Штрафи за GDPR у II кварталі 2026 року зросли на 230% — до €225,9 млн

Ця справа показує, що для міжнародної передачі даних недостатньо просто мати формальний договірний механізм. Компанія має оцінити, чи забезпечують країна призначення та реальні умови передачі рівень захисту, фактично еквівалентний вимогам законодавства ЄС. Нідерландське рішення стосувалося саме недостатніх гарантій для передачі даних до третіх країн.

Штраф проти MLU B.V. становив приблизно 44% усієї суми штрафів за II квартал. Саме така концентрація пояснює різкий стрибок квартального показника й підкреслює, чому транскордонні потоки даних мають бути частиною системи управління фінансовими ризиками.

Франція, Італія та Велика Британія також наклали великі штрафи

Серед інших значних справ, зафіксованих у кварталі:

• Франція: телекомунікаційні компанії Free Mobile і Free разом отримали штрафи на €42 млн, зокрема €27 млн для Free Mobile. Справи стосувалися недоліків у захисті даних абонентів.
• Італія: банк Intesa Sanpaolo оштрафували на €31,8 млн через недоліки в захисті банківських даних клієнтів.
• Велика Британія: британський регулятор Information Commissioner’s Office (ICO) оштрафував Reddit на £14,47 млн. Регулятор встановив, що компанія незаконно використовувала персональні дані дітей і не запровадила надійних процедур перевірки віку. Reddit оскаржила повідомлення про фінансовий штраф.

Справа Reddit демонструє, що захист приватності дітей залишається зоною підвищеного ризику. Регуляторна увага може зосереджуватися на перевірці віку, законності обробки дитячих даних і заходах, які мають зменшувати передбачувану шкоду.

Які порушення GDPR привертають найбільше уваги

Картина II кварталу не обмежилася одним типом порушень.

Недостатні заходи безпеки

Проблеми із захистом даних фігурували в кількох великих справах, зокрема щодо французьких телекомунікаційних компаній та італійського банку. Організації, які працюють із великими масивами клієнтської інформації, повинні застосовувати заходи, що відповідають чутливості, масштабу та конкретному контексту обробки даних.

Відсутність достатньої правової підстави

Недостатні правові підстави для обробки даних залишаються однією з найчастіших причин значних штрафів за GDPR, згідно з резюме CMS GDPR Enforcement Tracker. Компанії мають документувати правову підставу для кожного важливого процесу обробки й доводити, що вона відповідає фактичному використанню даних.

Слабкі гарантії міжнародної передачі

Справа Yango вказує, що передача даних до третіх країн може призвести до особливо великих санкцій. Оцінювання ризиків має охоплювати реальний маршрут інформації, усіх отримувачів, можливий доступ державних органів країни призначення та ефективність додаткових заходів захисту — а не лише наявність стандартної документації.

Порушення прав дітей

Рішення ICO щодо Reddit посилює вимоги до дизайну сервісів, перевірки віку та законного використання персональних даних дітей.

Найбільші ризики — у секторах, що працюють із великими обсягами даних

Медіа- та фінансові компанії забезпечили шість із десяти найбільших штрафів II кварталу у розбивці Finbold. До групи підвищеного ризику також належать технологічні платформи, телекомунікаційні компанії та інші сервіси, орієнтовані на споживачів.

Це не означає, що кожна компанія в цих галузях має однаковий рівень ризику. Найбільша небезпека зазвичай виникає там, де поєднуються великі обсяги даних, поведінкове профілювання, чутлива інформація, значна кількість користувачів, транскордонна інфраструктура або складні відносини зі сторонніми постачальниками.

Що компаніям, які працюють у Європі, варто зробити

Тенденції II кварталу вказують на п’ять практичних пріоритетів:

1. Оновити карту процесів обробки та правових підстав. Потрібно чітко фіксувати, які дані збираються, навіщо вони використовуються, хто їх отримує та яка правова підстава це дозволяє.
2. Перевірити реальну ефективність заходів безпеки. Варто переглянути управління доступом, автентифікацію, моніторинг, строки зберігання, реагування на інциденти та контроль постачальників, а не лише формальні політики.
3. Посилити захист дитячих даних. Якщо сервісом можуть користуватися діти, перевірка віку, згода, оцінювання ризиків і вікові налаштування мають бути частиною продуктових та комплаєнс-процесів.
4. Повторно оцінити міжнародні передачі. Компаніям слід документувати оцінки ризиків, перевіряти ролі кожного отримувача та запроваджувати додаткові гарантії, якщо самих договірних положень недостатньо.
5. Передати контроль за високоризиковою обробкою на рівень керівництва. Масштаб найбільших санкцій показує, що захист даних — це фінансове й операційне питання, а не просто юридичний чекліст.

Головний висновок за II квартал 2026 року

Сума штрафів у €225,9 млн показує, наскільки швидко одне велике рішення може змінити загальну картину правозастосування. Штраф у справі Yango забезпечив майже половину квартального показника, а справи телекомунікаційних компаній, банку та Reddit свідчать: регулятори перевіряють не лише технічну безпеку, а й законність самого використання персональних даних.

Для компаній, що працюють у Європі, найважливіший сигнал очевидний: вимоги GDPR слід розглядати як частину корпоративного управління ризиками. Законність обробки, кібербезпека, захист дітей і міжнародна передача даних потребують регулярної перевірки та доказової бази, здатної витримати увагу регулятора.