Agencia Espanola Proteccion Datos (AEPD) har utfärdat en sanktionsavgift på 100 000 euro mot The Mail Track Company S.L för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att en privatperson lämnat in ett klagomål till dataskyddsombudet i den tyska delstaten Sachsen eftersom han, efter att ha fått ett e-postmeddelande innehållande Mailtrack, kritiserat det faktum att det spanska företaget The Mail Track Company som äger tjänsten inte lämnat adekvat information om behandlingen av hans personuppgifter och att inget samtycke erhållits för behandlingen. Mailtrack erbjuder e-postspårningsprogram som informerar avsändaren om att mottagaren öppnat ett e-postmeddelande. E-postmeddelandena innehåller även en länk till The Mail Track Companys webbplats.
Det saxiska dataskyddsombudet vidarebefordrade klagomålet till AEPD som var ansvarig tillsynsmyndighet i ärendet. Eftersom personer i flera EU-länder berördes av The Mail Track Companys behandling av personuppgifter deltog flera länder i utredningen.
AEPD konstaterade att The Mail Track Company inte informerat mottagarna av e-postmeddelanden om att deras personuppgifter behandlades, vilka ändamål och rättslig grund som fanns för behandlingen, vilka rättigheter de hade och hur de kunde utöva dem, i stred mot artiklarna 13 och 14 GDPR.
AEPD konstaterade vidare att The Mail Track Company inte inhämtat något giltigt samtycke från mottagarna för att behandla deras personuppgifter, vilket stred mot artikel 6 GDPR. The Mail Track Company hävdade att de var endast ett personuppgiftsbiträde åt sina användare, som var ansvariga för att inhämta ett samtycke, men AEPD ansåg att The Mail Track Company var en gemensamt personuppgiftsansvarig tillsammans med sina användare, eftersom de bestämde syftet och medlen för behandlingen.
Slutligen konstaterade AEPD att The Mail Track Company inte behandlat personuppgifterna på ett lagligt, korrekt och öppet sätt, vilket stred mot artikel 5.1 (a) GDPR.
AEPD har beslutat att utfärda en sanktionsavgift på 100 000 euro mot The Mail Track Company för tre överträdelserna, och uppmanade också företaget att upphöra med den olagliga behandlingen och anpassa sig till reglerna i GDPR.