Забавяне от 12 до 37 месеца на искане за изтриване задейства процедура one-stop shop на GDPR
Ascendex Technology S.R.L. е регистрирано в Букурещ дружество, което управлява глобалната платформа за търговия с криптовалути и дигитални активи AscendEX.
На 1 юли 2026 г. компанията обявява преустановяване на нормалните си операции и тегленията на клиенти. В справката от интернет пише, че през годините е получавала предупреждения от европейски финансови регулатори (като испанската CNMV и естонския орган за наблюдение) заради дейност без местен лиценз.
Също на 1 юли румънският орган за защита на данните (ANSPDCP) съобщи, че налага глоба на дружеството за забавяне на заявки за заличаване на лични данни в размер на около 11 000 евро (57 839 RON). Жалбата за забавено изтриване е от френски гражданин, затова в прессъобщението на надзорния орган се цитира френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL).
Истинските причини за колапса на платформата са мащабни финансови и регулаторни проблеми. Новият регламент на ЕС за пазарите на криптоактиви (MiCA) влезе в пълна сила точно на 1 юли 2026 г. Дружествата, които са разчитали на стари национални регистрации (VASP) и не са получили пълен MiCA лиценз до тази дата, са длъжни да прекратят дейността си за потребители от ЕС или да затворят позициите си. Явно Ascendex Technology S.R.L. няма необходимия лиценз за работа в ЕС според новите правила. Наблюдатели напомнят и за финансовите последствия от мащабния хакерски обир през декември 2021 г., при който са загубени 77.7 милиона долара.
Румънският надзорен орган за обработка на лични данни съобщи на 1 юли, че през май 2026 г. е приключило разследване на администратора Ascendex Technology SRL и е установено нарушение на разпоредбите чл. 12, пар. 1 и 3, свързано с чл. 17, пар. 1 от Регламент (ЕС) 2016/679 (GDPR).
Въз основа на механизмите за сътрудничество, предоставени от Регламент (ЕС) 2016/679, ANSPDCP е уведомен от CNIL относно жалбата.
CNIL счита ANSPDCP за основен орган в този случай, като се има предвид фактът, че седалището на администратора е в Румъния и обработката на лични данни може да засегне субектите на данни от няколко държави-членки, според чл. 4 ал. (23) буква б) от GDPR. Предложението на CNIL e прието.
По време на разследването е установено, че Ascendex Technology SRL държи искането на жалбоподателя за изтриване на данните за около 12 месеца без отговор и без да оправдава превишаването на срока за отговор, като по този начин нарушава разпоредбите на чл. 12, пар. 1 и 3, във връзка с чл. 17 от GDPR.
Освен това по време на разследването е отбелязано, че в случай на други субекти на данни от различни държави-членки на ЕС или извън ЕС, уреждането на искания за изтриване от оператора отнема дори 37 месеца.
ANSPDCP счита, че обстоятелствата на гореспоменатия случай изискват прилагането на наказанието глоба на администратора, свързано с критериите за индивидуализиране на глобите, предвидени в член 83, параграф 2 и 3 от GDPR.
След проведеното разследване надзорният орган информира другите участващи надзорни органи, включително CNIL, в процедурите за сътрудничество, извършвани въз основа на чл. 60 от Регламент (ЕС) 2016/679, относно заключенията, произтичащи от разследването, проведено в този случай с трансгранично въздействие и предложените мерки.
В същото време, съгласно член 58, параграф 2, букви в) и г) от Регламент (ЕС) 2016/679, надзорният орган разпорежда следните коригиращи мерки: администраторът да изпрати подходящ отговор до жалбоподателя, но и до други засегнати лица в сходно положение, в съответствие с констатациите от разследването, относно начина на разрешаване на исканията за изтриване на лични данни; да разпореди мерки за провеждане на редовно обучение на персонала във връзка с правилното, ясно, прозрачно и в рамките на законовите срокове управление и отговор на исканията, чрез които засегнатите лица упражняват правата си, предвидени в Регламент (ЕС) 2016/679.