Компанията има три месеца за предприемане на мерки, заплашена е от неустойка от 500 евро за всеки просрочен ден
На 30 ноември 2022 г. френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés CNIL наложи глоба от 300 000 евро на компанията FREE, по-специално за неспазване на правата на физическите лица и сигурността на данните на нейните потребители.
CNIL получава няколко оплаквания относно трудностите, срещани от хората при разглеждането от френския оператор на фиксирана телефония FREE на исканията им за достъп и изтриване на техните лични данни.
Проверките разкриват няколко недостатъка, по-специално по отношение на правата на субектите на данни (право на достъп и право на изтриване), както и сигурността на данните (слаба парола, съхранение и предаване на пароли in clear text, връщане в употреба на около 4100 зле ремонтирани „Freeboxes“).
Органът CNIL, отговорен за санкциите, наложи глоба от 300 000 евро на FREE и реши да оповести решението си публично. Той също така нареди на компанията да се съобрази с управлението на исканията за право на достъп на хората и да ги обоснове в рамките на 3 месеца от уведомяването за решението, както и глоба от 500 евро на ден при закъснение.
Тази санкция взема предвид естеството и сериозността на нарушенията, категориите лични данни, засегнати от тези нарушения, както и размера и финансовото състояние на компанията. Неговата публичност е оправдана от необходимостта да се припомни важността на справянето с правата на физическите лица и на защитата на данните на потребителите.
CNIL идентифицира четири нарушения на GDPR от компанията FREE.
– Нарушение на задължението за зачитане на правото на достъп на лицата до отнасящи се за тях данни (чл. 12 и 15 от GDPR), тъй като дружеството не е отговорило на отправените от жалбоподателите искания в сроковете или им е предоставило непълен отговор относно източника на техните данни.
– Нарушение на задължението за спазване на правото на субекта на данни на изтриване (чл. 12 и 21 от GDPR), тъй като дружеството не е обработило исканията на жалбоподателите в срок.
– Нарушение на задължението за гарантиране на сигурността на личните данни (чл. 32 от GDPR), тъй като:
- паролата, генерирана при създаване на потребителски акаунт на уебсайта на компанията, по време на процедура по възстановяване или при подновяване на паролата, не е била достатъчно силна;
- всички пароли, генерирани при създаване на потребителски акаунт на уебсайта на дружеството, се съхраняват като обикновен текст в базата данни на абонатите на дружеството;
- компанията изпраща паролите на потребителите при създаване на профил в уебсайта по имейл или по пощата в открит текст, без тези пароли да са временни и без компанията да иска промяната им. По същия начин паролата, свързана с имейл акаунта „free.fr“, е изпращана от компанията по имейл или по пощата до потребителя и е посочена в открит текст в основната част на съобщението;
- техническите и организационни мерки на процеса на възстановяване не позволиха да се предотврати преразпределянето на приблизително 4100 „Freebox“ от бивши абонати към нови клиенти, без данните на тези бивши абонати, които биха били съхранени там, да бъдат правилно изтрити. Тези данни могат да бъдат снимки, лични видеоклипове или запис на телевизионни програми.
– Нарушение на задължението за документиране на нарушение на личните данни (чл. 33 от GDPR), тъй като установената документация не е позволила да се знае за всички предприети мерки за отстраняване на инцидента, свързан с възстановяването на Freeboxes.
Ограниченият комитет на CNIL издаде разпореждане за съответствие във връзка със зачитането на правото на достъп. По отношение на всички останали констатирани недостатъци Ограничената комисия счита, че дружеството е предприело мерки по време на процедурата, за да се приведе в съответствие.