Hellenic Data Protection Authority (HDPA) har utfärdat en sanktionsavgift på 3 000 euro mot en privat undervisningscenter för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att en förälder till en minderårig pojke lämnat in ett klagomål till HDPA då sonens registrerades privata undervisningscenter inte svarade på förälderns upprepade förfrågningar, via telefonsamtal och sms, om tillgång till sonens personuppgifter. Undervisningscentret hade framför allt underlåtit att tillhandahålla skattekvitton för de lektioner som sonen deltagit i under läsåren 2021-2022.
HDPA begärde att undervisningscentret skulle klargöra om föräldern verkligen begärt tillgång till sonens personuppgifter, om den relevanta informationen har tillhandahållits och vilket svar som har getts.
Undervisningscentret svarade HDPA att sonen inte deltagit i undervisningen under läsåret 2022-2023, men eftersom undervisningscentrets svar ansågs vara felaktigt upprepade HDPA sin begäran, varpå undervisningscentret svarade att de redan har lämnat svar.
HDPA ansåg att enligt artiklarna 15 och 12 GDPR har registrerade rätt att få veta om personuppgifter som rör dem behandlas och att få kännedom om detta, utan att behöva åberopa sitt berättigade intresse som rättslig grund för sin begäran. HDPA ansåg också att personuppgiftsansvariga inte är undantagna från sin skyldighet att informera registrerade enbart på grund av att de begärda uppgifterna inte finns i ett register som de innehar.
Enligt HDPA:s etablerade rättspraxis har dessutom en person som har föräldraansvar för sitt barn i princip, i egenskap av rättslig företrädare, rätt att få tillgång till uppgifter om sitt minderåriga barn, i enlighet med artikel 15 GDPR, om inte annat föreskrivs i ett domstolsbeslut.
Slutligen ansåg HDPA att undervisningscentret, genom att visa likgiltighet och underlåta att lämna tillräckliga klargöranden avseende klagomålet mot verksamheten, visade absolut ingen vilja att samarbeta med HDPA och därmed bröt mot artikel 31 GDPR.
Av dessa skäl har HDPA utfärdat en total sanktionsavgift på 3 000 euro, 1 000 euro för överträdelse av artikel 15.1 (b) och artikel 12.1, 12.3 och 12.4 GDPR, samt 2 000 euro för överträdelse av artikel 31 GDPR.