A Autoridade de Proteção de Dados da Irlanda (DPC) emitiu uma repreensão ao Airbnb por violar os princípios de minimização de dados ao exigir identificação pessoal (I.D.) para processar um pedido de exclusão de dados. Um usuário, após cancelar seu registro na plataforma, solicitou a exclusão de seus dados pessoais, como endereço de email e número de telefone. O Airbnb informou que a identificação era necessária para proceder com a exclusão, o que levou o usuário a registrar uma queixa.

Inicialmente, a queixa foi transferida pela DPA de Berlim para a DPC em 7 de fevereiro de 2020. O Airbnb argumentou que a verificação de I.D. era um método preferencial para autenticar pedidos de exclusão em 2019, baseando-se no interesse legítimo de verificar a autenticidade dos pedidos e garantir a exclusão apropriada das contas. No entanto, a DPC determinou que essa prática carecia de uma base legal sob o Artigo 6 do GDPR e violava o princípio de minimização de dados estipulado no Artigo 5(1)(c) do GDPR, pois não demonstrou que a solicitação de I.D. era necessária ou proporcional, considerando que a identidade do usuário poderia ser confirmada por outros meios, como o login na conta.

A investigação revelou que não havia evidências de que o Airbnb solicitou o I.D. do usuário durante o processo de registro, e, portanto, não houve violação do GDPR para essa ação. Contudo, ficou evidenciado que o Airbnb exigiu o I.D. do usuário para cumprir seu pedido de exclusão de dados. Embora a empresa tenha, por fim, atendido ao pedido de exclusão sem a documentação de I.D., a DPC considerou que a exigência de I.D. para exercer os direitos de exclusão do Artigo 17 do GDPR constituiu uma coleta desnecessária de dados pessoais. Além disso, a DPC constatou que o Airbnb violou o princípio de minimização de dados ao solicitar uma cópia do I.D. do usuário, observando que a empresa não possuía 'dúvidas razoáveis' sobre a identidade do usuário e, portanto, não tinha base sob o Artigo 12(6) para solicitar informações adicionais. O Airbnb também não demonstrou que tentou usar outros meios que já possuía, como a autenticação por login.

Com informações GDPRHub

Este post foi traduzido e resumido a partir de versão original com o uso do ChatGPT versão 4.