Operatorul, o societate din domeniul panificației, a fost amendat de Autoritatea de protecție a datelor (ANSPDCP) în luna februarie 2021 cu echivalentul a 5.000 de euro. Sancțiunea a fost aplicată pentru faptul că operatorul ar fi instalat camere video în spații cu destinație de vestiare și în sala de servire a mesei, ceea ce a dus, în opinia autorității, la o prelucrare excesivă de date personale.

Comunicatul prin care se anunța aplicarea sancțiunii poate fi accesat aici.

Extras din procesul-verbal (text inclus în Decizia Tribunalului București): „începând cu anul 2017 a prelucrat în mod excesiv, prin raportare la scopul în care sunt colectate/prelucrate, respectiv protejarea bunurilor şi a produselor societăţii, descurajarea furtului, datele cu caracter personal/imaginea angajaţilor săi prin intermediul camerelor video instalate în spaţii cu destinaţia de vestiare şi în zona destinată servirii mesei, datele astfel prelucrate nefiind adecvate, relevante şi limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate („reducerea la minim a datelor”), scopul declarat de operator putându-se realiza prin mijloace mai puţin intrusive pentru viaţa privată a angajaţilor, iar consimţământul persoanelor vizate nu poate fi considerat liber exprimat având în vedere relaţia angajator-angajat şi nu a putut fi identificat alt temei legal de prelucrare, operatorul neputând demonstra respectarea principiilor de prelucrare conform art. 5 alin. (2) din RGPD.”

Articole din GDPR încălcate, conform procesului-verbal: art. 5 alin 1 lit. b si c prin raportare la ar. 5 alin 2 si art. 6.

Investigația autorității a avut loc exclusiv în scris și a fost inițiată în urma unei sesizări primite în iulie 2019. Ca urmare a adresei ANSPDCP din octombrie 2019, operatorul investigat a oferit explicații exhaustive și a negat faptul că sistemul de monitorizare video ar fi fost instalat în vestiare. Referitor la sala de mese, a explicat că era vorba de un spațiu amplu, că scopul era siguranța alimentară și protejarea sănătății angajaților și că unghiul era, în opinia sa, suficient de larg pentru a nu reprezenta o măsură intruzivă. De asemenea, operatorul a trimis un pachet de documente (inclusiv planșe fotografice), pe e-mail și prin curier, prin care explica pe larg amplasarea și funcționarea sistemului CCTV, menționând și faptul că sistemul fusese instalat în anul 2017.

După primirea răspunsului și a documentelor de la operator, ANSPDCP nu a realizat o verificare la fața locului și nu a mai revenit cu un răspuns sau vreo solicitare de clarificare timp de un an și jumătate. Procesul verbal de sancționare a fost încheiat în februarie 2021 în lipsa operatorului investigat, fără ca această situație să fie confirmată de un martor și fără vreo explicație despre motivul pentru care documentul a fost întocmit în aceste circumstanțe.

În apărarea sa în instanță, operatorul a adăugat că ar fi fost imposibil ca autoritatea să fi putut constata că faptele contravenționale au fost săvârșite începând cu anul 2017, din moment ce sesizarea a fost primită în iulie 2019. Mai mult, locul contravenției a fost descris în mod ambiguu (fiind precizat în procesul-verbal că sistemul video este instalat la sediul societății, cât și în magazinele din țară). Instanța a fost de acord cu reclamantul că în procesul-verbal nu erau indicate data și locul săvârșirii faptelor contravenționale, ci doar data și locul constatării acestora (sediul ANSPDCP), ceea ce a dus la un caz de nulitate absolută.