Gegevensbeschermingsautoriteit (GBA) anser att en kommunal skola brutit mot dataskyddsförordningen (GDPR) eftersom skolan inte hade utsett ett dataskyddsombud och inte korrekt dokumenterat efterlevnaden av dataskyddsförordningen (GDPR).
Av beslutet framgår att två registrerade gemensamt lämnat in ett klagomål till GBA. De två registrerade, som var anställda som lärare vid en kommunal skola, menade att skolan gjort sig skyldig till flera överträdelser av GDPR.
Efter en utredning av ärendet konstaterade GBA en överträdelse av artikel 37 GDPR. Som ett offentligt organ var skolan skyldig att utse ett dataskyddsombud enligt artikel 37.1 (a) GDPR, samt att publicera kontaktuppgifterna till dataskyddsombudet och meddela dem GBA enligt artikel 37.7 GDPR. Enligt GBA hade skolan inte gjort detta.
Vidare konstaterade GBA att inget register över personuppgiftsincidenter fördes, vilket krävs enligt artikel 33.5 GDPR. Skolan uppgav att inga dataintrång ägt rum sedan det senaste som registrerts, men eftersom GBA inte kunde kontrollera om ett annat dataintrång ägt rum eller inte, ansåg GBA ett brott mot principen om ansvarsskyldighet enligt artikel 5.2 GDPR och artikel 33.5 GDPR.
Slutligen konstaterade GBA en överträdelse av skyldigheten att offentliggöra uppgifter enligt artikel 13.1 (a) GDPR. Enligt denna bestämmelse är den personuppgiftsansvarige skyldig att offentliggöra den personuppgiftsansvariges kontaktuppgifter. GBA konstaterade att skolan inte tillhandahållit tillräcklig information och att den information som hade tillhandahållits var oklar. Skolan hade därför brutit mot artikel 13.1(a) GDPR.
GBA utfärdade inga böter, men förelade skolan att inom 3 månader skapa en handlingsplan för att följa GDPR.