Nel novembre 2024 sono state inflitte ammende pari a tre milioni a società con sede in Spagna, Italia e Finlandia. In ben due casi, le autorità garanti della protezione dei dati hanno contestato l’attuazione decisamente insufficiente del principio di „Privacy by Design“ nei processi di trattamento dei dati. E, come spesso accade, le decisioni di sanzione offrono spunti interessanti per le aziende.
The Phone House Spagna: 6,5 milioni di euro (Spagna)
Il 14 aprile 2021, The Phone House Spain, S.L. (TPHS) ha segnalato una grave violazione dei dati all'autorità spagnola per la protezione dei dati personali Agencia Española de Protección de Datos (AEPD). Sono stati colpiti circa 13 milioni di record di dati. L'attacco è avvenuto tramite un Ransomware (Babuk Locker), il sensibile Dati personali crittografati. Successivamente, i dati sono stati pubblicati sul Dark Web.
L'AEPD ha riscontrato una violazione dell'art. 5 par. 1 lett. f GDPR (Integrità e Riservatezza) e l'art. 32 GDPR (misure tecniche e organizzative). Nello specifico, l'AEPD ha contestato all'operatore di telefonia mobile misure di sicurezza carenti, quali regole insufficienti relative alle password, misure di sicurezza di rete inadeguate e la mancanza di controlli regolari.
The Phone House, invece, si è considerata vittima di un sofisticato attacco informatico. L’azienda ha spiegato che nemmeno le misure di sicurezza più avanzate avrebbero potuto garantire una protezione totale. Inoltre, la successiva pubblicazione dei dati sul Dark Web sarebbe stata al di fuori del suo controllo.
Ciononostante, l'AEPD ha imposto un Fine per un importo di 6,5 milioni di euro. Nella comunicazione della multa, l'AEPD giustifica questa decisione con l'inadeguata attuazione di misure di sicurezza preventive e con l'elevato numero di persone colpite. L'AEPD sottolinea il dovere delle aziende di attuare in modo proattivo misure di sicurezza adeguate ai rischi. L'appello contro la sentenza è stato respinto dall'AEPD.
Fonte: Provvedimento sanzionatorio dell'Agencia Española de Protección de Datos nei confronti di The Phone House
Fonte: Decisione di rigetto dell’Agencia Española de Protección de Datos relativa al ricorso presentato da The Phone House
Foodinho: 5 milioni di euro (Italia)
Il caso è stato innescato dal tragico incidente di un autista morto durante una consegna per il servizio di consegna Foodinho. Dopo che il suo account è stato disattivato da un sistema automatico sulla piattaforma Glovo, il Deceduto un messaggio inappropriato che lo escludeva dalla piattaforma a causa di presunte violazioni del contratto. Il messaggio non solo ha suscitato scalpore nell'opinione pubblica, ma ha anche portato a indagini approfondite sulla protezione dei dati.
Nel corso delle sue indagini, l'Autorità Garante per la protezione dei dati personali (GPDP) ha riscontrato gravi carenze nel trattamento dei dati che hanno riguardato non solo questo singolo caso, ma l'intera infrastruttura di trattamento dei dati di Foodinho. Particolare attenzione è stata rivolta al trattamento automatizzato dei dati e alla Trasparenza delle condizioni di utilizzo. Così Dati personali di circa 35.000 autisti registrati. In particolare, Foodinho ha utilizzato metodi di autenticazione biometrica senza chiarirne e documentarne adeguatamente la base giuridica.
In particolare, Foodinho ha utilizzato metodi di autenticazione biometrica senza chiarirne e documentarne adeguatamente la base giuridica. Anche l„“Excellence Score», un sistema di valutazione dei corrieri, si basava su un trattamento automatizzato dei dati che non era né adeguatamente documentato né spiegato in modo comprensibile agli utenti.
L'autorità per la protezione dei dati ha imposto un Fine per un importo di cinque milioni di euro e ha chiesto ulteriori misure correttive. Ha sottolineato la necessità di Protezione dei dati nei processi fin dall'inizio ("privacy by design").
Posti Jakelu Oy: 2,4 milioni di euro (Finlandia)
L’indagine è partita dalle segnalazioni degli utenti secondo cui documenti personali – tra cui fatture e cartelle cliniche riservate – venivano inoltrati alla casella postale digitale di OmaPosti senza il loro esplicito consenso. Alcuni utenti hanno dichiarato di non utilizzare attivamente il servizio o di rifiutare la corrispondenza digitale per motivi personali. L’autorità finlandese per la protezione dei dati, Tietosuojavaltuutetun toimisto, ha quindi avviato un’indagine approfondita sulle pratiche di trattamento dei dati della piattaforma postale Posti Jakelu Oy.
L’autorità finlandese per la protezione dei dati ha riscontrato gravi carenze nel trattamento dei dati, che violano diverse disposizioni del Regolamento generale sulla protezione dei dati:
- Attivazione automatica di caselle di posta elettronica: Posti Jakelu Oy ha creato caselle di posta elettronica digitali per gli utenti senza il loro esplicito consenso. Consenso da ottenere. Ciò violava l'articolo 6 GDPRche fornisce una chiara base giuridica per la Elaborazione dei dati personali.
- Mancanza di TrasparenzaGli utenti non sono stati sufficientemente informati del fatto che i loro dati personali sarebbero stati trasferiti automaticamente alla casella di posta elettronica digitale. Ciò ha violato gli articoli da 12 a 14 GDPRche Trasparenza e chiedere informazioni chiare per le persone colpite.
- Mancanza di scelta: gli utenti non avevano la possibilità di rifiutare il servizio o di Trasmissione dei loro dati. Questo rappresenta un Violazione contro i principi fondamentali del trattamento dei dati ai sensi dell'art. 5 GDPR rappresentare.
In particolare, l'attivazione automatica di caselle di posta elettronica digitale senza il consenso attivo degli utenti è stata considerata un reato grave. Violazione categorizzati. L'autorità ha chiarito che la creazione di una casella di posta elettronica digitale non è obbligatoria per la fornitura di altri servizi e pertanto non costituisce una base giuridica valida ai sensi dell'articolo 6, paragrafo 1, del GDPR. GDPR è disponibile.
Oltre a infliggere un’ammenda di 2,4 milioni di euro, l’autorità finlandese per la protezione dei dati ha ordinato a Posti Jakelu Oy di rivedere le proprie pratiche di trattamento dei dati al fine di garantire il rispetto del Regolamento generale sulla protezione dei dati. Tra i requisiti principali figuravano
- Informazioni chiare e trasparenti per gli utenti, in modo da dare loro la possibilità di Elaborazione dei loro dati o di rifiutarli.
- Introduzione di misure tecniche e organizzative volte a garantire che i processi di trattamento dei dati siano conformi ai principi di „Privacy by Design“ e „Privacy by Default“.
- Assicurarsi che le caselle di posta elettronica vengano attivate solo su espressa richiesta degli utenti.
Fornitore di servizi nel settore della gestione dei crediti: 900.000 euro (Germania)
Il Commissario di Amburgo per la protezione dei dati e la libertà d'informazione (HmbBfDI) ha avviato un procedimento contro un'azienda del settore della gestione dei crediti. Fine per un importo di 900.000 euro. Il motivo: l'azienda aveva Dati personali conservati senza base giuridica fino a cinque anni dopo la scadenza dei termini di cancellazione previsti dalla legge.
Il Violazione è stato accertato nel corso di un audit speciale in cui l'HmbBfDI ha esaminato le aziende leader di mercato del settore per verificarne la conformità con i requisiti di legge. GDPR rivisto. Oltre alle indagini scritte, sono stati effettuati anche audit in loco. Sebbene molte aziende abbiano gestito i dati sensibili dei debitori in modo professionale e abbiano apportato miglioramenti a Trasparenza e la cancellazione dei dati, un'azienda ha mostrato carenze significative. Un numero a sei cifre di record di dati è rimasto memorizzato nonostante i termini di cancellazione scaduti, in violazione dell'articolo 5(1)(a) e dell'articolo 6(1) del GDPR. GDPR violato.
L'azienda ha autorizzato il Violazione ha collaborato alla rivalutazione e ha accettato la Fine. Questa collaborazione è stata presa in considerazione nel calcolo dell'ammenda.
Thomas Fuchs, direttore dell’HmbBfDI, ha sottolineato l’importanza di un piano di cancellazione coerente per le aziende basate sui dati. I dati dovrebbero essere cancellati al più tardi entro i termini stabiliti, al fine di evitare violazioni del Regolamento generale sulla protezione dei dati.
Fonte: Comunicato stampa del Garante per la protezione dei dati e la libertà di informazione di Amburgo
Vodafone España: 200.000 euro (Spagna)
L'autorità spagnola per la protezione dei dati, Agencia Española de Protección de Datos (AEPD), ha accusato Vodafone Spagna di violazione dell'articolo 6, paragrafo 1, del GDPR. GDPR ha imposto una multa di 200.000 euro. Il caso riguardava una richiesta fraudolenta di una carta SIM aggiuntiva, approvata senza sufficienti controlli di sicurezza. Questo ha poi portato ad un accesso non autorizzato a Dati personali.
Il 1° dicembre 2022, una società ha fatto richiesta di terzo persona tramite l'area privata dell'account cliente interessato con Lowi, un marchio Vodafone, la consegna di una scheda SIM aggiuntiva. È stato fornito un indirizzo di consegna diverso. Vodafone ha rilasciato la scheda e l'ha consegnata senza verificare sufficientemente l'identità del richiedente.
La verifica condotta dall’AEPD ha evidenziato che le procedure di sicurezza richieste non erano state implementate integralmente. Ad esempio, mancava la registrazione della chiamata effettuata per la verifica dell’identità e anche altre misure di sicurezza non erano state documentate correttamente. La frode ha consentito all’autore del reato di accedere a dati sensibili e agli account del cliente interessato. Già il 30 novembre 2022 si erano verificati due tentativi falliti di modificare l’indirizzo e-mail del cliente interessato, il che avrebbe potuto far sospettare un possibile tentativo di frode.
L'AEPD ha riscontrato che Vodafone ha violato l'articolo 6 (1) GDPR violato, poiché il Elaborazione di dati personali senza una base giuridica valida e senza Consenso della persona interessata. Sebbene Vodafone avesse introdotto misure di sicurezza, l'AEPD ha ritenuto le misure adottate inadeguate e ha accusato l'azienda di mancanza di diligenza. La multa di 200.000 euro è stata fissata tenendo conto delle ripetute infrazioni di Vodafone in casi simili, al fine di ottenere un effetto deterrente. Il ricorso è stato respinto dall'AEPD.
Fonte: Decisione di rigetto dell'Agencia Española de Protección de Datos
German 
English 
Italian 
French