Cuireadh tús leis an fhiosrúchán seo maidir le 71 sárú ar shonraí pearsanta a chuir Tusla in iúl don DPC. Bhreithníodh raon leathan d’oibríochta próiseála Tusla sa chinneadh agus áirítear ar na torthaí:

• 5 thoradh shainiúla de sháruithe Airteagal 32(1) den GDPR maidir le hoibleagáidí Tusla bearta eagraíochtúla agus teicniúla cuí a chur i bhfeidhm le leibhéal slándála cuí a chinntiú i leith an riosca a chuir a cuid oibríochtaí próiseála éagsúla i láthair.

• Toradh gur sháraigh Tusla Airteagal 32(4) den GDPR nuair nár glacadh céimeanna lena chinntiú nach ndéanann aon duine nádúrtha atá ag feidhmiú faoina húdarás próiseáil ar shonraí pearsanta ach amháin ar threoir ó Tusla.

• Toradh gur sháraigh Tusla Airteagal 5(1)(d) den GDPR ceithre huaire nuair nár cinntíodh go raibh na sonraí pearsanta a bhí á bpróiseáil aici cruinn, agus, sa chás gur gá, coinnithe cothrom le dáta.

• Toradh gur sháraigh Tusla Airteagal 33(1) den GDPR 8 n-uaire nuair nár cuireadh sáruithe maidir le sonraí pearsanta in iúl gan mhoill mhíchuí.

Na cumhachtaí ceartaitheacha a cuireadh i bhfeidhm:

• Forchuireadh leis an gcinneadh, dhá fhíneáil riaracháin shainiúla ar Tusla mar gheall ar sháruithe Airteagal 32(1) agus Airteagal 33(1) in imthosca nach raibh roinnt de na hoibríochtaí próiseála a bhí faoi bhreithniú “mar a chéile nó mar oibríochtaí próiseála nasctha” laistigh de shainmhíniú Airteagal 83(3) den GDPR. Ba €50,000 agus €35,000 faoi seach suim na bhfíneálacha. 

• Ordaithe do Tusla leis an gcinneadh na hoibríochtaí próiseála a aithníodh sa chinneadh a chur ar bhonn comhlíonta le hAirteagal 32(1) den GDPR trí bhearta eagraíochtúla cuí a chur i bhfeidhm le leibhéal slándála cuí i leith an riosca a chinntiú.

• Eisíodh, leis an gcinneadh, iomardú do Tusla maidir le sáruithe Airteagail 5(1)(d), 32(1), 32(4), agus 33(1) den GDPR.