Върховният административен съд потвърждава административната глоба, наложена на Verkkokauppa.com за нарушения на GDPR
Върховният административен съд потвърди решението на Омбудсмана за защита на данните и Комисията по санкции към Службата на Омбудсмана за защита на данните относно дейността на Verkkokauppa.com Oyj. Компанията е нарушила разпоредбите за защита на данните, като не е посочила сроковете за съхранение на данните за клиентските акаунти.
На 19.03.2024 г. писах, че Омбудсманът по защита на личните данни във Финландия налага глоба от 856 000 евро, а Verkkokauppa.com ще обжалва наказанието за нарушаване на GDPR при периода на съхранение на клиентски данни и задължителната регистрация
Службата на омбудсмана по защита на личните данни във Финландия наложи административна санкция в размер на 856 000 евро на Verkkokauppa.com поради нарушение на разпоредби на GDPR. Според регламента компанията трябва да определи колко дълго ще се съхраняват данните от клиентската сметка на клиентите на електронната търговия. В противоречие с регламента е и изискването на Verkkokauppa.com за задължителна клиентска сметка при онлайн покупки в сайта.
Клиентските данни са били съхранявани, докато клиентът не е поискал тяхното изтриване.
Не беше възможно да се извършват онлайн покупки без създаване на клиентски акаунт, което също доведе до съхранение на данни за отделни онлайн покупки по-дълго от необходимото.
Административният съд вече беше намалил размера на административната глоба на 792 639,00 евро, която беше определена въз основа на последния оборот на компанията. В други отношения Административният съд отхвърли жалбата, подадена от Verkkokauppa.com. Върховният административен съд потвърди решението на Административния съд.
Отговорността за периода на съхранение и изтриването на лични данни не може да бъде оставена на клиента.
Върховният административен съд установява, че компанията е имала задължение да посочи сроковете за съхранение на личните данни, които събира, и срокът за съхранение не може да се основава единствено на действията на самото лице. С други думи, компанията не е имала право да не посочи срока за съхранение на личните данни, основавайки се на факта, че клиентът може сам да поиска изтриване на данните или да предприеме мерки за изтриването им.
Според Върховния административен съд тази практика е довела до съхранение на данните за по-дълъг период, отколкото би бил необходим за предвиденото им използване.
Върховният административен съд също така заявява, че Омбудсманът по защита на данните е издал решение относно нарушения на съхранението на лични данни и решението не е ограничило способността на дружеството да извършва дейност.