Integritetsskyddsmyndigheten (IMY) har utfärdat en sanktionsavgift på 300 000 kronor mot CDON AB 300 för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att IMY har inlett tillsyn beträffande CDON med anledning av ett klagomål. Klagomålet gäller en påstådd överträdelse av bestämmelserna i kapitel V i dataskyddsförordningen kopplat till överföring av klagandens personuppgifter till tredjeland. Överföringen påstås ha skett när klaganden besökte bolagets webbplats, www.cdon.fi, genom verktyget Google Analytics som tillhandahålls av Google LLC.
Klagomålet har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 GDPR. Överlämnandet har skett från tillsynsmyndigheten i Österrike i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit tillsynsmyndigheterna i Tyskland, Norge, Estland, Danmark, Portugal, Spanien, Finland och Österrike.
Efter en genomgång av ärendet konstaterar IMY att CDON behandlar personuppgifter i strid med artikel 44 GDPR genom att sedan den 14 augusti 2020 och till dagen för detta beslut använda verktyget Google Analytics, på sin webbplats www.cdon.fi, och därigenom överfört personuppgifter till tredjeland utan att villkoren enligt kapitel V i förordningen är uppfyllda.
IMY förelägger med stöd av artikel 58.2 (d) GDPR CDON att se till att bolagets behandling av personuppgifter inom ramen för bolagets användning av verktyget Google Analytics överensstämmer med artikel 44 GDPR och övriga bestämmelser i kapitel V. Detta ska särskilt ske genom att CDON ska upphöra med att använda den version av verktyget Google Analytics som användes den 14 augusti 2020, om inte tillräckliga skyddsåtgärder vidtagits. Åtgärderna ska vara genomförda senast en månad efter att detta beslut vunnit laga kraft.
IMY beslutar med stöd av artiklarna 58.2 och 83 GDPR att CDON ska betala en administrativ sanktionsavgift på 300 000 kronor för överträdelse av artikel 44 GDPR.