezza e la protezione dei diritti degli interessati. - Rischio di sanzioni:
La decisione dimostra che le violazioni della GDPR non solo può avere conseguenze legali, ma può anche comportare notevoli rischi finanziari.
Rispetto dei principi di equità, Trasparenza e legalità nel trattamento dei dati non è solo un requisito legale, ma anche un fattore chiave per mantenere la fiducia degli utenti. Le aziende devono quindi rivedere regolarmente i loro processi di trattamento dei dati e assicurarsi che soddisfino i rigorosi requisiti della legge. GDPR per ridurre al minimo i rischi legali e proteggere i diritti degli utenti.
Volete effettuare una valutazione del rischio GDPR per la vostra azienda? Contattateci, saremo lieti di consigliarvi.
German 
English 
Italian 
French