涉外法律 | GDPR案例之保加利亚

关键词：区块链；人工智能；大数据；智能合约；涉外法律服务；专业律师

本期关键词：数据；保加利亚；GDPR；数据安全；个人信息

本文约4808字，大概需要阅读8分钟。

之前几期，我们分析了欧盟《通用数据保护条例》（General Data Protection Regulation，GDPR）正式生效后，对欧盟乃至全球范围内个人数据保护和数字经济的影响。尤其是执法层面，依据GDPR 执法的案例，将作为体现监管态势的重要参照，为跨国企业的数据保护合规工作提供风向标。本次我们将一起来看看保加利亚的三个典型案例。

案例一：国家税务局数据泄露事件

摘要

处罚金额：26 万欧元

处罚依据：Art. 32 GDPR

处罚时间：2019/8/28

案件事实概述

黑客非法访问并分发了国家税务局持有的600 万个数据主体的个人数据，包括联系信息、纳税申报信息和其他财务信息。数据主体包括在世的保加利亚及外国公民和已故者。

违法分析

缺乏保障信息安全的技术和组织措施。

合规启示

1. 重视并做定期的数据安全检查，在系统安全方面采取更多、有效的保护措施。

2. 应对数据泄露事件时，事前形成相对完善的数据泄露响应制度，采取防护措施，事中采取及时调查、主动上报、积极止损的方式，与监管机构保持良好密切的沟通，并将数据泄露的事实告知数据主体，将影响控制在尽可能小的范围内。

案例二：DSK 银行数据泄露事件

摘要

处罚金额：51.1 万欧元

处罚依据：Art. 32 GDPR

处罚时间：2019/8/28

案件事实概述

DSK 银行发生数据泄露事件，该事件导致未经授权的第三方可以访问23,000 多条信用记录，这些信用记录涉及超过33,000 个银行客户，包括姓名、国籍、地址、身份证副本、生物识别数据及关联的第三方（包括配偶、子女和担保人）等个人数据。

违规分析

缺乏保障信息安全的技术和组织措施。

合规启示

1. 重视并做定期的数据安全检查，在系统安全方面采取更多、有效的保护措施。

2. 应对数据泄露事件时，事先形成相对完善的数据泄露响应计划，采取防护措施，事中采取及时调查、主动上报、通知数据主体、积极止损的方式，与监管机构保持良好密

案例三：某医疗中心非法处理个人数据

摘要

处罚金额：510 欧元

处罚依据：Art. 5 (1) a) GDPR,Art. 6 (1) GDPR, Art. 9 (1) and Art. 9 (2) GDPR

处罚时间：2019/4/8

案件事实概述

因非法处理数据主体G.B.的个人数据，对涉案的每个医疗中心处以510 欧元的罚款。医疗中心B 未经同意变更G.B.的全科医生，使用软件自动生成一份全科医生变更登记表，提交给区域健康保险基金，然后提交给了另一个医疗中心，后者随后也非法处理了G.B.的个人数据。

违规分析

1.数据处理没有合法性基础，违反数据处理的合法性原则。

2.违反关于特殊类型个人数据的处理规定，即禁止对健康数据、性生活或性取向等相关数据进行处理。

合规启示

数据处理应当合法，选择和适用恰当的合法性基础。特别是在涉及特殊类型个人数据处理时，应严格遵守GDPR 及相关法律的规定。

陆续更新，敬请期待

版权归闪涛律师团队所有，未经许可不得转载。

如认为本文侵犯版权，请及时联系闪涛律师团队。

往期回顾

数据安全

涉外法律

案例分析

立法动态

新闻速递

其他文章