Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a amendat o firmă din România, în urma unei investigații care a scos la iveală mai multe încălcări ale Regulamentului GDPR - UE 2016/679.
ANSPDCP a sancționat firma ASAM SA, producător de componente industriale din oțel și aliaje speciale cu o istorie de 100 de ani, cu două amenzi în valoare totală de 5.000 EUR.
Investigația, finalizată în octombrie 2026, a pornit de la sesizarea unei persoane care a reclamat că firma nu i-a răspuns corespunzător la solicitarea prin care și-a exercitat dreptul de acces la datele personale, inclusiv la înregistrările video și la alte informații prelucrate în legătură cu activitatea sa profesională.
În urma verificărilor, ANSPDCP a constatat că firma nu a transmis un răspuns complet și nu a comunicat toate informațiile la care persoana avea dreptul, potrivit Regulamentului GDPR.
„De asemenea, s-a constatat că operatorul nu avea adoptate măsuri interne adecvate de facilitare a exercitării drepturilor persoanelor vizate, în sensul art. 12 alin. (1) și (2) din Regulament, în ceea ce privește prelucrările de date prin intermediul sistemului de supraveghere video”, precizează ANSPDCP.
Autoritatea pentru protecția datelor personale susține că firma ASAM SA a utilizat un sistem de supraveghere video cu un număr semnificativ de camere, instalate inclusiv în spații în care trebuie protejată viața privată a angajaților, precum vestiarele, intrările la toalete, sălile de servit masa și birourile.
„Operatorul ASAM SA, în baza unor contracte succesive de modernizare și extindere a sistemului de supraveghere video, a prelucrat datele personale ale angajaților și ale altor persoane vizate în scopul monitorizării activității la locul de muncă, fără a demonstra respectarea tuturor condițiilor prevăzute de art. 6 alin. (1) lit. f), de art.12-13 din Regulament, coroborate cu art. 5 din Legea nr. 190/2018. Astfel, sistemul de supraveghere utilizat de acesta include un număr semnificativ de camere, iar o parte dintre acestea au fost instalate în spații în care trebuie garantat dreptul la viață privată al angajaților (vestiare, intrare la toaletă, săli de servit masa, birouri)”, conform ANSPDCP.
De asemenea, Autoritatea a constatat că imaginile video erau păstrate pentru perioade mai mari de 30 de zile, considerate excesive în raport cu scopurile prelucrării.
O altă problemă identificată, conform ANSPDCP, a fost lipsa unei evaluări de impact asupra protecției datelor, care trebuia realizată înainte de începerea prelucrării prin sistemul de supraveghere video modernizat. „Prelucrarea implica monitorizarea sistematică, pe scară largă, a angajaților prin mijloace video, inclusiv prin utilizarea unor funcții inteligente ale camerelor”, precizează ANSPDCP.
Firma a fost sancționată cu:
- amendă în cuantum de 5.337 lei, echivalentul sumei de 1.000 Euro, pentru încălcarea dispozițiilor art. 15 coroborat cu art. 12 alin. (1), (2) și (4) din Regulamentul (UE) 2016/679;
- amendă în cuantum de 21.348 lei, echivalentul sumei de 4.000 Euro, pentru încălcarea dispozițiilor art. 5 alin. (1) lit. a), c), e) și alin. (2), art. 6 alin. (1) lit. f) și art. 12-13 din Regulamentul (UE) 2016/679;
- avertisment pentru încălcarea dispozițiilor art. 35 din Regulamentul (UE) 2016/679.
Pe lângă amenzi și avertisment, ANSPDCP a impus firmei mai multe măsuri corective:
- de a respecta dreptul de acces exercitat de persoana vizată, prin comunicarea unui răspuns complet la cererea sa, inclusiv a unei copii a datelor personale solicitate, în conformitate cu art. 12 și 15 din Regulament;
- de a asigura conformitatea cu Regulamentul (UE) 2016/679 a operațiunilor de prelucrare a datelor personale, prin adoptarea și implementarea corespunzătoare a unei proceduri privind modul de soluționare a cererilor depuse de persoanele vizate în temeiul Regulamentului (UE) 2016/679 (art. 12-22), respectarea în toate cazurile a dispozițiilor aplicabile privind analizarea și soluționarea fără întârziere a acestor cereri și comunicarea unor răspunsuri către persoanele vizate în cadrul termenelor legale, precum și instruirea regulată a personalului operatorului în acest sens, inclusiv sub aspectul extragerii fără întârziere a imaginilor din sistemul de supraveghere video solicitate în baza dreptului de acces și al aplicării măsurilor tehnice care se impun, pentru respectarea drepturilor și libertăților altora, dacă este cazul, în sensul art. 15 alin. (4) din Regulamentul (UE) 2016/679;
- de a asigura conformitatea cu Regulamentul (UE) 2016/679 a operațiunilor de prelucrare a datelor personale prin intermediul sistemului de supraveghere video, prin respectarea tuturor condițiilor de legalitate prevăzute de art. 5, 6 și, după caz, art. 9 din Regulament, astfel încât să fie stabilite mijloace mai puțin intruzive pentru viața privată a persoanelor vizate, în special a angajaților, sub aspectul demontării camerelor de supraveghere din anumite spații, al neutilizării sau dezactivării anumitor funcții ale acestor camere, al stabilirii unei perioade limitate de stocare a înregistrărilor prin raportare la scopurile prelucrării (în principiu, de maximum 30 de zile), prin realizarea informării complete și corespunzătoare a tuturor persoanelor vizate, în conformitate cu dispozițiile art. 12-13 din Regulament și prin respectarea, după caz, a condițiilor prevăzute de art. 5 din Legea nr. 190/2018, inclusiv în privința consultării angajaților ori a reprezentanților acestora, după caz;
- de a asigura conformitatea cu Regulamentul (UE) 2016/679 a operațiunilor de prelucrare a datelor personale prin intermediul sistemului de supraveghere video, prin realizarea/finalizarea evaluării de impact prevăzute de art. 35 din RGPD și Decizia președintelui ANSPDCP nr. 174/2018.