Podstawa prawna naruszenia
Art. 5, art. 6, art. 13, art. 14, art. 21, art. 31, art. 44 RODO.
Niedostateczna realizacja praw osób, których dane dotyczą.
Przyczyna naruszenia
Naruszenie dotyczyło niezgodności działań firmy Futura Internationale z przepisami dotyczącymi ochrony danych osobowych, gdyż nie przestrzegała zasad dotyczących adekwatności, istotności i minimalizacji danych, obowiązku informowania osób, prawa do sprzeciwu oraz zasad dotyczących transferu danych osobowych poza Unię Europejską.
Opis wydarzeń
- Skarga i kontrola: W lutym 2018 roku wpłynęła skarga do francuskiego organu nadzorczego (CNIL) dotycząca niechcianych połączeń telefonicznych od firmy Futura Internationale. Mimo wyrażonego sprzeciwu, połączenia te nie ustały. W marcu 2018 roku CNIL przeprowadził kontrolę w siedzibie firmy, która ujawniła liczne nieprawidłowości.
- Naruszenia:
- Przetwarzanie danych: Firma przechowywała nieadekwatne i obraźliwe komentarze dotyczące klientów w swoim systemie zarządzania danymi.
- Brak informacji: Osoby, których dane były zbierane, nie były odpowiednio informowane o przetwarzaniu ich danych.
- Prawo do sprzeciwu: Firma nie miała skutecznego mechanizmu uwzględniania sprzeciwu osób wobec przetwarzania ich danych.
- Transfer danych: Dane były przekazywane do krajów spoza UE bez odpowiednich zabezpieczeń prawnych.
- Działania CNIL: W wyniku kontroli CNIL nałożył na Futura Internationale obowiązek dostosowania swoich praktyk do wymogów RODO, w tym usunięcia nieadekwatnych komentarzy, zapewnienia odpowiedniej informacji dla osób, wdrożenia skutecznego mechanizmu sprzeciwu oraz zabezpieczenia transferów danych.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Adekwatność danych: Należy wprowadzić system automatycznego wykrywania i usuwania nieadekwatnych komentarzy w systemie zarządzania danymi.
- Informowanie osób: Osoby, których dane są zbierane, powinny być informowane o przetwarzaniu ich danych w sposób jasny i zrozumiały, zarówno bezpośrednio, jak i pośrednio.
- Prawo do sprzeciwu: Należy wdrożyć skuteczny mechanizm umożliwiający uwzględnianie sprzeciwu osób wobec przetwarzania ich danych, obejmujący zarówno firmę, jak i jej podwykonawców.
- Transfer danych: Transfery danych osobowych do krajów spoza UE powinny być odpowiednio zabezpieczone prawnie, zgodnie z przepisami RODO.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu
