GDPR जुर्माने में 230% उछाल: Q2 2026 में €225.88 मिलियन की कार्रवाई

Finbold की 20 अगस्त 2026 की रिसर्च के अनुसार, यूरोप में GDPR enforcement ने 2026 की दूसरी तिमाही में तेज़ रफ्तार पकड़ी। अप्रैल से जून के बीच अधिकारियों ने कुल €225,879,175 ($260.59 मिलियन) के जुर्माने लगाए—पहली तिमाही के €68.18 मिलियन ($73.63 मिलियन) के मुकाबले करीब 230% अधिक। इसके साथ ही, 2026 की पहली छमाही में GDPR जुर्मानों का कुल आंकड़ा लगभग €295 मिलियन ($340.5 मिलियन) पहुंच गया।

तीन महीने के इस आंकड़े को रोज़ाना औसत में देखें तो कंपनियों पर करीब €2.48 मिलियन ($2.86 मिलियन) प्रतिदिन का जुर्माना लगा।

नीदरलैंड्स ने कुल रकम में करीब आधा योगदान दिया

देशवार आंकड़ों में नीदरलैंड्स €100.25 मिलियन के साथ सबसे आगे रहा। यह रिपोर्टेड कुल रकम का लगभग 49% है। इसके बाद फ्रांस €52 मिलियन, इटली €45.50 मिलियन और UK करीब €18 मिलियन के साथ रहे।

नीदरलैंड्स का आंकड़ा मुख्य रूप से MLU B.V. पर लगाए गए €100 मिलियन के जुर्माने से बना, जो Yango राइड-हेलिंग ऐप का ऑपरेटर और Ridetech International B.V. का उत्तराधिकारी है। डच डेटा प्रोटेक्शन अथॉरिटी ने पाया कि फिनलैंड और नॉर्वे के उपयोगकर्ताओं तथा ड्राइवरों का निजी डेटा पर्याप्त सुरक्षा के बिना रूस भेजा गया था। प्राधिकरण ने GDPR-अनुरूप सुरक्षा उपाय लागू होने तक इन transfers को रोकने का आदेश भी दिया।

Yango मामले से कंपनियों को क्या सीख मिलती है?

यह मामला दिखाता है कि अंतरराष्ट्रीय data transfer में केवल Standard Contractual Clauses (SCCs) का इस्तेमाल हर जोखिम को खत्म नहीं करता। उपलब्ध रिपोर्टिंग के मुताबिक, डच प्राधिकरण ने रूसी पक्ष की encryption keys तक संभावित पहुंच और साझा डच-रूसी प्रबंधन जैसे पहलुओं पर भी विचार किया। इन परिस्थितियों से डेटा तक अनधिकृत पहुंच या लोगों की दोबारा पहचान किए जाने का जोखिम पैदा हो सकता था।

डच प्राधिकरण के दिशानिर्देशों के अनुसार, यूरोपीय आर्थिक क्षेत्र (EEA) से बाहर किसी तीसरे देश में निजी डेटा भेजने के लिए वहां पर्याप्त data protection, उपयुक्त safeguards या किसी विशेष अपवाद का आधार होना चाहिए। SCCs इनमें से एक safeguard हो सकते हैं, लेकिन कंपनियों को यह भी सुनिश्चित करना होता है कि वे वास्तविक परिस्थितियों में प्रभावी सुरक्षा दे रहे हों।

फ्रांस में security failures पर बड़े जुर्माने

फ्रांस के €52 मिलियन के कुल जुर्माने में कई बड़े मामले शामिल थे। एक बड़े breach के बाद FREE MOBILE पर €27 मिलियन और उसकी parent company FREE पर €15 मिलियन का जुर्माना लगाया गया। Health-data breaches को लेकर IQVIA Operations France पर €15 मिलियन की कार्रवाई हुई।

इन मामलों से संकेत मिलता है कि संवेदनशील जानकारी की सुरक्षा में विफलता कंपनियों के लिए बड़ा वित्तीय जोखिम बन सकती है। यह भी स्पष्ट हुआ कि जब data processing और security की जिम्मेदारियां किसी corporate group की अलग-अलग कंपनियों में बंटी हों, तब enforcement संबंधित कंपनियों तक फैल सकती है।

इटली में banking data protection जांच के केंद्र में

इटली में कुल €45.50 मिलियन के जुर्माने लगाए गए। इसमें सबसे बड़ा हिस्सा Intesa Sanpaolo पर लगाए गए €31.8 मिलियन के जुर्माने का था, जो ग्राहकों के banking data की सुरक्षा में कमियों से जुड़ा था। Poste Italiane और PostePay पर banking-app management से जुड़ी विफलताओं के लिए क्रमशः €6.62 मिलियन और €5.88 मिलियन का जुर्माना लगाया गया।

इटली के ये मामले बताते हैं कि access controls, data governance और digital banking प्रक्रियाओं में कमियां वित्तीय संस्थानों के लिए खास तौर पर महंगी साबित हो सकती हैं।

Reddit पर बच्चों के डेटा और age verification को लेकर कार्रवाई

UK की Information Commissioner’s Office (ICO) ने Reddit पर £14.47 मिलियन (€16.61 मिलियन) का जुर्माना लगाया। वजह थी—उम्र की पर्याप्त पुष्टि न करना और बच्चों के डेटा को गैरकानूनी तरीके से process करना।

यह मामला दिखाता है कि GDPR enforcement केवल data breach या सीमा-पार transfers तक सीमित नहीं है। बच्चों से संबंधित जानकारी process करने वाले platforms को यह साबित करना होता है कि उनके age-verification उपाय और data-processing practices कानूनी आधार पर टिके हैं और बच्चों को पर्याप्त सुरक्षा देते हैं।

किन उल्लंघनों और sectors पर सबसे ज्यादा कार्रवाई हुई?

Finbold की समीक्षा में security failures और processing के लिए lawful basis का अभाव Q2 के लगभग सभी बड़े जुर्मानों के पीछे नजर आया।

सबसे बड़े 10 जुर्मानों में media और finance sectors तीन-तीन बार शामिल हुए। Transportation और energy sectors से जुड़े मामलों ने भी इस सूची में दो-दो स्थान हासिल किए, जिनमें सबसे बड़ा Dutch/Yango मामला शामिल था।

इससे यह धारणा चुनौती में पड़ती है कि GDPR risk केवल technical security की समस्या है। Q2 के मामलों में regulators ने यह भी देखा कि डेटा का इस्तेमाल कानूनी है या नहीं, safeguards व्यवहार में काम कर रहे हैं या नहीं, अंतरराष्ट्रीय transfers को उचित ठहराया जा सकता है या नहीं, और कंपनियां अपने vendors तथा affiliates की निगरानी कितनी प्रभावी ढंग से करती हैं।

कंपनियों के लिए Q2 2026 के आंकड़ों का मतलब

जुर्मानों में यह उछाल हर कंपनी के लिए समान जोखिम का संकेत नहीं है। साथ ही, यह रिसर्च रिपोर्टेड enforcement totals का संकलन है, भविष्य के जुर्मानों का पूर्वानुमान नहीं। फिर भी, आंकड़े compliance teams के लिए स्पष्ट चेतावनी देते हैं: बड़ा जुर्माना केवल किसी एक technical error से नहीं, बल्कि कानूनी, operational, technical और organizational controls में फैली कमियों से भी लग सकता है।

व्यक्तिगत डेटा process करने वाली कंपनियों को इन क्षेत्रों की समीक्षा करनी चाहिए:

• Lawful basis: हर प्रमुख processing activity के लिए यह दर्ज करें कि वह किस कानूनी आधार पर अनुमति योग्य है और वास्तविक इस्तेमाल उस आधार से मेल खाता है या नहीं।
• Security controls: Access management, encryption, monitoring और incident response का परीक्षण करें कि वे वास्तविक परिस्थितियों में डेटा की रक्षा कर रहे हैं या नहीं।
• International transfers: केवल contract language पर निर्भर न रहें। जिस देश में डेटा भेजा जा रहा है, वहां के वास्तविक कानूनी और technical environment का आकलन करें।
• Third-party oversight: Vendors और affiliates के लिए processing agreements, जिम्मेदारियों का स्पष्ट बंटवारा और verification procedures बनाए रखें।
• बच्चों का डेटा और age assurance: Age-verification तथा child-safety प्रक्रियाएं lawful, proportionate और प्रभावी हैं या नहीं, यह सुनिश्चित करें।

Finbold की Q2 समीक्षा का मुख्य निष्कर्ष यही है कि कमजोर data governance वाली कंपनियों के लिए GDPR enforcement अब गंभीर वित्तीय जोखिम बन चुका है। सबसे बड़े मामलों में केवल अलग-थलग technical गलतियां नहीं, बल्कि lawful processing, security, international-transfer safeguards और oversight से जुड़ी बुनियादी विफलताएं सामने आईं।