Autoriteit Persoonsgegevens (AP) har bötfällt DPG Media Magazines B.V. med 525 000 euro för överträdelse av artikel 12.2 i dataskyddsförordningen (GDPR).
Av beslutet framgår att AP under perioden maj 2018 till januari 2019 fått in fem klagomål om DPG Medias agerande när det gäller begäran om tillgång till och begäran om radering av personuppgifter från registrerade. Enligt AP har DPG Media, som ett villkor för att vidare behandla de klagandes begäran om tillgång eller radering, begärt en kopia av en id-handling för att verifiera de klagandes identitet.
AP har granskat DPG Medias policy för att hämta och behandla kopior av id-handlingar i samband med inlämnade begäran om tillgång till eller radering av personuppgifter. Enligt AP omfattade granskningen förfrågningar som gjordes av klagande utanför den säkra inloggningsmiljö som DPG Media tillhandahållit för alla som har ett konto hos företaget. Granskningen omfattade således registrerades begäran om tillgång till eller radering av personuppgifter som lämnats in till DPG Media via brev, e-post eller webbformulär.
Vid AP:s granskning framkom att när DPG Media tagit emot en begäran om tillgång till eller radering av personuppgifter via brev, e-post eller webbformulär så begärde företaget alltid en kopia av den registrerades id-handling oavsett vilken kontaktinformation som funnits tillgänglig hos DPG Media om den registrerade, och utan att ta hänsyn till arten och mängden av de personuppgifter som begärdes eller som skulle raderas.
Enligt AP måste utövandet av de registrerades rättigheter enligt artikel 12 GDPR utformas på ett sådant sätt att en registrerad ska kunna identifiera sig själv på minsta ingripande sätt. AP påpekade därför att det villkor som DPG Media tillämpade för att lämna in en kopia av en id-handling tillsammans med en begäran från en registrerad var oproportionerlig i förhållande till arten och mängden av de personuppgifter som begäran gällde.
Sammanfattningsvis ansåg AP att det med tanke på överträdelsens allvar var lämpligt att ålägga DPG Media böter på 525 000 euro för att överträdelse av artikel 12.2 GDPR.