Luxemburg, Irlanda și Franța sunt în fruntea clasamentului amenzilor individuale aplicate (746 milioane de Euro, 225 milioane de Euro, respectiv 50 milioane de Euro). Luxemburg, Irlanda și Italia au aplicat și cele mai ridicate amenzi cumulate. România a aplicat amenzi în valoare totală de 720.000 de Euro sub regimul GDPR.
Notificările privind încălcarea protecției datelor au crescut cu 8% față de anul anterior, totalizând peste 130.000 de notificări începând cu 28 ianuarie 2021.
Per capital, Olanda este în fruntea clasamentului referitor la numărul de notificări privind încălcarea protecției datelor.
Creșterea semnificativă a cuantumului amenzilor şi alte modificări în domeniu – cum ar fi hotărârea Schrems II a CJUE și implicațiile cu privire la transferurile internaționale de date – ridică dificultăți de conformare pentru operatorii de date cu caracter personal.
Amenzi în valoare de aproximativ 1,1 miliarde de Euro au fost aplicate, în 2021, pentru încălcări ale Regulamentului General European de Protecție a Datelor (GDPR). În comparație cu cele 158,5 milioane de Euro în perioada similară a anului anterior (28 ianuarie 2020 – 27 ianuarie 2021), această sumă presupune o creștere cu 594%. Datele sunt preluate din cea mai recentă ediţie a „DLA Piper GDPR fines and data breach survey” (https://www.dlapiper.com/en/austria/insights/publications/2022/1/dla-piper-gdpr-fines-and-data-breach-survey-2022/), un raport anual al societăţii internaţionale de avocatură DLA Piper referitor la amenzi și încălcări ale securității datelor cu caracter personal, care acoperă 27 de țări membre ale Uniunii Europene, plus Marea Britanie, Norvegia, Islanda și Lichtenstein.
Luxemburg şi Irlanda au aplicat amenzi de 746 milioane de Euro, respectiv 225 milioane de Euro, în timp ce Franţa a completat clasamentul celor mai ridicate amenzi individuale, cu 50 milioane de Euro. Prin acest nivel record al amenzilor aplicate, Luxemburg și Irlanda au trecut din coada clasamentului în fruntea acestuia.
Numărul zilnic de notificări privind încălcarea securității datelor cu caracter personal a fost de asemenea în creștere, cu 8% față de media de 331 de notificări pe zi a anului anterior, ajungând la 356 în anul 2021. În total, numărul notificărilor cu privire la încălcarea datelor cu caracter personal începȃnd cu data de 28 ianuarie 2021 a depășit 130.000.
Ponderarea rezultatelor prin raportare la populația fiecărei țări arată că Olanda este în fruntea clasamentului, urmată de Liechtenstein și Danemarca, cu 151, 136, respectiv 131 notificări la 100.000 de persoane. Croația, Cehia și Grecia au raportat cel mai redus număr de notificări per capita.
Dincolo de creșterea semnificativă a nivelului amenzilor, hotărârea CJUE în cazul Data Protection Commissioner v Facebook Ireland Limited, Maximillian Schrems din iulie 2020, cunoscută drept “Schrems II”, continuă să reprezinte o provocare majoră pentru multe organizații vizate de GDPR. Hotărârea impune exportatorilor de date cu caracter personal din Europa și Marea Britanie în state terțe să efectueze o cartografiere detaliată a acestor transferuri, precum și o evaluare minuțioasă a riscurilor legale și practice de interceptare de către autoritățile publice ale țărilor în care se află importatorii, crescând astfel semnificativ volumul de obligaţii de conformare ce revin organizațiilor vizate.
Conform rezultatelor studiului DLA Piper, decizia Schrems II nu implică doar riscuri privitoare la amenzi și solicitări de despăgubiri, ci creează și premise pentru întreruperea furnizării anumitor servicii, în situația în care transferurile de date necesare acestora sunt suspendate, cu consecințe severe asupra continuității activității organizațiilor implicate.
Despre cum trebuie interpretate rezultatele acestui studiu, comentează Irina Macovei, Counsel DLA Piper Romȃnia: „Creșterea spectaculoasă a cuantumului amenzilor și valorile deloc de neglijat trebuie înțelese ca avertismente adresate atȃt operatorilor de date cu caracter personal, cȃt şi împuterniciţilor acestora, și transpuse într-o atenție sporită acordată acestui domeniu. Este evident că exigențele din partea autorităţilor de supraveghere cresc și se va putea argumenta că există deja suficiente informații, resurse si timp pentru conformare”.
Abordarea locală se îndreaptă, în mod special, către ridicarea gradului de conştientizare în scopul conformării la prevederile legale, astfel cum punctează în continuare Andrei Stoica, Managing Associate DLA Piper România: „În România, valoarea amenzilor este, cel puțin deocamdată, redusă comparativ cu alte state membre, deoarece beneficiem încă de abordarea autorității de supraveghere orientată spre creșterea gradului de conștientizare și spre educarea organizaţiilor și a persoanelor vizate. Acestă atitudine este evidentă, dacă raportăm numărul relativ mare de sancţiuni, care ne plasează în topul european, la valoarea nespectaculoasă a amenzilor”.
„Este necesar de subliniat că pe lângă amenzi există și alte sancțiuni ce au fost aplicate de ANSPDCP, cum ar fi avertismentele” precizează Irina Macovei. “Nu trebuie ignorat nici impactul reputațional, sancțiunile dispuse fiind publice”.
“De asemenea, ANSPDCP a dispus și măsuri corective (încetarea practicilor neconforme, conformarea cu exigențele legislației privind protecția datelor cu caracter personal, respectarea drepturilor persoanelor vizate, punerea în aplicare a unor măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător, instruirea personalului cu privire la măsurile luate de operator, revizuirea şi actualizarea procedurilor de lucru referitoare la protecția datelor cu caracter personal etc.). Aceste măsuri corective pot fi în anumite cazuri mai costisitoare decât amenzile propriu-zise”, completează Andrei Stoica.
Cu peste 90 de birouri complet integrate, în peste 40 de țări din întreaga lume, DLA Piper este o companie globală de business law care îşi propune să vină în întȃmpinarea nevoilor de performanţă juridică profesională ale clienților din întreaga lume. Biroul DLA Piper din București oferă sprijin clienților săi prin intermediul unei echipe de peste 50 de avocați și consultanți fiscali cu experienţă internațională, capabili să abordeze probleme juridice și economice complexe, atât trasnsfrontaliere cât și locale, acoperind 10 sectoare de afaceri, printr-o abordare integrată a practicilor. dlapiper.com
Contact
Daniel Secărea, Marketing & Business Development Specialist, DLA Piper, +40 372 155 823, daniel.secarea@dlapiper.com
Titus Percea, Senior Marketing Manager, DLA Piper, +40 372 155 864, titus.percea@dlapiper.com
Luxembourg, Ireland and France top the table of the highest individual fines issued (EUR746m, EUR225m and EUR50m respectively). Luxembourg, Ireland and Italy top the table of the highest aggregate fines issued. Romania imposed fines totalling EUR720,000 Euros under the GDPR regime.
There was an 8% growth for breach notifications compared to last year with more than 130,000 breaches notified since 28 January 2021.
Per capita the Netherlands tops the rankings for data breach notifications.
The increase in fines is significant but the Schrems II judgment of Europe’s highest court and its profound implications restricting international data transfers continues to be the top data protection compliance challenge for many organisations caught by GDPR.
Nearly EUR1.1bn of fines have been imposed in 2021 for a wide range of infringements of Europe’s General Data Protection Regulation. This represents a 594% year on year increase in fines imposed since 28 January 2021 compared to EUR158.5m during the same period last year (28 january 2020 – 27 january 2021), according to international law firm DLA Piper. The figure is taken from the law firm’s latest annual General Data Protection Regulation (GDPR) fines and data breach survey (https://www.dlapiper.com/en/austria/insights/publications/2022/1/dla-piper-gdpr-fines-and-data-breach-survey-2022/) of the 27 European Union Member States plus the UK, Norway, Iceland and Liechtenstein.
Luxembourg, Ireland and France top the rankings for the highest individual fines (EUR746m; EUR225m and EUR50m respectively). Luxembourg and Ireland have each imposed record-breaking fines moving them from the bottom to the top of the league tables.
The growth of breach notifications has continued with an 8% increase from last year’s average of 331 notifications per day to 356 this year and more than 130,000 personal data breaches notified in aggregate since 28 January 2021.
Weighting the results against country populations, the Netherlands takes pole position this year ahead of Liechtenstein and Denmark with 151, 136 and 131 breach notifications per 100,000 people respectively. Croatia, the Czech Republic and Greece reported the fewest number of breach notifications per capita since 28 January 2021.
While the increase in fines may be significant, the judgment of Europe’s highest court in Data Protection Commissioner v Facebook Ireland Limited, Maximillian Schrems in July 2020 known as “Schrems II” continues to be the top data protection compliance challenge for many organisations caught by GDPR. The judgment and Chapter V of GDPR impose strict limitations on the transfer of personal data from Europe and the UK to “third countries” with data exporters risking suspension orders, fines and claims for compensation for failing to meet these new requirements. The judgment requires organisations exporting personal data from Europe and the UK to third countries to carry out comprehensive mapping of those transfers and detailed assessments of the legal and practical risks of interception by public authorities in the countries where importers are located, greatly increasing the compliance burden on data exporters and importers.
According to the survey findings the Schrems II judgment doesn’t just create a risk of fines and claims for compensation, it also threatens service interruption in the event data transfers are suspended, with serious implications for business continuity.
Irina Macovei, Counsel DLA Piper Romania, comments on the interpretation of the results of this survey: “The dramatic increase in the number of fines and the considerable values should be understood as warnings addressed to both data controllers and their processors, and transposed into increased attention to this area. It is obvious that the requirements of the supervisory authorities are on the rise and it could be argued that there is already sufficient information, resources and time for compliance”.
The local approach is aimed, in particular, at raising awareness in order to comply with legal provisions, as Andrei Stoica, Managing Associate DLA Piper Romania, points out: “In Romania, the value of fines is, at least for the time being, rather low compared to other Member States, because we still benefit from the supervisory authority's approach aimed at raising awareness and educating organizations and data subjects. This attitude is obvious, if we compare the relatively large number of sanctions, which places us above most of the European countries, to the unimpressive value of the fines.”
"It should be noted that, in addition to fines, there are other sanctions that have been applied by ANSPDCP, such as warnings", says Irina Macovei. "The reputational impact should not be overlooked either, as the sanctions imposed are public."
“ANSPDCP also ordered corrective measures (cessation of non-compliant practices, compliance with the requirements of personal data protection legislation, observance of the rights of data subjects, implementation of appropriate technical and organizational measures to ensure an adequate level of security, training staff on the measures taken by the controller, reviewing and updating the working procedures regarding the protection of personal data etc.). These corrective measures can in some cases be more expensive than the fines themselves", adds Andrei Stoica.