Podstawa prawna naruszenia
Art. 5 ust. 1 lit. c), art. 5 ust. 1 lit. e), art. 5 ust. 2, art. 32 RODO.
Nieprzestrzeganie ogólnych zasad przetwarzania danych.
Przyczyna naruszenia
Naruszenie dotyczyło niezgodnego z przepisami przetwarzania danych osobowych pracowników w ramach procedury awansu w jednym z centrów autobusowych. W szczególności, w plikach przygotowawczych do komisji klasyfikacyjnych zawarto dane dotyczące liczby dni strajku poszczególnych pracowników, co uznano za nadmierne i nieadekwatne do celu przetwarzania.
Opis wydarzeń
- Zgłoszenie naruszenia: 13 maja 2020 roku organizacja związkowa CGT-X zgłosiła do francuskiego organu nadzorczego (CNIL) skargę dotyczącą pliku oceny pracowników, który zawierał dane osobowe uznane za niezgodne z przepisami.
- Powiadomienie o naruszeniu: 18 maja 2020 roku Régie Autonome des Transports Parisiens powiadomiło CNIL o naruszeniu danych osobowych, które miało miejsce od 9 kwietnia do 11 maja 2020 roku i obejmowało 16 000 osób.
- Kontrola CNIL: CNIL przeprowadziło kontrolę, która wykazała, że w plikach przygotowawczych do komisji klasyfikacyjnych zawarto dane dotyczące liczby dni strajku pracowników, co było sprzeczne z polityką Régie Autonome des Transports Parisiens .
- Dalsze działania: Régie Autonome des Transports Parisiens podjęło działania mające na celu usunięcie niezgodnych danych z plików, jednak kontrole wykazały, że naruszenie nadal miało miejsce w niektórych centrach autobusowych.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Minimalizacja danych: Zaleca się, aby w plikach przygotowawczych do komisji klasyfikacyjnych zawierać jedynie dane niezbędne do oceny pracowników, zgodnie z zasadą minimalizacji danych.
- Polityka przechowywania danych: Należy określić i przestrzegać odpowiednich okresów przechowywania danych osobowych, aby nie były one przechowywane dłużej niż to konieczne.
- Bezpieczeństwo danych: Wdrożenie ścisłej polityki uprawnień dostępu do danych, aby zapewnić, że tylko uprawnione osoby mają dostęp do danych osobowych.
- Szkolenia i procedury: Regularne szkolenia dla pracowników oraz wdrożenie procedur mających na celu zapewnienie zgodności z przepisami o ochronie danych osobowych.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu
