Най-големите глоби, които ЕС наложи по GDPR

Животът ни има накъде още да става все повече онлайн, въпреки че в момента може да ни изглежда, че всичко от нашите медицински досиета до финансовото ни състояние съществува в дигитална форма. През годините тази дигитализация промени отношението ни към онлайн поверителността и постави нови предизвикателства пред законите по света, предназначени да ни защитават.

Можете да защитите данните си с действия като това да сложите силни пароли за профилите си и да бъдете внимателни за опити за фишинг, но само правителствата могат да налагат закони за това как компаниите трябва да са задължени да пазят поверителността ни. През последното десетилетие Европейският съюз извърши цялостна ревизия на своите закони за поверителност, за да гарантира, че нейните разпоредби са актуални към проблемите и въпросите на деня и за да се справи с изискванията на днешния живот онлайн. Най-голямата такава стъпка на Съюза дойде през май 2018 г., когато влезе в Сила Общият регламент на ЕС за защита на личните данни или още GDPR.

GDPR на практика предостави на европейските интернет потребители едни от най-силните законови защити на поверителността в света. Той не позволява на организациите да събират лични данни, когато това не е необходимо или когато не са получили изрично съгласие. И след като имат нечии данни, те не могат да ги използват за нищо друго освен за първоначалната цел, за която са ги събрали. Ако има пробиви в сигурността на базите данни на дадена компания или ако тези данни се съхраняват по-дълго от необходимото, компаниите могат да изпаднат в големи проблеми.

Залогът за компаниите нарушители е много голям. Регулаторите от всяка от 27-те държави от ЕС могат да разследват жалби по GDPR и имат право да налагат огромни глоби (максимум 20 милиона евро или 4% от глобалните приходи на компанията, в зависимост кое от двете е по-високо) на нарушителите. Освен това жертвите на нарушения на GDPR могат да търсят лично обезщетение от компаниите. Когато биват наложени глоби за нарушения на този закон, компаниите обикновено ги обжалват, оставяйки окончателните решения да бъдат взети в съда.

Всички големи технологични компании са се ангажирали да спазват европейските правила за поверителност, но това не означава, че винаги се справят отлично. Досега Google, Meta (компанията майка на Facebook) и Twitter вече имат наложени сериозни глоби и освен това са на фокус и в много други регулаторни разследвания. И не само големите технологични компании са строго следени и санкционирани за нарушения на GDPR въпросите и санкциите засягат еднакво всички компании, които извършват някакъв онлайн бизнес в Европа – от търговци на дребно до авиокомпании.

И така, в този материал решихме да резюмираме петте най-големи глоби, които ЕС е налагала по GDPR досега.

Топ пет най-големи глоби по GDPR

1. Amazon – 746 милиона евро.

Най-голямата глоба за нарушение на GDPR в кратката история на регламента. През юли 2021 г. люксембурският орган за защита на данните заяви на Amazon, че ще трябва да плати санкцията от 746 милиона евро заради незаконни практики за обработка на потребителските данни от страна на компанията. Още тогава представител на търговския гигант заяви, че компанията не е съгласна с това решение. Оттогава ръководството е завело съдебно дело с искане за обжалване, което още е в ход и без еднозначен изход.

2. WhatsApp – 225 милиона евро.

През септември 2021 г. ирландският комисар по защита на данните приключи почти тригодишно разследване срещу WhatsApp, като в крайна сметка решението доведе до това да бъде наложена втората най-голяма глоба за нарушение на GDPR. Санкцията трябваше да бъде платена от компанията Meta, тогава известна като Facebook, която от години притежава популярното чат приложение. Това, което е успяло да повлияе решението е, че в крайна сметка от WhatsApp не са успели да съобщят достатъчно ясно и изчерпателно за европейските потребители как използват техните данни. Конкретно проблемът беше в начина, по който WhatsApp споделя данни с Facebook. Аналогично на случая на Amazon, представител на компанията мигновено заяви, че ще бъде заведен съдебен иск за обжалване, който все още е в процес.

3. Google – 50 милиона евро

Една от най-ранните знакови глоби по GDPR беше наложена през януари 2019 г. от френски регулатор на Google. Основанието за глобата беше, че според местните регулаторни органи компанията не разкрива на потребителите как техните данни биват събирани и използвани за показването на таргетирана реклама. Както при глобата на WhatsApp, това е пример за това как GDPR изисква от компаниите да бъдат прозрачни с потребителите и да ги информират за всичко, което се случва с техните данни. Google естествено обжалва санкцията, но в крайна сметка тя беше потвърдена от френски съд.

4. HM – 35 милиона евро

Може би има лек ефект на изненада, че в този списък откривате и компания, която не е технологична. Търговецът на дребно получи глобата в Германия през 2020 г. за проблематично следене не на потребителите, а на служителите си. По-конкретно санкцията беше наложена заради практиката, че компанията провежда срещи с всички свои служители, които са се върнали от отпуск, майчинство или друго прекъсване на работата си, а след това записва и предоставя тези записи на мениджърите на цялата организация без знанието или съгласието на самите служители. Видеоклиповете са съдържали лични подробности – в това число и медицинска информация за личния живот на служителите, които след това компанията е използвала за създаване на персонални профили на нейната работна сила, а на база на тези профили е вземала решения относно това дали да продължи трудовите им договори. Когато тази практика стана известна, скандализира голяма част от защитниците на правата на работниците и организациите, които регулират трудово-правните взаимоотношения в Германия.

5. TIM – 27,8 милиона евро

През януари 2020 г. италианският регулаторен орган за поверителността наложи глоба на италианската телекомуникационна компания. Сумата на санкцията е чутовна за предприятие с такива размери, а списъкът с нарушения е доста дълъг. Длъжностните лица на италианския регулатор са открили нарушения при събирането и обработката на данни, след като са установили, че компанията редовно извършва маркетингови кампании, които са се превърнали в телефонен тормоз. Съобщава се, че един човек е получил 155 обаждания от компанията само в период на един месец.

Макар и тези санкции да звучат наистина сериозно от гледна точка на сумите, които компаниите трябва да заплатят, както стана ясно повечето от глобите по GDPR все още не са платени, защото предприятията водят дълги и сложни правни спорове, в които искат те да бъдат отменени. Независимо обаче какви ще бъдат конкретните решения на компетентните съдилища, картината ни дава еднозначна заявка – личните данни и поверителността са станали една много чувствителна тема за ЕС и регулаторите в страните членки, може би дори една от най-чувствителните. Тази ситуация цели да събуди силни реакции и да накара всички компании, които по някакъв начин оперират с лични данни, да бъдат особено внимателни към начина, по който се отнасят към тях. Това законодателство може да има особено силен ефект за страните членки на Съюза, в които няма изградени силни законодателства и сериозни правни последици за компаниите, които злоупотребяват или съхраняват лошо потребителските лични данни. Подобни глоби могат да засегнат компаниите не само в случаите, когато е имало съзнателни грешки или решения от тяхна страна, а и дори тогава, когато поради хакерски атаки, вътрешни пробиви или други причини е имало изтичане на данни, което е довело до това чувствителна потребителска информация да бъде компрометирана. По този начин се заражда и една значително по-висока стимулация частните компании и държавните структури да поддържат на високо ниво информационната сигурност на своите бази данни и системи за електронно управление на процеси. На този етап все още не сме чували обаче за случай, в който държавно учреждение да е получило толкова значителна санкция по GDPR.