Španjolsko nadzorno tijelo kaznilo je poslodavca s 42.000 eura zbog nezakonitog dodavanja osobnog broja mobitela bivše zaposlenice u WhatsApp grupu za zaposlenike nakon što se zaposlenica izričito usprotivila korištenju svog privatnog broja mobitela za komunikaciju vezanu uz posao.
Ispitanica, bivša zaposlenica voditelja obrade, bila je dužna obavljati komunikaciju vezanu uz posao koristeći svoj osobni mobilni telefon. Ispitanica je zatražila korporativni uređaj za obavljanje komunikacije vezane uz posao, ali voditelj obrade joj ga nikada nije dostavio.
Dana 11. svibnja 2023. ispitanica je poslala e-poruku upravi u kojoj je izričito navela da će prestati koristiti svoj osobni telefon za poslovne stvari na početku nadolazećeg godišnjeg odmora. Također je najavila svoju namjeru da napusti sve WhatsApp grupe tvrtke do 12. svibnja 2023., kraja svog posljednjeg radnog dana prije početka godišnjeg odmora. Unatoč ovom jasnom odbijanju, 5. lipnja 2023. (dok je bila na dopustu i koristila svoj osobni telefon), voditelj obrade je dodao osobni broj ispitanice u WhatsApp grupu tvrtke bez prethodne obavijesti ili pristanka, putem voditelja trgovine koji je znao njezin osobni broj. Ispitanica je uklonjena iz grupe 28. lipnja 2023., istog dana kada je otpuštena iz tvrtke.
Voditelj obrade je tvrdio da se WhatsApp grupa sastoji samo od internih zaposlenika, a obrađeni podaci (imena i brojevi) su minimalni.
Ispitanica je podnijela pritužbu španjolskom nadzornom tijelu, tvrdeći da je njezin privatni broj mobitela obrađen za poslovnu komunikaciju bez pristanka.
Voditelj obrade je kasnije priznao potrebu za revizijom svojih internih praksi i, od 1. rujna 2023., zabranio korištenje osobnih telefona za korporativne WhatsApp grupe. Pritužba je isprva odbijena (29. rujna 2023.), ali je kasnije ponovno otvorena 16. travnja 2024.
Zaključak
Prvo, španjolsko nadzorno tijelo je utvrdilo kršenje članka 6(1) GDPR-a - voditelj obrade nezakonito obradio osobni broj mobitela ispitanika dodavanjem u WhatsApp grupu bez valjane pravne osnove. Nije dobivena privola prema članku 6(1) GDPR-a, a voditelj nije uspio dokazati da je obrada bila potrebna za izvršenje ugovora ili opravdana bilo kojom drugom pravnom osnovom. Ispitanik je jasno odbio nastaviti koristiti svoj privatni broj za poslovnu komunikaciju u e-poruci od 11. svibnja 2023., a ipak ju je poslodavac dodao u WhatsApp grupu 5. lipnja 2023. Nadzorno tijelo je zaključio da ta radnja predstavlja nezakonitu obradu osobnih podataka.
Drugo, nadzorno tijelo je odbacilo argumente voditelj obrade o implicitnoj privoli i operativnoj nužnosti. Naglasilo je kako „operativna praktičnost“ ne nadjačava zahtjev za zakonitu obradu. Nadzorno tijelo je istaknulo da je voditelj obrade priznao da neki zaposlenici koriste osobne uređaje zbog nedostupnosti korporativnih uređaja te da je ta praksa zabranjena tek od 1. rujna 2023. nadalje, znatno nakon incidenta.
Treće, nadzorno tijelo je podsjetilo voditelja obrade na njegovu dužnost prema članku 5(2) GDPR-a (odgovornost) i članku 24 GDPR-a da provede odgovarajuće mjere i vodi evidenciju kojom se dokazuje da je obrada zakonita. U ovom slučaju, voditelj obrade nije mogao dokazati da je ispitanik dao privolu ili da postoji bilo koja druga zakonita osnova. Neuspjeh u usvajanju odgovarajućih zaštitnih mjera i politika za korištenje osobnih uređaja u grupama za razmjenu poruka dodatno je pogoršao situaciju.
U ovom slučaju pronađeno je nekoliko otegotnih okolnosti:
- izričito prethodno povlačenje privole od strane ispitanika;
- kontinuirano korištenje osobnog broja unatoč tome;
- dostupnost korporativnih alternativa koje nisu bile pružene.
Kao olakotne okolnosti, nadzorno tijelo je uzelo u obzir:
- kasnije provođenje interne politike voditelja obrade kojom se zabranjuje korištenje osobnih telefona;
- suradnju tijekom postupka;
- dobrovoljno plaćanje voditelja obrade i priznanje odgovornosti.
Kazna je u početku bila određena na 70.000 eura, ali u skladu sa španjolskim Zakonom o upravnim postupcima, voditelj obrade može dobrovoljno platiti predloženu kaznu i odreći se prava na žalbu. Ova radnja smanjuje izrečenu kaznu za 20%. Kazna se može smanjiti za dodatnih 20% ako voditelj obrade prizna odgovornost. Voditelj obrade se odlučio za oboje i smanjio kaznu za 40%, plativši smanjeni iznos sankcije od 42.000 eura.
