Περίληψη της Απόφασης
Προέλευση της υπόθεσης
Η Ιταλική Αρχή Προστασίας Δεδομένων (DPA) ξεκίνησε έρευνα μετά από καταγγελία που υπέβαλε ένας πρώην υπάλληλος της La Patria SpA, μιας εταιρείας ασφάλειας και τεχνολογικής ασφάλειας. Ο καταγγέλλων ισχυρίστηκε ότι η εταιρεία δεν είχε απαντήσει σε δύο αιτήματα πρόσβασης σε έγγραφα σχετικά με πειθαρχικές διαδικασίες εναντίον του, συμπεριλαμβανομένων δεδομένων που συλλέχθηκαν μέσω συστήματος GPS που ήταν εγκατεστημένο στο εταιρικό όχημα που του είχε ανατεθεί. Ο υπάλληλος είχε ζητήσει πρόσβαση στα έγγραφα προκειμένου να υπερασπιστεί τον εαυτό του σε πειθαρχικές διαδικασίες, οι οποίες στη συνέχεια οδήγησαν στην απόλυσή του.
Βασικά ευρήματα
Η Garante, η ιταλική Αρχή Προστασίας Δεδομένων (DPA), διαπίστωσε ότι η εταιρεία δεν είχε ανταποκριθεί επαρκώς στα αιτήματα πρόσβασης του εργαζομένου. Η DPA διευκρίνισε ότι ένα υποκείμενο δεδομένων δεν χρειάζεται να παραπέμψει ρητά στον ΓΚΠΔ για να χαρακτηριστεί ένα αίτημα ως άσκηση του δικαιώματος πρόσβασης. Επιπλέον, όταν ένας υπεύθυνος επεξεργασίας αποφασίσει να μην συμμορφωθεί με ένα αίτημα, οφείλει να ενημερώσει το υποκείμενο των δεδομένων για τους λόγους και για τη δυνατότητα υποβολής καταγγελίας ή άσκησης δικαστικής προσφυγής.
Διαπίστωσαν επίσης ότι η εταιρεία δεν είχε παράσχει στους εργαζομένους κατάλληλες πληροφορίες σχετικά με την επεξεργασία δεδομένων γεωγραφικής τοποθεσίας που συλλέγονται μέσω συστημάτων GPS που είναι εγκατεστημένα σε εταιρικά οχήματα. Τα εν λόγω δεδομένα συνιστούν προσωπικά δεδομένα επειδή η τοποθεσία του οχήματος μπορεί να συνδεθεί έμμεσα με τον εργαζόμενο που το οδηγεί.
Επιπλέον, οι ειδοποιήσεις περί απορρήτου της εταιρείας αναφέρονταν εσφαλμένα στην επεξεργασία ειδικών κατηγοριών προσωπικών δεδομένων, συμπεριλαμβανομένων πληροφοριών που αφορούν φιλοσοφικές πεποιθήσεις και σεξουαλική ζωή, αν και η εταιρεία δεν επεξεργαζόταν στην πραγματικότητα τέτοια δεδομένα.
Απόφαση
Η Garante επέβαλε συνολικό διοικητικό πρόστιμο ύψους 39.000 ευρώ στην La Patria SpA για παραβάσεις των άρθρων 12, 13 και 15 του ΓΚΠΔ. Το συνολικό πρόστιμο ανερχόταν σε 22.000 ευρώ για τις παραβάσεις που αφορούσαν την άσκηση του δικαιώματος πρόσβασης και σε 17.000 ευρώ για τις παραβάσεις που αφορούσαν τις πληροφορίες που παρέχονταν στους εργαζομένους.
Κατά τον καθορισμό του προστίμου, η ιταλική Αρχή Προστασίας Δεδομένων έλαβε υπόψη, μεταξύ άλλων παραγόντων, ότι η εταιρεία είχε λάβει μέτρα κατά τη διάρκεια της διαδικασίας για να συμμορφώσει τις δραστηριότητες επεξεργασίας της με τον ΓΚΠΔ. Συγκεκριμένα, παρείχε στους εργαζομένους κατάλληλες πληροφορίες σχετικά με την επεξεργασία δεδομένων γεωγραφικής τοποθεσίας και αφαίρεσε εσφαλμένες αναφορές σε ειδικές κατηγορίες προσωπικών δεδομένων από την ειδοποίηση περί απορρήτου της.
Δεν επιβλήθηκαν περαιτέρω διορθωτικά μέτρα, καθώς οι παραβάσεις είχαν παύσει και η εταιρεία είχε ήδη λάβει μέτρα για την αντιμετώπιση των εντοπισμένων ελλείψεων.
Για περισσότερες πληροφορίες:
