Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) har utfärdat en sanktionsavgift på 80 miljoner HUF mot Áldi Magyarorzág Élelmiszer för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att matkedjan Áldi genomfört ålderskontroller på kunder som ville köpa alkoholhaltiga drycker. Förutom att be om ett id-kort registrerade Áldi i vissa butiker även de registrerades födelsedatum, medan detta inte gjordes i andra butiker. Andra butiker bad Áldi äldre personer om legitimation, trots att det var uppenbart att de inte var under 18 år. Áldi lämnade inte någon information enligt artikel 13 GDPR. Av dessa skäl lämnade flera registrerade in ett klagomål till NAIH.
NAIH konstaterade att de registrerade inte fått tillräcklig information om den aktuella behandlingen, eftersom det inte fanns någon skylt i Àldis butiker. Personalen lämnade inte heller mer information eller upplyste de registrerade om var de kunde hitta mer information om behandlingen av deras personuppgifter. Enligt NAIH varierade rutinerna mellan butikerna. NAIH konstaterade därför att den information som lämnats av Àldi var otillräcklig, inte lättillgänglig och inte transparent. Som en följd av detta konstaterades en överträdelse av artiklarna 5.1 (a), 12.1, 13.1 och 13.2 GDPR.
Vidare ansåg NAIH att nationell rätt endast kräver att alkoholförsäljare ska begära ett id-kort om de är tveksamma till att köparen kan vara under 18 år. När detta tvivel inte föreligger, som i fallet med en 70-årig man, gäller inte denna skyldighet. Àldi kunde därför inte åberopa artikel 6.1 (c) GDPR. NAIH konstaterade därför att det förelåg en överträdelse av artikel 6.1 GDPR.
NAIH konstaterade dessutom att registreringen av födelsedatum i kassaregistersystemet stred mot artikel 5.1 (c) GDPR. Enligt NAIH fanns det en metod för att uppnå målet som var lämplig men mindre skadlig för de registrerade och som innebar färre behandlingar.
Slutligen konstaterade NAIH att Àldi inte vidtagit lämpliga åtgärder för att skydda de registrerades personuppgifter i sina butiker, eftersom de registrerade till exempel var tvungna att uppge sitt födelsedatum högt så att andra kunder kunde höra det. NAIH konstaterade därför att det förelåg en överträdelse av artikel 32 GDPR.
På dessa grunder har NAIH utfärdat en sanktionsavgift på 95 000 000 HUF mot Àldi, som sedan sänktes till 80 000 000 HUF. Dessutom beslutade NAIH att Áldi i var och en av sina butiker, på en framträdande plats och i ett format som är lättillgängligt för de registrerade, sätta upp sitt aktuella integritetsmeddelande, som upprättats i enlighet med artikel 13 GDPR.