Portugalski organ ochrony danych („CNPD”) opublikował w dniu 14 grudnia 2021 r. swoją decyzję w sprawie nr 2021/569, w której nałożył 1,25 mln euro na gminę Lizbona za wielokrotne naruszenia prawa, a w szczególności art. 5 ust. 1 lit. a), c) i e), 6, 9 ust. 1, 13 i 35 ogólnego rozporządzenia o ochronie danych (rozporządzenie (UE) 2016/679) („RODO”), za przetwarzanie wrażliwych danych osobowych protestujących z naruszeniem zasad ochrony danych.
Tło decyzji
W szczególności decyzja dotyczy postępowania Gminy w zakresie zbierania danych osobowych protestujących, w tym danych wrażliwych, w przypadku składania przez nich protestów oraz udostępniania tych danych wewnętrznie i zewnętrznie osobom trzecim.
Ustalenia CNPD
W szczególności CNPD uznała, że Urząd Miasta, wysyłając zawiadomienia o demonstracjach protestacyjnych, zawierające dane osobowe protestujących, do zewnętrznych podmiotów trzecich, służb wewnętrznych oraz doradców Rady Miejskiej, przetwarzał wrażliwe dane osobowe bez podstawy prawnej. Ponadto CNPD stwierdziła, że Gmina Miejska podjęła się przetwarzania bez poinformowania odpowiednich osób, których dane dotyczą, bez określenia polityki ochrony ich danych osobowych oraz bez przeprowadzenia oceny skutków dla ochrony danych (ang. DPIA) wymaganej w tej sytuacji.
W związku z tym CNPD określił, że grzywna w wysokości 1,25 mln euro jest sumą 225 grzywien za różne naruszenia, których dopuściła się gmina od 2018 r., a mianowicie:
- 111 naruszeń art. 5 ust. 1 lit. a, art. 6 i art. 9 ust. 1 lit. a RODO;
- 111 naruszeń art. 5 ust. 1 lit. c);
- naruszenie art. 13 ust. 1 i 2 RODO;
- naruszenie art. 35 ust. 3 RODO; oraz
- naruszenie art. 5 ust. 1 lit. e RODO.
Ponadto, w odniesieniu do licznych grzywien, CNPD zauważyła, że czas trwania naruszeń i liczba osób, których dane dotyczą, są czynnikami zaostrzającymi grzywny, ponieważ ujawniają one uporczywy brak zobowiązań prawnych, które Gmina miała spełnić.
CNPD zauważył ponadto, że grzywny związane z każdym naruszeniem są wymienione w pkt 255 do 266 decyzji.
Wyniki
Ostatecznie w decyzji zauważono, że grzywna w wysokości 1,25 mln EUR staje się ostateczna i wykonalna, jeśli nie zostanie zaskarżona sądowo przez gminę, i musi zostać zapłacona w ciągu maksymalnie dziesięciu dni po jej sfinalizowaniu, wraz z przesłaniem odpowiednich dowodów płatności do CNPD.
Możesz przeczytać informację prasową tutaj i pobrać decyzję tutaj, oba są dostępne tylko w języku portugalskim.