Agencia Espanola Proteccion Datos (AEPD) har utfärdat en varning mot Holidays Edreams för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att en registrerad gjort ett köp från Holidays Edreams. Strax därefter kontaktade den registrerade Holidays Edreams via telefon. Den 5 januari 2021 begärde den registrerade tillgång till samtalsinspelningen, men efter en månad fick han inget svar. Han lämnade därför in ett klagomål till den franska dataskyddsmyndigheten Commission Nationale de l’Informatique et des Libertés (CNIL). Ärendet skickades sedan vidare till AEPD i enlighet med artiklarna 56 och 60 GDPR.
Under utredningen förklarade Holidays Edreams att den registrerade kontaktade kundtjänstavdelningen och inte dataskyddsavdelningen och att den interna processen för att besvara begäran inte följdes på grund av ett mänskligt fel. Holidays Edreams uppgav också att företaget, så snart den berörda avdelningen informerats, svarade på begäran om tillgång och skickade handlingarna via e-post. Holidays Edreams förklarade också att företaget vidtagit åtgärder för att förhindra att detta skulle hända igen.
I enlighet med artikel 60 GDPR gav AEPD de andra berörda tillsynsmyndigheterna möjlighet att yttra sig, men ingen av dem svarade.
AEPD ansåg att ett mänskligt fel hos en anställd inte befriar den personuppgiftsansvarige från sitt ansvar för skyddet av personuppgifter. AEPD erkände att åtgärder vidtagits för att se till att begäran om tillgång till information skulle hanteras korrekt i framtiden. Dessa åtgärder gjorde det dock inte möjligt för den registrerade att utöva sina rättigheter innan det aktuella förfarandet inletts. AEPD drog därför slutsatsen att Holidays Edreams brutit mot artikel 15 GDPR och utfärdade en varning, eftersom överträdelsen var mindre allvarlig.
TechLaw bistår verksamheter i frågor som rör registrerades rättigheter, begäran om tillgång och dataskydd. Läs mer om vår expertis inom dataskydd och integritet.
Har ni frågor är ni välkomna att kontakta Carina Berg, partner och jurist specialiserad inom dataskydd och affärsjuridik i teknikintensiva verksamheter.
Källa: AEPD.