PWC Grécia recebe multa de €150Mil por violar GDPR. Órgão de proteção de dados da Grécia impôs multa de €150Mil a participação grega da PwC, “PRICEWATERHOUSECOOPERS BUSINESS SOLUTIONS SA”, por violar o Artigo 83 do GDPR.
Além disso, a Hellenic Data Protection Authority também impôs medidas corretivas à organização a serem cumpridas.
Por que a PwC foi multada?
O GDPR estabelece claramente as bases legais, sob as quais os dados pessoais podem ser processados pelos controladores. O consentimento é uma dessas bases, mas não é o único. E a escolha do consentimento da PwC como base legal para o processamento de dados pessoais de seus funcionários não era apropriada, constatou a DPA.
Os dados foram processados no decorrer das atividades comerciais da empresa e os funcionários não foram informados sobre isso. Esse tipo de abordagem foi considerado como uma violação dos princípios de justiça e transparência do GDPR.
O princípio da responsabilização também não foi cumprido, uma vez que a empresa não conseguiu demonstrar o cumprimento adequado e transferiu os encargos para os titulares dos dados. Como a PwC era, neste caso, um controlador de dados pessoais, essa transferência era inadequada.
A DPA considerou que a PWC BS como controlador:
Processou ilegalmente os dados pessoais dos seus empregados em violação do disposto no artigo 5.º, n.º 1, alínea a), alínea a), do RGPD, por ter utilizado uma base jurídica inadequada.
processou os dados pessoais dos seus empregados de uma forma injusta e não transparente contrária ao disposto no artigo 5.º, n.º 1, alínea a), alíneas b) ec) do RGPD, dando-lhes a falsa impressão de que estava a processar os seus dados. dados sob a base legal de consentimento, de acordo com o Artigo 6 (1) (a) do GDPR, enquanto na realidade estava processando seus dados sob uma base legal diferente sobre a qual os funcionários nunca haviam sido informados.
embora fosse responsável na sua qualidade de responsável pelo controlo, não foi capaz de demonstrar o cumprimento do artigo 5.º, n.º 1, do GDPR e violou o princípio da responsabilidade estabelecido no artigo 5.º, n.º 2, do GDPR, ao transferir o ónus da prova de conformidade aos titulares dos dados.
A empresa grega foi, portanto, multada e recebeu um prazo de três meses para tomar certas medidas para se tornar compatível.
Decisão da Hellenic DPA
A Hellenic DPA , após ter verificado as infracções ao GDPR, decidiu que, neste caso, deveria exercer as competências correctoras que lhe são conferidas pelo artigo 58.º, n.º 2, do GDPR, impondo medidas corretivas, e que ordenaria à empresa, na sua qualidade como controlador dentro de três (3) meses:
trazer as operações de processamento dos dados pessoais de seus funcionários, conforme descrito no Anexo I, apresentadas pela empresa, em conformidade com as disposições do GDPR;
restabelecer a correcta aplicação do disposto no n.º 1, alínea a), e no n.º 2 do artigo 5.º, em conjugação com o n.º 1 do artigo 6.º do GDPR, em conformidade com os fundamentos da decisão;
para subsequentemente restabelecer a correta aplicação do restante das disposições do Artigo 5 (1) (b) – (f) do GDPR, na medida em que a infração estabelecida afete a organização interna e o cumprimento das disposições do RDBD tomando todas as medidas necessárias sob o princípio da responsabilização.
Além disso, como a medida corretiva supra não é suficiente para restabelecer a conformidade com as disposições do GDPR violadas, o DPA helénico considerou que, com base nas circunstâncias identificadas no presente caso e no artigo 58.º, n.º 2, alínea i), Deve ser aplicada uma coima administrativa proporcional e dissuasiva nos termos do artigo 83.º do GDPR, o que ascende a cento e cinquenta mil euros (150.000,00 euros).
O que isso significa?
Segundo o site Reclaim The Net, O representante grego da PwC é o primeiro dos “Big 4” a ser multado no âmbito do GDPR. Além disso, é a primeira consultoria que realmente ajudou muitos de seus clientes com a conformidade com o GDPR no último ano. Parece espantoso que uma empresa do tamanho e da reputação da PwC, que está ganhando muito dinheiro dando conselhos sobre o GDPR, tenha sido queimada pelo fogo que eles ajudam os clientes a evitar diariamente .
E, no entanto, serve como um bom lembrete de que nenhuma empresa localizada ou hospedada na UE está isenta de ter que cumprir o GDPR. Como mostra o precedente do Google, mesmo os participantes mais influentes de uma indústria não estão imunes. Os 150 mil euros que a PwC deve pagar não correspondem, é claro, à multa de US $ 5 bilhões imposta à gigante de tecnologia.
Por um lado, é menos de 0,5% do volume de negócios anual da empresa grega, o que não está exatamente de acordo com as diretrizes do GDPR. Essa multa era, segundo a Hellenic DPA, “uma sanção eficaz, proporcional e dissuasiva”. Assim, no grande esquema do paradigma em mudança da abordagem à privacidade, não é tanto assim.
A decisão do regulador grego não é insignificante, no entanto. A PwC é líder de mercado em suporte a GDPR, principalmente devido à sua rede global. Muitos clientes em toda a Europa confiaram na empresa para trazer suas políticas e abordagens de acordo com a lei no ano passado. Não seria um grande esforço para essas empresas serem abaladas pelo fato de que a própria consultoria provou ser vulnerável em relação aos seus funcionários e até mesmo perder a confiança no auditor.
Afinal, boa vontade e reputação são ativos inestimáveis em qualquer mercado hoje. E com as violações de GDPR sendo casos altamente divulgados no mundo de hoje, onde a privacidade e a proteção de dados são problemas muito comuns, seria esperado que a PwC precise fazer muito esforço no controle de danos para salvar sua imagem. Com as empresas DPaaS e DRaaS aparecendo em todo o mercado hoje, pode ser o fim do monopólio das Big 4 e dos grandes escritórios de advocacia em questões legais complexas e de conformidade.
Isso não quer dizer, porém, que a reputação da PwC no campo de privacidade de dados está danificada para sempre. Se as outras filiais da consultoria tomam nota do que a Hellenic DPA lhes disse e tomarem medidas para assegurar aos seus clientes que eles aprenderam a lição e estão prontos para usá-la para serem melhores consultores de negócios, pode muito bem ser uma oportunidade e não um fracasso.
Fonte: Reclaim The Net & Hellenic Data Protection Authority
Veja também:
- CrowdStrike aterriza no Brasil com o melhor Next Generation AV do mercado!
- CrowdStrike expande presença internacional para atender à crescente demanda do cliente
- Vazamento da Capital One é uma das maiores violações dos EUA
- 90% dos usuários do iPhone Enterprise expostos à iMessage Spy Attack
- SecOps ou DevSecOps – que bicho é este ? pra que serve?
- Microsoft lança patch para vulnerabilidade similar ao Specter e Meltdown
- Falhas no chipset da Qualcomm expõem milhões de dispositivos Android à hackers
- Apple suspende programa Siri após contestações sobre privacidade
- WPA3 o novo Protocolo de criptografia de Wi-Fi já apresenta sérias vulnerabilidades
- Cartões Visa Contactless Vulneráveis aos Fraudadores
- A #LGPD e o mito do advogado que entende de Dados
- PMEs subestimam seriamente sua vulnerabilidade a ataques cibernéticos
- Cofre de Senhas – Sugestões para uma implementação bem sucedida
- Microsoft Office 365 Webmail expõe o endereço IP do usuário em emails
4 Trackbacks / Pingbacks