Opomenutý výmaz osobních údajů ještě nemusí být velký průšvih
Belgický dohledový úřad neshledal porušení GDPR momentem, kdy zaměstnanec společnosti nedodržel její interní postupy a nevyhověl žádosti o výmaz. DPA kontatoval, že se jednalo o neúmyslné, jednorázové porušení.
Fakta
Stěžovatelka absolvovala pohovor u žalované společnosti (soukromé agentury práce) a práci, o kterou se ucházela, nezískala . Poté soukromá agentura práce stěžovatelce automaticky vytvořila uživatelský účet. Stěžovatelka poté telefonicky požádala soukromou agenturu práce o smazání tohoto účtu. Soukromá agentura práce výmaz telefonicky potvrdila. Zaměstnanec však nerespektoval interní postup agentury při vyřizování žádosti o výmaz.
Stěžovatelka tak byla stále obesílána dvěma maily o volných pracovních místech v daném místě, proto zaslala formální stížnost. Kromě toho stěžovatelka také uvedla, že nebyla plně informována o automatickém vytvoření uživatelského účtu.
Závěry
Soukromá pracovní agentura uvedla, že pro komunikaci o volných pracovních místech a pro vytvoření účtu používá standardní smlouvu. To je také hlavní deklarovaný obchodní účel soukromé agentury práce.
Pokud jde o emailovou komunikaci o volných pracovních místech postavené na základu smlouvy:
Belgický DPA potvrdil použití smlouvy jako právního základu pro zpracování osobních údajů za účelem zasílání sdělení o volných pracovních místech společností v její roli soukromé pracovní agentury.
DPA dále zjistil, že soukromá pracovní agentura má zavedený postup pro výmaz údajů, ale že zaměstnanec, kterého stěžovatel kontaktoval, tento postup dostatečně nedodržel. Soukromá pracovní agentura nemohla popsat, proč postup nedodržela, protože zaměstnanec pro ni již nepracuje. Jednalo se tedy o jednorázovou, lidskou chybu.
DPA se touto skutečností řídil a neshledal žádné důkazy o chybném postupu ani o zlém úmyslu. Kromě toho byly údaje okamžitě odstraněny, jakmile byla soukromá pracovní agentura kontaktována úřadem DPA, a stěžovatelce se omluvila.
DPA konstatuje, že se zřejmě jednalo o jednorázové porušení, které nebylo úmyslné a nemá ani žádné důsledky pro další zúčastněné osoby. Z tohoto důvodu nedošlo k porušení čl. 12 odst. 2 n čl. 17 odst. 1 a článku 24. Soukromé agentuře práce však za to byla udělena výtka.
Pokud jde o automatické vytvoření účtu:
DPA konstatuje, že stěžovatelka byla o vytvoření účtu dostatečně informována, a to emailovou poštou a prostřednictvím zásad ochrany osobních údajů pracovní agentury. Kromě toho stěžovatelka nemohla prokázat, že účinně využila svého práva na výmaz, přestože zásady ochrany osobních údajů obsahovaly dvě poštovní adresy, na které se lze obrátit, a na portálu, kde byl uživatelský účet vytvořen, byla zahrnuta možnost samoobsluhy uživatelem.
Vzhledem k tomu, že zpracování osobních údajů je založeno na smlouvě v roli soukromé pracovní agentury a stěžovatelka byla dostatečně informována, nebylo shledáno porušení čl. 5 písm. a).