Prima sancțiune GDPR în SUEDIA: monitorizarea ilegală a elevilor

Amenzi GDPR

Vizualizari: 3461

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Autoritatea de supraveghere suedeză, Datainspektion, a anunțat ieri (21.08.2019) impunerea primei sale amenzi din era GDPR.

O unitate de învățământ fost prima „victimă”

O școală din Skellefteå a încercat să folosească o cameră cu recunoaștere facială pentru a înregistra prezența elevilor în clasă.

Datele biometrice, care sunt utilizate pentru recunoașterea facială, sunt considerate categorii speciale de date cu caracter personal conform articolului 9 GDPR, și este necesară o excepție specifică pentru a le putea prelucra. 

Liceul a susținut că au obținut consimțământul explicit din partea celor 22 de elevi afectați însă autoritatea suedeză a decis că respectivele consimțăminte nu întrunesc condițiile de valabilitate. 

Amenda, cât e amenda?

Valoarea amenzii a fost una moderată, 200 000 SEK reprezentând aproximativ 20 000 EURO. La stabilirea cuantumului amenzii a fost luat în considerare faptul că Skellefteå este o entitate publică și că prelucrarea ilegală s-a realizat într-o perioadă limitată. Amenzile maxime pentru entitățile publice din Suedia sunt 10.000.000 SEK, adică aproape 1.000.000 Euro. 

Nu putem să nu subliniem faptul că amenda maximă pentru entitățile publice suedeze este cu muuult peste valoarea maximă prevăzută de legea 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 pentru entitățile publice române (100.000 lei reprezentând aproximativ 21.000 euro).

Concluziile autorității suedeze:

  • utilizarea unei camere cu recunoașterea facială a elevilor presupune monitorizarea continuă a acestora în mediul lor zilnic
  • monitorizarea facială a reprezentat o încălcare a intimității lor
  • controlul prezenței la clasă se poate face într-un mod mai puțin intruziv

Dezechilibrul de putere

Considerentul 43 indică în mod clar că este puțin probabil ca autoritățile publice pot să se bazeze pe consimțământul acordat pentru Prelucrarea datelor întrucât de fiecare dată când Operatorul este o autoritate publică, deseori există un dezechilibru clar al puterilor în relația dintre Operator și persoana vizată” opinează Grupul de lucru „Articolul 29” (WP29) in ghidul intitulat „Orientări asupra Consimțământului în temeiul Regulamentului 2016/679”, adoptat la 28 noiembrie 2017 si revizuit la 10 aprilie 2018. Vizualizează sau descarcă ghidu aici.

Mai mult,  WP29 consideră problematică prelucrarea de către angajator a datelor cu caracter personal a angajaților pe baza consimțământului, având în vedere că acesta este puțin probabil de a fi oferit în mod liber.

Prin urmare, angajații nu sunt aproape niciodată în măsură să își exprime, să refuze sau să își revoce în mod liber consimțământul, având în vedere dependența care rezultă din relația dintre angajator și angajat, același dezechilibru de putere existând și în relația elev-școală.

Obținerea unui consimțământ valabil este una dintre cele mai mari provocări în procesul de aliniere la GDPR. Este mereu ultimul dintre cele 6 temeiuri pe care ne putem baza atunci când prelucrăm date personale. Mai mult, existența acestuia trebuie sa poată fi dovedită și totodată să poată fi retras în orice moment.

Astfel, este de preferat să prelucrați date în baza consimțământului doar dacă nu exista alta variantă și doar dacă acesta poate fi obținut prin respectarea criteriilor de valabilitate:

  • liber exprimat;
  • specific;
  • informat;
  • lipsită de ambiguitate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate.

Citește aici cum poți efectua monitorizarea video cu respectarea GDPR. 

 

INTRA ACUM în grupul WhatsApp "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Banca Comercială Română amendată cu 5000 EURO pentru prelucrarea datelor prin aplicația Whatsapp

Amenzi GDPR

Vizualizari: 8650

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Autoritatea Națională de Supraveghere a finalizat, în data de 14.04.2020, o investigație la operatorul Banca Comercială Română S.A., constatând încălcarea dispozițiilor referitoare la securitatea prelucrării, respectiv art. 32 alin. (4) coroborat cu art. 32 alin. (1) și alin. (2) din Regulamentul General privind Protecția Datelor.

Operatorul Banca Comercială Română S.A. a fost sancționat contravențional cu amendă în cuantum de 24163,50 lei, echivalentul sumei de 5000 EURO.

Investigația a fost demarată în urma primirii unei plângeri, iar în cursul desfășurării acesteia, Autoritatea Națională de Supraveghere a constatat că Banca Comercială Română S.A. nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării. În același timp, operatorul nu a luat măsuri pentru a asigura că orice persoană fizică care acționează sub autoritatea sa și care are acces la date cu caracter personal nu le prelucrează decât la cererea sa, cu excepția cazului în care această obligație îi revine în temeiul dreptului Uniunii sau al dreptului intern.

Astfel, s-a constatat că a avut loc o colectare a copiilor actelor de identitate ale clienților persoanelor fizice (minori și reprezentanți legali) prin intermediul telefonului personal al unei angajate a operatorului, precum și transmiteri ale copiilor acestor acte la nivelul operatorului, prin aplicația Whatsapp, cu încălcarea procedurii de lucru interne.

INTRA ACUM în grupul WhatsApp "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Conflictul de interese al DPO-ului, sancționat cu 50.000 euro de către Autoritatea din Belgia

Amenzi GDPR

Vizualizari: 6857

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Autoritatea pentru Protecția Datelor din Belgia a surprins pe toată lumea când a publicat, în data de 28 aprilie 2020, decizia sa prin care a sancționat operatorul Proximus SA cu suma de 50.000 EUR pentru nerespectarea obligației de a coopera cu Autoritatea, în temeiul articolului 31 din GDPR, și pentru numirea directorului unui departament ca responsabil de protecție a datelor, cu încălcarea articolului 38 alineatul (6) din GDPR conform căruia "Responsabilul cu protecția datelor poate îndeplini și alte sarcini și atribuții dar operatorul se asigură că niciuna dintre aceste sarcini și atribuții nu generează un conflict de interese."

Decizia publicată de Autoritatea Belgiană subliniază faptul că DPO-ul desemnat in cadrul Proximus SA a avut simultan si functia de director al Departamentului de Audit intern, Managementul riscurilor și Conformitate, subliniindu-se expres faptul că "DPO-ul nu a fost implicat suficient în discuțiile privind încălcările datelor cu caracter personal" și că "Proximus SA nu a avut o politică de prevenire a conflictelor de interese."

Pentru multe organizații, numirea DPO-ului a fost una dintre cerințele cele mai complicate din procesul de conformare GDPR. Descrierea detaliată a volumului de muncă, cerințele ridicate din punct de vedere al expertizei și disponibilitatea și abilitățile lingvistice au ridicat foarte mult ștacheta. Mai mult, în majoritatea statelor membre, această funcție nu exista anterior adoptării Regulamentlui 679/2016, creând o cerere imensă pentru numărul limitat de persoane care îndeplinesc cerințele legale și este clar că multe organizații au avut probleme uriașe pentru a găsi persoana potrivită. Prin urmare, multe organizații au decis să numească în funcția de DPO persoane din cadrul organizației, având în vedere că articolul 38 Alin. 6  din GDPR permite în mod expres organizațiilor să numească un DPO care îndeplinește „alte sarcini și îndatoriri”, atât timp cât nu are ca rezultat un conflict de interese.

Grupul de lucru al Articolului 29 a transmis prin intermediul opiniilor publicate anterior că "un conflict de interese apare în situațiile în care un DPO deține o poziție în cadrul organizației care îi permite "să determine scopurile și mijloacele prelucrarea datelor cu caracter personal ". Deși Grupul de lucru al Articolului 29 recunoaște că această evaluari se fac de la caz la caz, a identificat funcții de conducere superioare, cum ar fi Director General, Director Executiv, Director de Marketing, Director HR sau Director IT ca fiind poziții ca se poziționeză într-un conflict de interese.

Având în vedere aceste aspecte,  multe organizații care nu au nevoie un DPO cu normă întreagă, au ales să își numească Directorul Departamentului de Conformitate sau Directorul Departamentului Legal în funcția de DPO.  Acest lucru părea logic mai ales că persoanele din aceste funcții puteau deveni cu ușurință „experți în legea protecției datelor” (art. 37 alin.5 GDPR). De obicei, directorii acestor departamente au o afinitate pentru respectarea legilor și modul în care este pusă legea în aplicare. În plus, în rolul lor de Director de departament Legal/ Conformitate, aceste persoane nu sunt implicate uzual în luarea deciziilor pentru activitățile cheie de prelucrare a datelor, așa cum sunt de exemplu Directorii de Resurse Umane.

Având în vedere decizia Autorității de Supraveghere din Belgia, practic toate aceste organizații ar putea fi amendate dacă se demonstrează un „grad mare de neglijență” în numirea Directorului de Conformitate / Legal in functia de DPO. Potrivit acestei autorități „combinația funcției de DPO  cu orice funcție de Director de Departament, care este supus supravegherii DPO-ului, împiedică DPOul să acționeze independent”.

Această decizie creează o interdicție absolută de a numi Directorii Departamentului Legal sau Conformitate în funcția de DPO, stabilind astfel un precedent care, cel mai probabil, va fii contestat de către Proximus SA. Cu toate acestea, această decizie atrage atenția și asupra importanței existenței unei proceduri și a unei preocupări continue asupra identificării și evitării conflictelor de interese.

 

INTRA ACUM în grupul WhatsApp "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Corespondența de Marketing fără consimțământ a costat EMAG 3000 euro

În data de 27.02.2020, Autoritatea Națională de Supraveghere a finalizat o investigație la operatorul Dante Internațional S.A., deținătorul e-MAG.ro și a constatat că acesta a încălcat prevederile art. 6 […]

Trei amenzi pentru Vodafone România SA în numai trei zile

În data de 11.02.2020, Autoritatea Națională de Supraveghere a finalizat o primă investigație la operatorul Vodafone România SA și a constatat că acesta a încălcat  principiile de prelucrare […]

Lipsa asigurării unui nivel de securitate corespunzător a condus la amendarea ENEL cu 3000 Euro

În data de 25.02.2020, Autoritatea Națională de Supraveghere a finalizat o investigație la operatorul Enel Energie Muntenia SA și a constatat că acesta a încălcat prevederile art. 32 […]

Asociația „SOS Infertilitatea” amendată de ANSPDCP cu 2000 Euro

Autoritatea Națională de Supraveghere a finalizat în data de 13.02.2020 o investigație la operatorul Asociația „SOS Infertilitatea” și a constatat că acesta nu a transmis informațiile solicitate de Autoritatea de […]

Vodafone România SA primește o amendă GDPR de 3000 euro

În data de 11.02.2020, Autoritatea Națională de Supraveghere a finalizat o investigație la operatorul Vodafone România SA și a constatat că acesta a încălcat  principiile de prelucrare a datelor […]

Cipru: 82.000 € amendă pentru utilizarea unui sistem automat de monitorizare a concediilor medicale ale angajaților

Autoritatea de Supraveghere din Cipru a aplicat o amendă de 82.000 de euro unui grup de companii care au folosit un instrument automat pentru a monitoriza concediile medicale […]

Fenomenul FAKENEWS pierdut de sub control. „Spălați-vă mâinile, nu creierele!”

Acum câteva zile am citit întâmplător pe Fecebook un îndemn, „Spălați-vă mâinile, nu creierele!”. Acesta a fost și momentul în care am realizat că fenomenul Fakenews în România […]

Participa la DPO TOOLS Workshop – 23 / 24 Martie 2020 – „Mobilitatea, o provocare pentru aplicarea GDPR”

La nivelul dispozitivelor mobile, au aparut in ultima perioada noi variante de atacuri informatice menite de a extrage informatii cu caracter personal cunoscute sub forma furtului de identitate […]

Trevor Hughes, CEO IAPP: „În domeniul protecției datelor, avem o nouă profesie hibridizată”

Participând la cea de-a 13-a ediție a Conferinței pentru informatică, confidențialitate și protecția datelor (CPDP2020), desfășurată la Bruxelles în perioada 22-24 ianuarie 2020, Trevor Hughes, Președintele Asociației Internaționale […]

Amenda GDPR primită de Facebook în Germania este un „avertisment” pentru noi toți

Facebook a primit o amendă de 51.000 de euro ( 55.500 de dolari ) pentru că nu a numit în mod corespunzător un ofițer pentru protecția datelor pentru […]

MODELE SI FORMULARE GDPR – O nouă carte în webshop-ul dpo-NET.ro

O nouă lucrare de mare interes a fost adaugată în webshop-ul dpo-NET.ro, fiind o contributie a membrilor Centrului de cercetare pentru protectia datelor, constituit in cadrul Universitatii de […]

Nicolae Ploeșteanu: „Consider că fiecare practician trebuie să aibă această carte”

In domeniul protecției datelor în România, anul 2020 a debutat cu lansarea pe piață a acestui volum, intituat „GDPR Aplicat. Instrumente de lucru pentru implementarea Regulamentului UE 679/2016”, […]

PECB semnează un acord de parteneriat cu NeoPrivacy România și lansează cursuri de certificare recunoscute internațional

PECB Group Inc. Canada a anunțat semnarea un nou acord de parteneriat cu NeoPrivacy România, pentru a distribui cursuri de formare PECB, recunoscute internațional. „Suntem foarte încântați de […]

2 amenzi, 2 avertismente și 4 măsuri corective pentru o companie din România

Relațiile dintre angajatori și angajați se pot termina cu tensiuni, care pot conduce spre deznodământuri neplăcute pentru părți. Nu este un secret faptul că, de multe ori, angajații […]

Enel Energie S.A a platit o amendă GDPR în valoare de 6000 Euro

Ca urmare a unei plângeri depusă la ANSPDCP prin care se reclama faptul că S.C Enel Energie S.A. a prelucrat nelegal datele reclamanului, in lipsa dovezii obținerii consimțământului […]

Prima amendă GDPR în 2020 aplicată către Hora Credit IFN S.A

Autoritatea Națională de Supraveghere a finalizat, în data de 10.12.2019, o investigație la o Hora Credit IFN S.A. și a constatat încălcarea anumitor dispoziții din Regulamentul General privind Protecția Datelor […]

Amendă GDPR pentru UMIDITATE: 320 000 EUR

Autoritatea engleză pentru protecția datelor (ICO), a emis o amendă de 320 000 EUR împotriva Doorstep Dispensaree Ltd. după ce a constatat că operatorul a stocat un număr […]

Prima Asociație de Proprietari amendată pentru încălcarea GDPR-ului

Autoritatea Națională de Supraveghere a anunțat pe site-ul său prima amendă care vizează o asociație de proprietari. Investigația autorității a pornit de la plângere formulată de un locatar […]

Anul 2019 văzut prin ochii unui GDPR-ist, 10 momente memorabile

Este sfarsit de an si fiind un moment de bilant nu pot sa nu ma gandesc la cat de multe lucruri am realizat pe plan profesional si mai […]

Telekom Romania amendată pentru nerespectarea principiului exactității datelor

Sancțiunile impuse de Autoritatea națională de supraveghere (ANSPDCP) în ultima perioadă ne întăresc convingerea că operatorii de date nu riscă amenzi doar în cazul unor breșe de securitate […]