Fiosrúchán ar an nGarda Síochána
Bhain an fiosrúchán seo, a rinneadh faoi Chuid 5 den Acht um Chosaint Sonraí, 2018, le tuairisc a fuair an Coimisiún um Chosaint Sonraí ón nGarda Síochána faoi shárú sonraí pearsanta, tar éis sárú sonraí ag stáisiún de chuid an Gharda Síochána. Bhí sé mar aidhm leis an bhfiosrúchán a chinneadh cé acu a rinneadh nó nach ndearnadh sáruithe ar ailt 71(1)(f), 72(1), 75 agus 78 den Acht um Chosaint Sonraí, 2018, le linn don Gharda Síochána sonraí pearsanta a phróiseáil.
Bhain an sárú sonraí ab ábhar don fhiosrúchán seo le sonraí pearsanta “daoine ab ábhar spéise” don Gharda Síochána i gcomhthéacs imscrúduithe leanúnacha. Próiseáladh na sonraí sin ar Chlár Feasachán Faisnéise a bhí lonnaithe i seomra i stáisiún de chuid an Gharda Síochána, rud nár cheart d’aon duine seachas Garda rochtain neamhthionlactha a bheith aige/aici air. Fuair conraitheoir a bhí ag tabhairt faoi oibreacha deisiúcháin ag an stáisiún rochtain ar na sonraí pearsanta sin, lenar áiríodh ainm agus seoladh 108 n-ábhar sonraí, ábhair sonraí shoghonta ina measc. Comhroinneadh na sonraí pearsanta ar na meáin shóisialta ansin.
I measc nithe eile, rinneadh na cinntí seo a leanas tar éis an imscrúdaithe ón gCoimisiún ar an ní:
- Bhí beartais shonracha agus nósanna imeachta sonracha in easnamh maidir leis an dóigh a bpróiseálann an Garda Síochána sonraí pearsanta, rud a d’fhág nár shásaigh sé ceanglais ailt 72(1), 75 agus 78 den Acht um Chosaint Sonraí, 2018, agus, ar an tslí sin, alt 71(1)(f) den Acht. Rud sonrach, mhainnigh an Garda Síochána bearta cuí teicniúla agus eagrúcháin a chur chun feidhme chun na sonraí pearsanta a bhí á bpróiseáil ag an nGarda Síochána tráth an tsáraithe a chosaint.
- Bhí bearta sonracha slándála in easnamh tráth an tsáraithe, rud a d’fhág gur mhainnigh an Garda Síochána cur chun feidhme a dhéanamh ar leibhéal slándála ba chuí maidir leis an díobháil a d’fhéadfadh teacht as an dóigh a bpróiseálann an Garda Síochána sonraí pearsanta.
- Bhí mainneachtain ann measúnú riosca a dhéanamh sular tosaíodh an phróiseáil, chun a chinneadh cé chomh cuí agus a bhí na bearta slándála maidir leis an díobháil a d’fhéadfadh teacht as an bpróiseáil.
- Bhí mainneachtain ann a léiriú go ndearna an Garda Síochána aon mheasúnú réamhsháraithe ar na nithe ar cheart do rialaitheoir aird a bheith aige orthu faoi alt 78(a) go (g) den Acht um Chosaint Sonraí, 2018.
- In imthosca inar bhain na sonraí pearsanta a próiseáladh ar an gClár Feasachán Faisnéise le himscrúduithe leanúnacha agus le sonraí pearsanta ábhar sonraí soghonta, cinneadh go raibh na sonraí pearsanta sin de chineál an-íogair.
Na cumhachtaí ceartaitheacha a feidhmíodh
Fuarthas amach sa chinneadh go raibh sé cuí cumhachtaí ceartaitheacha a fheidhmiú de réir alt 124(3) d’Acht 2018 agus leagtar amach ann na cumhachtaí ceartaitheacha a feidhmíodh de bhun alt 127(1) d’Acht 2018. Is iad sin:
- Iomardú a eisíodh chuig an nGarda Síochána, de bhun alt 127(1)(b) den Acht um Chosaint Sonraí, 2018, i leith na sáruithe. Léirigh cineál na sáruithe a sainaithníodh go raibh mainneachtain ghinearálta ag an nGarda Síochána bearta cuí teicniúla agus eagrúcháin a chur chun feidhme chun a chinntiú go bpróiseálfadh sé sonraí pearsanta de réir an Achta um Chosaint Sonraí, 2018, agus
- Ordú a eisíodh chuig an nGarda Síochána chun a phróiseáil a chur i gcomhréir leis na forálacha iomchuí den Acht um Chosaint Sonraí, 2018, trí bhearta cuí teicniúla agus eagrúcháin a chur chun feidhme i leith shlándáil na gClár Feasachán Faisnéise ar fud a líonra stáisiún in Éirinn.
Fiosrúchán maidir le Tacar Sonraí Meta - Samhain 2022
Ar an 25 Samhain 2022, ghlac an Coimisiún um Chosaint Sonraí (an DPC) le cinneadh chun fíneáil €265 milliún a ghearradh agus cumhachtaí ceartaitheacha eile a chur ar Meta Platforms Ireland Limited (Facebook Ireland Limited roimhe seo) (Meta Platforms).
Chuir an DPC tús leis an bhfiosrúchán seo ar an 14 Aibreán 2021, de bhun tuairiscí sna meáin faoi aimsiú tacar sonraí de shonraí pearsanta Facebook a bhí tiomsaithe agus curtha ar fáil ar an idirlíon. Bhain raon an fhiosrúcháin le scrúdú agus measúnú ar na huirlisí Facebook Search, Facebook Messenger Contact Importer agus Instagram Contact Importer i dtaca le próiseáil a rinne Meta Platforms Ireland (MPIL) le linn na tréimhse idir an 25 Bealtaine 2018 agus Meán Fómhair 2019. Bhain na ceisteanna ábhartha san fhiosrúchán seo le comhlíonadh na hoibleagáide faoin GDPR le haghaidh Cosaint Sonraí de réir Dearadh agus Réamhshocraithe. Rinne an DPC scrúdú ar fheidhmiú beart teicniúla agus eagraíochtúla de bhun Airteagail 25 GDPR (a phléann leis an gcoincheap seo).
Próiseas fiosrúcháin cuimsitheach a bhí ann. Cé gur próiseáil “trasteorann” a bhí i gceist leis an bpróiseáil a scrúdaíodh, bhí cinneadh an DPC faoi réir an chórais comhoibrithe agus comhsheasmhachta a achoimrítear in Airteagal 60 GDPR agus ghlac gach ceann de na húdaráis maoirseachta Eorpacha eile páirt ann. D’aontaigh na húdaráis maoirseachta eile sin le cinneadh an Choimisiúin um Chosaint Sonraí. Dá réir sin, léiríonn cinneadh an DPC tuairimí coiteanna an DPC agus a chomhúdaráis maoirseachta ar fud an AE.
Glacadh leis an gcinneadh Dé hAoine, 25 Samhain 2022, agus cláirítear cinntí ann gur sáraíodh Airteagail 25(1) agus 25(2) den GDPR. Sa chinneadh cuireadh iomardú agus ordú go gcuirfidh Meta Platforms a phróiseáil i gcomhlíonadh trí réimse bearta sonraithe feabhais a dhéanamh laistigh de thréimhse áirithe. Chomh maith leis seo, ghearr an cinneadh fineálacha riaracháin ar Meta Platforms atá €265 milliún san iomlán.
Le haghaidh tuilleadh eolais, léigh an cinneadh iomlán i mBéarla: Fiosrúchán maidir le Tacar Sonraí Meta - Samhain 2022 (PDF, 1.1 MB).
Fiosrúchán maidir le Cuideachta Árachais Ark Life (Cuideachta Gníomhaíochta Ainmnithe)
Tháinig an cinneadh seo chun cinn mar gheall ar fhiosrúchán féintoilithe a thosaigh an Coimisiún um Chosaint Sonraí (DPC) de bhun Alt 110 den Acht um Chosaint Sonraí, 2018 chun breithniú a dhéanamh faoi ar chomhlíon Ark Life an Rialachán Ginearálta maidir le Cosaint Sonraí (GDPR) maidir lena n-oibríochtaí próiseála.
Cuireadh tús leis an bhfiosrúchán i ndiaidh do Ark Life 158 sárú i ndáil le sonraí pearsanta a chur in iúl don DPC idir Nollaig na bliana 2018 agus Bealtaine na bliana 2020. Bhain na fógraí sáraithe sonraí go príomha le nochtadh neamhúdaraithe sonraí pearsanta mar thoradh ar mhíchruinneas i seoltaí agus saincheisteanna laistigh de na nósanna imeachta poist agus ríomhphoist atá á bhfeidhmiú ag Ark Life.
Measadh sa chinneadh ar chomhlíon Ark Life Airteagal 32(1) an GDPR agus ar chuir Ark Life go háirithe bearta iomchuí teicniúla agus eagraíochtúla i bhfeidhm ar mhaithe le leibhéal riosca a chinntiú atá oiriúnach do na rioscaí a bhaineann lena n-oibríochtaí próiseála.
Fuarthas amach sa chinneadh gur chomhlíon Ark Life na hoibleagáidí atá acu faoi Airteagal 32(1) an GDPR. Dhearbhaigh Ark Life gur cuireadh beartais i bhfeidhm, beartais a bhí curtha in oiriúint go háirithe do na rioscaí a bhaineann leis an bpróiseáil. Chuir Ark Life oiliúint ar fáil arís agus arís eile d’earnálacha an ghnólachta, a bhí faoi réir den chuid is mó ag sáruithe den chineál sin i ndáil le sonraí pearsanta. Ghlac Ark Life le bearta réamhghníomhacha freisin chun freagra a thabhairt ar phróifíl riosca roinnt aonaid ghnó atá ag méadú trí bhearta slándála breise a chur i bhfeidhm i ndiaidh do roinnt sáruithe i ndáil le sonraí pearsanta tarlú. Tá fabhtanna sna próisis a bhaineann leis na bearta sin ar tugadh aghaidh orthu, maidir le sonraí teagmhála na gcustaiméirí agus ag plé le post ar seoladh ar ais.
Chinn an DPC nár sháraigh Ark Life Airteagal 32(1), agus iad ag tógáil san áireamh candam na sáruithe ar shonraí, na bearta teicniúla agus eagraíochtúla a chuir Ark Life i bhfeidhm agus déine mheasartha nó íseal an riosca do na hábhair sonraí. Dá réir sin, níor feidhmíodh cumhachtaí ceartaitheacha sa chinneadh seo.
Le haghaidh tuilleadh eolais, léigh an cinneadh iomlán i mBéarla: Cuideachta Árachais Ark Life (Cuideachta Gníomhaíochta Ainmnithe) - Méan Fómhair 2022 (PDF 352 KB)
Fiosrúchán ar Airbnb Ireland UC - Meán Fómhair 2022
An 14 Meán Fómhair 2022, tar éis fiosrúcháin, ghlac an Coimisiún um Chosaint Sonraí (an Coimisiún) cinneadh chun cumhachtaí ceartaitheacha a fheidhmiú i leith Airbnb Ireland UC (Airbnb).
Thosaigh an Coimisiún an fiosrúchán sin an 25 Márta 2021 de bhun gearán a fháil á rá gur mhainnigh Airbnb iarraidh léirscriosta agus iarraidh rochtana ina dhiaidh sin a chuir an Gearánach faoina bhráid a chomhlíonadh laistigh den chreat ama reachtúil agus gur tharla sé, nuair a chuir an Gearánach an iarraidh léirscriosta uaidh isteach, gur iarr Airbnb air a aitheantas a fhíorú trí fhótachóip dá dhoiciméad aitheantais (aitheantas) a sholáthar, rud nár soláthraíodh do Airbnb roimhe sin.
Bhain raon feidhme an fhiosrúcháin le scrúdú agus measúnú a dhéanamh ar na nithe seo a leanas:
- Cé acu a bhí nó nach raibh bunús dleathach ag Airbnb le cóip d’aitheantas an Ghearánaigh a iarraidh chun a aitheantas a fhíorú in imthosca inar chuir sé iarraidh léirscriosta isteach de bhun Airteagal 17;
- Cé acu a láimhseáil nó nár láimhseáil Airbnb an iarraidh léirscriosta ón nGearánach i gcomhréir leis an Rialachán Ginearálta maidir le Cosaint Sonraí agus leis an Acht; agus
- Cé acu a láimhseáil nó nár láimhseáil Airbnb an iarraidh rochtana ón nGearánach i gcomhréir leis an Rialachán Ginearálta maidir le Cosaint Sonraí agus leis an Acht.
Ós rud é gurbh ionann an phróiseáil a bhí i gceist agus próiseáil “trasteorann”, bhí an cinneadh ón gCoimisiún faoi réir an tsásra comhair agus comhsheasmhachta atá leagtha amach in Airteagal 60 RGCS agus, de bhun Airteagal 60(3) RGCS, chuir an Coimisiún an dréachtchinneadh uaidh faoi bhráid na n-údarás maoirseachta lena mbaineann ar mhaithe le tuairim a fháil uathu. Ós rud é nach bhfuair an Coimisiún aon agóidí ábhartha réasúnaithe in aghaidh an dréachtchinnidh ó na húdaráis mhaoirseachta lena mbaineann laistigh den tréimhse reachtúil, measadh gur aontaigh na húdaráis mhaoirseachta leis an dréachtchinneadh ón gCoimisiún agus tá siad faoi cheangal aige de réir Airteagal 60(6) RGCS. Ghlac an Coimisiún an cinneadh uaidh i ndáil leis an ngearán seo de réir Airteagal 60(7) RGCS.
Glacadh an cinneadh Dé Céadaoin an 14 Meán Fómhair 2022 agus taifeadtar na sáruithe seo a leanas ann:
- Airteagal 5(1)(c) RGCS
Cinneann an Coimisiún gur sháraigh Airbnb prionsabal an íoslaghdaithe sonraí, de bhun Airteagal 5(1)(c) RGCS, nuair a cheangail sé ar an nGearánach a aitheantas a fhíorú trí chóip dá aitheantas fótagrafach a chur isteach. Tharla an sárú seo in imthosca ina raibh réitigh nach raibh chomh sonraíbhunaithe céanna ar cheist an fhíorúcháin aitheantais ar fáil do Airbnb.
- Airteagal 6(1) RGCS
Cinneann an Coimisiún gur tharla sé, in imthosca sonracha an ghearáin seo, nach bhfuil an leas dlisteanach a shaothraigh an rialaitheoir ina bhunús dleathach bailí faoi Airteagal 6 RGCS le cóip d’aitheantas fótagrafach an Ghearánaigh a iarraidh chun an iarraidh léirscriosta uaidh a phróiseáil.
- Airteagal 12(3) RGCS
Cinneann an Coimisiún gur sháraigh Airbnb Airteagal 12(3) RGCS i ndáil leis an dóigh ar láimhseáil sé an iarraidh rochtana ón nGearánach. Tharla an sárú seo nuair a mhainnigh Airbnb faisnéis a sholáthar don Ghearánach faoin ngníomh a rinneadh i dtaca leis an iarraidh rochtana uaidh laistigh de mhí amháin ón iarraidh a fháil.
Le haghaidh tuilleadh eolais, léigh an cinneadh iomlán: Fiosrúchán ar Airbnb Ireland UC - Meán Fómhair 2022 (PDF, 0.5mb).
Fiosrúchán maidir le sonraí pearsanta a phróiseáil i leith leanaí a úsáideann an tseirbhís líonraithe shóisialta Instagram
Chuir an Coimisiún um Chosaint Sonraí (DPC) tús leis an bhfiosrúchán féintoilithe seo an 21 Meán Fómhair 2020, fiosrúchán a bhí bunaithe ar fhaisnéis a chuir tríú páirtí ar fáil agus i dtaobh próiseáil a d’aithin an DPC iad féin araon. Bhí dhá chineál próiseála a rinne Meta Platforms Ireland Limited i gceist le scóip an fhiosrúcháin (mar an rialaitheoir sonraí ar na sonraí pearsanta atá próiseáilte i gcomhthéacs an ardáin Instagram), mar seo a leanas
1. Thug Meta Platforms Ireland Limited cead d’úsáideoirí leanaí idir 13 bliana d’aois agus 17 mbliana d’aois “cuntais ghnó” ar an ardán Instagram a fheidhmiú. Ag amanna ar leith, chun cuntais mar sin a fheidhmiú, ní mór uimhir ghutháin agus/nó seoladh ríomhphoist an úsáideora leanaí (don domhan i gcoitinne) a fhoilsiú agus/nó socraíodh sin a dhéanamh.
2. Ag amanna ar leith, bhí córas clárúcháin an úsáideora i bhfeidhm ag Meta Platforms Ireland Limited don tseirbhís Instagram ina raibh cuntais na n-úsáideoirí leanaí socraithe mar chuntas “poiblí” ar bhonn réamhshocraithe, agus ar an gcaoi sin bhí ábhar meán sóisialta na n-úsáideoirí leanaí ar fáil don phobal, mura raibh an cuntas socraithe mar chuntas “príobháideach” trí shocruithe príobháideacha an chuntais a athrú.
I ndiaidh fiosrúchán fada cuimsitheach a dhéanamh, chuir an DPC dréacht-chinneadh isteach chuig na hÚdaráis Mhaoirseachta Ábhartha (UMAnna) uile, chun críche Airteagal 60(3) den GDPR, i Nollaig na bliana 2021. Fuair an DPC agóidí ina dhiaidh sin ó shé cinn de na UMAnna. Níor éirigh leis an DPC teacht ar chomhaontú leis na UMAnna maidir le hábhar na n-agóidí agus, sna cúinsí sin chinn an DPC na hagóidí a chur ar aghaidh chuig an mBord Eorpach um Chosaint Sonraí (EDPB) le cinneadh de bhun an phróisis um réiteach díospóide a bhforáiltear dó in Airteagal 65 den GDPR.
Ghlac an EDPB an cinneadh ceangailteach atá acu maidir le hábhar na n-agóidí an 28 Iúil 2022. Leis an gcinneadh sin, bhí ar an DPC gnéithe áirithe den chinneadh a leasú, maidir le toradh an tsáraithe ar Airteagal 6(1) den GDPR a chur san áireamh ar dtús, agus ar an dara dul síos athbhreithniú a dhéanamh ar na fíneálacha riaracháin atá molta ar bhonn roinnt tosca atá i gcinneadh an EDPB, lena n-áirítear an ceanglas atá ar an DPC fíneáil riaracháin bhreise a ghearradh maidir le toradh an tsáraithe ar Airteagal 6(1) den GDPR a bhí bunaithe ag an EDPB.
Maidir leis an bpróiseáil atá leagtha amach thuas, le cinneadh an DPC, ar glacadh leis an 2 Meán Fómhair 2022, taifeadtar torthaí an tsáraithe ar Airteagal 6(1), 5(1)(a), 5(1)(c), 12(1), 24, 25(1), 25(2) agus 35(1) den GDPR.
Na Cumhachtaí Ceartaitheacha a Cuireadh i bhFeidhm:
Le cinneadh an DPC, gearradh fíneálacha riaracháin ar fiú €405 milliún iad ar Meta Platforms Ireland Limited. Chomh maith leis na fíneálacha riaracháin sin, ghearr an DPC iomardú agus ordú lena n-iarrtar ar Meta Platforms Ireland Limited an phróiseáil a chur ar bhonn comhlíonta trí réimse gníomhartha feabhais ar leith a ghlacadh.
Chun tuilleadh faisnéise a fháil, is féidir leat cóip den chinneadh iomlán a íoslódáil ag an nasc seo (i mBéarla): Fiosrúchán maidir le sonraí pearsanta a phróiseáil i leith leanaí a úsáideann an tseirbhís líonraithe shóisialta Instagram - Meán Fómhair 2022 (PDF, 3.1 MB).
Fiosrúchán i leith na Comhairle um Chúram Práinne Réamh-Ospidéil
Chuir an Coimisiún um Chosaint Sonraí (DPC) tús leis an bhfiosrúchán féintoilithe seo mar thoradh ar chleachtadh monatóireachta agus forfheidhmithe a tugadh de bhun tascanna údaráis maoirseachta atá in Airteagal 57 den GDPR.
Bhí an DPC ag iarraidh monatóireacht a dhéanamh ar chur chun feidhme an GDPR agus an GDPR a fhorfheidhmiú maidir le hOifigeach Cosanta Sonraí (DPO) a bheith á ainmniú ag eagraíochtaí. Tá ainmniú DPO agus oibleagáidí gaolmhara rialaitheoirí sonraí in Airteagal 37 den GDPR. Ainmníodh an Chomhairle um Chúram Práinne Réamh-Ospidéil ina heagraíocht earnála poiblí dhealramhach a bhféadfadh sé go mbeadh gá di DPO a ainmniú, sonraí an DPO a fhoilsiú agus iad a chur in iúl don DPC mar an t-údarás maoirseachta.
Bhí an Chomhairle um Chúram Práinne Réamh-Ospidéil (PHECC) ar cheann den iomaí eagraíocht san earnáil phoiblí a ndearnadh teagmháil leo le linn an chleachtaidh maoirseachta agus forfheidhmithe. Níor fhreagair an PHECC aon chomhfhreagras a eisíodh chuige. Ní raibh aon taifead sa DPC gur chuir an PHECC sonraí a DPO in iúl don DPC. Ina theannta sin, ní raibh aon sonraí teagmhála ar láithreán gréasáin an PHECC i gcomhair DPO.
Cuireadh tús leis an bhfiosrúchán chun a fháil amach cibé an raibh nó nach raibh gá don PHECC DPO a ainmniú de bhun Airteagal 37(1) den GDPR agus cibé an raibh nó nach raibh sin déanta ag an PHECC. Ina theannta sin, bhíothas ag iarraidh a fháil amach leis an bhFiosrúchán cibé an raibh nó nach raibh Airteagal 37(7) den GDPR sáraithe ag an PHECC maidir le sonraí teagmhála an DPO a fhoilsiú agus maidir leis na sonraí teagmhála sin a chur in iúl don DPC. Cuireadh tús leis an bhFiosrúchán freisin chun a fháil amach cibé ar sháraigh nó nár sháraigh an PHECC Airteagal 31 den GDPR trí mhainneachtain comhoibriú, arna iarraidh, leis an DPC ina chuid tascanna a thabhairt chun críche.
Fuarthas amach sa Chinneadh gur sháraigh an PHECC na forálacha seo a leanas den GDPR:
- Airteagal 37(1) den GDPR, lena gceanglaítear, i measc nithe eile, ar rialaitheoirí san earnáil phoiblí oifigeach cosanta sonraí a ainmniú. Sháraigh an PHECC Airteagal 37(1) trí mhainneachtain oifigeach cosanta sonraí a ainmniú don eagraíocht.
- Sháraigh an PHECC Airteagal 37(7) den GDPR trí mhainneachtain sonraí teagmhála oifigeach cosanta sonraí a fhoilsiú agus trí mhainneachtain na sonraí teagmhála sin a chur in iúl don údarás maoirseachta.
- Ceanglaítear ar rialaitheoirí sonraí faoi Airteagal 31 den GDPR comhoibriú leis an údarás maoirseachta, arna iarraidh, nuair atá an t-údarás ag tabhairt a chuid tascanna chun críche de bhun Airteagal 57 den GDPR. Sháraigh an PHECC Airteagal 31 den GDPR trí mhainneachtain freagra a thabhairt ar aon chomhfhreagras a eisíodh chuige trí ríomhphost agus trí phost cláraithe, cé gur admhaigh sé, le linn an Fhiosrúcháin go bhfuarthas an comhfhreagras. Ghlac an Cinneadh nach le hintinn a bhí an mainneachtain comhoibriú leis an DPC, ach thug faoi deara nach bhféadfadh sé tarlú nach bhfreagródh údarás poiblí ná comhlacht poiblí (ná aon rialaitheoir), ar aon bhealach, díchill arís agus arís eile chun monatóireacht a dhéanamh ar an GDPR agus é a fhorfheidhmiú.
Na Cumhachtaí Ceartaitheacha a Cuireadh i bhFeidhm:
Eisíodh, leis an gCinneadh, iomardú don Chomhairle um Chúram Práinne RéamhOspidéil maidir le sáruithe Airteagail 37(1) agus 37(1) den GDPR
Chun tuilleadh faisnéise a fháil, is féidir leat cóip den chinneadh iomlán a íoslódáil ag an nasc seo (i mBéarla): Comhairle um Chúram Práinne Réamh-Ospidéil Bealtaine 2022 (PDF, 1,010 KB).
Cinneadh maidir le Twitter International Company
Taisceadh gearán go díreach leis an gCoimisiún um Chosaint Sonraí (DPC) ar an 02 Iúil 2019 faoi Twitter International Limited (“Twitter”), agus rinne an DPC an gearán sin a láimhseáil ar an mbonn sin de réir an róil atá aige ina phríomhúdarás maoirseachta.
Líomhain an gearánaí, gur theip ar Twitter iarraidh ar léirscriosadh a bhí déanta aige a chomhlíonadh, i ndiaidh dó a chuntas Twitter a chur ar fionraí, laistigh den amscála reachtúil. Ina theannta sin, líomhain an gearánaí gur iarr Twitter air cóip dá aitheantas ar a raibh grianghraf a chur ar fáil, gan aon bhunús dlí leis, d’fhonn an iarraidh a chur i gcrích. Agus ar deireadh, líomhain an gearánaí go raibh a chuid sonraí pearsanta coinnithe ag Twitter i ndiaidh iarraidh ar léirscriosadh a bheith déanta aige gan aon bhunús dlí acu sin a dhéanamh.
Cé gur duine atá ina chónaí sa Ríocht Aontaithe a thaisc an gearán go díreach leis an DPC, bhreithnigh an DPC go raibh cineál na n-oibríochtaí próiseála sonraí a ndearnadh gearán faoi amhail is go mbeadh tionchar suntasach, nó gur dócha go mbeadh tionchar suntasach acu, ní hamháin ar an ábhar sonraí sonrach atá lonnaithe sa Ríocht Aontaithe a rinne an gearán ach ábhair sonraí trí chéile ar fud an Aontais Eorpaigh i gcúinsí ina bhféadfadh ábhair sonraí a bheith faoi réir a gcuntas a chur ar fionraí agus go mbeidís ag iarraidh iarraidh ar léirscriosadh a dhéanamh. Dá bhrí sin, chinn an DPC gur próiseáil é an cineál próiseála a ndearnadh gearán faoi a shásaíonn an sainmhíniú atá tugtha ar phróiseáil trasteorann faoi Airteagal 4(23)(b) den GDPR.
I ndiaidh don DPC idirghabháil a dhéanamh, chomhlíon Twitter iarraidh ar léirscriosadh an ghearánaí gan aon ghá dó cóip dá aitheantas a chur ar fáil. Mar sin féin, tugann an DPC ar aird gur theip ar Twitter an iarraidh ar léirscriosadh a bhí déanta ag an ngearánaí a chomhlíonadh laistigh den amscála reachtúil.
Lean an chinnteoireacht an nós imeachta atá leagtha amach in Airteagal 60 den GDPR maidir le próiseáil trasteorann. Bhí scrúdú arna dhéanamh ag an DPC ar an ngearán, lena n-áirítear iarracht an gearán a réiteach go cairdiúil; Dréacht-Chinneadh arna scaipeadh ar na hÚdaráis Mhaoirseachta Ábhartha; breithniú cúramach an DPC ar gach agóid ábhartha agus réasúnach a fuarthas, agus sa chás seo lean an DPC roinnt de na hagóidí ábhartha agus réasúnacha a fuarthas; Dréacht-Chinneadh Athbhreithnithe a scaipeadh ar na hÚdaráis Mhaoirseachta Ábhartha; an Cinneadh Deiridh a ghlacadh; agus ar deireadh an cinneadh a bhí ar an ngearán a chur in iúl go léir mar chuid den nós imeachta.
Sa chinneadh uaidh, chinn an Coimisiún um Chosaint Sonraí go raibh an Rialachán Ginearálta maidir le Cosaint Sonraí sáraithe ag Twitter mar seo a leanas:
- Airteagal 5(1)(c) den GDPR mar gur chinn an DPC gurbh ionann ceanglas Twitter go gcaithfeadh an gearánaí a chéannacht a dheimhniú trí chóip dá aitheantas ar a raibh grianghraf a chur ar aghaidh agus sárú ar an bprionsabal a bhaineann le híoslaghdú sonraí, de bhun Airteagal 5(1)(c) den GDPR.
- Airteagal 6(1) den GDPR mar gur chinn an DPC nár thug Twitter bunús dlí bailí le fios faoi Airteagal 6(1) den GDPR chun cóip d’aitheantas an ghearánaí ar a raibh grianghraf a lorg ar mhaithe lena iarraidh ar léirscriosadh a phróiseáil.
- Airteagal 17(1) den GDPR mar gur chinn an DPC go raibh Airteagal 17(1) den GDPR sáraithe ag Twitter, mar go raibh moill mhíchuí i gceist iarraidh an ghearánaí ar léirscriosadh a láimhseáil.
- Airteagal 12(3) den GDPR mar gur chinn an DPC go raibh Airteagal 12(3) den GDPR sáraithe ag Twitter mar gur theip air an gníomh a glacadh ar a iarraidh ar léirscriosadh de bhun Airteagal 17 den GDPR a chur in iúl dó laistigh de mhí amháin.
I bhfianaise mhéid na sáruithe, d’eisigh an DPC iomardú ar Twitter, de bhun Airteagal 58(2)(b) den GDPR. D’ordaigh an DPC ar Twitter chomh maith, de bhun Airteagal 58(2)(d), athbhreithniú a dhéanamh ar na polasaithe agus nósanna imeachta inmheánacha atá acu i leith iarrataí ar léirscriosadh a láimhseáil chun a chinntiú nach mbeidh gá d’ábhar sonraí cóip d’aitheantas ar a bhfuil grianghraf a chur ar fáil nuair a bhíonn iarrataí ar léirscriosadh á ndéanamh acu, sin mura bhfuil sé ábalta bunús dlí a léiriú le sin a dhéanamh.
Chun tuilleadh faisnéise a fháil, is féidir leat cóip den chinneadh iomlán a íoslódáil ag an nasc seo (i mBéarla): Twitter International Company Aibreán 2022 (PDF, 9.0 MB).
Fiosrúchán maidir le 12 sárú Facebook i ndáil le sonraí pearsanta
Ghlac an DPC le cinneadh, lena ngearrtar fíneáil €17 milliún ar Meta Platforms Ireland Limited (Facebook Ireland Limited roimhe seo) (“Meta Platforms”).
Rinne an DPC fiosrúchán i ndiaidh an chinnidh ar shraith de 12 fhógra sáraithe sonraí a fuarthas i dtréimhse sé mhí idir an 7 Meitheamh 2018 agus an 4 Nollaig 2018. Scrúdaíodh san fhiosrúchán a oiread agus a chomhlíon Meta Platforms ceanglais an GDPR faoi Airteagal 5(1)(f), 5(2), 24(1) agus 32(1) maidir le sonraí pearsanta a bhaineann leis an 12 fhógra maidir le sáruithe a phróiseáil.
Mar thoradh ar an bhfiosrúchán, fuair an DPC amach gur sháraigh Meta Platforms Airteagal 5(2) agus 24(1) den GDPR. Fuair an DPC amach gur theip ar Meta Platforms bearta iomchuí teicniúla agus eagraíochtúla a chur i bhfeidhm, rud a chuirfeadh ar chumas Meta Platforms na bearta slándála a léiriú go héasca, bearta a cuireadh i bhfeidhm i gcleachtas chun sonraí úsáideoirí an AE a chosaint, i gcomhthéacs an dá shárú dhéag i ndáil le sonraí pearsanta.
Mar gheall go raibh próiseáil faoi scrúdú i gceist le próiseáil “trasteorann”, bhí cinneadh an DPC faoi réir an phróisis comhchinnteoireachta atá leagtha amach in Airteagal 60 den GDPR agus bhí údaráis mhaoirseachta uile na hEorpa fostaithe mar chomhchinnteoirí. Cé gur tarraingíodh anuas agóidí maidir le dréacht-chinneadh an DPC in dhá údarás maoirseachta na hEorpa, thángthas ar chomhaontú trí thuilleadh rannpháirtíochta idir an DPC agus na húdaráis mhaoirseachta ábhartha. Dá réir sin, léirítear i gcinneadh an DPC tuairimí coiteanna an DPC agus a chomhúdaráis maoirseachta ar fud an AE.
Chun tuilleadh faisnéise a fháil, is féidir leat cóip den chinneadh iomlán a íoslódáil ag an nasc seo (i mBéarla): Fiosrúchán maidir le 12 sárú Facebook i ndáil le sonraí pearsanta - Márta 2022 (PDF, 1,480 KB).
Fiosrúchán maidir le Bank of Ireland Group plc
Cuireadh tús leis an bhfiosrúchán seo maidir le 22 fógra sáraithe sonraí pearsanta a rinne Bank of Ireland Group plc (“BOI”) leis an gCoimisiún um Chosaint Sonraí (“DPC”) idir 9 Samhain 2018 agus 27 Meitheamh 2019. Bhain na fógraí le truailliú faisnéise san fhotha sonraí ó BOI go dtí an Príomhchlár Creidmheasa (“CCR”), córas láraithe a dhéanann faisnéis maidir le hiasachtaí a bhailiú agus a stóráil go sábháilte. I measc na n-eachtraí bhí nochtaí neamhúdaraithe ar shonraí pearsanta custaiméirí don CCR agus athruithe ar shonraí pearsanta custaiméirí ar an CCR a rinneadh de thimpiste.
Mar phríomhcheist, chuimhnigh an cinneadh ar chomhlíon nó nár chomhlíon na heachtraí an sainmhíniú ar “shárú ar shonraí pearsanta” faoin GDPR, agus fuair sé i gás 19 de na heachtraí a thuairiscíodh gur chomhlíon siad an sainmhíniú seo.
Fuair an cinneadh sáruithe ar na forálacha seo a leanas den GDPR:
- Sáraíodh Airteagal 33 den GDPR, a éilíonn ar rialaitheoirí go gcuirfidh siad sáruithe ar shonraí pearsanta in iúl don DPC i gcúinsí áirithe, ag BOI i dtaca le 17 de na sáruithe a thuairiscíodh. D’athraigh na sáruithe de réir gach sárú ar shonraí pearsanta. I roinnt eachtraí, sáraíodh Airteagal 33(1) mar gheall nár thuairiscigh BOI an sárú ar shonraí pearsanta gan rómhoill. Sáraíodh Airteagal 33(3) chomh maith mar gheall nár chuir BOI go leor mionsonraí ar fáil don DPC i dtaca le roinnt sáruithe ar shonraí pearsanta;
- Sáraíodh Airteagal 34 den GDPR, a éilíonn ar rialaitheoirí go gcuirfidh siad sáruithe ar shonraí pearsanta in iúl d’ábhair sonraí i gcúinsí áirithe, ag BOI i dtaca le 14 de na heachtraí a thuairiscíodh. Bhain na sáruithe le loiceadh BOI chun cumarsáidí a eisiúint le hábhair sonraí gan rómhoill i gcúinsí inar dóigh go mbeidh ardriosca ann do chearta agus saoirsí ábhar sonraí de bharr na sáruithe ar shonraí pearsanta; agus
- Sháraigh BOI Airteagal 32(1) den GDPR nuair nár chuir sé bearta iomchuí teicniúla agus eagraíochtúla i bhfeidhm chun leibhéal slándála a áirithiú is iomchuí don riosca a bhí ann de bharr na próiseála a rinne sé ar shonraí custaiméirí agus é ag aistriú faisnéise chuig an CCR.
Na cumhachtaí ceartaitheacha a fheidhmíodh
- Ghearr an cinneadh fíneálácha riaracháin ar BOI don sárú ar Airteagal 32(1) den GDPR agus sáruithe áirithe ar Airteagail 33 agus 34 den GDPR. Ba é €463,000 méid iomlán na bhfíneálacha riaracháin a fhorchuireadh.
- D’ordaigh an cinneadh go gcuirfidh BOI a chuid próiseáil i gcomhlíonadh le hAirteagal 32(1) den GDPR trí ordú a thabhairt dó athruithe áirithe a dhéanamh leis a bhearta teicniúla agus eagraíochtúla.
- D’eisigh an cinneadh iomardú do BOI maidir leis na sáruithe uilig ar Airteagail 33, 34 agus 32(1) den GDPR a aimsíodh sa chinneadh.
Chun tuilleadh faisnéise a fháil, is féidir leat cóip den chinneadh iomlán a íoslódáil ag an nasc seo (i mBéarla): Fiosrúchán maidir le Bank of Ireland Group plc Márta 2022 (PDF, 1,457 KB).
Fiosrúchán maidir le Soláthraí Sainchomhairleoireachta
Cuireadh tús leis an bhfiosrúchán seo maidir le sárú ar shonraí pearsanta a chur an Bord Measúnaithe Díobhálacha Pearsatna (‘PIAB’) in iúl don Choimisiún um Chosaint Sonraí ar an 10 Nollaig 2019. Is comhlacht reachtúil neamhspleách é an PIAB a dhéileálann le héilimh díobhála pearsanta. Tharla an sárú ar shonraí pearsanta nuair a sheol Soláthraí Sainchomhairleoireachta gléas stórála USB neamhchriptithe, ina raibh sonraí pearsanta, chuig PIAB, cé gur luaigh PIAB go sonrach gan na sonraí a sheoladh. Smaoinigh an Fiosrúchán ar chomhlíon nó nár chomhlíon an Soláthraí Sainchomhairleoireachta an oibleagáid a bhí air faoi Airteagal 32 GDPR chun leibhéal cuí slándála a chur i bhfeidhm.
- Fuair an cinneadh gur sháraigh an Soláthraí Sainchomhairleoireachta Airteagal 32(1) GDPR cé gur theip air bearta iomchuí teicniúla agus eagraíochtúla a chur i bhfeidhm chun leibhéal slándála a chinntiú a raibh oiriúnach don riosca a bhí ann de bharr an phróiseáil a rinne sé ar shonraí pearsanta.
Na cumhachtaí ceartaitheacha a cuireadh i bhfeidhm
- D’eisigh an cinneadh iomardú don Soláthraí Sainchomhairleoireachta maidir leis an sárú
Chun tuilleadh faisnéise a fháil, is féidir leat cóip den chinneadh iomlán a íoslódáil ag an nasc seo (i mBéarla): Fiosrúchán maidir le Soláthraí Sainchomhairleoireachta Eanáir 2022 (PDF, 947 KB).