Olaszország: 11,5 millió euró bírság egy közszolgáltatónak

Az olasz adatvédelmi hatóság összesen 11,5 millió eurós bírságot szabott ki az olasz villamosenergia- és gázszolgáltatóra, az Eni Gas e Luce-ra. A hatóság az összeget két jogsértésért szabta ki, az első esetben 8,5 milliós, míg a második esetben 3 milliós bírságot ért a GDPR megsértése.

A bírságolási gyakorlatot figyelembe véve összehasonlítva hazánkkal, ahol a GDPR kötelező alkalmazása óta a legnagyobb bírság 30 millió forint volt egy fesztiválszervező cég által alkalmazott beléptetési gyakorlat miatt, az olaszok által megállapított bírság hozzánk képest jelentős mértékű, azonban így is jelentősen elmarad az angol adatvédelmi hatóság által adatszivárgások miatt az angol légitársasággal szemben kiszabni tervezett 204 millió eurós, vagy egy szállodalánccal szemben kiszabott 110 millió eurós bírsághoz képest. A francia adatvédelmi hatóság által a Google-nek kiszabott bírság így is csak a rekordbírságok harmadik helyén áll a kiszabott 50 millió euróval.

Az első esetben marketing hívások céljából jogellenesen kerültek továbbításra az ügyfelek adatai annak ellenére, hogy az ügyfelek kifejezetten tiltakoztak (opt-out) az adataik ilyen irányú felhasználása ellen. Az adatvédelmi hatóság megállapította, hogy a szolgáltató elmulasztotta az opt-out nyilvántartás ellenőrzését, így megsértették az adatkezelés jogszerűségét és a tájékoztatási kötelezettséget.

Hazánkban a direkt marketing célú hozzájárulás alapvetően opt-in hozzájárulásként kerül beszerzésre, amely az érintett akaratának előzetes, egyértelmű és kifejezett kinyilvánítását várja el arra vonatkozóan, hogy az adott reklámozótól reklámokat kíván fogadni. Lényeges eleme az opt-in és az opt-out megoldásoknak, hogy ezeket a listákat mindig naprakészen szükséges tartani, valamint a hozzájárulásokat, leiratkozásokat vagy tiltakozásokat dokumentáltan szükséges nyilvántartani (akár online, akár offline megoldásokkal).

A második esetben 7.000 olaszt érintő jogsértés történt, amely keretében az Eni úgy kötött szerződéseket, hogy arról az ügyfelek mindaddig nem tudtak, amíg meg nem kapták az első számlát a szolgáltatótól, továbbá a társaság pontatlan és hamis információkat szolgáltatott ezekről a szerződésekről, így megsértette az adatkezelés alapelveit és a hozzájárulás feltételeit.

A bírság a GDPR sarokköveinek fontosságára hívja fel a figyelmet: az adatkezelés mindig valamilyen jogalapon kell alapulnia, előzetes tájékoztatáshoz kötött, a hozzájárulás feltételeinek biztosítása és a legfontosabb az elszámoltathatóság elvének alkalmazása. A bírságokkal is a hatóság arra hívja fel a figyelmet, hogy az adatkezelőnek mindig bizonyítani kell tudni, hogy a Rendeletnek megfelelően hogyan történik az adatkezelés a gyakorlatban, valamint arra, hogy az elszámoltathatóság egy folyamatos tevékenységet feltételez és jelent, hiszen bármely pillanatban fennáll a bizonyítási kötelezettség attól függetlenül, hogy milyen technikai megoldások kerülnek alkalmazásra az adatok kezelésének területén.