Commission Nationale pour la Protection des Données (CNPD) har utfärdat en sanktionsavgift på 3 700 euro mot en fastighetsförvaltare för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att CNPD den 17 juli 2020 inlett en utredning av företag, som driver en webbplats och en mobilapplikation, för att kontrollera att dess verksamhet uppfyller kraven i artiklarna 12.1, 13 och 14 GDPR. Utredningen fokuserade på användarna av webbplatsen och mobilapplikationen och inte på de anställda.
Utredningen visade att:
- Integritetspolicyn nämnde behandlingar som inte faktiskt utfördes.
- Integritetspolicyn var inte tillgänglig på alla sidor där företaget samlade in uppgifter.
- När det gäller mobilappen fanns ingen integritetspolicy tillgänglig innan nedladdningen och när applikationen väl var installerad var integritetspolicyn inte lätt tillgänglig.
- Integritetspolicyn var endast tillgänglig på två språk, medan webbplatsen var tillgänglig på tre språk.
- Integritetspolicyn nämnde inte hur länge uppgifterna skulle bevaras eller rätten att begränsa behandlingen.
Företaget svarade att den bristande tillgången till information berodde på den tjänsteleverantör som skötte företagets webbplats och mobilapplikation.
CNPD ansåg att integritetspolicyn, genom att nämna vissa behandlingar som faktiskt inte utfördes, inte återspeglade verkligheten och att företaget inte tillhandahöll den nödvändiga informationen på ett begripligt sätt, i klara och enkla termer, vilket strider mot artikel 12.1 GDPR.
CNPD konstaterade också att det saknades information i strid med artiklarna 13.2 (a) och 13.2 (b) GDPR, informationen om hur länge uppgifterna kommer att bevaras saknades för vissa behandlingar. När det gäller de registrerades rättigheter saknades information om rätten till begränsning.
CNPD ålade därför, i enlighet med artikel 58.2 GDPR och med hänsyn till de åtgärder som företaget redan vidtagit, en sanktionsavgift på 3 700 euro och beordrade företaget att uppdatera sin integritetspolicy så att den uppfyller kraven i artikel 12.1 GDPR.