Среднедневной объем санкций во втором квартале оказался более чем втрое выше, чем в первом. При этом квартальные итоги могут сильно зависеть от нескольких особо крупных решений. Поэтому общий показатель не следует воспринимать как типичный размер штрафа для каждой компании или каждого дела.

Крупнейшие дела пришлись на несколько европейских стран

Нидерланды: штраф €100 млн по делу Yango

Самым крупным отдельным делом квартала стало решение нидерландского регулятора в отношении MLU B.V. — компании из Нидерландов, связанной с приложением такси Yango. Надзорный орган назначил штраф примерно в €100 млн и распорядился прекратить определенные передачи персональных данных в Россию, если они не соответствуют требованиям GDPR.

Дело касалось недостаточных гарантий при передаче данных в третью страну. Согласно сообщениям, затронутая информация относилась к пользователям Yango в Финляндии и Норвегии. Это решение стало важным сигналом для компаний, которые используют трансграничные потоки данных или передают информацию зарубежным структурам своей группы.

Практический вывод состоит в том, что одних формальных документов о передаче данных недостаточно. Компаниям необходимо оценивать, обеспечивают ли страна назначения, получатель и применяемые технические и организационные меры реальную защиту информации на практике.

Франция: €42 млн для Free Mobile и Free

Французские регуляторы назначили телекоммуникационным компаниям Free Mobile и Free совокупный штраф в размере €42 млн. В пакет вошли €27 млн для Free Mobile и отдельная санкция в отношении Free; среди проблем, о которых сообщалось, были недостатки в обеспечении безопасности данных.

Операторы связи обрабатывают большие массивы клиентской и учетной информации, поэтому слабая защита данных абонентов может иметь особенно серьезные последствия. Франция также была одним из главных источников штрафов в первом квартале: вместе с Великобританией на нее пришлись 94% зафиксированных санкций.

Италия: €31,8 млн для Intesa Sanpaolo

В Италии банк Intesa Sanpaolo получил штраф в размере €31,8 млн из-за недостатков в защите клиентских банковских данных, говорится в отчетности по правоприменению за второй квартал.

Этот случай демонстрирует риски для финансовых организаций, которые работают с чувствительной информацией о личности, счетах и транзакциях и должны поддерживать надежные механизмы контроля в сложных и масштабных системах обработки данных.

Великобритания: штраф Reddit в £14,47 млн

Британский Управление комиссара по информации (ICO) оштрафовало Reddit на £14,47 млн, установив, что платформа незаконно использовала персональные данные детей. По данным ICO, Reddit не обеспечил надлежащую проверку возраста пользователей и не применил эффективные меры для защиты несовершеннолетних. Компания обжаловала уведомление о денежном штрафе.

Решение подчеркивает, что проверка возраста и защита детских данных становятся для онлайн-платформ обязательной частью программы конфиденциальности, а не факультативным дополнением. Регуляторы оценивают не только наличие утечек, но и то, как сервис определяет возраст пользователей и использует информацию о них.

Безопасность и законность обработки остаются главными рисками

Дела второго квартала отражают несколько устойчивых проблем в сфере соблюдения GDPR:

• Недостаточные технические и организационные меры безопасности, включая неспособность защитить данные клиентов или абонентов.
• Обработка без достаточного правового основания — например, без корректного согласия или иного подтвержденного законного основания.
• Слабые механизмы защиты детей, включая неэффективную проверку возраста и незаконное использование информации о несовершеннолетних.
• Недостаточные гарантии при международной передаче данных, особенно если информация направляется в страну, где не обеспечивается надлежащий уровень защиты.

Эти риски часто пересекаются. Формально составленная политика конфиденциальности не защитит компанию от санкций, если реальные процессы, уведомления пользователей, процедуры получения согласия или договоренности с подрядчиками ей не соответствуют.

Наибольшая уязвимость — у отраслей с большими массивами данных

Согласно отчетности Finbold за второй квартал, на компании из сфер медиа и финансов пришлось шесть из десяти крупнейших штрафов. Вместе с делами в телекоммуникационном и технологическом секторах это указывает на повышенные риски для организаций с большой аудиторией и значительными объемами чувствительных или коммерчески ценных данных.

Это не означает, что контроль ограничивается несколькими отраслями. Скорее, у компаний, работающих напрямую с потребителями и обрабатывающих большие объемы информации, больше точек риска: безопасность, профилирование, согласие, сроки хранения, управление доступом и международные передачи данных.

Что компаниям, работающим в Европе, стоит проверить в первую очередь

Текущая практика правоприменения позволяет выделить несколько практических приоритетов:

1. Связать каждую операцию обработки с законным основанием. Следует документировать, зачем собирается и используется каждая категория персональных данных, а также проверять действительность согласия там, где оно необходимо.
2. Проверять безопасность на практике. Важно оценивать управление доступом, аутентификацию, реагирование на инциденты, шифрование и контроль подрядчиков, а не только наличие письменных политик.
3. Создать полноценный процесс защиты детей. Сервисы, которыми могут пользоваться несовершеннолетние, должны оценивать методы подтверждения возраста и применять меры, соответствующие характеру детских данных.
4. Заново оценивать передачи в третьи страны. Необходимо поддерживать актуальные оценки рисков, использовать подходящие договорные и технические гарантии и убеждаться, что получатель способен соблюдать требования в стране назначения.
5. Вынести высокорисковую обработку на уровень совета директоров. Риски конфиденциальности следует включать в операционную, кибербезопасностную и общеорганизационную отчетность, особенно в медиа, технологиях, финансах и телекоммуникациях.

Главный вывод второго квартала — масштаб финансовых последствий, когда дает сбой критически важный механизм контроля. Одно только решение по делу Yango на €100 млн составило почти половину общей суммы штрафов за квартал. Однако совокупный показатель нужно интерпретировать осторожно: подобные итоги способны существенно искажаться из-за отдельных сверхкрупных санкций.

Основная сумма штрафов за второй квартал и сравнение с предыдущим кварталом подтверждены предоставленной отчетностью Finbold. При этом часть детальных данных по отдельным компаниям и отраслевым сегментам основана на вторичных или пользовательских публикациях. Поэтому эти сведения следует воспринимать как сообщенные результаты, а не как замену изучению оригинальных решений регуляторов.

Среднедневной объем санкций во втором квартале оказался более чем втрое выше, чем в первом. При этом квартальные итоги могут сильно зависеть от нескольких особо крупных решений. Поэтому общий показатель не следует воспринимать как типичный размер штрафа для каждой компании или каждого дела.

Крупнейшие дела пришлись на несколько европейских стран

Нидерланды: штраф €100 млн по делу Yango

Самым крупным отдельным делом квартала стало решение нидерландского регулятора в отношении MLU B.V. — компании из Нидерландов, связанной с приложением такси Yango. Надзорный орган назначил штраф примерно в €100 млн и распорядился прекратить определенные передачи персональных данных в Россию, если они не соответствуют требованиям GDPR.

Дело касалось недостаточных гарантий при передаче данных в третью страну. Согласно сообщениям, затронутая информация относилась к пользователям Yango в Финляндии и Норвегии. Это решение стало важным сигналом для компаний, которые используют трансграничные потоки данных или передают информацию зарубежным структурам своей группы.

Практический вывод состоит в том, что одних формальных документов о передаче данных недостаточно. Компаниям необходимо оценивать, обеспечивают ли страна назначения, получатель и применяемые технические и организационные меры реальную защиту информации на практике.

Франция: €42 млн для Free Mobile и Free

Французские регуляторы назначили телекоммуникационным компаниям Free Mobile и Free совокупный штраф в размере €42 млн. В пакет вошли €27 млн для Free Mobile и отдельная санкция в отношении Free; среди проблем, о которых сообщалось, были недостатки в обеспечении безопасности данных.

Операторы связи обрабатывают большие массивы клиентской и учетной информации, поэтому слабая защита данных абонентов может иметь особенно серьезные последствия. Франция также была одним из главных источников штрафов в первом квартале: вместе с Великобританией на нее пришлись 94% зафиксированных санкций.

Италия: €31,8 млн для Intesa Sanpaolo

В Италии банк Intesa Sanpaolo получил штраф в размере €31,8 млн из-за недостатков в защите клиентских банковских данных, говорится в отчетности по правоприменению за второй квартал.

Этот случай демонстрирует риски для финансовых организаций, которые работают с чувствительной информацией о личности, счетах и транзакциях и должны поддерживать надежные механизмы контроля в сложных и масштабных системах обработки данных.

Великобритания: штраф Reddit в £14,47 млн

Британский Управление комиссара по информации (ICO) оштрафовало Reddit на £14,47 млн, установив, что платформа незаконно использовала персональные данные детей. По данным ICO, Reddit не обеспечил надлежащую проверку возраста пользователей и не применил эффективные меры для защиты несовершеннолетних. Компания обжаловала уведомление о денежном штрафе.

Решение подчеркивает, что проверка возраста и защита детских данных становятся для онлайн-платформ обязательной частью программы конфиденциальности, а не факультативным дополнением. Регуляторы оценивают не только наличие утечек, но и то, как сервис определяет возраст пользователей и использует информацию о них.

Безопасность и законность обработки остаются главными рисками

Дела второго квартала отражают несколько устойчивых проблем в сфере соблюдения GDPR:

• Недостаточные технические и организационные меры безопасности, включая неспособность защитить данные клиентов или абонентов.
• Обработка без достаточного правового основания — например, без корректного согласия или иного подтвержденного законного основания.
• Слабые механизмы защиты детей, включая неэффективную проверку возраста и незаконное использование информации о несовершеннолетних.
• Недостаточные гарантии при международной передаче данных, особенно если информация направляется в страну, где не обеспечивается надлежащий уровень защиты.

Эти риски часто пересекаются. Формально составленная политика конфиденциальности не защитит компанию от санкций, если реальные процессы, уведомления пользователей, процедуры получения согласия или договоренности с подрядчиками ей не соответствуют.

Наибольшая уязвимость — у отраслей с большими массивами данных

Согласно отчетности Finbold за второй квартал, на компании из сфер медиа и финансов пришлось шесть из десяти крупнейших штрафов. Вместе с делами в телекоммуникационном и технологическом секторах это указывает на повышенные риски для организаций с большой аудиторией и значительными объемами чувствительных или коммерчески ценных данных.

Это не означает, что контроль ограничивается несколькими отраслями. Скорее, у компаний, работающих напрямую с потребителями и обрабатывающих большие объемы информации, больше точек риска: безопасность, профилирование, согласие, сроки хранения, управление доступом и международные передачи данных.

Что компаниям, работающим в Европе, стоит проверить в первую очередь

Текущая практика правоприменения позволяет выделить несколько практических приоритетов:

1. Связать каждую операцию обработки с законным основанием. Следует документировать, зачем собирается и используется каждая категория персональных данных, а также проверять действительность согласия там, где оно необходимо.
2. Проверять безопасность на практике. Важно оценивать управление доступом, аутентификацию, реагирование на инциденты, шифрование и контроль подрядчиков, а не только наличие письменных политик.
3. Создать полноценный процесс защиты детей. Сервисы, которыми могут пользоваться несовершеннолетние, должны оценивать методы подтверждения возраста и применять меры, соответствующие характеру детских данных.
4. Заново оценивать передачи в третьи страны. Необходимо поддерживать актуальные оценки рисков, использовать подходящие договорные и технические гарантии и убеждаться, что получатель способен соблюдать требования в стране назначения.
5. Вынести высокорисковую обработку на уровень совета директоров. Риски конфиденциальности следует включать в операционную, кибербезопасностную и общеорганизационную отчетность, особенно в медиа, технологиях, финансах и телекоммуникациях.

Главный вывод второго квартала — масштаб финансовых последствий, когда дает сбой критически важный механизм контроля. Одно только решение по делу Yango на €100 млн составило почти половину общей суммы штрафов за квартал. Однако совокупный показатель нужно интерпретировать осторожно: подобные итоги способны существенно искажаться из-за отдельных сверхкрупных санкций.

Основная сумма штрафов за второй квартал и сравнение с предыдущим кварталом подтверждены предоставленной отчетностью Finbold. При этом часть детальных данных по отдельным компаниям и отраслевым сегментам основана на вторичных или пользовательских публикациях. Поэтому эти сведения следует воспринимать как сообщенные результаты, а не как замену изучению оригинальных решений регуляторов.