Szybka odpowiedź: Globalne egzekwowanie przepisów dotyczących prywatności przekroczyło 10,8 miliarda euro w łącznych karach od momentu wejścia w życie GDPR w 2018 roku, a pojedyncze kary regularnie przekraczają setki milionów euro. Koszt braku zgodności wykracza daleko poza samą karę; szkody reputacyjne, zakłócenia operacyjne i obowiązkowe działania naprawcze mogą przyćmić główną karę. Każda organizacja, która zbiera, przetwarza lub przekazuje dane osobowe, naraża się na znaczne ryzyko finansowe i prawne, jeśli jej praktyki dotyczące prywatności są niewystarczające.
Kluczowe informacje
- Na lipiec 2026 roku zarejestrowano ponad 5 679 działań egzekucyjnych związanych z GDPR i ePrivacy w 33 krajach europejskich, co łącznie daje ponad 10,8 miliarda euro w karach [5]
- Największa pojedyncza kara za naruszenie GDPR wynosi 1,2 miliarda euro, nałożona na Meta Platforms Ireland w 2023 roku za nielegalne transfery danych między UE a USA [1]
- W 2025 roku TikTok został ukarany kwotą 530 milionów euro przez Irlandzką Komisję Ochrony Danych za przesyłanie danych użytkowników do Chin bez odpowiednich zabezpieczeń [4]
- Sektor "Przemysł i handel" prowadzi we wszystkich sektorach z 572 zarejestrowanymi karami za naruszenie GDPR, a następnie Media, Telekomunikacja i Nadawanie z 358 [3]
- W latach 2022-2026 główne firmy technologiczne zostały łącznie ukarane kwotą 3,5 miliarda dolarów za wykorzystanie danych osobowych do szkolenia modeli AI [7]
- Najczęstsze naruszenia dotyczą niewystarczającej podstawy prawnej do przetwarzania (artykuł 6), nieprzestrzegania podstawowych zasad przetwarzania (artykuł 5) oraz niewystarczających środków bezpieczeństwa (artykuł 32) [8]
- Irlandia prowadzi we wszystkich państwach członkowskich UE z 3 miliardami euro w łącznych nałożonych karach, co odzwierciedla jej rolę jako siedziby UE dla większości dużych firm technologicznych [6]
- Kary za naruszenie GDPR mogą wynosić do 4% globalnego rocznego obrotu lub 20 milionów euro, w zależności od tego, która kwota jest wyższa, co czyni zgodność priorytetem finansowym na poziomie zarządu
Jakie są największe kary za naruszenie prywatności w historii?
Największe kary za naruszenie prywatności w historii koncentrują się w erze GDPR, z Meta, Amazon i TikTok zajmującymi czołowe pozycje. Irlandzka Komisja Ochrony Danych nałożyła najwyższą karę za naruszenie GDPR, wynoszącą 1,2 miliarda euro na Meta Platforms Ireland w maju 2023 roku, za przesyłanie danych użytkowników z UE na serwery w USA bez odpowiednich mechanizmów prawnych [1].
Największe kary za naruszenie GDPR według wysokości kary:
| Firma | Wysokość kary | Rok | Naruszenie |
|---|---|---|---|
| Meta Platforms Ireland | 1,2 miliarda euro | 2023 | Nielegalne transfery danych między UE a USA |
| Amazon Europe Core | 746 milionów euro | 2021 | Naruszenia zgody na reklamy |
| TikTok | 530 milionów euro | 2025 | Transfery danych do Chin bez SCC |
| Meta (WhatsApp) | 225 milionów euro | 2021 | Nieprzestrzeganie zasad przejrzystości |
| Meta (Instagram) | 405 milionów euro | 2022 | Niewłaściwe zarządzanie danymi dzieci |
Od 2023 roku egzekwowanie przepisów znacznie przyspieszyło, a regulatorzy coraz częściej koncentrują się na transgranicznych transferach danych i praktykach związanych z danymi reklamowymi [9]. Średnia kara za naruszenie GDPR wynosi obecnie około 3 milionów euro, chociaż mediana kary jest znacznie wyższa i wynosi 8,2 miliona euro, co jest wynikiem dużych kar nałożonych na duże platformy technologiczne [6].
Ile Meta zapłaciło za naruszenia prywatności?
Meta zgromadziła największe łączne obciążenie kar za naruszenie GDPR spośród wszystkich firm. W ramach wielu działań egzekucyjnych dotyczących WhatsApp, Instagram i jej głównej platformy, łączne kary za naruszenie GDPR Meta przekraczają 2 miliardy euro, przy czym sama kara za transfer w wysokości 1,2 miliarda euro stanowi największą karę za naruszenie prywatności kiedykolwiek nałożoną na podstawie GDPR [1].
Orzeczenie z 2023 roku koncentrowało się na poleganiu Meta na Standardowych Klauzulach Umownych (SCC) w celu uzasadnienia transatlantyckich przepływów danych po unieważnieniu Tarczy Prywatności UE-USA. Regulatorzy stwierdzili, że same SCC są niewystarczające, biorąc pod uwagę amerykańskie przepisy dotyczące nadzoru, co wymusiło na Meta wstrzymanie transferów UE-USA i wdrożenie dodatkowych środków technicznych.
Co się stanie, jeśli nie przestrzegasz przepisów dotyczących prywatności?
Brak zgodności wywołuje kaskadę konsekwencji, które wykraczają daleko poza początkową karę. Kary regulacyjne to tylko najbardziej widoczny element; rzeczywisty koszt braku zgodności obejmuje obowiązkowe audyty, naprawy systemów, koszty prawne oraz szkody reputacyjne, które mogą tłumić pozyskiwanie klientów przez lata.
Specyficzne konsekwencje obejmują:
- Kary administracyjne do 4% globalnego rocznego obrotu na podstawie GDPR
- Zamówienia egzekucyjne wymagające wstrzymania działalności przetwarzania danych
- Obowiązkowe powiadomienia o naruszeniach danych do osób, których to dotyczy (kosztowne w skali)
- Postępowania cywilne od osób, których dane dotyczą, w tym pozwy zbiorowe
- Szkody reputacyjne mierzone w odpływie klientów i zmniejszonym zaufaniu do marki
- Zakłócenia operacyjne wynikające z wymuszonych zmian w architekturze danych
W 2025 roku powiadomienia o naruszeniach danych wzrosły o 22% w porównaniu do roku poprzedniego, średnio 443 powiadomienia dziennie wśród organów nadzorczych UE, z każdym powiadomieniem potencjalnie wywołującym dalsze kontrole regulacyjne [2].
Jak obliczane są kary za naruszenie prywatności?
Kary za naruszenie GDPR są obliczane na podstawie struktury warstwowej, w której uwzględnia się ciężkość naruszenia, współpracę organizacji z regulatorami oraz zakres szkód. Regulatorzy nie stosują stałej formuły; zamiast tego oceniają zestaw kryteriów ustawowych.
Kluczowe czynniki zwiększające surowość kary:
- Charakter i czas trwania naruszenia
- Liczba osób, których dane dotyczą
- Zamiar vs. niedbalstwo w charakterze naruszenia
- Poprzednie naruszenia przez tę samą organizację
- Korzyść finansowa uzyskana z naruszenia
- Brak współpracy z organem nadzorczym
Czynniki łagodzące obejmują proaktywną współpracę, wczesne ujawnienie oraz wykazane kroki w celu naprawy szkód. Na podstawie GDPR, naruszenia poziomu 1 (np. niewystarczające zabezpieczenia) wiążą się z karami do 10 milionów euro lub 2% globalnego obrotu, podczas gdy naruszenia poziomu 2 (np. nielegalne przetwarzanie) sięgają 20 milionów euro lub 4% globalnego obrotu.
Które kraje mają najsurowsze kary za naruszenie prywatności?
Irlandia, Luksemburg i Francja nakładają najwyższe łączne kwoty kar w UE, głównie dlatego, że w tych jurysdykcjach mają siedzibę duże firmy technologiczne. Irlandia sama w sobie odpowiada za 3 miliardy euro w łącznych karach za naruszenie GDPR, co odzwierciedla jej status jako europejskiej siedziby dla Meta, Apple, Google i TikTok [6].
Poza UE, Stany Zjednoczone egzekwują przepisy dotyczące prywatności głównie za pośrednictwem Federalnej Komisji Handlu (FTC) oraz przepisów specyficznych dla sektorów, takich jak HIPAA i COPPA. USA nie mają jednego federalnego prawa dotyczącego prywatności, które odpowiadałoby GDPR, ale ramy na poziomie stanowym, takie jak CCPA/CPRA w Kalifornii, CDPA w Wirginii i inne, stają się coraz bardziej aktywne. Chińska Ustawa o Ochronie Danych Osobowych (PIPL) i brazylijska LGPD również wiążą się z istotnymi karami, chociaż dojrzałość egzekwowania różni się.
Jaka jest różnica między karami GDPR a CCPA?
Kary GDPR i CCPA różnią się znacznie pod względem struktury kar, mechanizmów egzekwowania i zakresu geograficznego. GDPR ma zastosowanie do każdej organizacji przetwarzającej dane mieszkańców UE, niezależnie od tego, gdzie ma siedzibę, podczas gdy CCPA dotyczy wyłącznie firm nastawionych na zysk, które spełniają określone progi i zbierają dane mieszkańców Kalifornii.
Porównanie kar GDPR i CCPA:
| Czynnik | GDPR | CCPA/CPRA |
|---|---|---|
| Maksymalna kara | 4% globalnego obrotu lub 20 mln euro | 7 500 dolarów za celowe naruszenie |
| Egzekwowane przez | Krajowe organy nadzorcze | Prokurator Generalny Kalifornii / CPPA |
| Prawo do działania prywatnego | Ograniczone (naruszenia danych) | Tak, za naruszenia danych |
| Zakres | Mieszkańcy UE na całym świecie | Mieszkańcy Kalifornii |
| Dotyczy | Organizacji każdej wielkości | Firm spełniających progi przychodów/danych |
Praktyczne implikacje: GDPR wiąże się z znacznie większym ryzykiem finansowym dla dużych przedsiębiorstw, podczas gdy struktura CCPA za naruszenie na poziomie jednostkowym może szybko się kumulować dla firm z dużymi bazami użytkowników w Kalifornii i systematyczną niezgodnością.
Które branże są najbardziej narażone na kary za naruszenie prywatności?
Sektor Przemysłu i Handlu prowadzi we wszystkich sektorach pod względem liczby kar za naruszenie GDPR, z 572 zarejestrowanymi karami na marzec 2026 roku, a następnie Media, Telekomunikacja i Nadawanie z 358 [3]. Platformy technologiczne, usługi finansowe i organizacje ochrony zdrowia regularnie znajdują się wśród najbardziej ukaranych.
Branże z nieproporcjonalnym narażeniem obejmują:
- Technologia i media społecznościowe, wysokie wolumeny danych, transgraniczne transfery, modele biznesowe oparte na reklamie
- Usługi finansowe, wrażliwe dane finansowe, złożone umowy dotyczące udostępniania danych osobom trzecim
- Ochrona zdrowia, dane specjalnej kategorii na podstawie artykułu 9 GDPR, surowe wymagania dotyczące powiadamiania o naruszeniach
- Handel detaliczny i e-commerce, zgoda na pliki cookie, śledzenie behawioralne i praktyki dotyczące danych programów lojalnościowych
- Telekomunikacja, dane subskrybentów w dużej skali, dane lokalizacyjne i obowiązki wynikające z Dyrektywy ePrivacy
Czy małe firmy mogą sobie pozwolić na zgodność z przepisami dotyczącymi prywatności?
Zgodność z przepisami dotyczącymi prywatności nie jest wyłącznie problemem dużych przedsiębiorstw, ale proporcjonalny koszt obciążenia spoczywa bardziej na mniejszych organizacjach. Małe firmy mogą wdrożyć podstawowe środki zgodności przy stosunkowo niskich kosztach, szczególnie korzystając z narzędzi do zarządzania zgodą i prowadząc jasne rejestry przetwarzania danych.
Praktyczna baza dla małych firm obejmuje:
- Przeprowadzenie ćwiczenia mapowania danych, aby zidentyfikować, jakie dane osobowe są zbierane i dlaczego
- Publikowanie jasnej, dokładnej polityki prywatności
- Wdrożenie platformy zarządzania zgodą dla zgody na pliki cookie i śledzenie
- Ustanowienie procesu obsługi wniosków o dostęp do danych przez osoby, których to dotyczy
- Dokumentowanie podstawy prawnej dla każdej działalności przetwarzania
Narzędzia takie jak Biscotti CMP zapewniają strukturalną infrastrukturę zarządzania zgodą, która pomaga właścicielom stron internetowych i małym firmom wykazać zgodność z wymaganiami GDPR i ePrivacy bez potrzeby posiadania dedykowanych zespołów prawnych. Koszt takich narzędzi jest znacznie niższy niż nawet niewielka kara regulacyjna.
Jakie są powszechne błędy dotyczące prywatności, które prowadzą do kar?
Najczęściej karane naruszenia na podstawie GDPR dotyczą niewystarczającej podstawy prawnej do przetwarzania danych, nieprzestrzegania podstawowych zasad przetwarzania oraz niewystarczających środków bezpieczeństwa technicznego [8]. Wiele kar wynika z systematycznych praktyk, a nie jednorazowych błędów.
Powszechne naruszenia prowadzące do działań egzekucyjnych:
- Przetwarzanie danych osobowych bez ważnej podstawy prawnej (artykuł 6)
- Nieuzyskanie ważnej, świadomej zgody na pliki cookie i śledzenie
- Niewystarczające procedury wykrywania i powiadamiania o naruszeniach danych
- Przesyłanie danych do krajów trzecich bez odpowiednich zabezpieczeń
- Przechowywanie danych dłużej niż to konieczne dla określonego celu
- Zapewnienie niewystarczającej przejrzystości w powiadomieniach o prywatności
- Nieprzestrzeganie praw osób, których dane dotyczą (dostęp, usunięcie, przenośność)
"Najczęstsze naruszenia GDPR obejmują niewystarczającą podstawę prawną do przetwarzania danych (artykuł 6), naruszenia podstawowych zasad przetwarzania (artykuł 5) oraz niewystarczające środki bezpieczeństwa (artykuł 32)." [8]
Jak firmy unikają naruszeń prywatności i kar?
Unikanie kar wymaga traktowania zgodności z przepisami dotyczącymi prywatności jako ciągłej dyscypliny operacyjnej, a nie jednorazowego ćwiczenia dokumentacyjnego. Organizacje, które inwestują w architekturę "privacy-by-design", szkolenie personelu i regularne audyty zgodności, konsekwentnie wykazują niższe ryzyko egzekwowania przepisów.
Kluczowe środki zapobiegawcze:
- Wyznaczenie Inspektora Ochrony Danych (DPO), jeśli jest to wymagane na podstawie artykułu 37 GDPR
- Przeprowadzenie Oceny Skutków Przetwarzania Danych (DPIA) dla przetwarzania wysokiego ryzyka
- Utrzymywanie Rejestru Działań Przetwarzania (RoPA) na podstawie artykułu 30
- Wdrożenie i regularne testowanie planu reakcji na naruszenia danych
- Używanie zgodnej platformy zarządzania zgodą dla wszystkich zbiorów danych w sieci
- Coroczna weryfikacja umów z przetwórcami danych osób trzecich
- Proaktywne monitorowanie wskazówek regulacyjnych od organów nadzorczych
Czy kary za naruszenia prywatności rzeczywiście zmieniają zachowanie firm?
Dowody sugerują, że wysokie kary rzeczywiście wpływają na zmianę zachowań, ale efekt jest silniejszy, gdy egzekwowanie jest spójne i publiczne. Przyspieszenie egzekwowania przepisów od 2023 roku, szczególnie w odniesieniu do praktyk związanych z danymi AI, skłoniło wiele organizacji do proaktywnego restrukturyzowania programów zarządzania danymi [9].
W latach 2022-2026 główne firmy technologiczne zostały łącznie ukarane kwotą 3,5 miliarda dolarów za wykorzystanie danych osobowych do szkolenia modeli AI bez odpowiedniej podstawy prawnej, przy czym Anthropic i Meta poniosły największe indywidualne kary w wysokości odpowiednio 1,5 miliarda i 1,4 miliarda dolarów [7]. Te kary znacząco zmieniły sposób, w jaki zespoły zajmujące się rozwojem AI podchodzą do pozyskiwania danych do szkolenia i dokumentacji zgody.
Jednak dla organizacji, w których kara jest niewielka w porównaniu do przychodów generowanych przez praktykę niezgodną, odstraszanie jest słabsze. Dlatego struktura kar oparta na obrotach w GDPR została zaprojektowana tak, aby skalować się z wielkością firmy.
Czy zgodność z przepisami dotyczącymi prywatności jest warta kosztów?
Tak, gdy porównuje się to z pełnym kosztem braku zgodności, inwestycja w zgodność z przepisami dotyczącymi prywatności konsekwentnie przynosi pozytywne zwroty. Średnia kara za naruszenie GDPR wynosząca około 3 miliony euro [6], w połączeniu z kosztami naprawy, opłatami prawnymi i szkodami reputacyjnymi, znacznie przewyższa roczny koszt strukturalnego programu zgodności dla większości organizacji.
Obliczenia są proste dla przedsiębiorstw: proaktywny program zgodności, który kosztuje dziesiątki tysięcy rocznie, eliminuje narażenie na kary, które mogą sięgać setek milionów. Dla mniejszych organizacji matematyka jest równie jasna; nawet niewielka kara w zakresie 10 000-50 000 euro (typowa dla mniejszych firm) może być egzystencjalnie szkodliwa.
Jak długo trwa odzyskiwanie po karze za naruszenie prywatności?
Odzyskiwanie po poważnej karze za naruszenie prywatności zazwyczaj trwa od dwóch do pięciu lat, uwzględniając ugodę finansową, obowiązkowe działania naprawcze, nadzór regulacyjny i rehabilitację reputacji. Wpływ operacyjny często trwa dłużej niż kara finansowa.
Po znaczącej akcji egzekucyjnej organizacje zazwyczaj stają w obliczu:
- Okresu wzmocnionej kontroli regulacyjnej trwającego 12-36 miesięcy
- Obowiązkowych zmian technicznych i organizacyjnych z określonymi terminami wdrożenia
- Bieżącego raportowania zgodności do organu nadzorczego
- Erozji zaufania klientów, która wymaga ciągłych działań na rzecz przejrzystości, aby ją odwrócić
Dla firm, które otrzymują nakazy wstrzymania transferów wraz z karami, jak Meta w 2023 roku, zakłócenia operacyjne związane z restrukturyzacją przepływów danych mogą kosztować więcej niż sama kara.
FAQ
Jaka jest największa kara za naruszenie GDPR, jaka kiedykolwiek została nałożona?
Największa pojedyncza kara za naruszenie GDPR wynosi 1,2 miliarda euro, nałożona na Meta Platforms Ireland przez Irlandzką Komisję Ochrony Danych w maju 2023 roku za nielegalne przesyłanie danych użytkowników z UE do Stanów Zjednoczonych bez odpowiednich zabezpieczeń prawnych [1].
Ile kar za naruszenie GDPR zostało nałożonych łącznie?
Na lipiec 2026 roku zarejestrowano ponad 5 679 działań egzekucyjnych związanych z GDPR i ePrivacy w 33 krajach europejskich, co łącznie daje ponad 10,8 miliarda euro w karach [5].
Która firma zapłaciła najwięcej w karach za naruszenie GDPR?
Meta zgromadziła najwyższe łączne obciążenie kar za naruszenie GDPR, z karami na swoich platformach (Facebook, Instagram, WhatsApp) przekraczającymi 2 miliardy euro łącznie.
Czy mała strona internetowa może zostać ukarana na podstawie GDPR?
Tak. GDPR ma zastosowanie do każdej organizacji, która przetwarza dane osobowe mieszkańców UE, niezależnie od wielkości firmy. Organy nadzorcze nałożyły kary na małe firmy, szczególnie za naruszenia zgody na pliki cookie i niewystarczające powiadomienia o prywatności.
Jaka jest różnica między karą za naruszenie GDPR a karą za naruszenie CCPA?
Kary GDPR mogą wynosić do 4% globalnego rocznego obrotu lub 20 milionów euro. Kary CCPA są ograniczone do 7 500 dolarów za celowe naruszenie. GDPR wiąże się z znacznie większym ryzykiem finansowym dla dużych organizacji działających globalnie.
Co wywołuje dochodzenie w sprawie GDPR?
Dochodzenia są zazwyczaj wywoływane przez powiadomienia o naruszeniach danych, skargi od osób, których dane dotyczą, skargi od innych organów nadzorczych lub proaktywne audyty przeprowadzane przez krajowe organy ochrony danych.
Czy kary związane z prywatnością AI rosną?
Tak. W latach 2022-2026 główne firmy technologiczne zostały ukarane łącznie kwotą 3,5 miliarda dolarów za wykorzystanie danych osobowych do szkolenia modeli AI bez odpowiedniej podstawy prawnej, a regulatorzy sygnalizowali, że egzekwowanie związane z AI będzie się nadal nasilać [7].
Jakie jest najczęstsze naruszenie GDPR?
Niewystarczająca podstawa prawna do przetwarzania danych na podstawie artykułu 6 jest najczęściej cytowanym naruszeniem w działaniach egzekucyjnych związanych z GDPR, a następnie naruszenia podstawowych zasad przetwarzania na podstawie artykułu 5 [8].
Czy zapłacenie kary kończy sprawę regulacyjną?
Nie koniecznie. Kary często są związane z nakazami egzekucyjnymi wymagającymi określonych kroków naprawczych, a organizacje mogą pozostać pod wzmocnionym nadzorem przez lata po zapłaceniu kary.
Jaką rolę odgrywa platforma zarządzania zgodą w zgodności?
Platforma zarządzania zgodą (CMP) pomaga organizacjom zbierać, rejestrować i zarządzać zgodą użytkowników na pliki cookie i technologie śledzenia, bezpośrednio rozwiązując jedną z najczęściej karanych luk w zgodności w ramach przepisów GDPR i ePrivacy.
Podsumowanie
Koszt braku zgodności, analizowany przez pryzmat największych globalnych kar za naruszenie prywatności, stanowi przekonujący argument finansowy na rzecz proaktywnego zarządzania danymi. Z łącznymi karami za naruszenie GDPR, które teraz przekraczają 10,8 miliarda euro, a egzekwowanie nie wykazuje oznak spowolnienia, zgodność z przepisami dotyczącymi prywatności nie jest już tylko formalnością prawną; jest to kluczowa funkcja zarządzania ryzykiem biznesowym [5].
Wykonalne kroki dla organizacji każdej wielkości:
- Audytuj swoje praktyki zbierania danych w odniesieniu do podstaw prawnych dozwolonych na mocy GDPR lub obowiązującego lokalnego prawa, zidentyfikuj wszelkie przetwarzanie, które nie ma jasnego, udokumentowanego uzasadnienia.
- Wdroż strukturalne zarządzanie zgodą dla wszelkiego internetowego śledzenia i użycia plików cookie. Narzędzie zaprojektowane do tego celu, takie jak Biscotti CMP, zapewnia rejestry zgody i ślad audytowy, których oczekują regulatorzy.
- Przejrzyj transgraniczne transfery danych, szczególnie jeśli Twoja organizacja korzysta z usług chmurowych, platform analitycznych lub narzędzi AI z siedzibą w USA, które przetwarzają dane osobowe z UE.
- Ustanów plan reakcji na naruszenia z określonymi terminami powiadamiania, biorąc pod uwagę, że powiadomienia o naruszeniach wzrosły o 22% tylko w 2025 roku [2].
- Dokładnie monitoruj praktyki związane z danymi AI, ponieważ jest to najszybciej rozwijający się obszar egzekwowania przepisów na całym świecie [7].
Zgodność z przepisami dotyczącymi prywatności nie jest celem, to ciągła dyscyplina operacyjna. Organizacje, które traktują to w ten sposób, unikają stania się kolejnym wpisem na rosnącej liście kosztownych działań egzekucyjnych.
Źródła
[1] Statistics - https://www.enforcementtracker.com/statistics?utm_source=openai
[2] DLA Piper GDPR Fines and Data Breach Survey January 2026 - https://www.dlapiper.com/en-ca/insights/publications/2026/01/dla-piper-gdpr-fines-and-data-breach-survey-january-2026?utm_source=openai
[3] GDPR Fines Number by Industry - https://www.statista.com/statistics/1558502/gdpr-fines-number-by-by-industry/?utm_source=openai
[4] GDPR Fines Tracker 2025-2026 - https://compliance-kit.eu/en/knowledge/gdpr-fines-tracker-2025-2026?utm_source=openai
[5] cookiefines.eu - https://cookiefines.eu/?utm_source=openai
[6] GDPR Fine Statistics - https://gdprfine.com/statistics?utm_source=openai
[7] Big Tech Slapped with $3.5bn in Fines for Using Personal Data to Train AI - https://www.techradar.com/vpn/vpn-services/big-tech-slapped-with-usd3-5bn-in-fines-for-using-your-personal-data-to-train-ai-and-it-could-be-only-the-beginning-warns-surfshark?utm_source=openai
[8] GDPR Fines Statistics - https://compliancedocshq.com/learn/gdpr-fines-statistics?utm_source=openai
[9] GDPR Fines to Date: Biggest Penalties and Violations - https://legalclarity.org/gdpr-fines-to-date-biggest-penalties-and-violations/?utm_source=openai