I gcás amháin a scrúdaigh an DPC, chuir tuismitheoir iarratas isteach chuig An Garda Síochána chun cóipeanna de shonraí pearsanta a pháistí óga a fháil.

Dhiúltaigh An Garda Síochána na sonraí a chur ar fáil . Chomhairligh an DPC don tuismitheoir go gcomhaontódh sé leis an srian a cuireadh i bhfeidhm, toisc go raibh eolas faoi leith ag an rialaitheoir sa chás seo maidir leis na cúinsí a bhain le socrú coimirce chomhroinnte a bhí i bhfeidhm agus toisc gur mheas sé go mbeadh comhthoil gach coimirceora ag teastáil d’fhonn na sonraí a scaoileadh sa chás seo .

Scrúdaigh an DPC cás inar chuir An Garda Síochána srianta i bhfeidhm ar rochtain ar bhonn Ailt 91(7) agus (8) den Acht um Chosaint Sonraí 2018.

Bhain an cás le duine aonair a bhí ag lorg cóipeanna de líomhaintí maidir le mí-úsáid a rinneadh ina choinne maidir le leas a thuismitheoirí . I ndiaidh an cheist seo a scrúdú, ba léir don DPC go scaoilfí sonraí pearsanta tríú páirtí agus go nochtfaí aitheantas an duine a raibh na líomhaintí á ndéanamh aige mar gheall ar an bhfaisnéis a scaoileadh . I ndiaidh don DPC athbhreithniú a dhéanamh, bhí sé sásta gur cuireadh na sonraí a bhí á n-iarraidh ar fáil go huile is go hiomlán faoi rún agus mheas sé go raibh feidhm le forálacha Alt 91(9)(a) freisin .

Taisceadh gearán in aghaidh Twitter International Company (“Twitter”) go díreach leis an gCoimisiún an 02 Iúil 2019. Dá réir sin, láimhseáil an Coimisiún an gearán ina cháil mar phríomhúdarás maoirseachta. Líomhain an gearánach gur tharla sé, tar éis a chuntas ar Twitter a chur ar fionraí, gur mhainnigh Twitter an creat ama reachtúil a chomhlíonadh i leith iarraidh léirscriosta a chuir sé faoina bhráid. Líomhain an gearánach freisin gur iarr Twitter cóip dá aitheantas fótagrafach chun go bhféadfadh sé an iarraidh léirscriosta uaidh a chur i ngníomh gan aon bhunús dlí a bheith aige le déanamh amhlaidh. Ar deireadh, líomhain an gearánach gur choinnigh Twitter a shonraí pearsanta tar éis na hiarrata léirscriosta uaidh gan aon bhunús dlí a bheith aige le déanamh amhlaidh.

Cuireadh cuntas Twitter an ghearánaigh ar fionraí toisc gur mheas Twitter gur sháraigh an gearánach a Bheartas Iompair Ghránna . Tar éis do Twitter an cuntas a chur ar fionraí, d’iarr an gearánach go léirscriosfaí a shonraí pearsanta uile, amhail a sheoladh ríomhphoist agus a uimhir theileafóin . Chuir sé roinnt iarrataí difriúla faoi bhráid Twitter á iarraidh air go léirscriosfaí a shonraí . D’iarr Twitter ar an ngearánach cóip dá aitheantas a chur isteach chun a fhíorú gurbh é an sealbhóir cuntais i ndáiríre é. Dhiúltaigh an gearánach do dhéanamh amhlaidh . Ar deireadh, chomhlíon Twitter an iarraidh léirscriosta gan aitheantas fótagrafach an ghearánaigh a fháil .

Ar dtús, d’fhéach an Coimisiún leis an ngearán seo a réiteach go cairdiúil trína phróiseas láimhseála gearán . Níor éirigh leis teacht ar réiteach cairdiúil, áfach, agus osclaíodh fiosrúchán ar an gcás. Ba iad seo a leanas na saincheisteanna lena n-iniúchadh agus lena gcinneadh ag an bhfiosrúchán ón gCoimisiún: (i) cé acu a bhí nó nach raibh bunús dleathach ag Twitter le haitheantas fótagrafach a iarraidh tar éis iarraidh léirscriosta a fháil de bhun Airteagal 17 RGCS; (ii) cé acu a láimhseáil nó nár láimhseáil Twitter an iarraidh léirscriosta sin i gcomhréir leis an Rialachán Ginearálta agus leis an Acht um Chosaint Sonraí, 2018; agus (iii) cé acu a chomhlíon nó nár chomhlíon Twitter ceanglais trédhearcachta Airteagal 12 RGCS . Agus an seasamh uaidh á chosaint, luaigh Twitter go bhfuil ríthábhacht ag baint le haitheantas an iarrthóra a fhíordheimhniú i gcásanna ina n-iarrann páirtí go ndéanfaí léirscriosadh ar a chuntas . Luaigh sé gurb é an t-aon toradh amháin a bhíonn ar na haitheantóirí uathúla a sholáthraítear nuair a chláraítear cuntas (i .e ., seoladh ríomhphoist agus uimhir theileafóin) ná ceangal a dhéanamh idir úsáideoir agus cuntas . Ní fhíoraítear leo aitheantas aon sealbhóra cuntais . Luaigh Twitter gurb eol dó gur féidir cuntais ríomhphoist a haiceáil agus gur féidir go bhféachfaidh páirtithe leasmhara eile le cuntas a léirscriosadh, go háirithe i gcás den sórt seo inar cuireadh an cuntas ar fionraí mar gheall ar roinnt sáruithe líomhnaithe ar Bheartas Iompair Ghránna Twitter . Thug an chuideachta le fios go gcoinníonn sí faisnéis bhunúsach faoi shíntiúsóirí ar feadh tréimhse éiginnte, ar aon dul leis an leas dlisteanach atá aici i sábháilteacht agus slándáil a hardáin agus a húsáideoirí a chothabháil .

D’áitigh Twitter freisin nár bhain Airteagal 5(1)(c) le hábhar anseo toisc nár bhailigh sé aon aitheantas ar bith ón ngearánach . Ina ainneoin sin, luaigh sé gur chomhréireach agus riachtanach araon a bhí an iarraidh ar aitheantas fótagrafach sa chás seo. Thug sé le fios go mbíonn leibhéal níos airde fíordheimhniúcháin ag teastáil i gcás nach bhfuil duine logáilte isteach ina chuntas, rud a tharlóidh i gcónaí nuair atá cuntas an duine lena mbaineann ar fionraí.

Ag féachaint don iarraidh léirscriosta ón ngearánach agus don oibleagáid ghaolmhar atá ar an gcuideachta aon iarraidh den sórt sin a phróiseáil ‘gan moill mhíchuí’, leag Twitter amach amlíne an chomhfhreagrais idir é féin agus an gearánach maidir leis an iarraidh léirscriosta . Luaigh Twitter go ndearna an gearánach iarrataí dúblacha agus gur chuir sé sin moill ar phróiseas an scriosta/an léirscriosta . Maidir le coinneáil sonraí, chuir Twitter in iúl don Choimisiún gur choinnigh sé uimhir theileafóin agus seoladh ríomhphoist an ghearánaigh tar éis an iarraidh rochtana uaidh a chur i gcrích . Luaigh sé go gcoinníonn sé an fhaisnéis theoranta sin ar feadh tréimhse éiginnte tar éis an cuntas a dhíghníomhachtú agus go ndéanann sé amhlaidh de réir na leasanna dlisteanacha atá aige i sábháilteacht agus slándáil a ardáin agus a úsáideoirí a chothabháil. Dhearbhaigh sé gurbh amhlaidh, dá scriosfadh sé seoladh ríomhphoist nó uimhir theileafóin an ghearánaigh óna chórais, go bhféadfadh an gearánach an fhaisnéis sin a úsáid ansin chun cuntas nua a chruthú, cé gur sainaithníodh é agus gur cuireadh ar fionraí go buan é ón ardán de dheasca sáruithe éagsúla ar Bheartas Iompair Ghránna Twitter .

Tar éis dó an fiosrúchán uaidh a chur i gcrích, ghlac an Coimisiún an cinneadh uaidh i ndáil leis an ngearán seo de réir Airteagal 60(7) RGCS an 27 Aibreán 2022 . Chinn an Coimisiún gur sháraigh Twitter International Company, an rialaitheoir sonraí, an Rialachán Ginearálta maidir le Cosaint Sonraí mar a leanas:

• Airteagal 5(1)(c): Sháraigh Twitter prionsabal an íoslagh- daithe sonraí, de bhun Airteagal 5(1)(c) RGCS, nuair a cheangail sé ar an ngearánach a aitheantas a fhíorú trí chóip dá aitheantas fótagrafach a chur isteach .
• Airteagal 6(1): Níor shainaithin Twitter aon bhunús dleathach bailí faoi Airteagal 6(1) RGCS le cóip d’aithe- antas fótagrafach an ghearánaigh a iarraidh chun an iarraidh léirscriosta uaidh a phróiseáil .
• Airteagal 17(1): Sháraigh Twitter Airteagal 17(1) RGCS, toisc go raibh moill mhíchuí ann ar an iarraidh léirscrio- sta ón ngearánach a phróiseáil .
• Airteagal 12(3): Sháraigh Twitter Airteagal 12(3) RGCS trí mhainneachtain fógra a thabhairt don ábhar sonraí laistigh de mhí amháin faoin ngníomh a rinneadh i dta- ca leis an iarraidh léirscriosta uaidh de bhun Airteagal 17 RGCS .

Chinn an Coimisiún go raibh bunús dlí bailí ag Twitter, de réir Airteagal 6(1) (f), le seoladh ríomhphoist agus uimhir theileafóin an ghearánaigh a bhí bainteach leis an gcuntas a choinneáil . Chinn sé freisin gurbh amhlaidh, gan dochar don chinneadh uaidh thuas maidir le prionsabal an íoslaghdaithe sonraí i ndáil le haitheantas fótagrafach, gur chomhlíon Twitter prionsabal an íoslaghdaithe sonraí toisc go raibh próiseáil an tseolta ríomhphoist agus na huimhreach teileafóin teoranta don mhéid ba ghá maidir leis na críocha dá ndéantar iad a phróiseáil .

I bhfianaise mhéid na sáruithe, d’eisigh an Coimisiún iomardú chuig Twitter International Company, de bhun Airteagal 58(2)(b) RGCS . Ina theannta sin, d’ordaigh an Coimisiún do Twitter International Company, de bhun Airteagal 58(2)(d), leasú a dhéanamh ar a bheartais agus a nósanna imeachta inmheánacha le haghaidh iarrataí léirscriosta a láimhseáil chun a chinntiú nach gceanglófaí ar ábhair sonraí a thuilleadh cóip d’aitheantas fótagrafach a sholáthar nuair a dhéanann siad iarrataí léirscriosta sonraí, ach amháin i gcás go bhféadfaidh sé bunús dlí le déanamh amhlaidh a léiriú . D’ordaigh an Coimisiún do Twitter International Company mionsonraí faoina bheartais agus a nósanna imeachta inmheánacha athbhreithnithe a sholáthar dó faoin 30 Meitheamh 2022 . Chomhlíon Twitter an t-ordú sin faoin spriocdháta socraithe .

Rinne ábhar sonraí gearán leis an gCoimisiún um Chosaint Sonraí (“an Coimisiún”) maidir le foilsiú a íomhá stairiúla i nuachtán (“rialaitheoir sonraí”). Mhínigh an t-ábhar sonraí don Choimisiún gur foilsíodh an t-alt gan fhios dó agus gan toiliú a fháil uaidh. Sula ndearna sé teagmháil leis an gCoimisiún, rinne an t-ábhar sonraí teagmháil leis an rialaitheoir sonraí chun aghaidh a thabhairt ar na húdair imní a bhí aige toisc go raibh sé den tuairim gur próiseáladh a shonraí pearsanta go neamhdhleathach. D’iarr sé go léirscriosfaí an íomhá ón nuachtán faoi Airteagal 17 den Rialachán Ginearálta maidir le Cosaint Sonraí (“GDPR”). Dhiúltaigh an rialaitheoir sonraí do na heilimintí uile den iarraidh ón ábhar sonraí, áfach.

Mar chuid dá scrúdú, rinne an Coimisiún idirchaid- reamh leis an rialaitheoir sonraí agus d’fhiafraigh sé de cén bunús dleathach a bhí aige faoi Airteagal 6 GDPR le sonraí pearsanta an ábhair sonraí a phróiseáil ar an mbealach atá leagtha amach sa ghearán uaidh . Dúirt an rialaitheoir sonraí leis an gCoimisiún nach raibh sé ag brath ar Airteagal 6 GDPR chun sonraí pearsanta an ábhair sonraí a phróiseáil . Dúirt sé go raibh sé ag brath ar alt 43 den Acht um Chosaint Sonraí, 2018 (“Acht 2018”) (próiseáil sonraí agus saoirse chun tuairimí a nochtadh agus chun saorála faisnéise), is é sin gur díolmhaithe a bheidh próiseáil sonraí pearsanta chun go bhfeidhmeo- far an ceart chun saoirse chun tuairimí a nochtadh agus chun saorála faisnéise, lena n-áirítear próiseáil chun críoch iriseoireachta nó chun críoch léirithe acadúil, ealaíonta nó liteartha . Mhínigh an rialaitheoir sonraí freisin nach raibh an t-ábhar sonraí ina ábhar don alt nuachta a bhí i gceist agus go ndeachaigh roinnt mhaith blianta thart ó tógadh an grianghraf agus, dá bhrí sin, nach bhféadfaí an t-ábhar sonraí a shainaithint go héasca .

Maidir leis an iarraidh léirscriosta ón ábhar sonraí, bhí an rialaitheoir sonraí ag brath ar alt 43 d’Acht 2018 mar bhunús le diúltú don íomhá a léirscriosadh ón alt .

Tar éis dó breithniú a dhéanamh ar na heilimintí uile den ghearán seo, chinn an Coimisiún go raibh bunús dleathach ag an nuachtán faoi alt 43 d’Acht 2018 agus faoi Airteagal 85 GDPR le híomhá stairiúil an ábhair sonraí a fhoilsiú in alt nuachta .

Tugann an Coimisiún faoi deara nach ndíolmhaítear leis an díolúine iriseoireachta aon rialaitheoir sonraí ón Rialachán Ginearálta maidir le Cosaint Sonraí ar fad ná ó na hAchtanna um Chosaint Sonraí ar fad . Ní mór do rialaitheoir sonraí aird a bheith aige ar na hoibleagáidí eile atá air faoi GDPR agus faoi Acht 2018 . Chinn an Coimisiún go ndearna an rialaitheoir sonraí próiseáil chomhréireach ar shonraí pearsanta an ábhair sonraí toisc go bhfuil an íomhá atá i gceist ina híomhá stairiúil inar féidir talamh slán a dhéanamh de le réasún nach féidir an t-ábhar sonraí a shainaithint go héasca a thuilleadh . Aithníonn an Coimisiún gurb é tríú páirtí an príomhdhuine atá i gceist leis an alt agus go luaitear sliocht as go díreach san alt . Dá bhrí sin, ní ionann an t-ábhar sonraí agus ábhar na díospóireachta .

Chuir an Coimisiún in iúl don ábhar sonraí, faoi alt 109(5) (c) d’Acht 2018, gur réasúnach a bhí an míniú a chuir an rialaitheoir sonraí ar aghaidh maidir le próiseáil a shonraí pearsanta in imthosca an ghearáin seo .

Tar éis turas ar shaoráid fóillíochta (an rialaitheoir sonraí), chuir ábhar sonraí gearán faoi bhráid an Choimisiúin um Chosaint Sonraí (DPC) mar go raibh siad míshásta maidir leis an mbealach a ndearna an rialaitheoir sonraí próiseáil ar a gcuid sonraí pearsanta. Theastaigh ón ábhar sonraí a gcearta faoi Airteagal 17 den Rialachán Ginearálta maidir le Cosaint Sonraí (GDPR) a fheidhmiú, go ndéanfadh an eagraíocht a gcuid sonraí féin agus sonraí a dteaghlach a scrios. Roimh theagmháil a dhéanamh leis an DPC, d’iarr an t-ábhar sonraí go díreach ar an rialaitheoir sonraí a sonraí a scrios ach dhiúltaigh an rialaitheoir sonraí an t-iarratas seo.

Mhínigh an t-ábhar sonraí don DPC gur chreid siad, le linn a gcuairte ar an tsaoráid fóillíochta, go raibh a gcuid sonraí pearsanta á bpróiseáil go neamhdhleathach mar gur iarr an fhoireann orthu arís agus arís eile mionsonraí na háirithinte a chur ar fáil ar mhaithe leis na saoráidí a bhí ar an láthair, sé sin bialanna agus gníomhaíochtaí a rochtain . Chreid an t-ábhar sonraí gur próiseáil iomarcach a bhí i gceist anseo mar nár tugadh aon rogha dóibh agóid a dhéanamh ó thaobh próiseáil den sórt sin agus nó ní chuirfí rochtain iomlán chuig na saoráidí ar fáil dóibh .

Ar aon dul lena n-imscrúdú ar an ngearán, rinne an DPC teagmháil agus chomhroinn mionsonraí maidir le gearán an ábhair sonraí leis an rialaitheoir sonraí . Chuir an rialaitheoir sonraí in iúl don DPC gurbh é an bonn dlí a bhí acu le sonraí pearsanta a phróiseáil ná Airteagal 6(1)(f) den Rialachán Ginearálta maidir le Cosaint Sonraí (GDPR), a dtagraítear do freisin mar leas dlisteanach . Thug an rialaitheoir sonraí míniú breise go n-éilíonn siad sonraí custaiméara roimh shaoráid a rochtain nó roimh mhír éigin a cheannach ar mhaithe “le patrúin a thuiscint agus feabhas a chur ar an raon seirbhísí agus saoráidí atá ar fáil d’aíonna” . Tá an méid sin mionsonraithe ina mbeartas príobháideachais atá ar fáil ar a láithreán gréasáin .

De bhun gearán an ábhair sonraí, rinne an rialaitheoir sonraí athbhreithniú ar a gcuid beartas agus d’aithin bearna oiliúna ó thaobh na foirne de . Tar éis an méid sin a thabhairt ar aird, chuir an rialaitheoir sonraí treoracha ar fáil don fhoireann lena chinntiú go mbíonn siad ar an eolas nach bhfuil aon dualgas ar chustaiméirí mionsonraí maidir lena n-áirithint a sholáthar agus saoráidí áirithe a rochtain . Chuir an rialaitheoir sonraí in iúl freisin go bhfuil an Nós Imeachta Oibríochta Roinne an Rialacháin Ginearálta maidir le Sonraí tugtha cothrom le dáta acu ar mhaithe leis an nós imeachta seo a léiriú níos soiléire .

Maidir le hiarratas scriosta an ábhair sonraí, chuir an rialaitheoir sonraí in iúl don DPC gur bhaineadh an t-ábhar sonraí as gach cumarsáid ó thaobh margaíochta díreach de . Mar sin féin, ní raibh ar a gcumas aon sonraí pearsanta eile maidir leis an ábhar sonraí agus lena dteaghlach a scrios mar go bhfuil na sonraí á gcoinneáil de réir a mbeartas coinneála . Luaitear i mbeartas coinneála an rialaitheora sonraí go bhfuil na mionsonraí pearsanta go léir á gcoinneáil ar chomhad mar go bhféadfadh siad a bheith riachtanach chun éilimh dhlíthiúla a chosaint agus ní scriosfar iad go mbeidh an duine is óige den teaghlach in aois 21 bliain, de réir tréimhsí na teorann reachtúil .

Faoi alt 109(5)(f) d’Acht na bliana 2018, mhol an DPC don rialaitheoir sonraí leanúint ar aghaidh le hoiliúint a chur ar fáil do na fostaithe go léir maidir lena chuid oibleagáidí do chearta ábhar sonraí faoin reachtaíocht cosanta sonraí agus mhol an DPC don rialaitheoir sonraí leanúint leis an oiliúint seo a thabhairt cothrom le dáta .

Mhol an DPC freisin faoi alt 109(5)(f) d’Acht na bliana 2018 don rialaitheoir sonraí na sonraí pearsanta go léir a scriosadh de réir tréimhse choinneála an rialaitheora sonraí .Níor bhreithnigh an DPC go raibh gá le haon ghníomh eile ag tráth eisiúna an toraidh mar gur thug siad ar aird go raibh athoiliúint curtha ar fáil don fhoireann go léir, gabh siad leithscéal leis an ábhar sonraí agus thairg siad cúiteamh dóibh mar thoradh ar a ngearán .

Sa chás seo, rinne an gearánach iarratas ar iasacht chuig banc. Tharraing an gearánach an t-iarratas ar iasacht siar ina dhiaidh sin agus scríobh sé chuig an mbanc á lua go raibh toiliú á tharraingt siar aige i leith aon sonraí pearsanta arna gcoinneáil ag an mbanc a phróiseáil maidir leis an iarratas ar iasacht agus inar iarradh go seolfaí ar ais na doiciméid ar fad ina raibh sonraí pearsanta an ghearánaigh. Mar fhreagra, chuir an banc in iúl don ghearánach gur chuir sé stop le sonraí pearsanta ar fad an ghearánaigh a phróiseáil, seachas na sonraí a coinníodh i dtaifid ar luaigh an banc gur éilíodh air iad a choinneáil agus a phróiseáil faoi Chód um Chosaint Tomhaltóirí Bhanc Ceannais na hÉireann. Ní raibh an gearánach sásta leis an bhfreagra sin, agus d’áitigh sé, ina ghearán chuig an Oifig seo, i gcúinsí ina bhfuair an banc sonraí pearsanta an ghearánaigh ar an mbonn gur thoiligh an gearánach, ní raibh cead ag an mbanc leanúint de na sonraí sin a phróiseáil ar bhunús dlí eile (i.e. próiseáil atá riachtanach d’fhonn oibleagáid dhlíthiúil a bhfuil an banc faoina réir a chomhlíonadh). D’áitigh an gearánach freisin go raibh an phróiseáil leanúnach a rinne an banc ar a shonraí pearsanta le haghaidh críche nach raibh comhoiriúnach leis an gcríoch ar bailíodh na sonraí ina leith ar dtús, de shárú ar an reachtaíocht um chosaint sonraí.

Dheimhnigh an oifig seo gur aithníodh an banc ar an rialai- theoir sonraí ábhartha i ndáil leis an ngearán, ós rud é gur rialaigh an banc sonraí pearsanta a chuir an gearánach ar fáil don bhanc le linn iarratas ar iasacht a dhéanamh . Bhí na sonraí a bhí i gceist ina sonraí pearsanta maidir leis an ngearánach (a chuimsigh, i measc nithe eile, foirm iarratais ar iasacht chomhlánaithe agus doiciméid tacaíochta) toisc go bhféadfaí an gearánach a aithint iontu agus gur bhain na sonraí leis an ngearánach mar dhuine aonair . Dá bhrí sin, bhí an oifig seo sásta gur chóir imscrúdú a dhéanamh ar an ngearán seo lena chinneadh an raibh sárú ar an reachtaíocht um chosaint sonraí i gceist nó nach raibh .

Le linn imscrúdú a dhéanamh ar an ngearán seo, rinne an Oifig seo athbhreithniú ar fhoirm iarratais ar iasacht an bhainc, a raibh foráil intí, tríd an bhfoirm a shíniú, gur thug duine cead don bhanc a shonraí pearsanta a stóráil, a úsáid agus a phróiseáil le haghaidh réimse cuspóirí, lena n-áirítear chun iarratais ar chreidmheas nó seirbhísí airgeadais a phróiseáil. Mar sin féin, thug an Oifig seo faoi deara nár áiríodh leis na cuspóirí ar thug an gearánach cead ina leith próiseáil chun críche oibleagáidí dlíthiúla an bhainc i gcoitinne a chomhlíonadh, agus go háirithe, níor áiríodh leis sonraí pearsanta an ghearánaigh a phróiseáil chun críche an Cód um Chosaint Tomhaltóirí a chomhlíon- adh. Dá réir sin, bhreithnigh an oifig seo gur ag an am ar bailíodh sonraí pearsanta an ghearánaigh, nár mhaígh an Banc go rabhthas ag brath ar thoiliú mar an bunús dlí i leith sonraí pearsanta an ghearánaigh a bhailiú agus a phróiseáil d’fhonn cloí lena oibleagáidí dlí . Ina ionad sin, bhreithnigh an oifig seo go bhféadfadh an banc brath mar is ceart ar an mbunús dlí go raibh an phróiseáil riachtanach d’fhonn céimeanna a ghlacadh arna iarraidh sin ag an ábhar sonraí roimh chonradh a dhéanamh .

Thug an Oifig seo faoi deara, i gcás ina dtarraingítear iarratas siar ina dhiaidh sin nó mura n-éiríonn leis agus nach ndéanann an banc conradh leis an iarratasóir, nach féidir sonraí pearsanta a bhaineann leis an iarratas ar iasacht a choinneáil a thuilleadh ar an mbonn go raibh an phróiseáil riachtanach d’fhonn céimeanna a ghlacadh arna iarraidh sin ag an ábhar sonraí roimh chonradh a dhéanamh, ós rud é nach bhfuil féidearthacht ann a thuilleadh conradh a dhéanamh leis an ábhar sonraí . Mar sin, d’aithin an banc bunús dlí ar leith chun sonraí pearsanta an ghearánaigh a choinneáil maidir leis an iarratas ar iasacht, is é sin go raibh an phróiseáil seo riachtanach d’fhonn oibleagáid dhlíthiúil a raibh an banc faoina réir a chomhlíonadh .

Thug an Oifig seo faoi deara gur tugadh ar eintitis rialáilte faoin gCód um Chosaint Tomhaltóirí sonraí maidir le “idirbhearta aonair” a choinneáil ar feadh sé bliana i ndiaidh an dáta ar a scoirtear den idirbheart ar leith nó ar é a chur i gcrích. Bhreithnigh an Oifig seo áfach, nach bhfuil iarratas ar iasacht a tharraingítear siar ina dhiaidh sin nó nach n-éiríonn leis ar deireadh thiar ina ‘idirbheart’ chun críche an Chóid um Chosaint Tomhaltóirí.

Thug an Oifig seo faoi deara ina dhiaidh sin gur tugadh ar eintitis rialáilte freisin faoin gCód um Chosaint Tomhaltóirí “na taifid eile ar fad” a choinneáil ar feadh sé bliana ón dáta ar chuir an t-eintiteas rialáilte deireadh le haon táirge nó seirbhís a chur ar fáil don tomhaltóir, lena n-airítear tomhaltóir ionchasach, lena mbaineann . Mar sin féin, níor mheas an Oifig seo go mbaineann na taifid maidir le hiarratas ar iasacht a tharraingítear ina dhiaidh sin le raon an riachtanais seo faoin gCód um Chosaint Tomhaltóirí ach an oiread. Dá réir sin, mheas an Oifig seo, nár ghá don bhanc sonraí pearsanta a bhaineann le hiarratas ar iasacht aistarraingthe an ghearánaigh a choinneáil chun críche cloí lena oibleagáidí faoin gCód um Chosaint Tomhaltóirí, agus bhreithnigh an Oifig nár aithin an banc bunús dlí faoin reachtaíocht um chosaint sonraí chun sonraí pearsanta an ghearánaigh a choinneáil a bhain lena iarratas ar iasacht a choinneáil .

Rinne ábhar sonraí teagmháil leis an DPC toisc nach raibh sé sásta leis na freagraí a fuarthas i leith iarratas duine ar a shonraí agus i leith iarratas ar scriosadh. Tugadh an cás seo in aghaidh bailitheoir fiach agus chuir an t-ábhar sonraí ábhar imní in iúl faoin mbealach ina bhfuarthas a chuid sonraí pearsanta. Mhínigh an t-ábhar sonraí gur glanadh an fiach ach go raibh sé fós ag fáil litreacha ó bhailitheoir fiach. Tagraíodh sa litir seo do shuim a bhí fós le réiteach i ndáil le tríú páirtí.

Leag an t-ábhar sonraí amach don DPC go ndearnadh a iarratas duine ar a shonraí trí ardán ar líne . Ní bhfuair an t-ábhar sonraí freagra ar a Iarratas ar Rochtain Airteagal 15 ná ar a iarratas ar scriosadh faoi Airteagal 17 den Rialachán Ginearálta maidir le Cosaint Sonraí (GDPR) . Chuaigh an dá pháirtí i dteagmháil dhíreach lena chéile sula raibh an DPC páirteach . Ina chomhfhreagras leis an ábhar sonraí, mhínigh an bailitheoir fiach go bhfuarthas na sonraí pearsanta ó thríú páirtí . Uaslódáladh na sonraí pearsanta ar a chóras ar líne ina dhiaidh sin agus eisíodh litir chuig an ábhar sonraí .

Mar chuid dá iniúchadh, chuaigh an DPC i dteagmháil leis an mbailitheoir fiach agus d’iarr sé air achoimre a thabhairt ar a chaidreamh leis an tríú páirtí seo . Chuir an bailitheoir fiach in iúl don DPC go raibh sé ag gníomhú mar phróiseálaí sonraí thar ceann an tríú páirtí agus go raibh comhaontú próiseálaí sonraí, i gcomhréir le hAirteagal 28(3) den GDPR, i bhfeidhm ag an tráth a phróiseáil sé na sonraí pearsanta seo. Chuir an bailitheoir fiach in iúl don DPC go raibh deireadh curtha leis an gconradh seo agus nach mbeadh sé ag gníomhú thar ceann an tríú páirtí amach anseo . Ghlac an DPC leis sin agus d’aithin sé an bailitheoir fiach ar an bpróiseálaí sonraí agus an tríú páirtí ar an rialaitheoir sonraí . Luaigh an próiseálaí sonraí gur chun leas an phobail fiacha a bhailiú agus mar sin, go raibh leas dlisteanach aige sonraí pearsanta a phróiseáil i gcás ina bhfuil cuntas ábhair sonraí sannta dó faoin dlí, nó i gcás ina bhfuil sé ag gníomhú faoi chonradh dlí . Luaigh an próiseálaí sonraí go raibh próiseáil shonraí pearsanta an ábhair sonraí riachtanach d’fhonn an fiach a bhailiú agus go gceadaítear é fiú i gcás nach dtugann an t-ábhar sonraí cead i leith na próiseála; arb é is brí leis sin gur bhraith an próiseálaí sonraí ar Airteagail 6(1)(b) agus 6(1)(f) den GDPR chun na sonraí pearsanta a phróiseáil .

Ghlac an próiseálaí sonraí sa chás seo go bhféadfadh sé gur ghlan an t-ábhar sonraí an fiach gan íoc ach luaigh sé nach bhféadfadh sé bheith freagrach má íocann an t-ábhar sonraí an rialaitheoir sonraí go díreach agus nach gcuireann an rialaitheoir sonraí an próiseálaí sonraí ar an eolas chun deireadh a chur leis an bhfiach gan íoc ar a chórais . Tharraing an DPC aird gur chosúil go raibh earráid sa litir a fuair an t-ábhar sonraí . Sa chomhfhreagras seo, thagair an bailitheoir fiach dó féin mar rialaitheoir sonraí. Ghlac an bailitheoir fiach leis an earráid seo agus luaigh sé gur cheart go mbeadh próiseálaí sonraí scríofa, agus gur dearmad ba chúis leis sin nuair a bhí litir teimpléid á húsáid .

Maidir leis an iarratas duine ar a shonraí, mar gheall ar a chaidreamh mar phróiseálaí sonraí, níor thug sé freagra díreach ar iarratas an ábhair sonraí ar a shonraí ach roinn sé é sin leis an tríú páirtí, an rialaitheoir sonraí . Maidir leis an iarratas ar scriosadh, chuir an próiseálaí sonraí in iúl don ábhar sonraí go mbeadh air na sonraí pearsanta a choinneáil ar feadh sé mhí chun críocha cánachais/ airgeadais/iniúchóireachta . Bhí an sé mhí caite sula raibh an DPC páirteach agus dhearbhaigh an próiseálaí sonraí don DPC go raibh na sonraí pearsanta scriosta . Ghabh an próiseálaí sonraí leithscéal leis an ábhar sonraí go díreach agus thairg sé íocaíocht mar chomhartha dea-thola .

Chuir an DPC in iúl don ábhar sonraí faoi alt 109(5)(c) d’Acht 2018 go raibh leas dlisteanach ag an bpróiseálaí sonraí agus an rialaitheoir sonraí fiacha a bhailiú agus sonraí pearsanta a nochtadh chun na fiacha a bhailiú. D’aithin an DPC na hearráidí sa chomhfhreagras a cuireadh ar fáil don ábhar sonraí agus faoi alt109(5)(f) d’Acht 2018, mhol sé go dtabharfadh an próiseálaí sonraí faoi thástáil a dhéanamh ar phróisis eagraíochtúla agus teicniúla go rialta chun comhlíonadh an GDPR a chinntiú d’fhonn cloí le hAirteagal 28 den GDPR .

I ndiaidh iarratas a dhéanamh ar chárta creidmheasa nár éirigh leis, d’iarr an t-ábhar sonraí sa chás seo go scriosfaí a shonraí pearsanta faoi Airteagal 17 den Rialachán Ginearálta maidir le Cosaint Sonraí (GDPR). Nuair a dhiúltaigh an rialaitheoir sonraí don iarratas ar scriosadh, chuir an t-ábhar sonraí ábhar imní in iúl don DPC go raibh a shonraí pearsanta á gcoinneáil go neamhdhleathach. Chuaigh an DPC i dteagmháil leis an rialaitheoir sonraí chun measúnú a dhéanamh ar an réasúnaíocht a bhain le diúltú dá leithéid.

Mar fhreagra ar an iarratas ar scriosadh a rinne an t-ábhar sonraí ar dtús, luaigh an rialaitheoir sonraí go raibh oibleagáid dhlíthiúil air an faisnéis a cuireadh ar fáil a choinneáil i gcomhréir le foráil 11 .6 den Chód um Chosaint Tomhaltóirí 2012 agus a Pholasaí Príobháide- achta agus a Ráiteas i leith Fianáin . Chuir an rialaitheoir sonraí míniúchán breise ar fáil go gcoinneofaí na sonraí a cuireadh ar fáil san iarratas ar feadh tréimhse sé bliana ón dáta ar cuireadh an tseirbhís ar fáil .

Mar chuid dá iniúchadh, chuaigh an DPC i dteagmháil leis an rialaitheoir sonraí agus iarradh freagra i ndáil leis an ngearán . Luaigh an rialaitheoir sonraí go raibh sé ag brath ar Airteagal 6(1)(c) den GDPR chun na sonraí pearsanta a choinneáil a bhfuil próiseáil riachtanach ina leith d’fhonn cloí le hoibleagáid dhlíthiúil a bhfuil an rialaitheoir sonraí faoina réir . Sa chás seo, bhí an rialaitheoir sonraí faoi réir an Chóid Cleachtais um Chosaint Tomhaltóirí 2012 (CPC) freisin . Ar an mbonn seo, bhraith an rialaitheoir sonraí ar an mbunús dlí seo chun diúltú don iarratas ar scriosadh . Faoi Airteagal 17(3)(b) den GDPR, níl feidhm ag ceart an ábhair sonraí ar scriosadh agus d’fhéadfaí srian a chur leis i gcás ina bhfuil an phróiseáil riachtanach chun oibleagáid dhlíthiúil a chomhlíonadh .

Mar thagairt, tá an CPC ina shraith rialacha agus prionsabail nach mór do gach gnólacht sheirbhísí airgeadais rialaithe cloí leo agus táirgí agus seirbhísí airgeadais á gcur ar fáil do thomhaltóirí, agus ba é Banc Ceannais na hÉireann a d’fhoilsigh é i gcomhréir le halt 117 d’Acht an Bhainc Ceannais 1989 . Faoi alt 117(4) d’Acht an Bhainc Cheannais 1989, tá sé ina chion mura gcuireann gnólacht airgeadais rialaithe faisnéis ar fáil don Bhanc Ceannais lena thaispeáint go bhfuil an CPC á chomhlíon- adh .

Faoi fhorálacha 11 .5 agus 11 .6 den CPC, éilítear ar rialai- theoirí sonraí taifid a choinneáil de thomhaltóir ar feadh sé bliana i ndiaidh an dáta a chuirtear deireadh le hidirbheart áirithe nó é a chur i gcrích . Áirítear an méid a leanas leis na taifid a éilítear ach níl sé teoranta dóibh: na doiciméid ar fad atá ag teastáil chun an tomhaltóir a aithint; sonraí teagmhála an tomhaltóra; an comhfhreagras ar fad leis an tomhaltóir; na doiciméid ar fad a chomhlánaigh nó a shínigh an tomhaltóir . Cheistigh an t-ábhar sonraí an spleáchas seo toisc nár cuireadh aon seirbhís ar fáil, dá bhrí sin, bhí sé den tuairim nach raibh sé ina thomhaltóir agus mar sin, nach raibh aon cheart dhlíthiúil ag an rialaitheoir sonraí na sonraí pearsanta a choinneáil . Tugtar sainmhíniú sa CPC ar thomhaltóir, agus áirítear tomhaltóir ionchasach nuair is cuí . Chomh maith leis sin, luaigh an rialaitheoir sonraí maidir leis an tráth a rinne an t-ábhar sonraí iarratas ar chárta creidmheasa, gur measadh gur seirbhís a bhí i gceist an t-iarratas a bhreithniú agus cinneadh a dhéanamh ina leith ina dhiaidh sin .

Faoi alt 109(5)(c) d’Acht 2018, chuir an DPC an t-ábhar sonraí ar an eolas gur rangaíodh an t-ábhar sonraí ina thomhaltóir ionchasach laistigh de bhrí an CPC . Mar thoradh air sin, tá oibleagáid dhlíthiúil ar an rialaitheoir sonraí na sonraí pearsanta a choinneáil ar feadh tréimhse sé bliana . Mheas an DPC nach raibh gá le haon ghníomh breise ag an tráth a eisíodh an toradh .

Bhain an gearán seo leis an líomhain nár tugadh freagrea ar iarratas ar léirscriosadh a rinne an gearánach le rialaitheoir sonraí de bhun Airteagail 17 GDPR.

Tar éis don ghearán a fháil ón ghearánach, chuaigh an DPC i ngleic leis an dá pháirtí maidir le hábhar an ghearáin . I rith na rannpháirtíochta seo, deimhníodh gur, i rith na seachtaine ina chuir an gearánach a iarratas ar léirscrio- sadh isteach chuig an rialaitheora sonraí, bhí an rialaitheoir sonraí ag cur próiseas nua i bhfeidhm chun iarratais ar léirscriosadh sonraí pearsanta a bhainistiú .

Chuir an rialaitheoir sonraí in iúl don DPC go bhfuair sé an iarratas ar léirscriosadh ón ábhar sonraí le linn na hidirthréimhse seo idir an seanchóras agus an córas nua . Dúirt an rialaitheoir sonraí ina theannta sin gur, cé go raibh pearsanra nua ag dul faoi oiliúint maidir le conas iarratais dá leithéid a bhainistiú le linn na tréimhse seo, ba chosúil nár eisíodh freagra ar an iarratas ar léirscriosadh . Dúirt an rialaitheoir sonraí gur neamart a bhí i gceist, b’fhéidir mar gheall ar cheist theicniúil nó earráid dhaonna, agus go raibh aiféala air faoin bhotún .

Faoi mar a bhí cúrsaí, d’aontaigh an rialaitheoir sonraí an iarratas ar léirscriosadh a chomhlíonadh, agus ghabh sé a leithscéal as an bhotún . Dhearbhaigh an rialaitheoir sonraí don DPC ina dhiaidh sin go ndearna sé sonraí pearsanta an ghearánaigh a léirscriosadh .

Chuir an DPC an gearánach ar an eolas faoi thoradh na rannpháirtíochta a rinne sé leis an rialaitheoir sonraí, agus thug sé faoi deara go mba chosúil gur réitíodh imní an ghearánaigh trí na gníomhartha dearfacha a rinne an rialaitheoir sonraí .

Dhearbhaigh an gearánach don DPC ina dhiaidh sin gur aontaigh sé le réitiú cairdiúil ar a ghearán toisc gur réitíodh a imní, agus gur aistarraing sé a ghearán .

Sa chás seo, measadh gur réitíodh an gearán go cairdiúil agus gur aistarraingíodh é, de réir ailt 109 den Acht um Chosaint Sonraí 2018 .

Fuair an DPC gearán ó dhuine aonair maidir le hiarratas ar léirscriosadh a rinne siad le rialaitheoir sonraí, ardán chun lóistín a chur in áirithe, de bhun Airteagail 17 GDPR. Chuir an gearánach tús le cuntas a chruthú ar ardán an rialaitheora sonraí ach chinn sé éirí as an bpróiseas sular chríochníodh é. Chuir an gearánach a iarratas ar léirscriosadh in iúl don rialaitheoir sonraí ansin trí ríomhphost agus ar an teileafón. Mar fhreagra ar an iarratas ar léirscriosadh, chuir an rialaitheoir sonraí in iúl don ghearánach go mbeadh cáipéis aitheantais de dhíth air chun an t-iarratas ar léirscriosadh a chomhlíonadh.

Aithníodh go raibh seans go bhféadfaí an gearán a réitiú go cairdiúil faoi Alt 109 den Acht um Chosaint Sonraí 2018, agus d’aontaigh an rialaitheoir sonraí obair leis an DPC chun iarracht a dhéanamh an gearán a réitiú go cairdiúil . Chuir an rialaitheoir sonraí ar fáil don DPC na freagraí a bhí tugtha aige don ghearánach maidir leis na ceisteanna a ardaíodh sa ghearán go dtí sin, agus dhearbhaigh sé gur iarr sé cáipéis aitheantais mar fhreagra ar an iarratas ar léirscriosadh a rinne an gearánach .

I rith an fhiosrúcháin a rinne an DPC ar an ngearán, dhearbhaigh an rialaitheoir sonraí chomh maith nár baineadh úsáid as an gcuntas a bhí i gceist riamh chun lóistín a chur in áirithe nó a óstáil nó chun an tseirbhís a úsáid ar bhealach ar bith . Tar éis idirghabháil ón DPC, ghlac an rialaitheoir sonraí air féin cuntas an ghearánaigh a léirscriosadh gan iarraidh ar an ngearánach tuilleadh cáipéise a chur ar fáil .

Chuir an DPC na forbairtí seo in iúl don ghearánach . Mar fhreagra, dhearbhaigh an gearánach gur ghlac sé leis an ngníomh a bhí beartaithe agus go réiteofar a ghearán dá léirscriosfaí a chuntas . Chuaigh an DPC i ngleic níos faide leis an rialaitheoir sonraí, a thug dearbhú don DPC go ndearna sé cuntas an ghearánaigh a léirscriosadh . Chuir an rialaitheoir sonraí an dearbhú sin in iúl go díreach don ghearánach chomh maith. Réitíodh an gearán go cairdiúil de réir ailt 109 den Acht um Chosaint Sonraí 2018 . Léiríonn an cás-staidéar seo na buntáistí atá ann, do dhaoine aonair, le hidirghabháil ón DPC tríd an bpróiseas réiteach cairdiúil . Go háirithe, léiríonn an cás-staidéar seo an bealach ina bhféadann an DPC cuidiú le gearánach tríd an bpróiseas réiteach cairdiúil . Sa phróiseas seo déantar imní aonair an ghearánaigh a mhíniú don rialaitheoir sonraí i gcás nár réitíodh an imní tríd an rannpháirtíocht tosaigh idir an ghearánach agus an rialaitheoir sonraí . Sa chás seo, de bharr róil an DPC, rinne an rialaitheoir sonraí léirscriosadh ar shonraí pearsanta an ghearánaigh, de réir Airteagail 17, gan gá le haon gníomh eile ón duine aonair .