Государство может столкнуться с исками о возмещении ущерба на миллионы евро после того, как было обнаружено, что Департамент социальной защиты (DSP) неправильно собирал данные с помощью спорной карты государственной службы.
Комиссия по защите данных (DPC) постановила, что DPS нарушил Общее положение о защите данных (GDPR), не уведомив заявителя, когда он получил свою карту государственной службы, о том, что при ее использовании в качестве бесплатного проездного билета личные данные могут быть переданы в Департамент социальной защиты.
Правительство призвало пользователей бесплатных проездных использовать Карту государственной службы для доступа к своим правам на бесплатный проезд.
Однако заявитель Мартин МакМахон заметил, что, когда он сканировал свою карту государственной службы как проездной билет на общественный транспорт, машина отметила, что поездка «записывается».
Это уведомление побудило его спросить, кто записывает его данные, где они хранятся и для чего используются?
Г-н МакМахон, ведущий подкаста Echo Chamber, участник кампании и эксперт по статусу занятости, подал жалобу в DPC в октябре 2019 года, утверждая, что DSP собирает чрезмерные личные данные, когда люди использовали карту государственных услуг в качестве бесплатного Туристический пропуск.
DpC теперь постановил, что личные данные заявителя не обрабатывались прозрачным образом. Это нарушило принцип законности, справедливости и прозрачности, говорится в решении.
Он также обнаружил, что сбор данных DSP был чрезмерным, что противоречило статье 5(1)(c) GDPR и представляло собой нарушение принципа минимизации данных.
DSP сообщил комиссии, что он получил личные данные о поездках от Национального транспортного управления для оценки использования Free Travel для администрирования, контроля и финансирования схемы.
Такие данные, полученные отделом до февраля 2020 года, включали данные о транзакциях поездки, такие как время, дата и маршрут.
Он также собрал номер Интегрированной системы продажи билетов (ITS), содержащийся на карточке государственной службы человека.
Хотя номер, как правило, не является идентифицирующим, отдел может связать его с держателем карты.
Комиссия считает номер ИТС уникальным идентификатором, который представляет собой персональные данные.
Поскольку жалоба г-на МакМахона была подана в 2019 году, департамент собрал меньше данных о бесплатных поездках, чтобы включить только основные сводные данные.
«Важно подчеркнуть, что DPC не издавал никаких распоряжений по результатам расследования этой жалобы, — говорится в сообщении.
Г-н МакМахон сказал, что будет добиваться возмещения ущерба после вынесения решения.
«То, что они сделали, было незаконным.
«Я буду принимать меры. Если я предприму меры, я назначу денежную сумму возмещения ущерба. Если я получу 10 евро и в 2019/2020 годах было 50 миллионов таких поездок, это 500 миллионов евро».
Доктор Эоин О’Делл, адъюнкт-профессор права Тринити-колледжа в Дублине, сказал, что решение было «очень важным решением» и «будет иметь важные последствия».
Он сказал, что в настоящее время в ирландском законодательстве нет прецедента, позволяющего предположить, будет ли успешным иск о возмещении ущерба через суд после такого решения.
Но британское законодательство показало, что дела о защите данных, в которых речь идет о причиненном бедствии, а не о конкретных потерях в результате обработки данных, как правило, терпят неудачу.
По его словам, еще не было никаких ирландских претензий после постановления Комиссии по защите данных, которые были бы рассмотрены и вынесены приговором в ирландских судах.
«В Ирландии очень мало прецедентного права в отношении нарушения GDPR. Решение DPC не означает, что иск будет удовлетворен автоматически», — сказал г-н О’Делл.
«Но в Великобритании дела, которые включают «бедствие» — «вы использовали мои данные ужасным образом, и я расстроен последствиями», — эти дела, как правило, терпели неудачу. Принимая во внимание, что «вы продали мои данные» — здесь это не так; «Вы неправомерно воспользовались моими данными» — такие случаи имеют тенденцию к успеху.
«И у нас еще не было аналогичного случая в Ирландии, чтобы выяснить, каким может быть ответ Ирландии».
По его словам, это дело устанавливает важный принцип минимизации данных, который теперь должны учитывать и соблюдать как государственные органы, так и частные организации.
«Это важный случай, который устанавливает важный принцип», — сказал он.
«Принцип, который он устанавливает, заключается в том, что отделы, создающие такие системы, должны соблюдать принцип минимизации данных.
«Проблема в том, что они [the Department of Social Protection] просили слишком много информации.
«Для этого не было абсолютно никаких оснований. 90% данных, особенно идентифицируемых данных, которые они получали для целей обработки, не были подтверждены. Все, что им нужно было знать, это количество пассажиров, чтобы иметь возможность взимать плату. Все остальное было совершенно не нужно.
«Вы собираете столько данных, сколько необходимо, и храните их столько, сколько необходимо.
«В большинстве правительственных ведомств распространена проблема сбора слишком большого количества данных».
Комиссия отметила, что DSP теперь уведомляет людей во время получения PSC-FT о том, что «в целях контроля Национальное транспортное управление будет передавать данные об использовании в Департамент».
«Соответственно, нет необходимости вводить какой-либо порядок, поскольку DSP уже приняла необходимые меры в отношении прозрачности и пропорционального и необходимого сбора данных», — говорится в постановлении.
2023-05-30 19:45:00
1685481740
#Государство #может #столкнуться #требованиями #возмещении #ущерба #за #незаконный #сбор #данных #Карты #государственных #услуг
