UODO: Noves tendències de aplicació 2024-2025
UODO (Urząd Ochrony Danych Osobowych — Oficina de Protecció de Dades de Polònia) emitió 45+ decisiones de aplicació en 2024, superant els volums de control del ICO (37 decisiones), CNIL (32) i altres DPAs europees.
Tendències clau:
- Énfasis en drets de subjectes de dades: 40% de les decisiones involucren denegació de drets d'accés/esborrat
- Foc en empreses de tecnologia: 30% de les decisiones involucren Google, Facebook, TikTok, Cloudflare
- Sancions per manca de consentiment: 25% de les decisiones involucren consentiment defectuós per a publicitat dirigida
- Seguretat de dades negligent: 20% involucren breaches de dades o control d'accés inadequat
Casos representatius UODO (2024-2025)
Cas 1: Google Ireland Limited (Oct 2024)
- Decisió: Manca de consentiment explícit per a seguiment de cookies per a publicitat dirigida
- Multa: €90 milions
- Base legal: GDPR Articles 7, 21 (consentiment)
- Implicacions: Organitzacions no poten assumir consentiment implícit en banner de cookies; cal opt-in explícit
Cas 2: ONET.pl (Maj 2024)
- Decisió: Manca de base legal per a processament de dades de localització
- Multa: €1.2 milions
- Base legal: GDPR Article 6 (base legal)
- Implicacions: Processament de localització requereix legal base explícita, no consentiment implícit
Cas 3: Impyre Holdings (Febrer 2024)
- Decisió: Denegació de dret d'accés per a dades de usuari
- Multa: €800.000
- Base legal: GDPR Article 15 (dret d'accés)
- Implicacions: Els responsables de dades han de proporcionar accés dins de 30 dies; denegacions requereixen justificació legal específica
Aplicació de UODO: Procés i cronograma
Fase 1: Queixa o investigació iniciada (0 mesos)
- UODO rep queixa de subjecte de dades o inicia investigació d'ofici
Fase 2: Investigació formal (6-12 mesos)
- UODO envia sol·licitud de informació al responsable de dades
- Responsable de dades té 30 dies per a respondre
- UODO pot realitzar auditoria del lloc
Fase 3: Decisió (9-18 mesos)
- UODO emet decisió formal amb hallazgos
- Si s'identifica violació: opció de remei voluntari (típicament 6 mesos)
- Si el responsable de dades no remedeia, UODO pot imposer multa
Fase 4: Multa (si es necessari) (12-24 mesos)
- UODO imposa multa de conformitat a GDPR Article 83
- Multa pot oscilar de €20.000 a €20.000.000 o 4% del ingrés global
- El responsable de dades pot apelar a tribunal dins de 30 dies
Implicacions de conformitat per a organitzacions
Checklist para evitar sancions de UODO:
- Consentiment explícit: Usar cookie banners amb opt-in (no opt-out) per a publicitat dirigida
- Base legal documentada: Per a cada processament de dades, registrar legal base (consentiment, contracte, obligació legal, etc.)
- Dret d'accés: Implementar procés per respondre a sol·licitudes d'accés dins de 30 dies
- Dret a l'esborrat: Implementar procés per esborrar dades personals dins de 30 dies quan es demani
- Privacitat per disseny: Usar anonimització/pseudonimització per a dades de localització
- Notificació de violació: Procés per notificar violacions de dades a UODO dins de 72 hores
- DPIA: Per a processament de dades de risc elevat, realitzar Data Protection Impact Assessment
Fonts: