Литовският надзорен орган най-накрая санкционира търговеца на дрехи втора употреба на нарушаване на GDPR
Литовският надзорен орган за защита на личните данни (VDAI/SDPI) съобщи, че на 2 юли е наложил административна глоба в размер на 2 385 276 евро на Vinted, UAB, която управлява онлайн платформата за търговия и обмен на дрехи втора употреба „Vinted“.
Глобата беше наложена, след като инспекцията разглежда жалбите на потребители, изпратени до френския и полския надзорен орган, и установява нарушения на разпоредбите на член 5, параграф 1, буква а) (принципи на законност, справедливост и прозрачност), член 5, параграф 2 ( принцип на отчетност) и член 12, параграфи 1 и 4 (прозрачна информация, уведомяване и условия за упражняване на правата на субекта на данните) от Общия регламент относно защитата на данните (GDPR)
Надзорният орган провежда разследване след подаване на жалбите през 2021 и 2022 г. от потребители пред френския и полския надзорен орган относно игнориране от страна на дружеството на техните молби за упражняване на правото да поискат изтриване на данни („право да бъдеш забравен“) и правото на достъп до данни.
На 21.11.2021 г. писах, че Международна работна група разследва нарушаване на GDPR от сайт за продажба на дрехи
По време на проверката на жалбите е установено, че компанията в отговор на исканията на жалбоподателите е посочила, че няма да предприеме действия по конкретно искане за изтриване на данни, тъй като въпросният жалбоподател не е посочил „конкретните основания“ установено в член 17 от GDPR в своето искане – той не е посочил конкретна причина в съответствие с член 17, параграф 1 от GDPR, а компанията не е посочила всички причини за бездействието, тоест целите, за които данните на заявителя с конкретен обхват ще продължат да се обработват и след подаване на заявлението.
По време на разследването на жалбите е установено, че за да се гарантира безопасността на платформата и нейните потребители, компанията прилага „shadow blocking“ (обработване на лични данни, извършвано с цел лице, което може да бъде в нарушение на принципите на Vinted за работа на платформата, да напусне платформата, без да знае за такова обработване на личните му данни). Това нарушава принципите на справедливост и прозрачност, казват от SDPI. Трябва да се отбележи, че неправилното прилагане на гореспоменатите принципи се отразява негативно на възможността на потребителите на платформата да упражняват други права и да търсят средства за правна защита съгласно GDPR.
Освен това дружеството не е предприело достатъчни технически и организационни мерки, за да осигури прилагането на принципа на отчетност и да може да докаже, че е предприело (или основателно отказало да предприеме) стъпки относно правото на достъп до данните.
При вземането на решение за размера на глобата VDAI се позовава на насоките Насоки 04/2022 на Европейския комитет по защита на данните от 24 май 2023 г. относно изчисляването на административните глоби съгласно GDPR, като взе предвид трансграничния обхват на обработка на данни, извършвана от компанията; нарушенията са засегнали голям брой субекти на данни и продължават дълъг период от време.
Надзорният орган разглежда делото за налагане на административна глоба в закрито заседание с участието на представители на дружеството. Предвид факта, че жалбите са свързани и с лични данни на граждани на други държави членки на Европейския съюз, съгласно GDPR, взетото решение е съгласувано с надзорните органи за защита на личните данни на тези държави, като се прилага принципът за „обслужване на едно гише“. Надзорните органи на Германия, Франция, Полша, Нидерландия и Испания се считат за concerned supervisory authorities.
Решението може да бъде обжалвано пред Административния съд на регионите в рамките на един месец от датата на връчването му в съответствие с процедурата, установена от Закона за административното производство на Република Литва.