Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a finalizat, în aprilie 2025, o investigație la operatorul Dante International SA și a constatat încălcarea mai multor dispoziții din Regulamentul (UE) 2016/679 (RGPD).
Ca urmare, compania a fost sancționată cu o amendă de 49.770 lei (echivalentul a 10.000 euro) și obligată să implementeze măsuri corective menite să asigure respectarea drepturilor persoanelor vizate.
Detaliile investigației
Cazul a pornit de la o plângere depusă de un client, care a reclamat faptul că datele sale cu caracter personal – în special adresele de e-mail asociate contului său de client – au fost prelucrate fără consimțământ și contrar solicitărilor exprese de ștergere.
În urma verificărilor, ANSPDCP a stabilit că operatorul:
- a confirmat petentului, prin mai multe răspunsuri, că adresele de e-mail au fost șterse,
- însă, în realitate, petentul a continuat să primească mesaje de tip evaluativ/feedback pe aceleași adrese,
- mai mult, anumiți colaboratori ai operatorului aveau în continuare acces la aceste date personale.
Situația a demonstrat lipsa unor proceduri eficiente de ștergere și gestionare a datelor și a evidențiat deficiențe grave în ceea ce privește transparența și comunicarea cu persoana vizată.
Încălcările constatate
ANSPDCP a reținut că Dante International SA a încălcat:
- art. 12 alin. (1) din RGPD, privind obligația de a oferi informații clare, transparente și inteligibile persoanelor vizate,
- art. 17 din RGPD, referitor la dreptul la ștergerea datelor („dreptul de a fi uitat”),
- art. 19 din RGPD, care obligă operatorii să notifice destinatarii atunci când datele au fost rectificate sau șterse.
Prin urmare, autoritatea a aplicat o amendă de 49.770 lei (aproximativ 10.000 euro).
Probleme identificate
Investigația a evidențiat mai multe aspecte critice în activitatea operatorului:
- Gestionarea defectuoasă a cererilor de ștergere – solicitările repetate ale petentului nu au fost soluționate conform cerințelor legale.
- Lipsa transparenței – răspunsurile oferite nu conțineau informații clare și inteligibile privind utilizarea continuă a adreselor de e-mail.
- Accesul colaboratorilor la date – anumite persoane externe aveau posibilitatea să vizualizeze și să utilizeze adresele de e-mail, ceea ce a condus la o expunere neautorizată a datelor personale.
- Comunicări contradictorii – deși compania a confirmat ștergerea datelor, acestea au rămas active și utilizate în cadrul platformei.
Măsuri corective dispuse
Pe lângă amenda aplicată, ANSPDCP a obligat Dante International SA să implementeze măsuri corective menite să remedieze deficiențele constatate:
- Transmiterea unui răspuns scris și conform la cererile petentului, respectând cerințele de transparență, claritate și inteligibilitate prevăzute de art. 12 din RGPD.
- Asigurarea conformității operațiunilor de prelucrare prin adoptarea unor măsuri tehnice și organizatorice adecvate, inclusiv instruirea personalului pentru gestionarea corectă și rapidă a solicitărilor privind exercitarea drepturilor persoanelor vizate.
- Implementarea imediată a operațiunilor de ștergere și rectificare – atunci când cererile de ștergere sunt admise, acestea trebuie puse în aplicare fără întârzieri nejustificate și comunicate către destinatarii relevanți, în conformitate cu art. 16, 17 și 19 din RGPD.
- Respectarea principiilor RGPD, în special cel prevăzut de art. 5 alin. (1) lit. d), care impune ca datele să fie corecte și, atunci când este necesar, actualizate.
Lecții pentru operatori
Acest caz arată încă o dată importanța respectării stricte a obligațiilor prevăzute de RGPD.
Printre învățămintele cheie se numără:
- Răspunsuri clare și transparente: operatorii trebuie să ofere explicații inteligibile și documentate, evitând răspunsurile ambigue sau contradictorii.
- Proceduri eficiente de ștergere a datelor: atunci când o cerere este admisă, datele trebuie șterse imediat, fără excepții și fără întârzieri.
- Control strict al accesului: colaboratorii sau partenerii externi nu trebuie să aibă acces neautorizat la datele personale ale clienților.
- Responsabilizarea angajaților: instruirea periodică a personalului este esențială pentru respectarea termenelor și condițiilor impuse de RGPD.
Amenda aplicată Dante International SA – în cuantum de 10.000 euro – transmite un semnal ferm către mediul de afaceri: nerespectarea dreptului la ștergerea datelor și lipsa transparenței în comunicare nu sunt tolerate.
Companiile care gestionează volume mari de date personale, în special în mediul online, trebuie să acorde o atenție sporită proceselor interne de gestionare a solicitărilor clienților și să se asigure că aceste procese sunt aplicate consecvent.
Un DPO calificat sau un consultant extern specializat în protecția datelor poate reprezenta o resursă esențială pentru prevenirea unor astfel de situații, asigurând că operatorii rămân conformi cu RGPD și protejează drepturile fundamentale ale persoanelor vizate.
