Controlul ANSPDCP la firma Amato Bestseller SRL a fost declanșat după ce mai multe persoane au sesizat posibile încălcări ale Regulamentului UE 2016/679 (GDPR) și ale Legii nr. 506/2004.
În urma verificărilor, ANSPDCP a aplicat 4 amenzi în valoare totală de 285.395 de lei (echivalentul a 54.361 EUR).
Firma nu a adoptat măsuri suficiente pentru a se asigura că angajații și persoanele care aveau acces la date cu caracter personal nu le prelucrează decât la cererea sa, arată ANSPDCP.
Totodată, firma nu și-a instruit proprii angajați și „nu le-a adus la cunoștință proceduri/politici de lucru pentru a prelucra datele cu caracter personal ale persoanelor vizate într-un mod care să asigure securitatea adecvată a acestora, protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare”, conform ANSPDCP.
Acest lucru a permis ca, pentru o perioadă de timp, angajați și foști angajați ai firmei să acceseze fără drept datele personale ale unui număr mare de persoane. Printre informațiile vizate s-au numărat numele, numerele de telefon, profesia, starea civilă, gradul de rudenie a unei persoane vizate cu o alta, orașul de domiciliu/reședința, date despre venituri și familie, precum și informații privind sănătatea.
Autoritatea a mai constatat că societatea nu a informat corect și complet persoanele despre modul în care le sunt prelucrate datele personale. De asemenea, compania a colectat mai multe date decât era necesar, inclusiv informații sensibile privind starea de sănătate, încălcând principiul reducerii la minimum a datelor prevăzut de GDPR.
În plus, firma a transmis apeluri și comunicări comerciale automate către un număr mare de persoane fără consimțământul expres al acestora, încălcând prevederile din Legea 506/2004.
Ca atare, operatorul a fost sancționat cu:
- amendă în cuantum de 78.465 lei, echivalentul sumei de 15.000 euro, pentru încălcarea dispozițiilor art. 32 alin. (4) din Regulamentul (UE) 2016/679;
- amendă în cuantum de 52.310 lei, echivalentul sumei de 10.000 euro, pentru încălcarea dispozițiilor art. 14 din Regulamentul (UE) 2016/679;
- amendă în cuantum de 104.620 lei, echivalentul sumei de 20.000 euro, pentru încălcarea prevederilor art. 5 alin. (1) lit. c) raportat la art. 9 din Regulamentul (UE) 2016/679;
- amenda în cuantum de 50.000 lei pentru încălcarea prevederilor art. 12 alin. (1) din Legea 506/2004.
Pe lângă amenzi, ANSPDCP a impus firmei și o serie de măsuri pentru remedierea neregulilor. Astfel, firma trebuie să își revizuiască procedurile privind prelucrarea datelor personale, să își instruiască angajații, să informeze corect persoanele despre modul în care le sunt folosite datele, să colecteze doar informațiile necesare și să obțină consimțământul expres înainte de a transmite comunicări comerciale.
