爱尔兰数据保护机构(Data Protection Commissioner,DPC)对推特(Twitter)罚款45万欧元,使该科技公司成为欧盟跨境GDPR罚款的首个案例。
Twitter在该地区的主要监管机构爱尔兰的数据保护委员会(DPC)在发现其违反了私人推文功能后于开始对该平台进行调查,并指出在至期间,Android设备上的一些私人推文可能已向公众公开(被曝光)。
专员海伦·迪克森(Helen Dixon)在一份声明中说,DPC“已发现Twitter违反了GDPR第33(1)和33(5)条,未能及时向DPC通知违规行为,并且未充分记录违规行为。” 最终,爱尔兰DPC公布了45万欧元的罚款。
爱尔兰DPC主张较小的罚款额度,是因为其认为Twitter的数据泄露事件是过失,而非主观故意或系统性问题。在声明中,爱尔兰DPC表示此次罚款是合理且有告诫作用的。
DPC所给予的罚款相当于Twitter 年收入的0.1%左右,该消息已受到隐私权倡导者的批评,称其低于GDPR规定的全球年收入4%的最高罚款。许多其他执行者的反对意见称,其“太低”,没有遵守GDPR第83(1)条,且从开始到结束,爱尔兰DPC耗时近两年时间才对Twitter的这一案件作出决定。
德国监管部门要求罚款在700万欧元至2200万欧元之间,称“德国电信与安全管理局认为,在这种特殊情况下,劝阻性罚款必须很高,让非法数据处理无利可图。”
DPC补充说,该决定是“自GDPR出台以来第一个通过第65条(争议解决)程序的决定”也是“作为相关监管机构咨询欧盟所有监管机构的‘大型科技’案件的第一份决定草案”。(爱尔兰DPC虽然是此案的主要监管机构,但因其业务的跨境性质,爱尔兰DPC需向其他欧盟数据保护机构征求意见。)
Twitter的首席隐私官兼全球DPO达米恩·基兰(Damien Kieran)在一份声明中说:
“ Twitter与爱尔兰数据保护委员会(DPC)紧密合作,支持他们的调查。我们对在线安全和隐私有着共同的承诺,我们尊重DPC的决定,该决定与我们的事件响应流程失败有关。在圣诞节至元旦之间出现的意外后果,导致Twitter在72小时法定通知期之外才通知到DPC。我们已经进行了更改,以便将此之后发生的所有事件都能及时报告给DPC。”
Kieran补充说:“我们对此错误承担责任,并始终致力于保护客户的隐私和数据,包括通过我们的工作来迅速透明地将发生的问题告知公众。”(本文出自SCA安全通信联盟,转载请注明出处。)