Și un e-mail îți poate aduce o sancțiune GDPR pentru simplul motiv că, atunci când transmiți mailul către mai mulți destinatari, nu ascunzi în „BCC” adresele, ci le lași să le vadă toți destinatarii.

Așa a făcut compania Apă Canal Ilfov SA  și a fost amendată cu 14.757,60 lei, (echivalentul a 3000 de euro).

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal a primit o notificare de încălcare a securității datelor care a fost transmisă de operatorul Apă Canal Ilfov SA.

ANSPDCP a constatat că, pentru a transmite un mesaj electronic către utilizatorii înregistrați pe portalul online al societății de apă și canalizare, operatorul a introdus eronat adresele de e-mail la secțiunea „To”, în loc de „BCC”.

Această încălcare a condus la divulgarea neautorizată sau accesul neautorizat la date cu caracter personal (adresa de e-mail) și „a fost afectat un număr semnificativ de persoane fizice”, potrivit ANSPDCP.

Autoritatea de protecție a datelor consideră că societatea Apă Canal Ilfov SA „nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării”.

Alte amenzi GDPR, în România:

Amendă „la bloc” pentru lista de restanțieri

O asociație de proprietari din Iași a fosta amendată 2.462,5 lei (500 de euro) pentru că listele de plată a întreținerii conțineau numele și prenumele fiecărui locatar, inclusiv restanțierii. Unul dintre locatari a făcut plângere la ANSPDCP, reclamând și „afișarea unui înscris cu caracter defăimător în care erau menționate datele sale personale (numele și prenumele)”. „În cadrul investigației s-a constatat că Asociația de proprietari a dezvăluit datele cu caracter personal ale petentului (nume și prenume) prin afișarea la avizier a unei informări, fără consimțământul acestuia și fără existența unei alte situații în care consimțământul nu este necesar” – spune ANSPDCP, în ianuarie 2023.

Și „bătută”, și cu banii luați

Tot la început de 2023, „poliția datelor persoanle” a amendat cu 2.000 de euro și o firmă bucureșteană care avea 123 (pe anul 2021), Bristol Logistics. Din firmă a fost sustras, în iunie 2021, un biblioraft conținând dosarele de personal pentru 12 angajați. Firma este cea care a notiticat ANSPDCP cu privire la acest „incident de încălcare a securității”. În final, compania a fost amendată pentru că „nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării generat în special, în mod accidental sau ilegal, de distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal”.

Autoritatea de Supraveghere a constat că în urma incidentului din 2021 au fost „accesate neautorizat date cu caracter personal (date de contact/identificare, pregătire academica si profesionala, detalii legate de angajare, informații referitoare la deduceri de taxe si persoane aflate în întreținere, calificativ medicina muncii)”.

Pe lîngă amenda de 2.000 de euro, firma este obligată să-și revizuiască și să-și actualizeze „măsurile tehnice și organizatorice implementate ca urmare a evaluării privind riscul pentru drepturile și libertățile persoanelor, inclusiv procedurile de lucru referitoare la protecția datelor cu caracter personal”. În plus, societatea trebuie să-și instruiască „persoanele autorizate să prelucreze date asupra riscurilor și consecințele pe care le implică divulgarea datelor personale”.

Filmare în parcare la Kaufland

La sfârșitul anului 2022 și Kaufland România  a primit o amendă de 3.000 de euro în baza GDPR. Hipermarketului „i se trage” de la camerele de supraveghere din parcare. Un angajat al magazinului a intrat în camera de supraveghere și a filmat cu telefonul imaginile captate de camerele din parcare, care rulau pe monitoare. Pe urmă, a trimis filmarea, pe Whatsapp, la un ziar local, care le-a postat pe internet. Ca urmare, au fost dezvăluite imaginea și numărul de înmatriculare al mașinii, „fiind afectate de acest incident două persoane vizate”, conform ANSPDCP. Persoana din imagini a făcut reclamație la Autoritatea pentru date personale și aceasta a sancționat Kaufland.

ANSPDCP acuză hipermarketului că „nu a luat măsuri pentru a se asigura că orice persoană fizică care acționează sub autoritatea sa și care are acces la date cu caracter personal nu le prelucrează decât la cererea sa și nu a luat măsuri adecvate pentru a proteja în mod continuu datele”.

De asemenea, Kaufland „nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de confidențialitate și de securitate corespunzător riscului prelucrării generat în special, în mod accidental sau ilegal, de distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate într-un alt mod”.

Pe lângă amenda de 3.000 de euro, Kaufland a fost obligată să introducă și „instrucțiuni privind interzicerea utilizării echipamentului personal al angajaților (cum sunt: telefonul mobil, tabletele) pentru a filma/realiza fotografii/descărca/distribui înregistrări video prin utilizarea WhatsApp sau a rețelelor sociale”.

Și eMag a luat amendă

eMag a primit, la început de an 2023, o amendă în baza celebrului regulament GDPR, de protecție a datelor personale, prilej pentru firmele mici să tragă învățăminte: când cea mai mare plaftomă românească de comerț online, cu resurse, experți și procese corporate puse la punct, face erori și este amendată, se aprinde un beculeț de avertisment și pe bordul micilor afaceri.

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a început anul 2023 cu câteva amenzi.

Zilele trecute, pe 18 ianuarie 2023, ANSPDCP a anunțat că a amendat compania Dante International SA, deținătoarea emag.ro, cu 4.918,6 lei (echivalentul a 1000 EURO). Un client a reclamat că magazinul online i-a încălcat „dreptul la ștergerea datelor cu caracter personal”.

Mai exact, eMag i-a transmis reclamantului un SMS cu ofertele comerciale ale magazinului online, deși clientul solicitase anterior ștergerea contului și a datelor nerelevante.

Autoritatea Națională de Supraveghere consideră că firma „nu a adoptat toate măsurile necesare pentru a da curs solicitării persoanei vizate de a i se șterge datele personale, astfel încât a continuat să prelucreze datele acesteia prin transmiterea de mesaje comerciale nesolicitate”.

Acum eMag este obligată să ia și „măsuri tehnice și organizatorice astfel încât să se asigure că dă curs efectiv cererilor prin care se exercită drepturile persoanelor vizate prevăzute de Regulamentul (UE) 2016/679, inclusiv cu privire la dreptul la ștergere”.

Mai multe detalii AICI