ANSPDCP e pe val. Trei amenzi in 10 zile! - Update: precizari facute de Ana-Maria Udriste fondator Avocatoo&JURIO

ANSPDCP a finalizat o investigatie la operatorul LEGAL COMPANY & TAX HUB SRL si a constatat ca acesta a incalcat prevederile art. 32 alin. (1) si alin. (2) din Regulamentul (UE) 2016/679 al Parlamentului European si al Consiliului din 27 aprilie 2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a Directivei 95/46/CE (Regulamentul general privind protectia datelor).

Operatorul LEGAL COMPANY & TAX HUB SRL a fost sanctionat contraventional cu amenda in cuantum de 14.173,50 lei, echivalentul sumei de 3.000 euro. Sanctiunea a fost aplicata operatorului intrucat nu a implementat masuri tehnice si organizatorice adecvate, in vederea asigurarii unui nivel de securitate corespunzator riscului prelucrarii. Aceasta a condus la divulgarea neautorizata si accesul neautorizat la datele cu caracter personal ale persoanelor care au efectuat tranzactii receptionate de site-ul avocatoo.ro (nume, prenume, adresa de corespondenta, email, telefon, loc de munca, detalii tranzactii efectuate), documente accesibile public, in perioada 10 decembrie 2018 1 februarie 2019.

Autoritatea Nationala de Supraveghere a aplicat sanctiunea ca urmare a unei sesizari din data de 10.12.2018 prin care se semnala faptul ca un set de fisiere cu privire la detaliile tranzactiilor receptionate de site-ul avocatoo.ro, ce continea nume, prenume, adresa de corespondenta, email, telefon, loc de munca si detalii tranzactii efectuate, era accesibil public prin intermediul a doua link-uri.

Cea mai mare amenda data pana acum de ANSPDCP este si prima aplicata in Romania in baza GDPR: 130.000 de euro. Sanctiunea a fost aplicata UNICREDIT BANK S.A. ca urmare a neaplicarii masurilor tehnice si organizatorice adecvate, atat in momentul stabilirii mijloacelor de prelucrare, cat si in cel al prelucrarii in sine, destinate sa puna in aplicare in mod eficient principiile de protectie a datelor, precum reducerea la minimum a datelor, si sa integreze garantiile necesare in cadrul prelucrarii, pentru a indeplini cerintele GDPR si a proteja drepturile persoanelor vizate. Aceasta a condus la dezvaluirea in documentele ce contin detaliile tranzactiilor si care sunt puse on-line la dispozitia clientilor beneficiari ai platilor, a datelor privind CNP-ul si adresa platitorului (pentru situatiile in care platitorul efectua tranzactia dintr-un cont deschis la o alta institutie de credit - tranzactii externe si depuneri la casierie), respectiv a datelor privind adresa platitorului (pentru situatiile in care platitorul efectua tranzactia dintr-un cont deschis la UNICREDIT BANK SA - tranzactii interne), pentru un numar de 337.042 persoane vizate, in perioada 25 mai 2018 10.12.2018.

Sanctiunea a fost aplicata ca urmare a unei sesizari a Autoritatii Nationale de Supraveghere din data de 22.11.2018 prin care se semnala faptul ca datele privind CNP-ul si adresa persoanelor care efectuau plati la UNICREDIT BANK S.A., prin intermediul tranzactiilor on-line, erau dezvaluite catre beneficiarul tranzactiei, prin formularele de extras de cont/detalii.

A doua amenda a venit la scurt timp dupa si a fost data World Trade Center Bucharest. Compania a fost sanctionata cu suma de 15.000 de euro pentru incalcarea securitatii datelor cu caracter personal. Aceasta a constat in faptul ca o lista printata pe suport de hartie, utilizata pentru verificarea clientilor care serveau micul dejun si care continea date cu caracter personal ale unui numar de 46 de clienti, cazati la unitatea hoteliera apartinand WORLD TRADE CENTER BUCHAREST S.A., a fost fotografiata de catre persoane neautorizate din afara societatii, ceea ce a condus la dezvaluirea in mediul on-line a datelor cu caracter personal ale unor clienti, prin publicare.

Operatorul WORLD TRADE CENTER BUCHAREST S.A. a fost sanctionat deoarece nu a luat masuri pentru a se asigura ca angajatii sai care au acces la date cu caracter personal nu le prelucreaza decat la cererea sa, potrivit legii.

De asemenea, operatorul nu a implementat masuri tehnice si organizatorice adecvate in vederea asigurarii unui nivel de securitate corespunzator riscului prelucrarii generat in special, in mod accidental sau ilegal, de divulgarea neautorizata sau accesul neautorizat la datele cu caracter personal. Aceasta a condus la accesul neautorizat la datele cu caracter personal ale unui numar de 46 de clienti ai WORLD TRADE CENTER BUCHAREST S.A si divulgarea neautorizata a acestor date, in mediul on-line, ceea ce a condus la afectarea drepturilor la viata privata si la protectia datelor cu caracter personal, garantate de art. 7 si art. 8 din Carta Drepturilor Fundamentale a Uniunii Europene si de art. 16 din Tratatul privind Functionarea Uniunii Europene.

Va reamintim ca pana la inceputul anului 2019 se inregistrasera deja peste 3000 de plangeri in baza GDPR. Actul a implinit un an de la intrarea in vigoare in luna mai 2019, cand am realizat o radiografie a situatiei din Romania.

UPDATE: Ana-Maria Udriste Fondator Avocatoo&Jurio face urmatoarele precizari referitor la decizia ANSPDCP

"La Avocatoo credem in buna implementare a normelor GDPR si am vazut mereu acest regulament drept un element important de responsabilizare pentru ambele parti implicate: persoanele vizate isi dau seama de importanta drepturilor pe care le au si companiile trebuie sa implementeze masuri de securitate si sa devina si mai responsabile.

Sursa: www.e-juridic.manager.ro