Garante nakłada grzywnę za niezgodne z prawem monitorowanie metadanych e-maili pracowników

23/12/2022

Włoski organ ochrony danych ogłosił w dniu 19 grudnia 2022 r. swoją decyzję mocą której nałożył grzywnę w wysokości 100 000 EUR na region Lacjum za naruszenie art. 5 ust. 1 lit. a, art. 5 ust. 1 lit. e, art. 5 ust. 2, art. 6, 12, 13, 25, 35 i art. 88 ust. 1 RODO oraz art. 113 i 114 Kodeksu ochrony danych osobowych. Postępowanie wszczęto wskutek skargi złożonej przez związek zawodowy FEDIRETS.

Związek zawodowy złożył skargę na działania monitorujące prowadzone w trakcie audytu wewnętrznego przez Region w stosunku do pracowników zatrudnionych w dziale prawnym. Podejrzewano, że osoby trzecie mogły uzyskać dostęp do informacji chronionych tajemnicą służbową.

Według ustaleń Garante, Region w celu zweryfikowania domniemanego bezprawnego ujawnienia danych, polecił firmie LAZIOcrea SpA, jako podmiotowi przetwarzającemu dane, przeprowadzenie kontroli metadanych dotyczących korzystania z instytucjonalnych kont e-mail przez danych pracowników, w szczególności w odniesieniu do daty, godziny, nadawcy, odbiorcy, tematu i rozmiaru wiadomości e-mail. Umożliwiło to regionowi uzyskanie informacji dotyczących sfery prywatnej pracowników, takich jak ich opinie, kontakty i fakty niezwiązane z pracą.

Garante wyjaśnił, że monitorowanie było możliwe, ponieważ metadane dotyczące korzystania z instytucjonalnych kont e-mail przypisanych pracownikom Regionu były gromadzone z wyprzedzeniem, a następnie rutynowo przechowywane przez okres 180 dni.

Stwierdzono, że ogólne gromadzenie i przechowywanie metadanych poczty elektronicznej, jest chronione przez włoską konstytucję i nie może służyć monitorowaniu pracowników. Według Garante region Lacjum przetwarzał dane osobowe bez podstawy prawnej i z naruszeniem przepisów sektorowych dotyczących zdalnego monitorowania pracowników i gromadzenia danych, co doprowadziło do naruszenia 5 ust. 1 lit. a), 6 i 88 ust. 1 RODO oraz art. 113 i 114 Kodeksu ochrony danych osobowych

W świetle stwierdzonych naruszeń Garante nałożył na Region grzywnę w wysokości 100 000 EURO, biorąc pod uwagę między innymi specyfikę operacji przetwarzania i wydłużony czas trwania, który w momencie wydania decyzji był wciąż w toku.

Więcej: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9833530

Jeżeli chcesz być informowany na bieżąco o naszych publikacjach dołącz do nas i polub nas na Facebooku https://www.facebook.com/odoserwis.pl.2016/

-----------------------------------------------------

Wydawcą odoserwis.pl jest firma JDS Consulting świadcząca usługi outsourcingu Inspektora ochrony danych, doradztwa i audytu RODO; www.jds.com.pl

Zobacz również

Decyzje organów nadzorczych UE

Irlandzka Komisja Ochrony Danych nałożyła karę 91 milionów euro na Meta Ireland za naruszenia RODO

Irlandzka Komisja Ochrony Danych (DPC) ogłosiła swoją ostateczną decyzję po dokładnym śledztwie dotyczącym Meta Platforms Ireland Limited (MPIL). Dochodzenie, rozpoczęte w kwietniu 2019 roku, zostało zainicjowane po tym, jak MPIL powiadomiło DPC o tym, że nieumyślnie pr(...)

Decyzje organów nadzorczych UE

Holenderski organ ochrony danych nakłada wysokie kary za naruszenia RODO dla Uber i Clearview AI

Holenderski Urząd Ochrony Danych Osobowych (DPA) nałożył kary finansowe na Ubera i Clearview AI za naruszenia przepisów RODO. Uber został ukarany kwotą 290 milionów euro za nielegalne przekazywanie danych osobowych kierowców z Unii Europejskiej do Stanów Zjednoczonych.(...)

Decyzje organów nadzorczych UE

Szwedzki Urząd Ochrony Prywatności (IMY) wymagania dotyczące akredytacji jednostek certyfikujących

Wymagania te będą stosowane przez Szwedzką Agencję Akredytacyjną i Nadzoru Technicznego (Swedac) przy akredytacji jednostek certyfikujących, które będą upoważnione do wydawania certyfikatów zgodnych z ogólnym rozporządzeniem o ochronie danych (RODO)