Chuir eagraíocht earnála airgeadais príobháidí in iúl don DPC go raibh iarratas déanta ag custaiméir chun a n-uimhreacha IBAN agus BIC a fháil, uimhreacha a bhí á gcoimeád ar comhad. Bhí aithne phearsanta ag an gcustaiméir a bhí ag déanamh an iarratais ar an mball foirne a bhí ag plé leis an iarratas. Ag imeacht ó chleachtais fhaofa, bhain an ball foirne úsáid as a bhfón póca pearsanta chun pictiúr a chur den eolas a bhí á lorg, dar leo, thar ardán curtha teachtaireachtaí (WhatsApp). Go hearráideach, áfach, chuir an ball foirne sonraí a bhain le custaiméir eile chuig an gcustaiméir a rinne an t-iarratas.

Rinne an custaiméir a fuair an t-eolas seo teagmháil leis an eagraíocht chun cur in iúl dóibh nár bhain an t-eolas a fuarthas lena gcuntas siúd agus go raibh siad tar éis glacadh orthu féin an t-ábhar sáraithe ar fad a bhaint dá ngléas . Chuaigh an eagraíocht i dteagmháil le baill fhoirne le cur i gcuimhne dóibh nár chóir ach modhanna údaraithe cumarsáide a úsáid agus iarratais den chineál seo á láimhseáil sa todhchaí . Ghabh an eagraíocht a leithscéal leis na hábhair shonraí go léir a bhí buailte freisin .

D´eisigh an DPC roinnt moltaí a chuimsíonn úsáid uirlisí faofa cumarsáide eagraíochtúla amháin, ag fágáil go bhfuil an fhoireann go hiomlán ar an eolas faoi iompar inghlactha agus do-ghlactha agus uirlisí cumarsáide eagraíochtúla á n-úsáid acu, agus le cinntiú gur cuireadh oiliúint chuí ar an bhfoireann i dtéarmaí a gcuid dualgas/ freagrachtaí faoi fhorálacha an GDPR agus an Achta um Chosaint Sonraí 2018 .

I Mí na Bealtaine 2020, fuair an DPC fógra sáraithe ó phróiseálaí sonraí Éireannach agus ina dhiaidh sin fuair sé fógra ó rialaitheoir sonraí Éireannach atá ag feidhmiú san earnáil dheonach a bhí tar éis an próiseálaí seo a fhostú chun óstáil suíomhanna gréasáin agus seirbhísí bainistithe shonraí a sholáthar.

Bhain an sárú le hionsaí bogearraí éirice a tharla san ionad sonraí a úsáideann an próiseálaí sonraí, agus a tharla de thoradh ar bhogearraí mailíseacha a bhain rochtain amach trí phort 1 RDP* don fhriothálaí .

Chuaigh an DPC i dteagmháil leis an rialaitheoir agus leis an bpróiseálaí agus trí mheán roinnt cumarsáidí — lena n-áirítear eisiúint cheistneoirí teicniúla agus eagraíochtúla a dhíríonn ar réimsí ina bhféadfaí neamhchomhlíonadh na rialachán cosanta sonraí a bheith i gceist . Áiríodh ar na réimsí seo úsáid an phróiseálaí ionaid sonraí laistigh de na Stáit Aontaithe chun sonraí cúltaca a stóráil gan chomha- ontuithe dóthanacha — ná maoirseacht dhóthanach ag an rialaitheoir ar a phróiseálaí — faoi mar a éilítear faoi Airteagal 28 den GDPR .

Chuaigh an DPC i dteagmháil go mion minic leis an dá pháirtí agus thug an DPC an cás seo chun críche trí mholtaí a eisiúint don rialaitheoir agus don phróiseálaí araon . Ina dhiaidh sin lean an DPC air de bheith ag dul i dteagmháil leis an dá pháirtí chun cinntiú go raibh cur i bhfeidhm mholtaí an DPC tar éis tarlú .

*RDP — Prótacal Ciandeisce

Chuir cuideachta bainistíochta maoine tráchtála agus cónaithe in iúl don CCS go raibh fostaí de chuid cuideachta slándála a raibh a chuid seirbhísí coinnithe acu tar éis a bhfón póca pearsanta a úsáid chun píosa scannáin CCTV a thaifeadadh de bheirt den phobal a bhí páirteach i ngníomh pearsanta, a bhí gafa ag an mbainistíocht ceamaraí slándála na cuideachta.

Rinneadh an físeán a tógadh a roinnt ina dhiaidh sin trí WhatsApp le líon teoranta daoine aonair . Chuir an gnó in iúl don CCS gur chuir siad in iúl don fhoireann ad’fhéad- fadh an scannán a fháil go gcaithfidh siad é a scriosadh agus d’iarr siad nach scaipfí an fhíseán a thuilleadh.

Bhí an chuideachta bhainistíochta réadmhaoine agus an chuideachta slándála in ann a thaispeáint go raibh beartais agus nósanna imeachta leordhóthanacha ann, ach bhí easpa maoirseachta agus maoirseachta cuí ann chun comhlíonadh na mbeartas agus na nósanna imeachta seo a chinntiú.

Thuairiscigh duine a fuair rochtain neamhdhleathach ar áitreabh srianta na taifid agus chuir sé grianghraif den chomh-aireacht ina dhiaidh sin ina raibh na comhaid ar na meáin shóisialta.

Chuir eagraíocht na hearnála poiblí a bhí i gceist an CCS ar an eolas, tar éis dó an sárú a bheith ar eolas, gur seoladh ionadaí ón eagraíocht chun na comhaid a aimsiú agus a dhaingniú . Baineadh na comhaid ón áitreabh agus daingníodh iad .

Leagann an sárú seo béim ar an tábhacht a bhaineann le polasaithe bainistíochta taifead cuí a bheith acu; lena n-áirítear meicníochtaí le haghaidh comhaid rianaithe, saoráidí stórála slána cuí agus nósanna imeachta iomlána chun taifid a choinneáil nó a scriosadh. D’eisigh an CCS roinnt moltaí do na heagraíochtaí chun a gcleachtais próiseála sonraí pearsanta a fheabhsú .

Thug an rialaitheoir sonraí, ar comhlacht poiblí é, fógra don Choimisiún faoi theagmhas a bhain le hiompar comhad dlíthiúil cruachóipe ina raibh catagóir speisialta sonraí pearsanta agus an baol ann go dtitfeadh na sonraí pearsanta i lámha daoine aonair neamhúdaraithe.

Rinne an rialaitheoir cuideachta cúiréireachta a chonrú chun na comhaid a iompar chuig roinn eile, ach chuaigh na comhaid ar iarraidh ina dhiaidh sin agus iad faoi bhealach. Tharla sé nár choinnigh an rialaitheoir leagan cúltaca de na comhaid bhunaidh agus cailleadh sonraí pearsanta dá bharr sin . Ní raibh nósanna imeachta dóthanacha i bhfeidhm ag an rialaitheoir le haghaidh comhaid chruachóipe ina bhfuil catagóir speisialta sonraí pearsanta a bhaint agus a stóráil go slán . D’fhéadfaí an sárú a chosc sa chás seo dá mba rud é go ndearna an eagraíocht breithniú cuí ar a riachtanais agus ábhair den sórt sin á n-iompar aici chuig láthair eile agus ar na rioscaí dúchasacha atá i gceist le gníomhaíochtaí den sórt sin agus dá mba rud é gur chuir sí bearta níos sláine chun feidhme chun cosaint sonraí pearsanta a chinntiú

Thug rialaitheoir sonraí san earnáil phríobháideach (oideachas) fógra don Choimisiún faoi theagmhas fioscaireachta, áit ar chliceáil ball foirne ar nasc amhrasach suíomh Gréasáin agus ar chuir sé a dhintiúir isteach.

Cuireadh cuntas ríomhphoist an bhaill foirne i mbaol dá bharr sin . Níor chumasaigh an rialaitheoir sonraí fíord- heimhniú ilfhachtóra ar a chuntais ríomhphoist . D’fhéadfaí an sárú sonraí a chosc sa chás seo dá mba rud é go raibh an beart teicniúil sin agus oiliúint chuí i gcibearshlándáil i bhfeidhm ag an rialaitheoir sonraí ón tús .

Chaill fostaí de chuid an rialaitheora sonraí, ar comhlacht earnála poiblí é, gléas neamhchriptithe USB ina raibh faisnéis phearsanta faoi roinnt comhghleacaithe agus roinnt úsáideoirí seirbhíse.

Bhí i bhfeidhm ag an rialaitheoir poiblí an beartas agus na nósanna imeachta cuí lenar cuireadh cosc ar shonraí pearsanta a stóráil ar a chóras lárnach TF agus ar shonraí pearsanta a bhaint ón gcóras sin ach gléasanna neamhchriptithe a úsáid . Ní raibh i bhfeidhm aige, áfach, an fhormhaoirseacht ná an mhaoirseacht a bhí riachtanach chun a chinntiú go gcloífí lena chuid rialacha . Ba chosúil nach raibh an fostaí ar an eolas faoin mbeartas maidir le gléasanna neamhchriptithe a úsáid ach oiread . Bheifí in ann an sárú a chosc sa chás seo dá mba rud é gur chuir an eagraíocht an beartas chun feidhme ina iomláine agus gur chuir sí an fhoireann ar an eolas faoi .

Cúlra I mí Feabhra 2021, thaisc ábhar sonraí gearán leis an gCoimisiún um Chosaint Sonraí de bhun Airteagal 77 GDPR. Bhain an gearán le rialaitheoir sonraí atá lonnaithe in Éirinn. Measadh gurbh é an Coimisiún an t-údarás inniúil chun críche Airteagal 56(1) GDPR.

Bhí mionsonraí an ghearáin mar a leanas:

a . Sheol an t-ábhar sonraí ríomhphost chuig an rialaitheoir sonraí i mí Eanáir 2021 chun a iarraidh go léirscriosfaí a shonraí pearsanta .

b . Ní bhfuair an t-ábhar sonraí aon fhreagra ón rialaitheoir sonraí .

Tar éis réamhscrúdú a dhéanamh ar an ábhar ar dhírigh an gearánach a aird air, mheas an Coimisiún go raibh dóchúlacht réasúnach ann go bhféadfadh na páirtithe lena mbaineann ábhar an ghearáin a réiteach go neam- hfhoirmiúil laistigh de chreat ama réasúnach . Réiteach Neamhfhoirmiúil Rinne an Coimisiún caidreamh leis an ábhar sonraí agus leis an rialaitheoir sonraí araon i ndáil le hábhar an ghearáin . De bhun an chaidrimh sin, fuarthas amach gur tharla sé, le linn na seachtaine inar sheol an t-ábhar sonraí an iarraidh léirscriosta uaidh le ríomhphost chuig an rialaitheoir, gur chuir an rialaitheoir próiseas nua chun feidhme chun iarrataí léirscriosta a bhainistiú ar shlí níos fearr . D’inis an rialaitheoir sonraí don Choimisiún gurbh idirthréimhse í an tseachtain ina bhfuarthas an ríomhphost agus gur chosúil nár tugadh faoi deara é . Le linn na hidirthréimhse sin, bhí pearsana nua á n-oiliúint ar conas na cineálacha iarrataí sin a bhainistiú . Luaigh an rialaitheoir sonraí gur de dhearmad a tharla an earráid agus gurbh fhéidir gur tháinig sí as an aistriú teicniúil nó as earráid an duine . B’oth leis an earráid . Sna himthosca, d’aontaigh an rialaitheoir sonraí na gníomhartha seo a leanas a dhéanamh:

1 . D’aontaigh an rialaitheoir sonraí an iarraidh léirscriosta a chomhlíonadh; agus

2 . Ghabh an rialaitheoir sonraí leithscéal ó chroí as an earráid .

I mí Eanáir 2022, chuir an Coimisiún an t-ábhar sonraí ar an eolas faoin toradh deiridh ar an gcaidreamh a rinne sé leis an rialaitheoir sonraí . Agus é sin á dhéanamh aige, thug an Coimisiún faoi deara gur chosúil gur thug na gníomhartha a rinne an rialaitheoir sonraí aghaidh leordhóthanach ar na hábhair imní a tarraingíodh anuas sa ghearán uaidh . Sna himthosca, i gcás go raibh sé míshásta leis an toradh, d’iarr an Coimisiún ar an ábhar sonraí fógra a thabhairt dó faoi sin laistigh de dhá mhí ionas go bhféadfadh sé an ní a bhreithniú tuilleadh . An lá dár gcionn, chuir an t-ábhar sonraí an Coimisiún ar an eolas le ríomhphost gur aontaigh sé leis an réiteach neamhfhoirmiúil toisc gur réitíodh na hábhair imní a bhí aige . D’inis an t-ábhar sonraí don Choimisiún ina dhiaidh sin gur cuireadh an iarraidh léirscriosta i gcrích agus gur léirscriosadh a shonraí pearsanta . Deimhniú maidir leis an Toradh Chun críocha nós imeachta comhsheasmhachta agus comhair an Rialacháin Ghinearálta maidir le Cosaint Sonraí, chuir an Coimisiún dréacht den toradh in iúl, rud inar deimhníodh na nithe seo a leanas:

• Réitíodh an gearán ina iomláine ar shlí chairdiúil idir na páirtithe lena mbaineann;
• Ba é an toradh a bhí ar an réiteach aontaithe ná nárbh ann d’ábhar an ghearáin a thuilleadh .

Ní bhfuarthas aon agóidí ábhartha réasúnaithe ó na húdaráis mhaoirseachta lena mbaineann maidir leis an dréacht, agus dhún an Coimisiún an comhad sa chás seo ina dhiaidh sin .

Baineann an cás-staidéar seo le gearán a fuair an Coimisiún tríd an sásra maidir le hIonaid Ilfhreastail, a cruthaíodh leis an Rialachán Ginearálta, ó dhuine aonair maidir le hiarraidh léirscriosta a rinne sé chuig MTCH Technology Services Limited (Tinder). Mar fhaisnéis chúlra, chuir Tinder cuntas an duine aonair ar fionraí. Tar éis na fionraí sin, chuir an duine aonair iarraidh faoi bhráid Tinder faoi Airteagal 17 RGCS, á iarraidh go léirscriosfaí na sonraí pearsanta uile a sealbhaíodh i ndáil leis. Nuair a rinne sé teagmháil le Tinder, chuir an duine aonair in iúl freisin gur fadhb é nach féidir teagmháil dhíreach a dhéanamh le hoifigeach cosanta sonraí Tinder. Toisc nach raibh an duine aonair sásta leis an bhfreagra a fuair sé ó Tinder, rinne sé gearán le hÚdarás Maoirseachta na Gréige.

Mhaígh an duine aonair nár thug Tinder aghaidh chuí ar an iarraidh léirscriosta uaidh ná ar na hábhair imní a bhí aige maidir le cainéil an oifigigh cosanta sonraí a rochtain . Ós rud é gurb é an Coimisiún an Príomhúdarás Maoirseachta do Tinder, chuir Údarás Maoirseachta na Gréige an gearán ar aghaidh chuige lena láimhseáil aige . Sainaithníodh an gearán a bheith ina ghearán a d’fhéadfaí a réiteach go cairdiúil faoi alt 109 den Acht um Chosaint Sonraí, 2018 . D’aontaigh Tinder obair i gcomhar leis an gCoimisiún chun an gearán ón duine aonair a réiteach go cairdiúil . Chuir an Coimisiún substaint an ghearáin in iúl do Tinder agus rinne sé caidreamh leis . Mar fhreagra, agus mar réiteach cairdiúil beartaithe, dúirt Tinder go ndéanfadh sé athbhreithniú úr ar an toirmeasc a bhí ina ábhar don chás seo . Tar éis an athbhreithnithe sin, chinn Tinder deireadh a chur leis an toirmeasc . Tar éis do Tinder deireadh a chur le toirmeasc, cumasaítear do dhuine aonair a c(h)untas ar an ardán a rochtain an athuair . Is féidir leis an duine aonair a chinneadh ansin cé acu is mian nó nach mian leis/léi na huirlisí féinscriosta a úsáid chun a c(h)untas a léirscriosadh ó ardán Tinder . Mar aon leis an méid thuas, sholáthair Tinder faisnéis don duine aonair faoina bheartais choinneála . Maidir leis an gcumas atá ag daoine aonair teagmháil a dhéanamh lena oifigeach cosanta sonraí, tharla sé, de bhun an chaidrimh a rinne an Coimisiún le Tinder, gur aontaigh Tinder na próisis a bhí i bhfeidhm aige a neartú trí leathanach tiomnaithe ceisteanna coitianta a phostáil ar a ardán . Tugtar do dhaoine aonair ar an leathanach sin anois faisnéis bhreisithe faoi shaincheisteanna sonracha a bhaineann le sonraí pearsanta a phróiseáil agus leis na cearta sin a fheidhmiú go díreach le hoifigeach cosanta sonraí Tinder. Trí Údarás Maoirseachta na Gréige, chuir an Coimisiún an duine aonair ar an eolas faoi na gníomhartha a rinne Tinder . Sa fhreagra uaidh, dheimhnigh an duine aonair go raibh sé sásta an ní a thabhairt i gcrích . Mar sin, réitíodh an ní go cairdiúil de bhun alt 109(3) den Acht um Chosaint Sonraí, 2018 (an tAcht), agus measadh an gearán a bheith tarraingthe siar .

Le linn na bliana 2021, fuair an DPC iarrataí GDPR Airteagal 61 ar chúnamh frithpháirteach ó údaráis cosanta sonraí na hÍsiltíre agus na Fraince. I ngach aon cheann de na hiarrataí sin, iarradh ar an DPC tuilleadh imscrúdaithe a dhéanamh ar roinnt ábhair imní maidir leis an bpróiseáil a dhéanann TikTok ar shonraí pearsanta a úsáideoirí, go háirithe úsáideoirí linbh.

Bhí na húdaráis bhainteacha ag déanamh imscrúdú ar TikTok sular lonnaigh an chuideachta a príomhbhunaíocht (ceanncheathrú AE) in Éirinn i mí Iúil 2020, ar ina dhiaidh Mar thoradh air sin, chinn údaráis na hÍsiltíre agus na Fraince nach raibh siad inniúil a thuilleadh imscrúdú a dhéanamh ar TikTok agus d’aistrigh siad a gcomhaid imscrúdaithe ar an mbonn sin, ag iarraidh ar an DPC tuilleadh imscrúdaithe a dhéanamh . Mar gheall ar na himscrúduithe seo, agus mar gheall gur aithin an DPC féin ábhair imní bharrthábhachtacha trí rannpháirtíocht ghníomhach le TikTok sa bhliain 2021, chuir an DPC tús le dhá fhiosrúchán dá thoil féin de bhun Alt 110 den Acht um Chosaint Sonraí 2018 maidir le TikTok bheith ag comhlíonadh riachtanais an GDPR .