eMAG, amenda de 40.000 de euro pentru incalcarea GDPR in Ungaria

Reclamatiile clientilor din Ungaria la adresa eMAG

Astfel, in cursul investigatiilor efectuate de Autoritatea Nationala de Supraveghere pentru solutionarea celor 3 cazuri semnalate, au fost constatate urmatoarele aspecte:

1. In primul caz, un petent a solicitat stergerea contului creat pe emag.hu, purtand o corespondenta in acest sens pe adresa info@emag.hu. Prin raspunsul primit de la aceasta adresa, petentului i s-a solicitat sa trimita o cerere datata si semnata (scanata sau fotografiata) la adresa data.protection@emag.ro.

In cursul investigatiei efectuate pentru solutionarea acestei plangeri, Autoritatea Nationala de Supraveghere a constatat lipsa unei instruiri regulate si adecvate de catre Dante International SA a angajatilor din grup, cu privire la procedura care trebuie urmata in vederea solutionarii cererilor persoanelor vizate.

S-a constatat ca instruirea personalului entitatii din Ungaria se realizeaza, in principal, la angajare, iar in cadrul fiecarei entitati din cadrul grupului, si ulterior, doar in ”situatii specifice si particularizate la nivel de departament”.

Or, potrivit art. 24 din RGPD, operatorul este obligat sa puna in aplicare masuri tehnice si organizatorice adecvate, inclusiv politici adecvate de protectie a datelor, pentru a garanta si a fi in masura sa demonstreze ca prelucrarea se efectueaza in conformitate cu RGPD. Aceste politici ar trebui sa abordeze in mod corespunzator gestionarea cererilor primite din partea persoanelor vizate si realizarea unor sesiuni regulate de instruire a personalului implicat in prelucrarea datelor personale.

2. In cel de-al doilea caz, un alt petent a solicitat stergerea datelor sale catre mai multe adrese de e-mail ale operatorului (data.protection@emag.ro , catre info@emag.hu, catre data.protection@emag.hu) si, inclusiv, prin intermediul formularului de contact existent pe site-ul acestuia, insa acest lucru nu a fost posibil, intrucat serverele emag au respins cererea sa ca provenind de la o adresa ce nu prezinta incredere. 

In privinta respingerii automate a cererilor petentului, operatorul a sustinut ca serverele sale folosesc liste publice furnizate de o terta parte, asupra careia nu detine controlul, iar situatia respectiva a fost una posibil generata de reputatia slaba/proasta a serviciului @freemail.hu de la momentul in care petentul a trimis respectivele cereri catre Dante.

Situatia constatata in acest caz, a dovedit faptul ca stabilirea unui canal unic si exclusiv de comunicare pe care il pot folosi persoanele vizate, cat si lipsa unei informari adecvate cu privire la anumite limitari din punct de vedere tehnic, pot conduce la restrictionarea neintemeiata a drepturilor acestora.

De asemenea, s-a constatat ca informarea de pe site-ul emag.hu nu continea informatii complete privind transferurile catre state terte, scopurile si destinatarii in acest context, conform prevederilor art. 13 alin. (1) lit. c), e), f) si art. 14 alin. (1) lit. c), e), f) din RGPD.

In urma investigatiei, operatorul si-a modificat politica de prelucrare a datelor personale publicata pe site-urile emag, oferind persoanelor vizate posibilitatea de a trimite cererile in baza RGPD atat pe e-mail (la o adresa de tipul data.protection@emag.hu), cat si prin posta/curier la o adresa fizica din respectivul stat.

3. Un alt petent a reclamat faptul ca una dintre adresele sale de e-mail era in continuare prelucrata de Dante, desi solicitase inlocuirea acesteia cu o alta adresa de e-mail.

In cursul investigatiei efectuate, s-a constatat faptul ca, desi cererea de rectificare a fost initial solutionata pozitiv, cand operatorul a confirmat petentului rectificarea adresei sale de e-mail, adresa respectiva a continuat sa fie prelucrata de Dante, in contextul unei corespondente mai indelungate purtate cu petentul.

Intrucat s-a constatat ca adresa de e-mail a petentului a fost salvata in continuare in baza de date in scopul indeplinirii obligatiei legale de pastrare a documentelor justificative contabile, in considerarea facturilor electronice transmise anterior, Autoritatea de supraveghere a considerat ca acest scop al prelucrarii difera de cel legat de solutionarea reclamatiilor, astfel ca reactivarea acestei adrese si folosirea sa in corespondenta electronica ar fi fost posibila doar in baza consimtamantului persoanei vizate, prevazut de art. 6 alin. (1) lit. a) din Regulamentul (UE) 2016/679.

Fata de aspectele prezentate mai sus, Autoritatea de supraveghere a constatat urmatoarele:

* Dante International SA a incalcat prevederile art. 12 alin. (2), raportate la art. 17 din RGPD, precum si prevederile art. 17 alin. (1) din RGPD, in privinta obligatiei operatorului de a facilita exercitarea drepturilor persoanelor vizate si de a sterge datele acestora fara intarzieri nejustificate;
* Dante International SA a incalcat prevederile art. 13 alin. (1) lit. c), e), f) si art. 14 alin. (1) lit. c), e), f) din RGPD, intrucat la data inceperii investigatiei, informarea de pe site-ul emag.hu nu continea informatii complete privind transferurile catre state terte, scopurile si destinatarii datelor in acest context;
* Dante International SA  a incalcat prevederile art. 6 alin. (1) lit. a) din RGPD, intrucat a prelucrat in continuare adresa de e-mail a unei persoane vizate in cadrul corespondentei purtate cu acesta, ulterior cererii de rectificare a acesteia, fara consimtamantul sau.

Autoritatea Nationala de Supraveghere a apreciat ca circumstantele cazurilor mentionate mai sus prezinta un grad de gravitate care impune aplicarea unei sanctiuni cu amenda impotriva operatorului. Cazurile au fost analizate din punctul de vedere al criteriilor de individualizare a amenzilor prevazute la articolul 83 aliniatul (2) si (3) din RGDP, rezultand urmatoarele:

- natura, gravitatea si durata incalcarii – nerespectarea conditiilor de transparenta prevazute de art. 12 din RGPD in privinta facilitarii exercitarii drepturilor persoanelor vizate la nivelul societatii din Ungaria (parte a grupului Dante) si implicit, neadoptarea imediata a masurilor de stergere a datelor personale in cazul a doua persoane vizate din aceasta tara, conform art. 17 din RGPD; neasigurarea unei informari complete pe site-ul emag.hu in legatura cu transferul datelor in state terte, potrivit art. 13 si 14 din RGPD; politica de gestionare a cererilor persoanelor vizate de exercitare a drepturilor prevazute de RGPD, care, cel putin in cazul societatii din Ungaria, limita modalitatile de depunere a cererilor la un singur canal de comunicare (o adresa de e-mail dedicata);

- caracterul neglijent al vinovatiei operatorului in aceste cazuri;

- masurile de remediere a unora dintre aspectele sesizate, adoptate de operator pe parcursul investigatiilor intreprinse de DPA Ungaria si de ANSPDCP, atat in cazurile particulare ale petentilor, cat si in privinta procedurilor generale aplicate de operator;

- tipurile de date personale prelucrate in cazul petentilor – datele personale specifice pentru preluarea unei comenzi on line, achitarea si livrarea produsului comandat (in principal, nume, prenume, adresa e-mail, numar telefon, adresa de livrare si/sau facturare);

- sanctiunile anterioare existente, aplicate de ANSPDCP impotriva Dante International SA.

Astfel, in urma investigatiilor efectuate, Autoritatea Nationala de Supraveghere a informat celelalte autoritati de supraveghere, inclusiv autoritatea din Ungaria, in cadrul unei proceduri de consultare informala, bazata pe art. 60 din Regulamentul (UE) 2016/679, cu privire la concluziile rezultate din investigatiile efectuate in cele trei cazuri cu impact transfrontalier, precum si cu privire la proiectul de decizie intocmit de institutia noastra.

Urmare a propunerilor transmise de DPA Ungaria, Autoritatea Nationala de Supraveghere a emis decizia finala, conform prevederilor art. 60 din  Regulamentul (UE) 679/2016.

Prin urmare, avand in vedere faptul ca Dante International SA efectueaza o prelucrare transfrontaliera, s-au aplicat dispozitiile art. 60 din Regulamentul (UE) 679/2016, precum si cele ale art. 16 alin. (3), (5), (6), (7) din Legea nr. 102/2005, republicata, care prevad aplicarea sanctiunilor/masurilor corective prin decizie a presedintelui ANSPDCP, care are la baza procesul-verbal de constatare si raportul personalului de control.

Amenda de 40.000 de euro pentru incalcarea GDPR in Ungaria