数保前线 | 全球数据保护态势监测（2020年07月）

* 文章系本公众号独家首发，未经授权不得转载、摘编。

2020年7月，欧洲处罚案件数量及处罚金额显著增长，11个国家监管机构共作出处罚决定43项，处罚金额累计约20,073,582.64欧元。

西班牙和意大利的监管强度突出，西班牙电信行业仍为监管执法重点，对多家运营商频开罚单。意大利再次对电信运营商开出巨额罚单，本次针对意大利电信巨头Wind Tre SpA的监管执法为欧盟GDPR执法数额第六高的案例。

2020年7月-典型监管执法案例概况

【时间】2020年7月1日~2020年7月31日

【数量】11个国家数据保护监管机构，43项处罚决定

【金额】总罚款金额为20,073,582.64欧元

【数量趋势】环比上涨约35.5%，同比上涨约500%。

【金额趋势】环比上涨约880.8%，同比下降约93.6%。

【总体趋势】纵观近一年来月度执法数据，2020年7月的执法数量上涨至最高点，罚款金额处于中位数。

2.3 横向对比

【意大利】单笔处罚金额最高的国家 -- 单笔金额：€16,700,000 

【西班牙】执法数量最多的国家 -- 处罚总额€551,600，案件数21件

【案例】电信运营商Wind Tre SpA因非法处理个人数据被处以16,700,000欧元的罚款。

罚款主要针对Wind Tre S.p.A.直接营销活动中以下几项非法处理行为：

• 数百名数据主体投诉称，Wind Tre S.p.A.未征得其同意向他们发送营销短信、邮件、拨打营销电话和自动呼叫等；

• 由于Wind Tre S.p.A.的隐私政策中的联系信息不完善，数据主体无法行使撤销权和拒绝权；

• 尽管数据主体明确表达了拒绝，Wind Tre S.p.A.仍将数据主体的有关联系信息列在了公用电话列表(Public Telephone Lists)中；

• Wind Tre S.p.A.发布的几款APP，用户每次登录时都必须对许多不同的数据处理活动授权同意,并且在24小时内不得撤回同意。

【违规行为】 数据处理缺乏合法性基础；

【违反条款】GDPR第5条、第6条、第12条、第24条、第25条；

【场景化红线】未经数据主体同意不得处理其个人数据；隐私政策内容不得减损或缺失；不得无视或无故拖延数据主体行权请求；获取用户授权同意的设置不得违反数据主体自愿原则。

2.5 处罚依据

【违法依据TOP3】GDPR第5条（个人数据处理的原则），GDPR第6条（数据处理的合法性），GDPR第32条（数据处理安全）；

缺乏数据处理的合法性基础仍然是高频次违规及处罚依据，其中应重点关注有效同意的获取条件。同时还应注意实施权限控制等技术和组织措施防止数据泄露。

一个处罚案件可能违反了多项法律要求，

所以呈现出的数字并不完全与处罚的案件数量相符。

2.5 合规启示

【营销活动】应在获得数据主体有效同意的前提下进行自动呼叫、发送短信等营销活动，同时应注意披露充分的信息保障数据主体的权利行使。

【数据安全】应设置有效的身份验证程序避免向不匹配的数据主体披露个人数据。

【与监管机构合作】应积极配合监管机构的调查，在规定的期限内提交要求的资料、文件。

（*合规启示从本期执法案例中归纳总结，并非只针对代表性案例）

本文作者：Sh.MH, X.M，G.YR，G.MM，D.MH，W.Y

数保前线 | 欧洲经济区数据保护监管执法监测（2020年06月）

数保前线 | 欧洲经济区数据保护监管执法监测（2020年05月）

数保前线 | 欧洲经济区数据保护监管执法监测（2020年04月）

数保前线 | 欧洲经济区数据保护监管执法监测（2020年03月）

数保前线 | 欧洲经济区数据保护监管执法监测（2020年02月）

数保前线 | 欧洲经济区数据保护监管执法监测（2020年01月）

让我知道你在看