След дискусии санкцията беше повишена на 600 000 евро, арбитър беше EDPB
Френският надзорен орган по защита на данните CNIL наложи глоба от 600 000 евро на компанията ACCOR за неспазването на правото на възражение срещу маркетингови дейности и затруднения, възникнали при упражняване на правото на достъп на клиентите.
До този размер на санкцията се стигна след спор между френското DPA като водещ надзорен орган (LSA) и един от засегнатите надзорни органи (CSA), а именно полското DPA, по отношение на размера на глобата срещу ACCOR SA.
Европейският комитет по защита на данните (ЕКЗД/EDPB) съобщи, че френското DPA трябва да вземе предвид оборота на ACCOR SA от предходната година, а именно 2021 г. Освен това ЕКЗД реши, че с оглед на оборота на ACCOR SA и факта, че случаят се отнася до „съществени” нарушения, глобата не е възпираща в съответствие с чл. 83, параграф 1 от GDPR. Поради тази причина ЕКЗД инструктира френското DPA да преразгледа елементите, на които се основава, за да изчисли размера на глобата, за да отговаря на критерия за възпиращ ефект съгласно чл. 83(1) на GDPR, като се вземе предвид по-специално съответният оборот на ACCOR SA.
Въпреки това, противно на искането на полското DPA, ЕКЗД отбеляза, че няма нужда френското DPA да доказва въздействието на глобата върху икономическата жизнеспособност на ACCOR SA, тъй като френското DPA не е основало намаляване на глобата на невъзможност на администратора на лични данни да плати. ЕКЗД също така подчертава факта, че оборотът вече представлява подходящ показател за финансовото състояние на дадено дружество. Поради това не следва намаляването на оборота да се разглежда като смекчаващо вината по чл. 83(2)(к) от GDPR. Това ще гарантира, че обстоятелствата, взети предвид при изчисляването на глобата, няма да бъдат отчетени два пъти.
След оценката си ЕКЗД инструктира френското DPA да преразгледа предвидената административна глоба в съответствие със заключенията, направени от Съвета.
CNIL в своето съобщение казва, че едновременно с няколко други европейски органи за защита на данните, са получили оплаквания, свързани с трудностите, срещани от хората при упражняването на правата им спрямо ACCOR, френска хотелска група.
Проверките на CNIL разкриват, че когато човек направи резервация директно с персонала на хотел или на уебсайта на една от хотелските марки на групата ACCOR, той автоматично става получател на бюлетин, съдържащ търговски оферти от партньори, като квадратчето, отнасящо се до съгласието за получаване на бюлетина, е предварително отбелязано по подразбиране.
CNIL също установява, че технически проблеми, които се повтарят в продължение на няколко седмици, са попречили на значителен брой хора да се противопоставят ефективно на получаването на съобщения.
Тъй като въпросната обработка се прилага в много страни от Европейския съюз, CNIL представя проект на решение на съответните органи за защита на данните. Европейският комитет за защита на данните (ЕНОЗД) беше привлечен да се произнесе по спора. След тази процедура ЕНОЗД инструктира CNIL да преразгледа размера на глобата и да я увеличи, така че предприетата мярка да бъде по-възпираща.
Органът на CNIL, отговорен за произнасянето на санкции, наложи глоба от 600 000 евро на ACCOR, която и публично обявена.
CNIL взе предвид по-специално броя на нарушенията на компанията, факта, че тези нарушения са свързани с няколко основни принципа на защита на личните данни и че представляват съществено нарушение на правата на физическите лица, както и броя на засегнатите лица и финансовото състояние на дружеството.
CNIL установи, че ACCOR нарушава френското законодателство и четири пъти GDPR:
- Нарушение на задължението за получаване на съгласието на съответното лице за обработка на неговите данни за търговски цели.
- Нарушение на задължението за информиране на лицата (чл. 12 и 13 от GDPR): дружеството не е предоставило на засегнатите лица по достъпен начин необходимата информация при създаване на клиентски акаунт или при членство в програмата за лоялност на ACCOR. Компанията също така не споменава съгласието като правно основание за обработка, за търсене за популяризиране на продукти или услуги на трети страни.
- Нарушение на задължението за зачитане правото на достъп на лицата до отнасящи се за тях данни (чл. 12 и 15 от GDPR), тъй като дружеството не е отговорило на отправените от жалбоподателя искания в срок.
- Нарушение на задължението за зачитане на правото на несъгласие на засегнатите лица (чл. 12 и 21 от GDPR), като дружеството не е взело предвид исканията на жалбоподателите с цел да не им се изпращат повече търговски съобщения за търсене, поради неизправности.
- Нарушение на задължението за гарантиране на сигурността на личните данни (чл. 32 от GDPR), тъй като компанията е разрешила използването на недостатъчно силни пароли. CNIL също критикува компанията, че е поканила човек да изпрати документа си за самоличност по имейл, без въпросните данни да са криптирани.