自从引入 GDPR 以来发生了什么？

已发表: 2019-03-21

大约十个月前，2018 年 5 月 25日，《欧洲通用数据保护条例》生效。 在引入引起的巨大炒作之后，您可能想知道新法规是否产生了任何影响。 事实上，已经发生了很多事情，已经被处以罚款和警告，并且已经提起了许多诉讼。

为了让您大致了解哪里违反了数据保护问题，我们收集了基于 GDPR 的罚款、警告和未决诉讼。

基于 GDPR 的罚款

案例 1：窃取用户数据——德国

聊天平台“Knuddels”遭到黑客攻击，密码、化名和电子邮件地址被盗，因为这些信息未加密存储。 数据的未加密存储对个人数据的保护不足。 这违反了 GDPR 要求的默认隐私和设计隐私原则。

本案的罚款金额为 20,000 欧元。
来源：窃取用户数据——德国（德语）

案例 2：健康数据的公布——德国

可能由于一个无意的错误，个人健康数据可以在线访问。 （本案没有进一步披露细节。）在本案中，同样因为保护措施不足，违反了默认隐私和设计隐私原则。

这里的罚款高达 80,000 欧元。
来源：健康数据的发布——德语（德语）

案例 3：Google 缺少/错误的用户批准 – 法国

迄今为止对谷歌处以最高罚款。 该诉讼是在 GDPR 生效之日提起的。 在本案中，罚款是基于违反提供信息和透明度的义务以及使用个性化广告缺乏法律依据。

在这种情况下，罚款金额为 50,000,000 欧元。
Quelle：谷歌缺乏用户认可
CNIL（法国数据保护局）的官方通讯

自 GDPR 生效以来，德国共处以 41笔罚款，金额从 15,000 到 100,000 欧元不等。 罚款的理由有很多：

  • 一家酒店采取了不充分的技术和组织措施，不能排除信用卡或预订系统中的其他客户数据可能在遭受敲诈勒索的黑客攻击时被泄露的可能性，
  • 由于内部控制机制不足，在互联网上发布健康数据，
  • 人为错误：医院向错误的患者披露健康数据，
  • 记录不来梅州消防队的所有呼出和呼入电话，
  • 使用网上银行向未经授权的人披露账户报表，
  • 不可接受的广告电子邮件，
  • 在黑客攻击网店期间未经授权复制客户数据，
  • 未经授权的行车记录仪使用，
  • 一个开放的电子邮件通讯组列表，
  • 未经授权对客户和员工进行视频监控。

在欧洲，自 GDPR 生效以来，共处以 91笔罚款。

GDPR生效以来的注意与判断

案例一：未加密的网站

维尔茨堡地区法院以 250,000 欧元的罚款威胁，禁止律师在未加密且没有充分数据保护声明的情况下使用她的网站。
来源：未加密的网站（德语）

案例 2：使用 Facebook 自定义受众

巴伐利亚州数据保护办公室禁止在线商店使用“Facebook 自定义受众”。 该判决得到了“Verwaltungsgericht”和“Verwaltungsgerichtshof”的确认。 此处给出的原因是未经访问者同意而使用个人数据。

来源： Facebook 自定义受众的使用（德语）

因 GDPR 引发的未决诉讼

  • Instagram （比利时）：原因：信息不足以及强制、缺失或不充分的同意。
  • WhatsApp （汉堡）：原因：信息不足和强制、缺失或不充分的同意。
  • Facebook （奥地利）：原因：信息不足和强制、缺失或不充分的同意。
  • 奥地利：奥地利银行收取 30 欧元来检索客户为该客户存储的个人数据。 法院裁定原告胜诉，随后银行向更高一级的法院，即联邦行政法院提起上诉。 法院在此做出决定的原因是拒绝授予自由披露存储的个人数据的权利。
  • 欧洲法院：针对使用美国-欧盟隐私盾（例如 Facebook）采取行动，因为根据美国法律，传输到美国的数据可能会被 NSA 拦截。
  • 英国和爱尔兰：谷歌和 IAB因广告中的实时竞价 (RTB)而被起诉。 据原告称，RTB 系统每天在未经用户同意的情况下与其他系统共享数千亿个个人数据点。 甚至“虐待、乱伦或艾滋病毒状况”等敏感数据也会被共享。 据原告称，IAB 事先知道其系统不符合 GDPR。 另一方面，谷歌试图将义务转移给展示广告的网站，以获得用户同意。

资料来源：
https://noyb.eu/
https://mashable.com/article/gdpr-google-iab-complaint-evidence-update/?europe=true

自 GDPR 生效以来，已向欧洲数据保护机构报告了 59,000 多起数据泄露事件。 数据泄露报告数量最多的国家是荷兰有 15,400 次数据泄露，德国有 12,600 次，英国有 10,600 次。 塞浦路斯有 35 份报​​告，冰岛有 25 份，列支敦士登有 15 份是数据泄露最少的国家。

巴伐利亚州数据保护监督办公室 (BayLDA) 已检查了 40 个高影响力公司网站，以检查它们在用户同意和文档方面是否符合 GDPR 。 40家公司网站均未正确执行获取用户同意和正确用户信息的流程。 在这里，也存在诉讼和警告的威胁。

正如您所看到的，在过去的十个月里，数据保护领域发生了很多事情。 新的数据保护条例为用户保护其个人数据提供了重要的法律依据。 因此，要求并建议公司遵守新的数据保护要求。

请记住，GDPR 和新要求也适用于向欧盟公民提供服务和产品的瑞士公司。