Sancțiunile pentru nerespectarea GDPR. La ce trebuie să fim atenți?

În România, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) are în vedere modalitatea în care persoanele respectă prevederile Regulamentului privind protecția datelor cu caracter personal. În caz contrar, Autoritatea Națională de Supraveghere este îndreptățită să aplice sancțiunile necesare.

Sancțiuni aplicabile versus atenție sporită la respectarea GDPR

În conformitate cu Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), există sancțiuni aplicabile persoanelor pentru nerespectarea prevederilor privind protecția datelor cu caracter personal. Conform prevederilor art. 12 din Legea nr. 190/2018, încălcarea anumitor dispozițiilor art. 83, alin. (4)-(6) din Regulamentul general privind protecția datelor cu caracter personal constituie contravenție.

            Conform art. 12 din Legea nr. 190/2018, sancțiunile contravenționale principale aplicabile sunt:

• avertismentul
• amenda contravențională.

Constatarea contravențiilor se va realiza de către Autoritatea Națională de Supraveghere, respectând dispozițiile Legii nr. 102/2005 privind înființarea, organizarea și funcționarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal

În privința sancțiunilor aplicabile, Autoritatea Națională de Supraveghere, în urma efectuării investigațiilor necesare la un operator din România, a constatat încălcarea prevederilor art. 13, alin. (1), lit. q) din Legea nr. 506/2004, coroborând acest aspect cu restul prevederilor legale. Sancțiunea aplicată a fost amenda în valoare de 10.000 lei. În evaluarea acestei sume, cadrul legislativ este clar, prevăzând care sunt sumele în care sancțiunea aplicată se va încadra.

Aplicarea unei atare sancțiuni a avut la bază transmiterea de mesaje promoționale, mesaje cu privire la concursuri, deși petentul a adus la cunoștința operatorului că nu dorește să mai primească aceste mesaje și informații.

Deși petentul a primit confirmarea dezabonării de la mesajele și informațiile comerciale, ulterior a primit alte mesaje pe care nu le solicitase, de la același operator. Pe lângă sancțiunea aplicată de Autoritatea de Supraveghere, operatorului în cauză i s-a pus în vedere respectarea doleanțelor petentului.

În coformitate cu dispozițiile legale, este interzisă efectuarea de comunicări comerciale prin utilizarea unor sisteme automate de apelare şi comunicare care nu necesită intervenţia unui operator uman, prin fax ori prin poştă electronică sau prin orice altă metodă care foloseşte serviciile de comunicaţii electronice destinate publicului, cu excepţia cazului în care abonatul sau utilizatorul vizat şi-a exprimat în prealabil consimțământul. 

Te-ar putea interesa și:

• Investigații GDPR. 10 Lucruri pe care trebuie să le știi despre controalele GDPR.
• Ce este GDPR? Regulament GDPR explicat în 5 minute.
• Cum se calculează amenzile pentru încălcarea GDPR?

În viziunea Regulamentului privind protecția datelor cu caracter personal, consimțământul persoanei este unul esențial pentru transmiterea de date și informații. Conform pct. (32) din Regulament consimțământul trebuie să respecte anumite cerințe; el ar trebui acordat printr-o acțiune neechivocă care să constituie o manifestare liber exprimată, specifică, în cunoștință de cauză și clară a acordului persoanei vizate pentru prelucrarea datelor sale cu caracter personal, ca de exemplu o declarație făcută în scris, inclusiv în format electronic, sau verbal (în acest sens, Regulamentul include bifarea unei căsuțe atunci când persoana vizitează un site, alegerea parametrilor tehnici pentru serviciile societății informaționale sau orice altă declarație sau acțiune care indică în mod clar în acest context acceptarea de către persoana vizată a prelucrării propuse a datelor sale cu caracter personal).

Per a contrario, absența unui răspuns, căsuțele bifate în prealabil sau absența unei acțiuni nu ar trebui să constituie un consimțământ. Consimțământul ar trebui să vizeze toate activitățile de prelucrare efectuate în același scop sau în aceleași scopuri. Dacă prelucrarea datelor se face în mai multe scopuri, consimțământul ar trebui dat pentru toate scopurile prelucrării. În cazul în care consimțământul persoanei vizate trebuie acordat în urma unei cereri transmise pe cale electronică, cererea respectivă trebuie să fie clară și concisă și să nu perturbe în mod inutil utilizarea serviciului pentru care se acordă consimțământul.