DPC установява, че компанията не е предоставила информация на жалбоподателя относно действията, предприети по негови искания за достъп и изтриване в рамките на един месец
На 20 юли 2023 г. ирландската Комисия за защита на личните данни (DPC) прие решение да упражни корективни правомощия спрямо Airbnb Ireland UC (Airbnb).
DPC започва разследване на 22 декември 2022 г. въз основа на жалба, че компанията не е изпълнила задълженията си по искане за достъп и последващо искане за изтриване в рамките на законоустановения срок. Освен това, когато жалбоподателят подава своите документи за достъп и изтриване на данни, Airbnb настоява за потвърждаване на самоличността чрез предоставяне на фотокопие на документ за самоличност.
DPC проверява:
1) Дали предоставянето от Airbnb на лични данни и информация относно обработката на тези лични данни в отговор на искане за достъп на жалбоподателя е в съответствие с GDPR и Закона за защита на данните от 2018 г.
2) Дали обработката на искането за достъп на жалбоподателя от страна на Airbnb е в съответствие с GDPR и закона, доколкото информацията, предоставена на жалбоподателя, е в кратка, прозрачна, разбираема и лесно достъпна форма, като се използва ясен и прост език, както е посочено в член 12, параграф 1 от GDPR.
3) Дали работата на Airbnb по искането за изтриване на данни е в съответствие с GDPR и Закона.
4(a) Дали Airbnb има законово основание да поиска копие от личната карта на жалбоподателя и при последвалия отказ да го предостави, дали Airbnb има законно основание след това да поиска телефонно обаждане, за да потвърди самоличността на жалбоподателя при обстоятелства, при които той е подал искане за достъп и изтриване съгласно членове 15 и 17 от GDPR; и
4(b) Дали задължението на Airbnb да предоставя информация относно действията, предприети в отговор на исканията за достъп и изтриване без неоправдано забавяне съгласно член 12, параграф 3 от GDPR, е спряно до потвърждаване на самоличността на жалбоподателя чрез телефонно обаждане.
Тъй като обработването, което се разглежда, представлява „трансгранично“ обработване, решението на DPC беше предмет на механизма за сътрудничество и съгласуваност, описан в член 60 от GDPR и съгласно член 60, параграф 3 от GDPR, DPC представи своя проект на решение на заинтересованите надзорни органи за тяхното становище.
Тъй като DPC не получи уместни и обосновани възражения по проекта на решение от съответните надзорни органи в рамките на законоустановения срок, се счита, че съответните надзорни органи са съгласни с проекта на решение на DPC и са обвързани от него в съответствие с член 60 параграф 6 от GDPR.
DPC приема своето решение по отношение на тази жалба в съответствие с член 60, параграф 7 от GDPR. Решението, прието на 20 юли 2023 г., включва следните констатации за нарушения на:
- Член 5, параграф 1, буква „в“ от GDPR
DPC намира, че искането на Airbnb жалбоподателят да потвърди самоличността си чрез изпращане на копие от своя идентификационен номер представлява нарушение на принципа за минимизиране на данните, съгласно член 5, параграф 1, буква „в“ от GDPR. Това нарушение е настъпило при обстоятелства, при които Airbnb разполага и с по-малко data-driven решения за проверка на самоличността.
- Член 6, параграф 1, буква „е“ от GDPR
DPC намира, че при конкретните обстоятелства на тази жалба, легитимният интерес на администратора не представлява валидно правно основание съгласно член 6, параграф 1, буква „е“ от GDPR за необходимост от копие на идентификационен документ на жалбоподателя, за да се обработят искания за достъп и изтриване.
- Член 15, параграф 1 от GDPR
DPC установява, че Airbnb нарушава член 15, параграф 1 от GDPR към момента на първата обработка на искането за достъп на жалбоподателя, като администраторът не е предоставил на жалбоподателя достъп до всички негови лични данни, които са били обработвани от Airbnb към датата на получаване на заявление за достъп.
- Член 12, параграф 1 от GDPR
DPC намира, че Airbnb нарушава член 12, параграф 1 от GDPR по време на първата обработка на искането за достъп на жалбоподателя, като не предоставя на жалбоподателя файл за достъп, който е в кратка, прозрачна, разбираема и лесно достъпна форма.
- Член 12, параграф 3 от GDPR
DPC установява, че Airbnb не предоставя информация на жалбоподателя относно действията, предприети по негови искания за достъп и изтриване в рамките на един месец от получаване на заявленията и следователно не са изпълнени задълженията съгласно член 12, параграф 3 от GDPR.
Упражнени корективни правомощия:
Нарежда на Airbnb да преразгледа вътрешните си политики и процедури по отношение на позицията по подразбиране за предоставяне на придружителен имейл на английски, когато искане за упражняване на права за защита на данните бъде получено извън портала за поверителност.
Официално предупреждение към Airbnb Ireland UC съгласно член 58, параграф 2, буква „б“ от GDPR.