Il 2025 inizia subito con un periodo all’insegna della Spagna: nessuna autorità per la protezione dei dati nell’UE ha emesso nel gennaio 2025 tante sanzioni e di importo così elevato come l’Agencia Española de Protección de Datos (AEPD). Sono state inflitte ben due multe salate per l’utilizzo di sistemi biometrici di riconoscimento facciale. Una nuova tendenza? Di nuovo tra i protagonisti: il colosso della telefonia mobile Vodafone. Il gruppo sembra non riuscire a tenere sotto controllo le violazioni commesse da singoli dipendenti.
Generali España: 4 milioni di euro (Spagna)
L'autorità spagnola per la protezione dei dati Agenzia spagnola per la protezione dei dati (AEPD) ha un Procedimento sanzionatorio contro Generali España, Società per Azioni di Assicurazioni e Riassicurazioni inaugurato dopo che il 5 ottobre 2022 è stato Incidente di sicurezza è stato rilevato. L'incidente ha coinvolto un Attacco di forza bruta al sistema di gestione dei dati dei clienti di Generali. Sfruttando in modo improprio le credenziali di accesso di un broker assicurativo, soggetti non autorizzati sono riusciti ad accedere a Dati personali da clienti ed ex clienti. Solo l'11 novembre 2022 è stato reso noto che un Database con dati di ex-clienti in vendita in un forum di Telegram è stato offerto. Sono stati interessati i dati di un totale di oltre 1,6 milioni di persone colpiti. I dati in questione sono stati Nomi, indirizzi, numeri di telefono, date di nascita, numeri di carta d'identità (DNI) e numeri di conto IBAN.
Generali ha informato gli interessati tra il 15 e il 28 novembre 2022 per e-mail o per posta sull'incidente. Per Parti interessatei cui dati di contatto non erano disponibili, un Annuncio pubblico sul sito web pubblicato. Nel corso dell'indagine è emerso che Generali mancanza di misure tecniche e organizzative adeguate per proteggere i dati. In particolare, non c'era Valutazione del rischio e un Valutazione d'impatto sulla protezione dei dati per le applicazioni interessate. Inoltre, i mediatori assicurativi avevano continuare ad avere accesso ai dati degli ex clientiche viola il principio di protezione dei dati di Minimizzazione dei dati viola. Mancavano inoltre i verbali relativi a Tracciabilità degli accessi ai dati in questione.
Secondo l'AEPD, Generali ha violato diversi articoli del Codice Civile. GDPR:
- Articolo 5, comma 1, lettera f GDPRViolazione del Principio di riservatezza a causa di un accesso non autorizzato a Dati personali.
- Articolo 25 GDPRMancante Misure di protezione dei dati fin dalla fase iniziale (Privacy by Design).
- Articolo 32 GDPR: Misure di sicurezza insufficienti per prevenire le violazioni dei dati.
- Articolo 35 GDPR: Mancante Valutazione d'impatto sulla protezione dei dati per i trattamenti di dati particolarmente a rischio.
A causa della gravità dei reati, una Fine per un totale di 4 milioni di euro.
Sambla Group Oy: 950.000 euro (Finlandia)
Il Autorità finlandese per la protezione dei dati Tietosuojavaltuutetun toimisto ha contro Gruppo Sambla Oy a Procedimento sanzionatorio avviata dopo la 23 dicembre 2022 uno Reclamo ricevuto. Il Reclamo riguardava l'inadeguatezza Sicurezza dei dati con le piattaforme di mediazione creditizia online lainaparkki.fi e rahoitu.fi.
È stato stabilito che il i dati personali dei potenziali richiedenti di credito erano accessibili tramite link URL individuali, ma non sicuri. Questi collegamenti erano facili da indovinare, così che Terza parte con la conoscenza della struttura sensibile Dati personali poteva accedere.
Su 25 marzo 2024 l’Autorità per la protezione dei dati ha comminato una provvedimento provvisorioche Sambla Group Oy ha vietato, Dati personali accessibili a chi è interessato a un prestito tramite link URL non sicuri. L’autorità ha constatato che in questi moduli di richiesta di prestito Informazioni sensibili tra cui nome completo, data di nascita, codice fiscale, indirizzo e-mail, numero di telefono, indirizzo, reddito, rapporto di lavoro e informazioni sul credito. È stato documentato che Decine di migliaia di accessi non autorizzati a questi dati in parte con l'ausilio di sistemi automatizzati Attacchi di forza bruta o attraverso Indicizzazione da parte dei motori di ricerca come Google.
L'Autorità per la protezione dei dati ha valutato il comportamento di Sambla Group Oy come Violazione contro diversi articoli del GDPRin particolare:
- Articolo 5.1(f) GDPRViolazione del principio di Riservatezza e Integrità.
- Articolo 25 GDPRMancante Misure di protezione dei dati fin dalla fase iniziale (Privacy by Design).
- Articolo 32 GDPR: Misure di sicurezza insufficienti per prevenire le violazioni dei dati.
Sebbene l’azienda abbia adottato successivamente misure quali la Disattivazione dei link non sicuriche Introduzione dell’autenticazione a due fattori e il Riduzione della durata di validità dei link URL, l'Autorità ha valutato tali misure come troppo tardi e insufficiente. La violazione dei dati riguardava un un gran numero di persone e Sambla Group Oy avrebbe dovremo reagire prima.
Suggerimento di lettura: Le multe più elevate nel dicembre 2024
Il Fine è stato autorizzato dal Garante per la protezione dei dati 950.000 euro stabilito. La motivazione della pena si basava sulla Gravità della violazioneche Durata del problema (da diversi anni) e il Mancanza di iniziativa dell'azienda per correggere i problemi di protezione dei dati.
Fonte: Avviso di sanzione della Tietosuojavaltuutetun toimisto ha contro Gruppo Sambla Oy
Cartonajes Bañeres, S.A.: 220.000 euro (Spagna)
L'autorità spagnola per la protezione dei dati Agenzia spagnola per la protezione dei dati (AEPD) ha un Procedimento sanzionatorio contro Cartonajes Bañeres, S.A. avviato dopo che un ex dipendente dell'azienda 11 ottobre 2022 uno Reclamo presentato. Il Reclamo ha fatto riferimento all'uso di un sistema di riconoscimento biometrico per la registrazione dell'orario di lavoro, in cui il Scansione dei volti dei dipendenti sono stati fatti. Il dipendente ha espresso preoccupazioni in merito alla Memorizzazione dei dati biometrici ha affermato. Inoltre, ha chiesto accesso ai propri dati personali il 29 agosto 2022tuttavia, ha ricevuto dall'azienda Nessuna risposta appropriata.
Durante l'indagine è emerso che Cartonajes Bañeres è un Sistema di riconoscimento dei volti per il Foglio di presenza usato. L'azienda ha negato che Scatti del viso sono stati salvati. Ha tuttavia spiegato che un algoritmo cattura alcune caratteristiche del viso e questi come hash biometrico negozi. Questi Valori di hash sono stati poi confrontati con una banca dati per identificare il dipendente. Secondo l’AEPD, questa tecnologia rappresenta una Altamente sensibile Elaborazione dati biometrici rappresentare.
È stato inoltre accertato che la richiesta di informazioni presentata dall’ex dipendente non è stata gestita correttamente. Sebbene l'azienda abbia affermato che una risposta via fax è stato inviato, ma l'indirizzo era non corretto, e il richiedente non ha ricevuto informazioni complete in merito alla dati biometrici memorizzati.
L’AEPD ha constatato che Cartonajes Bañeres ha violato diverse Articolo del GDPR è stato violato:
- Articolo 35 GDPRIl richiesto Valutazione d'impatto sulla protezione dei dati Non è stata effettuata alcuna valutazione relativa all'utilizzo dei dati biometrici.
- Articolo 12 GDPRIl Richiesta di accesso del dipendente non è stato elaborato correttamente, causando un Violazione contro il Diritti degli interessati rappresenta.
L'AEPD ha quindi imposto un Fine per un importo di 220.000 euro contro il Cartonajes Bañeres, suddiviso in:
- 200.000 euro per il Violazione contro l'articolo 35 GDPR (nessuno) Valutazione d'impatto sulla protezione dei dati).
- 20.000 euro per il Violazione contro l'articolo 12 GDPR (risposta inadeguata alla richiesta di accesso ai dati).
Fonte: Avviso di sanzione della Agenzia spagnola per la protezione dei dati contro Cartonajes Bañeres, S.A.
Club Atlético Osasuna: 200.000 euro (Spagna)
Il Agenzia spagnola per la protezione dei dati (AEPD) ha Procedimento sanzionatorio contro il Club Atlético Osasuna avviata dopo la 22 novembre 2022 uno Reclamo erano state ricevute. Il Reclamo era diretto contro l'introduzione di un sistema biometrico di riconoscimento facciale (SBRF) al Controllo degli accessi di sistema nello stadio El Sadarche è Aprile 2022 è stato introdotto. Secondo il Reclamo il sistema ha limitato il Diritti e libertà fondamentali limita in modo sproporzionato l'accesso degli spettatori allo stadio, anche in presenza di un'autorizzazione all'uso.
Con il Indagine dall'AEPD, si è scoperto che il sistema è stato sviluppato in collaborazione con La Liga e le aziende tecnologiche DAS-GATE e VERIDAS è stato sviluppato. Aveva lo scopo di facilitare l’accesso allo stadio per gli abbonati tramite il riconoscimento facciale, ma è rimasto un Opzione volontariache potrebbe ancora essere utilizzato insieme alla tessera fisica o all'accesso digitale tramite smartphone.
È stato inoltre constatato che l’Osasuna ha una Valutazione d'impatto sulla protezione dei dati aveva effettuato per verificare la Base giuridica per il Elaborazione dati biometrici per legittimare il sistema. Il club ha sostenuto che il sistema su base volontaria e che le persone interessate abbiano un consenso esplicito al Elaborazione dei loro dati biometrici. Il sistema è anche sicuro, poiché non vengono utilizzate immagini, ma solo dati matematici. vettori biometrici verrebbero salvati.
L'AEPD ha rilevato che il Necessità e proporzionalità la misura era discutibile. Anche se il sistema era considerato volontario è stato dichiarato, l’Autorità ha rilevato che potrebbe sussistere una certa situazione di pressione sociale o psicologica, in particolare poiché il club pubblicizzava il sistema come un’alternativa „più veloce e comoda“. L’AEPD ha inoltre sottolineato che mancanza di Trasparenza informazioni alle persone interessate e al Mancanza di una chiara base giuridica per l'utilizzo di tali tecnologie negli stadi di calcio.
L'Osasuna è stata infine squalificata per il uso illegale del riconoscimento facciale biometrico al Controllo degli accessi di sistema con un Fine sanzionato per un importo di 200.000 euro. Secondo il parere dell'AEPD, la Base giuridica discutibile era e che la misura viola il principio della Minimizzazione dei dati e necessità. Nella sua decisione, l’AEPD sottolinea che l’utilizzo dei sistemi di riconoscimento facciale deve soddisfare requisiti particolarmente rigorosi al fine di garantire i diritti degli interessati.
Vodafone España: 200.000 euro (Spagna)
Il Agenzia spagnola per la protezione dei dati (AEPD) ha un Procedimento sanzionatorio contro Vodafone España, S.A.U. avviato dopo che un cliente su 7 marzo 2023 uno Reclamo presentato. Il Reclamo interessato a duplicazione non autorizzata della carta SIMpubblicato su 8 aprile 2022 è stato rilasciato senza il consenso degli interessati. A seguito di questa frode d’identità, sono state effettuate operazioni non autorizzate Transazioni bancarie effettuate sul conto del cliente.
Secondo l'indagine dell'AEPD 8 aprile 2022 alle 19:47 è stato fatto un primo tentativo di sviluppare un Nuova carta SIM per il colpiti numero di cellulare. Questo tentativo è inizialmente fallito, ma già cinque minuti dopo è stata presentata una nuova richiesta, che alla fine è stata approvata. La scheda SIM fraudolenta è stata ottenuta tramite un Call center Vodafone attivato, consentendo all'autore del reato di prendere il controllo del colpiti ricevuto un numero di telefono. Solo su 9 aprile 2022 alle 12:26 la carta SIM fraudolenta è stata annullata dopo che il Parti interessate Vodafone l'aveva informata che non aveva più accesso alla sua connessione cellulare.
L'AEPD ha rilevato che Vodafone non aveva applicato in modo coerente le proprie linee guida sulla sicurezzacome gli agenti dei call center sono in realtà non erano autorizzati ad approvare la duplicazione di schede SIM a favore di presunti dipendenti dei negozi Vodafone. Questo indica un Negligenza nell'attuazione delle misure di sicurezza interne lì.
Inoltre, Vodafone aveva intentato una causa contro Art. 6 comma 1 GDPR violato, poiché il Elaborazione dati personali del cliente effettuata senza il loro consenso legittimo. L'autorità ha quindi deciso di, una sanzione pecuniaria pari a 200.000 euro da infliggere. L’AEPD non ha preso in considerazione alcuna riduzione della sanzione, poiché violazioni simili si era già verificato più volte in passato.
Fonte: Avviso di sanzione della Agenzia spagnola per la protezione dei dati contro Vodafone España, S.A.U.
Correo Inteligente Postal, S.L.: 200.0000 euro (Spagna)
Il Agenzia spagnola per la protezione dei dati (AEPD) ha un Procedimento sanzionatorio contro l'azienda Correo Inteligente Postal, S.L. (CI POSTAL) avviata dopo la 22 settembre 2022 il Polizia locale di Palma di Maiorca ha presentato un rapporto. Il rapporto ha rilevato che nel complesso 1.404 lettere con dati personali sono state rinvenute in un'area abbandonata. Queste lettere provenivano da diverse aziende, tra cui La Caixa, BBVA, Endesa e Naturgy, e che in realtà avrebbero dovuto essere distribuiti ai destinatari.
Un rappresentante di CI POSTALE ha riconosciuto il logo aziendale sulle lettere lasciate sul posto e ha confermato che l'invio delle lettere era stato delegato a quattro dipendenti. Tuttavia, non è stato possibile stabilire quali dipendenti fossero responsabili della mancata consegna.
Su 17 novembre 2022 è stato segnalato un altro incidente: Il Comando Superiore di Polizia delle Isole Baleari ha avuto luogo di nuovo 5.354 lettere non consegnate, che erano state lasciate in due diverse zone di Palma di Maiorca. Alcune delle lettere erano state aperte, mentre altre erano completamente intatte. Le lettere contenevano informazioni sensibili relative a banche, fornitori di energia e operatori di telefonia mobile.
L'AEPD ha rilevato che CI POSTALE contro diversi articoli del Regolamento generale sulla protezione dei dati (GDPR) è stato violato:
- Articolo 5.1(f) GDPR: L'azienda non ha adottato misure adeguate per garantire che la Riservatezza e Integrità garantire la protezione dei dati personali.
- Articolo 32 GDPR: Mancanza di misure di sicurezza ha comportato l'utilizzo di strumenti non autorizzati Terza parte su Dati personali poteva accedere.
L'AEPD ha inflitto a CI POSTALE a Fine da un totale di 200.000 euro. Inoltre, l'azienda è stata obbligata a, entro sei mesi a Sistema di tracciamento e monitoraggio delle consegne di posta da introdurre per garantire che le lettere vengano consegnate correttamente.
Reazione da parte di CI POSTAL: L'azienda ha licenziato i dipendenti coinvolti e ha organizzato corsi di formazione per evitare che episodi simili si ripetano in futuro. Tuttavia, non è stato implementato alcun sistema tecnologico per garantire la tracciabilità delle spedizioni.
German 
English 
Italian 
French