GDPR: Lista companiilor sancţionate în primul semestru al anului
I. 02.2020 – Vodafone România SA – 3.000 euro
Transmiterea răspunsului către o persoană eronată
Comunicat din 18.03.2020
II. 02.2020 – Enel Energie Muntenia SA – 3.000 euro
Transmiterea pe e-mail către un client a datelor personale ale altui client
Operatorul Enel Energie Muntenia SA a fost sancționat deoarece nu a implementat măsuri tehnice şi organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării generat în special, în mod accidental sau ilegal, de divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal.”
Comunicat din 25.03.2020
III. 02.2020 – Asociația „SOS Infertilitatea” – 2.000 euro
Netransmiterea informațiilor către Autoritate până la data încheierii procesului verbal
Autoritatea de supraveghere a solicitat Asociației mai multe informații referitoare la aspectele sesizate, dar operatorul nu a răspuns solicitărilor instituției noastre. În urma contactării telefonice a operatorului, președintele asociației și-a exprimat opțiunea de a i se transmite solicitarea Autorității de supraveghere prin e-mail la o adresă indicată de acesta.
Întrucât Asociația „SOS Infertilitatea” nu a transmis informațiile solicitate până la data încheierii procesului-verbal de constatare/sancționare, aceasta a fost sancționată cu amendă.”
Comunicat din 25.03.2020
IV. 02.2020 – Vodafone România SA 20.000 lei
Primirea pe mail a unui contract încheiat de operator cu o altă persoană
Astfel, o petentă a Autorității a susținut că a solicitat o ofertă pe telefon, prin intermediul site-ului operatorului Vodafone România SA și că, ulterior, a primit pe adresa sa de e-mail, un contract încheiat de operator cu o altă persoană fizică, petenta având suspiciuni că datele sale cu caracter personal ar fi putut fi dezvăluite acestei persoane.”
Comunicat din 25.03.2020
V. 02.2020 – Dante Internațional S.A., deținătorul e-MAG.ro – 3.000 euro
Transmiterea unui mesaj comercial unei persoane dezabonate de la comunicările comerciale
Comunicat din 25.03.2020
VI. 04.2020 – Estee Lauder Romania SRL – 3.000 EURO
Dezvăluirea și colectarea de date fără temei legal sau consimțământ
Comunicat din 11.06.2020
VII. 04.2020 – Banca Comercială Română S.A. – 5.000 EURO
Colectare și transmitere a copiilor actelor de identitate ale clienților persoanelor fizice (minori și reprezentanți legali) prin intermediul telefonului personal/ Whatsapp
Astfel, s-a constatat că a avut loc o colectare a copiilor actelor de identitate ale clienților persoanelor fizice (minori și reprezentanți legali) prin intermediul telefonului personal al unei angajate a operatorului, precum și transmiteri ale copiilor acestor acte la nivelul operatorului, prin aplicația Whatsapp, cu încălcarea procedurii de lucru interne.”
Comunicat din 5.05.2020
VIII. 04.2020 – Telekom Romania Communications SA – 3.000 euro
Încheierea unor contracte de abonament pe numele unei persoane, folosind datele personale „în contractul preexistent, fără verificarea corectitudinii acestora”.
În cursul desfășurării investigației Autoritatea Națională de Supraveghere a constatat că operatorul nu a implementat suficiente măsuri de securitate care să includă verificarea exactității datelor personale colectate telefonic (la distanță) în scopul încheierii contractelor.
Acest fapt a condus la o prelucrare ilegală a datelor petentului prin încheierea unor contracte de abonament pe numele său, folosind datele personale din contractul preexistent, fără verificarea corectitudinii acestora, contrar obligațiilor prevăzute de art. 32 din RGPD. În acest sens, art. 32 prevede, printre altele, la alin. (1) lit. b) și obligația operatorului de a implementa măsuri tehnice şi organizatorice adecvate, incluzând capacitatea de a asigura confidenţialitatea, integritatea, disponibilitatea şi rezistenţa continue ale sistemelor şi serviciilor de prelucrare.”
Comunicat din 11.06.2020
IX. 05.2020 – Enel Energie Muntenia SA – 4.000 EURO
Transmiterea unor documente ce conțineau datele sale personale unui alt client Enel, utilizând poșta electronică
În cursul desfășurării investigației Autoritatea Națională de Supraveghere a constatat că operatorul nu a luat suficiente măsuri de securitate și confidențialitate care să prevină divulgarea accidentală a datelor cu caracter personal către persoane neautorizate, încălcându-se prevederile art. 32 din RGPD.”
Comunicat din 18.06.2020
Sintact.ro
Lista de mai sus sintetizează situaţia sancţiunilor, cu accent pe motivele care au stat la baza lor. Investigaţiile ANSPDCP rămân o sursă importantă de informaţie practică, motiv pentru care acestea sunt relevante pentru toţi operatorii de date cu caracter personal.