Vodafone, eMag si Asociatia SOS, amendate de ANSPDCP

Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) anunta ca Vodafone, eMag si Asociatia SOS au fost amendate pentru incalcarea GDPR sau a prevederilor din Legea nr. 506/2004.

ANSPDCP continua sanctionarea firmelor care incalca GDPR sau normele nationale in vigoare care stabilesc protejarea datelor personale. Iata in ce au constat sanctiunile acordate in aceasta saptamana.

In primul rand, Operatorul Dante International SA (detinatorul eMag) a fost sanctionat contraventional cu amenda in cuantum de 14.420,4 lei, echivalentul sumei de 3000 EURO, intrucat, in urma unei investigatii finalizate, s-a constatat incalcarea art. 6 din GDPR prin raportare la art. 21, alin. (3) din acelasi act.

Sanctiunea a fost aplicata operatorului intrucat la sfarsitul anului 2019 a transmis unei persoane fizice un mesaj comercial, desi la inceputul anului 2019 operatorul ii confirmase acesteia dezabonarea de la comunicarile comerciale.

Totodata, operatorului Dante International SA i s-au aplicat si doua masuri corective, in temeiul prevederilor art. 58 alin. (2) lit. c) si d) din Regulamentul General privind Protectia Datelor.

Astfel, operatorul a fost obligat sa implementeze solicitarea persoanei fizice de a-i fi dezactivata din baza de date setarea privind transmiterea pe adresa de sa de e-mail a mesajelor comerciale, in termen de 3 zile lucratoare de la comunicarea procesului-verbal. Totodata, operatorul a fost obligat sa ia masuri astfel incat sa fie respectate prevederile art. 21 din Regulament, in termen de 20 zile de la data comunicarii procesului-verbal.

In al doilea rand, Vodafone a fost amendata pentru a doua oara intr-o luna de ANSPDCP pentru ca a incalcat anumite dispozitii din Legea nr. 506/2004.

Operatorul Vodafone Romania SA a fost sanctionat contraventional cu doua amenzi in cuantum total de 20.000 lei.

Sanctiunile au fost aplicate operatorului ca urmare a unei sesizari cu privire la faptul ca Vodafone Romania SA a incalcat securitatea si confidentialitatea datelor cu caracter personal.

Astfel, o petenta a Autoritatii a sustinut ca a solicitat o oferta pe telefon, prin intermediul site-ului operatorului Vodafone Romania SA si ca, ulterior, a primit pe adresa sa de e-mail, un contract incheiat de operator cu o alta persoana fizica, petenta avand suspiciuni ca datele sale cu caracter personal ar fi putut fi dezvaluite acestei persoane.

Ca urmare a investigatiei efectuate la operator, Autoritatea a constatat ca Vodafone Romania SA nu a respectat dispozitiile art. 3 alin. (1) (3) din Legea nr. 506/2004, cu modificarile si completarile ulterioare, potrivit carora furnizorul unui serviciu de comunicatii electronice destinat publicului are obligatia de a lua masuri tehnice si organizatorice adecvate in vederea asigurarii securitatii prelucrarii datelor cu caracter personal, ca acestea trebuie sa asigure un nivel de securitate proportional cu riscul existent, avand in vedere posibilitatile tehnice de ultima ora si costurile implementarii acestor masuri si sa respecte cel putin urmatoarele conditii:
a) sa garanteze ca datele cu caracter personal pot fi accesate numai de persoane autorizate, in scopurile autorizate de lege;
b) sa protejeze datele cu caracter personal stocate sau transmise impotriva distrugerii accidentale ori ilicite, impotriva pierderii sau deteriorarii accidentale si impotriva stocarii, prelucrarii, accesarii ori divulgarii ilicite;
c) sa asigure punerea in aplicare a politicii de securitate elaborate de furnizor in ceea ce priveste prelucrarea datelor cu caracter personal

De asemenea, s-a constatat faptul ca nu au fost respectate dispozitiile art. 3 alin. (6) din Legea nr. 506/2004, cu modificarile si completarile ulterioare, conform carora In cazul unei incalcari a securitatii datelor cu caracter personal, furnizorii de servicii de comunicatii electronice destinate publicului vor notifica ANSPDCP, fara intarziere, la respectiva incalcare.

Pe langa sanctiunile cu amenda aplicate operatorului Vodafone Romania SA, Autoritatea Nationala de Supraveghere a recomandat acestuia ca, in termen de 30 zile de la data comunicarii procesului-verbal, sa ia masurile necesare respectarii prevederilor art. 3 alin. (1) (3) din Legea nr. 506/2004, cu modificarile si completarile ulterioare, in vederea implementarii unor masuri adecvate de securitate a prelucrarii datelor personale, inclusiv sub aspectul asigurarii confidentialitatii si protejarii datelor cu caracter personal impotriva divulgarii ilicite.

In al treilea rand, Asociatia "SOS Infertilitatea" a fost amendata pentru ca a incalcat art. 58, alin. (1), lit. 1) si lit. e) din GDPR. Autoritatea a aplicat art. 83, alin. (5), lit. e) din acelasi act si a aplicat o amenda de 2000 euro, adica 9529,2 lei.

Autoritatea Nationala de Supraveghere a fost sesizata cu privire la faptul ca Asociatia SOS Infertilitatea a dezvaluit date cu caracter personal fara consimtamantul persoanei vizate.

Autoritatea de supraveghere a solicitat Asociatiei mai multe informatii referitoare la aspectele sesizate, dar operatorul nu a raspuns solicitarilor institutiei noastre. In urma contactarii telefonice a operatorului, presedintele asociatiei si-a exprimat optiunea de a i se transmite solicitarea Autoritatii de supraveghere prin e-mail la o adresa indicata de acesta.

Intrucat Asociatia SOS Infertilitatea nu a transmis informatiile solicitate pana la data incheierii procesului-verbal de constatare/sanctionare, aceasta a fost sanctionata cu amenda.

Totodata, operatorului i s-a aplicat si masura corectiva de a transmite Autoritatii, in scris, toate informatiile solicitate, in termen de 5 zile lucratoare de la comunicarea procesului-verbal.