Agencia Espanola Proteccion Datos (AEPD) har utfärdat en sanktionsavgift på 21 000 euro mot konsultföretaget Alvea Soluciones Tecnológicas, S.L. för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att en registrerad lämnat in ett klagomål till AEPD mot Alvea där de påstod att Alvea skickat ett e-postmeddelande till kandidater för ett jobberbjudande med en begäran om behandling av deras uppgifter. Vidare innehöll e-postmeddelandet en länk till ett Google-formulär som angav att de registrerades personuppgifter skulle lämnas ut genom överföring från Alvea till dess samarbetsföretag. Formuläret innehöll ett kalkylblad med namn och id-nummer för de registrerade som hade motsatt sig behandlingen av deras uppgifter. Slutligen kunde vem som helst få tillgång till kalkylbladet med hjälp av formulärets webbadress.
AEPD begärde information om de åtgärder som Alvea vidtagit för att följa GDPR. I sitt svar medgav Alvea ett administrativt fel och hävdade att en ny tekniker inkluderade både interna och externa länkar i det e-postmeddelande som skickades till den registrerade, istället för bara den externa.
AEPD konstaterade att Alvea har brutit mot principen om integritet och konfidentialitet enligt artikel 5.1 (f) GDPR då Alvea har gett tillgång till ett internt kalkylblad som innehöll kandidaternas personuppgifter och har överfört länken utan några begränsningar eller kontroller.
Sanktionsavgiften uppgick ursprungligen till 35 000 euro, men sänktes till 21 000 euro efter att Alvea gjort en omgående betalning och erkänt sitt ansvar för överträdelsen.