中兴通讯&数据法盟：GDPR执法案例精选白皮书（103页）.pdf

1、GDPR 执法案例精选白皮书数 据 法 盟中 兴 通 讯 数 据 保 护 合 规 部联合发布目 录 CONTENTS引言P01GDPR 新兴趋势P02GDPR 执法重点P08GDPR 合规启示P15欧洲主要国家执法典型案例P21P22 英国英国航空公司数据泄露事件万豪集团数据泄露事件P25 法国Google 定向广告推送事件SERGIC 数据泄露事件ACTIVE ASSURANCES 数据泄露事件员工投诉某公司监控侵犯隐私事件P30 保加利亚国家税务局数据泄露事件DSK 银行数据泄露事件电信服务提供商未经授权处理个人数据A.P. EOOD 非法处理个人数据某医疗中心非法处理个人数据某银行违反目

2、的限制原则某雇主未满足雇员行使访问权的要求P34 波兰西里西亚足球协会公开披露数据M 数据泄露事件Bisnode 未履行充分性告知义务P38 荷兰Uber 数据泄露事件Haga Hospital 未采取安全保密措施P41 葡萄牙Barreiro 医院过度访问患者档案P43 西班牙LaLiga 未履行充分告知义务信贷公司未经授权处理个人数据ENDESA 非法披露个人数据AVON COSMETICS 非法处理个人数据VODAFONE 未满足客户行使遗忘权要求VODAFONE 违反准确性原则P47 德国Delivery Hero 未满足用户权利要求某银行未经授权处理个人数据某企业数据泄露事件Knud

3、dels 未加密用户个人数据Kolibri Image 未签署数据处理协议个人未经授权披露他人个人数据警官非法处理个人数据P53 希腊PWC 处理员工个人数据违反透明原则P55 罗马尼亚UNICREDIT 银行数据泄露事件WORLD TRADE CENTER 数据泄露事件TAX HUB SRL 数据泄露事件UTTIS 未履行充分告知义务P58 匈牙利音乐节组织者过度收集个人数据匈牙利政党数据泄露事件匿名主体数据泄露事件匿名主体未满足数据主体权利实现要求市长办公室非法处理个人数据某金融机构拒绝删除客户个人数据某金融机构违反数据处理基本原则某银行处理个人数据违反准确性原则P64 捷克某网络购物商城

4、数据泄露事件法国巴黎银行个人理财公司违反数据处理原则某银行未经授权处理客户个人数据INTER-IVCO 未经授权公开披露个人数据汽车租赁公司未履行充分告知义务信贷经纪公司违反数据完整性与保密性要求食品经销商缺乏数据处理合法性基础某公司未满足数据主体权利行使访问权要求Christ Car Wash 数据泄露事件某公司数据泄露事件某学校未满足数据主体权利实现要求某协会未满足数据主体权利实现要求某公司未满足数据主体权利实现要求P78 意大利意大利某政党数据泄露事件P79 奥地利医疗公司未履行充分告知义务足球教练非法收集个人数据博彩商店未履行充分告知义务私人家中安装监控过度收集个人数据P82 瑞典学校

5、使用人脸识别技术缺乏合法性基础P84 比利时某店主过度收集客户个人数据某市长非法处理个人数据P86 挪威奥斯陆市教育局数据泄露事件卑尔根市的市政用户计算机系统安全问题P89 丹麦IDdesign A / S 违反数据存储限制原则Taxa 4x35 违反数据存储限制原则P92 立陶宛UAB MisterTango 数据泄露事件P93 塞浦路斯新闻媒体非法披露个人数据某医院未满足数据主体权利实现要求P95 拉脱维亚某商家未满足数据主体权利实现要求P96 马耳他土地管理局数据泄露事件六案例索引P97七结语P100ZTEDPC&DATALAWS- 1 -benba引 言2018 年 5 月 25 日，

6、欧盟通用数据保护条例（General Data Protection Regulation，GDPR）正式生效，深刻地影响了欧盟乃至全球范围内个人数据保护和数字经济发展态势。立法层面，GDPR 已成为各主要国家采用或计划采用的数据保护法律法规基准，引发全球立法规则进一步融合；执法层面，GDPR 执法案例作为体现监管态势的重要参照，为跨国企业的数据保护合规工作提供风向标。鉴于 GDPR 生效时间不长，缺乏配套的适用规范和解释，通过执法案例来补充理解数据保护相关概念、明确数据处理基本原则和数据主体权利响应相关的监管要求，可以帮助企业更好地把握 GDPR 监管脉搏，也为 GDPR 相关的理论研究人员