* 文章系本公众号独家首发，未经授权不得转载、摘编。
01
EEA数据保护监管执法概述
2020年8月，处罚案件数量有所下降，处罚金额显著回落，10个国家监管机构共作出处罚决定23项，处罚金额累计约 € 671,453.64。
法国、英国、西班牙和意大利的监管强度突出，违反数据处理基本原则及数据处理缺乏合法性基础为监管执法的重点。
注：监测数据来源于各国数据保护监管机构官网、其他第三方机构的统计数据等，其中以能够获取案件实际内容的为统计基础。
2020年8月-典型监管执法案例概况
02
2020年8月监管执法分析
【时间】2020年8月1日~2020年8月31日
【数量】10个国家数据保护监管机构，23项处罚决定
【金额】总罚款金额约为 € 671,453.64
【数量趋势】环比下降约45.2%，同比上涨约283.3%。
【金额趋势】环比下降约96.7%，同比下降约79.3%。
【总体趋势】纵观近一年来月度执法数据，2020年8月的执法数量处于中位数偏上，罚款数额接近最低值。
2.3 横向对比
【法 国】单笔处罚金额最高的国家
【西班牙】执法数量最多国家，处罚总额：€ 129,000，案件数：7
【意大利】执法数量最多国家，处罚总额：€ 46,000，案件数：7
【案例】鞋类在线销售商Spartoo因非法处理个人数据被法国监管机构处以 € 250,000的罚款。罚款主要针对Spartoo经营活动中以下几项非法处理行为：
该公司超出必要范围记录和保存了数据主体的个人数据，如所有电话热线的录音、客户的银行详细信息、意大利客户健康卡所涉及的大量信息；
该公司未设置客户和潜在客户数据的保存期限；
该公司数据处理的法律依据没有在隐私政策中全部告知客户，此外员工与客户之间热线电话所记录的信息涉及到的包括处理的目的及法律依据、数据的接收者、数据的保留期限及数据主体权利等没有告知员工；
关于客户通过网站访问账户的密码，该公司没有督促客户使用更强的密码，也没有加密客户的银行卡来确保数据的安全。
【违规行为】违反个人数据处理基本原则
【违反条款】GDPR第5条、第13条、第32条
【场景化红线】禁止超目的范围保存和记录数据主体的个人数据；保存个人数据应当有期限，且不能超过处理目的所必要的时间；禁止不告知数据主体关于个人数据处理的目的、依据、保留期限等必要信息；禁止不采取相关措施来保障数据主体的个人数据安全。
2.5 处罚依据
【违法依据TOP3】GDPR第5条（个人数据处理的原则）、GDPR第6条（数据处理的合法性）、GDPR第13条（信息告知义务）
违反数据处理基本原则和缺乏数据处理的合法性基础是高频次违规及处罚依据，其中应重点关注合法、公平和透明原则及目的限制原则。同时，还应注意充分履行信息义务，在cookie政策和隐私政策中向数据主体提供法律所要求的信息。
一个处罚案件可能违反了多项法律要求，
所以呈现出的数字并不完全与处罚的案件数量相符。
2.5 合规启示
【直接营销】在没有获得数据主体同意的情况下，不得进行以营销为目的的个人数据处理，其中包括但不限于向用户发送推销类的邮件、营销短信等内容，为了规避风险，公司应当在进行数据处理之前征得数据主体的同意。
【员工离职】在员工离职之后，公司应当在合理期限内删除其电子邮箱账户、浏览器历史记录等个人数据，并应及时响应离职员工的访问请求和删除请求。
【数据公布】未经数据主体同意，企业不得通过公告栏或互联网等方式对外公布监控录像中的自然人照片、解雇信和其它个人数据。企业应设计个人数据公布的匿名化机制和数据最小化机制。
* 合规启示从本期执法案例中归纳总结，并非只针对代表性案例
本文作者：Sh.MH, X.M，D.JJ、F.Q、D.P
2020-08-31
2020-07-20
2020-06-16
2020-05-27
2020-04-27
让我知道你在看
