Fan Courier si Cetelem, amendate de ANSPDCP

Fan Courier si Cetelem au fost amendate de ANSPDCP in baza GDPR.

FAN COURIER
"In data de 28.10.2019 Autoritatea Nationala de Supraveghere a finalizat o investigatie la operatorul FAN COURIER EXPRESS SRL si a constatat ca acesta a incalcat prevederile art. 32 alin. (1) si alin. (2) din Regulamentul (UE) 2016/679 al Parlamentului European si al Consiliului din 27 aprilie 2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a Directivei 95/46/CE (GDPR)", arata Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal intr-un comunicat.

La art. 32 din GDPR regasim urmatoarele prevederi:
"Articolul 32
Securitatea prelucrarii
(1) Avand in vedere stadiul actual al dezvoltarii, costurile implementarii si natura, domeniul de aplicare, contextul si scopurile prelucrarii, precum si riscul cu diferite grade de probabilitate si gravitate pentru drepturile si libertatile persoanelor fizice, operatorul si persoana imputernicita de acesta implementeaza masuri tehnice si organizatorice adecvate in vederea asigurarii unui nivel de securitate corespunzator acestui risc, incluzand printre altele, dupa caz:
(a) pseudonimizarea si criptarea datelor cu caracter personal;
(b) capacitatea de a asigura confidentialitatea, integritatea, disponibilitatea si rezistenta continue ale sistemelor si serviciilor de prelucrare;
(c) capacitatea de a restabili disponibilitatea datelor cu caracter personal si accesul la acestea in timp util in cazul in care are loc un incident de natura fizica sau tehnica;
(d) un proces pentru testarea, evaluarea si aprecierea periodice ale eficacitatii masurilor tehnice si organizatorice pentru a garanta securitatea prelucrarii.
(2) La evaluarea nivelului adecvat de securitate, se tine seama in special de riscurile prezentate de prelucrare, generate in special, in mod accidental sau ilegal, de distrugerea, pierderea, modificarea, divulgarea neautorizata sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate intr-un alt mod".
Operatorul FAN COURIER EXPRESS SRL a fost sanctionat contraventional cu amenda in cuantum de 52.325,9 lei, echivalentul a 11000 euro.

Conform ANSPDCP, securitatea prelucrarii datelor personale a fost compromisa cand aproximativ 1100 de persoane au fost afectate de incidente. Neluarea de masuri specifice a condus la pierderea datelor cu caracter personal (nume, prenume, numar card, cod siguranta card (cvv), adresa titular card, cod numeric personal, serie si numar card identitate, numar cont IBAN, limita credit aprobat, adresa de corespondenta) si la divulgarea/accesarea neautorizata a datelor cu caracter personal.


CETELEM
"Autoritatea Nationala de Supraveghere a finalizat o investigatie la operatorul BNP Paribas Personal Finance SA Paris Sucursala Bucuresti (CETELEM IFN S.A.), constatand incalcarea dispozitiilor art. 12 alin. (3) din Regulamentul General privind Protectia Datelor", precizeaza ANSPDCP intr-un alt comunicat.

La art. 12, alin. (3) din GDPR regasim urmatoarele prevederi:
"Articolul 12
Transparenta informatiilor, a comunicarilor si a modalitatilor de exercitare a drepturilor persoanei vizate
(...)
(3) Operatorul furnizeaza persoanei vizate informatii privind actiunile intreprinse in urma unei cereri in temeiul articolelor 15-22, fara intarzieri nejustificate si in orice caz in cel mult o luna de la primirea cererii. Aceasta perioada poate fi prelungita cu doua luni atunci cand este necesar, tinandu-se seama de complexitatea si numarul cererilor. Operatorul informeaza persoana vizata cu privire la orice astfel de prelungire, in termen de o luna de la primirea cererii, prezentand si motivele intarzierii. In cazul in care persoana vizata introduce o cerere in format electronic, informatiile sunt furnizate in format electronic acolo unde este posibil, cu exceptia cazului in care persoana vizata solicita un alt format".

"Investigatia s-a demarat ca urmare a unor plangeri prin care se reclama faptul ca operatorul nu a raspuns petentului in termenul prevazut de art. 12 alin. (3) din Regulamentul General privind Protectia Datelor, desi acesta solicitase stergerea anumitor date personale raportate in sistemul de evidenta al Biroului de Credit", mai arata ANSPDCP.

In conformitate cu art. 12 alin. (3) din Regulamentul General privind Protectia Datelor (GDPR), operatorul are obligatia de a raspunde cererilor persoanelor vizate fara intarzieri nejustificate si cel tarziu in termen de o luna de la primirea cererii.

Operatorul BNP Paribas Personal Finance SA a fost sanctionat contraventional cu amenda in cuantum de 9508 lei, echivalentul sumei de 2000 euro. In plus, a fost instituita si o masura corectiva.


Sursa: e-juridic.manager.ro