Prelucrarea datelor colectate din surse publice: Operator amendat pentru că nu a informat persoana vizată

Operatorul sancționat de ANSPDCP cu 2.000 de euro colectase date personale în mod indirect, din surse publice, în vederea unei propuneri de participare la o cercetare de piață, potrivit comunicatului publicat săptămâna trecută de Autoritate. Investigația a fost demarată ca urmare a sesizării din partea unei persoane căreia operatorul i-a trimis mesaje nesolicitate, inclusiv după ce aceasta s-a opus prelucrării.

„Astfel, în cadrul investigației, a reieșit că operatorul nu a prezentat dovezi din care să rezulte că a asigurat o informare clară și completă persoanei ale cărei date personale le-a colectat din surse publice, omițând să îi comunice toate informațiile prevăzute de art. 14 din Regulamentul (UE) 2016/679, cum ar fi sursa de colectare a datelor (art. 14 alin. (2) lit. f))”.

GDPR stabilește în sarcina operatorilor ce prelucrează date ce nu au fost preluate direct de la persoana vizată, ci indirect, anumite obligații. De principiu, conform regulamentului, operatorul furnizează persoanei vizate anumite informații: identitatea operatorului, ce date prelucrează, scopurile prelucrării etc. Totodată, mai stabilește GDPR, pentru a asigura o prelucrare echitabilă și transparentă în ceea ce privește persoana vizată, trebuie să o informeze cu privire la sursa din care provin datele cu caracter personal și, dacă este cazul, dacă acestea provin din surse disponibile public.

Operatorul sancționat de ANSPDCP nu a informat persoana vizată în acest fel. „De asemenea, s-a constatat că sursa de colectare a datelor nu a fost clar prezentată nici în informarea disponibilă pe site-ul operatorului”, mai punctează ANSPDCP.

Amenda a fost deja plătită de operator, mai spune Autoritatea, care l-a obligat totodată să analizeze legalitatea prelucrării datelor personale colectate anterior din alte surse decât direct de la persoanele vizate și de a elimina din sistemul de evidență, dacă este cazul, datele personale a căror prelucrare nu s-a realizat cu respectarea tuturor dispozițiilor GDPR.