Lá na Sábháilteachta Idirlín 2026
10th Mí Feabhra 2026
10th Mí Feabhra 2026
Chuir an Coimisiún um Chosaint Sonraí (an Coimisiún) fiosrúchán i gcrích ar an bpróiseáil a bhí á déanamh ag an Roinn Coimirce Sóisialaí (an Roinn) ar theimpléid bhithmhéadracha aghaidhe agus ar an úsáid a bhí á baint ag an Roinn as teicneolaíochtaí gaolmhara aghaidh-mheaitseála mar chuid den phróiseas clárúcháin don Chárta Seirbhísí Poiblí, dá ngairtear “clárú SAFE 2”.
Thosaigh an Coimisiún an fiosrúchán seo dá dheoin féin i mí Iúil 2021, agus tháinig sé sna sála ar imscrúdú a rinne sé roimhe sin ar ghnéithe áirithe den phróiseáil a bhí á déanamh ag an Roinn ar shonraí pearsanta i dtaca le Cártaí Seirbhísí Poiblí a eisiúint. Ba é an toradh a bhí ar an imscrúdú sin ná imeachtaí dlíthiúla, ina ndearna an Roinn achomharc in aghaidh Fógra Forfheidhmiúcháin a d’eisigh an Coimisiún. Tarraingíodh an t-achomharc siar ina dhiaidh sin. Foilsíodh comhaontú comhpháirteach idir an Coimisiún agus an Roinn i mí na Nollag 2021, mar aon leis an tuarascáil imscrúdaithe deiridh ón bhfiosrúchán sin. Luadh sa tuarascáil imscrúdaithe deiridh go ndéileálfadh an Coimisiún ar leithligh le próiseáil sonraí pearsanta, lena n-áirítear sonraí bithmhéadracha, ag an Roinn i ndáil le clárú SAFE 2. Bunaíodh an fiosrúchán reatha chun scrúdú ar leithligh a dhéanamh ar an bpróiseáil sonraí bithmhéadracha faoi chlárú SAFE 2, mar a cuireadh in iúl sa tuarascáil imscrúdaithe deiridh.
Tá clárú SAFE 2 éigeantach d’iarratasóirí ar Chárta Seirbhísí Poiblí, rud a theastaíonn chun rochtain a fháil ar raon seirbhísí de chuid na Roinne, lena n-áirítear íocaíochtaí leasa. Níl daoine aonair nach ndeachaigh faoi chlárú SAFE 2 in ann rochtain a fháil ar na seirbhísí sin. Is é atá i gceist leis an bpróiseas ná sonraí bithmhéadracha a bhailiú, a stóráil agus a phróiseáil, go háirithe teimpléid aghaidhe, i ndáil le sciar substaintiúil de dhaonra an Stáit. Ós rud é go bhfuil sonraí bithmhéadracha aicmithe mar shonraí catagóire speisialta faoin Rialachán Ginearálta maidir le Cosaint Sonraí (RGCS), gabhann cosaintí agus coimircí breisithe leo.
Mar gheall ar chineál agus scála na próiseála, mheas an Coimisiún gur ghá don Roinn bunús dlí soiléir beacht a bheith aici don phróiseáil sin, mar aon le coimircí iomchuí chun sonraí pearsanta agus cearta bunúsacha daoine aonair a chosaint.
Bhí an fiosrúchán dírithe ar mheasúnú a dhéanamh ar na nithe seo a leanas:
Thángthas ar na conclúidí seo a leanas sa chinneadh ón gCoimisiún:
D’fhorchuir an Coimisiún na smachtbhannaí seo a leanas:
Thug an Coimisiún faoi deara nach gceistítear sna cinntí ná sna bearta ceartaitheacha an prionsabal ná an beartas um chlárú SAFE 2 féin. Ina theannta sin, níor tháinig an fiosrúchán ar aon fhianaise á léiriú go raibh bearta neamh-leordhóthanacha slándála teicniúla nó eagraíochtúla á gcur chun feidhme ag an Roinn i ndáil le próiseáil sonraí bithmhéadracha.
Is féidir an cinneadh iomlán[1] a íoslódáil ag an nasc seo: Fiosrúchán ar an Roinn Coimirce Sóisialaí, Meitheamh 2025 (17MB, PDF).
[1] Ar mhaithe le hiomláine, thug an Coimisiún faoi deara nach é an soláthraí bogearraí aghaidh-mheaitseála dá dtagraítear sa Chinneadh an soláthraí a thuilleadh i ndáil leis an bpróiseáil sonraí bithmhéadracha a bhí ina hábhar don fhiosrúchán.
Tagann an cinneadh seo as fiosrúchán dá dheoin féin a thosaigh an Coimisiún um Chosaint Sonraí (an Coimisiún) i mí Iúil 2019. Bhain an fiosrúchán le sárú sonraí pearsanta ar thug Bord Oideachais agus Oiliúna Chathair Bhaile Átha Cliath (‘CDETB’) fógra faoi i mí na Samhna 2018. Is é CDETB an t-údarás oideachais agus oiliúna stáit do chathair Bhaile Átha Cliath, agus tá sé freagrach freisin as Tacaíocht Chomhchoiteann do Mhic Léinn in Éirinn (‘SUSI’), an t-údarás náisiúnta dámhachtana do dheontais mac léinn.
Cruthaíodh SUSI sa bhliain 2012 mar aonad gnó de chuid CDETB. Ag gníomhú dó trí SUSI, feidhmíonn CDETB suíomh Gréasáin (https://www.susi.ie) ar ar féidir le mic léinn tríú leibhéal faisnéis a fháil faoina n-incháilitheacht do dheontas ardoideachais agus iarratas a dhéanamh air.
Tharla an sárú mar gheall ar mheascán de dhá thoisc. Ar an gcéad dul síos, fuair CDETB amach go raibh a fhreastalaí Gréasáin ag coinneáil sonraí pearsanta de chuid iarratasóirí ar dheontas mac léinn tar éis dóibh faisnéis a bhaineann lena n-iarratas a uaslódáil trí shuíomh Gréasáin CDETB. Sula bhfuair sé an méid sin amach, ghlac CDETB leis go raibh na sonraí pearsanta a bhí á gcur isteach trína shuíomh Gréasáin á seoladh le ríomhphost chuig an bhfoireann ábhartha SUSI agus nach raibh siad á gcoinneáil go háitiúil. Ar an dara dul síos, fuair CDETB amach go raibh bogearraí mailíseacha i láthair ar an bhfreastalaí Gréasáin freisin, rud a chruthaigh riosca gur nochtadh na sonraí pearsanta coinnithe go neamhdhleathach.
Rinne an sárú difear do thart ar 13,000 ábhar sonraí, a bhí in-sainaitheanta de réir seoladh ríomhphoist, a chuir foirmeacha forlíontacha isteach trí shuíomh Gréasáin SUSI le linn na mblianta 2017 agus 2018. Áiríodh leis na sonraí pearsanta a ndearna an sárú difear dóibh ainmneacha, sloinnte, dátaí breithe, uimhreacha pearsanta seirbhíse poiblí, mionsonraí teagmhála, sonraí aitheantais agus catagóirí speisialta sonraí (amhail sonraí lena nochtar bunadh ciníoch nó eitneach agus sonraí sláinte).
San fhiosrúchán ón gCoimisiún, rinneadh measúnú ar na bearta teicniúla agus eagraíochtúla a bhí i bhfeidhm ag CDETB chun slándáil na sonraí pearsanta a bhí á bpróiseáil aige a chinntiú, lenar áiríodh cé acu a rinne nó nach ndearna sé measúnú riosca iomchuí sular chuir sé feidhmiúlacht bhreise áirithe chun feidhme ar a shuíomh Gréasáin. Scrúdaíodh ann freisin a mhéid a chomhlíon CDETB an oibleagáid a bhí air fógra a thabhairt don Choimisiún agus do na hábhair sonraí lena mbaineann araon faoin sárú.
Ní raibh sé beartaithe ar dtús go bpróiseálfaí sonraí pearsanta ar shuíomh Gréasáin SUSI. Ina dhiaidh sin, i mí Aibreáin 2017, chuir CDETB feidhmiúlacht leis an suíomh Gréasáin chun go bhféadfadh iarratasóirí ar dheontas iarrataí forlíontacha agus faisnéis fhorlíontach (lena n-áirítear sonraí pearsanta) a chur isteach tríd an suíomh. Mar sin féin, ós rud é gur mhainnigh CDETB raon feidhme an tionscadail a mheas ar bhealach leordhóthanach agus measúnú riosca leordhóthanach a dhéanamh, stóráladh an fhaisnéis sin go háitiúil ar an bhfreastalaí Gréasáin. Leis an bpróiseáil, rinneadh difear do na sonraí pearsanta a bhí ag líon mór daoine aonair. Chinn an Coimisiún, mar sin de, gurb ard a bhí na rioscaí a raibh aghaidh le tabhairt orthu i mbearta teicniúla agus eagraíochtúla CDETB le haghaidh slándála. Toisc nárbh eol do CDETB go raibh sonraí pearsanta á stóráil go háitiúil ar an bhfreastalaí Gréasáin, ní raibh aon bhearta teicniúla agus eagraíochtúla i bhfeidhm chun a chinntiú go raibh na sonraí pearsanta sin á gcoinneáil slán. Cé gur cinneadh san fhiosrúchán ón gCoimisiún gur chuir CDETB roinnt beart iomchuí slándála chun feidhme, cinneadh ann freisin gur léir roinnt laigí suntasacha agus roinnt easnamh suntasach:
Cé gur ghlac CDETB raon leathan beart ina dhiaidh sin chun na heasnaimh a sainaithníodh le linn an fhiosrúcháin a leigheas, chinn an Coimisiún gur sháraigh CDETB Airteagail 5(1)(f), 32(1) agus 32(2) RGCS ag an am ábhartha nuair a mhainnigh sé bearta iomchuí teicniúla agus eagraíochtúla a chur chun feidhme chun leibhéal slándála a chinntiú a bhí oiriúnach don riosca a bhí ag baint le sonraí pearsanta a bheith á bpróiseáil aige ar a shuíomh Gréasáin agus nuair a mhainnigh sé an leibhéal iomchuí slándála a mheasúnú.
Le hAirteagal 33 RGCS, ceanglaítear ar rialaitheoirí sonraí fógra a thabhairt dá n-údarás maoirseachta faoi gach sárú sonraí pearsanta ar dóigh dó a bheith ina riosca do chearta agus saoirsí daoine. Ní mór an fógra a thabhairt ‘gan aon mhoill mhíchuí agus, más féidir, tráth nach déanaí ná 72 uair an chloig tar éis dóibh bheith ar an eolas faoin sárú sin’.
Chuir CDETB in iúl don Choimisiún gur tháinig sé ar an eolas an 16 Deireadh Fómhair 2018 gur thit sárú a bhaineann le slándáil próiseála sonraí pearsanta amach ar an bhfreastalaí Gréasáin SUSI dá chuid. Choimisiúnaigh CDETB imscrúdú ar an sárú ansin. Mar sin féin, níor thug CDETB fógra don Choimisiún faoin sárú go dtí an 16 Samhain 2018, thart ar mhí amháin tar éis dó teacht ar an eolas faoi. Níor tugadh aon mhíniú ar an moill sin san fhógra a thug CDETB don Choimisiún.
Suíodh san fhiosrúchán ón gCoimisiún gur chruthaigh an sárú sonraí pearsanta riosca do na cearta agus na saoirsí atá ag ábhair sonraí agus gur tháinig CDETB ar an eolas faoin sárú an 16 Deireadh Fómhair 2018. Dá bhrí sin, d’éirigh an sárú infhógartha don Choimisiún ag an am sin, agus bhí oibleagáid ar CDETB fógra a thabhairt don Choimisiún faoin sárú gan moill mhíchuí. Ós rud é nár thug CDETB fógra don Choimisiún faoin sárú go dtí an 16 Samhain 2018, chinn an Coimisiún gur sháraigh CDETB Airteagal 33(1) RGCS nuair a mhainnigh sé fógra a thabhairt don Choimisiún faoin sárú gan moill mhíchuí.
Le hAirteagal 34(1) RGCS, ceanglaítear ar rialaitheoirí sonraí sárú sonraí pearsanta a chur in iúl d’ábhair sonraí gan moill mhíchuí i gcás gur dócha go mbeidh ardriosca ann do na cearta agus na saoirsí atá ag na hábhair sonraí sin mar thoradh ar an sárú. Le hAirteagal 34(4) RGCS, ceanglaítear ar rialaitheoirí sonraí fógra a thabhairt d’ábhair sonraí faoi shárú sonraí i gcás go gceanglaíonn an t-údarás maoirseachta ábhartha (an Coimisiún um Chosaint Sonraí sa chás seo) ar an rialaitheoir déanamh amhlaidh, tar éis don údarás maoirseachta a chinneadh gur gá déanamh amhlaidh tar éis breithniú a dhéanamh ar an dóchúlacht go gcruthódh an sárú sonraí pearsanta ardriosca d’ábhair sonraí.
Chuir CDETB in iúl don Choimisiún ar dtús go gcuirfeadh sé na hábhair sonraí lena mbaineann ar an eolas faoin sárú sonraí. Luaigh CDETB ina dhiaidh sin, áfach, nach dtabharfadh sé fógra do na hábhair sonraí faoin teagmhas go dtí go mbeadh comhairle dlí breithnithe aige. Tar éis tuairisc teagmhais a fháil faoin sárú sonraí, chuir CDETB in iúl don Choimisiún ina dhiaidh sin go raibh sé den tuairim gurbh íseal a bhí an riosca do na hábhair sonraí agus, dá bhrí sin, nach raibh aon oibleagáid ann iad a chur ar an eolas faoin sárú.
Mar gheall ar an ardlíon ábhar sonraí lena mbaineann agus ar chineál leathan na sonraí pearsanta a bhí i gceist, áfach, chinn an Coimisiún gurbh amhlaidh a bhí ardriosca ann do na hábhair sonraí lena mbaineann. Chinn an Coimisiún go raibh oibleagáid ar CDETB fógra a thabhairt do na hábhair sonraí lena mbaineann faoin sárú gan moill mhíchuí agus gur sháraigh CDETB Airteagal 34(1) RGCS nuair a mhainnigh sé déanamh amhlaidh.
An 15 Eanáir 2019, d’eisigh an Coimisiún ordú foirmiúil chuig CDETB faoi Airteagal 34(4) RGCS fógra a thabhairt do na hábhair sonraí uile lena mbaineann faoin sárú. Mar gheall ar chineál an tsáraithe agus ar chineál na sonraí pearsanta a bhféadfadh go ndéanfaí difear dóibh, chuir an Coimisiún in iúl do CDETB go bhféadfadh dianriosca a bheith ann d’ábhair sonraí. Mar sin féin, dhiúltaigh CDETB déanamh de réir an ordaithe ón gCoimisiún ag an am sin, toisc go raibh sé den tuairim nár comhlíonadh an tairseach le haghaidh fógra a thabhairt d’ábhair sonraí. Níor chuir CDETB an sárú sonraí pearsanta in iúl do na hábhair sonraí lena mbaineann go dtí an 16 Nollaig 2020. Mar thoradh air sin, chinn an Coimisiún gur sháraigh CDETB Airteagal 34(4) RGCS nuair a mhainnigh sé an sárú sonraí pearsanta a chur in iúl do na hábhair sonraí nuair a cheangail an Coimisiún air déanamh amhlaidh, mar údarás maoirseachta aige, an 15 Eanáir 2019.
D’fheidhmigh an Coimisiún roinnt beart ceartaitheach de bhun na sáruithe a cinneadh a bheith déanta san fhiosrúchán. Agus é ag déanamh cinneadh ar na bearta ceartaitheacha a bhí le feidhmiú, chuir an Coimisiún na tosca riachtanacha uile san áireamh, lenar áiríodh na rioscaí a bhí ag baint leis an bpróiseáil, na cineálacha sonraí pearsanta agus an líon daoine a ndearnadh difear dóibh, agus na bearta leigheasacháin a rinne CDETB. Thug an Coimisiún aird freisin ar alt 141(4) den Acht um Chosaint Sonraí, 2018, rud lena socraítear uasmhéid €1,000,000 le haghaidh fíneálacha riaracháin a fhéadfar a fhorchur ar ‘údaráis phoiblí’, ar catagóir í a fholaíonn comhlachtaí amhail CDETB.
Ba iad seo na bearta ceartaitheacha a d’fheidhmigh an Coimisiún:
Mar sin féin, molann an Coimisiún éirim an chaidrimh a rinne CDETB leis an gCoimisiún ó fuair sé na cinntí beartaithe ón gCoimisiún tríd an dréachtleagan den Chinneadh. Is ísle i bhfad na fíneálacha sin dar luach iomlán €125,000 ná an raon fíneála a beartaíodh sa dréacht-Chinneadh, ba é sin €210,000 ar a mhéad. Tá na fíneálacha deiridh ina léiriú ar an maolú a chuir CDETB i bhfeidhm agus é ag glacadh le gach ceann de na cinntí maidir le sáruithe atá leagtha amach sa dréacht-Chinneadh, áit ar ghlac sé le freagracht iomlán as an sárú, ar ghabh sé a leithscéal leis na hábhair sonraí lena mbaineann agus leis an rialálaí araon, agus a ndearna sé bearta réamhghníomhacha chun laghdú a dhéanamh ar an dóchúlacht go dtarlódh sáruithe den chineál céanna sa todhchaí, gan ordú sonrach a fháil ón gCoimisiún déanamh amhlaidh.
Tá an cinneadh iomlán ar fáil anois le híoslódáil (20MB, PDF).
Tá ceartúchán an chinnidh ar fáil le híoslódáil freisin (4.5MB, PDF)
An 12 Nollaig 2024, ghlac Coimisiún na hÉireann um Chosaint Sonraí (‘an Coimisiún’) cinntí críochnaitheacha in dhá fhiosrúchán reachtúla dá dheoin féin lena dtugtar iomardú do Meta Platforms Ireland Limited (‘MPIL’) agus lena bhforchuirtear fíneálacha riaracháin. D’oscail an Coimisiún na fiosrúcháin mar fhreagairt do shárú sonraí pearsanta a thuairiscigh MPIL (ar ar tugadh Facebook Ireland Ltd ag an am) i mí Mheán Fómhair 2018. Rinneadh an fiosrúchán de réir an Achta um Chosaint Sonraí, 2018, agus Airteagal 60 den Rialachán Ginearálta ón Aontas Eorpach maidir le Cosaint Sonraí (‘RGCS’).
Breithníodh sna cinntí gnéithe den cheart bunúsach maidir le cosaint sonraí faoi Airteagal 8 de Chairt um Chearta Bunúsacha an Aontais Eorpaigh, mar a thugtar éifeacht dóibh le RGCS, lena n-áirítear an oibleagáid atá ar an rialaitheoir sáruithe a thuairisciú agus taifid a choinneáil ar sháruithe agus bearta a chur chun feidhme chun sonraí pearsanta a chosaint trí dhearadh agus mar réamhshocrú araon.
Tháinig an sárú as an dóigh ar úsáid MPIL airíochtaí úsáideora i ndáil le gnéithe áirithe ar ardán Facebook. Is é is airíochtaí úsáideora ann ná aitheantóirí códaithe is féidir a úsáid chun úsáideoir ardáin nó fóntais a fhíorú agus chun rochtain ar ghnéithe áirithe den ardán agus ar shonraí pearsanta an úsáideora agus a theagmhálaithe a rialú. Thug MPIL gné nua uaslódála físeáin isteach sa bhliain 2017. Nuair a úsáideadh an ghné sin i gcomhar leis an ngné ‘View As’ a bhí ag Facebook (lenar cumasaíodh leathanach úsáideora a fheiceáil mar a d’fheicfeadh úsáideoir eile é) agus leis an ngné ‘Happy Birthday Composer’, ghinfeadh an t-uaslódálaí físeáin airíocht úsáideora a bhí ceadaithe go hiomlán, rud lenar tugadh rochtain iomlán ar an bpróifíl a bhí ag an úsáideoir eile sin ar Facebook. D’fhéadfaí an airíocht sin a úsáid ansin chun an teaglaim chéanna gnéithe a dhúshaothrú ar chuntais eile, rud lenar tugadh rochtain ar phróifílí roinnt úsáideoirí agus ar na sonraí a bhí inrochtana tríothu. Idir an 14 Meán Fómhair agus an 28 Meán Fómhair 2018, bhain daoine neamhúdaraithe úsáid as scripteanna chun an leochaileacht sin a dhúshaothrú agus fuair siad rochtain ar thart ar 29 milliún cuntas Facebook ar domhan, dá raibh thart ar thrí mhilliún cuntas lonnaithe san Aontas Eorpach/sa Limistéar Eorpach Eacnamaíoch. Cuireadh pearsana slándála Facebook ar a n-airdeall faoin leochaileacht trí mhéadú aimhrialta sa ghníomhaíocht uaslódála físeáin agus bhain siad tamaillín ina dhiaidh sin an fheidhmiúlacht ba chúis leis an leochaileacht. Thug MPIL fógra don Choimisiún faoin sárú an 28 Meán Fómhair 2018.
Thosaigh an Coimisiún fiosrúcháin chun imscrúdú a dhéanamh ar a mhéid a bhí gnéithe de RGCS á gcomhlíonadh.
|
Uimhir |
Airteagal de RGCS |
Cinntí |
|
1 |
Airteagal 33(3) |
Agus fógra á thabhairt aige faoin sárú, níor thug MPIL aon fhaisnéis a d’fhéadfadh sé, agus ba cheart dó, a chur ar áireamh san fhógra. Áiríodh leis an bhfaisnéis sin faisnéis faoi chineál an tsáraithe, faoi na catagóirí ábhar sonraí a ndearna an sárú difear dóibh, faoi na catagóirí taifead sonraí pearsanta a ndearna an sárú difear dóibh agus faoi iarmhairtí dóchúla an tsáraithe. |
|
2 |
Airteagal 33(5) |
Mhainnigh MPIL taifead doiciméadach comhaimseartha a chruthú ar na fíorais a bhaineann leis an sárú. |
Achoimre ar Chinntí: IN-18-11-1
|
Líon |
Airteagal de RGCS |
Cinntí |
|
1 |
Airteagal 25(1) |
Mhainnigh MPIL bearta iomchuí teicniúla agus eagraíochtúla a chur chun feidhme chun a chinntiú go mbeadh an phróiseáil slán ar ionsaí agus go seasfadh an phróiseáil le prionsabail na sláine agus na rúndachta. Ar leithligh ó na leochaileachtaí ab inchurtha go sonrach i leith na n-airíochtaí, mhainnigh MPIL bearta malartacha níos cuí a úsáid chun a chinntiú go gcomhlíonfadh an phróiseáil, trí dhearadh, na caighdeáin riachtanacha um chosaint sonraí. |
|
2 |
Airteagal 25(2) |
I gcomhthéacs na próiseála ar lena haghaidh a imscaradh iad, ba é an toradh a bhí ar na hairíochtaí ar imscar MPIL iad ná rochtain leathan gan ghá a thabhairt ar shonraí pearsanta úsáideoirí Facebook. Mar thoradh ar an mainneachtain sin a chinntiú nach bpróiseálfaí ach sonraí pearsanta a bhí riachtanach le haghaidh chríoch shonrach na próiseála, sáraíodh an prionsabal um chosaint sonraí mar réamhshocrú. |
I gcás go ndéanann an Coimisiún cinneadh faoi alt 111(1)(a) den Acht um Chosaint Sonraí, 2018, ní mór dó freisin cinneadh a dhéanamh faoi alt 111(2) maidir le cé acu ba cheart nó nár cheart cumhacht cheartaitheach a fheidhmiú i ndáil leis an rialaitheoir nó leis an bpróiseálaí lena mbaineann agus, dá mba cheart, ní mór dó cinneadh a dhéanamh ar an gcumhacht cheartaitheach atá le feidhmiú.
Tar éis dó na sáruithe ar RGCS atá leagtha amach thuas a bhreithniú, chinn an Coimisiún na cumhachtaí ceartaitheacha seo a leanas a fheidhmiú de réir Airteagal 58(2) RGCS:
Is é cuspóir an iomardaithe ná cineál tromchúiseach na sáruithe a aithint go foirmiúil chun neamhchomhlíonadh den chineál céanna a chosc sa todhchaí i measc MPIL agus rialaitheoirí nó próiseálaithe eile a dhéanann oibríochtaí próiseála den chineál céanna. Ba le sonraí pearsanta de chuid na milliún daoine d’úsáideoirí Facebook a bhain na sáruithe. Ina theannta sin, chinn an Coimisiún gur rannchuidigh an dá shárú leis an riosca go ndéanfaí calaois ar na hábhair sonraí, lenar áiríodh leanaí agus daoine soghonta eile, go ngoidfí a gcéannacht agus go seolfaí turscar chucu.
Agus é ag cinneadh fíneálacha riaracháin dar luach iomlán €251 mhilliún a fhorchur, thug an Coimisiún aird chuí ar na tosca atá leagtha amach in Airteagal 83(2) RGCS. Mheas an Coimisiún freisin gur chomhlíon na fíneálacha riaracháin na ceanglais atá in Airteagal 83(1) RGCS á rá go mbeadh fíneálacha éifeachtach, comhréireach agus athchomhairleach.
Sular ghlac sé na Cinntí, chuir an Coimisiún dréachtaí díobh faoi bhráid na n-údarás Eorpach eile maoirseachta cosanta sonraí (‘Údaráis Mhaoirseachta lena mBaineann’) i mí Mheán Fómhair 2024, mar a cheanglaítear le hAirteagal 60(3) RGCS. Níor tharraing na hÚdaráis Mhaoirseachta lena mBaineann aon agóidí anuas faoi Airteagal 60(4) RGCS in aghaidh na ndréachtchinntí. Fuarthas trí bharúil ó Údaráis Mhaoirseachta lena mBaineann maidir le gach ceann de na dréachtchinntí. Thug an Coimisiún aird chuí ar na barúlacha sin, agus ar aighneachtaí deiridh ó MPIL, agus na Cinntí á dtabhairt i gcrích aige lena nglacadh.
Tá an cinneadh iomlán IN-18-10-1 ar fáil anois le híoslódáil (36MB, PDF).
Tá an cinneadh iomlán IN-18-11-1 ar fáil anois le híoslódáil (36MB, PDF).
Tagann an cinneadh seo as fiosrúchán dá dheoin féin a thosaigh an Coimisiún um Chosaint Sonraí (an Coimisiún) i mí Iúil 2019. Bhain an fiosrúchán le sárú sonraí pearsanta ar thug Ollscoil Mhá Nuad fógra faoi i mí na Samhna 2018.
Rinne an sárú difear do na cuntais ríomhphoist de chuid fostaithe ollscoile, agus thug sé deis do dhaoine neamhúdaraithe smacht a fháil ar suas le sé chuntas. Bhain na daoine neamhúdaraithe úsáid as an rialú a bhí acu ar chuntas amháin chun rialacha ríomhphoist a chruthú lenar ceileadh teachtaireachtaí a fuarthas ó sheoltaí áirithe. Ar an mbealach sin, rinne na daoine neamhúdaraithe calaois, rud a d’fhág gur fhulaing duine amháin a ndearnadh difear dá c(h)untas ríomhphoist caillteanas airgeadais. Ina dhiaidh sin chúitigh Ollscoil Mhá Nuad an duine sin as an gcaillteanas sin. Rinne an Coimisiún measúnú ar na bearta teicniúla agus eagraíochtúla a bhí i bhfeidhm ag Ollscoil Mhá Nuad chun slándáil na sonraí pearsanta a bhí á bpróiseáil aici a chinntiú, agus scrúdaigh sé a mhéid a chomhlíon an rialaitheoir an oibleagáid atá uirthi fógra a thabhairt go pras faoi aon sáruithe.
Chinn an Coimisiún gur baineadh úsáid as an gcóras ríomhphoist ar raon leatha cuspóirí lena ndearnadh difear do scóip ghinearálta na ngníomhaíochtaí a rinneadh in Ollscoil Mhá Nuad, lenar áiríodh acmhainní daonna agus nithe gaolmhara. Ar na cineálacha sonraí pearsanta a próiseáladh bhí faisnéis mhionsonraithe aitheantais, airgeadais agus teagmhála, mar aon le sonraí pearsanta sláinte agus catagóirí íogaire eile sonraí pearsanta. Leis an bpróiseáil, rinneadh difear do na sonraí pearsanta a bhí ag líon mór daoine aonair. Chinn an Coimisiún, mar sin de, gurb ard a bhí na rioscaí a raibh aghaidh le tabhairt orthu i mbearta teicniúla agus eagraíochtúla Ollscoil Mhá Nuad le haghaidh slándála. Cé gur cinneadh san fhiosrúchán ón gCoimisiún gur chuir Ollscoil Mhá Nuad roinnt bearta iomchuí slándála chun feidhme, cinneadh ann freisin gur léir roinnt laigí suntasacha agus roinnt easnaimh shuntasacha:
Cinneadh sa chinneadh ón gCoimisiún nár tugadh aghaidh mar is ceart le bearta teicniúla agus eagraíochtúla Ollscoil Mhá Nuad ar na rioscaí a bhain lena próiseáil, agus aird á tabhairt ar chineál na sonraí pearsanta, ar na cuspóirí ar chucu a úsáideadh iad agus ar an líon daoine a ndearnadh difear dóibh. Cé gur ghlac Ollscoil Mhá Nuad bearta ina dhiaidh sin chun easnaimh a sainaithníodh le linn an fhiosrúcháin a leigheas agus gur chúitigh sí le híospartach na calaoise airgeadais, chinn an Coimisiún gur sháraigh Ollscoil Mhá Nuad Airteagal 5(1)(f) agus Airteagal 32 RGCS toisc gur mhainnigh sí slándáil iomchuí a chinntiú do na sonraí pearsanta a bhí á bpróiseáil aici agus toisc gur mhainnigh sí bearta iomchuí teicniúla agus eagraíochtúla a chur chun feidhme chun slándáil den sórt sin a chinntiú.
Le hAirteagal 33 RGCS, ceanglaítear ar rialaitheoirí sonraí fógra a thabhairt dá n-údarás maoirseachta faoi gach sárú sonraí pearsanta ar dóigh dó a bheith ina riosca do chearta agus saoirsí daoine. Ní mór an fógra a thabhairt ‘gan aon mhoill mhíchuí agus, más féidir, tráth nach déanaí ná 72 uair an chloig tar éis dóibh bheith ar an eolas faoin sárú sin’.
Cé go raibh Ollscoil Mhá Nuad ar an eolas ag céim luath faoi na fíorais uile lenar taispeánadh gur tharla sárú sonraí pearsanta a bhí ina riosca do chearta agus saoirsí daoine, aimsíodh san fhiosrúchán ón gCoimisiún nár thug sí tuairisc ar an sárú don Choimisiún ach níos mó ná trí seachtaine ina dhiaidh sin. Ina ionad sin, is amhlaidh, tar éis di an sárú a aimsiú, a choimisiúnaigh Ollscoil Mhá Nuad comhairleoir slándála TF seachtrach chun tuairisc a thabhairt ar an sárú agus ar na himthosca a bhí ag baint leis. Deimhníodh sa tuarascáil gur cheart fógra a thabhairt don Choimisiún faoin sárú, ach ní dhearnadh an beart sin ach ceithre lá tar éis sheachadadh na tuarascála. Luaigh an Coimisiún go n-áirítear leis an gcuspóir arb éard é fógra pras faoi sháruithe a cheangal an t-údarás maoirseachta a chumasú chun gníomhaíocht a mholadh agus a stiúradh chun daoine a chosaint ar na rioscaí suntasacha ar féidir leo a bheith ag baint le sáruithe. Luaigh sé ina dhiaidh sin gur sháraigh Ollscoil Mhá Nuad Airteagal 33(1) RGCS trí mhoill a chur gan ghá ar fhógra a thabhairt faoin sárú.
Cuireadh san áireamh i gcinntí an Choimisiúin ar bhearta ceartaitheacha na tosca riachtanacha uile, lenar áiríodh na rioscaí a bhí ag baint leis an bpróiseáil, na cineálacha sonraí pearsanta agus an líon daoine a ndearnadh difear dóibh, agus na bearta leigheasacháin a rinne Ollscoil Mhá Nuad. Thug an Coimisiún aird freisin ar alt 141(4) den Acht um Chosaint Sonraí, 2018, rud lena socraítear uasmhéid €1,000,000 le haghaidh fíneálacha riaracháin a fhéadfar a fhorchur ar ‘údaráis phoiblí’, ar catagóir í a fholaíonn comhlachtaí amhail Ollscoil Mhá Nuad.
Ba iad seo na bearta ceartaitheacha a rinne an Coimisiún:
Is féidir an cinneadh iomlán a íoslódáil ag an nasc seo: Fiosrúchán ar Ollscoil Mhá Nuad Samhain 2024 - (PDF,1.3MB)
Tá an fiosrúchán seo ar cheann de líon fiosrúcháin dá dtoil féin maidir le raon leathan saincheisteanna a bhaineann le faireachas teicneolaíochtaí a mbaineann údaráis Stáit úsáid astu. Féachadh san fhiosrúchán sei lena mheasúnú cé acu a bhí nó nach raibh Comhairle Contae Shlighigh ag próiseáil sonraí pearsanta i gcomhréir leis an RGCS agus leis an Acht um Chosaint Sonraí 2018. Rinneadh scrúdú san fhiosrúcháin ar roinnt oibríochtaí próiseála na Comhairle, lena n-áirítear an úsáid a bhaineann sí as caimearaí TCI in áiteanna poiblí chun coireacht a ionchúiseamh nó chun chríocha eile.
Airítear na nithe seo leis na fionnachtana sa chinneadh:
Ní raibh aon bhunús dlí bailí ag Comhairle Chontae Shligigh le próiseáil a dhéanamh ar shonraí pearsanta ó cheamaraí TCI agus ó cheamaraí uathaitheanta uimhirphlátaí.
Mhainnigh Comhairle Contae Shlighigh comharthaí a raibh foclaíocht chuí orthu a chur in airde i láithreacha cuí i ndáil le próiseáil na sonraí pearsanta a bailíodh trí na ceamaraí TCI.
Cinneadh freisin gur sáraíodh na hoibleagáidí atá ar Chomhairle Chontae Shlighigh measúnuithe tionchair ar chosaint sonraí a dhéanamh, logaí sonraí a chothabháil le haghaidh rochtain shonrach ar thaifeadtaí TCI, agus bearta cuí teicniúla agus eagrúcháin a chur chun feidhme.
Na cumhachtaí ceartaitheacha a feidhmíodh:
Toirmeasc sealadach ar shonraí pearsanta a phróiseáil trí cheamaraí TCI agus trí cheamaraí uathaitheanta uimhirphlátaí ag láithreacha éagsúla go dtí gur féidir bunús dlí bailí a shainaithint.
Ordú do Chomhairle Contae Shligigh a próiseáil sonraí pearsanta a chur i gcomhréir trí ghníomhartha áirithe a sonraíodh sa chinneadh a dhéanamh.
Eisíodh iomardú i leith an tsáraithe a rinne Comhairle Chontae Shligigh ar alt 79 an Acht um Chosaint Sonraí 2018.
Fíneáil riaracháin €29,500.
Chun tuilleadh faisnéise a fháil, is féidir leat cóip den chinneadh iomlán a íoslódáil ag an nasc seo (i mBéarla): Fiosrúchán ar Chomhairle Chontae Shligigh Samhain 2024 - (PDF, 7.6MB)
Baineann an Cinneadh le Fiosrúchán a rinne an Coimisiún um Chosaint Sonraí (an Coimisiún) ar LinkedIn Ireland Unlimited Company (LinkedIn), rialaitheoir sonraí a bhfuil a phríomhbhunaíocht in Éirinn aige. Baineann an Cinneadh le fiosrúchán gearánbhunaithe a tosaíodh an 20 Lúnasa 2018, ag teacht sna sála ar ghearán a rinne La Quadrature du Net, eagraíocht neamhbhrabúis Fhrancach (an Gearán).
Rinneadh an gearán ar dtús le hÚdarás Cosanta Sonraí na Fraince, thar ceann ábhair sonraí dá ndearnadh difear de bhun Airteagal 80(1) den Rialachán Ginearálta maidir le Cosaint Sonraí (RGCS), agus a tarchuireadh ina dhiaidh sin chuig an gCoimisiún mar phríomhúdarás maoirseachta do LinkedIn. Maíodh sa Ghearán gur phróiseáil LinkedIn sonraí pearsanta áirithe a bhaineann leis na hábhair sonraí le haghaidh anailís iompraíochta agus fógraíocht spriocdhírithe, gan bunús dlí bailí a bheith aige agus ar bhealach éagothrom neamh-thrédhearcach.
Thosaigh an Coimisiún fiosrúchán reachtúil (an Fiosrúchán) an 20 Lúnasa 2018 chun an dóigh ar chomhlíon LinkedIn Airteagail 5(1)(a), 6(1), 13(1)(c), 13(1)(d), 14(1)(c) agus 14(2)(b) RGCS a scrúdú. Tosaíodh an fiosrúchán de bhun alt 110 den Acht um Chosaint Sonraí, 2018 (Acht 2018).
Thángthas ar na conclúidí seo a leanas sa Chinneadh:
Faoi alt 113(4)(a) d’Acht 2018, is amhlaidh, i gcás go nglacann an Coimisiún cinneadh (de réir alt 113(2)(b)), nach mór dó freisin cinneadh a dhéanamh maidir le cé acu ba cheart nó nár cheart cumhacht cheartaitheach a fheidhmiú i ndáil leis an rialaitheoir nó an phróiseálaí lena mbaineann agus, dá mba cheart, ní mór dó cinneadh a dhéanamh ar an gcumhacht cheartaitheach atá le feidhmiú. Leagtar amach in Airteagal 58(2) RGCS na cumhachtaí ceartaitheacha a fhéadfaidh údaráis mhaoirseachta a fheidhmiú i ndáil le neamhchomhlíonadh ag rialaitheoir nó ag próiseálaí.
Tar éis dó na sáruithe a luadh sa Chinneadh a bhreithniú go cúramach, chinn an Coimisiún cumhachtaí ceartaitheacha áirithe a fheidhmiú de réir alt 115 d’Acht 2018 agus de réir Airteagal 58(2) RGCS. Ba iad seo na cumhachtaí ceartaitheacha a chinn an Coimisiún a bheith cuí chun aghaidh a thabhairt ar na sáruithe sna himthosca ar leith:
Níor fhorchuir an Coimisiún fíneáil leithleach as an sárú ar phrionsabal na cothroime de chuid Airteagal 5(1)(a) RGCS in imthosca ina raibh an sárú bunaithe ar iompar ar chuir an Coimisiún san áireamh é go hiomlán cheana féin le linn fíneálacha riaracháin leithleacha a fhorchur.
Sular glacadh é, chuir an Coimisiún dréacht den chinneadh uaidh faoi bhráid na nÚdarás Maoirseachta lena mbaineann i mí Iúil 2024, mar a cheanglaítear faoi Airteagal 60(3) RGCS. Níor tharraing na hÚdaráis Mhaoirseachta lena mbaineann aon agóidí (chun críche Airteagal 60(4) RGCS) in aghaidh an dréachtchinnidh.
Chun tuilleadh faisnéise a fháil:
An 26 Meán Fómhair 2024, ghlac Coimisiún na hÉireann um Chosaint Sonraí (an Coimisiún) cinneadh críochnaitheach i bhfiosrúchán reachtúil dá dheoin féin maidir leis an dóigh a raibh Meta Platforms Ireland Limited (MPIL) ag próiseáil pasfhocail úsáideoirí ar sheirbhís Facebook. Rinneadh an fiosrúchán de réir an Achta um Chosaint Sonraí, 2018, agus Airteagal 60 den Rialachán Ginearálta ón Aontas Eorpach maidir le Cosaint Sonraí (RGCS). Bhí an Coimisiún inniúil chun gníomhú mar phríomhúdarás maoirseachta i leith na próiseála a bhí i gceist, de bhun Airteagal 56 RGCS.
Breithníodh sa Chinneadh gnéithe ar leith den cheart bunúsach maidir le cosaint sonraí faoi Airteagal 8 de Chairt um Chearta Bunúsacha an Aontais Eorpaigh, mar atá curtha in iúl sna rialacha sonracha cosanta sonraí atá in RGCS maidir le sáruithe i ndáil le sonraí pearsanta agus maidir leis an oibleagáid atá ann slándáil sonraí pearsanta a chinntiú.
Úsáideann MPIL teicnící cripteagrafacha agus criptithe nuair a stórálann sé pasfhocail úsáideoirí, agus ní stórálann sé na carachtair aonair dá bhfuil pasfhocal comhdhéanta. An 21 Márta 2019, chuir MPIL an Coimisiún ar an eolas gur stóráil sé gan chuimhneamh pasfhocail áirithe úsáideoirí meán sóisialta ‘i ngnáth-théacs’ ar a chórais inmheánacha (i.e., stóráil MPIL na carachtair bheachta ar iontráil úsáideoirí iad sa réimse pasfhocail, gan cosaint chripteagrafach ná criptiú cripteagrafach a chur i bhfeidhm). An 24 Aibreán 2019, thosaigh an Coimisiún fiosrúchán dá dheoin féin mar fhreagra ar an tsaincheist sin.
| Uimhir | Airteagal de RGCS | Cinntí |
|---|---|---|
| 1 | Airteagal 4(12) | Chinn an Coimisiún um Chosaint Sonraí gurbh ionann an dá cheann de na teagmhais maidir le pasfhocail a logáil i ngnáththéacs, mar a shainaithin MPIL iad an 7 Eanáir 2019 agus an 31 Eanáir 2019, agus sárú i ndáil le sonraí pearsanta de réir bhrí Airteagal 4(12) RGCS. |
| 2 | Airteagal 33(1) | Chinn an Coimisiún um Chosaint Sonraí gur sháraigh MPIL Airteagal 33(1) RGCS nuair a mhainnigh sé fógra a thabhairt don Choimisiún um Chosaint Sonraí faoi shárú i ndáil le sonraí pearsanta gan moill mhíchuí agus laistigh de 72 uair an chloig ó aimsíodh an 31 Eanáir 2019 go raibh pasfhocail á stóráil i ngnáththéacs. |
| 3 | Airteagal 33(5) | Chinn an Coimisiún um Chosaint Sonraí gur sháraigh MPIL Airteagal 33(5) RGCS ar dhá ócáid nuair a mhainnigh sé an sárú i ndáil le sonraí pearsanta a aimsíodh an 7 Eanáir 2019 a dhoiciméadú agus nuair a mhainnigh sé an sárú i ndáil le sonraí pearsanta a aimsíodh an 31 Eanáir 2019 a dhoiciméadú. |
| 4 | Airteagal 5(1)(f), 32(1) | Chinn an Coimisiún um Chosaint Sonraí nár chomhlíon MPIL ceanglais Airteagal 5(1)(f) RGCS agus Airteagal 32(1) RGCS (ag féachaint go háirithe d’Airteagal 32(1)(b)) nuair a mhainnigh sé bearta iomchuí teicniúla agus eagraíochtúla a chur chun feidhme chun leibhéal slándála is iomchuí don riosca a chinntiú. |
I gcás go ndéanann an Coimisiún cinneadh faoi alt 111(1)(a) den Acht, ní mór dó freisin cinneadh a dhéanamh faoi alt 111(2) maidir le cé acu ba cheart nó nár cheart cumhacht cheartaitheach a fheidhmiú i ndáil leis an rialaitheoir nó leis an bpróiseálaí lena mbaineann agus, dá mba cheart, ní mór dó cinneadh a dhéanamh ar an gcumhacht cheartaitheach atá le feidhmiú.
Tar éis dó na sáruithe ar RGCS atá leagtha amach thuas a bhreithniú, chinn an Coimisiún na cumhachtaí ceartaitheacha seo a leanas a fheidhmiú de réir Airteagal 58(2) RGCS:
Is é cuspóir an iomardaithe ná cineál tromchúiseach na sáruithe a aithint go foirmiúil chun neamhchomhlíonadh den chineál céanna a chosc sa todhchaí i measc MPIL agus rialaitheoirí nó próiseálaithe eile a dhéanann oibríochtaí próiseála den chineál céanna. Ba le sonraí pearsanta de chuid na milliún daoine d’úsáideoirí Facebook a bhain na sáruithe. Ina theannta sin, chinn an Coimisiún gur rannchuidigh an dá shárú leis an riosca go ndéanfaí calaois ar na hábhair sonraí, go bpearsantófaí iad, go seolfaí turscar chucu nó go bhfulaingeodh siad caillteanas airgeadais nó clú.
Agus é ag cinneadh trí fhíneáil riaracháin dar luach iomlán €91 mhilliún a fhorchur, thug an Coimisiún aird chuí ar na tosca atá leagtha amach in Airteagal 83(2) RGCS. Mheas an Coimisiún freisin gur chomhlíon fíneálacha riaracháin dar luach iomlán €91 mhilliún na ceanglais atá in Airteagal 83(1) RGCS á rá go mbeadh fíneálacha éifeachtach, comhréireach agus athchomhairleach.
Sular glacadh é, chuir an Coimisiún dréacht den chinneadh uaidh faoi bhráid na nÚdarás Maoirseachta lena mBaineann i mí an Mheithimh 2024, mar a cheanglaítear faoi Airteagal 60(3) RGCS. Níor tharraing na hÚdaráis Mhaoirseachta lena mBaineann aon agóidí faoi Airteagal 60(4) RGCS in aghaidh an dréachtchinnidh. Fuarthas ceithre bharúil ó Údaráis Mhaoirseachta lena mBaineann maidir leis an dréachtchinneadh. Thug an Coimisiún aird ar na barúlacha sin, agus ar aighneacht deiridh ó MPIL, agus an cinneadh á thabhairt i gcrích aige lena ghlacadh.
Chun tuilleadh faisnéise a fháil:
Baineann an cinneadh san fhiosrúchán seo leis an gceart bunúsach chun cosanta sonraí a chothromú leis an gceart bunúsach chun saoirse chun tuairimí a nochtadh agus chun saorála faisnéise.
Chuir an Coimisiún um Chosaint Sonraí (an Coimisiún) fiosrúchán gearánbhunaithe i gcrích ar an dóigh ar phróiseáil MIG sonraí pearsanta i ndáil le sraith tuairiscí nuachta sna heagráin chlóite agus ar líne de na nuachtáin seo a leanas: Irish Independent, Herald agus Sunday Independent Ba é cuspóir an fhiosrúcháin a scrúdú cé acu a tháinig nó nár tháinig aon cheann de na hoibleagáidí atá ar an rialaitheoir faoi Airteagail 5(1)(a), 5(1)(c), 5(2), 6 agus 9 RGCS i gceist agus, má tháinig aon cheann díobh i gceist, cé acu a sháraigh nó nár sháraigh MIG na hoibleagáidí sin nuair a d’fhoilsigh sé sonraí pearsanta a bhaineann leis an nGearánach, mar a bhí sna hailt ábhartha nuachtáin.
Mar réamh-shaincheist, scrúdaigh an Coimisiún an dlínse atá aige fiosrúchán a dhéanamh ar eagraíocht meán i bhfianaise na díolúine atá leagtha amach in alt 43 den Acht um Chosaint Sonraí, 2018 (Acht 2018). Leis an alt sin, cuirtear chun feidhme na ceanglais atá in Airteagal 85 RGCS, is iad sin: ‘Déanfaidh na Ballstáit réiteach de réir dlí idir an ceart go ndéanfar sonraí pearsanta a chosaint de bhun an Rialacháin [Ghinearálta maidir le Cosaint Sonraí] agus an ceart chun tuairimí a nochtadh agus faisnéis a fháil’. Leis an alt, díolmhaítear próiseáil áirithe faisnéise pearsanta chun críoch iriseoireachta ó fhorálacha áirithe de RGCS a chomhlíonadh i gcás go mbeadh comhlíonadh na forála ar neamhréir leis an gcríoch a bhaineann leis an gceart chun saoirse chun tuairimí a nochtadh agus chun saorála faisnéise a fheidhmiú. I measc na bhforálacha de RGCS atá le breithniú, tá na forálacha sin a bhaineann leis na cearta atá ag ábhair sonraí, leis na hoibleagáidí atá ar rialaitheoirí, agus leis na cumhachtaí agus na feidhmeanna atá ag údaráis mhaoirseachta.
Chinn an Coimisiún go bhfuil sé de chumhacht aige féin na forálacha d’Acht 2018 a úsáid chun fiosrúchán a dhéanamh ar ghearán as a n-eascraíonn saincheisteanna a bhaineann le sáruithe féideartha ar RGCS agus ina dtagann an ceart atá ag rialaitheoir sonraí chun tuairimí a nochtadh i gceist ar bhonn díreach lárnach freisin.
Níl RGCS ná an ceart bunúsach chun sonraí pearsanta an duine aonair a chosaint atá in Airteagal 8 de Chairt an Aontais Eorpaigh um Chearta Bunúsacha faoi réir an chirt chun saoirse chun tuairimí a nochtadh. Cé go n-aithnítear an ceart deireanach sin go sainráite le hAirteagal 85 RGCS agus le halt 43 d’Acht 2018, aithnítear leo freisin nach mór an ceart sin a mheá in aghaidh cearta cosanta sonraí i gcásanna aonair. In imthosca áirithe, féadfar go mbeidh tosaíocht ag an gceart chun saoirse chun tuairimí a nochtadh ar fhorálacha áirithe de RGCS, lena n-áirítear iad sin a bhaineann le prionsabail na próiseála (seachas prionsabal na sláine agus na rúndachta) atá in Airteagal 5 RGCS agus an ceanglas maidir le dlíthiúlacht na próiseála atá in Airteagal 6 RGCS. Ní fhéadfar na cumhachtaí agus na feidhmeanna rialála a dheonaítear le RGCS a sheachaint ach amháin a mhéid a bheadh feidhmiú na gcumhachtaí agus na bhfeidhmeanna sin ar neamhréir le feidhmiú an chirt chun saoirse chun tuairimí a nochtadh agus chun saorála faisnéise. Maidir leis an neamh-chomhoiriúnacht fhéideartha idir forálacha áirithe de RGCS (lena n-áirítear na cumhachtaí maoirseachta agus forfheidhmiúcháin atá ag an gCoimisiún) agus feidhmiú na saoirse chun tuairimí a nochtadh agus chun saorála faisnéise, ní chuireann sí cosc ar an gCoimisiún fiosrúchán a sheoladh chun measúnú a dhéanamh ar a infheidhme atá an díolúine faoi alt 43, agus níl sí ar neamhréir leis sin ach oiread. Ina theannta sin, má chinneann an Coimisiún go bhfuil feidhm ag an díolúine maidir leis na himthosca ar leith, ní mór dó anailís bhreise a dhéanamh ansin chun scrúdú a dhéanamh ar a mhéid a chiorraítear le halt 43 feidhmiú na bhforálacha atá liostaithe in alt 43(2) d’Acht 2018 sa chás ar leith.
San fhiosrúchán seo, rinne an Coimisiún mionanailís ar fhíorais an ghearáin, ar lena linn a thug sé faoi chleachtadh cothromúcháin chun a chinneadh cé acu ba cheadmhach nó nár cheadmhach do MIG sonraí pearsanta an ghearánaigh a phróiseáil nuair a d’fheidhmigh MIG an ceart atá aige chun saoirse chun tuairimí a nochtadh agus chun saorála faisnéise chun críoch iriseoireachta, toisc go mbeadh cur i bhfeidhm forálacha áirithe de RGCS chun an foilsiú sin a chosc ar neamhréir le críocha den sórt sin. Chun déanamh amhlaidh, ba ghá don Choimisiún measúnú a dhéanamh ar an gcothromaíocht chothrom atá ann idir an ceart chun saoirse tuairimí a nochtadh agus an ceart atá ag an nGearánach go gcosnófaí a sonraí pearsanta.
Rinne an Coimisiún scrúdú ar an mbunús dlí le léiriú iriseoireachta i dtéarmaí Airteagal 40.6.1°(i) de Bhunreacht na hÉireann, ina leagtar amach go bhfuil ‘oiliúint aigne an phobail’ ‘chomh tábhachtach sin do leas an phobail’ agus go bhfuil ‘an tsaoirse is dleacht [dó chun tuairimí a nochtadh]’ ag an bpreas, agus i dtéarmaí théacs Airteagal 10 den Choinbhinsiún Eorpach um Chearta an Duine, ina gcuirtear in iúl an méid seo a leanas: ‘féadfaidh an ceart chun saoirse chun tuairimí a nochtadh a bheith faoi réir foirmiúlachtaí, coinníollacha, srianta nó pionóis dá bhforordaítear le dlí agus atá riachtanach i sochaí dhaonlathach’. Rinne an Coimisiún anailís ar fhasaigh ó bhreitheanna na hÉireann maidir leis an gcoinbhleacht idir an ceart chun saoirse chun tuairimí a nochtadh agus an ceart chun príobháideachta nó chun cosanta sonraí. Chuir an Coimisiún cásdlí Chúirt Bhreithiúnais an Aontais Eorpaigh agus na Cúirte Eorpaí um Chearta an Duine i bhfeidhm ansin chun teacht ar an gcothromaíocht chuí idir cearta an duine atá in iomaíocht le chéile.
Ag féachaint d’iomláine na fianaise a bhí os a chomhair, chinn an Coimisiún go bhfuil feidhm ag an díolúine faoi alt 43(1) den Acht um Chosaint Sonraí, 2018, maidir leis an tuairisciú a rinne MIG agus a bhí ina ábhar don ghearán ón nGearánach. Dá bhrí sin, dhíbh an Coimisiún an gearán faoi alt 112(1)(b) den Acht um Chosaint Sonraí, 2018.
[1] Gan Airteagal 5(1)(f) a áireamh.
[2] Axel Springer AG -v- An Ghearmáin, Uimh. Iarratais 39954/08 (An Chúirt Eorpach um Chearta an Duine, an 7 Feabhra 2012), [91].
[3] e.g., Herrity -v- Associated Newspapers [2009] 1 IR 316; Von Hannover -v- An Ghearmáin (Von Hannover I) [2004] An Chúirt Eorpach um Chearta an Duine 294; X (Naíonán) -v- Sunday World [2014] IEHC 696 (a bhain le mionsonraí faoi bhreith naíonáin agus le ceisteanna maidir le hathair an naíonáin); agus Nolan -v- Sunday World [2019] IECA 141 agus mír 65 de Bladet Tromsø agus Stensaas -v- An Iorua, Uimh. Iarratais 21980/93 (An Chúirt Eorpach um Chearta an Duine, an 20 Bealtaine 1999) arna lua ag an nGearánach sna haighneachtaí uaithi maidir leis an Dréachtchinneadh.
An 8 Márta 2024, ghlac an Coimisiún um Chosaint Sonraí (an Coimisiún) cinneadh tar éis dó scrúdú a dhéanamh ar ghearán a fuarthas in aghaidh Groupon Ireland Operations Limited (Groupon).
Bhain an gearán le hiarraidh rochtana agus le hiarraidh léirscriosta a rinneadh chuig Groupon. Mar fhreagairt do na hiarrataí, cheangail Groupon ar an ngearánach ar dtús cóip de dhoiciméad aitheantais a sholáthar chun a chéannacht a fhíorú. Dhiúltaigh an gearánach déanamh amhlaidh. Ina dhiaidh sin, d’éascaigh Groupon na hiarrataí ón ngearánach gan aon cheanglas den sórt sin a fhorchur. Tar éis dó a shonraí pearsanta a fháil, áfach, níor dheimhin leis an ngearánach gur scriosadh a shonraí pearsanta uile ina n-iomláine ina dhiaidh sin de réir na hiarrata léirscriosta uaidh.
Ba iad seo a leanas na saincheisteanna a scrúdaíodh sa chinneadh ón gCoimisiún:
Ós rud é gurbh ionann an phróiseáil a bhí i gceist agus próiseáil “trasteorann”, bhí an cinneadh ón gCoimisiún faoi réir an tsásra comhair agus comhsheasmhachta atá leagtha amach in Airteagal 60 RGCS agus, de bhun Airteagal 60(3) RGCS, chuir an Coimisiún an dréachtchinneadh uaidh faoi bhráid na n-údarás maoirseachta lena mbaineann ar mhaithe le tuairim a fháil uathu.
Ós rud é nach bhfuair an Coimisiún aon agóidí ábhartha réasúnaithe in aghaidh an dréachtchinnidh ó na húdaráis mhaoirseachta lena mbaineann laistigh den tréimhse reachtúil, measadh gur aontaigh na húdaráis mhaoirseachta leis an dréachtchinneadh ón gCoimisiún agus tá siad faoi cheangal aige de réir Airteagal 60(6) RGCS.
Ghlac an Coimisiún an cinneadh uaidh i ndáil leis an ngearán seo de réir Airteagal 60(7) RGCS. Maidir le cé acu a thaispeáin nó nár thaispeáin Groupon go cuí gur scriosadh sonraí pearsanta an ghearánaigh ina n-iomláine mar fhreagairt don iarraidh léirscriosta, cinntear sa chinneadh ón gCoimisiún nach raibh aon sárú ann. Maidir le cé acu a chomhlíon nó nár chomhlíon Groupon na hoibleagáidí ábhartha atá air faoi RGCS nuair a d’iarr sé aitheantas chun céannacht an ghearánaigh a fhíorú chun críocha na n-iarrataí rochtana agus léirscriosta bunaidh, taifeadtar sa chinneadh ón gCoimisiún na sáruithe seo a leanas:
Cinneann an Coimisiún gur sháraigh Groupon Airteagal 5(1)(c) RGCS nuair a cheangail sé ar an ngearánach ar dtús cóip dá aitheantas a sholáthar chun a chéannacht a fhíorú chun críocha na n-iarrataí rochtana agus léirscriosta uaidh, in imthosca inar chosúil nach bhfuarthas ná nár ceanglaíodh aon fhíorú den sórt sin chun cuntas a oscailt ar dtús agus ina raibh modh fíorúcháin nach raibh chomh sonraíbhunaithe céanna ar fáil do Groupon (ba é sin, an fíorú a dhéanamh tríd an seoladh ríomhphoist a bhaineann leis an gcuntas).
Cinneann an Coimisiún gur sháraigh Groupon Airteagal 12(2) RGCS nuair a d’iarr sé fhaisnéis bhreise ar dtús maidir le céannacht an ghearánaigh tráth a rinne sé na hiarrataí rochtana agus léirscriosta uaidh, in imthosca nár thaispeáin sé iontu go raibh amhras réasúnach ann maidir le céannacht an ghearánaigh a d’fhágfadh go mbeadh gá ann le hAirteagal 12(6) RGCS a chur i bhfeidhm.
Cinneann an Coimisiún gur sháraigh Groupon Airteagail 15(1), 15(3) agus 17(1) RGCS nuair a mhainnigh sé, gan bunús dleathach, na hiarrataí rochtana agus léirscriosta tosaigh ón ngearánach a chomhlíonadh tráth a rinneadh iad, in imthosca inar cinneadh an iarraidh ó Groupon ar aitheantas fótagrafach (mar réamhriachtanas le freagairt do na hiarrataí rochtana agus léirscriosta tosaigh) a bheith ina sárú ar Airteagal 5(1)(c) RGCS.
Cinneann an Coimisiún gur sháraigh Groupon Airteagal 6(1) RGCS nuair a lean sé le sonraí pearsanta an ghearánaigh a phróiseáil tar éis an iarraidh léirscriosta tosaigh uaidh a fháil.
I bhfianaise na sáruithe a cinneadh a bheith ann, d’eisigh an Coimisiún iomardú chuig Groupon de bhun Airteagal 58(2)(b) RGCS.
Chun tuilleadh faisnéise a fháil, is féidir leat cóip den chinneadh iomlán a íoslódáil ag an nasc seo (i mBéarla): Groupon Ireland Operations Limited – Márta 2024 (PDF, 599 KB).