Amenzi GDPR: Furnizarea de informații parțiale legate de prelucrarea datelor poate fi sancționată

Investigația a fost demarată ca urmare a unei plângeri în care se reclama că o persoană nu a fost mulțumită de răspunsul primit din partea operatorului de prelucrare la cererea sa de exercitare a dreptului de acces prevăzut de articolul 15 din Regulamentul General pentru Protecția Datelor. Autoritatea de supraveghere a constatat, potrivit unui anunț de presă, că operatorul nu a comunicat toate informațiile cu privire la prelucrarea datelor sale personale, cum ar fi datele cu caracter personal prelucrate, sursa datelor, destinatarii datelor.

Pe lângă amendă, ANSPDCP a obligat firma să ofere toate informațiile privind prelucrarea datelor în termen de cinci zile lucrătoare.

Reamintim că GDPR obligă companiile care folosesc date personale în activitatea lor curentă să dea acces la ele, la cerere, persoanelor vizate de aceste prelucrări de date personale. Această comunicare trebuie să se facă în termen de o lună de la data solicitării, în caz contrar, persoana vizată poate depune o plângere la ANSPDCP.

Înainte de toate, operatorul trebuie să confirme dacă prelucrează sau nu datele personale ale celui care trimite o cerere de acces și apoi, dacă răspunsul e afirmativ, trebuie să dea acces la:

• datele prelucrate;
• scopurile prelucrării;
• categoriile de date personale vizate;
• destinatarii sau categoriile de destinatari cărora datele personale le-au fost sau urmează să le fie divulgate, în special destinatari din țări terțe sau organizații internaționale;
• acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele personale sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;
• existența dreptului de a cere rectificarea sau ștergerea datelor personale ori restricționarea prelucrării datelor personale referitoare la persoana vizată sau a dreptului de a se opune prelucrării;
• dreptul de a depune o plângere la ANSPDP;
• în cazul în care datele personale nu sunt colectate de la persoana vizată, orice informații disponibile privind sursa acestora;
• existența unui proces decizional automatizat (inclusiv profilarea), precum și, cel puțin în cazurile respective, informații pertinente privind logica folosită și importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.

Accesul persoanelor la datele care sunt prelucrate de către operator trebuie să se facă în mod gratuit, însă GDPR oferă posibilitatea firmelor să taxeze astfel de cereri în mod excepțional și dacă solicitarea este lipsită de orice fundament sau este excesivă (de exemplu, cereri repetitive, făcute într-un interval de timp în care nu au avut loc modificări ale datelor deținute și deja comunicate solicitantului).

La începutul acestui an a fost publicat un ghid despre dreptul de acces la datele personale util pentru operatorii de la nivel european. Articolul redacției noastre bazat pe acest ghid poate fi regăsit aici.