Een Spaanse stad moet een WhatsApp-groep die het aanmaakte verwijderen omdat het hiermee de AVG heeft overtreden. Dat is het oordeel van de Catalaanse privacytoezichthouder. Tiana is een stad met nog geen negenduizend inwoners. In 2020 besloot de stad om een WhatsApp-groep aan te maken om zo met burgers te kunnen communiceren. Via een link konden inwoners zich aan de groep toevoegen.

Een inwoner klaagde dat de gemeenteraad de groep zonder nadrukkelijke toestemming van deelnemers had aangemaakt en geen informatie verstrekte die volgens de AVG is verplicht. Twee dagen later werd in de groepsomschrijving een privacybeleid toegevoegd. Volgens de klager waren telefoonnummer, namen en afbeeldingen van deelnemers voor elke deelnemer zichtbaar.

De Catalaanse privacytoezichthouder stelt dat de groep was aangemaakt zonder informatie te verstrekken over het verzamelen en gebruiken van persoonlijke informatie, zoals artikel 13 van de AVG verplicht stelt. Zelfs na het toevoegen van het privacybeleid ontbrak er informatie dat deelnemers bij de privacytoezichthouder een klacht konden indienen.

Verder was het privacybeleid niet op een transparante een eenvoudige wijze toegankelijk, aangezien deelnemers aan de groep naar de stadswebsite werden verwezen. Het stadsbestuur had daarnaast geen technische of organisatorische maatregelen getroffen om de vertrouwelijkheid van persoonlijke data te garanderen, aangezien alle groepsdeelnemers elkaars informatie konden bekijken.

Volgens de privacytoezichthouder had het stadsbestuur zich aan het "privacy by design" principe van de AVG moeten houden en moeten beseffen dat ze geen gebruik van een WhatsApp-groep hadden moeten maken. Het stadsbestuur stelde in een reactie dat er geen gebruik meer van de groep wordt gemaakt, maar die blijkt nog steeds te bestaan, inclusief toegang tot de persoonlijke data.

Met het opzetten van de WhatsApp-groep heeft het bestuur van Tiana de AVG op verschillende punten overtreden, zo oordeelde de toezichthouder. Aangezien de overtredingen met betrekking tot de informatieplicht waren verholpen op het moment dat de toezichthouder zijn onderzoek afrondde, besloot die alleen een reprimande uit te delen en het stadsbestuur te verplichten om de WhatsApp-groep te verwijderen (pdf).