Německý úřad pro ochranu osobních údajů (BfDI) udělil společnosti Vodafone pokutu ve výši 45
milionů eur za vážná porušení pravidel GDPR. Vyšetřování se zaměřilo na dvě oblasti — selhání v
kontrole dodavatelů služeb a slabiny v zákaznickém ověřování. Výsledky šetření ukázaly, že někteří z
obchodních partnerů operátora, kteří zajišťovali prodejní aktivity a vystupovali pod značkou
Vodafone, uzavírali smlouvy s klienty podvodným způsobem. Využívali fiktivní údaje nebo
jednostranně měnili podmínky již existujících kontraktů.
Z hlediska zpracování osobních údaj byli tito partneři v roli zpracovatelů osobních údajů. Vodafone
s nimi sice uzavřel zpracovatelské smlouvy podle článku 28 GDPR, nicméně odpovědnost za jejich
provinění padla na jeho hlavu jakožto správce osobních údajů. A to i proto, že jako správce osobních
údajů neprováděl dostatečný dohled nad tím, zda smluvní závazky v oblasti ochrany údajů tito
zpracovatelé skutečně dodržují.
Za nedostatečný dohled nad těmito agenturami byla společnosti uložena pokuta ve výši 15 milionů
eur. BfDI konstatoval, že Vodafone nezajistil přiměřenou kontrolu ani auditní mechanismy.
Vyšetřovatelé zároveň zjistili, že slabiny v interních IT systémech představovaly reálné riziko zneužití
dat. Toto riziko navíc bylo v mnoha případech i materializováno.
Ještě přísněji byl hodnocen způsob, jakým Vodafone ověřoval totožnost svých zákazníků při
využívání online portálu MeinVodafone a zákaznické linky. Tato kombinace umožnila neoprávněným
osobám získat přístup k eSIM cizích uživatelů. BfDI udělil za tyto nedostatky další pokutu ve výši 30
milionů eur. V tiskové zprávě BfDI zdůraznil, že zjištěné slabiny ve způsobu ověřování znamenaly
závažné porušení povinnosti přijmout technická a organizační opatření k ochraně dat.
Vodafone po zveřejnění výsledků šetření uvedl, že lituje dopadu na zákazníky a že přijal komplexní
opatření ke zlepšení. Došlo ke změně v rámci vedení společnosti, přehodnocení vnitřních procesů i
k revizi systému výběru a kontroly partnerských agentur. Společnost se zároveň distancovala od těch,
které se na podvodech přímo podílely. BfDI posléze ve svém prohlášení potvrdil, že operátor zavedl
nové bezpečnostní standardy a posílil ochranu uživatelských dat.