Belgium: Bírság a DPO összeférhetetlensége miatt

A belga adatvédelmi hatóság (DPA) 2020. április 28-án hozott határozatában 50 000 euró bírságot szabott ki egy adatkezelővel szemben a hatósággal történő együttműködés megtagadásáért (GDPR 31. cikk), valamint az adatvédelmi tisztviselővel kapcsolatos kötelezettségek megsértéséért. A DPA a vizsgálat során arra a következtetésre jutott, hogy a DPO-val szemben összeférhetetlenség merült fel, mivel egyben a belső ellenőrzéssel, kockázatkezeléssel és compliance-szel kapcsolatos vezetői pozíciót is betöltötte.

A DPA hangsúlyozta, hogy a bírság kiszabására elsősorban nem a jogsértés megszüntetése érdekében került sor – melyet magától értetődőnek vesznek – hanem azért, hogy a jövőben elmenjen a kedve az adatkezelőnek a további jogsértéstől. Hangsúlyozták, hogy szándékos jogsértésnek nem látták nyomát, azonban az adatkezelő részéről olyan gondatlanságot észleltek, mely bírságért kiáltott.

Megjegyzik, hogy az adatvédelmi tisztviselő a hatásvizsgálat kapcsán nem együttműködött az adatkezelővel, hanem annak végeredményéről tájékoztatták csak, és a javaslatait sem vették figyelembe. Nem vett részt a személyes adatok kezelésével kapcsolatos megbeszéléseken, továbbá a szervezetnek nem volt az összeférhetetlenség megelőzésére szóló szabályzatuk.

A DPA részletesen foglalkozik azzal, hogy a 38. cikk (1) bekezdés szerinti kötelezettség magában foglalja, hogy a DPO valóban bevonásra kerüljön az adatvédelmi kérdések megítélésébe, illetve a véleményét valóban kikérjék és figyelembe vegyék a személyesadat-kezeléssel kapcsolatos kérdésekben. Azzal, hogy az adatkezeléssel kapcsolatos döntésekről utólag értesítik csak, de be nem vonják a döntési folyamatba, gyakorlatilag semmissé tették az adatvédelmi tisztviselői pozíciót, mely ellentétes a GDPR szellemével.

Ezen túl a DPA megállapítja, hogy bár a GDPR 38. cikk (6) bekezdése lehetőséget ad rá, hogy a DPO egyéb feladatokat is ellásson a szervezeten belül, azonban annak megítélésekor, hogy ez a pozíció összeférhetetlen-e a DPO feladatokkal, figyelembe kell venni az eset összes körülményét. Ennek álláspontjuk szerint a vizsgált adatkezelő nem tett eleget.

Az adatvédelmi tisztviselővel szembeni függetlenséggel alapjaiban ellentétes az, ha ugyanez a személy ellát intenzív személyesadat-kezeléssel járó feladatokat is ugyanazon szervezeten belül, hiszen így nem feltételezhető, hogy függetlenül fogja megítélni és ellenőrizni a GDPR betartását.

Álláspontjuk szerint továbbá az, hogy a DPO a fent írt három szervezeti egység vezetője volt (belső ellenőrzés, kockázatelemzés, compliance), olyan szintű ráhatást engedett neki a személyes adatok szervezeten belüli kezelése tekintetében, mely alapján ő határozza meg az adatkezelések célját és eszközét a szervezeten belül.

Ezen felül a GDPR 38. cikk (5) bekezdésében írt titoktartási kötelezettséggel is ellentétes az, ha a fenti funkciókat egyesítő személy látja el a DPO pozíciót a hatóság álláspontja szerint.

A döntés nem hivatalos angol nyelvű szövege is elérhető.