INFORMARE JURIDICĂ – INCIDENT GDPR

[Consilier juridic]

INFORMARE JURIDICĂ – INCIDENT GDPR PRIVIND FIRMĂ DE CURIERAT (CAZ DE REFERINȚĂ PENTRU TOATE INSTITUȚIILE / OPERATORII DE DATE)



Vă aducem la cunoștință o situație recentă, cu relevanță directă pentru toate instituțiile care prelucrează date cu caracter personal. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a sancționat una dintre cele mai mari firme de curierat din România pentru nerespectarea obligațiilor privind drepturile persoanelor vizate.

⸻

1. Contextul sancțiunii

Investigația a pornit de la o plângere formulată de o persoană fizică, care solicitase operatorului:
• accesul la datele personale prelucrate de companie;
• ștergerea datelor personale;
• clarificări privind prelucrarea unor mențiuni referitoare la persoana sa.

Operatorul nu a răspuns în termen și nu a furnizat copia datelor solicitate, fapt care a dus la declanșarea controlului ANSPDCP.

⸻

2. Constatările Autorității

ANSPDCP a reținut următoarele încălcări:

a) Nerespectarea drepturilor persoanei vizate
• Lipsa răspunsului la cererea de acces (art. 12 și art. 15 GDPR).
• Lipsa răspunsului la cererea de ștergere (art. 17 GDPR).

b) Încălcarea principiilor fundamentale ale GDPR
• Legalitate și transparență (art. 5 alin. 1 lit. a).
• Limitarea legată de scop (art. 5 alin. 1 lit. c).
• Limitarea stocării (art. 5 alin. 1 lit. e).
• Lipsa unui temei legal clar pentru anumite prelucrări (art. 6 GDPR).
• Prelucrarea unei „mențiuni denigratoare” atașate datelor persoanei vizate.

⸻

3. Sancțiunile aplicate
• 15.285 lei – pentru nerespectarea drepturilor persoanei vizate.
• 5.095 lei – pentru încălcarea principiilor de prelucrare.

Total: 20.380 lei (aprox. 4.000 EUR).

⸻

4. Recomandări imediate pentru instituții / unități școlare / organizații

Având în vedere această speță, recomandăm:

1. Procedură internă pentru gestionarea cererilor GDPR
• răspuns în maximum 30 de zile;
• evidența cererilor într-un registru dedicat;
• clarificarea responsabilului intern pentru GDPR.

2. Transparență și temei legal
• revizuirea notelor de informare GDPR;
• verificarea temeiului de prelucrare pentru fiecare categorie de date.

3. Controlul accesului și gestionarea mențiunilor interne
• eliminarea oricăror „comentarii”, „mențiuni” sau „etichetări” care pot constitui date personale neconforme;
• instruirea personalului cu privire la modul de redactare și stocare a informațiilor.

4. Arhivarea responsabilă
• stabilirea termenelor de păstrare pentru toate categoriile de date;
• ștergerea/anonimizarea datelor la expirarea termenelor.

⸻

5. Concluzie

Cazul demonstrează că nerespectarea drepturilor persoanelor vizate și a principiilor GDPR poate conduce la sancțiuni chiar și pentru operatori mari, cu departamente dedicate.

Toate instituțiile sunt rugate să verifice procedurile interne și să se asigure că există un mecanism clar, documentat și funcțional de gestionare a cererilor persoanelor vizate.