【処分事例】フィンランド：保管期間を定めていなかったことを理由としてVerkkokauppa.com が €792,639 の制裁金を受ける

2026年7月30日　同社は、顧客アカウントに関して取得した個人データの保存期間を一切定めておらず、顧客自身が削除を要請するまでデータを無期限に保管していた。これは、GDPRの保存期間の制限(storage limitation)およびdata protection by defaultの原則に違反するものである。同社のオンラインストアでは、購入を完了するためにアカウント登録が必要であったため、このビジネスモデルの構造的特徴により、単発の取引に関するデータでさえ、処理の目的に必要な期間をはるかに超えて保管されていた。フィンランド最高行政裁判所は、管理者が保存期間の終了をデータ主体自身の行動に委ねることはできないこと、また、この違反が組織的かつ長期にわたる性質を持つことから、課された罰金が効果的、比例的かつ抑止力を持つものであると認定した。