În urma verificărilor, s-a constatat că operatorul a prelucrat datele personale ale unui petent, respectiv numărul de telefon, în scop de marketing direct, trimițând mesaje comerciale de tip SMS fără a deține consimțământul expres al persoanei vizate.
Ca atare, operatorul a fost sancționat contravențional astfel:
- Amendă în cuantum de 49.774 lei, echivalentul a 10.000 EURO pentru încălcarea art. 6 alin. (1) lit. a) din GDPR;
- Amendă în cuantum de 24.887 lei, echivalentul a 5.000 EURO pentru încălcarea art. 12 alin. (1)-(4), prin raportare la art. 15 și 17 din GDPR.
Investigația a fost demarată ca urmare a faptului că un petent a sesizat Autoritatea națională de supraveghere referitor la faptul că operatorul Tensa Art Design S.A., deținător al site-ului www.lensa.ro
, a prelucrat numărul său de telefon în scop de marketing direct, fără consimțământul său, comunicându-i mesaje comerciale de tip SMS prin intermediul cărora petentul a fost informat cu privire la ofertele societății.
În cadrul investigației, s-a constatat că operatorul nu a făcut dovada existenței consimțământului petentului pentru prelucrarea datelor cu caracter personal în scop de marketing direct, încălcându-se astfel prevederile art. 6 alin. (1) lit. a) din GDPR.
De asemenea, s-a constatat că operatorul nu a gestionat corespunzător cererile prin care petentul și-a exercitat drepturile de acces și ștergere prevăzute de GDPR, răspunsul primit nefiind în concordanță cu prevederile art. 12 alin. (1)-(4), prin raportare la art. 15 și 17 din același act normativ.
Totodată, în temeiul art. 58 alin. (2) lit. c) și d) din GDPR, s-au dispus operatorului Tensa Art Design S.A. următoarele măsuri corective:
- Conformitatea operațiunilor cu GDPR: să se asigure că toate operațiunile de prelucrare a datelor personale sunt conforme cu GDPR, prin adoptarea măsurilor tehnice și organizatorice necesare, inclusiv instruirea corespunzătoare a personalului desemnat, astfel încât prelucrarea datelor personale în scop de marketing direct, prin servicii de comunicații electronice (telefon, SMS, e-mail), să se efectueze doar pe baza consimțământului expres valabil al persoanelor vizate.
- Răspuns la cererile petenților: să transmită un răspuns scris la cererile petentului în conformitate cu dispozițiile art. 15 și 17 din GDPR.
- Gestionarea cererilor persoanelor vizate: să implementeze măsurile necesare astfel încât operatorul să fie capabil să primească, să analizeze, să soluționeze și să răspundă corect la toate cererile persoanelor vizate, respectând termenele și condițiile prevăzute de art. 12-23 din GDPR.
Importanța unui ofițer DPO: pentru a asigura respectarea permanentă a GDPR și gestionarea corectă a datelor personale, este esențial ca operatorul să desemneze un Data Protection Officer (DPO). DPO-ul are rolul de a monitoriza conformitatea, a oferi consultanță privind obligațiile legale, a gestiona riscurile și a fi punctul de contact pentru autoritatea de supraveghere și persoanele vizate. Prezența unui DPO competent ajută la prevenirea încălcărilor și reduce riscul sancțiunilor financiare.
