Rumunský zaměstnavatel s otisky prstů v docházce, nizozemský soud k žalobám podle čl. 80 GDPR a kyperský poslanec bez součinnosti s úřadem: výběr rozhodnutí z GDPRhub
Týdenní přehled rozhodnutí dozorových úřadů a soudů přináší pokuty za biometrickou docházku, odmítnutí spolupráce s úřadem i spor o to, kdo smí zastupovat subjekty údajů.
Rumunský úřad ANSPDCP uložil zaměstnavateli pokutu 26 236 RON, tedy zhruba 5 000 eur, za nezákonné používání systému, který sleduje docházku zaměstnanců a vstupy do prostor na základě otisků prstů. Biometrické údaje patří mezi zvláštní kategorie osobních údajů a jejich zpracování vyžaduje zvláštní právní důvod. Zaměstnavatel musí být schopen prokázat, že stejného cíle nelze dosáhnout méně invazivním způsobem, například kartou nebo kódem.
Soud v Haagu se zabýval otázkou, zda komerční poskytovatel právních služeb může podat žalobu jménem subjektu údajů podle čl. 80 odst. 1 GDPR. Dospěl k závěru, že nemůže, protože nesplňuje požadavek, že zástupce nesmí působit za účelem zisku. Rozhodnutí je pro služby, které na hromadných žalobách podle GDPR stavějí svůj obchodní model, důležitým signálem.
Kyperský komisař pro ochranu osobních údajů uložil poslanci pokutu 6 000 eur za to, že nespolupracoval s úřadem podle čl. 31 GDPR. Poslanec odmítl plně vyhovět opakovaným požadavkům, aby dočasně pozastavil provoz své online platformy Agora. Případ připomíná, že povinnost spolupracovat s dozorovým úřadem se vztahuje na všechny správce bez ohledu na jejich postavení.
Estonský úřad se zabýval provozovatelem soukromého webu, který zveřejňoval dokumenty získané z veřejných rejstříků. Rozhodl, že provozovatel nezajistil, aby se zohlednila pozdější omezení přístupu, která vydaly orgány, a že oprávněný zájem nelze použít jako obecný právní základ pro všechny publikace.
Italský úřad uložil obci pokutu 5 000 eur za to, že bez právního základu sdělila zaměstnavateli oznámení dotyčného o šikaně na pracovišti, čímž porušila zásady zákonnosti, účelového omezení a minimalizace. Polský úřad pokutoval společnost částkou 31 507 PLN, tedy asi 7 200 eur, protože úřadu neposkytla přístup k osobním údajům a dalším informacím potřebným pro jeho činnost. Islandský úřad udělil napomenutí provozovateli letiště, který příliš pozdě a nedostatečně informoval o kamerovém systému a sledování registračních značek na letištních parkovištích.
Rakouský úřad napomenul novináře, který na sociální síti zveřejnil soudní rozhodnutí bez řádného začernění jména obviněného, čímž porušil zásadu minimalizace údajů. Finský úřad nařídil městu, aby osobní údaje žáků získané při používání digitálních výukových nástrojů zpracovávalo jen pro splnění vzdělávacích povinností správce. A rakouský soud konstatoval, že vydavatel adres není obecně povinen uchovávat informace o příjemcích osobních údajů, protože uchovávání jen pro účely žádosti o přístup by porušilo zásadu minimalizace.
Z přehledu lze vyčíst několik opakujících se témat: biometrika v zaměstnání, povinnost spolupracovat s úřadem, minimalizace údajů a přiměřenost informování. Švédskou pokutu pro poskytovatele systémů pro personalistiku a pracovní lékařství a francouzskou pokutu za nevyřízené žádosti o výmaz, které newsletter také zmiňuje, jsme přinesli v předchozích dávkách.
Zdroj
Další články
Chat Control se vrací: členské státy v Radě EU chtějí zavést „search plans“ a trvale legalizovat skenování soukromých zpráv
Rumunský zaměstnavatel s otisky prstů v docházce, nizozemský soud k žalobám podle čl. 80 GDPR a kyperský poslanec bez součinnosti s úřadem: výběr rozhodnutí z GDPRhub
