Um titular de dados apresentou uma reclamação à Agência Espanhola de Proteção de Dados (AEPD) solicitando sanções contra a Mouro Producciones, S.R.L. (o controlador). A empresa, que organiza concertos e outros eventos, exigia que pais ou responsáveis apresentassem cópias dos seus documentos de identidade (IDs) e dos IDs dos menores para permitir a entrada.

A AEPD observou que a política do controlador sobre o tratamento de dados de menores estava desatualizada, referindo-se a uma lei nacional que já havia sido substituída. A política não especificava por que as cópias dos IDs eram necessárias, como seriam processadas além da admissão no local e quanto tempo os dados seriam retidos pelo controlador.

Em sua defesa, o controlador argumentou que era necessário verificar os IDs dos menores e de seus acompanhantes para confirmar suas idades e garantir conformidade com a Lei 3/2017 de Espectáculos Públicos y Actividades Recreativas de Cantabria. Esta lei limita a entrada de menores em certos tipos de locais e exige que os estabelecimentos neguem a entrada a qualquer pessoa que não verifique sua idade com documentação. A lei permite exceções em sessões especiais para menores ou quando menores de 16 anos estão acompanhados por adultos e a atividade do estabelecimento é compatível com a proteção moral e física dos menores.

A AEPD concluiu que o controlador provavelmente violou os Artigos 5(1)(c) e 13 do GDPR e recomendou uma multa de €20.000.

Primeiro, a AEPD considerou que o controlador não atendeu aos padrões de minimização de dados conforme o Artigo 5(1)(c) do GDPR. A coleta de uma cópia completa e não redigida dos IDs resultou em um processamento excessivo de dados, indo além do necessário para verificar a idade, o que violou o Artigo 5(1)(c).

Segundo, a AEPD constatou que o controlador provavelmente violou o Artigo 13 do GDPR. A falta de informações sobre o processamento ou o período de armazenamento fornecidas na política de divulgação, bem como sua desatualização, indicaram que o controlador não cumpriu suas obrigações informativas. Isso resultou em dificuldades para os titulares de dados exercerem seus direitos, conforme o Artigo 17 do GDPR.

Diante dessas violações, a AEPD decidiu iniciar procedimentos sancionatórios contra o controlador e recomendou uma multa de €20.000. De acordo com a Lei 39/2015, uma lei espanhola sobre procedimentos administrativos, a AEPD informou o controlador que poderia reconhecer sua responsabilidade pelas violações e/ou pagar a multa proposta, reduzindo a multa em 20% para cada ação. O controlador optou por reduzir a multa em 40%, reconhecendo sua responsabilidade e pagando a quantia reduzida de €12.000.

Com informações GDPRHub

Este post foi traduzido e resumido a partir de versão original com o uso do ChatGPT versão 4.