02.10.2024

Sancțiuni pentru nerespectarea GDPR

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal  a finalizat, în luna septembrie 2024, o investigație la operatorul Global Ports’s Services S.R.L. și a constatat mai multe încălcări ale prevederilor Regulamentului (UE) 2016/679 (GDPR), prin raportare la art. 85 alin. (5) lit. a) din același act normativ, astfel:

a) art. 5 alin. (1) lit. a), c) și (2) și art. 6 din GDPR

b) art. 12-14 din GDPR-

c) art. 5 alin. (1) lit. e) și (2) din GDPR-

Ca atare, operatorul a fost sancționat contravențional cu:

a) amendă în cuantum de 9.947,6 lei, echivalentul a 2.000 euro, pentru încălcarea art. 5 alin. (1) lit. a), c) și (2) și art. 6 din GDPR,

b) avertisment pentru încălcarea 12-14 din GDPR;

c) avertisment pentru încălcarea art. 5 alin. (1) lit. e) și (2) din GDPR

Autoritatea Națională de Supraveghere a demarat o investigație ca urmare a primirii mai multor petiții de la o persoană vizată care a reclamat utilizarea unui sistem de monitorizare GPS pe un autoturism folosit în perioada în care a fost angajată a operatorului Global Ports’s Services S.R.L., fără să fi fost informată despre existența acestuia.

De asemenea, din petițiile persoanei vizate a rezultat faptul că, în baza unui contract încheiat de operatorul Global Ports’s Services S.R.L. cu o societate comercială, erau instalate sisteme GPS atât pe utilajele închiriate, cât și pe mașina de serviciu folosită de persoana vizată care, între timp, devenise angajat al celei de-a doua societăți, datele furnizate de sistemul GPS fiind folosite pentru profilarea automată a persoanei, respectiv pentru monitorizarea acesteia.

În cadrul investigației, s-a constatat că operatorul Global Ports’s Services SRL:

a) a prelucrat datele persoanei vizate, colectate prin intermediul sistemului de monitorizare GPS instalat pe mașina de serviciu, pe o perioadă de 6 luni, până în ianuarie 2024 și a continuat să le prelucreze și ulterior datei la care acesta nu mai era angajat al societății, fără să prezinte dovezi din care să rezulte că anterior a folosit alte metode mai puțin intruzive pentru atingerea scopului prelucrării, legat în principal de întocmirea foilor de parcurs și a pontajului lunar, precum și că a stabilit cu claritate un temei legal al prelucrării acestor date, prin raportare la scopurile în care urmau să fie utilizate datele petentului, încălcând astfel art. 5 alin. (1) lit. a), c) și (2) și art. 6 din RGPD.

b) a prelucrat datele persoanei vizate, inclusiv prin sistemul de monitorizare GPS instalat pe mașina de serviciu, pe o perioadă de 6 luni, până în ianuarie 2024 și a continuat să le prelucreze și ulterior datei la care acesta nu mai era angajat al societății, fără să prezinte dovezi cu privire la informarea transparentă și completă a persoanei vizate în legătură cu prelucrarea datelor sale, în conformitate cu art. 12-14 din GDPR.

c) a stocat datele care provin din folosirea sistemului de monitorizare prin GPS pentru 6 luni, fără să prezinte dovezi din care să rezulte că depășirea termenului de 30 de zile prevăzut de art. 5 din Legea nr. 190/2018 se bazează pe motive justificate, încălcând astfel art. 5 alin. (1) lit. e) și (2) din Regulamentul (UE) 2016/679.

Totodată, în temeiul art. 58 alin. (2) lit. d) din Regulamentul (UE) 2016/679, s-au dispus următoarele măsuri corective:

a) de a asigura conformitatea cu GDPR a operațiunilor de colectare și prelucrare ulterioară a datelor personale, în sensul reevaluării necesității atingerii scopurilor propuse prin folosirea datelor provenite din utilizarea sistemului de monitorizare prin GPS instalat pe mașinile de serviciu ale angajaților operatorului, prin raportare la obligațiile prevăzute de Regulamentul (UE) 2016/679 și de Legea nr. 190/2018;

b) de a asigura conformitatea cu GDPR a operațiunilor de colectare și prelucrare ulterioară a datelor personale, prin informarea transparentă, corectă și completă a tuturor persoanelor vizate ale căror date personale sunt prelucrate de operator, inclusiv a persoanei vizate, în conformitate cu dispozițiile art. 12-14 din Regulamentul (UE) 2016/679;

c) de a asigura conformitatea cu GDPR a operațiunilor de colectare și prelucrare ulterioară a datelor personale, prin limitarea perioadei de stocare a datelor prin raportare la scopurile prelucrării datelor, conform obligațiilor prevăzute de Regulamentul (UE) 2016/679 și de Legea nr. 190/2018.

Direcția juridică și comunicare

A.N.S.P.D.C.P.