DPIA

L'attesa è finita
Ailance™ DPIA è qui!

Top 5 delle multe GDPR nel maggio 2025: l'Irlanda è in testa con la multa a TikTok

L'autorità irlandese per la protezione dei dati DPC è in prima linea nelle multe del GDPR nel maggio 2025 con la sua multa contro l'app video TikTok.
Categorie:

Nel maggio 2025 sono state comminate multe per un totale di milioni. L'autorità irlandese per la protezione dei dati DPC ha emesso la multa più alta contro l'app video TikTok: l'azienda ha dovuto pagare una multa di 530 milioni di euro perché i dati sono stati inviati in Cina senza la conoscenza e il consenso degli interessati. L'autorità italiana per la protezione dei dati personali GDPD ha imposto una multa di 5 milioni di euro all'operatore del chatbot Replika, Luka Inc. Multe elevate per il GDPR sono state comminate anche in Francia e Spagna.

TikTok: 530 milioni di euro (Irlanda)

Il 2 maggio 2025, la Commissione irlandese per la protezione dei dati (DPC) ha imposto una multa a TikTok per un importo pari a 530 milioni di euro è stato imposto. La decisione è stata presa in seguito a un'indagine sulla legalità del trasferimento dei dati personali degli utenti dallo Spazio economico europeo (SEE) alla Cina. Il DPC ha riscontrato che TikTok non ha garantito un livello di protezione paragonabile alla legislazione dell'UE durante il trasferimento dei dati, come richiesto dall'articolo 46 del GDPR. Inoltre, l'informativa sulla privacy di TikTok non era sufficientemente trasparente fino alla fine del 2022. Non indicava i paesi destinatari (come la Cina) né descriveva sufficientemente il tipo di trattamento dei dati.

La sanzione consiste in 485 milioni di euro per la violazione dell'art. 46 GDPR e 45 milioni di euro per mancanza di trasparenza ai sensi dell'art. 13 par. 1 lett. f GDPR insieme. Inoltre, il DPC ha ordinato a TikTok di adeguare le proprie procedure di trattamento dei dati al GDPR entro sei mesi. In caso contrario, il trasferimento dei dati in Cina potrebbe essere interrotto. La decisione è stata rafforzata da nuove scoperte: inizialmente TikTok aveva falsamente informato il DPC di non conservare i dati degli utenti del SEE su server in Cina, ma in seguito ha dovuto rettificare.

Suggerimento di lettura: TikTok deve pagare una multa di 530 milioni di euro - per il trasferimento di dati in Cina

Fonte: Avviso della Commissione irlandese per la protezione dei dati sulla multa inflitta a TikTok

Luka Inc.: 5 milioni di euro (Italia)

Il 10 aprile 2025, l'autorità italiana di controllo Garante per la Protezione dei Dati Personali (GDPD) ha imposto una multa di 5 milioni di euro alla società statunitense Luka Inc, gestore del chatbot AI Replika. Il GDPD ha rilevato che Luka ha violato le disposizioni chiave del GDPR. In particolare, i requisiti di trasparenza, la base giuridica del trattamento dei dati e la protezione dei minori. Ad esempio, mancavano un'informativa sulla privacy chiara e completa, meccanismi efficaci per la verifica dell'età e una presentazione trasparente delle finalità e delle basi del trattamento dei dati. Nonostante i successivi adeguamenti da parte dell'azienda, al momento della decisione permanevano carenze significative. Oltre alla multa, il GDPD ha ordinato anche la pubblicazione della decisione e la rettifica delle misure di protezione dei dati.

Suggerimento di lettura: Replika viola massicciamente il GDPR - Luka Inc. deve pagare una multa di milioni in Italia

Fonte: Avviso di multa emesso dal Garante per la Protezione dei Dati Personali nei confronti di Luka Inc.

ING Bank N.V.: 1,6 milioni di euro (Spagna)

L'autorità spagnola per la protezione dei dati personali Agencia Española de Protección de Datos (AEPD) ha imposto una multa a ING Bank N.V., Sucursal en España, per un importo pari a 2 milioni di euro imposto - ridotto a 1,6 milioni di euro tramite pagamento volontario - perché violava l'art. 6 par. 1 del GDPR. In particolare, nel contesto dell'apertura online di conti bancari (ad esempio "Cuenta NoCuenta") da parte dei clienti, ING avevaall'interno di accettare una clausola che autorizza ING a ottenere informazioni sulla loro attività economica dalla Sicurezza sociale spagnola (TGSS). L'AEPD ha rilevato che tale autorizzazione non volontario ai sensi del GDPR, in quanto era una parte obbligatoria della conclusione del contratto e non è stata offerta alcuna alternativa alla verifica. Il trattamento è stato quindi senza una base giuridica valida ha avuto luogo. ING ha invocato gli obblighi di legge per prevenire il riciclaggio di denaro, ma l'autorità ha stabilito che in questi casi non è necessario il consenso del cliente.all'interno rimane necessario. Oltre alla multa, ING è stata obbligata a riorganizzare il processo in linea con le norme sulla protezione dei dati entro sei mesi.

Fonte: Multa inflitta dall'Agencia Española de Protección de Datos a ING Bank N.V.

Tagadamedia: 900.000 euro (Francia)

Il 15 maggio 2025, l'autorità francese per la protezione dei dati CNIL ha imposto una multa di 900.000 euro alla società Tagadamedia. La società gestisce numerosi concorsi online e ha trattato i dati personali degli utenti a fini pubblicitari senza informarli in modo sufficientemente trasparente sulle finalità e sui destinatari specifici del trattamento. Oltre alle violazioni degli articoli 5 e 6 del GDPR, la CNIL ha riscontrato anche l'assenza di un consenso effettivo ai sensi del GDPR, in quanto non era né specifico né sufficientemente informato. Inoltre, non è stato possibile per gli interessati opporsi efficacemente al trasferimento dei loro dati a numerose società partner. Le violazioni hanno interessato un gran numero di persone e hanno riguardato principi chiave come la trasparenza e la legittimità.

Fonte: Comunicato stampa della CNIL sulla multa inflitta a Tagadamedia

Credifimio: 120.000 euro (Spagna)

L'autorità spagnola per la protezione dei dati AEPD ha inflitto una multa a Unión de Crédito para la Financiación Mobiliaria e Immobiliaria, Credifimo, E.F.C., SAU per un importo pari a 200.000 euro è stato imposto. Il caso riguardava l'illegittima notifica di un interessato all'agenzia di credito ASNEF come garante inadempiente di un prestito, sebbene l'interessato non fosse mai stato correttamente informato del possibile trasferimento dei dati e vi fossero prove giudiziarie dell'inesistenza del debito in questione. Credifimo non è stata in grado di fornire la prova di una base effettiva per il trattamento dei dati; in particolare, non vi era alcuna prova di una corretta procedura di sollecito o di un'informazione legittima ai sensi dell'art. 20 LOPDGDD. La violazione dell'art. 6 del GDPR, in particolare, è stata ritenuta grave, in quanto sono stati violati gli obblighi fondamentali di liceità e trasparenza. A causa di Pagamento e riconoscimento della responsabilità CREDIFIMO si è avvalso dell'opzione di sconto legale, in modo che la Multa effettiva pagata 120.000 euro a cui ammontavano. L'autorità ha inoltre ordinato la cancellazione dell'iscrizione illegale dal registro ASNEF.

Fonte: Multa inflitta a Credifimo dalla Agencia Española de Protección de Datos

Tag:
Condividi questo post :
it_ITItalian