Chuir an t-ábhar sonraí a sonraí pearsanta agus airgeadais ar fáil d’eagraíocht (an rialaitheoir sonraí) mar chuid d’iarratas scéime a nduine muinteartha. Níor éirigh leis an iarratas agus eisíodh litir dhiúltaithe ar an iarratasóir, inar áiríodh, briseadh síos ar shonraí pearsanta agus airgeadais an ábhair sonraí. Rinne an t-ábhar sonraí gearán leis an gCoimisiún um Chosaint Sonraí (DPC) maidir le heaspa trédhearcachta sa phróiseas iarratais agus nochtadh a sonraí pearsanta agus airgeadas dá nduine muinteartha. D’iarr an t-ábhar sonraí ar an rialaitheoir sonraí a sonraí pearsanta a sheoladh ar ais. Rinne an duine t-ábhar sonraí iarratas freisin go scriosfadh an rialaitheoir sonraí a sonraí pearsanta faoi Airteagal 17 den Rialachán Ginearálta maidir le Cosaint Sonraí (GDPR), agus mura raibh scrios mar rogha, an bonn dlí atá acu lena chuid/lena cuid sonraí a choinneáil.

Sular chuir an DPC tús leis an imscrúdú, rinne an t-ábhar sonraí moltaí maidir leis an ngearán a réiteach ar bhealach cairdiúil, inar áiríodh, i measc nithe eile, ‘comhartha dea-thola’ ón rialaitheoir sonraí. Mar sin féin, mar gheall ar ról na heagraíochta, ní raibh ar chumas an rialaitheora sonraí an t-iarratas seo a éascú.

Rinne an DPC, mar chuid dá imscrúdú, caidreamh leis an rialaitheoir sonraí agus d’iarr sé freagra ar ghearán an ábhair sonraí. Dúirt an rialaitheoir sonraí, cé go bhfuil sé mar chuid dá nós imeachta iarratasóirí a chur ar an eolas maidir leis na cúiseanna lena ndiúltú, nár cheart ach páirtnochtadh a dhéanamh ina litreacha maidir le cinneadh sa chás gur bailíodh faisnéis ó thríú páirtí. Maidir le hiarratas scriosta an ábhair sonraí, chuir an rialaitheoir sonraí in iúl go gcoinneofaí na sonraí pearsanta a cuireadh ar fáil, ar feadh saolré an iarratasóra plus deich (10) mbliana.

Mhínigh an rialaitheoir sonraí go gcoinnítear na sonraí ar feadh na tréimhse seo mar go bhféadfadh tionchar a bheith ag na sonraí atá i gceist ar aon iarratais a dhéanann an t-iarratasóir amach anseo.

Ina dhiaidh sin, dhiúltaigh an rialaitheoir sonraí iarratas scriosta an ábhair sonraí mar gur chuir siad in iúl go raibh siad ag brath ar Airteagal 17(3)(b) den GDPR, a chuireann srian ar oibleagáidí rialaitheoirí sonraí pearsanta a scriosadh sa chás go mbíonn na sonraí pearsanta riachtanach do chomhlíonadh oibleagáid dhlíthiúil. Chomh maith leis sin, bhí an rialaitheoir sonraí ag brath ar Airteagal 23(1)(e) den GDPR, ina luaitear go bhféadfaí cearta an ábhair sonraí a theorannú do: “cuspóirí tábhachtacha eile a bhaineann le leas ginearálta phobal an Aontais nó Ballstáit, go háirithe leas tábhachtach eacnamaíoch nó airgeadais de chuid an Aontais nó de chuid Ballstáit, lena n-áirítear, ábhair airgeadaíochta, bhuiséadacha agus chánachais, sláinte phoiblí agus slándáil shóisialta.”

D’eisigh an rialaitheoir sonraí leithscéal don ábhar sonraí, mar gheall a gcuid sonraí pearsanta a nochtadh sa litir dhiúltaithe a eisíodh dá nduine muinteartha, an t-iarratasóir. D’fhiosraigh an t-ábhar sonraí cibé ar tuairiscíodh an nochtadh seo don DPC mar shárú. Ceanglaítear ar rialaitheoir sonraí faoi Airteagal 33 den GDPR, sárú sonraí pearsanta a thuairisciú don údarás inniúil gan moill mhíchuí, murar dóigh nach mbeidh sárú ar shonraí mar bhaol do chearta nó do shaoirsí daoine nádúrtha. Déantar cur síos ar shárú ar shonraí in Airteagal 4(12) den GDPR mar: “Shárú ar shlándáil a dtagann de shonraí pearsanta a dhíothú, a chailleadh nó a athrú, trí thionóisc nó go nea- mhdhleathach, nó iad a nochtadh, nó rochtain a bheith orthu, gan údarú, is sonraí pearsanta a tharchuirtear, a stóráiltear nó a phróiseáiltear ar shlí eile”. Tháinig an DPC ar an gcinneadh gur tharla an nochtadh mar thoradh ar earráid dhaonna agus níor aithníodh an sárú mar shaincheist chórasach.

Trína imscrúdú, Tháinig an DPC ar an gcinneadh, go bhféadfaí an litir dhiúltaithe a raibh nochtadh sonraí pearsanta an ábhair sonraí mar thoradh uirthi, a idirdhealú ó thaifid eile a bhí á gcoinneáil ag an rialaitheoir sonraí mar nár leanadh a dtreoirlínte go díreach sa litir. Mar sin, thug an DPC cuireadh don rialaitheoir sonraí, sonraí pearsanta an ábhair sonraí a scriosadh nó a leasú sa litir i ndáil le cinneadh a bhí á coinneáil ar chomhad. Chomh maith leis sin, d’fhéadfaí litir leasaithe a eisiúint don iarratasóir ina ndéantar leasú ar shonraí pearsanta an ábhair sonraí. Chuir an rialaitheoir sonraí in iúl dóibh go n-eiseodh siad litir dhiúltaithe arís agus go n-iarrfaí ar an iarratasóir an chéad litir a fuair sé/sí a sheoladh ar ais. Chuir an rialaitheoir sonraí in iúl freisin go scriosfadh siad an chéad litir a seoladh amach óna gcuid taifead.

Chuir an DPC, faoi alt 109(5)(c) d’Acht na bliana 2018, in iúl don ábhar sonraí go raibh an míniú a thug an rialaitheoir sonraí réasúnach in imthosca an ghearáin a bhí déanta acu. Fad a d’admhaigh an rialaitheoir sonraí nochtadh sonraí pearsanta an ábhair sonraí dá nduine muinteartha, an t-iarratasóir, d’eisigh siad litir i leith an chéanna, agus thug le fios go leasófaí an litir dhiúltaithe bunaidh, agus go gcuirfear litir atá cothrom le dáta ar fáil don iarratasóir.

Sa bhreis air sin, faoi alt 109(5)(f) d’Acht na bliana 2018, mhol an DPC don rialaitheoir sonraí oiliúint a bhí cothrom le dáta a sholáthar don fhoireann maidir le treoir ó thaobh na litreacha i ndáil le cinneadh.