Związek zawodowy Forena poddany kontroli w związku z naruszeniem RODO
Urząd Ochrony Danych Osobowych wszczął kontrolę ubezpieczeniowego związku zawodowego Forena po skardze byłego pracownika, który twierdzi, że jego prawa wynikające z rozporządzenia o ochronie danych osobowych nie zostały należycie uwzględnione. W związku z tym Forena może otrzymać upomnienie za naruszenie przepisów RODO. Skarga dotyczyła żądania usunięcia danych.
Jak wyjaśnia Evelin Palmér, kierownik jednostki w urzędzie, do urzędu wpłynęły zgłoszenia od byłego pracownika, który wcześniej poprosił o skasowanie swoich danych. Urząd przekazał informacje o skardze związku, jednak skarżący poinformował ponownie, że dane nadal nie zostały usunięte. W konsekwencji wszczęto nadzór.
Były pracownik zażądał zerwania wszelkich powiązań z dawnym pracodawcą. Po przedwczesnym zakończeniu zatrudnienia osoba ta nie chciała być dalej kojarzona z Foreną i poprosiła o usunięcie swoich danych w kilku wymienionych systemach i usługach, ponieważ nadal otrzymywała wiadomości i powiadomienia związane z pracą.
Zgodnie z RODO osoba fizyczna ma prawo żądać informacji, jakie dane na jej temat przechowuje organizacja, oraz żądać ich usunięcia. W kwietniu skarżący wniósł żądanie ujawnienia i skasowania danych w określonych systemach. Mimo że po dwóch miesiącach otrzymał informację, że dane zostały usunięte, on i byli współpracownicy nadal widzieli te dane w systemach.
Zgodnie z przepisami organizacje mogą przetwarzać dane osobowe jedynie dla określonych, szczególnych i uzasadnionych celów; nie można gromadzić więcej danych niż to konieczne, a gdy nie są już potrzebne, należy je usunąć. Organizacja musi móc wykazać, że dane są przetwarzane prawidłowo. Na żądanie osoby organizacja powinna ujawnić, czy przechowuje jej dane, jakie one są, jak są wykorzystywane oraz do jakich innych podmiotów je przekazała.
Jeśli osoba zażąda, organizacja ma obowiązek skasować dane, co może obejmować także poinformowanie innych podmiotów o konieczności usunięcia danych lub odnośników do nich. Istnieją jednak wyjątki — dane można zachować, jeśli są niezbędne do ochrony innych ważnych praw, na przykład wolności słowa, wypełnienia obowiązku prawnego, wykonania zadania realizowanego w interesie publicznym lub w ramach działalności władzy publicznej.
W skardze wskazano między innymi, że osoba nadal figurowała jako kontakt do spraw, za które wcześniej odpowiadała, na stronie internetowej związku. Po interwencji redakcji strona została zaktualizowana i dane usunięto.
Evelin Palmér podkreśla, że jest to postępowanie wynikające z indywidualnej skargi, co czyni je mniej poważnym niż sprawa dotycząca wielu osób, ale jednocześnie wskazuje, że nawet pojedyncze przypadki mogą mieć duże konsekwencje, jeśli dane zostały użyte lub rozpowszechnione w niewłaściwy sposób.
Prawo do wglądu umożliwia osobom kontrolę prawidłowości przetwarzania ich danych, dlatego takie zgłoszenia mogą być istotne. Do formalnej skargi złożonej do urzędu w czerwcu dołączyło następnie kolejne zawiadomienie. Na podstawie zgromadzonych materiałów urząd podjął decyzję o wszczęciu obecnego postępowania kontrolnego wobec związku.
Palmér zwraca uwagę na konieczność posiadania procedur obsługi tego typu żądań: materiały wskazują, że w pewnym stopniu żądania zostały uwzględnione, jednak występuje rozbieżność co do zakresu praw przysługujących byłemu pracownikowi. Urząd ma możliwość nałożenia kary administracyjnej, jednak według Palmér, jeśli kontrola potwierdzi uchybienia Foreny, bardziej prawdopodobne jest, że sprawa zakończy się wezwaniem do naprawienia naruszeń i formalnym upomnieniem.
Postępowanie nadzorcze prowadzone jest pisemnie; obecnie urząd oczekuje na odpowiedź Foreny. Redakcja próbowała skontaktować się z Foreną, ale kontakt prasowy był na urlopie, a na stronie brakowało danych zastępcy. W końcu redakcja dotarła do osoby odpowiedzialnej za komunikację, Lotty Linderson, która w przesłanym mailu poinformowała, że Forena otrzymała pytania od urzędu w toczącym się postępowaniu kontrolnym i oczywiście je wypełni, a poza tym nie ma innych komentarzy.
W odpowiedzi na skargę wobec byłego pracownika w czerwcu Forena poinformowała, że usunęła wszystko, co związek miał możliwość i prawny obowiązek usunąć. Mimo to osoba nadal figurująca jako kontakt na stronie pozostała tam przez kolejne trzy miesiące. Godzinę po zapytaniu redakcji dane na stronie zostały usunięte, ale Forena nie udzieliła dalszych komentarzy, powołując się na trwające postępowanie.
Trwające śledztwo urzędu ma teraz ustalić, czy doszło do naruszenia przepisów o ochronie danych i jakie działania naprawcze są konieczne.