Anche le autorità europee per la protezione dei dati hanno imposto multe per un totale di milioni nel dicembre 2024. Una multa è stata inflitta alla sola Meta Fine per un importo di 251 milioni di euro. La società di telefonia mobile Orange è stata multata per 50 milioni di euro. Alla società ChatGPT è stata inflitta una multa di 15 milioni di euro.
Meta Platforms Ireland Ltd.: 251 milioni di euro (Irlanda)
Il 17 dicembre 2024, la Commissione irlandese per la protezione dei dati (DPC) ha reso note le sue decisioni definitive relative a due indagini nei confronti di Meta Platforms Ireland Limited. Tali indagini sono state avviate d'ufficio dalla DPC dopo che Meta aveva segnalato, nel settembre 2018, una violazione della protezione dei dati personali. L'incidente ha interessato circa 29 milioni di account Facebook in tutto il mondo, tra cui circa 3 milioni di account di utenti dell'UE. Tra i dati personali compromessi figuravano il nome completo, l’indirizzo e-mail, il numero di telefono, la posizione, il luogo di lavoro, la data di nascita, la religione, il sesso, i post sulla timeline, l’appartenenza a gruppi e persino i dati relativi ai minori.
Il Violazione dei dati è stato causato dallo sfruttamento dei token utente da parte di persone non autorizzate. Terza parte sulla piattaforma Facebook. Meta e la sua società madre negli Stati Uniti hanno rettificato l'incidente poco dopo averlo scoperto. Tuttavia, a seguito di un'indagine approfondita, il DPC ha riscontrato diverse violazioni del Regolamento generale sulla protezione dei dati (GDPR) e imposto multe per un totale di 251 milioni di euro. I reati in dettaglio:
- Articolo 33, paragrafo 3 GDPR - Meta ha riportato un Violazione dei dati non ha fornito tutte le informazioni richieste da questo regolamento, anche se sarebbe stato possibile. Il DPC ha imposto una multa di 8 milioni di euro per questo.
- Articolo 33, paragrafo 5 GDPR - Meta non ha documentato adeguatamente i fatti di ciascun incidente e le azioni correttive intraprese per conformarsi alla normativa. Autorità di vigilanza per consentire la verifica della conformità. Per questo Violazione è stata comminata una multa di 3 milioni di euro.
- Articolo 25, paragrafo 1 GDPR - Meta non ha tenuto conto dei principi di protezione dei dati fin dalla fase di progettazione dei sistemi di elaborazione. Questo Violazione è stata sanzionata con una multa di 130 milioni di euro.
- Articolo 25, paragrafo 2 GDPR - Meta non ha adempiuto all'obbligo, in qualità di parte responsabile, di garantire che Dati personali trattati per impostazione predefinita solo per scopi specifici. Questo Violazione è stata sanzionata con una multa di 110 milioni di euro.
Fonte: Comunicazione della Commissione irlandese per la protezione dei dati
Orange SA: 50 milioni di euro (Francia)
L'autorità francese per la protezione dei dati „Commissione nazionale per l'informatica e le libertà"(CNIL) ha annunciato il 10 dicembre 2024 di aver avviato un procedimento contro il principale fornitore di telecomunicazioni francese Orange SA. Fine per un importo di 50 milioni di euro.
Nella sua indagine, la CNIL ha scoperto che Orange ha inserito nella casella di posta degli utenti annunci pubblicitari visivamente quasi indistinguibili dalle normali e-mail. Ai sensi dell'articolo L. 34-5 del CPCE, qualsiasi forma di pubblicità elettronica Pubblicità il precedente Consenso delle persone interessate. Questa pratica è stata Contraddizione la giurisprudenza della Corte di Giustizia Europea (CGUE), secondo la quale ogni Pubblicitàche appaiono nella casella di posta di un utente sono considerati come uso di e-mail a scopo pubblicitario e possono essere utilizzati solo con il consenso esplicito dell'utente. Consenso dell'utente. Sebbene Orange abbia interrotto questa pratica nel novembre 2023 e da allora abbia fornito un'etichettatura più chiara. Pubblicità la CNIL ha classificato la precedente implementazione come un'infrazione grave. Violazione a. Nel calcolare la multa si è tenuto conto dell'elevato numero di utenti interessati (oltre 7,8 milioni) e del beneficio finanziario che Orange ha ottenuto attraverso la vendita di spazi pubblicitari.
Inoltre, la CNIL ha riscontrato che i dati impostati dagli utenti Biscotti nonostante la cancellazione del Consenso continua ad essere letto da Orange. L'articolo 82 della legge francese sulla protezione dei dati (Loi Informatique et Libertés) stabilisce che l'archiviazione o l'ulteriore elaborazione delle informazioni sui dispositivi finali può avvenire solo previa autorizzazione esplicita di Orange. Consenso dell'utente e che questo Consenso deve essere revocabile in qualsiasi momento. Questa pratica non solo viola il rapporto di fiducia tra utente e fornitore, ma è anche in contrasto con il Contraddizione sui principi fondamentali del Regolamento generale sulla protezione dei dati (GDPR) e la legge sulla protezione dei dati (Loi Informatique et Libertés). La CNIL ha considerato la pratica di Orange come una chiara Violazione contro queste norme, in quanto gli utenti non potevano essere sicuri che i loro Revoca è stato tecnicamente implementato. La CNIL ha sottolineato che è responsabilità di Orange implementare soluzioni tecniche che impediscano la lettura dei dati. Biscotti dopo un Revoca prevenire. Con BiscottiL'azienda è responsabile di garantire che anche i partner di Orange adottino misure adeguate.
Oltre alla multa di 50 milioni di euro, la CNIL ha anche emesso un'ordinanza per bloccare la lettura non autorizzata di Biscotti entro tre mesi. È stata fissata una penale di 100.000 euro per ogni giorno di ritardo.
Fonte: Provvedimento sanzionatorio della CNIL nei confronti di Orange SA.
OpenAI: 15 milioni di euro (Italia)
L'Autorità italiana per la protezione dei dati personali (Garante per la Protezione dei Dati Personali) ha inflitto a OpenAI, la società che ha sviluppato il chatbot basato sull'intelligenza artificiale ChatGPT, una sanzione pecuniaria pari a 15 milioni di euro.
L'indagine è stata avviata nel marzo 2023 dopo che l'autorità per la protezione dei dati ha scoperto delle violazioni in relazione alla Elaborazione di dati personali da parte di OpenAI. Le accuse principali contro OpenAI comprendono:
- Mancata segnalazione di una violazione dei dati: OpenAI aveva notificato all'autorità una violazione dei dati avvenuta nel marzo 2023. Violazione dei dati non correttamente segnalati.
- Base giuridica insufficiente per il trattamento dei dati (Violazione contro Articolo 6 GDPR): OpenAI ha Dati personali da parte di utenti e non utenti ai fini dello sviluppo e dell’addestramento di ChatGPT senza un’adeguata base giuridica.
- Violazione contro il requisito di trasparenza: OpenAI non ha informato a sufficienza gli interessati in merito alla Elaborazione dei loro dati, come richiesto dagli artt. 12 e 13 GDPR prescrivere.
- Verifica dell'età mancante (Violazione contro l'art. 8 GDPR): La mancanza di verifica dell'età ha fatto sì che i bambini sotto i 13 anni fossero esposti a contenuti potenzialmente inadatti.
L'autorità italiana per la protezione dei dati non solo ha imposto una Fine 15 milioni di euro, ma si è anche avvalsa per la prima volta dei poteri previsti dall'art. 166 del Codice della Privacy. OpenAI è stata obbligata a realizzare un'ampia campagna informativa attraverso radio, televisione, stampa e Internet. L'obiettivo di questa misura è quello di informare il pubblico sul funzionamento di ChatGPT, sulle modalità di raccolta dei dati e sui diritti delle persone interessate. La campagna, della durata di sei mesi, ha lo scopo di informare gli utenti e i non utenti su come possono esercitare i loro diritti di Contraddizione, Cancellazione e Correzione in conformità al Regolamento generale sulla protezione dei dati.
Poiché OpenAI ha ormai la propria sede centrale europea in Irlanda, i procedimenti sono stati trasferiti all’autorità irlandese per la protezione dei dati, che ora funge da autorità capofila Autorità di vigilanza sta conducendo ulteriori indagini.
Fonte: Avviso di sanzione del Garante per la Protezione dei Dati Personali nei confronti di OpenAI
Netflix International BV: 4,75 milioni di euro (Paesi Bassi)
L'autorità olandese per la protezione dei dati personali Autoriteit Persoonsgegevens (AP) ha avviato un procedimento contro Netflix International B.V. Fine per un importo di 4,75 milioni di euro. Il servizio di streaming è stato multato per diverse violazioni del Regolamento generale sulla protezione dei dati (GDPR) penalizzato, tra l'altro, per la mancanza di Trasparenza nella sua politica sulla privacy e il mancato adempimento Obbligo di informazione nel rispondere alle richieste di informazioni.
Netflix è stata criticata per non aver fornito sufficienti informazioni nella sua politica sulla privacy circa gli scopi e le modalità di utilizzo. Base giuridica relativo al trattamento dei dati. Anche le informazioni relative ai destinatari dei dati personali, ai periodi di conservazione e al trasferimento internazionale dei dati erano incomplete. Inoltre, Netflix non ha risposto in modo sufficientemente concreto alle richieste di informazioni da parte dei clienti. Tali violazioni si riferiscono agli articoli 12, 13 e 15 del Regolamento generale sulla protezione dei dati, che obbligano le imprese a, Dati personali trattare tali dati in modo trasparente, comprensibile e accessibile.
L'indagine è stata avviata dopo che l'organizzazione "None Of Your Business" (NOYB) ha presentato reclami per conto degli interessati. NOYB ha criticato Netflix per non aver fornito informazioni dettagliate sulle finalità del trattamento dei dati, sulle categorie di dati interessati o sui destinatari quando ha risposto alle richieste di informazioni. Queste lacune hanno ostacolato l'esercizio dei diritti degli interessati, come quello di Cancellazione o il diritto di opporsi.
Nella sua decisione pubblicata il 18 dicembre 2024, il GEPD ha rilevato che le violazioni potrebbero avere un impatto significativo sui diritti e sulle libertà degli interessati, poiché Netflix conta milioni di utenti in tutto il mondo, una parte significativa dei quali risiede nell’Unione europea. A Netflix è stato tuttavia riconosciuto il merito di aver rivisto e migliorato più volte la propria informativa sulla privacy nel corso del procedimento. Ciononostante, le modifiche apportate sono state ritenute insufficienti per soddisfare pienamente i requisiti del Regolamento generale sulla protezione dei dati.
L'ammenda inflitta tiene conto sia della gravità delle infrazioni che della posizione di mercato di Netflix. L'AP ha sottolineato che Trasparenza e la protezione dei dati personali sono i pilastri fondamentali della GDPR e le violazioni di questi principi non possono essere tollerate. Inoltre, la sanzione ha anche lo scopo di avere un effetto deterrente per garantire il rispetto delle norme sulla protezione dei dati. Netflix ha presentato ricorso contro la Fine Ricorso in appello presentato.
Fonte: Provvedimento sanzionatorio dell’Autoriteit Persoonsgegevens nei confronti di Netflix
Telefónica de España: 1,3 milioni di euro (Spagna)
L'Autorità spagnola per la protezione dei dati (Agencia Española de Protección de Datos, AEPD) ha inflitto a Telefónica una sanzione pecuniaria pari a 1,3 milioni di euro, in seguito alla compromissione dei dati personali dei suoi clienti a causa di una falla nella sicurezza. Nel settembre 2022 l’operatore di telefonia mobile aveva scoperto un incidente di sicurezza in cui soggetti sconosciuti erano penetrati nella rete aziendale utilizzando le credenziali di accesso dei dipendenti per sottrarre dati.
Dall’indagine è emerso che 1.021.253 persone sono state colpite dalla falla nella sicurezza, tra cui anche i clienti delle controllate Movistar e O2. L’AEPD ha constatato che le misure tecniche e organizzative adottate per proteggere i dati raccolti non erano sufficienti. Tali misure avrebbero potuto impedire l’errore. Ad esempio, bastavano il nome utente e la password per accedere alla rete aziendale.
Il Fine è costituito da due sanzioni: 500.000 euro per la Violazione contro l'art. 5 par. 1 lett. f GDPR e 800.000 euro per il Violazione contro l'art. 32 GDPR.
Fonte: Provvedimento sanzionatorio dell'Agencia Española de Protección de Datos nei confronti di Telefónica
German 
English 
Italian 
French