Thaisc ábhar sonraí gearán leis an DPC in aghaidh rialaitheoir sonraí i ndiaidh freagra mall ar iarratas duine ar a shonraí. Bhí an t-ábhar sonraí imníoch faoin bpróiseáil a bhí á dhéanamh ar a shonraí pearsanta idir an rialaitheoir sonraí agus tríú páirtí, fiosraitheoir HR (fiosraitheoir). Bhain na hábhair imní leis an mbunús dlíthiúil a bhí le sonraí pearsanta an ábhair sonraí a phróiseáil agus slándáil na próiseála a bhí á déanamh ar na sonraí pearsanta, toisc gur úsáid an fiosraitheoir cuntas Gmail le linn an scrúdaithe.

Chuir an t-ábhar sonraí a cheart i bhfeidhm faoi Airteagal 15 den Rialachán Ginearálta maidir le Cosaint Sonraí (GDPR) trí rochtain ar a shonraí pearsanta a iarraidh. Mar sin féin, ní bhfuair sé freagra ar a iarraidh laistigh de mhí amháin de réir mar a éilítear faoi Airteagal 12(3) den GDPR. I ndiaidh tréimhse dhá mhí gan aon fhreagra a fháil fós, chuir an t-ábhar sonraí an rialaitheoir sonraí ar an eolas go dtaiscfí gearán leis an DPC . I ndiaidh teagmháil a rinne an DPC, chuir an rialaitheoir sonraí na sonraí pearsanta ábhartha a bhí ábhartha don iarratas duine ar a shonraí ar fáil agus mhínigh sé go raibh moill i gceist mar gheall ar earráid theicniúil sa chóras ríomhphoist. Ag an bpointe seo, bhí an t-ábhar sonraí sásta go bhfuair sé na sonraí pearsanta ar fad a iarradh mar aon le roinnt sonraí breise eile . Níor bhain na sonraí seo leis an ábhar sonraí agus rinneadh an t-atheagrú a leasú.

I ndiaidh athbhreithniú a dhéanamh ar na sonraí pearsanta a fuarthas, chuir an t-ábhar sonraí ábhar imní in iúl maidir leis an bpróiseáil a bhí á dhéanamh ar a shonraí pearsanta idir an rialaitheoir sonraí agus an fiosraitheoir. Mar chuid dá iniúchadh, chuaigh an DPC i dteagmháil leis an rialaitheoir sonraí maidir leis an gceist seo. Luaigh an ri- alaitheoir sonraí alt 46 den Acht um Chosaint Sonraí 2018 (Acht 2018) agus Airteagail 6(1)(c) agus Airteagal 9(2)(b) dá bhunús dlíthiúil i leith na sonraí pearsanta a phróiseáil . Chomh maith leis sin, bhí an t-ábhar sonraí ina fhostaí, mar sin, tharraing an rialaitheoir sonraí aird ar a chuid oibleagáidí dlíthiúla faoin Acht um Shábháilteacht, Sláinte agus Leas ag an Obair 2005 de réir mar atá leagtha amach ina Lámhleabhar d’Fhostaithe. Cheistigh an t-ábhar sonraí an bunús dlíthiúil seo toisc nár cuireadh é ar an eolas faoi sin roimhe seo.

Maidir leis an bhfiosraitheoir, mhínigh an t-ábhar imní nár lorgaíodh aon chead i leith na sonraí pearsanta bheith á bpróiseáil idir an rialaitheoir sonraí agus an fiosraitheoir. Mhínigh an rialaitheoir sonraí nach raibh cead ar an aon bhunús dlíthiúil faoin GDPR agus luaigh sé Airteagal 6(1) (b) dá bhunús dlíthiúil. Cheistigh an t-ábhar sonraí an bunús dlíthiúil seo á lua nach raibh an phróiseáil a rinne an fiosraitheoir riachtanach i leith an conradh fostaíochta a chomhlíonadh. Chomh maith leis sin, chuir an t-ábhar sonraí ábhar imní in iúl mar gheall ar thrédhearcacht toisc nach mbeadh sé ag súil go ndéanfadh fiosraitheoir próiseáil ar a shonraí pearsanta nuair a bhí an conradh fostaíochta á shíniú. Nuair a ceistíodh an rialaitheoir sonraí faoi chuntas Gmail bheith á úsáid ag an bhfiosraitheoir, luaigh sé go mbeadh an ríomhphost idir an rialaitheoir sonraí agus an cuntas Gmail criptithe agus nach raibh aon fhianaise ann gur baineadh de shonraí pearsanta an ábhair sonraí.

Le linn an gearán a fhiosrú, tháinig ceist chun cinn maidir leis an bhfiosraitheoir bheith ina chomhrialaitheoir nó ina phróiseálaí sonraí. Ghlac an t-ábhar sonraí an tuairim go raibh an fiosraitheoir ina phróiseálaí sonraí ach luaigh an rialaitheoir sonraí go raibh an fiosraitheoir ina rialai- theoir sonraí as a cheart féin, agus mar thoradh air sin, ní raibh aon riachtanais i gceist faoi Airteagal 28 den GDPR.

Scrúdaigh an DPC fíricí an ghearáin seo agus fuair sé amach gur cuireadh liosta de dhaoine aonair ar fáil don fhiosraitheoir chun agallamh a chur orthu d’fhonn an tuarascáil seo a chur le chéile agus ó na téarmaí tagartha, liostaítear agallaimh ar an bpríomh-mhodh le faisnéis a bhailiú chun a thuarascáil a chur le chéile. Thug an DPC faoi deara freisin gur cuireadh cosc ar an bhfiosraitheoir aon smachtbhannaí a tháinig chun cinn as torthaí na tuarascála a chinneadh ná a chur i bhfeidhm. Bunaithe ar an bhfaisnéis seo, dhearbhaigh an DPC go raibh an fios- raitheoir ina phróiseálaí sonraí thar ceann an rialaitheora sonraí agus thug sé faoi deara gur theip ar an rialaitheoir sonraí conradh a chur ar fáil idir é féin agus an fiosrai- theoir de réir mar a éilítear faoi Airteagal 28(3) den GDPR.

Toisc gur theip ar an rialaitheoir sonraí cloí leis an oibleagáid i leith mí amháin faoi Airteagal 12(3) den GDPR, mheabhraigh an DPC don rialaitheoir sonraí maidir lena chuid oibleagáidí faoi Airteagal 24 chun bearta cuí teicniúla agus eagraíochtúla a chur i bhfeidhm d’fhonn comhlíonadh an GDPR a chinntiú. Agus é sin á dhéanamh, ba chóir don rialaitheoir sonraí a chinntiú freisin nach gcuireann sé ar fáil ach sonraí pearsanta atá ábhartha don iarratas duine ar a shonraí atá idir lámha agus go bhfolaíonn sé sonraí pearsanta ó thríú páirtithe . Ar an dara dul síos, maidir leis an mbunús dlíthiúil ar a raibh an rialaitheoir sonraí ag brath, bhí an DPC sásta go raibh bunúis dhlíthiúla dá leithéid réasúnach; mar sin féin, moladh dó baill foirne a chur ar an eolas ina pholasaithe cosanta sonraí do bhaill foirne go bhféadfadh sé brath ar alt 46 d’Acht 2018 agus na hAirteagail 6(1)(c) agus 9(2) (b) den GDPR maidir le sonraí pearsanta na mball foirne a phróiseáil. Chomh maith leis sin, faoi alt 109(5)(f) d’Acht 2018, mhol an DPC go gcinnteodh an rialaitheoir sonraí go bhfuil conradh i bhfeidhm nuair atá fiosraitheoir rannpháirteach, go ndéanfadh sé tástáil ar phróisis eagraíochtúla agus teicniúla ar bhonn rialta, agus ar deireadh, go gcuirfeadh sé seoladh ríomhphoist de chuid na heagraíochta ar fáil don fhiosraitheoir.

Bhí baint ag an ngearánaí le himscrúdú san ionad oibre i ndiaidh líomhaintí a rinne an gearánaí i gcoinne comhghleacaí. Cheap fostóir an ghearánaí gnólacht comhairleoireachta neamhspleách (“an Chuideachta Chomhairliúcháin”) chun an t-imscrúdú a dhéanamh agus bhí torthaí na Cuideachta Comhairleoireachta faoi réir athbhreithniú ag painéal neamhspleách.

Tar éis an t-imscrúdú san ionad oibre a thabhairt chun críche, rinne an gearánaí iarratas ar rochtain sonraí chuig a bhfostóir agus cuireadh roinnt doiciméad ar fáil i ndiaidh an iarratais sin . Bhí an gearánaí den tuairim, áfach, nár freagraíodh an t-iarratas go hiomlán. Mar shampla, mhaígh an gearánaí go raibh na ráitis a thug finné (le linn an imscrúdaithe), a cuireadh ar fáil don ghearánaí, míchruinn ó thaobh na bhfíricí de agus nár cuireadh doiciméid áirithe ar fáil don ghearánaí (amhail logaí rochtana ar chomhaid phearsanta an ghearánaí). Líomhain an gearánaí freisin gur nocht a fhostóir, le comhghleacaithe an ghearánaí, sonraí faoi fheidhmíocht oibre an ghearánaí, socruithe saoire breoiteachta agus cóipeanna de dhuillíní pá an ghearánaí. Ar deireadh, mhaígh an gearánaí gur theip ar a bhfostóir cloí le hiarratais an ghearánaí ar cheartú na ráitis finné (a líomhnaigh an gearánaí a bhí mícheart ó thaobh fíricí de).

Cruthaíodh gurbh é fostóir an ghearánaí an rialai- theoir sonraí toisc gur rialaigh sé sonraí an ghearánaí i gcomhthéacs an imscrúdaithe san ionad oibre . Sna sonraí sin, bhí faisnéis phárolla an ghearánaí, faisnéis a bhaineann le saoire bhreoiteachta an ghearánaí agus ráitis finné a bhaineann leis an ngearánaí. Sonraí pearsanta a bhí sna sonraí toisc gur bhain siad leis an ngearánaí mar dhuine ar leith agus d’fhéadfaí an gearánaí a aithint uaidh.

Mar fhreagra ar líomhain an ghearánaí nár freagraíodh a iarratas rochtana go hiomlán, dúirt an rialaitheoir sonraí, maidir le ráitis an fhinné, gur cuireadh cóipeanna de ráitis bhunaidh an fhinné ar fáil don ghearánaí a coinníodh ar chomhad an ghearána . Maidir leis na logaí rochtana, bhí an rialaitheoir sonraí den tuairim nach sonraí pearsanta iad sin (toisc gur coinníodh cuntas ar ghluaiseacht dhigiteach fostaithe eile ar chórais TF an rialaitheo- ra sonraí). I dtaca le cáipéisí éagsúla eile a mhaígh an gearánaí nach bhfuair sé, thug an rialaitheoir sonraí le fios, dá bhféadfadh an gearánaí sonraí na ndoiciméad sin a shonrú, go ndéanfadh sé líomhain an ghearánaí a mheas tuilleadh.

Maidir leis an ngearán gur nocht an rialaitheoir sonraí faoi fheidhmíocht oibre an ghearánaí le comhghleacaithe an ghearánaí, d’áitigh an rialaitheoir sonraí go bpléifí feidhmíocht an ghearánaí le bainisteoirí an ghearánaí agus dá bhrí sin, gur nochtadh é ar chúiseanna dlisteanacha gnó. I dtaca leis an ngearán a rinneadh faoi nochtadh sonraí maidir le saoire bhreoiteachta an ghearánaí, thug an rialaitheoir sonraí le fios nár nochtadh aon rud den sórt sin go bhfios dó. Ar deireadh, maidir leis an líomhain gur nochtadh duillíní pá an ghearánaí, d’áitigh an rialai- theoir sonraí gur cuireadh ar fáil iad d’fhostaí de chuid an rialaitheora sonraí le hathbhreithniú a dhéanamh orthu i gcomhthéacs cás ar leith a rinne an gearánaí.

Rinne an gearánaí iarratas freisin ar cheartú ráiteas finné, a líomhnaigh an gearánaí a bhí míchruinn ó thaobh na bhfíricí de. Mar sin féin, chuir an rialaitheoir sonraí in iúl gurbh ionann an méid a taifeadadh sna ráitis finné agus tuairimí na ndaoine a bhí i gceist agus, ar an mbonn sin, dhiúltaigh sé na ráitis finné a leasú. Bhí an DPC den tuairim go raibh cúig shaincheist le scrúdú aige maidir leis an ngearán. Tugtar achoimre thíos ar dhearcadh an DPC ar gach ceann de na saincheisteanna sin (faoi cheannteidil a léiríonn gach ceann de na cúig shaincheist).

Iarratas ar rochtain

Thug an DPC faoi deara go raibh iarratas bailí rochtana déanta ag an ngearánaí . Mar sin féin, tar éis dó an t-ábhar a bhreithniú tríd is tríd, bhí an DPC den tuairim nach raibh aon fhianaise ar fáil a thabharfadh le fios gur choinnigh an rialaitheoir sonraí faisnéis siar go neamhdhleathach.

Thug an DPC faoi deara, áfach, nár láimhseáladh iarratas rochtana sonraí an ghearánaí sa tréimhse ama a éilítear faoin reachtaíocht. Mar sin, bhí sárú cosanta sonraí déanta ag an rialaitheoir sonraí ina thaobh sin.

Faoi Airteagal 12(3) den GDPR, tá sé de cheart ag duine faoi réir sonraí rochtain a fháil ó rialaitheoir sonraí ar shonraí pearsanta a bhaineann leis nó léi, atá á bpróiseáil . Ní mór don rialaitheoir sonraí freagra a thabhairt ar iarratas ar rochtain ábhair gan aon mhoill agus in aon chás laistigh de mhí amháin tar éis glacadh leis an iarratas:

Líomhain i dtaca le nochtadh neamhúdaraithe ar shonraí pearsanta an ghearánaí

Ní mór do rialaitheoirí bunús dleathach a bheith acu, faoin reachtaíocht um chosaint sonraí chun sonraí pearsanta a phróiseáil, lena n-áirítear na sonraí sin a nochtadh le tríú páirtí . Maidir le sonraí a nochtadh i dtaca le feidhmíocht oibre an ghearánaí, bhí an DPC den tuairim go raibh an phróiseáil sin dleathach ó tharla gur bhain sé le cúiseanna dlisteanacha gnó. Maidir le sonraí saoire breoiteachta a nochtadh, chinn an DPC nár tugadh dóthain faisnéise a bhain leis an teagmhas líomhnaithe chun a chinneadh ar sáraíodh an reachtaíocht. Maidir le nochtadh duillíní pá an ghearánaí, bhí an DPC den tuairim go raibh an nochtadh dleathach toisc gur nochtadh na duillíní pá chun cabhrú leis an rialaitheoir sonraí éileamh dlíthiúil ar leithligh a chosaint a rinne an gearánaí ina choinne.

Faoi Airteagal 6 den GDPR, ceanglaítear ar rialaitheoir sonraí bunús dlí a bheith leis an bpróiseáil ar aon sonraí pearsanta (lena n-áirítear iad a nochtadh). Áirítear ar na bunúis dlí sin atá bailí lena bpróiseáil (a) go bhfuil toiliú tugtha ag an ábhar sonraí, (b) go bhfuil gá leis an bpróiseáil chun conradh a chomhlíonadh a bhfuil an t-ábhar sonraí ina pháirtí ann, (c) go bhfuil gá leis an bpróiseáil chun oibleagáid dhlíthiúil a bhfuil an rialaitheoir sonraí faoina réir a chomhlíonadh, (d) go bhfuil gá leis an bpróiseáil chun leas an duine aonair a chosaint, (e) go bhfuil gá leis an bpróiseáil chun cúram a chur i gcrích a dhéantar ar mhaithe le leas an phobail, nó (f) go bhfuil gá leis an bpróiseáil chun críocha leasanna dlisteanacha a dtugann an rialaitheoir sonraí nó tríú páirtí faoi

.

Próiseáil chóir

Tá oibleagáid ar rialaitheoirí sonraí sonraí pearsanta a phróiseáil go cothrom. Le linn a imscrúdaithe, d’iarr an DPC ar an rialaitheoir sonraí a dheimhniú conas a  chomhlíon sé a oibleagáidí maidir le sonraí an ghearánaí a phróiseáil ar bhealach cóir, i dtaca le gach ceann de na nochtuithe líomhnaithe ar shonraí pearsanta an ghearánaí . Theip ar an rialaitheoir sonraí an fhaisnéis a theastaíonn a chur ar fáil agus mar sin, mheas an DPC gur theip ar an rialaitheoir sonraí sonraí an ghearánaí a phróiseáil, i gcomhréir le hoibleagáidí próiseála córa .

Faoin GDPR, ní mór sonraí pearsanta a phróiseáil go dleathach, go cothrom agus ar bhealach trédhearcach i ndáil leis an ábhar sonraí . Ceanglaítear leis an bprionsabal sin go ndéanfar faisnéis áirithe a chur ar fáil don ábhar sonraí faoi Airteagal 13 agus Airteagal 14 den GDPR maidir leis an oibríocht phróiseála a bheith ann agus chun críocha na hoibríochta sin. Ba cheart na hábhair sonraí a chur ar an eolas faoi rioscaí, rialacha, agus coimircí i ndáil le próiseáil a gcuid sonraí pearsanta . I gcás inar féidir sonraí pearsanta a nochtadh go dlisteanach d’fhaighteoir eile, ba cheart do rialaitheoirí sonraí an t-ábhar sonraí a chur ar an eolas nuair a nochtar na sonraí pearsanta den chéad uair don bhfaighteoir nó do chatagóirí faighteoirí na sonraí pearsanta.

An ceart go ndéanfaí ceartúcháin

Faoin reachtaíocht um Chosaint Sonraí, tá ceart ann chun sonraí pearsanta míchruinne a cheartú . Dheimhnigh an rialaitheoir sonraí anseo, áfach, gurbh ionann an méid a taifeadadh sna ráitis finné agus tuairimí na ndaoine a bhí i gceist. Glacadh leis an dearcadh, i gcás ina dtaifeadtar tuairim i gceart agus i gcás ina bhfuil an tuairim bunaithe go hoibiachtúil ar nithe a chreidfeadh an duine a thugann an tuairim a bheith fíor, nach bhfuil feidhm ag an gceart go ndéanfaí ceartúcháin.

Faoi Airteagal 5 den GDPR, ní mór sonraí pearsanta atá á bpróiseáil a bheith cruinn agus, nuair is gá, iad a bheith cothrom le dáta agus ceanglaítear ar rialaitheoirí sonraí a chinntiú go ndéantar gach beart réasúnta chun a chinntiú go scriostar nó go gceartaítear sonraí míchruinne, agus cuspóir a bpróiseála ar intinn. Faoi Airteagal 16 den GDPR, tá sé de cheart ag ábhar sonraí go gceartóidh rialaitheoir sonraí sonraí pearsanta míchruinne a bhaineann leis nó léi gan aon mhoill. Faoi alt 60 den Acht um Chosaint Sonraí 2018, áfach, tá an ceart seo teoranta sa mhéid is gur léiriú tuairime ó dhuine eile iad na sonraí pearsanta faoin ábhar sonraí a tugadh faoi rún nó ar an tuiscint go gcaithfeadh duine leis i modh rúin agus leas dlisteanach aige an fhaisnéis a fháil.

Sonraí pearsanta an ghearánaí a choimeád

D’iarr an DPC ar an rialaitheoir sonraí breac-chuntas a thabhairt ar an mbunús dlí maidir le sonraí pearsanta an ghearánaí a choinneáil (i .e . próiseáil) i dtaca le himscrúdú an ionaid oibre. Chuir an rialaitheoir sonraí in iúl go raibh na sonraí seo á gcoimeád d’fhonn iarratais agus achomhairc an ghearánaí a láimhseáil faoi phróisis reachtúla éagsúla . Ar an mbonn sin, bhí an DPC den tuairim go raibh sé dleathach go gcoinneofaí sonraí pearsanta an ghearánaí mar go raibh baint aige le cúiseanna dlisteanacha gnó. Faoin GDPR, ní hamháin go gcaithfidh bunús dleathach a bheith ag rialaitheoir sonraí chun sonraí pearsanta duine aonair a fháil ar dtús, ach ní mór bunús dlí leanúnach a bheith leis chun na sonraí sin a choinneáil de réir Airteagal 6, mar a leagtar amach thuas. Faoi Airteagal 5(1)(e) den GDPR, níl cead sonraí pearsanta a chuireann in iúl cé hé / cé hí an t-ábhar sonraí a choinneáil ar feadh tréimhse níos faide ná mar is gá chun na gcríoch dá bpróiseáiltear iad.

Bhain an gearán seo le freagra neamhiomlán a bhí tugtha, a dúradh, ar iarrataí ar rochtain ó ábhar sonraí. Ba é cúlra an ghearáin seo gur chuir an gearánaí iarraidh rochtana faoi bhráid iontaobhaithe scéime pinsin (na “hIontaobhaithe”). Mar chuid dá bhfreagra ar an iarraidh ar rochtain, thagair na hIontaobhaithe do dhréachtlitir a bhain leis an ngearánaí; níor cuireadh an dréachtlitir seo ar fáil don ghearánaí, áfach.

Dearbhaíodh gurbh iad na hIontaobhaithe an rialaitheoir sonraí toisc go raibh smacht acu ar an ábhar agus ar úsáid shonraí pearsanta an ghearánaí chun críocha phinsean an ghearánaí. Is éard a bhí sna sonraí a bhain le hábhar ná (i measc nithe eile) faisnéis a bhain le fostaíocht agus pinsean an ghearánaí agus ba shonraí pearsanta iad toisc gur bhain siad leis an ngearánaí mar dhuine aonair agus go bhféadfaí an gearánaí a aithint uathu.

D’fhéach an rialaitheoir sonraí lena mhaíomh go raibh pribhléid dhlíthiúil ag an dréachtlitir agus, dá bhrí sin, nár ceanglaíodh ar an rialaitheoir sonraí í a chur ar fáil don ghearánaí. Lorg an Coimisinéir um Chosaint Sonraí tuilleadh eolais ón rialaitheoir sonraí maidir leis an maíomh gur bhain pribhléid leis an dréachtlitir. Mar fhreagra air sin, níor thug an rialaitheoir sonraí soiléireacht ar an mbunús a bhí leis an dearbhú go raibh pribhléid dhlíthiúil ag an dréachtlitir, ach thoiligh sé, áfach, na sonraí a chur ar fáil don ghearánaí.

Socraíodh, dá bhrí sin, gur theip ar an rialaitheoir sonraí a chruthú go raibh sé i dteideal brath ar an díolúine i ndáil le sonraí atá faoi phribhléid dhlíthiúil. Dá réir sin, ba cheart go mbeadh an litir curtha ar fáil don ghearánaí, mar fhreagra ar iarraidh rochtana an ghearánaí, laistigh den tréimhse ama atá leagtha amach sa reachtaíocht.

Faoi Airteagal 15 den GDPR, tá sé de cheart ag ábhar sonraí rochtain a fháil ó rialaitheoir sonraí ar shonraí pearsanta a bhaineann leis nó léi, atá á bpróiseáil  Ní mór don rialaitheoir sonraí freagra a thabhairt ar iarratas ar rochtain ón ábhar sonraí gan rómhoill agus pé scéal é laistigh de mhí amháin ó bhí an t-iarratas faighte. Mar sin féin, níl feidhm ag an gceart rochtana ar shonraí pearsanta duine nuair a bhíonn sonraí pearsanta a bpróiseáil chun comhairle dlí a lorg, a fháil nó a thabhairt nó i gcás sonraí pearsanta a bhféadfaí pribhléid a dhearbhú ina leith chun críche imeachtaí dlíthiúla nó le linn imeachtaí dlíthiúla. Nuair a fhéachann rialaitheoir sonraí le pribhléid a dhearbhú i dtaca le faisnéis atá á lorg ag an té lena mbaineann sonraí, cuirfidh an DPC de cheangal ar an rialaitheoir sonraí, agus scrúdú a dhéanamh ar ghearán toisc a dhiúltaithe, faisnéis shuntasach a chur ar fáil, lena n-áirítear míniú ar an mbonn ar a bhfuil pribhléid á dhearbhú ag an rialaitheoir sonraí, ionas gur féidir bailíocht na pribhléide a mheas i gceart.

Bhí seilbh ag an ngearánach roimhe sin ar mhaoin i bhforbraíocht arna bhainistiú ag cuideachta bhainistíochta. Rinne an gearánach iarratas ar rochtain ar shonraí chuig an gcuideachta bhainistíochta ach i dtuairim an ghearánaigh mhainnigh an rialaitheoir sonraí sonraí pearsanta uile an ghearánaigh a chur ar fáil sa fhreagra a tugadh.

Cinneadh gurbh é an chuideachta bhainistíochta an rialaitheoir sonraí de bharr gur rialaigh sí ábhar agus úsáid shonraí pearsanta an ghearánaigh chun críocha ról na cuideachta mar chuideachta bhainistíochta i leith forbraíocht ina raibh seilbh ag an ngearánach ar mhaoin. Is éard a bhí sna sonraí atá faoi thrácht (i measc nithe eile) ná ainm agus seoladh an ghearánaigh . Sonraí pearsanta a bhí i gceist de bharr go bhféadfaí an gearánach a aithint astu agus de bharr gur bhain siad leis an ngearánach mar dhuine aonair.

Le linn don scrúdú a rinne an DPC ar an ngearán, chuir an rialaitheoir sonraí cuntas ar fáil maidir le comhad ina raibh sonraí pearsanta uile an ghearánaigh a bhí á gcoinneáil siar ar an mbonn go raibh siad faoi phribhléid go dlíthiúil. Níor tagraíodh don chomhad i bhfreagra an rialaitheora sonraí ar iarraidh an ghearánaigh ar rochtain. Tugadh faoi deara gur cheart don rialaitheoir sonraí tagairt a dhéanamh don chomhad seo mar aon leis an gcúis nó na cúiseanna ar dhiúltaigh sé an comhad a chur ar fáil don ghearánach, ina fhreagra ar iarraidh an ghearánaigh ar rochtain.

Ansin scrúdaigh an DPC ar chuir an rialaitheoir sonraí sonraí uile an ghearánaigh ar fáil don ghearánach, de réir mar a éilítear ó reachtaíocht. Thug an DPC dá aire gur chuir an gearánach cuntais shonracha mhionsonraithe ar fáil maidir leis na sonraí ar chreid an gearánach nár cuireadh iad ar fáil. Mar fhreagra, luaigh an rialaitheoir sonraí nár choinnigh sé sonraí i dtaca le cúrsaí ar chreid sé go raibh deireadh leo agus go ndearna sé sonraí uile an ghearánaigh a bhí á gcoinneáil ag an rialaitheoir sonraí ar dháta an iarrata ar rochtain a chur ar fáil don ghearánach. Bhí an oifig den tuairim go raibh sé inchreidte nach gcoinneodh an rialaitheoir sonraí sonraí pearsanta ar feadh tréimhse éiginnte. Bhí an DPC sásta gur chuir an rialaitheoir sonraí sonraí pearsanta uile an ghearánaigh ar fáil don ghearánach, (lasmuigh den chomhad ar mhaígh an rialaitheoir sonraí pribhléid dhlíthiúil ina leith, mar a leagtar amach thuas). Dá bhrí sin, ní raibh aon sárú eile ar an reachtaíocht .

Faoi Airteagal 15 den GDPR, tá sé de cheart ag ábhar sonraí rochtain a fháil ón rialaitheoir sonraí ar shonraí pearsanta a bhaineann leis nó léi, agus atá á bpróiseáil. Níl feidhm ag an gceart sin, áfach, maidir le sonraí pearsanta arna bpróiseáil chun comhairle dlí a lorg, a fháil nó a thabhairt, ná le sonraí pearsanta a bhféadfaí éileamh ar phribhléid a dhéanamh ina leith chun críocha nó le linn imeachtaí dlí (Alt 60(3)(a)(iv) den Acht um Chosaint Sonraí 2018). I gcás ina ndiúltaíonn rialaitheoir sonraí iarraidh ar rochtain ar shonraí pearsanta a chomhlíonadh, éilítear faoi Airteagal 12 den GDPR go gcuirfear an duine is ábhar do na sonraí ar an eolas gan mhoill maidir leis na cúiseanna a bhí leis an diúltú sin.

.

Bhain an gearán seo le freagra, a líomhnaítear a bheith neamhiomlán, ar iarratas rochtana le haghaidh píosa scannáin TCI a rinne an gearánach chuig institiúid oideachais. Dúirt an gearánach go ndearnadh iarracht ionsaithe líomhnaithe air. D’iarr an gearánach rochtain ar phíosa scannáin TCI ón am a tharla an t-ionsaí líomhnaithe, go háirithe i dtaca le tréimhse shonrach shainaitheanta ó dhá uillinn éagsúil an cheamara.

Mar fhreagra ar an iarratas ón eagraíocht, cuireadh líon áirithe stadán ón bpíosa scannáin TCI a bhain le ceamara amháin ar fáil don ghearánach. D’iarr an gearánach go gcuirfí stadán ar fáil i gcomhair gach soicind den taifead, ina raibh íomhá an ghearánaigh le feiceáil . Is é an freagra a fuarthas ón institiúid oideachais gur cuireadh gach píosa scannáin a bhí suntasach, i dtuairim an rialaitheora, ar fáil agus ó tharla go raibh timthriall taifeadta 30 lá i gceist leis na ceamaraí TCI, gur glanadh an píosa scannáin sin ó shin d’fhonn píosaí nua scannáin a thaifead. Shoiléirigh an rialaitheoir nár stóráil sé píosa scannáin ar bith mura raibh “ceanglas dleathach” ann amhlaidh a dhéanamh.

Thug an DPC dá aire, i gcás ina dhéantar iarraidh bhailí ar rochtain chuig rialaitheoir sonraí, nach mór don rialai- theoir sonraí an iarraidh a chomhlíonadh laistigh de thréimhse áirithe. (Mí a leagtar amach go ginearálta don tréimhse sin faoi Airteagal 12(3) den GDPR .) Tá an cear rochtana ar shonraí pearsanta ar cheann de na príom- hchearta bunúsacha dá bhforáiltear sa reachtaíocht um chosaint sonraí. I gcomhthéacs iarraidh ar rochtain ar phíosa scannáin TCI, go hiondúil teastaíonn oibleagáid an rialaitheora sonraí maidir le cóip de shonraí pearsanta an iarratasóra a chur ar fáil cóip den phíosa scannáin TCI, i bhfoirm físeáin, a chur ar fáil. I gcás nach bhfuil sé sin indéanta, amhail nuair nach féidir an píosa scannáin a chóipeáil go gléas eile go teicniúil, nó in imthosca eis- ceachtúla eile, féadfar glacadh leis go gcuirfí stadáin ar fáil don duine is ábhar do na sonraí mar rogha eile seachas píosa scannáin. In imthosca ina gcuirtear stadáin ar fáil, áfach, ba cheart don rialaitheoir sonraí stadán i gcomhair gach soicind den taifead ina bhfuil íomhá an ábhar sonraí le feiceáil ann a chur ar fáil don duine sin agus míniú a thabhairt ar an gcúis nach féidir an píosa scannáin a chur ar fáil i bhfoirm físeáin. Chomh maith leis sin ba cheart don rialaitheoir gach píosa scannáin a bhaineann leis an tréimhse a sonraíodh a chaomhnú go dtí go ndeimhneoidh an t-iarratasóir go bhfuil siad sásta leis an bhfreagra a tugadh .

De bharr nár chuir an rialaitheoir sonraí an píosa scannáin TCI a iarradh ná sraith iomlán stadán i dtaca leis an tréimhse shonraithe ar fáil don ghearánach, mhainnigh an rialaitheoir sonraí a oibleagáidí maidir le ceart rochtana a chomhlíonadh, ó thaobh ama de (Airteagal 12(3)) agus maidir le tacar lán agus iomlán a chur ar fáil de shonraí pearsanta a phróiseáil an rialatheoir (Airteagal 15).

Bhain an gearán seo le hiarratas ar rochtain a rinne an gearánach. Bhí an gearánach míshásta gur dhiúltaigh an rialaitheoir sonraí, Comhairle Contae, dá iarratas ar rochtain ar chóip d’aon fhaisnéis faoin ngearánach arna choinneáil ag an rialaitheoir sonraí de láimh agus i bhfoirm leictreonach. Ina ionad sin chuir an rialaitheoir sonraí in iúl don ghearánach go raibh na comhaid a iarradh ar fáil ar líne nó ar fáil le breathnú orthu in áitreabh an rialaitheora sonraí.

Le linn don imscrúdú ar an ngearán seo a bheith ar bun, líomhain an gearánach nárbh ionann na comhaid a cuireadh ar fáil don ghearánach in áitreabh an rialaitheora sonraí agus na sonraí pearsanta uile a bhain leis an ngearánach a bhí á gcoinneáil ag an rialaitheoir sonraí. Bhí an rialaitheoir sonraí den tuairim, áfach, go raibh an iarraidh ar rochtain a rinne an gearánach teoranta do shonraí pearsanta arna choinneáil i dtaca le dhá iarratas pleanála. Ba é ba chúis leis sin gur luaigh an gearánach uimhreacha tagartha do na hiarratais phleanála ar an iarratas ar rochtain. Dá réir sin, d’fhéach an rialaitheoir sonraí le hidirdhealú a dhéanamh idir sonraí pearsanta a bhain leis na comhaid phleanála a bhí ar fáil go poiblí, ar soláthraíodh don ghearánach iad le breathnú orthu go poiblí, agus sonraí pearsanta a cruthaíodh tar éis gur diúltaíodh d’iarratas pleanála an ghearánaigh, ar mheas an rialaitheoir sonraí iad a bheith lasmuigh de scóip an iarrata ar rochtain.

Cé gur luaigh an gearánach dhá iarratas pleanála ar leith, gur cuireadh an iarraidh ar rochtain in iúl i dtéarmaí ginearálta agus lorg sé rochtain ar “aon fhaisnéis a choinníonn tú fúm i bhfoirm leictreonach nó de láimh”. Dá réir sin, measadh gur chuimsigh na sonraí pearsanta a lorg an gearánach na sonraí uile a d’eascair i gcomhthéacs theagmháil an ghearánaigh leis an rialaitheoir sonraí sular cuireadh an dá iarratas pleanála a sainaithníodh isteach agus na sonraí ar fad a d’eascair tar éis gur diúltaíodh do na hiarratais sin.

Cinneadh, de bharr cúinsí áirithe an cháis, gur sháraigh an rialaitheoir sonraí a chuid oibleagáidí cosanta sonraí nuair a mhainnigh sé cóip iomlán de shonraí pearsanta an ghearánaigh a sholáthar don ghearánach mar fhreagra ar an iarraidh ar rochtain laistigh den tréimhse  reachtúil. Faoin GDPR, baineann Airteagal 15 leis an gceart rochtana ag an ábhar sonraí faoi réir shonraí pearsanta a bhaineann leis an duine sin atá á gcoinneáil ag an rialai- theoir  In Airteagal 12(3) leagtar amach an coinníoll inarb éigean don rialaitheoir na sonraí pearsanta sin a chur ar fáil. Tá dualgas ar an rialaitheoir faisnéis faoin ngníomh a rinneadh faoi iarraidh dá leithéid sin a chur ar fáil gan mhoill mhíchuí agus go fiú is laistigh d’aon mhí amháin tar éis an iarraidh a fháil. Chomh maith leis sin leagtar imthosca amach san airteagal sin lena bhforáiltear do shíneadh a chur leis an tréimhse sin.

Fuair an CCS gearán ó dhuine aonair maidir le hiarratas rochtana ábhar a rinne sé chuig eagraíocht (an rialtóir sonraí) ar chóip den fhaisnéis go léir a bhí á choinneáil maidir lena rannpháirtíocht leis an rialaitheoir sonraí. Ní bhfuair an duine freagra ar an iarratas seo. Rinne an CCS idirghabháil féachaint an bhféadfaí an cheist a réiteach go neamhfhoirmiúil.

Ní raibh an gearánach sásta go háirithe leis an bhfíric nár soláthraíodh doiciméid áirithe mar fhreagra ar a iarratas rochtana . Ba é seasamh an rialaitheora sonraí nár cuireadh na doiciméid ar fáil toisc gur soláthraíodh na sonraí pearsanta “i bhformáid eile”. Ní bhaineann cearta rochtana um chosaint sonraí le rochtain ar dhoiciméid per se . Baineann siad le rochtain ar shonraí pearsanta. Féadfar iarratas rochtana a chomhlíonadh trí achoimre iomlán ar a sonraí a sholáthar don duine i bhfoirm intuigthe. Caithfidh an fhoirm ina gcuirtear ar fáil é a bheith leordhóthanach chun ligean don iarratasóir a bheith feasach ar na sonraí pearsanta atá á bpróiseáil, seiceáil go bhfuil siad cruinn agus á bpróiseáil go dleathach. Tar éis scrúdú a dhéanamh ar na sonraí a chuir an rialaitheoir ar fáil sa chás seo, bhí an CCS sásta a chur in iúl don ghearánach gur soláthraíodh na sonraí go léir a raibh sé ina theideal faoin reachtaíocht um chosaint sonraí dó.

Fuair an DPC gearán ó dhuine aonair maidir le h-iarratas ar rochtain a rinneadh chuig rialaitheoir sonraí, ar miondíoltóir a bhí ann. Ba iad na dlíodóirí a bhí ag gníomhú ar son an duine aonair maidir le héileamh ar dhíobháil phearsanta a chuir an t-iarratas ar rochtain isteach maidir le tréimhse coicíse inar tharla an teagmhas líomhnaithe. Bhí siad ag iarraidh taifid den teagmhas, lena n-airítear scannánaíocht CCTV. Eisíodh sonraí ach d’aithin an duine aonair nár eisíodh an scannánaíocht CCTV, an tuairisc maidir leis an timpiste agus ráitis ó fhinnéithe. Agus freagra á thabhairt ar an gceist ón duine aonair maidir leis na nithe seo, thug an rialaitheoir sonraí comhairle go raibh srian á chur le rochtain ar na nithe toisc go raibh sé riachtanach go seachnófaí aon bhac nó lagú a bheadh i gceist maidir leis na himeachtaí dlí agus/nó pribhléid dhlíthiúil a chur i bhfeidhm.

Aithníodh go bhféadfaí réiteach cairdiúil a bhaint amach i ndáil leis an ngearán seo faoi Alt 109 den Acht um Chosaint Sonraí 2018, tríd an ngearánach agus an rialai- theoir sonraí araon comhaontú chun oibriú leis an DPC d’fhonn an cheist a réiteach ar bhealach cairdiúil. Mhol an DPC don rialaitheoir sonraí liosta a ullmhú ina gclárófaí aon nithe a raibh an eagraíocht a chur díolúine i bhfeidhm ina leith, agus ina gclárófaí an díolúine ar a raibh sé ag brath freisin. I ndiaidh don DPC an liosta a fháil, rinne an DPC iniúchadh ar na díolúintí a bhí á n-úsáid agus d’fhéach sé le go léireodh an eagraíocht an bealach inar cinntíodh go raibh an srianadh riachtanach agus comhréireach. Chomh maith leis sin, d’iarr an DPC samplaí de na doiciméid a bhí le heisiúint ionas go bhféadfadh muid scrúdú a dhéanamh ar an mbealach ina raibh na díolúintí á gcur i bhfeidhm.

I ndiaidh imscrúdú a dhéanamh, d’aithin an DPC go raibh roinnt sonraí pearsanta de chuid an duine aonair sna doiciméid agus d’iarr sé ar an rialaitheoir sonraí iad a eisiúint le hatheagraithe ábhartha iontu. Maidir leis an scannánaíocht CCTV, luaigh an DPC gurbh é an phríomhchúis a gabhadh na sonraí ná chun críocha slándála agus ní chun éileamh dlíthíochta a chosaint agus dá bharr sin, d’iarr sé go n-eiseofaí an scannánaíocht chuig an duine aonair le hatheagraithe ábhartha iontu. Ghlac an DPC leis go raibh na díolúintí eile á gcur i bhfeidhm mar is ceart de réir mar a rinneadh foráil in a leith sa reachtaíocht.

Ghlac duine aonair páirt i gcruinniú Zoom a ndearna an rialaitheoir sonraí taifeadadh air. Ba é cruinniú cinn bliana an chlub spóirt a bhí i gceist. Rinne an duine aonair iarratas ar rochtain chun cóip den taifeadadh seo a fháil. Dhiúltaigh an rialaitheoir sonraí don iarratas á lua nár tháinig sé laistigh de shainchúram an GDPR. Chreid an duine aonair gurbh iad a shonraí pearsanta na sonraí a bhí sa taifeadadh. Luaigh an rialaitheoir sonraí nach raibh teacht ar na fístaifeadtaí den cruinniú cinn bliana a thuilleadh mar gheall ar thruailliú nuair a bhíothas á sábháil agus mar gheall ar easpa taithí an rialaitheora sonraí maidir leis na bogearraí cianóstála físeáin seo a fheidhmiú.Luaigh sé go mbeadh na miontuairiscí den chruinniú ar fáil lena mbreathnú laistigh de roinnt seachtainí.

Ag an tráth seo, mhol an DPC an cás seo a thabhairt chun críche mar gheall gur léir nach raibh teacht ar na físeáin a d’iarr an duine aonair, ach níor aontaigh an duine aonair leis an gcur chuige seo, á lua go raibh físchomhdháil le linn an chruinnithe cinn bliana ina chleachtas coitianta don rialaitheoir sonraí ar feadh roinnt ama agus nár dhóigh leis an duine aonair go dtarlódh na deacrachtaí a ndearna an rialaitheoir sonraí cur síos orthu . I ndiaidh don DPC tuilleadh ceistiú a dhéanamh, dhearbhaigh an rialaitheoir sonraí gurbh fhíor go raibh scannánaíocht físeáin ar fáil, ach chuir sé Airteagal 15(4) den GDPR chun cinn mar chúis lena shrianadh . Luaigh an rialaitheoir sonraí anois go bhféadfaí scannánaíocht físeáin de thríú páirtithe atá le feiceáil sa taifeadadh a mheas a bheith ina sonraí tríú páirtí agus nach raibh an duine aonair ina theideal . Mar sin féin, bhí sé toilteanach tras-scríbhinní den scannánaíocht a chur ar fáil don duine aonair . Chuir an DPC ina choinne sin, agus é den tuairim, i bhfianaise nádúr poiblí na dtaifeadtaí bunaidh, mar gheall gur mar chuid de chruinniú cinn bliana a bhí siad, go ndearnadh na taifeadtaí le tuiscint na rannpháirtithe go bhféadfaí iad a mheas bheith inrochtana ag tráth níos faide anonn .

Tháinig saincheisteanna eile chun cinn nuair a fuair an duine aonair tras-scríbhinní den fhíseán . Mhaígh an duine aonair nach raibh na tras-scríbhinní cruinn agus nach raibh siad ina léiriú ar ábhar an fhíseáin bhunaidh .

Mar gheall air sin, chuaigh an DPC i dteagmháil leis an rialaitheoir sonraí an athuair, inar tarraingíodh aird ar thuairim an DPC maidir le hAirteagal 15(4) a chur chun cinn agus inar iarradh radharc a fháil ar an bhfíseán ónar cruthaíodh an tras-scríbhinn . Níor chuir an rialaitheoir sonraí ach fuaim an fhíseáin ar fáil . I ndiaidh measúnú a dhéanamh, ba léir go raibh an tras-scríbhinn ina léiriú cruinn ar ábhar fuaime an fhíseáin . D’fhonn réiteach cairdiúil a éascú ag an bpointe seo, mhol an DPC gur chóir don rialaitheoir sonraí an t-ábhar fuaime céanna, a cuireadh ar fáil don DPC roimhe sin, a scaoileadh leis an duine aonair . Chloígh an rialaitheoir sonraí leis sin ach bhí an duine aonair míshásta go fóill, agus a iarratas chun breathnú ar ábhar an fhíseáin á lua aige an athuair . I ndiaidh iarratas eile ón DPC an díolúine ar a raibh sé ag brath chun teacht ar ábhar an fhíseáin a shrianadh, chinn an rialaitheoir sonraí an t-ábhar iomlán den fhíseáin a eisiúint chuig an duine aonair . Ní bhfuair an DPC cóip d’ábhar iomlán an fhíseáin, agus dá bhrí sin, ní raibh sé in ann a mheas go díreach cibé an raibh aon éagsúlacht idir é sin agus an t-ábhar fuaime a cuireadh ar fáil . Mar sin féin, i ndiaidh don duine aonair a dhearbhú go bhfuarthas an físeán, luaigh sé go raibh sé sásta leis an ábhar agus ar an gcaoi sin, tugadh an cheist seo chun críche ar bhealach cairdiúil .

Bhí cumarsáid fhairsing i gceist leis an gcás seo idir an DPC, an rialaitheoir sonraí agus an duine aonair . D’fhéadfadh an rialaitheoir sonraí an cheist seo a réiteach dá mba rud é gur scaoil sé an scannánaíocht físeáin i ndiaidh dó an t-iarratas ar rochtain a fháil . Dá mba rud é go raibh an rialaitheoir sonraí ar an eolas faoina oibleagáidí faoin GDPR sa chéad ásc, ní thaiscfí an cás seo leis an DPC .

Fuarthas gearán ó dhuine aonair a raibh iarratas ar rochtain curtha isteach aige chuig óstán (an rialaitheoir sonraí) chun cóip a fháil den fhaisnéis ar fad a bhain leis. D’iarr an t-óstán ar an iarratasóir cóip de bhille fóntais agus cóip d’aitheantas fótagrafach a bhí deimhnithe ag An Garda Síochána a chur ar fáil. D’iarr an DPC ar an rialaitheoir sonraí na hábhair imní a bhí aige a leagan amach maidir le haitheantas an iarrthóra in imthosca ina raibh an seoladh poist agus an seoladh ríomhphoist a d’úsáid an t-iarrthóir ar na seoltaí céanna a chuir sé ar fáil le linn an phróisis áirithinte agus an phróisis seiceála isteach san óstán. Eisíodh na sonraí chuig ag iarrthóir ina dhiaidh sin.

Maidir leis an gcur chuige ginearálta i leith aitheantas a iarraidh nuair a fhéachann ábhair sonraí lena gcearta a fheidhmiú, níor chóir do rialaitheoirí ach a laghad faisnéise breise atá riachtanach agus cuí a iarraidh chun aitheantas an iarrthóra a chruthú . Ní dócha go mbeadh sé fóirste- anach cruthúnas ar aitheantas a lorg nuair nach bhfuil aon amhras dáiríre i gceist maidir le haitheantas; ach i gcás ina bhfuil amhras ann, nó i gcás gur faisnéis íogair atá san fhaisnéis a bhfuiltear á iarraidh, d’fhéadfadh sé bheith oiriúnach cruthúnas a iarradh.

Agus an prionsabal ginearálta maidir le sonraí a íoslaghdú á chur san áireamh, is dócha go mbeadh sé díréireach faisnéis sa bhreis ar an bhfaisnéis atá á coinneáil cheana féin a iarraidh mar bhealach chun aitheantas a chruthú. Ní dócha go mbeadh sé cuí aitheantas oifigiúil a iarraidh ach amháin sa chás gur faisnéis íogair atá sa chatagóir faisnéise a bhaineann leis an duine aonair agus sa chás go bhféadfaí an fhaisnéis san aitheantas oifigiúil a chomhthacú leis na sonraí pearsanta atá á gcoinneáil ag an rialaitheoir sonraí cheana féin ar nós grianghraf, seoladh nó dáta breithe.

Ba chóir na catagóirí sonraí pearsanta atá á gcoinneáil agus an dóchúlacht go mbeadh rioscaí i gceist lena n-eisiúint a bhreithniú de réir an cháis d’fhonn an t-íosmhéid faisnéise atá ag teastáil a shocrú . I gcás nach bhfuil aon sonraí catagóire speisialta á gcoinneáil, d’fhéadfadh sé bheith leordhóthanach seoladh a dhearbhú . I gcásanna ina bhfuil sonraí catagóire speisialta i gceist, d’fhéadfadh sé bheith cuí faisnéis bhreise a lorg ach ná bíodh an fhaisnéis sin ach ina faisnéis amháin a bheadh leordhóthanach chun aitheantas a dhearbhú.