Autoritatea Națională de Supraveghere a finalizat în luna noiembrie a anului curent o investigație la operatorul SUDREZIDENȚIAL Broker S.R.L. în cadrul căreia a constatat încălcarea prevederilor art. 32 alin. (4) și art. 34 din Regulamentul General privind Protecția Datelor (RGPD), precum și încălcarea art. 4 alin. (5) din Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice.

Ca atare, societatea SUDREZIDENȚIAL Broker S.R.L. a fost sancționată contravențional astfel:

amendă în cuantum de 49.418 lei, echivalentul a 10.000 EURO, pentru încălcarea dispozițiilor art. 32 alin. (4) din RGPD;

avertisment pentru încălcarea dispozițiilor art. 34 din RGPD;

avertisment pentru încălcarea dispozițiilor art. 4 alin. (5) din Legea nr. 506/2004

În cadrul investigației efectuate, s-a constatat faptul că operatorul SUDREZIDENȚIAL Broker S.R.L. nu a luat măsuri adecvate pentru a asigura faptul că orice persoană fizică care acţionează sub autoritatea sa şi care are acces la date cu caracter personal nu le prelucrează decât la cererea sa, ceea ce a condus la întocmirea unei evidențe în format Excel care conținea datele cu caracter personal (nume, prenume, cod numeric personal, număr telefon, serie și număr carte de identitate, adresă de e-mail, date bancare, achiziții de imobile, stare civilă, sumă solicitată, bancă, observații) ale clienților operatorului și ale altor persoane fizice (parteneri de viață ai clienților).

Această situație a condus la divulgarea neautorizată către publicul larg a datelor personale a cel puțin 509 persoane vizate, clienți ai operatorului, prin publicarea acestora de către administratorul societății pe o anumită pagină de internet.

De asemenea, s-a constatat că operatorul nu a informat persoanele vizate cu privire la această încălcare a securității datelor cu caracter personal, încălcându-se astfel prevederile art. 34 din RGPD.

Totodată, s-a constatat că societatea Sudrezidențial Broker S.R.L. a stocat informații (module cookies care nu erau necesare din punct de vedere tehnic în funcționarea site-ului operatorului) fără obținerea acordului utilizatorilor, persoane fizice, și fără a furniza acestora informații clare și complete potrivit art. 12 - 14 din RGPD, încălcându-se prevederile art. 4 alin. (5) din Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, modificată și completată.

În acest context, precizăm că art. 4 alin. (5) din Legea nr. 506/2004 prevede următoarele:

„Stocarea de informaţii sau obţinerea accesului la informaţia stocată în echipamentul terminal al unui abonat ori utilizator este permisă numai cu îndeplinirea în mod cumulativ a următoarelor condiţii:

a)abonatul sau utilizatorul în cauză şi-a exprimat acordul;

b)abonatului sau utilizatorului în cauză i s-au furnizat, anterior exprimării acordului, în conformitate cu prevederile art. 12 din Legea nr. 677/2001, cu modificările şi completările ulterioare, informaţii clare şi complete care:

(i)să fie expuse într-un limbaj uşor de înţeles şi să fie uşor accesibile abonatului sau utilizatorului;

(ii)să includă menţiuni cu privire la scopul procesării informaţiilor stocate de abonat sau utilizator ori informaţiilor la care acesta are acces. (…)”

Direcția juridică și comunicare

A.N.S.P.D.C.P.