Románia: GDPR bírság a Telekomnak és az Estee Laudernek
A román adatvédelmi hatóság (’Hatóság’) 2020. június 11-én két döntést hozott, melyben egyenként 3.000 EUR összegű GDPR szerinti bírság kiszabását találta jogosnak a GDPR-rel kapcsolatos mulasztások miatt.
Az első esetben a Hatóság egy 2020. április 10-én befejezett vizsgálat folyományaként az Estee Lauder Romania SRL-t 3.000 EUR bírság megfizetésére kötelezi a GDPR 6., 7., és 9. cikkének megsértéséért. A nyomozás egy panasz nyomán kezdődött, mely szerint az adatkezelő megfelelő jogalap és hozzájárulás hiányában kezelte az érintettek személyes adatait (teljes név, telefonszám, születési dátum, egészségügyi információk). A bírság mellett a Hatóság kötelezte a céget adatvédelmi folyamatainak felülvizsgálatára, illetve személyzetének folyamatos továbbképzésére.
Erre lehetőséget ad a Hatóságnak a GDPR 58. cikk (2) bekezdés d) pontja, mely alapján „a felügyeleti hatóság vizsgálati hatáskörében eljárva utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel.”.
Az ugyanaznap nyilvánosságra hozott döntés szerint egy 2020. április 23-án befejezett vizsgálat eredményeként a Hatóság szintén 3.000 EUR bírság megfizetésére kötelezi a Telekom Romania Communications SA-t a GDPR 32. cikkének megsértése miatt.
A vizsgálat szintén egy panasz alapján indult, miszerint az érintett adataival visszaélve kötöttek a Telekommal szerződéseket. A cég nem fektetett megfelelő hangsúlyt az érintett adatainak ellenőrzésére, és olyan adatokra támaszkodott, melyekhez előzetesen, vagy telefonos úton jutott hozzá. Ez ahhoz vezetett, hogy az érintett nevében, adatainak jogellenes felhasználásával kötöttek előfizetői szerződéseket. Az eljárás során az is bebizonyosodott, hogy a Telekom az érintett egy korábbi szerződésének adatait használta, anélkül, hogy megbizonyosodott volna azok naprakészségéről.
Ahogy a másik esetben, a GDPR 58. cikk (2) bekezdés d) pontja szerint: „A felügyeleti hatóság vizsgálati hatáskörében eljárva utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel.”.
A két esetben kiszabott, egyenként 3.000 EUR összegű bírság a két cég méretére tekintettel inkább tekinthető figyelmeztetésnek, mint szankciónak. A döntések azonban rámutatnak, hogy a román Hatóság aktívan be kívánja tartatni a GDPR rendelkezéseit.
