חומר רקע
סקירה משווה –
סכומי ק נסות בגין הפרת דיני הגנת הפרטיות
מדינה סכום הקנס
המקסימלי
ל (כ ל הסכומים מופיעים
)בערכם באירו
דוגמאות ל
הוראות חוק שהפרתן עשויה להוביל להטלת הקנס דוגמאות לקנסות שהוטלו
האיחוד
האירופי
GDPR)
)
10
מיליון אירו או
2%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה )מבין השניים
הפרת הוראות
סעיף83
(4) ל -
GDPR
:
1.
א י קבלת
הסכמה ל עיבוד מידע אודות קטינים(
סעיף8 ל -
GDPR
.)
2.
ה
פרת חובת
עיצוב לפרטיות ופרטיות כברירת מחדל (סעיף
25
ל-
GDPR
)
3.
אי
דיווח על
אירוע אבטחת מידע אישי
(סעיפים33-34
)
4.
אי שמירת תיעוד של
פעו לות עיבוד המידע (סעיף30
)
5.
אי-
עריכת תסקיר השפעה על הפרטיות (סעיפים35-36
)
6.
אי-מינוי ממונה הגנת פרטיות בארגו ן
(DPO)
(סעיפים37-
39
).
20
מיליון אירו או
4%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה מבין
השניים )
הפרת הוראות סעיפים83
(5 )-
83
(6) :
1.
ה פרת העקרונות
הנוגע
ים לעיבוד מידע אישי
(עיבוד מידע
)באופן חוקי, הוגן ושקוף, למטרה לגיטימית ועוד (
סעיף5
ל-
GDPR
)
2.
עיבוד מידע שלא בהתאם ל בסיסי
ה( עיבוד סעיף6 ל -
GDPR
)
3.
עיבוד מידע שלא בהתאם לתנאי ה הסכמה (סעיף7 ל -
GDPR
)
4.
ה פרת ההוראות הנוגעות לעיבוד מידע בעל רגישות מיוחדת
(סעיף9 ל-
GDPR
)
5.
אי-
מתן
זכויות נושא
י מידע
,(כגון חובת היידוע, זכות העיון
זכות התיקון, הזכות להישכח, הזכות להתנגד לעיבוד מידע
)ועוד (
סעיפים12-22
ל-
GDPR
)
6.
העברות מידע
מחוץ לאיחוד האירופי או לארגון בינלאומי
(
סעיפים44-49
)
7.
הפרה של הוראה ש
ניתנה
על ידי רשות הגנת המידע
המדינתית או אי שי תוף פעולה בהתאם לסעיפים58
(1
) או
58
(2
), ביניהן-
הוראה על הפסקת עיבוד, הוראה על מתן
זכות לנושא מידע, הוראה
הנוגעת ל ,תיקון ליקויים הוראה
על הפסקת העברת מידע למדינה זרה .
אירלנד
10
מיליון אירו או
2%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הפרת ה הוראות הקבועות בסעיף83
(4) ל-
GDPR
1.
הוטל קנס של463
אלף
אירו על בנק בעקבות
אי
נקיטת
אמצעים טכניים
הקודמת
(לפי הגבוה מבין
)השניים
וארגוניים מספקים
לאבטחת ה
מידע .
2.
הוטל קנס של450
אלף
אירו על חברת טוויטר
(כיוםX
) בעקבות אי עמידה
מספקת בחובת הדיווח על
.אירוע אבטחת מידע
20
מיליון אירו או
4%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה מבין
השניים )
הפרת ה הוראות הקבועות בסעיפים83
(5) -
83
(6) ל-
GDPR
1.
הוטל קנס של1.2
מיליארד
אירו נגד חברתMeta
בעקבות העברת מידע
,למדינה מחוץ לאירופה
בניגוד להוראות ה-
GDPR
.
2.
הוטל קנס של345
מיליון
אירו נגד חברתTik-Tok
בעקבות אי עמידה
,בעקרונות צמצום המידע
סודיות והוגנות, ואי עמידה
בדרישות היידוע הנוגעות
לגורמים המקבלים את
.המידע שנאסף
50
אלף אירו
1.
חיוב ע
ובד
, מועמד לעבודה או ספק שירות להגיש בקשה
לעיון במידע אודותיו (
סעיף4
)לחוק האירי
2.
( עיבוד מידע פלילי
סעיף
55
)לחוק האירי
3.
מסירת מידע ללא סמכות ע די י ל
( מחזיק
סעיף
144
לחוק
)האירי
( מסירת מידע שהושג ללא סמכות
סעיף
145
)לחוק האירי
250
אלף אירו
1.
הפרעה( לרגולטור
סעיף
130
לחוק האירי)
2.
לא נענה לדרישת הרשות להגנת המידע (
סעיף132
לחוק
)האירי
3.
לא פ על בהתאם להוראות אכיפה של הרשות להגנת המידע
(
סעיף133
)לחוק האירי
4.
( הפרעה בכתיבת דוח סעיף135
לחוק האירי )
5.
( משבש הליך חקירה
סעיף
138
)לחוק האירי
מיליון אירו ב התאם לסעיף83
(7) ל-
GDPR
,המדינות
רשאיות לקבוע
קנסות שונים לגופים ציבוריים. החוק האירי קובע מגבלת קנס
של מיליון אירו
לגופים ציבוריים ביחס ל הפרה של כל הוראות
.החוק
הוטל קנס של110
אלף אירו על
מועצה מקומית בעקבות הפרה
,של העקרונות לעיבוד מידע
חובת השקיפות והיידוע וזכות
.העיון
צרפת
10
מיליון אירו או
2%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הוראות הקבועות בסעיף83
(4) ל-
GDPR
(
סעיף20
(7
) לחוק
)הצרפתי
הוטל קנס של1.5
מיליון אירו
על חברה בעקבות
אי
נקיטת
הקודמת
(לפי הגבוה מבין
)השניים
אמצעים טכניים וארגוניים
מספקים
ל אבטחת ה
מידע .
20
מיליון אירו או
4%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה מבין
השניים )
הוראות הקבועות בסעיפים83
(5)-
83
(6) ל-
GDPR
(
סעיף20
(7
)
)לחוק הצרפתי
1.
הוטל קנס של50
מיליון
אירו על חברת גוגל בעקבות
עיבוד מידע ללא בסיס
עיבוד ואי עמידה בחובת
.השקיפות
2.
הוטל קנס של40
מיליון
אירו על חברת פרסום
ושיווק ברשת האינטרנט
בעקבות אי קבלת הסכמה
מספקת, אי עמידה בחובת
השקיפות, אי מתן זכות
העיון, אי מתן זכות
.למחיקת מידע
גרמניה
50
אלף אירו חובות הנוגעות לגופים העוסקים במתן הלוואות לצרכנים
(סעיף43
)לחוק הגרמני
10
מיליון אירו או
2%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
ה וראות הקבועות בסעיף83
(4) ל-
GDPR
(סעיף
41
לחוק
)הגרמני
הוטל קנס של1.24
מיליון אירו
על חברת ביטוח רפואי בעקבות
אי עמידה בחובות אבטחת
.מידע
הקודמת
(לפי הגבוה מבין
)השניים
20
מיליון אירו או
4%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה
מבין השניים )
הוראות הקבועות בסעיפים83
(5)-
83
(6) ל-
GDPR
(סעיף
41
)לחוק הגרמני
1.
הוטל קנס של35
מיליון
אירו על חברתH&M
בעקבות עיבוד מידע
אודות
עובדים בניגוד לעקרונות
עיבוד המידע וללא
בסיס
ל.עיבוד מידע
2.
הוטל קנס של10
מיליון
אירו על חברה בעקבות
לום יצ
עובדים בניגוד
לעקרונות עיבוד המידע
.וללא בסיס עיבוד מידע
בריטניה
10
מיליון אירו או
2%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה )מבין השניים
1.
הוראות הקבועות בסעיף83
(4) ל-
GDPR
2.
הוראות מה-
GDPR
אשר לא מוזכרות בסעיף83
(סעיף
157
(1
()
b
.)) לחוק הבריטי
3.
יתר
הסעיפים בחוק הבריטי הנוגעים לעיבוד מידע על ידי
רשויות אכיפה ושירותי ביון אשר לא
כפופים ל
סכום הגבוה
(סעיפים157
(
2-3
()
b
.)) לחוק הבריטי
20
מיליון אירו או
4%
מסך
המחזור השנתי הגלובאלי
1.
הוראות הקבועות בסעיף83
(5) ל-
GDPR
1.
הוטל קנס12.7
מיליון אירו
על חברתTik-Tok
בעקבות
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה מבין
השניים )
2.
אי היענות לבקשת מסירת מידע, בקשה לבחינת פעילות או
הוראת אכיפה
(סעיף157
(4
)) לחוק הבריטי.
3.
הוראות מסוימ
ות הנוגע
ות ל עיבוד מידע על ידי רשויות
אכיפה
(סעיפים מסוימים מחלק3
.)לחוק הבריטי
4.
הוראות מסוימ
ות הנוגע
ות לעיבוד מידע על ידי שירותי ביון
(סעיפים מסוימים מחלק4
.)לחוק הבריטי
אי עמידה בעקרונות עיבוד
המידע ואי עמידה בחובת
היידוע .
2.
הוטל קנס של20.45
מיליון
אירו על רשת מלונות מריוט
בעקבות אי עמידה בעקרון
האמינו ת והסודיות ואי
עמידה בחובות אבטחת
.מידע
איטליה
10
מיליון אירו או
2%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה )מבין השניים
הוראות הקבועות בסעיף83
(4) ל-
GDPR
(
סעיף166
לחוק
)האיטלקי
20
מיליון אירו או
4%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה
מבין השני
ים )
הוראות הקבועות בסעיפים83
(5)-
83
(6) ל-
GDPR
(סעיף
166
)לחוק האיטלקי
1.
הוטל קנס של27
מיליון
אירו על חברת התקשורת
TIM
בעקבות אי קבלת
ההסכמה הנדרשת, אי
עמידה בעקרונות לעיבוד
מידע ואי מתן זכויות נושאי
.מידע
2.
הוטל קנס של20
מיליון
אירו על חברת טכנולוגיית
זיהוי פנים בעקבות עיבוד
מידע ללא בסיס עיבוד ואי
עמידה בעקרונות לעיבוד
.מידע
ספרד
10
מיליון אירו או
2%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה )מבין השניים
הוראות הקבועות בסעיפים83
(4) ל-
GDPR
(סעיף
76
לחוק
)הספרדי
הוטל קנס של4
מיליון אירו
(מתוך קנס כולל של8
מיליון
אירו) על חברת תקשורת
בעקבות הפרה של חובות
הנוגעות להתקשרות בין בעל
.מאגר למחזיק
20
מיליון אירו או
4%
מסך
המחזור השנתי הגלובאלי
במהלך השנה הפיננסית
הקודמת
(לפי הגבוה
מבין השניים )
הוראות הקבועות בסעיפים83
(5)-
83
(6) ל-
GDPR
(
סעיף
76
)לחוק הספרדי
הוטל קנס של6
מיליון אירו על
בנק בעקבות עיבוד מידע ללא
בסיס עיבוד ואי עמידה בחובת
.היידוע
פורטוגל מ-
5,000
אירו
ו עד20
מיליון
אירו
או4%
מהמחזור השנתי
(
לפי הגבוה
מ )ביניהם
כלפי
חברות גדולות
מ-
2,000
אירו
ו עד שני מיליון
אירו או4%
מהמחזור השנתי
(
לפי הגבוה
מ)ביניהם כלפי
עסקים קטנים ובינוניים
מאלף אירו עד500
אלף אירו
כלפי יחידים
1.
הפרת העקרונות הנוגעים לעיבוד מידע אישי (סעיף5 ל -
GDPR
)
2.
עיבוד מידע שלא בהתאם ל בסיסי
ה( עיבוד סעיף6 ל -
GDPR
)
3.
עיבוד מידע שלא בהתאם לתנאי ההסכמה
(סעיף7 ל -
GDPR
)
4.
הפרת ההוראות הנוגעות לעיבוד מידע בעל רגישות מיוחדת
(סעיף9 ל-
GDPR
)
5.
הפרת הוראות עיבוד מידע הנוגעות לעבר פלילי (סעיף10
ל-
GDPR
)
6.
הפרת הוראות מסוימות בנוגע לחובת היידוע (סעיף13-14
ל-
GDPR
)
7.
אי מתן
זכויות נושא
י
( מידע סעיפים15-22
ל-
GDPR
)
8.
הפרת ההוראות בעניין העברת מידע למדינה מחוץ לאיחוד
האירופי (סעיפים44-49
ל-
GDPR
)
9.
אי ציות לה וראות של רשות הגנת המידע המדינתית לפי
סעיף58
(2
)ל-
GDPR
, או סירוב לשיתוף פעולה עם רשות
.הגנת המידע
ה וטל קנס של4.3
מיליון אירו
על הלשכה המרכזית
לסטטיסטיקה בעקבות הפרה
של הוראות הנוגעות לעיבוד
מידע אישי, אי עמידה בחובת
השקיפות והיידוע ואי עמידה
בחובות הנוגעות להעברת מידע
.למדינה אחרת
אירו 2,500-מ
ועד10
מיליון
אירו
1.
אי קבלת
הסכמה ב עיבוד מידע על קטינים(
סעיף8 ל -
GDPR
)
או2%
( מהמחזור השנתי לפי
הגבוה
מ)ביניהם כלפי
חברות
גדולות
מ-
1,000
אירו
ו עד מיליון
אירו או2%
מהמחזור השנתי
(
לפי הגבוה
מ)ביניהם כלפי
עסקים קטנים ובינוניים
מ-
500
אירו
ו עד250
אלף
אירו כלפי
יחידים
2.
הפרת יתר הוראות בנוגע ל
חובת
היידוע (סעיף13-14
ל -
GDPR
)
3.
הפרת חובות
של מחזיק
(סעיפים25-37
ל-
GDPR
)
4.
הפרת ההוראות הנוגעות למינוי ממונה הגנת הפרטיות
בארגוןDPO
(
סעיפים37-39
ל-
GDPR
)
ברזיל
2%
ממחזור
העסקים
הגלובלי ו עד9.3
מיליון אירו
כל הוראות החוק
(סעיף52
,)לחוק הברזילאי
ו :ביניהן
1.
הפרת העקרונות
הנוגע
ים לעיבוד מידע אישי
(עיבוד מידע
באופ)ן מדויק, בטוח ושקוף, למטרה לגיטימית ועוד (
סעיף
6 לחוק הברזילאי )
2.
עיבוד מידע שלא בהתאם ל בסיסי
ה( עיבוד סעיף7
לחוק
הברזילאי )
3.
עיבוד מידע שלא בהתאם לתנאי ה הסכמה (סעיף8
לחוק
)הברזילאי
4.
הפרת ההוראות הנוגעות לעיבוד מידע בעל רגישות מיוחדת
(סעיף11
לחוק )הברזילאי
5.
אי-
מתן
זכויות נושא
י
( מידע סעיפים17-22
לחוק
הברזילאי )
6.
עיבוד מידע על ידי גופים ציבוריים (סעיפים23-32
לחוק
)הברזילאי
7.
העברות מידע
מחוץ לברזיל (
סעיפים33-36
לחוק
הברזילאי )
הפר
ת
הוראה ש
ניתנה
על ידי רשות הגנת המידע המדינתית
או אי שיתוף פעולה
עם
רשות הגנת המידע (סעיף52
לחוק
הברזילאי), ובכלל זה הפרת ,הוראה על הפסקת עיבוד
הוראה
הנוגעת ל,תיקון ליקויים
מחיקת
מידע אישי
הקשור
להפרה .
אוסטרליה
1.5
מיליון אירו
לאדם ,
30.5
מיליון אירו לחברה
או
פי3 מ הרווח שהושג
בעקבות ההפרה, או
30%
המ מחזור העסקי של החברה
בתקופת ההפרה
( פגיעה בפרטיות לפי הגדרת החוק סעיף 13Gלחוק האוסטרלי )
יצוין כי החוק מגדיר פגיעה בפרטיות ככל פעולה ה מפר
ה את
אחד מ
עקרו נות
הפרטיות האוסטרלי
ים ב יחס למידע אישי על
הפרט
(סעיף13
.)לחוק האוסטרלי
( עקרונות הפרטיות האוסטרלים כוללים בין היתר Schedule 1
לחוק האוסטרלי :)
-
שקיפות בעיבוד מידע
-
עקרונות
הנוגע
ים
לעיבוד מידע אישי
-
חובת יידוע
-
צמידות מטרה
-
אבטחת מידע
-
זכויות נושאי מידע
-
העברות מידע מחוץ לאוסטרליה
דיוור ישיר
שוויץ
266,483
אירו
1.
אי קיום( חובת היידוע
סעיפים
19
ו -
21
)לחוק השוויצרי
2.
אי מתן( זכות עיון
סעיפים
25-27
השוויצרי )
3.
הפרת ההוראות הנוגעות ל( העברת מידע לחו"ל סעיף16
לחוק השוויצרי )
4.
אי עמידה
בהוראות הנוגעות ל( מחזיק
סעיף 9
לחוק
השוויצרי )
5.
אי עמידה בהוראות הנוגעות ל( אבטחת מידע
סעיף 8
לחוק
השוויצרי )
6.
אי עמידה ב( חובת סודיות
סעיף
62
לחוק השוויצרי)
העדר שיתוף פעולה עם רשות הגנת המידע (
סעיף
63
לחוק
השוויצרי )
דוגמאות לקנסות אשר הוטלו בשנים
האחרונות ב מדינות נוספות שדיניהן לא נסקרו בטבלה שלעיל
מדינה הגורם המפר הפרות סכום הקנס
הולנד
רשות המס
עיבוד מידע ללא בסיס עיבוד, מידע לא מדויק, מידע נשמר
לזמן רב מדי, המידע לא אובטח כראוי
3.7
מיליון אירו
הולנד
חברתUber
הפרת חובת היידוע ביחס להעברת מידע מ חוץ לאיחוד
.האירופי, הפרת חובת השקיפות וחובת היידוע
10
מיליון אירו
הולנד
עיריית העיר אנסחדה
עיבוד מידע ללא בסיס עיבוד ואי עמידה בעקרונות לעיבוד
מידע
600
אלף אירו
שבדיה
חברת ביטוח
אי עמידה בחובות אבטחת המידע ואי עמידה בעקרונות
השמירה על אמינות וסודיות
2.8
מיליון אירו
שבדיה
חברתSpotify
אי עמידה בחובת השקיפות ובזכות העיון
5
מיליון אירו
קרואטיה
חברה לגביית חובות
אי עמידה בעקרונות לעיבוד מידע, עיבוד מידע ללא בסיס
עיבוד, עיבוד מידע רגיש, אי עמידה בחובת השקיפות
.ובחובת היידוע ואי עמידה בחובות הנוגעות לאבטחת מידע
5.47
מיליון אירו
יוון
חברת טכנולוגיית
זיהוי פנים
אי עמידה בעקרונות לעיבוד מידע ואי עמידה בחובת
.השקיפות, חובת היידוע ומתן זכות העיון
20
מיליון אירו
נורבגיה
אפליקציית היכרויות עיבוד מידע ל לא בסיס עיבוד, קבלת הסכמה לא תקפה
.ועיבוד מידע רגיש ללא בסיס עיבוד מתאים
6.5
מיליון אירו
דרום קוריאה
חברת תקשורת
הפרת חובות אבטחת מידע ואי עמידה בדרישה להסיר מידע
שנאסף למטרות זמניות
4.7
מיליון אירו
דרום קוריאה
חברותMeta
ו-
Google
עיבוד מידע ללא בסיס עיבוד ואי עמידה בחובת היידוע
70
מיליון אירו