Gegevensbeschermingsautoriteit (GBA) ger en skola en reprimand för brister i samband med en begäran om tillgång och information om behandling av personuppgifter enligt dataskyddsförordningen (GDPR).
Av beslutet framgår att en mamma till en elev begärt tillgång till de personuppgifter skolan hade om hennes barn, inklusive ändamålen för behandlingen och lagringstiden, samt radering av foton på barnet tagna under en skolresa och som publicerats därefter. Skolan svarade muntligt och hänvisade till ett tidigare skickat dokument om bildrättigheter.
När mamman inte fick ett skriftligt svar efter två månader, lämnade hon in ett klagomål till GBA, som startade en utredning. GBA konstaterade att skolan inte försett mamman med en kopia av personuppgifterna och inte tillhandahållit adekvat information om insamlingen av personuppgifter i början av läsåret. Skolan hävdade att de svarat muntligt och att deras ändamål för insamlingen var uppenbara.
GBA betonade att en begäran om tillgång enligt artikel 15 GDPR består av tre delar; bekräftelse på behandling, tillgång till personuppgifterna och en kopia av uppgifterna. Enligt GBA ska denna information tillhandahållas i varaktig och hållbar form, vilket inte uppfylldes genom muntliga svar.
Vidare konstaterade GBA att information om behandling av personuppgifter måste ges vid tidpunkten för insamling eller inom en månad om insamlingen är indirekt. Det faktum att ändamålet med behandlingen kan tyckas uppenbart befriar inte den personuppgiftsansvarige från skyldigheten att informera de registrerade.
Sammanfattningsvis ansåg GBA att skolan inte hade efterlevt den registrerades rättigheter och utfärdade en reprimand mot skolan för överträdelser av artiklarna 12.1, 13, 14, 15.1 och 15.3 GDPR.