Проверката на надзорния орган започва след жалба за видеонаблюдение на служителите
През май 2025 г. румънският национален надзорен орган за защита на личните данни (ANSPDCP) след проверка глоби администратора SC Piramida Trade Invest SRL заради установени нарушения на разпоредбите на чл. 5, пар. 1, буква а) и чл. 6, пар. 1, чл. 12, пар. 3, чл. 15, чл. 17 и чл. 21 и чл. 32, пар 1, буква б) от Регламент (ЕС) 2016/679 (GDPR).
Поради това администраторът е санкциониран с глоба в размер на 10 146 леи (еквивалентни на 2000 евро) за нарушение на разпоредбите на чл. 5, пар. 1, буква а) и чл. 6, пар. 1 от Регламент (ЕС) 2016/679; и с глоба в размер на 5073 леи (еквивалентни на 1000 евро) за нарушение на разпоредбите на чл. 12, параграф 3, чл. 15, чл. 17 и чл. 21 от Регламент (ЕС) 2016/679; с предупреждение за нарушаване на разпоредбите на чл. 32, параграф 1, буква б) от Регламент (ЕС) 2016/679.
Разследването е започнато след жалба, подадена от лице, съобщаващо за възможни нарушения на обработката на лични данни, свързани с наблюдението на служители чрез системи за аудио-видео наблюдение.
По време на разследването ANSPDCP установява, че администраторът не е предоставил задължителна, пълна и изрична предварителна информация на своите служители. Същевременно той не е доказал, че преди това е използвал други, по-малко натрапчиви форми и методи за постигане на предвидената цел. Следователно, личните данни не са били обработвани по законен, справедлив и прозрачен начин спрямо субекта на данните („законност, справедливост и прозрачност“), което представлява нарушение на разпоредбите на чл. 5, пар. 1, буква а) и чл. 6 от Регламент (ЕС) 2016/679 и подлежи на глоба от 2000 евро.
Същевременно, по време на разследването се оказва, че администраторът не е предоставил доказателство, че е отговорил на исканията на субекта на данни за упражняване на правата на достъп, заличаване и възражение от определен период, в едномесечен срок от получаването им. Освен това, работодателят не е предоставил копието на аудио-видео записите от този период, поискано от служителя. Следователно, тази ситуация представлява нарушение на разпоредбите на чл. 12, параграф 3, чл. 15, чл. 17 и чл. 21 от Регламент (ЕС) 679/2016 и на администратора е наложена глоба от 1000 евро.
Разследването установила тайно инсталиране на филтър за препращане на съобщения от един имейл адрес към друг. Това е довело до разкриване на документи на субект на данни (включително медицински документи) на лица извън компанията. Поради това администратора не е доказал, че е предприел подходящи технически и организационни мерки за осигуряване на поверителността, целостта, наличността и непрекъснатата устойчивост на системите и услугите за обработка на лични данни, което е нарушение на разпоредбите на чл. 32, параграф 1, буква б) от Регламент (ЕС) 2016/679. За това деяние администраторът е санкциониран с предупреждение.
Същевременно, съгласно разпоредбите на чл. 58, параграф 2, букви в) и г) от Регламент (ЕС) 2016/679, бяха разпоредени и следните коригиращи мерки:
- предприемане на необходимите мерки, така че в бъдеще да се гарантира съответствието на операциите по обработка с разпоредбите на Регламент (ЕС) 2016/679, а именно видеокамерите, монтирани извън сградата, да записват изображения само от периметъра на дружеството Piramida Trade Invest SRL. Същевременно е наредено да се премахне използването на камери за видеонаблюдение, монтирани в офиси, в склада и в производственото хале, за които няма изрично правно основание за обработка съгласно чл. 6 от Регламент (ЕС) 2016/679;
- предоставяне на пълна информация на всички субекти на данни във връзка с всички дейности, включващи обработването на лични данни, чрез предоставяне на цялата информация, предвидена в членове 13 и 14 от Регламент (ЕС) 2016/679, когато е уместно, и в съответствие с условията, предвидени в член 12 от Регламент (ЕС) 2016/679;
- приемане на вътрешни процедури относно начина за разглеждане на искания, подадени от субекти на данни съгласно разпоредбите на членове 12-22 от Регламент (ЕС) 2016/679, спазване във всички случаи на приложимите разпоредби относно анализа и разрешаването на тези искания без забавяне и съобщаването на отговори на субектите на данни в рамките на законоустановените срокове, както и редовно обучение на персонала на администратора в това отношение;
- осигуряване на съответствие с Регламент (ЕС) 2016/679 относно операциите по обработка на лични данни с цел прилагане на подходяща вътрешна политика за идентифициране на рискове, анализа им и уведомяване на Националния надзорен орган в случай на нарушение на сигурността, при условията, предвидени в чл. 33, параграф 1 от Регламент (ЕС) 2016/679, включително по отношение на подходящо обучение на лицата, които обработват данни под ръководството на или от името на Piramida Trade Invest SRL (служители, сътрудници, упълномощени лица и др.);
- изпращане на отговор до субекта на данни на искания за упражняване на правото на достъп, възражение и заличаване, поискани от него/нея.