Newsletter GDPRhub tento týden shrnuje rozhodnutí dozorových úřadů a soudů z deseti evropských zemí – od italské dvoumilionové pokuty za neoprávněný prodej kontaktů na profesionály přes zrušení pokuty Amazonu ve Španělsku až po český případ anonymizace zdravotnických dat.

Italský Garante uložil pokutu dva miliony eur provozovateli předplatitelské B2B platformy, která shromažďovala a nabízela profesní kontaktní údaje bez platného právního základu. Úřad platformě vytkl porušení zásad transparentnosti a minimalizace údajů a chybějící opatření pro ochranu údajů už od návrhu, která by z databáze vyloučila kontakty veřejných funkcionářů. Ve druhém italském případě dostala společnost pokutu 6 600 eur za to, že bez souhlasu otevřela a vyklidila skříňku bývalého zaměstnance v jeho nepřítomnosti.

Španělský soud naopak zrušil dvoumilionovou pokutu, kterou tamní úřad původně uložil Amazonu. Soud dospěl k závěru, že výpis z rejstříku trestů potvrzující bezúhonnost nespadá pod zvláštní kategorii údajů o odsouzeních podle článku 10 GDPR, takže se na jeho zpracování přísnější režim nevztahuje. Ve druhém španělském rozhodnutí soud potvrdil pokutu 25 000 eur řetězci KFC – za nekonkrétní informace o zpracování údajů a za to, že si přes rozsáhlé a systematické sledování zákazníků nejmenoval pověřence pro ochranu osobních údajů. Katalánský úřad APDCAT pak sankcionoval městskou radu za zveřejnění finančních a citlivých údajů žadatelů o sociální bydlení a za nezodpovězení dvou žádostí úřadu o informace.

Rakouský úřad uložil marketingové agentuře pokutu 25 500 eur za to, že bez platného právního základu a bez informování uchazečů nahrávala a natrvalo ukládala telefonické pracovní pohovory, včetně skutečné identity zpracovatele, kterou uchazečům zamlčela. Rakouský soud v jiném případě potvrdil, že zveřejnění neanonymizovaného soudního rozsudku se jménem dotčené osoby na sociálních sítích porušilo její právo na utajení – anonymizace jména by přitom účel zveřejnění nijak neohrozila.