הקנס הגדול ברבעון: 100 מיליון אירו נגד החברה שמאחורי Yango

הולנד רשמה את התיק הגדול ביותר ברבעון: קנס של 100 מיליון אירו נגד MLU B.V., החברה האירופית שמפעילה את אפליקציית המוניות Yango. הרשות ההולנדית להגנת מידע קבעה כי היו ליקויים בהגנות ששימשו להעברת מידע אישי לרוסיה, והורתה לחברה להפסיק העברות שלא עומדות בדרישות ה־GDPR.

המקרה ממחיש שהעברת מידע מחוץ לאזור האירופי דורשת יותר מחתימה על מסמכים חוזיים. על הארגון לבדוק אם במדינת היעד ובמערך ההעברה בפועל קיימת הגנה המקבילה, הלכה למעשה, לזו שנדרשת לפי דיני הגנת המידע של האיחוד האירופי. ההחלטה ההולנדית קשרה את הקנס להיעדר ערבויות מספקות להעברות למדינה שלישית.

הקנס נגד MLU B.V. היווה כ־44% מכלל הקנסות ברבעון השני. הריכוז הזה מסביר במידה רבה את הזינוק הרבעוני, ומדגיש מדוע מיפוי זרימות מידע חוצות־גבולות צריך להיות חלק מניהול הסיכונים הפיננסיים של החברה.

צרפת, איטליה ובריטניה הטילו גם הן קנסות משמעותיים

בין התיקים הבולטים הנוספים שדווחו ברבעון:

• צרפת: חברות התקשורת Free Mobile ו־Free נקנסו יחד ב־42 מיליון אירו, כולל 27 מיליון אירו נגד Free Mobile. התיקים עסקו בליקויים הקשורים לאבטחת מידע של מנויים.
• איטליה: הבנק Intesa Sanpaolo נקנס ב־31.8 מיליון אירו בשל כשלים בהגנה על מידע בנקאי של לקוחות.
• בריטניה: הרשות הבריטית להגנת מידע, ICO, קנסה את Reddit ב־14.47 מיליון ליש״ט לאחר שקבעה כי החברה השתמשה שלא כדין במידע אישי של ילדים ולא הפעילה מנגנוני בדיקת גיל robust מספיקים. Reddit ערערה על הודעת הקנס.

תיק Reddit מדגיש כי פרטיות ילדים נותרה תחום בעל סיכון אכיפתי גבוה. בדיקת גיל, עיבוד חוקי של מידע על ילדים ואמצעים לצמצום נזק צפוי עשויים כולם לעמוד במרכז בדיקה רגולטורית.

אילו הפרות GDPR מושכות את תשומת לב הרשויות?

דפוס האכיפה ברבעון השני לא התמקד בסוג אחד של הפרה. הנושאים הבולטים כללו:

בקרות אבטחה שאינן מספיקות

כשלים באבטחת מידע הופיעו בכמה מהתיקים הגדולים, בהם הקנסות נגד חברות התקשורת בצרפת וההחלטה נגד הבנק האיטלקי. ארגונים שמטפלים בכמויות גדולות של מידע אישי נדרשים להפעיל בקרות התואמות את הרגישות, ההיקף וההקשר התפעולי של העיבוד.

עיבוד מידע ללא בסיס חוקי מספק

היעדר בסיס חוקי מתאים לעיבוד מידע נותר אחת הסיבות השכיחות לקנסות GDPR משמעותיים, לפי הסיכום של CMS GDPR Enforcement Tracker. חברות צריכות להיות מסוגלות לקשר כל פעילות מהותית של עיבוד מידע לבסיס חוקי מתועד, ולהראות שהבסיס הזה תואם את הפעילות שהן מבצעות בפועל.

הגנות חלשות בהעברות בינלאומיות

תיק Yango מציב העברות למדינות שלישיות בין הסיכונים הברורים ביותר בנתוני הרבעון השני. בדיקת העברה צריכה לבחון את זרימת המידע בפועל, את הגופים שמקבלים אותו, את אפשרות הגישה של רשויות במדינת היעד ואת יעילותן של הגנות משלימות — ולא רק את קיומם של מסמכים חוזיים סטנדרטיים.

כשלים בהגנה על פרטיות ילדים

החלטת ה־ICO בעניינה של Reddit מחזקת את הצורך בעיצוב מותאם גיל, בתהליכי בדיקת גיל אמינים ובגישה שניתן להגן עליה משפטית בנוגע לשימוש במידע אישי של ילדים.

מדיה ופיננסים בין הענפים החשופים ביותר

חברות מענפי המדיה והפיננסים היו אחראיות ל־שישה מתוך עשרת הקנסות הגדולים ביותר ברבעון השני, לפי הפירוט של Finbold. גם טכנולוגיה, תקשורת וענפים אחרים הפונים לצרכנים מעבדים לעיתים מידע אישי בהיקפים גדולים או משתמשים בו במערכות מורכבות ומקושרות.

אין פירוש הדבר שכל חברה בענפים האלה חשופה באותה מידה. הסיכון הגבוה ביותר נוטה להופיע כאשר ארגון משלב כמויות מידע גדולות עם פרופיילינג התנהגותי, מידע רגיש, בסיס משתמשים רחב, תשתיות חוצות־גבולות או מערכי ספקים מורכבים.

מה חברות הפועלות באירופה צריכות לעשות עכשיו?

דפוס האכיפה של הרבעון השני מתורגם לחמש עדיפויות מעשיות:

1. למפות את פעילויות העיבוד ואת הבסיסים החוקיים. יש לשמור רישום עדכני של המידע שנאסף, מטרת העיבוד, הגורמים שמקבלים את המידע והבסיס החוקי לכל שימוש.
2. לבחון את בקרות האבטחה מול סיכונים אמיתיים. הבדיקה צריכה לכלול ניהול הרשאות, אימות משתמשים, ניטור, שמירת מידע, תגובה לאירועים ובקרות על ספקים — ולא להסתפק במדיניות כתובה.
3. לחזק את ההגנה על מידע של ילדים. כאשר ילדים עשויים להשתמש בשירות, בדיקת גיל, הסכמה, הערכת סיכונים ואמצעי הגנה מותאמי גיל צריכים להיות חלק מבדיקות המוצר והציות.
4. לבחון מחדש העברות בינלאומיות. יש לתעד הערכות סיכון להעברת מידע, לוודא את תפקידו של כל מקבל ולהוסיף אמצעי הגנה כאשר תנאים חוזיים לבדם אינם מספיקים.
5. להעלות עיבוד בסיכון גבוה לדרג הניהולי הבכיר. היקף הקנסות הגדולים מראה שממשל פרטיות הוא סוגיה פיננסית ותפעולית — לא רק סעיף ברשימת בדיקה משפטית.

השורה התחתונה של הרבעון השני

סך הקנסות המדווח — 225.9 מיליון אירו — ממחיש עד כמה החלטה אחת גדולה יכולה לשנות את תמונת האכיפה הרבעונית. הקנס הקשור ל־Yango היווה כמעט מחצית מהסכום, בעוד שהתיקים בצרפת, באיטליה ובבריטניה מראים שהרשויות בוחנות גם את אבטחת המידע הבסיסית וגם את החוקיות של השימוש במידע אישי.

עבור חברות שפועלות באירופה, הלקח המרכזי הוא להתייחס לבקרות GDPR כחלק מניהול הסיכונים הארגוני. בסיס חוקי לעיבוד, אבטחת מידע, הגנה על ילדים והעברות בינלאומיות צריכים להיבחן באופן שוטף — ולגובה בראיות שיוכלו לעמוד בביקורת רגולטורית.

הקנס הגדול ברבעון: 100 מיליון אירו נגד החברה שמאחורי Yango

הולנד רשמה את התיק הגדול ביותר ברבעון: קנס של 100 מיליון אירו נגד MLU B.V., החברה האירופית שמפעילה את אפליקציית המוניות Yango. הרשות ההולנדית להגנת מידע קבעה כי היו ליקויים בהגנות ששימשו להעברת מידע אישי לרוסיה, והורתה לחברה להפסיק העברות שלא עומדות בדרישות ה־GDPR.

המקרה ממחיש שהעברת מידע מחוץ לאזור האירופי דורשת יותר מחתימה על מסמכים חוזיים. על הארגון לבדוק אם במדינת היעד ובמערך ההעברה בפועל קיימת הגנה המקבילה, הלכה למעשה, לזו שנדרשת לפי דיני הגנת המידע של האיחוד האירופי. ההחלטה ההולנדית קשרה את הקנס להיעדר ערבויות מספקות להעברות למדינה שלישית.

הקנס נגד MLU B.V. היווה כ־44% מכלל הקנסות ברבעון השני. הריכוז הזה מסביר במידה רבה את הזינוק הרבעוני, ומדגיש מדוע מיפוי זרימות מידע חוצות־גבולות צריך להיות חלק מניהול הסיכונים הפיננסיים של החברה.

צרפת, איטליה ובריטניה הטילו גם הן קנסות משמעותיים

בין התיקים הבולטים הנוספים שדווחו ברבעון:

• צרפת: חברות התקשורת Free Mobile ו־Free נקנסו יחד ב־42 מיליון אירו, כולל 27 מיליון אירו נגד Free Mobile. התיקים עסקו בליקויים הקשורים לאבטחת מידע של מנויים.
• איטליה: הבנק Intesa Sanpaolo נקנס ב־31.8 מיליון אירו בשל כשלים בהגנה על מידע בנקאי של לקוחות.
• בריטניה: הרשות הבריטית להגנת מידע, ICO, קנסה את Reddit ב־14.47 מיליון ליש״ט לאחר שקבעה כי החברה השתמשה שלא כדין במידע אישי של ילדים ולא הפעילה מנגנוני בדיקת גיל robust מספיקים. Reddit ערערה על הודעת הקנס.

תיק Reddit מדגיש כי פרטיות ילדים נותרה תחום בעל סיכון אכיפתי גבוה. בדיקת גיל, עיבוד חוקי של מידע על ילדים ואמצעים לצמצום נזק צפוי עשויים כולם לעמוד במרכז בדיקה רגולטורית.

אילו הפרות GDPR מושכות את תשומת לב הרשויות?

דפוס האכיפה ברבעון השני לא התמקד בסוג אחד של הפרה. הנושאים הבולטים כללו:

בקרות אבטחה שאינן מספיקות

כשלים באבטחת מידע הופיעו בכמה מהתיקים הגדולים, בהם הקנסות נגד חברות התקשורת בצרפת וההחלטה נגד הבנק האיטלקי. ארגונים שמטפלים בכמויות גדולות של מידע אישי נדרשים להפעיל בקרות התואמות את הרגישות, ההיקף וההקשר התפעולי של העיבוד.

עיבוד מידע ללא בסיס חוקי מספק

היעדר בסיס חוקי מתאים לעיבוד מידע נותר אחת הסיבות השכיחות לקנסות GDPR משמעותיים, לפי הסיכום של CMS GDPR Enforcement Tracker. חברות צריכות להיות מסוגלות לקשר כל פעילות מהותית של עיבוד מידע לבסיס חוקי מתועד, ולהראות שהבסיס הזה תואם את הפעילות שהן מבצעות בפועל.

הגנות חלשות בהעברות בינלאומיות

תיק Yango מציב העברות למדינות שלישיות בין הסיכונים הברורים ביותר בנתוני הרבעון השני. בדיקת העברה צריכה לבחון את זרימת המידע בפועל, את הגופים שמקבלים אותו, את אפשרות הגישה של רשויות במדינת היעד ואת יעילותן של הגנות משלימות — ולא רק את קיומם של מסמכים חוזיים סטנדרטיים.

כשלים בהגנה על פרטיות ילדים

החלטת ה־ICO בעניינה של Reddit מחזקת את הצורך בעיצוב מותאם גיל, בתהליכי בדיקת גיל אמינים ובגישה שניתן להגן עליה משפטית בנוגע לשימוש במידע אישי של ילדים.

מדיה ופיננסים בין הענפים החשופים ביותר

חברות מענפי המדיה והפיננסים היו אחראיות ל־שישה מתוך עשרת הקנסות הגדולים ביותר ברבעון השני, לפי הפירוט של Finbold. גם טכנולוגיה, תקשורת וענפים אחרים הפונים לצרכנים מעבדים לעיתים מידע אישי בהיקפים גדולים או משתמשים בו במערכות מורכבות ומקושרות.

אין פירוש הדבר שכל חברה בענפים האלה חשופה באותה מידה. הסיכון הגבוה ביותר נוטה להופיע כאשר ארגון משלב כמויות מידע גדולות עם פרופיילינג התנהגותי, מידע רגיש, בסיס משתמשים רחב, תשתיות חוצות־גבולות או מערכי ספקים מורכבים.

מה חברות הפועלות באירופה צריכות לעשות עכשיו?

דפוס האכיפה של הרבעון השני מתורגם לחמש עדיפויות מעשיות:

1. למפות את פעילויות העיבוד ואת הבסיסים החוקיים. יש לשמור רישום עדכני של המידע שנאסף, מטרת העיבוד, הגורמים שמקבלים את המידע והבסיס החוקי לכל שימוש.
2. לבחון את בקרות האבטחה מול סיכונים אמיתיים. הבדיקה צריכה לכלול ניהול הרשאות, אימות משתמשים, ניטור, שמירת מידע, תגובה לאירועים ובקרות על ספקים — ולא להסתפק במדיניות כתובה.
3. לחזק את ההגנה על מידע של ילדים. כאשר ילדים עשויים להשתמש בשירות, בדיקת גיל, הסכמה, הערכת סיכונים ואמצעי הגנה מותאמי גיל צריכים להיות חלק מבדיקות המוצר והציות.
4. לבחון מחדש העברות בינלאומיות. יש לתעד הערכות סיכון להעברת מידע, לוודא את תפקידו של כל מקבל ולהוסיף אמצעי הגנה כאשר תנאים חוזיים לבדם אינם מספיקים.
5. להעלות עיבוד בסיכון גבוה לדרג הניהולי הבכיר. היקף הקנסות הגדולים מראה שממשל פרטיות הוא סוגיה פיננסית ותפעולית — לא רק סעיף ברשימת בדיקה משפטית.

השורה התחתונה של הרבעון השני

סך הקנסות המדווח — 225.9 מיליון אירו — ממחיש עד כמה החלטה אחת גדולה יכולה לשנות את תמונת האכיפה הרבעונית. הקנס הקשור ל־Yango היווה כמעט מחצית מהסכום, בעוד שהתיקים בצרפת, באיטליה ובבריטניה מראים שהרשויות בוחנות גם את אבטחת המידע הבסיסית וגם את החוקיות של השימוש במידע אישי.

עבור חברות שפועלות באירופה, הלקח המרכזי הוא להתייחס לבקרות GDPR כחלק מניהול הסיכונים הארגוני. בסיס חוקי לעיבוד, אבטחת מידע, הגנה על ילדים והעברות בינלאומיות צריכים להיבחן באופן שוטף — ולגובה בראיות שיוכלו לעמוד בביקורת רגולטורית.