Garante nakłada grzywnę za niezgodne z prawem monitorowanie metadanych e-maili pracowników

23/12/2022

Włoski organ ochrony danych ogłosił w dniu 19 grudnia 2022 r. swoją decyzję mocą której nałożył grzywnę w wysokości 100 000 EUR na region Lacjum za naruszenie art. 5 ust. 1 lit. a, art. 5 ust. 1 lit. e, art. 5 ust. 2, art. 6, 12, 13, 25, 35 i art. 88 ust. 1 RODO oraz art. 113 i 114 Kodeksu ochrony danych osobowych. Postępowanie wszczęto wskutek skargi złożonej przez związek zawodowy FEDIRETS.

Związek zawodowy złożył skargę na działania monitorujące prowadzone w trakcie audytu wewnętrznego przez Region w stosunku do pracowników zatrudnionych w dziale prawnym. Podejrzewano, że osoby trzecie mogły uzyskać dostęp do informacji chronionych tajemnicą służbową.

Według ustaleń Garante, Region w celu zweryfikowania domniemanego bezprawnego ujawnienia danych, polecił firmie LAZIOcrea SpA, jako podmiotowi przetwarzającemu dane, przeprowadzenie kontroli metadanych dotyczących korzystania z instytucjonalnych kont e-mail przez danych pracowników, w szczególności w odniesieniu do daty, godziny, nadawcy, odbiorcy, tematu i rozmiaru wiadomości e-mail. Umożliwiło to regionowi uzyskanie informacji dotyczących sfery prywatnej pracowników, takich jak ich opinie, kontakty i fakty niezwiązane z pracą.

Garante wyjaśnił, że monitorowanie było możliwe, ponieważ metadane dotyczące korzystania z instytucjonalnych kont e-mail przypisanych pracownikom Regionu były gromadzone z wyprzedzeniem, a następnie rutynowo przechowywane przez okres 180 dni.

Stwierdzono, że ogólne gromadzenie i przechowywanie metadanych poczty elektronicznej, jest chronione przez włoską konstytucję i nie może służyć monitorowaniu pracowników. Według Garante region Lacjum przetwarzał dane osobowe bez podstawy prawnej i z naruszeniem przepisów sektorowych dotyczących zdalnego monitorowania pracowników i gromadzenia danych, co doprowadziło do naruszenia 5 ust. 1 lit. a), 6 i 88 ust. 1 RODO oraz art. 113 i 114 Kodeksu ochrony danych osobowych

W świetle stwierdzonych naruszeń Garante nałożył na Region grzywnę w wysokości 100 000 EURO, biorąc pod uwagę między innymi specyfikę operacji przetwarzania i wydłużony czas trwania, który w momencie wydania decyzji był wciąż w toku.

Więcej: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9833530

Jeżeli chcesz być informowany na bieżąco o naszych publikacjach dołącz do nas i polub nas na Facebooku https://www.facebook.com/odoserwis.pl.2016/

-----------------------------------------------------

Wydawcą odoserwis.pl jest firma JDS Consulting świadcząca usługi outsourcingu Inspektora ochrony danych, doradztwa i audytu RODO; www.jds.com.pl

Zobacz również

Decyzje organów nadzorczych UE

Hiszpania zakazuje skanowania gałek ocznych firmie Wordlcoin

Hiszpańska Agencja Ochrony Danych (AEPD) nałożyła tymczasowy, trzymiesięczny zakaz działania dla firmy Wordlcoin, która skanuje gałki oczne w celu tworzenia cyfrowych identyfikatorów w zamian za kryptowaluty, argumentując to poważnymi obawami dotyczącymi prywatności i b(...)

Decyzje organów nadzorczych UE

Morele.net ponownie ukarane przez Prezesa UODO

Prezes Urzędu Ochrony Danych Osobowych podjął decyzję dotyczącą ponownego przeanalizowania naruszenia RODO przez firmę Morele.net, związaną z dużym wyciekiem danych. W efekcie tego incydentu, administrator został ponownie ukarany, a kara wyniosła ponad 3,8 mln zł.

Decyzje organów nadzorczych UE

Włoski organ ochrony danych ponownie zajmuje się platformą AI ChatGPT i powiadamia OpenAI o naruszeniach

Garante per la protezione dei dati personali (dalej Garante) poinformował OpenAI, firmę odpowiedzialną za platformę AI ChatGPT, o potencjalnych naruszeniach prawa o ochronie danych.