Autoritatea Națională de Supraveghere a finalizat în luna august 2021 o investigație la operatorul Actamedica SRL și a constatat încălcarea prevederilor art. 12 alin. (3), art. 15 alin. (1), art. 28 alin. (1), art. 32 și art. 33 din Regulamentul General privind Protecția Datelor.

Ca atare, operatorul Actamedica SRL a fost sancționat contravențional:

cu amendă în cuantum de 9836,6 lei (echivalentul a 2.000 EURO), pentru încălcarea art. 28 alin. (1) și art. 32 din Regulamentul General privind Protecția Datelor;
cu amendă în cuantum de 4918,3 lei (echivalentul a 1.000 EURO) pentru încălcarea art. 33 din Regulamentul General privind Protecția Datelor;
cu avertisment, pentru încălcarea dispozițiilor art. 12 alin. (3) și art. 15 alin. (1) din Regulamentul General privind Protecția Datelor.

Investigația a fost demarată ca urmare a primirii unei plângeri prin care s-a reclamat faptul că Actamedica SRL din Târgu-Mureș a transmis o informare unei persoane fizice în legătură cu pierderea probelor sale biologice și a unei sume de bani trimise prin intermediul unei firme de curierat, coletul ajungând deteriorat la destinatar. La solicitarea de a i se comunica ce date personale i-au fost expuse cu această ocazie și dacă ANSPDCP a fost notificată în legătură cu acest incident, în răspunsul trimis operatorul a indicat persoanei fizice datele de contact ale avocatului societății și o adresă de e-mail de la firma de curierat către care să își exprime ”doleanțele”.

În cursul investigației demarate Autoritatea de Națională de Supraveghere a constatat că Actamedica SRL nu a adoptat suficiente măsuri de securitate, conform art. 28 alin. (1) și 32 din RGPD, adaptate la caracterul datelor personale care au fost supuse prelucrării, fapt care a condus la producerea unui incident de securitate. În acest context, s-a constatat că nu au fost respectate prevederile art. 28 alin. (1) și art. 32 din Regulamentul General privind Protecția Datelor.

De asemenea, Autoritatea de Națională de Supraveghere a constatat că operatorul nu a notificat la Autoritatea Națională de Supraveghere incidentul de securitate sus menționat, încălcând astfel prevederile art. 33 din Regulamentul General privind Protecția Datelor.

Cu aceeași ocazie, Autoritatea de Națională de Supraveghere a reținut că Actamedica SRL nu a prezentat dovezi din care să rezulte că a comunicat un răspuns pe adresa poștală a persoanei fizice vizate cu privire la categoriile de date personale ce i-au fost expuse cu ocazia incidentului respectiv, raportat la cererea expresă transmisă. Prin urmare, s-a constatat că nu au fost respectate prevederile art. 12 alin. (3) și 15 alin. (1) din Regulamentul General privind Protecția Datelor.

De asemenea, operatorului i-au fost aplicate și următoarele măsuri corective:

măsura corectivă de a asigura conformitatea cu Regulamentul General privind Protecția Datelor a operațiunilor de prelucrare a datelor personale, prin punerea în aplicare a unor măsuri de securitate tehnice și organizatorice adecvate specificului prelucrării și riscurilor identificate, pe întreg ciclul de prelucrare a datelor, inclusiv sub aspectul alegerii unor persoane împuternicite care să prezinte garanții suficiente pentru punerea în aplicare a unor măsuri tehnice şi organizatorice adecvate, astfel încât prelucrarea să respecte cerinţele prevăzute în regulament şi să asigure protecţia drepturilor persoanelor vizate;
măsura corectivă de a răspunde la cererea persoanei vizate, privind categoriile de date personale vizate de producerea incidentului de securitate, urmând a-i comunica răspunsul la adresa poștală indicată în cerere.

Direcția juridică și comunicare

A.N.S.P.D.C.P.