Dealerul BMW, Automobile Bavaria - amenda de 18.000 de euro pentru nerespectarea GDPR

Dealerul BMW in Romania a fost amendat cu 18.000 de euro pentru incalcarea normelor GDPR. Autoritatea Nationala de Supraveghere a anuntat ca operatorul Automobile Bavaria SRL a divulgat datele personale a 290 de clienti si potentiali clienti, in perioada iulie 2022 04.08.2022.

Autoritatea Nationala de Supraveghere a anuntat ca a incheiat, in luna mai, o investigatie la operatorul AUTOMOBILE BAVARIA SRL si a constatat incalcarea prevederilor art. 32 alin. (1) lit. b) si d), coroborat cu art. 32 alin. (2) si ale art. 25 alin. (1) din Regulamentul General privind Protectia Datelor (RGPD).

Ca atare, operatorul a fost sanctionat contraventional:
- cu amenda in cuantum de 88.563,60 lei, echivalentul a 18.000 EURO pentru incalcarea art. 32 alin. (1) lit. b) si d), coroborat cu art. 32 alin. (2) din RGPD;
- cu avertisment pentru incalcarea art. 25 alin. (1) din RGPD.

Investigatia a fost demarata ca urmare a transmiterii de catre operator a unei notificari de incalcare a securitatii datelor cu caracter personal in temeiul Regulamentului General privind Protectia Datelor.

Incalcarea securitatii datelor s-a produs ca urmare a divulgarii neautorizate a datelor cu caracter personal (nume, prenume, oras, adresa de email, numar de telefon, model autoturism curent, an fabricatie autoturism curent, optiune buy-back, termen de achizitie, modalitate achizitie (cash, credit, leasing), buget aproximativ disponibil, optiuni consimtamant marketing (contact telefon, contact email, contact SMS, inscriere newsletter)) pentru un numar de 290 clienti/potentiali clienti ai operatorului, in perioada iulie 2022 04.08.2022, aceste date fiind accesibile public pe pagina web a operatorului.

In cadrul investigatiei s-a constatat ca operatorul nu a implementat masuri tehnice si organizatorice adecvate in vederea asigurarii unui nivel de securitate corespunzator riscului prelucrarii, incluzand capacitatea de a asigura confidentialitatea sistemelor si serviciilor de prelucrare si un proces pentru testarea, evaluarea si aprecierea periodice ale eficacitatii masurilor tehnice si organizatorice pentru a garanta securitatea prelucrarii.

De asemenea, s-a constatat ca AUTOMOBILE BAVARIA SRL nu a asigurat protectia datelor cu caracter personal, incepand cu momentul conceperii (privacy by design) si in mod implicit (privacy by default), prin nerespectarea prevederilor prevazute la art. 25 alin. (1) din RGPD, in sensul ca nu a implementat, atat in momentul stabilirii mijloacelor de prelucrare, cat si in cel al prelucrarii in sine, masuri tehnice si organizatorice adecvate, destinate sa puna in aplicare in mod eficient principiile de protectie a datelor si sa integreze garantiile necesare in cadrul prelucrarii, pentru a indeplini cerintele RGPD si a proteja drepturile persoanelor vizate.

Totodata, in temeiul art. 58 alin. (2) lit. d) din RGPD, s-a dispus masura corectiva de a implementa un plan care sa includa un proces de testare, evaluare si apreciere periodica ale tuturor sistemelor si modificarilor ulterioare ale acestora efectuate de operator sau furnizorii de servicii (persoane imputernicite), prin care se prelucreaza date cu caracter personal, in sensul garantarii securitatii prelucrarii, incepand cu momentul conceperii si in mod implicit (privacy by design si privacy by default).