Финансовите санкции за нарушаване на GDPR са  зашеметяващи и  достигат до стотици милиони евро.

Европейският Общ регламент за защита на данните (GDPR) съдържа стотици страници с изисквания и се счита за един от най-строгите закони за поверителност и сигурност в световен мащаб. В сила от 25 май 2018 г., регламентът налага задължения на организациите навсякъде по света, стига да са насочени към или да събират данни, свързани с хора в ЕС.

Мащабът и сложността на GDPR го превърнаха в обезсърчителна перспектива за отделите за съответствие, въпреки че наличието на иновативни софтуерни решения помогна за облекчаване на тежестта.

Въпреки това нарушенията са сериозни и финансовите санкции могат да достигнат стотици милиони евро. В тази статия са разгледани най-големите глоби за 2022 г.

1. Meta – 405 милиона евро (Ирландия)
Най-високата глоба по GDPR за 2022 г. беше наложена на притежаваната от Meta платформа за социални мрежи Instagram от Ирландската комисия за защита на данните. Сумата от 405 млн. евро е и втората по големина глоба по GDPR след санкцията от 746 млн. евро, наложена на Amazon през 2021 г. Тя има за цел да накаже Мета заради това, че Instagram нарушава неприкосновеността на личния живот на децата чрез публикуването на имейл адреси и телефонни номера. Платформата е позволила на деца на възраст между 13 и 17 години да използват бизнес акаунти, в които е имало достъп както до имейл адресите, така и до телефонните номера. Освен това акаунтите не са били настроени като лични по подразбиране и в някои случаи са можели да бъдат видени от обществеността.

2. Meta – 265 милиона евро (Ирландия)
Ирландската комисия за защита на данните също наложи на Meta втората по големина санкция от 2022 г., когато компанията беше глобена с 265 млн. евро. Разследването беше започнато миналата година, когато беше съобщено, че данни за повече от 533 милиона потребители са били изхвърлени онлайн, като са съдържали имена, Facebook ID, имейл адреси и телефонни номера на хора от над 100 различни държави. Компанията заяви, че е оказала пълно съдействие на разследването и е направила промени в системите си, за да предотврати в бъдеще неразрешено извличане на данни.

3. Clearview AI Inc. – 20 милиона евро (Италия)
Американската компания за лицево разпознаване Clearview AI беше глобена с 20 млн. евро от италианския регулатор за защита на личните данни (Garante per la Protezione dei Dati Personali). Дружеството събира селфита в интернет и ги добавя към своята база данни от около 10 милиарда лица, за да създаде услуги за разпознаване, които продава в сектори като правоприлагането. Заедно с глобата италианските власти наредиха на компанията да изтрие всички данни, които съхранява за италианците, и ѝ забраниха да обработва повече техни лицеви биометрични данни.

4. Clearview AI Inc. – 20 милиона евро (Гърция)
През юли 2022 г. Гръцкият орган за защита на данните (HDPA) също глоби Clearview AI с 20 млн. евро за нарушаване на множество разпоредби на регламента. Гражданската организация с нестопанска цел Homo Digitalis подаде жалба от името на субект на данни, в която се твърдеше, че Clearview AI не е разгледала правото ѝ на достъп до обработвани лични данни. Наказанието представлява най-голямата глоба, която HDPA е налагала през цялата си история на функциониране. Както и в Италия, на Clearview AI също беше наредено да изтрие всички данни за субектите в Гърция и беше забранено да обработва допълнителни биометрични данни на лицето.

5. Clearview AI Inc. – 20 милиона евро (Франция)
Clearview AI добави към списъка си със сериозни нарушения на GDPR през 2022 г. глоба от 20 млн. евро във Франция. Една година след като компанията не е отговорила на нареждане на CNIL (френския орган за защита на данните) да спре незаконното обработване на информация на френски граждани и да изтрие всички съществуващи данни, тя е била санкционирана. Досега Clearview се е справяла с всички тези санкции по един и същи начин – отказ от сътрудничество с регулаторните органи извън САЩ. Досега компанията отричаше всички обвинения и твърдеше, че чуждестранните регулатори нямат юрисдикция върху нейната дейност.

6. Meta – 17 милиона евро (Ирландия)
След разследване на 12 уведомления за нарушаване на сигурността на данните, получени за шестмесечен период през 2018 г., ирландската комисия за защита на данните наложи на Meta глоба в размер на 17 млн. евро за нарушение на член 5, параграф 2 и член 24, параграф 1 от GDPR. Тя установи, че дружеството не е разполагало с подходящи технически и организационни мерки, които да му позволят лесно да демонстрира мерките за сигурност, които е приложило на практика за защита на данните на потребителите от ЕС в контекста на нарушенията. Решението отбеляза първия случай, в който член 60 от GDPR, изискващ всички европейски надзорни органи да действат като съавтори на решенията, е използван за решаване на дело за защита на данните.

7. Google – 10 милиона евро (Испания)
AEDP, испанската агенция за защита на данните, наложи най-високата си глоба досега на Google за незаконно разкриване на лични данни пред независим изследователски проект на трета страна. Санкцията в размер на 10 млн. евро беше наложена, след като беше установено, че гигантът в областта на търсачките предава личните данни на граждани на ЕС, които са поискали заличаване на своите данни, на проекта Lumen. AEDP установи, че формулярът за премахване на съдържание, който Google предоставя на субектите на данни за упражняване на правото им да бъдат забравени, е объркващ. Следователно на потребителите, които са поискали изтриване, не е бил предоставен избор относно предаването на информацията им на проекта Lumen, като Google е осуетила тяхното „право да бъдат забравени“ съгласно член 17 от регламента.

8. Clearview AI Inc. – 8 милиона евро (Великобритания)
Друг познат участник в списъка на топ 10 за 2022 г. – Clearview AI – изпадна в немилост и пред британския орган за защита на данните, въпреки че санкцията беше по-ниска от сумата, наложена от властите в Италия, Гърция и Франция. След поредица от нарушения на местните закони за защита на личните данни Clearview AI беше глобена с приблизително 8 млн. евро от Службата на комисаря по информацията и ѝ беше наредено да спре да получава и обработва лични данни на жители на Обединеното кралство, които са публично достъпни онлайн. Освен това ѝ беше наредено да изтрие цялата съществуваща информация от своите системи.

9. Rewe – 8 млн. евро (Австрия)
В началото на 2022 г. австрийският орган за защита на данните наложи глоба от 8 млн. евро на веригата супермаркети Rewe за нарушение на реглаента. Тя е свързана с нарушения на защитата на данните в програмата за лоялност на австрийските клиенти на компанията – Jö Bonus Club. Същата програма вече беше санкционирана с глоба от 2 млн. евро през 2021 г., когато се твърдеше, че 2 млн. клиенти не са били надлежно информирани за по-нататъшното използване на техните данни. Rewe обяви, че ще обжалва последната глоба.

10. Мобилни телекомуникации Cosmote – 6 млн. евро (Гърция)
На 31 януари 2022 г. Гръцкият орган за защита на данните наложи глоба от 6 млн. евро на Cosmote Mobile Telecommunications, най-големия мобилен оператор в Гърция, след докладвано нарушение на сигурността на данните. След като през 2020 г. нападатели успяват да откраднат личните данни на клиентите на Cosmote, HDPA разследва обстоятелствата на инцидента, като стига до заключението, че не са били приложени подходящи мерки за защита на данните, че сериозността на нарушението не е била обяснена на засегнатите лица и че дружеството майка – Hellenic Telecommunications Organisation (OTE Group) – не е било включено в разследването. Поради многобройните нарушения на GDPR, HDPA наложи глоба от 6 млн. евро на Cosmote, както и допълнителна глоба от 3,2 млн. евро на OTE Group.

Кой заработи най – много от глоби?

В обобщение

Глобите по GDPR са предназначени да превърнат неспазването на изискванията за сигурност на данните в скъпоструваща грешка и могат да бъдат разделени на две нива. По-малко тежките нарушения могат да доведат до глоба в размер на 10 млн. евро или 2 % от годишните приходи на фирмата за предходната финансова година, в зависимост от това коя сума е по-висока. По-сериозните нарушения могат да доведат до глоба в размер до 20 млн. евро или 4% от годишните приходи на фирмата от предходната година, в зависимост от това коя сума е по-висока.

Както увеличаването на броя на нарушенията, така и огромните глоби, наложени през последните години, подчертават нарастващата липса на съгласие и прозрачност. Въпреки тази тревожна тенденция е успокояващо да се види, че европейските регулаторни органи активно прилагат закона и налагат глоби в невиждан досега размер. Преди 2021 г. най-голямата глоба в историята беше наложена през 2019 г., когато Google беше санкциониран с 50 млн. евро за начина, по който съобщава на потребителите си за неприкосновеността на личния живот, както и за различни нарушения при обработката на данни. Тази сума беше задмината от рекордната глоба на Amazon от 746 млн. евро през юли 2021 г., а многобройните санкции оттогава насам също достигнаха стотици милиони евро. Ще бъде интересно да видим колко високи ще бъдат глобите през 2023 г.

Прегледайте пълния списък с нарушения на GDPR