Garante per la protezione dei dati personali (Garante) har utfärdat en sanktionsavgift på 10 000 euro mot La Combricola Dei Birichini Di Betty för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att La Combricola Dei Birichini Di Betty är en privat förskola. En förälder lämnade in ett klagomål till Garante efter att ha upptäckt att förskolan publicerat bilder på barn på internet, däribland integritetskränkande bilder av ganska känsliga ögonblick i deras vardag.
Under utredningen konstaterade Garante att många av bilderna som publicerats var offentligt tillgängliga på förskolans webbplats och i dess företagsprofil på Google Maps, och att vissa av dem visade känsliga ögonblick i barnens vardag. Förskolan hävdade att föräldrarna undertecknat ett samtyckesformulär som omfattade publicering av bilder för utbildnings- och marknadsföringssyfte, men Garante avvisade argumentet och klargjorde att föräldrarnas samtycke måste utövas i barnets bästa intresse. Myndigheten ansåg att publiceringen i detta fall stred mot barnens bästa och utsatte dem för allvarliga risker, och att samtycket därför inte utgjorde en rättslig grund.
Garante påpekade också att publicering av barnens bilder, om det över huvud taget är tillåtet, kräver samtycke från båda föräldrarna. Dessutom fann myndigheten flera problem med det samtyckesformulär som föräldrarna undertecknat. Syftet med behandlingen beskrevs endast vagt och mycket känsliga bilder av barnen skulle publiceras utan tydlig information. Samtycket omfattade flera olika syften och var därför inte detaljerat. Det ansågs inte frivilligt eftersom formuläret felaktigt angav att vägran att ge samtycke kunde innebära att barnet inte togs emot på förskolan. På dessa grunder ansåg Garante att förskolan olagligt publicerat bilderna i strid med artiklarna 5.1 (a), 6 och 7.2 GDPR.
Under utredningen konstaterade även Garante att förskolan hade utsett rektorn till dataskyddsombud, men bedömde att denne inte var opartisk och saknade tid för att fullgöra sina skyldigheter enligt artikel 38.6 GDPR. Myndigheten ansåg också att förskolan brutit mot artikel 37.7 GDPR genom att inte meddela Garante kontaktuppgifterna till dataskyddsombudet.
Slutligen konstaterade Garante flera överträdelser av öppenhetskravet i samband med både publicering av bilder och användningen av kamerabevakningssystemet. Alla meddelanden om dessa behandlingar var vaga, ofullständiga och ibland felaktiga. Förskolan kunde inte visa att de anställda fått ett specifikt meddelande med detaljerad information om behandlingen av deras uppgifter via kamerabevakningssystemet. På dessa grunder fann Garante att förskolan brutit mot artiklarna 5.1 (a), 12 och 13 GDPR.
Mot denna bakgrund utfärdade slutligen en sanktionsavgift på 10 000 euro och ålade förskolan att omedelbart sluta publicera bilder på barn, radera alla bilder som fortfarande var tillgängliga online och radera lagrade bilder. Vid fastställandet av sanktionsbeloppet beaktade myndigheten att förskolan redan hade tagit bort majoriteten av bilderna, utsett en ny dataskyddsombud och vidtagit andra åtgärder för att uppfylla kraven.