Norvég GDPR bírságok összesen több mint 100M összegben
Az utóbbi időszakban a norvég adatvédelmi hatóság több GDPR bírságot is kiosztott, melyet az alábbiakban összefoglaltunk.
Közútkezelő jogellenes kamerás megfigyelése
A Norvég Adatvédelmi Hatóság 2020. augusztus 27-én jelentette be, hogy 400.000 norvég korona (~37.000 euró) bírságot szab ki a norvég Közútkezelőre nem megfelelő célú adatkezelés miatt. Az ügy részleteihez tartozik, hogy a Közútkezelő kamerarendszert telepített építési területeire, melyre indokként a személyzet és eszközök biztonságát hozta fel.
Ezzel szemben a Hatóság vizsgálata megállapította, hogy az előbb említett rendszert a Közútkezelő a kivitelezők, az alkalmazottak, illetve az alvállalkozók és az ő alkalmazottaik megfigyelésére, ellenőrzésére (is) használta. A Hatóság tájékoztatásából kiderül, hogy a Közútkezelő ezen felül a rendszert korábban kötött szerződései teljesítésének nyomon követésére is felhasználta. A Datatilsynet megállapította, hogy a Közútkezelő megsértette a GDPR célhoz kötöttség elvét (GDPR 5. cikk (1) b) pont), illetve a helyi adatvédelmi jogi szabályozást, melynek értelmében a biztonsági célú felvételeket legkésőbb a felvételtől számított hét napon belül törölni kell.
A fent említettek figyelembevételével a Hatóság közigazgatási bírságot szabott ki a Közútkezelőre, melyet a döntéstől számított 4 héten belül köteles befizetni.
Bergen Önkormányzat adatvédelmi incidense
Korábban már tapasztalhattuk, hogy a norvég Hatóság különös figyelmet fordít a gyermekek adatainak szabályos kezelésére. Ezt a gyakorlatukat továbbra is fenntartják, ugyanis a 2020. szeptember 9-i döntésében 3 millió korona (~290.000 euró) bírságot szabott ki Bergen önkormányzatára, mivel az elmulasztott megfelelő technikai és szervezeti intézkedéseket bevezetni egy digitálisan végzett adatkezelés kapcsán.
Az önkormányzat 2019 októberében vezetett be egy új rendszert (Vigilo), mely segíti a kommunikációt az iskolák és az otthonok között. Akkor a Hatóság figyelmeztette az önkormányzatot, hogy határozzon meg világos adatvédelmi irányelveket a rendszer használatával kapcsolatban, hogy a benne kezelt személyes adatok biztonsága szavatolható legyen.
A Vigilo akkori működése során ugyanis előfordult, hogy olyan családok személyes információi (különösen a lakcímük) széles körben hozzáférhetővé váltak, mely adatok egyébként bizalmasan kezelendők voltak. Kiemeli a Hatóság azokat a diákokat és szüleiket, akiknek a címük a nemzeti adatbázisban is titkosítva van, mivel különösen kiszolgáltatott csoportba tartoznak, vagy azt más körülmény teszi szükségessé. A Vigilo rendszerben azonban esetenként a teljes osztály számára nyilvános online formában volt elérhető az összes diák lakcíme.
A Hatóság szóvivője megjegyezte, hogy itt élet-halál szituációról lehet szó egyes diákok és családjuk esetében. Véleményük szerint az önkormányzat bár végzett előzetes hatásvizsgálatokat, azok nem bizonyultak elégségesnek, és a korábbi figyelmeztetés ellenére sem vezetett be megfelelő technikai és szervezeti intézkedéseket, hogy a rá bízott adatokat a Rendelet előírásainak megfelelően kezelje. A Hatóság ezért véglegesítette korábbi döntését, ezzel a kiszabott 3 millió koronás bírságot is.
