Urzędu Ochrony Danych Osobowych (UODO) har utfärdat en sanktionsavgift på 7 000 euro mot en personuppgiftsansvarig för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att den registrerade lämnat in ett klagomål till UODO. Enligt den registrerade har den personuppgiftsansvarige olagligen gjort dennes personuppgifter tillgängliga för tredje part. UODO inledde ett förfarande och begärde information från den personuppgiftsansvarige. UODO frågade särskilt om den personuppgiftsansvarige behandlade den registrerades personuppgifter och i så fall vilka uppgifter, på vilken rättslig grund och för vilket ändamål, samt om den personuppgiftsansvarige gjort dessa uppgifter tillgängliga för tredje part och i så fall när, på vilken rättslig grund, för vilket ändamål och till vilka enheter.
Trots att den personuppgiftsansvarige tagit emot två skrivelser med begäran om information och underrättats om att underlåtenhet att efterkomma begäran skulle leda till att ett sanktionsförfarande inleddes för åsidosättande av skyldigheten att samarbeta med tillsynsmyndigheten, lämnade den personuppgiftsansvarige inte någon information.
Till följd av detta inledde UODO ett förfarande på eget initiativ. Inledningsvis bedömde UODO huruvida den personuppgiftsansvarige var ansvarig för de skyldigheter som anges i artikel 58.1 (a) och (e) GDPR. Enligt UODO ålägger båda bestämmelserna skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden inom ramen för förfaranden som utförs av tillsynsmyndigheter. UODO påminde också om att myndigheten använt sin utredningsbefogenhet för att begära information från den personuppgiftsansvarige i samband med en utredning om en påstådd överträdelse av GDPR och varnade för att underlåtenhet att följa denna begäran i sig skulle utgöra en överträdelse.
Trots att den personuppgiftsansvarige hade underrättats två gånger uppfyllde företaget inte begäran. Enligt UODO ledde den bristande tillgången till information till ett hinder för en objektiv, grundlig och fullständig bedömning av ärendet, samt till en omotiverad förlängning av det förfarande som inletts med anledning av den registrerades klagomål. Mot bakgrund av ovanstående konstaterades en överträdelse av artikel 58.1 (a) och (e) GDPR.