Podstawa prawna naruszenia
Art. 5 ust. 1 lit. a), art. 6 ust. 1 RODO.
Niewystarczająca podstawa prawna przetwarzania danych.
Przyczyna naruszenia
Holenderski organ nadzorczy (AP) uznał, że gmina Enschede nielegalnie przetwarzała dane osobowe właścicieli/użytkowników urządzeń mobilnych z włączoną funkcją Wi-Fi w centrum miasta Enschede. Gmina przetwarzała te dane bez podstawy prawnej.
Opis wydarzeń
- Wprowadzenie i kontekst:
- W lipcu 2018 roku AP otrzymała skargę dotyczącą zbierania danych przez czujniki Wi-Fi w centrum Enschede. Czujniki te zbierały dane z urządzeń mobilnych z włączoną funkcją Wi-Fi bez odpowiedniej podstawy prawnej.
- AP rozpoczęła dochodzenie, podczas którego otrzymała dodatkowe skargi.
- Proces dochodzenia:
- AP zebrała informacje od gminy Enschede oraz firm zaangażowanych w projekt.
- Przeprowadzono inspekcje w sklepach, gdzie zainstalowano czujniki, oraz w biurze Retail Management Center B.V. w Amsterdamie.
- Ustalenia AP:
- Czujniki zbierały dane takie jak adresy MAC, siła sygnału, data i czas, które były następnie przesyłane na serwer.
- Dane były pseudonimizowane, ale metoda ta nie zapewniała pełnej anonimowości, co umożliwiało identyfikację osób na podstawie wzorców zachowań.
- Gmina Enschede od 25 maja 2018 r. do 30 kwietnia 2020 r. pozyskała dane około 1,8 miliona unikalnych urządzeń mobilnych.
- Gmina Enschede nie miała odpowiedniej podstawy prawnej do przetwarzania tych danych, co stanowiło naruszenie RODO.
- Reakcja gminy Enschede:
- Gmina argumentowała, że dane były anonimowe i nie można było zidentyfikować osób. Jednak AP uznała, że pseudonimizacja była niewystarczająca.
- Gmina Enschede wprowadziła zmiany w systemie, ale AP uznała, że nadal nie spełniają one wymogów RODO.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Poprawa procedur: Wdrożenie odpowiednich procedur i mechanizmów zapewniające zgodność z RODO, w tym pełną anonimowość danych.
- Edukacja i szkolenia: Przeprowadzenie szkolenia z zakresu ochrony danych osobowych, aby uniknąć podobnych naruszeń w przyszłości.
- Przegląd i audyt: Regularne audyty i przeglądy procedur przetwarzania danych osobowych w celu zapewnienia ciągłej zgodności z przepisami.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu
