​​Вы об этом уже читали и не раз, но поскольку кейс обсуждаемый, сохраню его для истории

#fines #gdpr

Где: Бельгия
Кого: Proximus SA
Штраф: 50 000 EUR (3,5 млн руб)
Нарушение: утечка данных, а при проверке уже обнаружили: нарушения порядка взаимодействия с регулятором неисполнение принципа подотчетности (accountability), невыполнение риск-ориентированного подхода при защите данных, наличие конфликта интересов у DPO, некорректное привлечение DPO - большая часть нарушений была снята по результатам судебного слушания.

Разберём подробнее DPO:
🔹нарушен порядок разграничения полномочий, отсутствовала процедура разграничения полномочий, не было доказательств независимости DPO
🔹DPO не принимал участие в обсуждениях результатов анализа рисков, только информирован (ориентировались на RACI-матрицу) - нарушение ст 38(1), 25, но суд принял позицию оператора, нарушение было снято
🔹DPO также исполнял роли руководителя аудита, рисков и комплаенса - роль руководителя департамента не совместима с ролью DPO (тк руководитель принимает решения в отношении работников, а также определяет цели, средства и способы обработки данных), также объединение обозначенных функций может повлиять на конфиденциальность данных - нарушение ст 38(6) доказано в суде
🔹DPO не участвовал в обсуждении инцидентов нарушения безопасности данных
🔹при расчете штрафа также была учтена длительность нарушения (2 года)

Источник: проверка регулятора
Статьи GDPR: 32, 38(6)
Ссылки: регулятор, стр 13-19 про DPO