Profesor (ispitanik) podnio je tri pritužbe protiv svog bivšeg poslodavca, talijanskog sveučilišta (voditelja obrade). Tvrdio je da sveučilište:
- nije deaktivirao njegov poslovni račun e-pošte niti izbrisao njegove e-poruke nakon što ga je otpustio;
- nezakonito objavio njegove osobne podatke na svojoj web stranici;
- odbio njegov zahtjev za pristup i brisanje, kao i njegovo protivljenje obradi njihovih podataka. Ispitanik je tvrdio da je otkaz bio nezakonit i nedovoljno objašnjen.
Presuda
Talijansko nadzorno tijelo (DPA) utvrdilo je kako je voditelj obrade:
- prekršio članak 5(1)(a), članak 5(1)(e) i članak 6. GDPR-a time što nije deaktivirao račun e-pošte ispitanika i nije izbrisao njegovu komunikaciju nakon prestanka radnog odnosa;
- prekršio članak 12(3), članak 17. i članak 21. GDPR-a time što je nezakonito odbacio zahtjeve ispitanika i nije objasnio razloge otkaza;
- prekršio je članak 5(1)(a) i 6 GDPR-a nezakonitim objavljivanjem osobnih podataka podnositelja pritužbe, kao i informacija o drugim ispitanicima.
Suprotno argumentima sveučilišta, DPA je utvrdio da e-poruke ispitanika ne predstavljaju upravne akte. Dakle, e-poruke nisu bile obuhvaćene nikakvom obvezom arhiviranja prema upravnom pravu.
DPA je također odbacio argumente sveučilišta da su e-poruke bile potrebne za obranu pravnih zahtjeva protiv ispitanika. U tom smislu, DPA je priznao da su voditelj i ispitanik bili uključeni u tekuće pravne postupke. Međutim, DPA je utvrdio da voditelj nije uspio pokazati kako je pohranjivanje e-poruka bilo konkretno potrebno da bi se branio u tim postupcima.
DPA je kaznio sveučilište novčanom kaznom od 8.000,00 eura. Prilikom izračuna kazne, DPA je uzeo u obzir da je voditelj obrade proveo tehničke mjere kako bi spriječio svoje osoblje da pristupi e-pošti ispitanika te da je na kraju izbrisao račun e-pošte ispitanika dok je istraga bila u tijeku.
U odluci je pojašnjeno da kada se voditelj obrade oslanja na izuzeće vrste "ostvarivanja pravnih zahtjeva" (kao što su ona iz članka 9(2)(f) i članka 17(3)(e) GDPR-a), mora pokazati kako je obrada osobnih podataka konkretno potrebna za utvrđivanje, obranu ili ostvarivanje pravnog zahtjeva. Nije dovoljno pozvati se na apstraktnu i hipotetsku potrebu za obradom podataka u tu svrhu.
