WhatsApp 因違反 GDPR 被愛爾蘭 DPC 罰款 550 萬歐元

愛爾蘭數據保護委員會 (DPC) 在確認 WhatsApp Ireland 違反《通用數據保護條例》(GDPR) 後，對其處以 550 萬歐元（595 萬美元）的罰款。

當局已命令 WhatsApp 在六個月內使其數據處理操作合規，否則將面臨新的罰款。

2018 年 5 月 25 日，DPC 在收到德國數據主體的投訴後，對 WhatsApp 可能違反法規的行為發起了調查。

同一天，WhatsApp 更新了其服務條款，並提示所有歐盟用戶通過單擊以繼續訪問應用程序的主界面來接受更改。

忽略用戶同意

提交給 DPC 的投訴稱，WhatsApp 通過將繼續使用該軟件作為條件來強迫用戶接受更改。 因此，用戶必須同意處理他們的個人數據才能打開應用程序。

這違反了 GDPR 第 7 條第 32 條的規定，該條要求必須在特定、知情和明確的基礎上自由給予用戶同意，不得施加壓力、影響或導致數據主體決策失衡的因素。

經過全面調查，DPC 得出以下結論：

1. WhatsApp Ireland 沒有明確說明請求的用戶數據處理的法律依據或明確原因，這違反了 GDPR 第 12 條和第 13 條。
2. WhatsApp Ireland 沒有因強制同意而違反第 7 條，因為該服務不依賴於用戶同意來提供其服務或將其用作處理個人用戶數據的合法依據。

第一點不會招致額外的處罰，因為 DPC 已經出於同樣的原因對 WhatsApp 處以巨額罰款。

“DPC 已經對 WhatsApp Ireland 處以 2.25 億歐元的巨額罰款，因為 WhatsApp Ireland 在同一時期內違反了這一義務和其他透明度義務，但並未提議實施任何進一步的罰款或糾正措施，因為 在之前的調查中已經這樣做了，”該決定的理由中寫道。

關於第二點，DPC駁回德國數據主體的指控並沒有結束案件，因為德國監管機構現在也將審查投訴。

WhatsApp Ireland 因違反 GDPR 第 6 條“處理的合法性”而被處以 550 萬歐元的罰款，該條要求數據保護流程具有透明度、合法性和公平性。

此外，DPC 將啟動一項新的調查，涵蓋 WhatsApp 在其服務中的所有處理操作，以確定是否違反了 GDPR 第 9 條“特殊類別個人數據的處理”。

數據保護機構想要確定 WhatsApp 是否出於行為廣告和營銷目的收集和處理敏感數據，以及這些數據是否也與任何第三方共享。

WhatsApp 告知 BleepingComputer，它計劃對該決定提出上訴，因為它認為其服務以合法合規的方式運營。 以下是 WhatsApp 發言人對 DPC 決定的完整評論：

WhatsApp 通過提供端到端加密和保護人們的隱私層，在私人消息傳遞領域處於行業領先地位。 我們堅信該服務的運作方式在技術和法律上都是合規的。

我們依賴於服務改進和安全目的的合同必要性，因為我們相信幫助確保人們的安全和提供創新產品是運營我們服務的基本責任。 我們不同意該決定，我們打算上訴。