Controale date personale: Pentru ce fel de încălcări ale GDPR-ului a sancționat ANSPDCP firmele și nu numai în 2020

„În ceea ce privește activitatea de monitorizare și control, în anul 2020 Autoritatea a primit un număr total de 5480 de plângeri, sesizări și notificări privind incidente de securitate, pe baza cărora au fost deschise 694 investigații.

Ca urmare a investigațiilor, au fost aplicate 29 de amenzi în cuantum total de 892.115,95 lei. Totodată, au mai fost aplicate 64 de avertismente și au fost dispuse 65 de măsuri corective”, transmite Autoritatea. Comparativ cu anul precedent, când s-au făcut aproape 6200 de plângeri, ANSPDCP a demarat mai puține investigații anul acesta - 912 investigații au fost demarate anul trecut. Și cuantumul amenzilor a fost mult mai scăzut anul acesta - în 2019 au fost 28 de amenzi în cuantum total de 2.339.291,75 lei. Măsurile dispuse au fost, în 2020, reduse la jumătate ca număr. 

În anul precedent, Autoritatea a fost notificată cu privire la 194 de incidente de securitate - reamintim, astfel, că firmele sunt obligate să ancheteze aceste incidente, să notifice Autoritatea când află că acestea s-au produs (detalii despre notificare, aici), dar și să informeze persoanele vizate, dacă e cazul, de scurgerile de date.

Așa cum ne-a obișnuit și în rapoartele precedente, Autoritatea punctează câteva dintre cazurile investigate și unde s-au dispus sancțiuni în activitatea de anul trecut. În domeniul financiar-bancar, avem, de pildă, următoarele încălcări ale legislației specifice protecției datelor personale:

• divulgarea neautorizată a datelor unui client pe rețelele de socializare;
• divulgarea neautorizată a datelor unor clienți și angajați prin intermediul e-mailului;
• prelucrarea de date personale inexacte și dezvăluirea lor unui partener contractual - polițe de asigurare neactualizate, neglijență a angajaților care ar fi trebuit să monitorizeze acele informații și să le proceseze conform unor proceduri prestabilite;
• transmiterea unor copii ale unor acte de identitate pe WhatsApp.

Mai departe, în domeniul sănătății, s-a sesizat în principal divulgarea neautorizată sau accesul neautorizat la datele pacienților. De pildă, personalul medical a încurcat fișele pacienților, angajați care nu au permisiune să o facă accesează neautorizat baze de date. O altă încălcare a legislației a fost atunci când date ale pacienților minori au ajuns să figureze pe site-ul www.e-licitatie.ro, ca urmare a postării în Sistemul Electronic de Achiziții Publice. 

În cazul unor autorități și organisme publice, regăsim prelucrări nelegale de date prin sisteme de supraveghere audio-video portabile, în activitatea polițiștilor locali. Redacția avocatnet.ro a prezentat anul trecut speța, unde poliția locală de la Cluj a fost sancționată cu avertisment de Autoritate pentru camerele de corp purtate de organele legii - detalii, aici. ANSPDCP mai amintește aici și de divulgarea neautorizată pe Facebook a unei liste cu beneficiarii unor ajutoare de urgență.

Alte cazuri prezentate de ANSPDCP în raportul de activitate pe 2020:

• divulgarea neautorizată a unor date prin platforma informatică utilizată pentru înscrierea participanților la evenimente - e-mailuri trimise greșit între utilizatori, cărora au ajuns să le parvină datele altora;
• o firmă de vânzări auto a postat pe Facebook un document în care apărea o captură din codul sursă al website-ului pe care se desfășurase un concurs online de atragere a clientelei, iar din această cauză au ajuns să fie divulgate datele a peste 400 de clienți.

Așa cum se poate observa cu ușurință, majoritatea cazurilor de divulgare neautorizată a datelor personale s-a datorat unor nelijențe sau erori ale celor care operează cu datele respective sau cu sistemele în care acestea se regăsesc. Chestiune care subliniază, încă o dată, cât este de important pentru companii și pentru siguranța datelor clienților acestora ca angajații să conștientizeze riscurile implicate de managementul defectuos al operațiunilor ce implică date personale. 

Mai departe, arată ANSPDCP în raportul său, în 2020, plângerile primite (peste 5.000 la număr, din care au rezultat aproape 300 de investigații) au vizat în principal următoarele chestiuni:

• încălcarea drepturilor și a principiilor prevăzute de Regulamentul (UE) 2016/679; 
• dezvăluirea datelor cu caracter personal fără consimțământul persoanelor vizate; 
• prelucrarea imaginilor prin intermediul sistemelor de supraveghere video; 
• primirea de mesaje comerciale nesolicitate; 
• încălcarea măsurilor de securitate și confidențialitate a prelucrărilor de date 
• personale prin neadoptarea de către operatori a măsurilor tehnice și organizatorice 
• adecvate privind asigurarea securității prelucrărilor.

„În anul 2020, nerespectarea drepturilor persoanelor vizate a constituit obiectul multor plângeri adresate Autorității naționale de supraveghere”, subliniază ANSPDCP. Reamintim, în acest context, că operatorii de date sunt obligați să răspundă cererilor persoanelor vizate fără întârzieri justificate și cel târziu în termen de o lună, iar chiar dacă nu se conformează solicitărilor primite, trebuie să-și motiveze refuzul. De exemplu, dacă se solicită ștergerea din baza de date pentru a nu mai primi mesaje cu scop de marketing, operatorul de date e obligat să o facă. 

„Ca urmare a faptului că anumiţi operatori de date cu caracter personal nu au implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător prelucrărilor de date efectuate, în anul 2020, Autoritatea naţională de supraveghere a înregistrat o serie de plângeri care au avut ca obiect atât dezvăluirea datelor personale către terțe persoane, cât și accesarea neautorizată a datelor personale ale persoanelor vizate”, mai scrie în raportul ANSPDCP.

Nu au „scăpat” de pe listă nici de data aceasta cazurile de prelucrare nelegală/excesivă de date la locul de muncă. Vorbim, în principal, de utilizarea sistemelor de monitorizare prin mijloace de comunicații electronice și/sau mijloace de supraveghere video.