Holenderski organ nadzorczy (AP) nałożył grzywnę na koncern medialny DPG Media Magazines B.V. za naruszenie art. 12 ust. 2 RODO. Kara została nałożona w następstwie skarg złożonych przez klientów i abonentów. Zdaniem skarżących firma niepotrzebnie żądała od nich podania nadmiarowych danych identyfikacyjnych.
Od maja 2018 r. do stycznia 2019 r. AP otrzymał pięć skarg na postępowanie DPG Media Magazines w zakresie wniosków o dostęp do danych osobowych osób, których dane dotyczą, oraz wniosków o ich usunięcie. Według skarżących DPG Media Magazines żądał od skarżących kopii dokumentu tożsamości w celu weryfikacji ich tożsamości, jako warunku dalszego procedowania wniosku o dostęp lub usunięcie danych.
AP przeanalizował politykę koncernu w zakresie pobierania i przetwarzania kopii dowodu tożsamości wraz ze złożonymi wnioskami o dostęp do danych osobowych lub ich usunięcie. Zakres postępowania prowadzonego przez organ nadzorczy obejmował wnioski składane przez skarżących poza bezpiecznym środowiskiem logowania do konta (DPG Media Magazines udostępniała taką usługę swoim klientom i abonentom). Wnioski były składane listownie, za pośrednictwem poczty elektronicznej lub formularza internetowego.
W przypadku otrzymania wniosku o dostęp do danych osobowych lub ich usunięcie złożonego poza bezpiecznym środowiskiem logowania do konta firma zawsze żądała kopii dowodu tożsamości osoby, której dane dotyczą. Nie miał przy tym znaczenie fakt, jakie dokładnie informacje na temat tej osoby były przetwarzane przez koncern. Firma nie uwzględniała w swej praktyce charakteru i ilości danych, których udostępnienia lub usunięcia żądano. Holenderski organ nadzorczy w tym kontekście wskazał, że wykonywanie praw przysługujących na podstawie RODO musi być zorganizowane w sposób jak najmniej inwazyjny dla osoby, której dane dotyczą.
AP uznał, że ze względu na skalę naruszenia właściwe jest nałożenie na DPG Media Magazines kary pieniężnej 525 000 euro. DPG Media Magazines wniosła swój sprzeciw wobec tej decyzji.