Buletin informativ GDPR – aprilie 2025

Dragi clienți și parteneri,

Luna aprilie a continuat seria intensă de sancțiuni aplicate de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. Cu 9 amenzi emise, inclusiv una de 25.000 euro, aprilie a pus din nou accent pe:

• neglijența în tratarea cererilor privind drepturile persoanelor vizate,
• lipsa de transparență în ștergerea efectivă a datelor,
• și mai ales, pe securitatea cibernetică deficitară a sistemelor informatice.

Noutăți relevante din domeniul GDPR – Aprilie 2025

• Firmele din domeniul IT, turism și comerț online au fost din nou în vizorul Autorității – confirmând nevoia de controale proactive și audit intern periodic.
• Cele mai mari sancțiuni ale lunii au fost cauzate de atacuri cibernetice și de răspunsuri tardive sau incomplete la cererile persoanelor vizate.
• Se accentuează ideea de efectivitate a măsurilor implementate, nu doar existența lor formală.

Amenzile aplicate în luna aprilie 2025 (în ordine cronologică):

• BINBOX GLOBAL SERVICES S.R.L. (3.000 EUR). În urma unui atac cibernetic, infrastructura companiei a fost criptată, iar datele clienților au fost accesate ilegal. Lipsa de măsuri tehnice adecvate a dus la sancțiune și măsuri corective pentru consolidarea securității.
• Banca Transilvania S.A. (5.000 EUR) a folosit datele unui fost client pentru emiterea unei polițe de asigurare fără acordul acestuia, deși creditul era achitat integral. S-a constatat o prelucrare fără temei legal și o practică extinsă și asupra altor clienți.
• Tensa Art Design S.A. (15.000 EUR) a fost sancționată pentru prelucrarea datelor în scop de marketing fără consimțământ și pentru nerespectarea cererilor de acces și ștergere. Cererile clientului au fost ignorate sau incomplete, iar consimțământul pentru trimiterea SMS-urilor nu a putut fi dovedit.
• NEW GAMBLING SOLUTIONS S.R.L. (2.000 EUR). După un incident de securitate care a afectat datele angajaților (inclusiv CNP, CI și date profesionale), operatorul a fost amendat pentru lipsa testării și a măsurilor de protecție.
• Office Nova Concept SRL (1.000 EUR) a instalat camere video orientate spre intrarea unei locuințe, fără acordul proprietarului. Nu a răspuns cererilor de ștergere și opoziție, încălcând drepturile persoanei vizate.
• United Business Solutions SRL (2.000 EUR) a transmis datele unui client cazat la hotel către o terță persoană, fără acord. Lipsa de instruire și control intern au dus la divulgarea datelor și sancțiune.
• Dante International SA (10.000 EUR). Un client a solicitat ștergerea adreselor sale de e-mail, iar compania a confirmat că le-a șters. Însă a continuat să le folosească pentru trimiterea de mesaje. Ștergerea nu a fost efectivă, iar comunicarea a fost lipsită de transparență.
• SC Travel Planner SRL (6.000 EUR) a publicat pe Facebook un tabel cu date personale ale turiștilor în cadrul unei tombole: nume, rezervări, locație și perioadă. Nu a notificat breșa și nu a răspuns solicitărilor de acces, fiind sancționată și avertizată.
• Xiting ROM SRL (1.000 EUR) nu a răspuns în termen legal la o cerere de acces, iar răspunsul oferit a fost incomplet. A fost sancționată pentru nerespectarea articolelor 12 și 15 din GDPR.

Concluzii și recomandări – lecțiile-cheie din luna aprilie:

• Cererile privind drepturile persoanelor vizate (acces, ștergere, opoziție) trebuie gestionate la timp, complet și clar.
• Ștergerea promisă nu este suficientă dacă nu este efectivă și verificabilă.
• Securitatea IT trebuie nu doar declarată, ci testată constant și adaptată riscurilor reale.
• Campaniile promoționale (ex: tombole) trebuie realizate cu atenție sporită la prelucrarea datelor personale.

Recomandările noastre:

• Să revizuiți procedurile privind drepturile persoanelor vizate.
• Să documentați răspunsurile oferite clienților.
• Să evaluați periodic securitatea sistemelor informatice.
• Să informați corect și vizibil persoanele vizate în toate punctele de contact.

Pe final, un gând important:

GDPR nu este doar o obligație legală, este baza încrederii pe care o construiți cu clienții, angajații și partenerii voștri.

Vă mulțumim pentru încrederea acordată și vă mulțumim pentru că rămâneți informați și angajați în protejarea datelor personale!

Pentru orice nelămuriri referitoare la protecția datelor cu caracter personal, în calitate de Responsabil cu Protecția Datelor ori de consultant, vă stăm la dispoziție la adresa: contact[at]gdprcomplet.ro sau prin persoana de legătură la adresa: privacy_cb[at]cursuribursa.ro

Echipa GDPR Complet

Citește și: GDPR – Secretariat fără incidente