Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a aplicat sancțiuni contravenționale companiei SC Travel Planner SRL, în urma unei investigații finalizate în aprilie 2025.
Operatorul a fost sancționat cu amenzi în valoare totală de 29.863 lei (aproximativ 6.000 euro) și cu un avertisment, pentru mai multe încălcări ale Regulamentului (UE) 2016/679 (RGPD).
Detaliile sancțiunilor aplicate
În urma investigației, ANSPDCP a stabilit următoarele:
- Amendă de 24.886 lei (aproximativ 5.000 euro) pentru încălcarea art. 32 din RGPD, referitor la obligația de a asigura măsuri tehnice și organizatorice adecvate pentru protecția datelor.
- Amendă de 4.977 lei (aproximativ 1.000 euro) pentru încălcarea art. 33 din RGPD, privind obligația de notificare a încălcării securității datelor.
- Avertisment pentru încălcarea art. 15, raportat la art. 12 alin. (3) și (4), referitor la nerespectarea dreptului de acces al persoanelor vizate.
Cum a fost descoperită încălcarea
Investigația a fost demarată în urma unor plângeri depuse de persoane vizate, care au semnalat o posibilă prelucrare nelegală a datelor lor personale.
În urma verificărilor, autoritatea a constatat că operatorul a organizat o tombolă pentru clienți și a publicat pe pagina de Facebook un tabel cu date personale ale turiștilor, precum:
- numele și prenumele,
- numerele de identificare ale rezervărilor,
- hotelul sau locația rezervată,
- perioada sejurului.
Această acțiune a condus la dezvăluirea neautorizată a datelor și a demonstrat lipsa unor măsuri tehnice și organizatorice adecvate, fiind încălcate dispozițiile art. 32 din RGPD. Pentru această faptă, operatorul a fost sancționat cu amendă de 5.000 euro.
Lipsa notificării incidentului
De asemenea, ANSPDCP a constatat că Travel Planner SRL nu a notificat autoritatea cu privire la această încălcare a securității datelor, încălcând obligația prevăzută la art. 33 din RGPD.
Notificarea este obligatorie și trebuie transmisă în maximum 72 de ore de la momentul constatării incidentului.
Pentru această abatere, operatorul a fost amendat cu 1.000 euro.
Încălcarea dreptului de acces
În plus, investigația a arătat că operatorul nu a furnizat dovezi privind comunicarea unui răspuns complet la cererile depuse de persoanele vizate care solicitau acces la datele lor.
Astfel, au fost încălcate dispozițiile art. 15 raportat la art. 12 alin. (3) și (4) din RGPD, iar sancțiunea aplicată a fost un avertisment.
Măsuri corective dispuse
Pe lângă sancțiunile financiare și avertisment, ANSPDCP a impus companiei Travel Planner SRL să implementeze o serie de măsuri corective:
- Consolidarea securității datelor prin implementarea unor măsuri tehnice și organizatorice adecvate pe întreg ciclul de prelucrare a datelor, inclusiv instruirea personalului și verificări periodice de conformitate.
- Adoptarea unor proceduri interne de gestionare a incidentelor, care să permită detectarea rapidă, raportarea și documentarea oricărei încălcări de securitate, indiferent dacă notificarea către autoritate este obligatorie sau nu.
- Comunicarea unui răspuns complet către petenți, pentru exercitarea dreptului de acces, conform prevederilor RGPD.
Lecții pentru operatori
Cazul Travel Planner SRL evidențiază mai multe aspecte critice pe care orice companie trebuie să le aibă în vedere atunci când procesează date personale:
- Transparența față de clienți: publicarea neautorizată a datelor, chiar și cu intenții comerciale sau de promovare, reprezintă o încălcare gravă.
- Gestionarea incidentelor: orice breșă trebuie analizată rapid și notificată autorității atunci când există riscuri pentru drepturile și libertățile persoanelor vizate.
- Respectarea drepturilor persoanelor vizate: cererile de acces trebuie soluționate complet și în termen, altfel operatorul riscă sancțiuni suplimentare.
Amenzile aplicate SC Travel Planner SRL confirmă faptul că ANSPDCP tratează cu maximă seriozitate încălcările RGPD, indiferent dacă provin din neglijență sau lipsa unor proceduri clare de conformitate.
Publicarea datelor personale fără consimțământ, neglijarea obligațiilor de notificare și lipsa răspunsurilor către persoanele vizate pot atrage nu doar sancțiuni financiare, ci și pierderea încrederii clienților.
Pentru a evita astfel de situații, companiile trebuie să adopte o cultură organizațională centrată pe protecția datelor, să își instruiască angajații și, ideal, să colaboreze cu un Responsabil cu Protecția Datelor (DPO) sau un consultant extern, care să asigure monitorizarea permanentă a conformității și prevenirea incidentelor.
