GDPR: Amenzi importante aplicate anul acesta și ce trebuie să învățăm din ele

Amenzile respective sunt variate și, chiar dacă s-au conturat unele tendințe (de exemplu, insuficiența măsurilor de securitate, în ceea ce privește companiile care prelucrează date), practica autorităților reflectă complexitatea GDPR-ului și cât de multe fapte pot fi considerate încălcări ale Regulamentului. Prezentăm, mai jos, care sunt principalele amenzi date în 2019, de către autoritățile europene de protecție a datelor (inclusiv Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal - ANSPDCP).

1) Prima amendă dată în România, în baza GDPR, a fost de 130.000 de euro și a vizat activitatea unei bănci. Practic, nu au fost luate suficiente măsuri pentru protejarea datelor și pentru a se reduce la minim expunerea acestora, precum și pentru a se preveni divulgarea lor. Astfel, date personale precum adresa sau CNP-ul persoanelor care făceau plăți prin intermediul băncii sancționate au ajuns să le fie divulgate beneficiarilor plăților.

2) Cea de-a doua amendă aplicată de ANSPDCP a vizat tot o divulgare neautorizată de date. O listă cu clienții unei entități a ajuns pe internet și s-a considerat că entitatea în cauză nu a luat suficiente măsuri pentru a asigura confidențialitatea datelor personale și a preveni divulgarea neautorizată a acestora. 

3) La fel ca în primele două cazuri, a treia amendă a vizat insuficiența măsurilor de securitate. O companie a fost sancționtă cu 3.000 de euro din cauză că lipsa măsurilor de securitate care ar fi fost necesare a dus la divulgarea și accesul neautorizat la date personale.

4) Divulgarea ilegală a datelor personale sau pierderea lor este, în general, sancționată dur. Puteți vedea și o prezentare detaliată cu privire la practica autorităților europene, în această privință, aici. 

5) O problemă des întâlnită este autorizarea inadecvată pentru angajații care prelucrează date sau lipsa acesteia. De aceea, au și fost aplicate mai multe sancțiuni pentru astfel de situații: pentru o companie aeriană al cărei angajat a accesat, neautorizat, aplicația de rezervări și a fotografiat o listă cu datele personale a mai multor pasageri, după care a divulgat online lista, amenda a fost de 20.000 de euro. Alte două amenzi pentru divulgarea neautorizată (prin WhatsApp), respectiv pentru utilizarea neautorizată a unor date (de către angajații unei bănci, pentru a verifica eligibilitatea unor potențiali clienți pentru obținerea unui credit), au fost date de ANSPDCP recent.

6) De asemenea, nu doar firmele pot fi sancționate. Și persoanele fizice pot primi amenzi, chiar și dacă nu acționează în scop profesional. Puteți găsi, aici, o serie de exemple cu amenzi primite de persoane fizice pentru încălcarea GDPR.

7) În fine, merită amintit aici și că ANSPDCP a făcut public și raportul ei de activitate pe 2018. Chiar dacă el vizează activitatea din 2018 a Autorității, el este relevant și pentru anul care urmează pentru că poate oferi informații despre strategia de supraveghere a ANSPDCP și lucrurile pe care aceasta se concentrează.