Сред нарушенията е неспазване на задълженията по чл. 13 и чл. 14 от GDPR
Френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés CNIL глоби с 600 000 евро водещият доставчик на електроенергия EDF след множество жалби за трудности, срещани от лица, желаещи да упражнят правата си според GDPR.
CNIL констатира липса на информиране (според членове 13 и 14 от GDPR) и неспазване на задълженията за упражняването на права (членове 13 и 14 от GDPR), както и неосигуряване на сигурност на личните данни (член 32 от GDPR).
По време на проверките на CNIL се разкриват и други нарушения, описани в решението за налагане на санкцията:
- Нарушение на задължението за информиране на лицата: съобщението за защита на личните данни в уебсайта на компанията не уточнява правното основание за всеки случай на използване на данни и не дава яснота относно периодите на съхранение на данните (член 13 от GDPR). Освен това в офертата, изпращана от EDF до физически лица, произходът на данните им не е посочен по достатъчно точно. EDF пише само, че „данните са събрани от организация, специализирана в data enrichment “, без да посочва точно откъде идват данните (чл. 14 от GDPR).
- Нарушаване на задълженията по отношение на условията за упражняване на правата (член 12 от GDPR): по-специално компанията не отговори на определени жалбоподатели в предвидения срок.
- Нарушаване на задължението за спазване на правото на достъп от субекта на данните (член 15 от GDPR) и правото на възражение на засегнатите лица (член 21 от GDPR). Компанията е предоставила неточна информация за произхода на събраните данни и не е взела предвид несъгласието за получаване за търговско проучване.
Установено е и нарушаване на задължението за гарантиране на сигурността на личните данни (член 32 от GDPR):
- паролите за достъп до клиентската зона на портала „енергиен бонус“ за повече от 25 000 акаунта са били съхранявани по незащитен начин до юли 2022 г.;
- паролите за достъп до клиентската зона на EDF са hashed за повече от 2,4 милиона акаунта, без да са били salted, което ги излага на риск.
Констатирана е и липса на изрично съгласие от лица за получаване на маркетингови съобщения по електронна поща (чл.7 от GDPR). Между 2020 г. и 2021 г. EDF провежда кампания за търговско проучване чрез електронни средства. По време на разследването не успява да докаже пред CNIL, че има предварително валидно съгласие от лицата. Използваните формуляри за съгласие не са били проверени, а на data brokers не са извършвани никакви одити.
Размерът на глобата е определен според констатираните нарушения и сътрудничеството от страна на компанията, както и мерките, които е предприела по време на производството, за да постигне съответствие с изискванията.