Recentment, la DPC ha anunciat la seva decisió final sobre una investigació contra LinkedIn Ireland Unlimited Company. El resultat és que la DPC ha sancionat LinkedIn Irlanda amb 310 milions d’euros per vulnerar el RGPD.
La Comissió de Protecció de Dades d’Irlanda (DPC, per les seves sigles en anglès) és l’autoritat independent responsable de supervisar i garantir la protecció de les dades personals i el compliment del Reglament Europeu de Protecció de Dades (RGPD) a Irlanda. A Espanya, l’autoritat equivalent a la DPC és l’Agència Espanyola de Protecció de Dades (AEPD).
Aquesta investigació va començar el 2018, després d’una denúncia presentada davant l’Autoritat de Protecció de Dades de França per part de l’organització francesa La Quadrature Du Net. Aquest cas va ser traspassat a la DPC a causa del seu paper com a autoritat principal supervisora de LinkedIn a Europa, ja que la xarxa social té la seva seu a Irlanda.
El focus de la investigació es va centrar en com LinkedIn processava les dades personals dels usuaris per a fins d’anàlisi de comportament i publicitat dirigida. Això incloïa tant les dades proporcionades directament pels usuaris com les obtingudes a través de socis externs.
La DPC va determinar que LinkedIn havia vulnerat el RGPD en processar aquestes dades de manera il·legal, ja que no podia justificar aquestes pràctiques en cap de les bases legals exigides:
- Consentiment de l’usuari: El consentiment obtingut per LinkedIn no va ser atorgat de manera lliure, prou informada, específica ni inequívoca
- Interès legítim: Els drets i llibertats fonamentals dels usuaris prevalen sobre l’interès legítim al·legat per LinkedIn
- Necessitat contractual: LinkedIn no va aconseguir justificar que el tractament d’aquestes dades personals fos necessari per complir un contracte, especialment pel que fa als fins d’anàlisi i publicitat
A més, LinkedIn va incomplir les obligacions de transparència del RGPD perquè no va informar clarament els usuaris sobre les bases legals que recolzaven el seu ús de dades. Segons la DPC, aquestes pràctiques eren potencialment enganyoses, inesperades i fins i tot perjudicials per als usuaris, infringint el principi d’equitat del RGPD. I, per això, li va imposar:
- Una amonestació oficial per les seves pràctiques de tractament de dades
- Una ordre per ajustar el seu processament de dades i alinear-lo amb el RGPD
- Una multa de 310 milions d’euros, una de les més altes imposades per incompliment del RGPD fins a la data
Amb aquesta decisió, la DPC reforça la necessitat que les empreses actuïn amb transparència i respectin els drets fonamentals dels usuaris en manejar les seves dades personals.
Rànquing de sancions actualitzat
Han transcorregut una mica més de dos anys des que vam publicar el nostre primer rànquing sobre sancions per incomplir el RGPD, i des d’aleshores, els imports de les sancions imposades han continuat assolint xifres rècord. Si repassem aquest rànquing de finals de 2020, veurem que la sanció més alta era la de 50 milions d’euros imposada per la Comissió Nacional d’Informàtica i Llibertats de França (CNIL) a Google.
En la versió actualitzada del nostre rànquing, aquesta sanció ha desaparegut del top 5. Aquest augment en els imports de les multes es deu al fet que el RGPD permet calcular les sancions en funció del volum de negoci total anual global de l’últim exercici financer de l’empresa infractora.
En concret, el RGPD estableix el següent:
- Infraccions greus: se sancionen amb una multa de fins a 10 milions d’euros o amb el 2% del volum de facturació anual global de l’empresa, depenent de quin dels dos imports sigui més alt.
- Infraccions molt greus: se sancionen amb una multa de fins a 20 milions d’euros o amb el 4% del volum de facturació anual global de l’empresa, depenent de quin dels dos imports sigui més alt.
D’aquesta manera, les empreses amb més ingressos estan subjectes a sancions proporcionalment més altes, cosa que incrementa considerablement l’impacte de les multes.
Ara sí, us deixem el rànquing de sancions actualitzat…
1. Meta (Facebook) – 1.2 mil milions d’euros
- Autoritat de control: Comissió de Protecció de Dades d’Irlanda (DPC).
- Motius: Meta va ser multada al maig de 2023 per transferir dades personals d’usuaris de la UE als EUA sense les garanties adequades.
- Nota informativa: https://www.edpb.europa.eu/news/news/2023/12-billion-euro-fine-facebook-result-edpb-binding-decision_en
2. Amazon – 746 milions d’euros
- Autoritat de control: Comissió Nacional de Protecció de Dades de Luxemburg (CNPD).
- Motius: Al juliol de 2021, Amazon va ser multada per no obtenir un consentiment adequat dels usuaris per al tractament de dades en la publicitat personalitzada.
- Nota informativa: https://cnpd.public.lu/en/actualites/international/2021/08/decision-amazon-2.html
3. LinkedIn – 310 milions d’euros
- Autoritat de control: Comissió de Protecció de Dades d’Irlanda (DPC).
- Motius: A l’octubre de 2024, LinkedIn va ser multada per no obtenir el consentiment adequat dels usuaris per al tractament de les seves dades personals relacionades amb la publicitat personalitzada, per haver realitzat un tractament de dades personals sense una base de legitimació i per haver incomplit el principi de transparència.
- Nota informativa: https://www.dataprotection.ie/en/news-media/press-releases/irish-data-protection-commission-fines-linkedin-ireland-eu310-million
4. WhatsApp – 225 milions d’euros
- Autoritat de control: Comissió de Protecció de Dades d’Irlanda (DPC).
- Motius: Al setembre de 2021, WhatsApp va ser multada per no informar adequadament els usuaris sobre l’ús de les seves dades, especialment en relació amb l’intercanvi de dades amb altres empreses del grup Meta.
- Nota informativa: https://www.dataprotection.ie/en/dpc-guidance/law/decisions/whatsapp-ireland-ltd-august-2021-0#WhatsApp
5. Google – 150 milions d’euros
- Autoritat de control: Comissió Nacional d’Informàtica i Llibertats de França (CNIL).
- Motius: Al desembre de 2021, Google va ser multada per dificultar als usuaris el procés de rebuig de cookies als seus llocs web, violant la llei de protecció de dades
- Nota informativa: https://www.cnil.fr/en/closure-injunction-issued-against-google
Si necessites assessorament en matèria de protecció de dades, des de Qualgest podem ajudar-te. Contacta amb nosaltres i t’oferirem una solució a mida perquè compleixis amb totes les obligacions exigides en la normativa de protecció de dades.
