GDPR Privacy: le sanzioni più severe del 2022

Tuttavia, le violazioni sono gravi e le sanzioni pecuniarie possono ammontare a centinaia di milioni di euro. Questo articolo esamina le sanzioni più ingenti in questo ambito nel 2022.

La più alta sanzione GDPR del 2022 è stata imposta contro Instagram, piattaforma di social network di proprietà di Meta, dalla Commissione irlandese per la protezione dei dati. La somma di 405 milioni di euro è anche la seconda sanzione più alta ai sensi del GDPR dopo la sanzione di 746 milioni di euro di Amazon nel 2021. Il provvedimento ha lo scopo di punire Meta per la violazione della privacy dei bambini da parte di Instagram attraverso la pubblicazione di indirizzi e-mail e numeri di telefono. La piattaforma consentiva ai ragazzi di età compresa tra i 13 ei 17 anni di utilizzare account aziendali in cui era possibile accedere sia agli indirizzi e-mail che ai numeri di telefono. Inoltre, gli account non erano impostati come privati per impostazione predefinita e in alcuni casi potevano essere visualizzati dal pubblico.

La commissione irlandese per la protezione dei dati ha anche sanzionato Meta con la seconda sanzione più alta del 2022, quando la società è stata multata di 265 milioni di euro. L’anno scorso è stata aperta un’indagine quando è stato riferito che i dati di oltre 533 milioni di utenti sono stati scaricati online contenenti nomi, ID di Facebook, indirizzi e-mail e numeri di telefono di persone in più di 100 Paesi diversi. La società ha dichiarato di aver collaborato pienamente all’indagine e di aver apportato modifiche ai propri sistemi per prevenire lo scraping non autorizzato dei dati in futuro.

La società americana di riconoscimento facciale Clearview AI è stata multata di 20 milioni di euro dal Garante per la Protezione dei Dati Personali italiano. L’azienda raccoglie selfie su Internet e li aggiunge al suo database di circa 10 miliardi di volti per creare servizi di corrispondenza dell’identità che vende in settori come le forze dell’ordine. Insieme alla sanzione, le autorità italiane hanno ordinato alla società di cancellare tutti i dati in suo possesso sugli italiani e le hanno vietato di elaborare altri dati biometrici facciali.

Clearview AI ha aggiunto al suo conteggio di gravi violazioni del GDPR nel 2022 una multa di 20 milioni di euro in Francia. Un anno dopo che la società non ha risposto a un ordine della CNIL (l’autorità francese per la protezione dei dati) di interrompere l’elaborazione illegale delle informazioni dei cittadini francesi e di cancellare tutti i dati esistenti, è stata colpita dalla sanzione. Finora, Clearview ha gestito tutte queste sanzioni allo stesso modo, rifiutandosi di cooperare con le autorità di regolamentazione al di fuori degli Stati Uniti. Finora, la società ha negato tutte le accuse e ha affermato che le autorità di regolamentazione straniere non hanno giurisdizione sulla sua attività.

Dopo un’indagine su 12 notifiche di violazione dei dati ricevute in un periodo di sei mesi nel 2018, la Commissione irlandese per la protezione dei dati ha multato Meta di 17 milioni di euro per aver violato gli articoli 5 (2) e 24 (1) del GDPR. Ha riscontrato che la società non disponeva di misure tecniche e organizzative adeguate per consentirle di dimostrare prontamente le misure di sicurezza che ha implementato nella pratica per proteggere i dati degli utenti dell’UE nel contesto delle violazioni. La decisione ha segnato la prima volta che l’articolo 60 del GDPR che richiede a tutte le autorità di vigilanza europee di agire come co-decisori è stato utilizzato per risolvere un caso di protezione dei dati.

Un’altra voce familiare nell’elenco dei primi 10 del 2022, Clearview AI è anche caduta in fallo con il cane da guardia per la protezione dei dati del Regno Unito, sebbene la sanzione fosse inferiore alla somma imposta dalle autorità in Italia, Grecia e Francia. Dopo una serie di violazioni delle leggi locali sulla privacy, Clearview AI è stata multata di circa 8 milioni di euro dall’Ufficio del Commissario per le informazioni e gli è stato ordinato di interrompere l’ottenimento e l’elaborazione dei dati personali dei residenti nel Regno Unito pubblicamente disponibili online. È stato inoltre ordinato di eliminare qualsiasi informazione esistente dai suoi sistemi.

All’inizio del 2022, l’autorità austriaca per la protezione dei dati ha imposto una multa di 8 milioni di euro alla catena di supermercati Rewe per aver violato il GDPR. Si riferisce a violazioni della protezione dei dati nel programma di fidelizzazione dei clienti austriaco dell’azienda, il Jö Bonus Club. Lo stesso programma è stato già colpito da una multa di 2 milioni di euro nel 2021, quando 2 milioni di clienti non sarebbero stati adeguatamente informati sull’ulteriore utilizzo dei loro dati. Rewe ha annunciato che presenterà ricorso contro l’ultima multa.

Il 31 gennaio 2022, l’autorità ellenica per la protezione dei dati ha inflitto una multa di 6 milioni di euro a Cosmote Mobile Telecommunications, il più grande operatore di telefonia mobile in Grecia, dopo una segnalazione di violazione dei dati. Dopo che gli aggressori sono riusciti a rubare i dati personali dei clienti Cosmote nel 2020, l’HDPA ha indagato sulle circostanze dell’incidente, concludendo che non erano state implementate adeguate misure di protezione dei dati, che la gravità della violazione non era stata spiegata alle persone colpite e che la società madre, l’Organizzazione ellenica per le telecomunicazioni (Gruppo OTE), non era stata inclusa nell’inchiesta. A causa di molteplici violazioni del GDPR, l’HDPA ha emesso la sanzione di 6 milioni di euro per Cosmote, insieme a un’ulteriore sanzione di 3,2 milioni di euro per il gruppo OTE.