CNIL упорито следва практиката да оповестява имената на компании, нарушили регламента
На 12 октомври 2023 г. френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL) глоби GROUPE CANAL+ с 600 000 евро, по-специално за неспазване на задълженията си по отношение на търговското проучване и правата на физическите лица.
CNIL получава жалби относно трудностите, срещани от лица при упражняване на правата им от GROUPE CANAL+, собственик и разпространител на телевизионни канали.
Органът на CNIL, отговорен за налагането на санкции, констатира, че компанията не е спазила няколко задължения, посочени в Общия регламент относно защита на данните (GDPR) и Кодекса за пощите и електронните съобщения (CPCE). Той налага глоба от 600 000 евро на GROUPE CANAL+, която е оповестена публично.
Размерът на глобата е определен според установените нарушения и при отчитане на съдействието на дружеството и всички мерки, които то предприема по време на процедурата, за да се приведе в съответствие дейността си.
Неспазване на задължението за получаване на съгласие от физическите лица за търговски проучвания по електронен път (CPCE и GDPR).
GROUPE CANAL+ редовно провежда търговски кампании по електронен път. Въпреки това не успява да предостави никакви доказателства, че получава валидно предварително съгласие от лицата.
По време на разследванията компанията предостави на CNIL два примера за стандартни формуляри за събиране на данни от потенциални клиенти, предоставени ѝ от нейните търговски партньори.
Анализът на тези формуляри показва, че те не съдържат информация за самоличността на получателите, на които се предават данните, нито във формулярите, нито чрез хипервръзки, върху които може да се кликне. За да бъде съгласието информирано и валидно, списъкът на партньорите, които получават данните, трябва да бъде предоставен на хората в момента на получаване на тяхното съгласие.
И накрая, мерките, въведени от GROUPE CANAL+ с нейните доставчици на данни, за да се гарантира, че съгласието е валидно дадено от лицата, преди да се свържат с тях, са оценени като недостатъчни.
Непредоставяне на информация (членове 13 и 14 от GDPR) и правата по членове 12 и 15 от GDPR.
Проверките, извършени от CNIL, разкриват и други нарушения, включени в решението за санкция:
- Липса на информиране на лицата при създаване на профил в MyCanal: политиката за поверителност, към която препраща формулярът при създаването на акаунта, е неточна относно периодите на съхранение (член 13 от GDPR);
- Нарушение на задължението за информиране на лицата по време на телефонни обаждания: доставчикът на услуги на компанията, отговарящ за телефонните обаждания, не предоставя цялата информация, изисквана от GDPR;
- Неспазване на задължения, свързани с реда и условията за упражняване на правата на субектите на данни (член 12 от GDPR): по-специално компанията не успява да отговори на определени жалбоподатели в рамките на едномесечния срок, предвиден от законодателството;
- Нарушение на задължението за спазване на правото на достъп до данни (член 15 от GDPR). Компанията не отговаря на някои заявления за достъп.
Неосигуряване на договорна рамка за обработка, извършвана от обработващ (член 28 от GDPR).
По време на своите разследвания CNIL установява, че договорът на обработващия не включва цялата информация, изисквана от GDPR.
Неспазване на сигурността на личните данни (член 32 от GDPR).
Констатирано е нарушение на задължението за гарантиране сигурността на личните данни, тъй като съхранението на паролите на служителите на компанията не е достатъчно сигурно.
Неспазване на задължението за уведомяване на CNIL за нарушение на сигурността на данните (член 33 от GDPR).
Проверките на CNIL разкриват наличието на нарушение на данните, което прави някои данни на абонати достъпни за други абонати за период от 5 часа и за което CNIL не е уведомен.