Kakve su bile prve kazne za kršenje GDPR-a?
Nešto manje od godinu dana prošlo je od stupanja na snagu GDPR-a (General Data Protection Regulation), odnosno Opće uredbe EU o zaštiti podataka, i možemo zaključiti da je godina 2018. bila obilježena naslovnicama o zlouporabama, curenju podataka i kaznama po toj osnovi.
Budući da kršenja ove uredbe mogu dovesti do visokih kazni, ne čudi da tvrtke temeljito provjeravaju svoje podatke kako bi udovoljile zakonodavstvu. Unatoč tome, do kraja godine samo je otprilike trećina tvrtki provela sve mjere potrebne za usklađivanje s GDPR-om.
Prve pritužbe zbog kršenja pojavile su se odmah nakon stupanja na snagu, kada je neprofitna organizacija noyb.eu podnijela četiri pritužbe protiv Facebooka, Instagrama, WhatsAppa i Androida. Noyb tvrdi da su te tvrtke prisilile svoje korisnike da prihvate nove uvjete pružanja usluga, što je u suprotnosti sa zahtjevom GDPR-a o dobrovoljnom pristanku.
U listopadu je europski nadzornik za zaštitu podataka Giovanni Buttarelli izjavio da očekuje prve sankcije prije kraja godine. I nije dugo čekao. Sankcioniranje je počelo.
Prva kazna izrečena je u Austriji početkom listopada i, iako nije izravno povezana s obradom osobnih podataka, dobro pokazuje doseg uredbe. Neka je kladionica dobila kaznu od 4.800 € zbog sigurnosnih kamera koje su snimale dio pločnika ispred ulaza u kladionicu, jer opsežno praćenje javnih prostora nije dopušteno u skladu s GDPR-om.
Krajem istog mjeseca vidjeli smo prvu kaznu vezanu uz obradu i pohranu osobnih podataka. Nacionalno povjerenstvo za zaštitu podataka u Portugalu izreklo je tri kazne bolnici, u ukupnom iznosu od 400.000 EUR. Prve dvije kazne bile su zbog kršenja načela cjelovitosti i povjerljivosti podataka te kršenja načela minimizacije podataka. Unatoč tome što je bolnica na dan pregleda imala samo 296 aktivnih liječnika, pristup evidencijama o pacijentima imalo ih je više od tri puta toliko.
Sredinom studenoga izrečena je kazna u visini od 20.000 €, nakon što je njemačkoj društvenoj mreži Knuddels.de nakon proboja u sustav procurilo 808.000 e-mail adresa, zajedno s više od 1,8 milijuna korisničkih imena i lozinki, koje su zatim objavljene na internetu bez šifriranja. Nakon incidenta je utvrđeno da web stranica nije imala nikakvu zaštitu osjetljivih informacija. Prema navodima njemačke agencije za zaštitu podataka, jedan od razloga zašto je stranica dobila relativno nisku kaznu bio je taj što je djelovala transparentno i brzo provela sigurnosna poboljšanja.
U prosincu je Facebook u Italiji morao platiti znatno višu kaznu, u iznosu od 10 milijuna dolara, zbog netransparentnosti u pogledu korištenja podataka svojih korisnika.
Početkom 2019. već je izrečena tada najviša kazna. Google je kažnjen s 50 milijuna eura zbog »nedostatka transparentnosti, neadekvatnih informacija i nedostatka valjanih pristanaka u vezi s prilagodbom oglasa«.
A kako je kod vas s poštivanjem Opće uredbe, odnosno GDPR-a?
U svojoj tvrtki, uz temeljito poznavanje novih pravila, najprije se pobrinite da točno znate gdje su osjetljivi podaci pohranjeni i tko ima pristup njima, koliko se dugo čuvaju, tko su ugovorni obrađivači (ako postoje) itd. (više na Finance.si)
