Datenschutzbehörde (DSB) har utfärdat en sanktionsavgift på 2 000 euro mot en personuppgiftsansvarig för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att den personuppgiftsansvarige och den registrerade kommit överens om att den personuppgiftsansvarige skulle ta en nakenbild av den registrerade för dennes personliga bruk. Den personuppgiftsansvarige tog dock utöver den överenskomna bilden ytterligare nakenbilder i hemlighet av den registrerade på den registrerades telefon. Den personuppgiftsansvarige skickade därefter bilderna till sin egna telefon utan den registrerades samtycke. Den personuppgiftsansvarige sparade bilderna i sin telefon under ett dygn.
Den registrerade upptäckte detta nästa dag och krävde att den personuppgiftsansvarige skulle radera bilderna. Den personuppgiftsansvarige svarade att han skulle radera bilderna och att syftet med överföringen bara var att han ville göra en photoshop av bilderna åt den registrerade. Den registrerade lämnade in ett klagomål mot den personuppgiftsansvarige till DSB.
DSB ansåg att fotograferingen inte utgjorde olaglig behandling eftersom den registrerades samtycke hade inhämtats. För överföringen av bilderna till den personuppgiftsansvariges telefon och lagringen under ett dygn ansågs dock den personuppgiftsansvarige ha brutit mot kravet på rättslig grund enligt artikel 9.2 GDPR och principen om laglighet, korrekthet och öppenhet enligt artikel 5.1 (a) GDPR, principen om ändamålsbegränsning enligt artikel 5.1 (b) GDPR och principen om uppgiftsminimering enligt artikel 5.1 (c) GDPR. Enligt DSB rörde nakenbilderna den registrerades sexliv och utgjorde därmed känsliga uppgifter enligt artikel 9 GDPR. DSB betonade att det inte spelade någon roll om den personuppgiftsansvarige visste att han bröt mot GDPR eller inte.
DSB fastställde en sanktionsavgift på 2 000 euro för den olagliga behandlingen. I samband med detta tog DSB hänsyn till det faktum att den personuppgiftsansvarige raderat bilderna efter att han blivit ombedd att göra detta.