Tháinig an Cinneadh seo as fiosrúchán de dheoin an Choimisiúin um Chosaint Sonraí féin ar Ollscoil Luimnigh, rud a seoladh tar éis sraith sáruithe sonraí pearsanta a tharla idir mí na Samhna 2018 agus mí Eanáir 2020. Is é raon feidhme ama an Fhiosrúcháin ná mí na Bealtaine 2018 go mí Eanáir 2020.

Idir an 30 Samhain 2018 agus an 20 Eanáir 2020, thug Ollscoil Luimnigh fógra don Choimisiún um Chosaint Sonraí (‘an Coimisiún’) faoi 12 shárú sonraí pearsanta. I sé cinn de na sáruithe sin, fuair daoine neamhúdaraithe rochtain ar chuntais ríomhphoist de chuid bhaill foirne Ollscoil Luimnigh trí ionsaithe fioscaireachta. I gcásanna áirithe, bhí na húsáideoirí neamhúdaraithe in ann rialacha cur ar aghaidh a shocrú, áit ar seoladh ríomhphoist ina raibh eochairfhocail shonraithe chuig fillteán a chruthaigh siad i mbosca poist an úsáideora. Bhí sonraí pearsanta sna cuntais ríomhphoist lena mbaineann, lenar áiríodh faisnéis céannachta, mionsonraí teagmhála, uimhreacha PSP, faisnéis bainc, doiciméid liachta nó dhlíthiúla, taifid araíonachta foirne agus taifid acmhainní daonna, agus sonraí de chuid mac léinn, ball foirne agus páirtithe seachtracha.

Rinne an Coimisiún an Fiosrúchán seo faoi ailt 110-111 den Acht um Chosaint Sonraí, 2018. Rinne sé measúnú ar an dóigh ar chomhlíon Ollscoil Luimnigh na nithe seo a leanas: Airteagail 5(1)(f) agus 32(1) RGCS (bearta iomchuí teicniúla agus eagraíochtúla a chur chun feidhme chun slándáil iomchuí na sonraí pearsanta a phróiseáiltear ar a seirbhís ríomhphoist a chinntiú); Airteagal 30(1) RGCS (taifead a choimeád ar ghníomhaíochtaí próiseála); Airteagal 33(1) RGCS (fógra a thabhairt don Choimisiún faoi sháruithe sonraí pearsanta gan moill mhíchuí agus, in aon chás, laistigh de 72 uair an chloig ó theacht ar an eolas faoin sárú); Airteagal 34(1) RGCS (fógra a thabhairt do na hábhair sonraí lena mbaineann faoi sháruithe sonraí pearsanta a meastar go bhfuil ardriosca ag baint leo gan moill mhíchuí).

Chinn an Coimisiún nár chuir Ollscoil Luimnigh bearta iomchuí teicniúla agus eagraíochtúla chun feidhme chun slándáil sonraí pearsanta a chinntiú, mar a cheanglaítear le hAirteagail 5(1)(f) agus 32(1) RGCS. Chinn an Coimisiún freisin nach ndearna an taifead tosaigh de chuid Ollscoil Luimnigh ar ghníomhaíocht próiseála ceanglais Airteagal 30(1) RGCS a chomhlíonadh go hiomlán, cé gur chuir an Ollscoil taifead comhlíontach ar ghníomhaíocht próiseála chun feidhme i mí na Bealtaine 2020, tar éis na tréimhse a ndearna an Coimisiún measúnú uirthi san Fhiosrúchán seo. Chinn an Coimisiún gur comhdaíodh trí fhógra sáraithe níos mó ná 72 uair an chloig tar éis d’Ollscoil Luimnigh teacht ar an eolas fúthu agus nár tuairiscíodh iad gan moill mhíchuí de réir Airteagal 33(1) RGCS. Maidir le hAirteagal 34(1) RGCS, mhainnigh Ollscoil Luimnigh na daoine a ndearna sárú ardriosca difear dóibh a chur ar an eolas gan moill mhíchuí i dtrí chás. Dá bhrí sin, chinn an Coimisiún go ndearnadh sáruithe ar Airteagail 5(1)(f), 32(1), 30(1), 33(1) agus 34(1) RGCS.

Sna cinntí ón gCoimisiún maidir le bearta ceartaitheacha, tugadh aird ar na bearta suntasacha a rinne Ollscoil Luimnigh chun na heasnaimh sa dóigh ar phróiseáil sí sonraí pearsanta, mar a sainaithníodh san fhiosrúchán seo, a leigheas. Bunaithe ar na mionsonraí faoi na feabhsuithe sin, mar a leag Ollscoil Luimnigh amach iad sna haighneachtaí uaithi, chinn an Coimisiún nach raibh sé riachtanach ná comhréireach a ordú d’Ollscoil Luimnigh an phróiseáil sin a chur i gcomhréir le RGCS. Cé gur aithin an Coimisiún na feabhsuithe sin, ní fhágann sé sin nach bhfuil aon oibleagáid ar Ollscoil Luimnigh a thuilleadh meastóireacht leantach a dhéanamh ar a éifeachtaí atá a chuid beart agus na bearta is gá chun a chinntiú gur ann do leibhéal slándála is cuí don riosca dinimiciúil a ghabhann lena próiseáil.

Tar éis dó na sáruithe a luadh sa Chinneadh seo a bhreithniú go cúramach, chinn an Coimisiún cumhachtaí ceartaitheacha áirithe a fheidhmiú de réir alt 115 d’Acht 2018 agus de réir Airteagal 58(2) RGCS. Is iad seo na cumhachtaí ceartaitheacha a chinn an Coimisiún a bheith cuí chun aghaidh a thabhairt ar na sáruithe sna himthosca ar leith:

1. Iomardú a thabhairt d’Ollscoil Luimnigh de bhun Airteagal 58(2)(b) RGCS i leith na sáruithe a rinne sí ar Airteagail 5(1)(f) agus 32(1) RGCS, Airteagal 30(1) RGCS, Airteagal 33(1) RGCS agus Airteagal 34(1) RGCS; agus
2. Fíneálacha riaracháin i leith na sáruithe ar Airteagail 5(1)(f) agus 32(1) RGCS, Airteagal 30(1) RGCS, Airteagal 33(1) RGCS agus Airteagal 34(1) RGCS.

Is mar a leanas atá na fíneálacha riaracháin a eisíodh i leith na sáruithe thuasluaite:

1. Fíneáil riaracháin €45,000 i leith an tsáraithe a rinne Ollscoil Luimnigh ar Airteagail 5(1)(f) agus 32(1) RGCS,
2. Fíneáil riaracháin €3,000 i leith an tsáraithe a rinne Ollscoil Luimnigh ar Airteagal 30(1),
3. Fíneáil riaracháin €35,000 i leith na sáruithe a rinne Ollscoil Luimnigh ar Airteagal 33(1) RGCS,
4. Fíneáil riaracháin €15,000 i leith na sáruithe a rinne Ollscoil Luimnigh ar Airteagal 34(1).

Molann an Coimisiún éirim an chaidrimh a rinne Ollscoil Luimnigh leis an gCoimisiún ó fuair sí na cinntí beartaithe ón gCoimisiún tríd an dréachtleagan den Chinneadh. Is ísle i bhfad na fíneálacha sin ná na fíneálacha uasta a beartaíodh sa dréacht-Chinneadh. Tá na fíneálacha deiridh ina léiriú ar an maolú a chuir Ollscoil Luimnigh i bhfeidhm agus í ag glacadh le formhór na gcinntí sa dréacht-Chinneadh, áit ar ghlac sí le freagracht as sáruithe suntasacha agus a ndearna sí bearta réamhghníomhacha chun feabhas a chur ar a cuid córas, oiliúna agus beartas chun laghdú a dhéanamh ar an dóchúlacht go dtarlódh sáruithe den chineál céanna sa todhchaí.

Is féidir an cinneadh iomlán a íoslódáil ag an nasc seo: Fiosrúchán ar Ollscoil Luimnigh Nollaig 2025 (16MB, PDF).