Linie lotnicze z karą za niedotrzymanie terminu usunięcia danych osobowych

Jeden z klientów linii lotniczych zażądał usunięcia jego danych osobowych tj. adresu e-mail używanego przez linie w celach marketingu bezpośredniego a także o zaprzestanie wysyłania mu newsletterów. Administrator poinformował o usunięciu e-maila, jednak nadal wysyłał do klienta newslettery.

Sprawa trafiła do węgierskiego organu nadzorczego, który stwierdził nieprawidłowości w realizacji praw podmiotów danych. Przede wszystkim wykryto naruszenie art. 12 ust. 3 RODO.

Zgodnie z art. 12 ust. 3 RODO administrator musi bez zbędnej zwłoki, ale nie później niż w terminie 1 miesiąca od otrzymania żądania – udzielić, której dane dotyczą, informacji o działaniach podjętych w związku z jej żądaniem np. usunięcia danych.

W ocenie węgierskiego organu nadzorczego żądanie skierowane do administratora nie było na tyle skomplikowane (chodziło o usunięcie pojedynczego adresu e-mail), by przekładać termin jego realizacji. Dlatego uznano, że linie lotnicze usunęły dane osobowe z opóźnieniem.

Poza tym stwierdzono, że spółka nie przestrzegała zasady privacy by design. Mimo usunięcia adresu e-mail okazało się bowiem, że skarżący nadal otrzymywał newslettery od administratora (a zatem jego e-mail nadal widniał w bazie newsletterów) – przez 11 dni. To w ocenie węgierskiego organu nadzorczego oznaczało braki w zakresie wymogów ochrony danych w fazie projektowania.