През 2021 г. писах за жалбите по време на националното преброяване
На 12 декември португалският орган по защита на данните (CNPD) съобщи, че Националният статистически институт (INE) е глобен с 4,3 милиона евро. CNPD идентифицира пет нарушения на GDPR/ОРЗД в контекста на обработката на данни при преброяването през 2021 г. по отношение на следните въпроси:
- липса на законосъобразност при обработването на специални категории лични данни (член 9, параграф 1 от GDPR). Във формулярите, които респондентите трябва да попълнят, CNPD констатира, че въпросите относно религията и здравните данни, които по закон трябва да бъдат незадължителни, не са надлежно отбелязани като незадължителни. Липсата на информация попречи на респондентите да формират своята свободна воля и самоопределение дали да отговорят или не на въпроси, събиращи специални категории данни.
- неспазване на задълженията за прозрачност (членове 12 и 13 от GDPR), по-специално по отношение на предоставянето на всякаква информация относно операциите по обработка, например чрез показване на съобщение за поверителност на институционалния уебсайт на INE или на която и да е друга страница.
- липса на DPIA (член 35, параграфи 1, 2 и 3, буква б) от ОРЗД), обхващащ цялата обработка на операциите и съответните измерения на преброяването. Документът, предоставен от администратора като DPIA, се счита за ограничен по обхват и недостатъчен по отношение на обработката на данните.
- липса на надлежна проверка по отношение на избора на обработващ личните данни (член 28, параграфи 1), (6) и (7)), а именно чрез приемане на стандартен договор, който не е оценен по същество по отношение на изискванията на параграф (3). Администраторът не е гарантирал, че обработващият е приел всички подходящи мерки за спазване на принципите и правилата на GDPR, включително гарантиране, че рисковете от обработката са смекчени. Съгласно този договор за обработка INE се съгласява органи за уреждане на спорове да бъдат калифорнийските съдилища.
- неспазване на правните изисквания за международно предаване на данни (членове 44 и 46, параграф 2), както се тълкува от Съда на ЕС в решението Schrems II. Администраторът е упълномощил обработващия, по договор, да прехвърля данни към САЩ съгласно SCC без приемането на каквито и да било допълнителни мерки, и също така е упълномощил обработващия да работи с други (под) обработващи, установени в трети държави, които не предоставят еквивалентно ниво защита, както е гарантирана в ЕС. CNPD подчерта също липсата на контрол и знания от страна на INE относно местонахождението на личните данни на респондентите, след като влязат в мрежата на обработващия, както и пълния контрол от страна на обработващия върху инструментите за криптиране/декриптиране, осигуряващи предаването на данни.
В резултат на фактите и правната обосновка CNPD установи, че администраторът е нарушил различни разпоредби на GDPR в контекста на обработката на данни от преброяването през 2021 г. и реши, съгласно член 58, параграф 2, и) и член 83 от GDPR и някои национални разпоредби, за налагане на една единствена глоба от 4,3 милиона евро на администратора.
Това решение може да бъде обжалвано.
На 1 май 2021 г. писах как Португалският надзорен орган за защита на данните нареди на националната статистика да спре да прехвърля данни към САЩ