Bhain an gearán seo le sonraí pearsanta (sa chás eolas mar gheall ar an gcineál fadhb sláinte a bhí ag an ngearánaí) a bheith próiseáilte ag a fhostóir, chun go bhféadfaí saoire bhreoiteachta agus íocaíochtaí a bhain leis a riar ar son an ghearánaí. Thar aon rud eile, chuir an gearánaí a chuid imní in iúl faoi gur roinn an rialaitheoir sonraí (an fostóir) a thaifead leighis, lena n-áirítear iad a bheith roinnte le baill foirne in oifig áitiúil an rialaitheora sonraí, áit ar oibrigh an gearánaí. Chuir an gearánaí oifigeach sinsearach san eagraíocht ar an eolas faoin imní a bhí air. Ba é dearcadh an oifigigh sinsearaigh, áfach, nach raibh roinnte ach a laghad agus a chaithfí a roinnt den eolas.

Nuair a bhíonn sonraí pearsanta a bhaineann le duine á bpróiseáil ag rialaitheoir sonraí, tá ceanglais dhlíthiúla áirithe a chaithfidh an rialaitheoir sonraí a chomhlíonadh. I gcás an ghearáin seo tá ábharthacht ar leith ag baint leis na hoibleagáidí (1) sonraí pearsanta a phróiseáil go cóir; (2) na sonraí sin a fháil ar mhaithe le cuspóirí sonracha agus gan tuilleadh próiseála a dhéanamh orthu ar bhealach nach luíonn leis na cuspóirí sin; (3) go mbeadh na sonraí ábhartha agus leordhóthanach agus nach ndéanfadh an rialaitheoir níos mó ná mar ba ghá de na sonraí a próiseáil chun an chuspóir faoin ar bailíodh iad a bhaint amach; agus (4) go gcinnteofaí go mbeadh an tslándáil chuí maidir leis na sonraí pearsanta i bhfeidhm . Chomh maith leis na rialacha a mbíonn feidhm acu agus sonraí pearsanta á bpróiseáil, sa chás seo toisc gur bhain na sonraí pearsanta le faisnéis leighis (a dtugtar níos mó cosanta dó faoin reachtaíocht um chosaint sonraí), bhí ceanglais bhreise ann a chaithfeadh an rialaitheoir sonraí a chomhlíonadh .

Measadh gurb é an chéad chuspóir a bhain leis na sonraí pearsanta a bheith á bpróiseáil ag an rialaitheoir sonraí ná scéim reachtúil íocaíochta breoiteachta a riar . Chinn an oifig seo freisin nach raibh sé ag dul i gcoinne an chuspóra ar bailíodh na sonraí ina leith i dtosach, go ndéanfaí tuilleadh próiseála ar shonraí pearsanta an ghearánaí chun bainistiú a dhéanamh ar fhostaithe a bhfuil strus a bhaineann lena gcuid oibre ag cur as dóibh nó atá ar shaoire bhreoiteachta fhadtéarmach agus chun monatóireacht a dhéanamh ar leibhéal an phá breoite- achta . Chomh maith leis sin, chinn an DPC go raibh gá leis an bpróiseáil chun bainistiú a dhéanamh ar strus a bhaineann le hobair agus chun saoire bhreoiteachta fhadtéarmach a bhainistiú agus chun súil a choinneáil ar phá breoiteachta; ar mhaithe le conradh a chomhlíon- adh a raibh an té lenar bhain na sonraí páirteach ann; ó thaobh chomhlíonadh oibleagáide dlíthiúla a raibh an ri- alaitheoir faoina réir agus ar mhaithe le cur i bhfeidhm nó cur i gcrích ceart nó oibleagáid a thugtar nó a fhorchuir- tear le dlí ar an rialaitheoir sonraí i dtaca le fostaíocht .

Measadh, áfach, go raibh sé iomarcach na sonraí (an cineál fadhb sláinte a bhí ag an ngearánaí) a phróiseáil san oifig AD áitiúil ar mhaithe le saoire bhreoiteachta fhadtéarmach agus saoire struis a bhaineann leis an obair a bhainistiú agus chun súil a choinneáil ar leibhéil an phá breoiteachta . Ina theannta sin, chinn an DPC, ar an mbonn gur nocht an soláthraí seirbhísí comhroinnte an iomarca sonraí pearsanta don oifig AD áitiúil agus freisin taobh istigh den oifig, nach raibh an leibhéal slándála cuí i bhfeidhm i dtaca le sonraí pearsanta an ghearánaí . Ar deireadh, measadh, sna cúinsí seo, nár phróiseáil an rialaitheoir sonraí na sonraí pearsanta a bhain leis an ghearánaí ar bhealach cóir . Dá bhrí sin, fuarthas amach gur sháraigh an rialaitheoir sonraí a chuid oibleagáidí cosanta sonraí .

Fuaireamar gearán maidir leis an úsáid a bhain an rialaitheoir sonraí as ceamaraí TCI in áitreabh oibre an ghearánaigh agus maidir leis an gcaoia breathnaíodh ar na píosaí scannáin TCI sin (ina raibh sonraí pearsanta an ghearánaigh, ina raibh, i measc nithe eile, íomhánna den ghearánach) d’fhonn monatóireacht a dhéanamh ar fheidhmíocht an ghearánaigh le linn don ghearánach a bheith i mbun fostaíochta leis an rialaitheoir sonraí.

Tráth a rinneadh an gearán, bhí beartas TCI i bhfeidhm ag an rialaitheoir sonraí, inar luadh slándáil agus sábháil- teacht mar chúis leis an gcóras TCI . Luadh é sin chomh maith ar chomharthaíocht a bhí ann in áiteanna ina raibh na ceamaraí TCI i bhfeidhm . Léirigh na fíricí gur chun críocha slándála agus sábháilteachta a bailíodh sonraí pearsanta an ghearánaigh i dtosach . Le linn cruinniú leis an ngearánach, áfach, chuir bainisteoir in iúl don ghearánach nach ndearnadh athbhreithniú ar phíosaí scannáin TCI ina raibh sonraí pearsanta an ghearánaigh amach amháin chun críocha monatóireacht a dhéanamh ar fheidhmíocht an ghearánaigh le linn don ghearánach a bheith i mbun fostaíochta leis an rialaitheoir sonraí . Ní raibh an críoch sin ar na críocha sonraithe próiseála a leagadh amach sa bheartas TCI agus an chomharthaíocht a bhain leis . D’admhaigh an rialaitheoir go mba shárú ar a bheartais an chaoi inar baineadh úsáid as sonraí pearsanta an ghearánaigh .

I gcás ina bpróiseáiltear sonraí pearsanta chun críoch atá difriúil ón gcríoch ar a bailíodh iad, ní foláir nach mbeadh na críocha is bonn leis an tuilleadh próiseála i neamhréir leis na críocha bunaidh . Maidir leis an úsáid a baineadh as sonraí pearsanta an ghearánaigh, b’ionann mona- tóireacht a dhéanamh ar fheidhmíocht an ghearánaigh agus críoch a bhí leithleach agus sainiúil ó na críocha bunaidh i dtaobh sábháilteachta agus slándála ar ina leith a bailíodh na píosaí scannáin TCI . Ar an mbonn sin, b’ionann an phróiseáil a rinneadh ar shonraí pearsanta an ghearánaigh a bhí sna píosaí scannáin TCI chun críocha monatóireachta feidhmíochta agus tuilleadh próiseála chun críocha a bhí i neamhréir le críocha bunaidh an bhailithe sin .

Tháinig ceist eile chun cinn maidir leis an tslándáil a bhain leis an gcaoi ina raibh rochtain ar an gcóras TCI agus ar logaí TCI . I bhfreagraí i scríbhinn chuig an DPC, dúirt an rialaitheoir go raibh fáil, tráth a rinneadh an gearán, ar rochtain ar phíosaí scannáin TCI ar ríomhaire pearsanta aonair sa roinn, agus nach raibh sonraí logála isteach ag teastáil dó. Thug na freagraí ón rialaitheoir le fios nach ndearnadh logáil ar an rochtain ar phíosaí scannáin TCI de láimh ná go huathoibríoch . Ba easnamh i slándáil sonraí é go ginearálta nach raibh loga rochtana ann i gcomhair na bpíosaí scannáin TCI . Ní mór do rialaitheoirí sonraí bearta cuí slándála agus eagraíochta a chur i bhfeidhm, ag teacht le hAirteagal 32 den GDPR, i dtaca le coinníollacha faoi rochtain ar shonraí pearsanta .

Rinneadh leasú suntasach ar an mbeartas TCI ó shin agus cuireadh beartas nua ina áit . Dhearbhaigh an rialaitheoir gur baineadh agus gur cuireadh as feidhm an ríomhaire pearsanta as ar baineadh an úsáid sin . Tá rochtain ar thaifid TCI teoranta anois do dhuine aonair san aonad sonrach agus déantar athbhreithniú ar na taifid i gcás imeacht slándála nó i gcás timpiste amháin .

Baineann ábharthacht ar leith i gcás dá leithéid leis na hoibleagáidí próiseáil chóir a dhéanamh ar shonraí pearsanta (Airteagal 5(1)(a)), agus sonraí dá leithéid sin a fháil chun críocha sonracha agus gan tuilleadh próiseála a dhéanamh uirthi ar bhealach a bheadh i neamhréir leis na críocha sin (Airteagal 5(1)(b)) . Ina theannta sin, ba cheart bearta slándála cuí a bheith i bhfeidhm chun slándái na sonraí pearsanta a áirithiú (Airteagal 5(1)(f) agus Airteagal 32).

D’eisigh ábhar sonraí gearán chuig an gCoimisiún um Chosaint Sonraí (“an Coimisiún”) i gcoinne a fhostóra (“rialaitheoir sonraí”) maidir le próiseáil a shonraí pearsanta faoin Rialachán Ginearálta maidir le Cosaint Sonraí (“GDPR”). Mhínigh an t-ábhar sonraí don Choimisiún gur tugadh do thríú páirtí (fostóir ionchasach) mionsonraí faoi ní rúnda mar chuid de theistiméireacht. Sula ndearna sé teagmháil leis an gCoimisiún, rinne an t-ábhar sonraí teagmháil leis an rialaitheoir sonraí chun aghaidh a thabhairt ar na húdair imní a bhí aige toisc go raibh sé den tuairim gur próiseáladh a shonraí pearsanta go neamhdhleathach. Ní bhfuair sé freagra sásúil ar an ngearán uaidh, áfach.

Tugann an Coimisiún dá aire gurb é a bhíonn i gceist le teistiméireacht faoi bhall foirne ó fhostóir reatha/ iarfhostóir a sholáthar do thríú páirtí, amhail fostóir ionchasach, de ghnáth ná sonraí pearsanta a nochtadh . Luaigh an t-ábhar sonraí gur nocht an rialaitheoir sonraí ní rúnda sa teistiméireacht a tugadh don fhostóir ionchasach.

Mar chuid dá scrúdú, rinne an Coimisiún idirchaid- reamh leis an rialaitheoir sonraí agus chomhroinn sé na mionsonraí faoi ghearán an ábhair sonraí. Thug an rialaitheoir sonraí freagra don Choimisiún agus mhínigh sé go bhfuil sé ag brath ar thoiliú agus ar leas dlisteanach i ndáil leis an ní rúnda a nochtadh. Luaigh an rialaitheoir sonraí gurbh amhlaidh, le linn dó cearta an ábhair sonraí a chothromú i gcoinne leasanna an tríú páirtí (agus leasanna na ndaoine sin a dtugann an tríú páirtí cúram dóibh), a chinn sé go bhfuil dualgas cúraim air a chinntiú go bhfaigheadh faighteoir na teistiméireachta (an fostóir ionchasach) teistiméireacht a bheadh fíor, cruinn, cothrom agus ábhartha don ról a ndearna an t-ábhar sonraí iarratas air.

Ba dheimhin leis an rialaitheoir sonraí gur próiseáladh na sonraí ar bhealach cothrom trédhearcach. Luaigh sé freisin gurbh amhlaidh, de bharr chineál na fostaíochta, a bhí dualgas cúraim air do na daoine a dtacaíonn siad leo, mar atá na baill foirne, agus freisin d’fhostóirí ionchasacha a sholáthraíonn seirbhísí tacaíochta don chatagóir chéanna cliant.

Tá sé tábhachtach a bhreithniú cé acu a d’fhéadfadh nó nach bhféadfadh stádas an rialaitheora sonraí nó na hoibleagáidí dlíthiúla nó conartha is infheidhme (nó dearbhuithe eile a tugadh tráth an bhailithe) a bheith mar chúis le hionchais réasúnacha go mbeadh rúndacht níos déine ann nó go mbeadh srianta níos déine ar thuilleadh úsáide ann. Chuir an Coimisiún san áireamh cé acu a bhí nó nach raibh an rialaitheoir sonraí in ann an toradh céanna a bhaint amach gan na mionsonraí rúnda a nochtadh don fhostóir ionchasach. Maidir leis na ráitis a tugadh sa teistiméireacht, bhí siad bunaithe ar fhíorais a d’fhéadfaí a chruthú agus a bhí riachtanach chun leasanna dlisteanacha chliaint an rialaitheora sonraí agus an dualgas cúraim do chliaint an rialaitheora sonraí a bhaint amach.

D’ainneoin an dualgais rúin, agus in imthosca inar ainmnigh an t-ábhar sonraí an rialaitheoir sonraí chun an teistiméireacht a sholáthar, á thoiliú le comhroinnt shonraí pearsanta ábhartha an ábhair sonraí le fostóir ionchasach dá bhrí sin, is deimhin leis an gCoimisiún go bhfuil leas dlisteanach an fhostóra ionchasaigh agus mórleas an phobail ina n-údar le nochtadh an ní rúnda.

Tar éis dó an ní a scrúdú go críochnúil, chuir an Coimisiún in iúl don ábhar sonraí, faoi alt 109(5)(c) d’Acht 2018, gur réasúnach atá an míniú a chuir an rialaitheoir sonraí ar aghaidh in imthosca an ghearáin seo agus nár tharla aon phróiseáil neamhdhleathach. Dá réir sin, measadh nár ghá aon ghníomh eile a dhéanamh i gcoinne an rialaitheora sonraí de bhun an ghearáin ón ábhar sonraí.

Chuir ábhar sonraí gearán faoi bhráid an Choimisiúin um Chosaint Sonraí (DPC) in aghaidh a bhfostóra (an rialaitheoir sonraí) maidir lena gcuid sonraí pearsanta a phróiseáil faoi Airteagal 9 den Rialachán Ginearálta maidir le Cosaint Sonraí (GDPR). Mhínigh an t-ábhar sonraí don DPC go bhfuair siad teastas breoiteachta ón Dochtúir Teaghlaigh (GP) agus mar sin gur thug siad an teastas breoiteachta dá bhfostóir, i gclúdach litreach le seoladh Oifigeach Leighis na heagraíochta. D’oscail comhalta foirne a bhí ag feidhmiú i ról bainisteora an teastas leighis; ní raibh ról mar oifigeach leighis ag an duine seo, áfach. Sula ndearna sé/sí teagmháil leis an DPC rinne an t-ábhar sonraí teagmháil lena bhfostóir chun aghaidh a thabhairt ar na húdair imní a bhí á mbrath acu go raibh sonraí pearsanta a bhí íogair á bpróiseáil go neamhdhleathach; mar sin féin, ní bhfuair siad aon fhreagra maidir lena ngearán.

Mar chuid dá imscrúdú, rinne an DPC teagmháil leis an rialaitheoir sonraí agus rinne mionsonraí maidir le gearán ábhair sonraí a chomhroinnt leo. D’fhreagair an rialaitheoir sonraí an DPC agus mhínigh, de réir Nósanna Imeachta Oibríochta Caighdeánacha na heagraíochta, mar gheall nach raibh aon oifigeach leighis ar dualgas an lá a bhí i gceist, go dtiteann an fhreagracht agus an t-údarás ó thaobh saoire a cheadú, breoiteachta nó eile, go huathoibríoch ar an mbainisteoir ar an lá, arbh é/í a phróiseáil an teastas leighis.

Níor ghlac an t-ábhar sonraí leis an míniú a chuir an rialaitheoir sonraí ar fáil agus chuir go láidir i gcoinne go ndéanfaidh duine nach oifigeach leighis ainmnithe a bhí i gceist próiseáil ar an teastas leighis.

Trína imscrúdú, chinn an DPC, faoi Airteagail 6(1)(b),(c), (f) agus 9(2)(b) den RGCS go raibh boinn dlisteanacha ag an rialaitheoir sonraí, sonraí pearsanta íogaire an ábhair sonraí a phróiseáil faoin GDPR agus mar sin nár tharla aon phróiseáil neamhdhleathach. Níor breithníodh go raibh aon ghníomh eile riachtanach i gcoinne an rialaitheora sonraí maidir le gearán an ábhair sonraí.

Chuir ábhar sonraí gearán faoi bhráid an Choimisiúin um Chosaint Sonraí (DPC) maidir lena mbanc (an rialaitheoir sonraí) mar gur chreid siad go ndearnadh próiseáil go neamhdhleathach ar a sonraí pearsanta. Mhínigh an t-ábhar sonraí go raibh morgáiste acu leis an rialaitheoir sonraí agus gur díoladh an morgáiste seo le banc eile, mar chuid de chomhaontú maidir le hiasacht a dhíol. Rinne an t-ábhar sonraí gearán gur próiseáladh an díolachán seo i ngan fhios dóibh nó gan toiliú uathu agus bhí údar imní sonrach acu maidir leis an rialaitheoir sonraí a bheith ag comhroinnt a seoladh ríomhphoist pearsanta agus uimhir fón póca le banc eile agus mheas siad gur nochtadh iomarcach sonraí pearsanta a bhí i gceist anseo. Cé nach raibh agóid a dhéanamh ag an ábhar sonraí maidir lena n-ainm, seoladh nó uimhir líne talún a bheidh á n-úsáid, chreid siad go raibh a seoladh ríomhphoist agus uimhir fón póca ina sonraí pearsanta a bhí “íogair” agus go raibh nochtadh an chéanna díréireach.

Bhí an t-ábhar sonraí i gcaidreamh go díreach leis an rialaitheoir sonraí maidir lena ngearán sula ndearna siad teagmháil leis an DPC. D’fhreagair an rialaitheoir sonraí agus chuir in iúl don ábhar sonraí gurbh é an bonn dlí a bhí le próiseáil a gcuid sonraí pearsanta ná Airteagal 6(1)(f) den Rialachán Ginearálta maidir le Cosaint Sonraí (GDPR), ina luaitear: “Go mbeidh gá leis an bpróiseáil chun críocha leasanna dlisteanacha an ábhair sonraí ag an rialaitheoir.”

Ar thús a chur lena n-imscrúdú, chomhroinn an DPC gearán an ábhair sonraí leis an rialaitheoir sonraí agus rinne éileamh ar fhreagra mionsonraithe. Chuir an rialaitheoir sonraí an DPC ar an eolas go gcuireann an rialaitheoir sonraí mar chuid dá bhFógra maidir le Príobháideachas Sonraí, cóip den Fhógra ar fáil dá gcuid custaiméirí, ina dtugtar mionsonraí go bhféadfadh an rialaitheoir sonraí sócmhainní an chomhlachta a dhíol ar mhaithe lena ngnó a bhainistiú. Tugtar tuilleadh mionsonraí maidir leis seo sa litir thairisceana iasachta d’iarratasóirí morgáiste.

Maidir le comhroinnt sonraí pearsanta iomarcacha, thug an rialaitheoir sonraí breac-chuntas nach mbreithníonn siad seoladh ríomhphoist nó uimhir fón póca mar fhaisnéis atá íogair agus nach dtagann siad faoi chatagóirí speisialta sonraí pearsanta faoi Airteagal 9 den GDPR.

Chuir an DPC in iúl cé go bhfuil toiliú mar cheann de sé bhonn dlí maidir le sonraí pearsanta a phróiseáil, go bhfuil sé dleathach sonraí pearsanta a phróiseáil gan toiliú roimh ré ach ceann de chúig bhonn dlí eile, atá liostaithe faoi Airteagal 6 den GDPR a chomhlíonadh. Sa chás seo bhí an rialaitheoir sonraí ag brath ar Airteagal 6(1)(f) agus dá réir sin, ceanglaítear orthu tabhairt faoi thástáil chothromaíochta chun a chinntiú nach mbíonn an leas dlisteanach atá á leanúint ag an rialaitheoir sonraí ag sárú leasanna, cearta nó saoirsí bunúsacha an ábhar sonraí. Dheimhnigh an DPC go ndearna siad tástáil chothromaíochta agus gur deimhníodh, sa chás seo, nach raibh próiseáil sonraí pearsanta ag sárú leasanna, cearta nó saoirsí bunúsacha an duine is ábhar do na sonraí.

Thug an rialaitheoir sonraí míniú breise go raibh sé riachtanach don rialaitheoir sonraí faisnéis teagmhála an ábhair sonraí a chomhroinnt leis an mbanc eile agus gur iad an banc eile na rialaitheoirí sonraí nua maidir le hiasacht an duine is ábhar do na sonraí. Thug an rialaitheoir sonraí soiléiriú freisin nach ndéanann siad idirdhealú idir cineálacha difriúla faisnéis teagmhála, m.sh. uimhreacha líne talún agus fón póca mar gur cuireadh an fhaisnéis seo ar fáil don rialaitheoir sonraí chun na críche teagmháil a dhéanamh le custaiméirí. Dá réir sin, teastaíonn an fhaisnéis seo ón bhanc chun bainistiú a dhéanamh ar an iasacht. Déantar cur síos in Airteagal 9 GDPR ar chatagóir speisialta sonraí pearsanta mar:

“shonraí pearsanta lena léirítear tionscnamh ciníoch nó eitneach, tuairimí polaitiúla, creideamh reiligiúnach nó fealsúnach, nó ballraíocht i gceardchumann, agus toirmeas- cfar próiseáil ar shonraí géiniteacha, ar shonraí bithm- héadracha chun duine nádúrtha a shainaithint go huathúil, ar shonraí a bhaineann leis an tsláinte nó ar shonraí a bhaineann le saol gnéis agus le gnéaschlaonadh duine nádúrtha.”

Dá réir sin, thug an DPC soiléiriú don ábhar sonraí nach dtagann uimhreacha fón póca nó seoltaí ríomhphoist faoin gcatagóir seo. Chuir an DPC in iúl don ábhar sonraí, tar éis don DPC imscrúdú a dhéanamh ar a ngearán faoi alt 109(5)(c) d’Acht na bliana 2018, nach bhfuair an DPC aon fhianaise go raibh próiseáil neamhdhleathach déanta ar a gcuid sonraí pearsanta. Cé go raibh an rialaitheoir sonraí ag brath ar bhonn dlisteanach chun na sonraí a phróiseáil agus go ndearnadh é sin ar bhealach trédhearcach, agus gur coinníodh an t-ábhar sonraí ar an eolas maidir le príomhchéimeanna go léir an díolacháin, mar sin go ndearnadh é a stiúradh agus an duine is ábhar do na sonraí a choinneáil ar an eolas roimh ré. Níor bhreithnigh an DPC go raibh aon ghníomh eile riachtanach nuair a eisíodh an toradh.

Bhain an gearán seo le sonraí pearsanta an ghearánaigh a phróiseáil i riocht íomhá socair ó phíosa scannánaíochta CCTV a rinneadh i siopa geallghlacadóra, agus an t-íomhá son a scaipeadh ar shiopaí geallghlacadóra eile sa slabhra le nóta rabhaidh do bhaill foirne d’fhonn an gearánach a chosc ar gheallta a chur.

Chinn an Coimisiún go raibh an siopa geallghlacadóra ar an rialaitheoir sonraí toisc go ndearna sé na sonraí pearsanta atá i gceist a rialú agus a phróiseáil. Is éard a bhí sna sonraí (i measc nithe eile) ná íomhá den ghearánach agus nótaí inmheánacha a scaipeadh ar bhaill foirne an rialaitheora sonraí maidir leis an ngearánach. Bhí na sonraí ina sonraí pearsanta toisc gur bhain siad leis an ngearánach mar dhuine aonair agus go bhféadfaí an gearánach a aithint ó na sonraí.

Mar fhreagra ar an ngearán, chuir an rialaitheoir sonraí roinnt cúiseanna chun cinn i leith sonraí pearsanta an ghearánaigh a phróiseáil agus d’fhéach sé le háitiú go raibh bunús dlíthiúil bailí i ndáil le gach aon chuspóir, de réir mar a fhoráiltear ina leith sa reachtaíocht um chosaint sonraí. Áiríodh an méid seo a leanas leis na cúiseanna agus bunúis dhlíthiúla chomhfhreagracha a chuir an rialaitheoir sonraí i láthair:

1. Oibleagáidí Dlíthiúla agus Rialála: D’áitigh an rialaitheoir sonraí go gceanglaítear air sonraí pearsanta a úsáid agus a choinneáil chun cloí le hoibleagáidí dlíthiúla agus rialála áirithe, ar nós gníomhaíocht ghealltóireachta amhrasach agus idirbhearta calaoiseacha a bhrath faoin reachtaíocht um cheartas coiriúil is infheidhme. Ba é an bunús dlíthiúil a chuir an rialaitheoir sonraí chun cinn go raibh an phróiseáil dlíthiúil toisc go raibh sé riachtanach don rialaitheoir sonraí cloí le hoibleagáid dhlíthiúil.
2. Bainistíocht Riosca: Mhaígh an rialaitheoir sonraí go dtaifeadann sé sonraí pearsanta a bhaineann le custaiméirí chun críche bainistíochta riosca tráchtála. Ba é an bunús dlíthiúil a cuireadh chun cinn i ndáil leis sin go raibh an phróiseáil dlíthiúil chun críocha na leas- anna dlisteanacha ar thug an rialaitheoir sonraí fúthu.
3. Próifíliú: Dheimhnigh an rialaitheoir sonraí go ndéanann sé próifíliú ar ghníomhaíocht ghealltóireachta custaiméirí (i measc nithe eile) d’fhonn eispéireas na gcustaiméirí a fheabhsú. D’áitigh an rialaitheoir sonraí go raibh próiseáil dá leithéid ina próiseáil dhlíthiúil chun cloí le hoibleagáidí dlíthiúla agus chun críocha na leasanna dlisteanacha ar thug an rialaitheoir sonraí fúthu.

Chinn an Coimisiún gur aithin an rialaitheoir sonraí bunús dlíthiúil oiriúnach i ndáil le gach aon chuspóir dár phróiseáil sé sonraí pearsanta a bhain lena chuid custaiméirí. Ina dhiaidh sin, bhreithnigh an Coimisiún ar chloígh an rialaitheoir sonraí leis an oibleagáid i ndáil leis na sonraí a phróiseáil ar bhealach cothrom. Sa chomhthéacs seo, thug an Coimisiún faoi deara go bhfuil sé d’oibleagáid ar an rialaitheoir sonraí faisnéis a chur ar fáil don ghearánach maidir leis na príomhghnéithe a bhaineann le sonraí pearsanta an ghearánaigh a bhailiú agus a úsáid. Chuir an rialaitheoir sonraí doiciméad inmheánach den chuideachta ar fáil don ghearánach agus dheimhnigh sé gur próiseáladh sonraí pearsanta an ghearánaigh i gcomhréir leis an doiciméad sin. Mar sin féin, bhí an dáta a cuireadh leis an doiciméad ina dháta i ndiaidh sonraí pearsanta an ghearánaigh a phróiseáil. Ar an mbonn sin, thug an Coimisiún faoi deara nach raibh sé soiléir gur cuireadh an fhaisnéis riachtanach ar fáil don ghearánach agus dá bhrí sin, gur theip ar an rialaitheoir sonraí sonraí pearsanta an ghearánaigh a phróiseáil ar bhealach cothrom.

Ar deireadh, bhreithnigh an Coimisiún an tréimhse ama ar coinníodh na sonraí pearsanta. Maidir leis sin, tugtar faoi deara go n-éilítear faoin reachtaíocht ábhartha ar rialaitheoir sonraí gan sonraí pearsanta a choinneáil níos faide ná mar atá riachtanach do na cuspóirí a phróiseáiltear na sonraí. Coinníodh sonraí pearsanta an ghearánaigh ar feadh thart ar seacht mbliana. Bhreithnigh an Coimisiún gur ghníomhaigh an rialaitheoir sonraí i gcomhréir leis an reachtaíocht i ndáil leis sin toisc go raibh leas dlisteanach (bainistíocht riosca tráchtála) ag an rialaitheoir sonraí sonraí an ghearánaigh a choinneáil.

Bhí an gearánach seo páirteach i dtimpiste i gcarrchlós den fhoirgneamh ina raibh siad ag obair. Rinne bainisteoir an charrchlóis gearán le fostóir an ghearánaigh agus fuair fostóir an ghearánaigh íomhánna ón scannánaíocht CCTV den teagmhas ina dhiaidh sin. Tionscnaíodh imeachtaí araíonachta i gcoinne an ghearánaigh mar gheall ar an teagmhas sa charrchlós. Bhreathnaigh bainisteoir an ghearánaigh agus comhghleacaithe an ghearánaigh ar na híomhánna ón CCTV i gcomhthéacs na n-imeachtaí araíonachta.

Ba é fostóir an ghearánaigh an rialaitheoir sonraí i ndáil leis an ngearán, mar gheall gur rialaigh sé ábhar agus úsáid sonraí pearsanta an ghearánaigh chun críche fostaíocht an ghearánaigh a bhainistiú agus na himeachtaí araíonachta a stiúradh. Íomhánna den ghearánach a bhí sna sonraí pearsanta mar gheall gur bhain siad leis an ngearánach mar dhuine aonair agus gurbh fhéidir an gearánach a shainaithint iontu.

Mar fhreagra ar an ngearán, d’áitigh an rialaitheoir sonraí go raibh bunús dlí le sonraí pearsanta an ghearánaigh a phróiseáil faoin reachtaíocht de bharr gur úsáideadh na híomhánna CCTV chun cód cleachtais an fhostaí a fhorfheidhmiú, a bhí mar chuid de chonradh fostaíochta an ghearánaigh. Sloinneadh freisin, mar gheall ar chineál tromchúiseach an teagmhais a raibh an gearánach páirteach ann, go mba ghá don rialaitheoir sonraí imscrúdú a dhéanamh ar an teagmhas i gcomhréir le beartas araíonachta na cuideachta, a ndearnadh tagairt dó i gconradh fostaíochta an ghearánaigh. D’áitigh an rialaitheoir sonraí freisin go raibh na híomhánna ón CCTV teoranta don teagmhas i gceist agus nár bhreathnaigh ach líon teoranta de na daoine a bhí rannpháirteach sa phróiseas araíonachta orthu.

Thug an DPC ar aird go gceadaítear, faoin reachtaíocht um chosaint sonraí, sonraí pearsanta duine a phróiseáil i gcás gur ghá an phróiseáil a dhéanamh chun conradh ar páirtí ann an t-ábhar sonraí (an duine a bhfuil a shonraí pearsanta á bpróiseáil) a chomhlíonadh. Thug an DPC ar aird gur fhéach an rialaitheoir sonraí anseo lena áitiú go mba ghá na híomhánna ón CCTV a úsáid chun conradh fostaíochta an ghearánaigh a chomhlíonadh. Mar sin féin, ba é tuairim an DPC nár ‘ghá’ don rialaitheoir sonraí pearsanta an ghearánaigh a bhí sna híomhánna ón CCTV a phróiseáil chun an conradh sin a chomhlíonadh. Le go n-éireodh leis an áitiú sin, bheadh ar an rialaitheoir sonraí a thaispeáint nárbh fhéidir leis conradh fostaíochta an ghearánaigh a chomhlíonadh gan sonraí pearsanta an ghearánaigh a phróiseáil. De bharr gur theip ar an rialaitheoir sonraí an DPC a shásamh gurbh amhlaidh an cás, breithníodh gur sháraigh an rialaitheoir sonraí an reachtaíocht um chosaint sonraí.

Thug an DPC ar aird freisin, gur ann do phrionsabail dlí áirithe nach mór do rialaitheoir sonraí cloí leo, sa bhreis ar an gceanglas go mbeadh bunús dlí le próiseáil, agus próiseáil sonraí pearsanta á dhéanamh aige. Tharraing sé aird ar an bhfíoras go gcaithfidh an phróiseáil a bheith leormhaith, ábhartha agus teoranta don mhéid is gá maidir leis na críocha dá ndéantar iad a phróiseáil. Thug an DPC áitiú an rialaitheora sonraí go raibh na híomhánna ón CCTV teoranta don teagmhas i gceist agus nár bhreathnaigh ach líon teoranta de na daoine a bhí rannpháirteach sa phróiseas araíonachta orthu ar aird. Mar sin féin, bhí an DPC den tuairim gur theip ar an rialaitheoir sonraí a thaispeáint cén fáth go mba ghá na híomhánna ón CCTV a úsáid. Ar an mbunús sin, rinne an rialaitheoir sonraí sárú breise ar an reachtaíocht.

Bhí an gearánaí seo fostaithe i siopa atá lonnaithe in ionad siopadóireachta agus bhí baint aige le heachtra i gcarrchlós an ionaid siopadóireachta a bhain le táille an charrchlóis a íoc. Tar éis na heachtra, rinne bainisteoir an charrchlóis gearán le fostóir an ghearánaí agus cuireadh íomhánna ón scannánaíocht CCTV ar fáil d’fhostóir an ghearánaí. Chuir an gearánaí an cheist faoi bhráid an DPC chun a fháil amach an raibh nochtadh na n-íomhánna CCTV dleathach.

Socraíodh gurbh é an t-ionad siopadóireachta an rialaitheoir sonraí mar go raibh smacht aige ar shonraí pearsanta an ghearánaí agus ar a n-úsáid ar mhaithe leis na stadáin a thaispeáint d’fhostóir an ghearánaí. Is éard a bhí sna sonraí ná íomhánna den ghearánaí agus ba shonraí pearsanta iad toisc gur bhain sé leis an ngearánaí mar dhuine aonair agus go bhféadfaí an gearánaí a aithint uaidh.

D’áitigh an rialaitheoir sonraí go raibh cúis dhlisteanach aige leis na híomhánna CCTV a thaispeáint d’ fhostóir an ghearánaí, mar shampla, chun cosc a chur ar dhaoine imeacht as an gcarrchlós gan íoc agus chun an comhaontú a bhí aige le fostóir an ghearánaí maidir lena fhoireann oibre a bheith ag páirceáil sa charrchlós a tharraingt siar. Thug an DPC faoi deara go gcaithfidh bunús dleathach a bheith ag rialaitheoir sonraí le go bhféadfaidh sé próiseáil a dhéanamh ar shonraí pearsanta duine. Ar cheann de na bunúis dlí ar féidir le rialaitheoir sonraí brath orthu tá go bhfuil gá leis an bpróiseáil chun críocha cúrsaí dlisteanacha a bhfuil an rialaitheoir sonraí ag plé leo. (Ba é seo an bunús dlí a raibh an rialaitheoir sonraí ag brath air anseo.) D’admhaigh an DPC go raibh leas dlisteanach ag an rialaitheoir sonraí, i bprionsabal, maidir le sonraí pearsanta an ghearánaí a nochtadh ar na cúiseanna a chuir sé chun cinn. Mar sin féin, ní raibh sé “riachtanach” don rialaitheoir sonraí an CCTV a nochtadh d’fhostóir an ghearánaí chun na leasanna dlisteanacha sin a shaothrú. Bhí sé seo amhlaidh toisc go raibh sé de rogha ag an bhfreastalaí carrchlóis, a bhí fostaithe ag an rialaitheoir sonraí, céimeanna a ghlacadh i gcoinne an ghearánaí, chun na leasanna dlisteanacha a bhaint amach, agus níor ghá go mbeadh fostóir an ghearánaí páirteach ann. Mar shampla, bhí lánrogha ag an bhfreastalaí carrchlóis cosc a chur ar an ngearánach an carrchlós a úsáid gan fostóir an ghearánaí a bheith bainteach leis. Ar an mbonn sin, chinn an DPC nár ghá don rialaitheoir sonraí fhostóir an ghearánaí a chur ar an eolas faoin eachtra ná na stadáin CCTV a chur ar fáil dó. Dá réir sin, ní raibh aon bhunús dlí ag an rialaitheoir sonraí chun é sin a dhéanamh agus sháraigh sé an reachtaíocht um chosaint sonraí.

Aturnae a d’fhostaigh aturnae eile chun ionadaíocht a dhéanamh orthu in imeachtaí dlíthiúla a bhí sa ghearánach. Chlis ar an gcaidreamh idir an gearánach agus an t-aturnae agus rinne an t-aturnae casaoid maidir le hiompar an ghearánaigh le Dlí-Chumann na hÉireann. Sa chomhthéacs sin, thug an t-aturnae faisnéis áirithe faoin ngearánach do Dhlí-Chumann na hÉireann. Chuir an gearánach an t-ábhar ar aghaidh chuig an DPC, agus líomhain gur sháraigh an t-aturnae reachtaíocht um chosaint sonraí.

Fuarthas gurbh é aturnae an ghearánaigh an rialaitheoir sonraí, de bharr gur rialaigh siad ábhar agus úsáid shonraí pearsanta an ghearánaigh chun críche seirbhísí dlí a chur ar fáil don ghearánach. Bhain na sonraí i gceist le (i measc nithe eile) faisnéis faoi imeachtaí dlíthiúla an ghearánaigh agus ba shonraí pearsanta iad de bharr go bhféadfaí an gearánach a shainaithint leo agus gur bhain siad leis an ngearánach mar dhuine aonair.

Thug an DPC an dlínse atá ag Dlí-Chumann na hÉireann plé le casaoidí a bhaineann le mí-iompar aturnaetha (de bhua na nAchtanna Aturnaethe 1954-2015) ar aird. Ghlac sé leis freisin go bhféadfadh a bheith san áireamh leis an gcineál mí-iompair a fhéadfaidh Dlí-Chumann na hÉireann a imscrúdú, aon iompar a d’fhéadfadh damáiste a dhéanamh do chlú na gairme. Thug an DPC ar aird freisin go nglacann Dlí-Chumann na hÉireann leis an dlínse chun imscrúdú a dhéanamh ar ghearáin a dhéanann aturnaetha faoi aturnaetha eile (agus ní ghearáin a dhéanann cliaint nó a dhéantar thar a gceann agus iad sin amháin) agus ceanglaítear lena chód cleachtais gur cheart, i gcás go gcreideann aturnae go bhfuil mí-iompar ar bun ag aturnae eile, é sin a thuairisciú chuig Dlí-Chumann na hÉireann. Dá bharr sin, mheas an DPC go raibh an gearán a rinne an rialaitheoir sonraí le Dlí-Chumann na hÉireann déantar i gceart agus gur faoi Dhlí-Chumann na hÉireann a bhí sé breith a thabhairt ar fhiúntas ghearáin.

Rinne an DPC breithniú ansin ar cibé an ndearna nó nach ndearna an rialaitheoir sonraí sárú ar an reachtaíocht um chosaint sonraí. Maidir leis sin, thug an DPC ar aird go gcaithfidh rialaitheoirí sonraí cloí le prionsabail dlí áirithe atá leagtha amach sa reachtaíocht ábhartha. Rud a bhí ábhartha go sonrach don ghearán seo ab ea an ceanglas go gcaitear sonraí a fháil le haghaidh críche sonraithe agus nach bhfuil tuilleadh próiseála le déanamh orthu ar shlí a bheadh ar neamhréir leis na críocha sin. Fuair an DPC gurb é an fáth ar bailíodh/próiseáladh sonraí pearsanta an ghearánaigh ar dtús ná chun críche seirbhísí dlí a chur ar fáil don ghearánach. Tharraing an DPC ar aird go ndearna Dlí-Chumann na hÉireann tuilleadh próiseála ar shonraí pearsanta an ghearánaigh nuair a rinne an rialaitheoir sonraí gearán leis. De bharr go raibh an tuilleadh próiseála sin le haghaidh críche a bhí difriúil ón gcríoch ar chuici a bailíodh iad, b’éigean don DPC breithniú a dhéanamh ar cibé an raibh nó nach raibh an chríoch taobh thiar den tuilleadh próiseála ar neamhréir leis an gcríoch bhunaidh.

Dheimhnigh an DPC nach gá gur chríoch ar neamhréir í críoch dhifriúil agus gur chóir neamhréir a mheasúnú ar bhonn de réir an cháis i gcónaí. Sa chás seo, mheas an DPC, de bharr gur chun leas an phobail é a chinntiú go rialáiltear gairm an dlí i gceart, nach raibh an chríoch ar chuici a ndearnadh tuilleadh próiseála ar shonraí an ghearánaigh ar neamhréir leis an gcríoch ar chuici a bailíodh iad ar dtús . Ar an mbonn sin, ghníomhaigh an rialaitheoir sonraí de réir na reachtaíochta um chosaint sonraí.

Thug an DPC ar aird ansin, anuas ar cheanglais dlí eile, go gcaithfidh rialaitheoir sonraí bunús dlí a bheith aige chun sonraí pearsanta a phróiseáil. Ba é an bunús dlí a d’fhéach an rialaitheoir sonraí le brath air sa chás seo, gur ghá an phróiseáil a dhéanamh chun críocha na leasanna dlisteanacha a bhí á saothrú ag an rialaitheoir sonraí.

Maidir leis sin, fuair an DPC go raibh leas dlisteanach ag an rialaitheoir sonraí in aon iompar a d’fhéadfadh míchlú a tharraingt ar ghairm an dlí. Chomh maith leis sin, ceanglaíodh ar an rialaitheoir sonraí le Cód Iompair Dhlí-Chumann na hÉireann mí-iompar tromchúiseach a thuairisciú chuig Dlí-Chumann na hÉireann. Mar thoradh air sin, ba é tuairim an DPC go raibh bunús dlí bailí ag an rialaitheoir sonraí chun sonraí pearsanta an ghearánaigh a nochtadh agus nár sháraigh sé an reachtaíocht.

Faoi Airteagal 6 den GDPR, caithfidh bunús dlí bailí a bheith ag rialaitheoir sonraí chun sonraí pearsanta a phróiseáil. Déantar foráil le bunús dlí amháin den sórt sin, le hAirteagal 6(1)(f) den GDPR, nach mbeidh próiseáil dleathach ach amháin más gá, agus a mhéid is gá í a dhéanamh chun críocha na leasanna dlisteanacha atá á saothrú ag an rialaitheoir nó ag tríú páirtí, seachas i gcás ina mbeidh sáraíocht ag na leasanna sin ar leasanna nó ar chearta bunúsacha agus ar shaoirsí bunúsacha an ábhair sonraí. Mar sin féin, déantar foráil le hAirteagal 6(4) den GDPR, i gcás go ndéantar próiseáil sonraí pearsanta chun críche eile seachas an chríoch ar chuici a bailíodh na sonraí pearsanta ar an gcéad dul síos, nach gceadaítear sin ach amháin i gcás go mbeidh an tuilleadh próiseála ag luí leis na críocha sin ar chucu a bailíodh na sonraí pearsanta ar an gcéad dul síos.

Agus rialaitheoirí sonraí ag breithniú cibé an bhfuil próiseáil chun críche eile ag luí leis an gcrích ar chuici a bailíodh na sonraí pearsanta ar an gcéad dul síos, ba cheart dóibh na nithe seo a leanas a chur san áireamh (i) aon nasc idir na críocha ar bailíodh na sonraí pearsanta chucu agus na críocha atá leis an tuilleadh próiseála atá beartaithe, (ii) an comhthéacs inar bailíodh na sonraí pearsanta, (iii) cineál na sonraí pearsanta, (iv) na hiarmhairtí a d’fhéadfadh a bheith ann do na hábhair sonraí ag an tuilleadh próiseála atá beartaithe, agus (v) an bhfuil coimircí iomchuí ann.