Половин милион евро трябва да плати и медийна група за нарушаване на GDPR
Нидерландският орган за защита на данните (AP) наложи глоба от 525 000 евро на DPG Media. Медийната компания е глобена, защото хората, които искат достъп до личните си данни или тяхното премахване, е трябвало да качат доказателство за самоличност.
AP получава няколко оплаквания относно начина, по който Sanoma Media Netherlands BV (преди Sanoma да бъде придобита от DPG Media през април 2020 г.) обработва тези видове искания. Хората, които са подали жалба, например са имали абонамент за списание или са получили реклама от Sanoma.
Всеки, който е искал да знае кои лични данни съхраняват Sanoma и DPG Media, или е искал данните да бъдат изтрити, първо е трябвало да качи или изпрати доказателство за самоличност. Освен това, когато доказателството за самоличност беше изпратено дигитално, тези хора не са били информирани от Sanoma и DPG Media, че им е разрешено да защитават своите данни.
Това касае клиенти на DPG Media, които не са създали онлайн акаунт в DPG Media. За тези клиенти беше по-трудно да имат достъп или да променят данните си. DPG Media променя метода си на работа след придобиването на Sanoma. DPG Media вече изпраща имейл за потвърждение, за да установи самоличността на заявителя. Нарушението е приключило.
Според AP Sanoma и DPG Media събират прекомерни данни, като искат копие от документ за самоличност, а и това затруднява клиентите да преглеждат или изтриват данни.
Моник Вердие, вицепрезидент на AP, е цитирана да казва, че никога не трябва просто да изисквате документ за самоличност. Съдържа много лични данни. Дори ако части от документ за самоличност са защитени, копието често остава твърде тежко средство за определяне дали някой е този, за когото се представя.
Копията на личните документи също трябва да се съхраняват много внимателно, защото могат да се озоват в грешни ръце чрез атака на ransomware или друго нарушение на данните. „Това може да доведе до измама с самоличността и да има сериозни последици за хората зад тези лични данни.“
Глоба за испански хотел след оплакване на холандец
Испанският регулатор на поверителността Agencia Española de Protección de Datos (AEPD) глоби испански хотел с 30 000 евро. Хотелът е глобен за незаконно съхраняване и разпространение на паспортни снимки на гости. Случаят се разбра след жалба на гост на холандски хотел. Нидерландският орган за защита на данните (AP) си сътрудничи с AEPD в това разследване. Разследването и глобата са резултат от това сътрудничество.
Хотел Marins Playa в Майорка сканиране паспортите на гостите. От испанското законодателство се изисква хотелът да регистрира посетители по този начин. Нидерландски гост, когато поръчва питие, вижда, че на таблета на сервитьора се показва сканираната снимка от паспорта му. Включително неговото име и други лични данни.
Хотелът не е поискал от госта предварително разрешение да съхранява и разпространява паспортната снимка. И изобщо нямаше нужда от съхраняване и разпространение на снимки.
Това е нарушение на Общия регламент относно защита на данните (GDPR). Целта на GDPR е хората да запазят контрол върху личните си данни, пише в съобщението на AP.
Хотелът използва сканирането на паспортната снимка, за да провери дали самоличността на госта, който е направил поръчка.
Испанският регулатор заключава, че съхраняването и разпространението на сканирана снимка на паспорта е твърде тежко средство за това. Достатъчно е и просто да поискате номера на стаята на госта, евентуално в комбинация с името му. Следователно хотелът няма право да използва паспортни снимки за това.
Първоначално испанският регулатор заключава, че хотелът има това право. Според механизма за сътрудничество на европейските регулатори на неприкосновеността на личния живот, AEPD предоставя предварителното решение на AP. AP смята, че хотелът наистина е нарушил GDPR. AEPD приема възражението на AP за основателно и коригира решението.
Сега хотелът трябва да плати глобата и да коригира метода си на работа.