Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a sancționat Xiting ROM SRL cu o amendă în valoare de 4.977 lei (echivalentul a aproximativ 1.000 euro), pentru nerespectarea prevederilor Regulamentului (UE) 2016/679 (RGPD).
Sancțiunea a fost aplicată în aprilie 2025, în urma unei plângeri depuse de o persoană fizică, vizând nerespectarea dreptului de acces la datele sale cu caracter personal.
Detaliile încălcării
Investigația a arătat că operatorul nu a răspuns în termenul legal la cererea petentei privind accesul la datele sale personale. Concret, Xiting ROM SRL nu a furnizat:
- un răspuns scris corespunzător și complet,
- informații privind modul de prelucrare a datelor,
- o copie electronică a acestor date.
Astfel, au fost constatate încălcări ale dispozițiilor art. 12 alin. (3) – (4) coroborat cu art. 15 alin. (1) – (3) din Regulamentul (UE) 2016/679.
Sancțiunea aplicată
Pentru neregulile identificate, Xiting ROM SRL a fost amendată cu 4.977 lei (aproximativ 1.000 euro).
În plus, în temeiul art. 58 alin. (2) lit. b) din RGPD, autoritatea a dispus aplicarea unor măsuri corective.
Măsuri corective dispuse
Operatorul este obligat să:
- Transmită un răspuns complet și securizat către persoana vizată, care să includă toate documentele și înregistrările disponibile ce conțin datele sale personale, ori, după caz, justificarea legală a unui refuz.
- Asigure conformitatea cu RGPD a tuturor operațiunilor de prelucrare, prin adoptarea unor măsuri tehnice și organizatorice adecvate.
- Instruiască personalul desemnat, astfel încât acesta să poată analiza și soluționa corect cererile persoanelor vizate, respectând termenele și condițiile prevăzute de art. 12–23 din RGPD.
Importanța respectării dreptului de acces
Un răspuns incomplet sau întârziat poate afecta încrederea utilizatorilor și poate atrage sancțiuni financiare, dar și prejudicii de imagine pentru companie. Respectarea acestui drept nu este doar o obligație legală, ci și o dovadă de transparență și responsabilitate din partea operatorului.
Rolul crucial al unui DPO sau consultant extern
Acest caz scoate în evidență importanța existenței unui Responsabil cu Protecția Datelor (DPO) sau a unui consultant extern specializat. Un DPO are rolul de a asigura conformitatea permanentă cu RGPD și de a preveni situațiile de risc prin:
- Evaluarea cererilor persoanelor vizate și transmiterea în termen a unor răspunsuri clare și documentate;
- Implementarea procedurilor interne prin care fiecare solicitare este înregistrată, analizată și soluționată în timp util;
- Formarea și conștientizarea angajaților, pentru ca aceștia să recunoască și să gestioneze corect cererile de acces, rectificare sau ștergere a datelor;
- Monitorizarea conformității și realizarea de rapoarte periodice privind modul în care compania respectă drepturile persoanelor vizate.
Fără un astfel de suport, operatorii riscă să repete greșeli similare și să se confrunte cu sancțiuni repetate.
Amenda aplicată Xiting ROM SRL confirmă că nerespectarea termenelor și procedurilor prevăzute de RGPD nu este tratată cu indulgență de către ANSPDCP, chiar dacă prejudiciul aparent este redus.
Cazul atrage atenția asupra nevoii urgente ca toate companiile – indiferent de dimensiune sau domeniu de activitate – să își consolideze procedurile interne privind gestionarea solicitărilor persoanelor vizate.
Un cadru clar de conformitate, completat de instruirea personalului și, ideal, de sprijinul unui DPO calificat, poate face diferența dintre o companie vulnerabilă la sancțiuni și una care demonstrează responsabilitate și transparență în relația cu clienții și partenerii săi.
