A Autoridade de Proteção de Dados dos Países Baixos (Autoriteit Persoonsgegevens - AP) multou a agência de recrutamento Ambitious People Group (APG) em €6.000 por não atender a pedidos de exclusão de dados. A APG ignorou solicitações enviadas para endereços de e-mail que não o designado em sua política de privacidade.

A APG, operando sob cinco marcas diferentes - LMH, SAM, Four Life Sciences, Ardekay e Five Finance - solicitava e armazenava dados pessoais como nome, endereço, e-mail, número de telefone, data de nascimento e currículo para combinar candidatos a emprego com vagas adequadas.

Em 30 de novembro de 2018, a AP recebeu reclamações de três indivíduos contra a APG por falhas no atendimento de seus pedidos de exclusão de dados. Apesar de múltiplos pedidos, os reclamantes continuaram a receber e-mails de vagas da APG. Especificamente, o caso de cada um dos titulares envolvou:

• Reclamante 1: Solicitou a exclusão de dados em 15 de novembro de 2018, mas continuou a receber e-mails até 10 de janeiro de 2019.
• Reclamante 2: Solicitou a exclusão em 26 de março de 2018, mas continuou a receber e-mails até 19 de fevereiro de 2019.
• Reclamante 3: Solicitou a exclusão em 17 de outubro de 2018, mas continuou a receber e-mails até 1 de agosto de 2019.

A investigação da AP revelou que os pedidos de exclusão não foram encaminhados ao endereço de e-mail designado na política de privacidade da APG. Embora a empresa tenha atualizado seus procedimentos internos para corrigir essa falha, a AP determinou que a responsabilidade do controlador não é alterada pelo fato de os pedidos não terem sido enviados ao endereço designado.

A AP concluiu que a APG violou os Artigos 17(1) e 12(3) do GDPR, que exigem a exclusão de dados sem demora injustificada e no máximo dentro de um mês após a solicitação. A responsabilidade do controlador inclui a prevenção de erros humanos. Embora a APG tenha atendido a mais de 650 pedidos de exclusão, a ocorrência de três incidentes devido a erros humanos não isenta a empresa de sua responsabilidade.

Considerando os esforços da APG para corrigir suas práticas e o fato de que os erros foram provavelmente humanos, a AP reduziu a multa de €130.000 para €6.000 com base nos Artigos 58(2)(i) e 83(4) do GDPR.

Com informações GDPRHub

Este post foi traduzido e resumido a partir de sua versão original com o uso do ChatGPT versão 4, com revisão humana.