A Autoridade Francesa de Proteção de Dados (DPA-CNIL) emitiu uma ordem de correção contra dois ministérios franceses por violarem o Artigo 5(1)(b) do Regulamento Geral sobre a Proteção de Dados (GDPR). Os Ministérios da Economia, Finanças e Soberania Industrial e Digital e o Ministério da Transformação e Serviço Público utilizaram indevidamente os endereços de e-mail de 2.346.303 servidores públicos para compartilhar um vídeo promovendo a reforma da previdência, um propósito diferente daquele originalmente previsto para o processamento desses dados, que era limitado a comunicações administrativas com os funcionários.
A DPA recebeu 1.590 reclamações sobre um e-mail enviado em 26 de janeiro de 2023, contendo um vídeo curto no qual o Ministro da Transformação falava sobre a reforma da previdência. As queixas se concentravam principalmente na recepção de comunicações políticas e, em alguns casos, sobre o recebimento do e-mail por pessoas que já não eram mais funcionários públicos.
Após investigações, a DPA concluiu que o processamento dos dados para enviar uma mensagem de comunicação política era incompatível com a finalidade original da coleta de dados, limitada a comunicações administrativas com os funcionários. Assim, em 26 de outubro de 2023, foram apresentadas observações orais pela DPA, que confirmou que os ministérios eram controladores conjuntos sob o Artigo 26 do GDPR.
Apesar dos ministérios contestarem a natureza política do processamento, a DPA discordou, afirmando que o e-mail enviado por um dos ministros responsáveis pela reforma da previdência tinha um tom geral que visava convencer as pessoas da necessidade e dos méritos da reforma. A DPA lembrou uma decisão anterior que estabelece que o processamento automatizado de dados pessoais de funcionários públicos, cujo propósito é limitado a uma comunicação de natureza administrativa, não pode ser usado para uma comunicação de natureza política.
Portanto, a DPA emitiu uma ordem de correção contra os controladores conjuntos por violarem o Artigo 5(1)(b) do GDPR, sem imposição de multa, conforme previsto no Artigo 20 da Lei Nº 78-17, que se aplica quando o processamento de dados pessoais é realizado pelo Estado.
Com informações - GDPRHub.
