Ca urmare a verificărilor, Autoritatea a constatat încălcarea dispozițiilor art. 32 alin. (1) lit. b) și d), alin. (2) și alin. (4) din Regulamentul (UE) 2016/679 (RGPD), ceea ce a condus la aplicarea unei amenzi contravenționale în cuantum de 9.954 lei (echivalentul a 2.000 Euro).
Investigația a fost inițiată după ce o persoană fizică a depus o plângere prin care a reclamat că operatorul, în contextul prestării de servicii de cazare, a transmis, fără consimțământul său, către o terță persoană, un document fiscal ce conținea datele sale cu caracter personal.
În urma cercetărilor, s-a confirmat că operatorul a comunicat prin e-mail aceste date unei persoane neautorizate. Informațiile divulgate au fost de natură sensibilă, incluzând: nume și prenume, seria și numărul actului de identitate, precum și detalii referitoare la cazarea petentului. Aceste elemente, în ansamblul lor, permit identificarea directă a persoanei vizate și pot conduce la riscuri semnificative, precum fraudă, uz de identitate sau utilizarea abuzivă a datelor în alte scopuri.
Autoritatea a reținut, de asemenea, faptul că operatorul nu a instituit mecanisme clare și eficiente pentru a garanta confidențialitatea și integritatea datelor prelucrate. Lipsa unor politici interne actualizate, a unor protocoale de verificare a destinatarilor și a unor măsuri tehnice de securitate (de exemplu, criptarea documentelor sau utilizarea unor canale securizate de transmitere a informațiilor) a favorizat apariția incidentului.
Mai mult, s-a constatat că operatorul nu a implementat proceduri care să asigure că orice persoană fizică ce acționează sub autoritatea sa (angajat sau colaborator) prelucrează datele strict în baza instrucțiunilor primite. Această lipsă de control intern reprezintă un factor de vulnerabilitate și indică o insuficientă pregătire a personalului în ceea ce privește respectarea cerințelor RGPD.
În temeiul art. 58 alin. (2) lit. b) din Regulament, Autoritatea a dispus aplicarea unei măsuri corective esențiale: operatorul este obligat să își elaboreze sau să își revizuiască procedurile interne și să organizeze programe de instruire periodică pentru toți angajații și colaboratorii care gestionează date cu caracter personal. Aceste sesiuni de instruire trebuie să includă exemple concrete de bune practici, modalități de prevenire a dezvăluirii neautorizate, precum și explicații clare privind responsabilitățile legale individuale și instituționale.
Totodată, operatorul are obligația de a institui mecanisme de control și audit intern, prin care să verifice respectarea regulilor stabilite și să poată demonstra, în fața autorității de supraveghere, capacitatea de conformitate continuă cu RGPD.
Prin această sancțiune, Autoritatea atrage atenția că securitatea și confidențialitatea datelor personale nu reprezintă doar obligații legale, ci și elemente-cheie pentru menținerea încrederii clienților și a reputației pe piață. Orice operator care prelucrează date personale are responsabilitatea de a evalua riscurile asociate activității sale, de a implementa măsuri tehnice și organizatorice corespunzătoare și de a asigura instruirea adecvată a personalului implicat.
În concluzie, acest caz subliniază faptul că neglijența sau lipsa unor măsuri adecvate de protecție a datelor poate conduce nu doar la sancțiuni financiare, ci și la pierderea încrederii clienților și la afectarea relațiilor comerciale.
