Nouă luni de GDPR: Cinci exemple de amenzi date firmelor pentru prelucrarea ilegală a datelor personale

Astfel, în acest articol mă voi referi doar la amenzile primite de firme, în anumite cazuri, fără să fac referire și la alte măsuri adoptate împotriva companiilor. De asemenea, exemplele alese sunt din diverse țări, pentru a reflecta practica generală a autorităților însărcinate cu aplicarea legislației în domeniul protecției datelor.

Primul exemplu se referă la Autoritatea olandeză pentru protecția datelor. Aceasta a amendat o bancă, cu 48.000 de euro, pentru că cea din urmă nu a respectat dreptul de acces al unui client la datele sale personale. Inițial, banca a refuzat solicitarea clientului de a fi informat cu privire la datele pe care le deține despre el. Ulterior, a fost sesizată autoritatea pentru protecția datelor, care a obligat banca să acorde acces clientului cu privire la datele sale personale deținute de aceasta. Amenda s-a dat pentru săptămânile de întârziere, de la momentul când banca a fost obligată să respecte dreptul clientului.

Cu altă ocazie, Uber, o aplicație de ridesharing, a fost amendată, cu 600.000 de euro, tot de către Autoritatea olandeză. De data aceasta, amenda a fost pentru nerespectarea obligațiilor privind raportarea incidentelor de securitate. Și chiar dacă amenda a fost dată în 2016, ea este relevantă și în baza GDPR, întrucât raportarea incidentelor de securitate este o obligație și conform acestui act.  

Însă există amenzi acordate și în contextul GDPR. Mai exact, Autoritatea germană pentru protecția datelor a amendat un furnizor de rețele sociale pentru neconformarea acestuia la standardele de securitate impuse de GDPR. Mai exact, acesta a stocat parolele astfel cum ele erau compuse. Amenda a fost de 20.000 de euro, însă s-au luat în considerare circumstanțe atenuante.

Google a fost amendată cu 50 de milioane de euro pentru lipsa de informare suficientă a utilizatorilor cu privire la prelucrările de date în privința cărora își dau consimțământul. Practic, problema a fost că, astfel, consimțământul nu ar fi fost dat de niște persoane informate corespunzător. Trecând peste faptul că e vorba de Google și că ar fi aproape imposibil ca, în România, să se dea asemenea amenzi, cazul demonstrează că una dintre cele mai sancționate abateri în privința GDPR este lipsa de informare în vederea garantării unui consimțământ real. 

Un alt caz interesant este o amendă dată de către Autoritatea austriacă de protecție a datelor, pentru instalarea unei camere de filmat într-un loc public. Practic, persoana care a instalat camera respectivă a montat-o într-un loc de unde erau preluate imagini și de pe un trotuar public. Mai mult, existau probleme și cu privire la scoaterea în evidență a camerei care filma, pentru a informa trecătorii că sunt filmați. Amenda acordată a fost de 4,800 de euro.

GDPR este, începând din 25 mai 2018, cadrul legal european unic în materie de prelucrare a datelor personale ale persoanelor fizice. Prin urmare, orice companie care prelucrează asemenea informații trebuie să respecte GDPR, altfel riscă sancțiuni drastice.