קנסות ה-GDPR זינקו ב-230% ברבעון השני: 225.88 מיליון אירו בתוך שלושה חודשים

מחקר שפרסם Finbold ב-20 באוגוסט 2026 מצביע על האצה חדה באכיפת תקנת הגנת המידע האירופית, ה-GDPR. הרשויות הטילו קנסות בסך 225,879,175 אירו (260.59 מיליון דולר) ברבעון השני, עלייה של כ-230% לעומת 68.18 מיליון אירו (73.63 מיליון דולר) ברבעון הראשון. בסך הכול הגיעו הקנסות במחצית הראשונה של 2026 לכ-295 מיליון אירו (340.5 מיליון דולר).

בממוצע יומי, מדובר בכ-2.48 מיליון אירו (2.86 מיליון דולר) בקנסות בכל יום במהלך הרבעון — או כ-17.36 מיליון אירו בשבוע.

הולנד ריכזה כמעט מחצית מהסכום

הולנד הובילה את דירוג המדינות עם קנסות בסך 100.25 מיליון אירו, כמעט 49% מהסכום המדווח. אחריה ניצבו צרפת עם 52 מיליון אירו, איטליה עם 45.50 מיליון אירו ובריטניה עם כ-18 מיליון אירו.

הסכום ההולנדי נשען כמעט כולו על קנס של 100 מיליון אירו נגד MLU B.V., המפעילה של אפליקציית הנסיעות Yango והיורשת של Ridetech International B.V. הרשות ההולנדית להגנת מידע קבעה כי מידע אישי של משתמשים ונהגים מפינלנד ומנורבגיה הועבר לרוסיה ללא הגנה מספקת, והורתה להפסיק את ההעברות כל עוד לא ייושמו אמצעי הגנה העומדים בדרישות ה-GDPR.

פרשת Yango: חוזה סטנדרטי אינו פתרון אוטומטי

הפרשה ממחישה סיכון מרכזי בהעברות מידע בין-לאומיות: שימוש בסעיפים חוזיים סטנדרטיים (Standard Contractual Clauses, או SCCs) אינו פותר לבדו כל בעיה הקשורה להעברת מידע למדינה שלישית.

לפי הדיווחים הזמינים, הרשות ההולנדית בחנה בין היתר את האפשרות שלגישה רוסית למפתחות הצפנה ואת קיומה של הנהלה משותפת הולנדית-רוסית — נסיבות שעלולות ליצור סיכון לגישה למידע ולזיהוי מחדש של אנשים.

הנחיות הרשות ההולנדית קובעות כי העברת מידע אישי למדינה מחוץ לאזור הכלכלי האירופי מחייבת רמת הגנה נאותה, אמצעי הגנה מתאימים או חריג ספציפי. סעיפים חוזיים סטנדרטיים הם אמצעי הגנה אפשרי, אך הארגון עדיין חייב לוודא שההגנה אפקטיבית בנסיבות הממשיות של ההעברה.

בצרפת: קנסות גדולים בעקבות כשלים באבטחה

הקנסות בצרפת, שהסתכמו ב-52 מיליון אירו, כללו כמה מקרים משמעותיים. חברת FREE MOBILE נקנסה ב-27 מיליון אירו, וחברת האם FREE נקנסה ב-15 מיליון אירו, בעקבות אירוע פריצה משמעותי. חברת IQVIA Operations France נקנסה גם היא ב-15 מיליון אירו בעקבות הפרות הקשורות למידע רפואי.

המקרים הללו מדגישים את החשיפה הכספית שנוצרת כאשר ארגונים אינם מגינים כראוי על מידע רגיש או אינם מפעילים מנגנוני אבטחה יעילים. הם גם מראים כי האכיפה עשויה להתרחב לחברות קשורות כאשר האחריות על עיבוד המידע ועל אבטחתו מפוזרת בתוך קבוצת חברות.

באיטליה: הגנה על מידע בנקאי עמדה במרכז

באיטליה נרשמו קנסות בסך 45.50 מיליון אירו. הרכיב הגדול ביותר היה קנס של 31.8 מיליון אירו נגד Intesa Sanpaolo, בעקבות ליקויים בהגנה על מידע בנקאי של לקוחות.

גם Poste Italiane ו-PostePay נקנסו — ב-6.62 מיליון אירו וב-5.88 מיליון אירו, בהתאמה — בשל כשלים בניהול אפליקציות בנקאיות.

המקרים האיטלקיים ממקמים את המוסדות הפיננסיים בין הענפים החשופים ביותר להשלכות כאשר בקרות הגישה, ניהול המידע או תהליכי השירות הדיגיטלי אינם מגינים כראוי על פרטי הלקוחות.

Reddit נקנסה בגלל אימות גיל לקוי

נציבות המידע הבריטית, ה-ICO, הטילה על Reddit קנס של 14.47 מיליון ליש"ט (16.61 מיליון אירו) בשל אימות גיל לא מספק ועיבוד בלתי חוקי של מידע על ילדים.

המקרה מרחיב את תמונת האכיפה מעבר לפריצות מידע ולהעברות בינלאומיות. פלטפורמות המעבדות מידע על ילדים נדרשות להוכיח גם שמנגנוני אימות הגיל שלהן מבוססים על עילה חוקית ושננקטים אמצעי הגנה מתאימים ומידתיים.

אילו הפרות וענפים בלטו?

הסקירה של Finbold מצאה כי כשלים באבטחה והיעדר בסיס חוקי לעיבוד מידע היו אחראים כמעט לכל הקנסות המרכזיים שנכללו בניתוח הרבעון השני.

מבין עשרת הקנסות הגדולים ביותר, ענפי המדיה והפיננסים הופיעו שלוש פעמים כל אחד. ענפי התחבורה והאנרגיה הופיעו פעמיים כל אחד, בהם גם מקרה Yango שהיה הקנס הגדול ביותר ברשימה.

הדפוס הזה חשוב לארגונים שמתייחסים לחשיפת ה-GDPR בעיקר כאל בעיית אבטחת מידע טכנית. המקרים ברבעון השני מראים שהרגולטורים בוחנים גם את התשתית שמאחורי השימוש במידע אישי: האם העיבוד חוקי, האם אמצעי ההגנה עובדים בפועל, האם העברה למדינה אחרת ניתנת להצדקה והאם החברה מפקחת כראוי על שותפים, ספקים וחברות קשורות.

מה המשמעות עבור חברות?

העלייה החדה בסכום הקנסות אינה אומרת שכל ארגון חשוף באותה מידה, והמחקר הוא אוסף של קנסות שדווחו — לא תחזית לגבי הקנסות העתידיים. עם זאת, הנתונים מספקים איתות ברור לציות: קנסות גדולים עלולים לנבוע מחולשות שחוצות את הגבולות בין היבטים משפטיים, תפעוליים, טכנולוגיים וארגוניים.

עבור חברות שמעבדות מידע אישי, אלה תחומי הבדיקה המרכזיים:

• בסיס חוקי: לתעד מדוע כל פעילות עיבוד מרכזית מותרת ולוודא שהבסיס המוצהר תואם לשימוש בפועל.
• בקרות אבטחה: לבדוק אם הרשאות גישה, הצפנה, ניטור ותגובה לאירועים מגינים על המידע בפועל — ולא רק על הנייר.
• העברות בינלאומיות: לבחון את הסביבה המשפטית והטכנולוגית הממשית במדינת היעד, במקום להסתמך על ניסוח חוזי בלבד.
• פיקוח על צדדים שלישיים: לקיים הסכמי עיבוד ברורים, להגדיר אחריות ולבצע הליכי אימות מול ספקים וחברות קשורות.
• מידע על ילדים ואימות גיל: לוודא שתהליכי אימות הגיל וההגנה על ילדים מאפשרים עיבוד חוקי ומידתי.

המסקנה המרכזית של סקירת Finbold היא שאכיפת ה-GDPR הופכת לסיכון פיננסי ממשי עבור ארגונים עם ממשל מידע חלש. המקרים הגדולים ביותר לא הסתכמו בשגיאות טכניות מבודדות; הם נגעו לכשלים בסיסיים בעיבוד חוקי, באבטחה, בהעברות מידע למדינות אחרות ובפיקוח על גורמים חיצוניים.