Commission Nationale pour la Protection des Données (CNPD) ger en personuppgiftsansvarig en reprimand för att ha använt material från ett kamerabevakningssystem för att motivera uppsägningen av en anställd i strid med principen om ändamålsbegränsning enligt dataskyddsförordningen (GDPR).
Av beslutet framgår att den personuppgiftsansvarige under 2013 installerat ett kamerabevakningssystem utanför alla kommunala byggnader. CNPD godkände installationen. I mars 2020 lämnade en registrerad in ett klagomål till CNPD avseende hennes uppsägning av den personuppgiftsansvarige. Enligt den registrerade har den personuppgiftsansvarige tagit del av övervakningsmaterialet för att så exakt som möjligt kunna bedöma den registrerades tjänstefel.
I mars 2021 bekräftade CNPD under sin utredning att kamerabevakningssystemet installerats för att garantera säkerheten för de anställda och de som använde den kommunala infrastrukturen. Den personuppgiftsansvarige hävdade att oberoende av dataskyddslagstiftningen kräver den luxemburgska arbetsrätten att uppsägningsbrevet exakt anger den förseelse som den anställde anklagats för. Det var därför nödvändigt att använda övervakningsmaterialet för att undvika att uppsägningen förklarades orättvis av behörig domstol.
CNPD konstaterade att det i artikel 5.1 (b) GDPR anges att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. CNPD tillade att i ett övervakningssammanhang angav Europeiska dataskyddsstyrelsen (European Data Protection Board, EDPB) att innan ett kamerabevakningssystem används måste ändamålen med behandlingen specificeras i detalj enligt artikel 5.1 (b) GDPR och att övervakningsändamålen bör dokumenteras skriftligen.
CNPD noterade också att EDPB angav att om någon ytterligare behandling ska äga rum måste den personuppgiftsansvarige först säkerställa att denna behandling har syften som är förenliga med de ursprungliga och utforma sådan behandling i enlighet därmed. Huruvida ett nytt ändamål är förenligt eller inte bedöms i enlighet med artikel 6.4 GDPR.
I det aktuella fallet påpekade CNPD att syftet med kamerabevakningssystemet var att garantera en viss säkerhetsnivå för både anställda och användare av den kommunala infrastrukturen. CNPD ansåg att de insamlade personuppgifterna behandlades för ett annat ändamål, nämligen för att motivera att den registrerade skulle avskedas med omedelbar verkan.
Enligt CNPD kunde den personuppgiftsansvarige ha fått tillstånd att ytterligare behandla detta övervakningsmaterial, men endast om det grundade sig på den registrerades samtycke eller om den ytterligare behandlingen var förenlig med de ursprungliga ändamålen i enlighet med artiklarna 5.1 (b) och 6.4 GDPR. CNPD ansåg att detta inte var tillämpligt i det aktuella fallet. Mot denna bakgrund gav CNPD den personuppgiftsansvarige en reprimand för överträdelse av artikel 5.1 (b) GDPR.