RODOaktualności #47 - Nagana za RODO-braki | Data Act | Transfer danych do USA | Dior vs. Chiny

Cześć! Dlaczego u RODO upomniał przedsiębiorcę, który pozycjonował strony internetowe i przetwarzał powierzone dane osobowe? Czyli o jakich RODO-obowiązkach lepiej nie zapominać? Czy akt w sprawie danych zastąpi RODO, czy raczej stanie się jego uzupełnieniem? Czyli najnowsze prawo regulujące przetwarzanie danych osobowych właśnie zaczęło obowiązywać? 3. Czy transfery danych osobowych z Unii Europejskiej do USA są zagrożone? Czyli mamy ważną decyzję Trybunału Sprawiedliwości Unii Europejskiej . No i 4. Francuski Dior vs. Chińskie RODO. Czyli czy to możliwe, żeby europejskie korporacje zostały ukarane poza Unią Europejską za brak stosowania odpowiednich standardów ochrony danych osobowych w tym kraju poza Unią Europejską?

Bez tego przekaz danych wciąż będzie możliwy, ale będzie znacznie bardziej ryzykowny. Jak to zrobić? Wejdź na adres www.dataprivacyframework.gov. Link znajdziesz też na dole w opisie odcinka. A następnie przejdź do zakładki Data Privacy Framework List i korzystając z wyszukiwarki sprawdź czy amerykański dostawca usług, któremu powierzasz dane osobowe znajduje się na tej liście. Przechodzimy do ostatniego, czwartego RODO-newsa. We wrześniu 2025 roku chińskie organy regulacyjne nałożyły karę finansową na szanghajską spółkę-córkę francuskiej korporacji Dior.

Za co Dior otrzymał karę finansową? Za nielegalny transfer danych osobowych chińskich klientów do Francji. Dlaczego ta kara finansowa jest tak wyjątkowa? Ano dlatego, że jest to precedensowy przypadek egzekwowania nowych chińskich przepisów o ochronie danych i pierwsza tak medialna kara od czasu wejścia w życie chińskiej ustawy o ochronie danych osobowych. Tak, tak, Chińczycy też mają swoje RODO i GDPR-a, tylko nazywa się nieco inaczej, bo PIPL, czyli Personal Information Protection Law. Przepisy obowiązują od 2021 roku. A za co konkretnie Dior otrzymał karę finansową? Chińskie dochodzenie wykazało aż trzy poważne naruszenia prawa.

Po pierwsze, firma nie zastosowała legalnych mechanizmów pozwalających na przekazanie danych z zagranicy. Po drugie, Nie poinformowała użytkowników ani nie uzyskała ich zgody na transfer danych. No i po trzecie wreszcie, francuska firma nie zabezpieczyła odpowiednio przesyłanych informacji, nie zastosowała szyfrowania ani anonimizacji. A jak cała sprawa ujrzała światło dzienne? Bo tutaj też jest interesująco. Problemy zaczęły się od wycieku danych klientów Diora. W maju 2025 roku media doniosły o nieautoryzowanym dostępie do bazy danych Dior. Osoba z zewnątrz uzyskała dostęp do części informacji o klientach.

Firma potwierdziła wówczas, że doszło do naruszenia poufności. Ujawniono dane osobowe klientów z Chin i teoretycznie były to tylko podstawowe dane, takie jak imię, nazwisko, płeć, numer telefonu, e-mail, adres korespondencyjny czy preferencje zakupowe. Firma uspokajała Wyciek nie objął danych finansowych, np. numerów kont czy kart kredytowych. Ale nawet tak wydawałoby się nieduży zakres danych, jakie wyciekły, okazał się niebezpieczny dla klientów. Już po kilku dniach od nagłośnienia incydentu w mediach pojawiły się w socialach relacje klientów Którzy dostali telefony od oszustów podszywających się pod Diora.

Jeśli Twoja organizacja działa globalnie, również poza Unią Europejską, musisz pamiętać, żeby być zgodnym nie tylko z unijnymi przepisami o ochronie danych osobowych, czyli RODO. W swoim procesie mapowania ryzyk musisz uwzględnić też nowe potencjalne ryzyko i kolejny obszar, w którym powinieneś czy powinnaś być zgodny. Pamiętaj o tym, że na świecie jest coraz więcej państw, które wdrażają swoje GDPRy, że wymienię tylko niektóre amerykańskie Stany z Kalifornią na czele, Koreę Południową, Ukrainę, Indie, Brazylię, Japonię, Australię, Kanadę, Szwajcarię, Nową Zelandię, Rosję, Meksyk, Turcję, RPA, Argentynę czy właśnie Chiny. Dlatego jeśli transferujesz dane osobowe z tych państw do innych spółek z grupy, koniecznie przeanalizuj też lokalne prawodawstwo w obszarze ochrony danych.