Podstawa prawna naruszenia
Art. 9 RODO.
Niewystarczająca podstawa prawna przetwarzania danych.
Przyczyna naruszenia
Naruszenie dotyczyło przetwarzania danych osobowych przez Administratora danych w związku z korzystaniem z jej usługi. Firma wymagała od użytkowników zgody na przetwarzanie danych osobowych, w tym danych szczególnej kategorii, takich jak tętno, aby mogli korzystać z usługi. Zgoda ta była wymagana również na transfer danych poza obszar Unii Europejskiej i Europejskiego Obszaru Gospodarczego.
Opis wydarzeń
- Tło sprawy: W okresie od 22.05.2018 r. do 18.02.2019 r. do fińskiego organu nadzorczego wpłynęło pięć skarg dotyczących przetwarzania danych osobowych przez Administratora danych. Skargi dotyczyły wymogu akceptacji warunków korzystania z usługi, które obejmowały zgodę na przetwarzanie danych szczególnej kategorii.
- Skala naruszenia: Administrator danych przetwarzał dane osobowe 3,47 miliona użytkowników bez podstawy prawnej.
- Współpraca międzynarodowa: Skargi wpłynęły również do austriackiego organu nadzorczego, co spowodowało konieczność współpracy międzynarodowej.
- Informacje od Administratora danych: Firma dostarczyła wyjaśnienia dotyczące przetwarzania danych, wskazując, że przetwarzanie danych takich jak tętno, maksymalna zdolność pochłaniania tlenu i indeks masy ciała jest niezbędne do świadczenia usługi.
- Ocena zgodności: Fiński organ nadzorczy stwierdził, że zgoda na przetwarzanie danych szczególnej kategorii nie była zgodna z wymogami RODO, ponieważ nie była wystarczająco szczegółowa i świadoma.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Ocena przetwarzania danych: Ocena i dostosowanie zgody na przetwarzanie danych szczególnej kategorii do wymogów przepisów o ochronie danych osobowych.
- Przetwarzanie danych użytkowników: Zapewnienie, że przetwarzanie danych osobowych użytkowników w ramach świadczonych usług jest zgodne z przepisami RODO.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu
