Din informarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), sancțiunea aplicată operatorului Romoffice Construct Holding Ag SRL de către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) scoate în evidență o încălcare a principiilor fundamentale ale GDPR.
Ce s-a întâmplat?
- Punctul de plecare: O plângere depusă de o persoană fizică, care a reclamat faptul că datele sale personale (numărul de telefon) au fost prelucrate fără consimțământul său.
- Contextul prelucrării: Operatorul a obținut numărul de telefon al persoanei în urma unei înscrieri online la un program public de finanțare. Ulterior, a folosit acest număr pentru a contacta persoana cu privire la o campanie promoțională proprie, fără legătură cu scopul inițial al colectării datelor.
- Problema principală: Romoffice Construct Holding Ag SRL nu a putut prezenta dovezi care să justifice prelucrarea datelor în acest scop secundar (campania promoțională).
- Temeiul sancțiunii: Încălcarea Art. 5 alin. (1) lit. a) și alin. (2) raportat la Art. 6 alin. (1) din GDPR. Aceste articole se referă la principiile esențiale ale prelucrării datelor:
- Art. 5 alin. (1) lit. a): Datele trebuie prelucrate în mod legal, echitabil și transparent. Folosirea datelor pentru un scop diferit de cel inițial, fără un temei legal valid (cum ar fi consimțământul), încalcă aceste principii.
- Art. 6 alin. (1): Pentru a prelucra datele, operatorul trebuie să se bazeze pe unul dintre cele șase temeiuri juridice prevăzute de GDPR (de exemplu, consimțământul, un contract, o obligație legală). În acest caz, operatorul nu a avut niciunul.
Păreri și Concluzii despre Sancțiune:
- „Legalitate, echitate și transparență” – Principii de Bază: Această sancțiune servește ca o reamintire importantă a faptului că GDPR nu se rezumă doar la securitate, ci la modul corect și etic de a interacționa cu datele personale. A folosi datele unui individ într-un scop diferit de cel pentru care au fost colectate este o încălcare directă a principiului transparenței și legalității.
- Importanța Temeiului Juridic: Orice prelucrare de date trebuie să aibă un temei legal clar. Simpla deținere a unei adrese de e-mail sau a unui număr de telefon nu conferă dreptul de a le utiliza în orice scop, mai ales pentru marketing direct sau campanii promoționale, fără un consimțământ specific sau un alt temei legitim.
- Proba Conformității (Accountability): Sancțiunea a fost aplicată și pentru că operatorul „nu a prezentat dovezi din care să rezulte că a prelucrat în mod legal datele”. Conform Art. 5 alin. (2) din GDPR (principiul responsabilității), este obligația operatorului de a putea demonstra în orice moment că respectă regulamentul. În acest caz, lipsa dovezilor a fost la fel de gravă ca și prelucrarea ilegală în sine.
- Relevanța pentru Marketing: Acest caz este un avertisment clar pentru toate departamentele de marketing. Transferul datelor între departamente sau folosirea datelor colectate pentru un scop anume (înscriere la un eveniment, participare la un program) pentru a promova un alt serviciu sau produs, fără un temei legal, este riscant și poate atrage sancțiuni.
- Costul unei Acțiuni Mici: O amendă de 2.000 de euro pentru prelucrarea ilegală a unui simplu număr de telefon demonstrează că nu este necesară o breșă masivă de securitate pentru a fi sancționat. O singură plângere a unei persoane fizice poate fi suficientă pentru a declanșa o investigație și a duce la o amendă. Costul acestei sancțiuni este, cel mai probabil, mult mai mare decât orice beneficiu obținut dintr-o singură acțiune promoțională neautorizată.
În concluzie, sancțiunea aplicată Romoffice Construct Holding Ag SRL subliniază importanța fundamentală a respectării principiilor de bază ale GDPR. Orice operator trebuie să aibă întotdeauna un temei legal solid pentru fiecare acțiune de prelucrare a datelor și să poată demonstra acest lucru în fața autorității. Ignorarea acestor principii nu este doar o eroare minoră, ci o încălcare sancționabilă a legii.
