从人脸识别记考勤到谷歌定向广告推送 GDPR生效

【从人脸识别记考勤到谷歌定向广告推送 GDPR生效17个月 欧洲开出约3.7亿欧元罚单】从处罚学校用人脸识别记考勤，到给谷歌Google 定向广告开出五千万罚单，“史上最严厉的数据保护法”GDPR实施一年以来，欧洲各国对数据保护的力度正在逐步加大。2018年5月25日，欧盟《通用数据保护条例》(General Data Protection Regulation,GDPR)正式生效。GDPR不仅针对注册地在欧盟的企业，甚至于非欧盟的企业，只要提供产品或服务的过程中涉及欧盟境内个体数据，便必须遵循GDPR。而一旦企业违法，轻者处以1000万欧元或者上一年度全球营收的2%（两者取其高）的罚款；重者处以2000万欧元或者企业上一年度全球营收的4%（两者取其高）的罚款。（21世纪经济报道）

　　从处罚学校用人脸识别记考勤，到给谷歌Google 定向广告开出五千万罚单，“史上最严厉的数据保护法”GDPR实施一年以来，欧洲各国对数据保护的力度正在逐步加大。

　　2018年5月25日，欧盟《通用数据保护条例》(General Data Protection Regulation，GDPR)正式生效。

　　GDPR不仅针对注册地在欧盟的企业，甚至于非欧盟的企业，只要提供产品或服务的过程中涉及欧盟境内个体数据，便必须遵循GDPR。而一旦企业违法，轻者处以1000万欧元或者上一年度全球营收的2%(两者取其高)的罚款；重者处以2000万欧元或者企业上一年度全球营收的4%(两者取其高)的罚款。

　　根据中兴通讯数据保护合规部与数据法盟联合编制并于近日发布的《GDPR执法案例精选白皮书》(下称《白皮书》)，截止至2019年9月24日，22家欧洲数据监管机构对共87件案件作出了总计3.7亿欧元的行政处罚决定。

　　从被罚款金额最大的英国航空50万乘客信息泄露案，到对公民在自家门窗安装过多摄像头的象征性处罚，《白皮书》收录了欧洲经济区(European Economic Area， EEA)22个国家的立法情况和87个典型执法案例，从执法主体、国别、力度、依据等多维度分析研究，是国内首个针对GDPR执法的全方位报告。

　　“立法层面，GDPR已成为各主要国家采用或计划采用的数据保护法律法规基准，引发全球立法规则进一步融合；执法层面，GDPR执法案例作为体现监管态势的重要参照，为跨国企业的数据保护合规工作提供风向标。”中兴通讯数据保护合规部部长、《GDPR执法案例精选白皮书》编撰组组长高瑞鑫向21世纪经济报道表示。

　　“经过一段时间的适应期，欧洲数据监管机构处罚力度明显加大，尤其进入2019年7月以来，大额罚单出现的概率明显增加。”数据法盟创始人、上海交大数据法律研究中心执行主任、《白皮书》联合编撰人何渊向21世纪经济报道表示。

　　数据泄露案件多 最大罚单超过2亿欧元

　　《白皮书》总结认为，一方面是对数据控制者和数据处理者的规制和问责，另一方面是赋予数据主体更多权利，GDPR从这两方面下手，深深的扼住了数据滥用的出入口。

　　从数据控制和数据处理者层面来看，《白皮书》显示，根据执法依据来划分，GDPR包括目的限制、存储限制、最小数据原则等七大数据处理的原则。在这些原则中，触犯频率最高的原则是完整性和保密性原则，即缺乏相应的技术组织措施来保障数据处理安全性，而目前惩罚金额最大的案件也都与此相关，一般表现为多位用户的数据遭泄露。

　　例如，2018年6月，英国航空公司网站爆出数据泄露事件，该事件导致约50万名英航乘客的个人信息被泄露。在该事件中，用户流量被移转到虚假网站，攻击者通过这个虚假网站收集了客户详细信息，包括客户个人信息和银行卡信息， 如姓名、地址、邮箱，以及信用卡的号码、有效期和背面的验证码(CVV)等。

　　监管机构英国信息专员办公室(ICO)认为，英国航空公司缺乏保障信息安全的技术和组织措施，于今年10月初对其作出1.83亿英镑、约合2亿欧元的罚款决定，同时英国航空还面临着30亿英镑的集体诉讼。

　　无独有偶，2018年11月，万豪国际集团披露了其旗下喜达屋酒店客房预订系统数据泄露，3.39亿酒店客户信息被黑客窃取，涉及到3000万来自31个欧洲经济区(EEA)国家的居民，其中包括700万英国居民。

　　据ICO调查，喜达屋酒店客房预订系统因黑客攻击导致的数据漏洞自2014年7月起便存在，直到2018年才发现此漏洞。针对此次事件，ICO对万豪国际集团作出1.24亿欧元的罚款决定，而万豪也在美国本土面临着125亿美元的集体诉讼索赔。