Deși instituțiile și autoritățile publice publică date personale, în absența consimțământului (GDPR), nu sunt amendate. Iată de ce

Într-unul dintre cazurile evidențiate de ANSPDCP, în raportul de activitate pentru anul 2021, se arată că de pe site-ul unei autorități publice locale puteau fi vizualizate și descărcate de oricine, prin accesarea unui link, a petițiilor depuse online, ajungându-se astfel la accesul neautorizat la datele cu caracter personal prelucrate. În alt caz, un funcționar public din cadrul unei unități administrativ teritoriale a depus în instanță, în cadrul unui litigiu de muncă, o copie după condica de prezență ce conținea datele personale ale angajaților, în lipsa existenței acordului celor care se regăseau în document și fără vreun alt temei potrivit Regulamentului de protecție a datelor personale (GDPR). Celor două autorități li s-a oferit doar un avertisment, precum și măsuri corective.

Difuzarea pe rețelele de socializare a unor imagini luate de pe camerele de supraveghere video, situație care a dus la amendarea unei companii cu 1.000 euro în primăvara acestui an, a fost descoperită și la o autoritate publică. Totuși, autoritatea publică a fost sancționată cu avertisment, impunându-se și două măsuri corective, prin planul de remediere.

Cu avertisment a fost sancționată și o altă autoritate publică după ce, pe contul de pe o rețea de socializare, au fost publicate numele, prenumele și domiciliul persoanelor izolate ca urmare a pandemiei de COVID-19.

O altă instituție a publicat în Monitorul Oficial o anexa a unui ordin de ministru, ce conținea o listă cu locul de muncă și numele de telefon a 1.206 de persoane fizice. Totuși, se pare că doar pentru 283 dintre ele datele cu caracter personal au fost divulgate neautorizat. Acest tip de divulgare, atrage atenția ANSPDCP, poate duce în special la prejudicii fizice, materiale sau morale aduse celor afectați, cum ar fi pierderea controlului asupra datelor lor cu caracter personal sau pierderea confidenţialităţii datelor cu caracter personal protejate prin secret profesional sau alt dezavantaj semnificativ de natură economică sau socială adus persoanei fizice în cauză.

Anul trecut, ANSPDCP a investigat și prelucrarea datelor cu caracter personal prin intermediul sistemelor body-worn camera de către angajații unei direcții de poliție locale. La fel ca în cazul poliției locale din Cluj-Napoca, situație investigată în decembrie 2020, acestei instituții i s-a aplicat doar un avertisment.

O altă situație care merită menționată din raportul de activitate al Autorității de protecție a datelor este cea a divulgării neautorizate și accesul neautorizat la datele cu caracter personal ale studenților prin accesarea unor linkuri ale website-ului unei instituții de învățământ public. Datele conțineau numele, prenumele, CNP-ul, numărul de telefon, adresa de email, adeverințe medicale sau contracte de studii universitare. În urma investigației, Autoritatea a descoperit că, după ce a luat cunoștință despre divulgarea neautorizată, instituția de învățământ superior a implementat accesul pe bază de user și parolă. 

Așa cum menționam, situațiile investigate de Autoritate în cadrul instituțiilor publice s-au soldat doar cu avertisment și măsuri corective, însă dacă acele încălcări ar fi fost produse de către companiile private acestea, în cele mai multe cazuri, ar fi fost amendate direct.

De ce? Pentru că, deși Regulamentul de protecție a datelor prevede amenzi administrative de până la 20 de milioane de euro ce sunt aplicabile autorităților și/sau instituțiilor publice, Legea 190/2018 privind măsuri de punere în aplicare a acestui Regulament stabilește că acești operatori scapă inițial de amenzile ce pot fi aplicate. Mai exact, după investigație, ANSPDCP încheie un proces-verbal de constatare și sancționare cu avertisment, fiind stabilit și un plan de remediere.

Pentru remedierea problemelor constatate, ANSPDCP stabilește un termen fix, iar la zece zile de la expirarea acestuia, Autoritatea reia controlul. Dacă nici după ce de-al doilea control instituțiile publice nu reușesc să remedieze problemele descoperite, abia atunci reprezentanții ANSPDCP pot aplica amenzi.  De subliniat este că reluarea controlului și amendarea sunt doar o posibilitate, nu o obligație. Amenzile prevăzute de Legea 190 sunt cuprinse între 10.000 și 200.000 lei