13.11.2026

Sancțiune pentru încălcarea RGPD

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat, în luna octombrie 2026, o investigație la operatorul ASAM S.A  și a constatat încălcarea dispozițiilor art. 5 alin. (1) lit. a), c), e) și alin. (2), art. 6 alin. (1) lit. f), art. 12 alin. (1), (2) și (4), art. 15, și art. 35 din Regulamentul (UE) 2016/679.

Ca atare, operatorul a fost sancționat cu:

• amendă în cuantum de 5.337 lei, echivalentul sumei de 1.000 Euro, pentru încălcarea dispozițiilor art. 15 coroborat cu art. 12 alin. (1), (2) și (4) din Regulamentul (UE) 2016/679;
• amendă în cuantum de 21.348 lei, echivalentul sumei de 4.000 Euro, pentru încălcarea dispozițiilor art. 5 alin. (1) lit. a), c), e) și alin. (2), art. 6 alin. (1) lit. f)  și art. 12-13 din Regulamentul (UE) 2016/679;
• avertisment pentru încălcarea dispozițiilor art. 35 din Regulamentul (UE) 2016/679.

Investigația a fost demarată ca urmare a unei plângeri a unei persoane fizice, care a reclamat faptul că operatorul ASAM S.A nu i-a răspuns în mod corespunzător și complet la cererea prin care aceasta și-a exercitat, conform art. 15 din Regulamentul (UE) 2016/679, dreptul de acces la datele cu caracter personal, inclusiv la imaginile video și la alte date prelucrate în legătură cu activitatea sa profesională.

În cadrul investigației s-a constatat că operatorul nu a transmis persoanei vizate un răspuns scris corespunzător și complet la cererea formulată, nu i-a comunicat toate informațiile prevăzute de art. 15 alin. (1) din Regulament și nu i-a comunicat datele personale prelucrate în legătură cu situația concretă a petentului.

De asemenea, s-a constatat că operatorul nu avea adoptate măsuri interne adecvate de facilitare a exercitării drepturilor persoanelor vizate, în sensul art. 12 alin. (1) și (2) din Regulament, în ceea ce privește prelucrările de date prin intermediul sistemului de supraveghere video.

Totodată, s-a constatat că operatorul ASAM S.A, în baza unor contracte succesive de modernizare și extindere a sistemului de supraveghere video, a prelucrat datele personale ale angajaților și ale altor persoane vizate în scopul monitorizării activității la locul de muncă, fără a demonstra respectarea tuturor condițiilor prevăzute de art. 6 alin. (1) lit. f), de art.12-13 din Regulament, coroborate cu art. 5 din Legea nr. 190/2018. Astfel, sistemul de supraveghere  utilizat de acesta include un număr semnificativ de camere, iar o parte dintre acestea au fost instalate în spații în care trebuie garantat dreptul la viață privată al angajaților (vestiare, intrare la toaletă, săli de servit masa, birouri).

De asemenea, perioada de stocare a imaginilor a fost excesivă prin raportare la scopurile prelucrării, fiind stocate pentru perioade mai mari de 30 de zile.

În plus, operatorul nu a efectuat, anterior începerii prelucrării prin intermediul sistemului de supraveghere video modernizat, o evaluare de impact asupra protecției datelor, în condițiile art. 35 din Regulamentul (UE) 2016/679 și ale Deciziei președintelui ANSPDCP nr. 174/2018, deși prelucrarea implica monitorizarea sistematică, pe scară largă, a angajaților prin mijloace video, inclusiv prin utilizarea unor funcții inteligente ale camerelor.De asemenea, în temeiul dispozițiilor art. 58 alin. (2) lit. c) și d) din Regulamentul (UE) 2016/679, s-au dispus față de operator și următoarele măsuri corective:

• de a respecta dreptul de acces exercitat de persoana vizată, prin comunicarea unui răspuns complet la cererea sa, inclusiv a unei copii a datelor personale solicitate, în conformitate cu art. 12 și 15 din Regulament;
• de a asigura conformitatea cu Regulamentul (UE) 2016/679  a operațiunilor de prelucrare a datelor personale, prin adoptarea și implementarea corespunzătoare a unei proceduri privind modul de soluționare a cererilor depuse de persoanele vizate în temeiul Regulamentului (UE) 2016/679 (art. 12-22), respectarea în toate cazurile a dispozițiilor aplicabile privind analizarea și soluționarea fără întârziere a acestor cereri și comunicarea unor răspunsuri către persoanele vizate în cadrul termenelor legale, precum și instruirea regulată a personalului operatorului în acest sens, inclusiv sub aspectul extragerii fără întârziere a imaginilor din sistemul de supraveghere video solicitate în baza dreptului de acces și al aplicării măsurilor tehnice care se impun, pentru respectarea drepturilor și libertăților altora, dacă este cazul, în sensul art. 15 alin. (4) din Regulamentul (UE) 2016/679;
• de a asigura conformitatea cu Regulamentul (UE) 2016/679 a operațiunilor de prelucrare a datelor personale prin intermediul sistemului de supraveghere video, prin respectarea tuturor condițiilor de legalitate prevăzute de art. 5, 6 și, după caz, art. 9 din Regulament, astfel încât să fie stabilite mijloace mai puțin intruzive pentru viața privată a persoanelor vizate, în special a angajaților, sub aspectul demontării camerelor de supraveghere din anumite spații, al neutilizării sau dezactivării anumitor funcții ale acestor camere, al stabilirii unei perioade limitate de stocare a înregistrărilor prin raportare la scopurile prelucrării (în principiu, de maximum 30 de zile), prin realizarea informării complete și corespunzătoare a tuturor persoanelor vizate, în conformitate cu dispozițiile art. 12-13 din Regulament și prin respectarea, după caz, a condițiilor prevăzute de art. 5 din Legea nr. 190/2018, inclusiv în privința consultării angajaților ori a reprezentanților acestora, după caz;
• de a asigura conformitatea cu Regulamentul (UE) 2016/679 a operațiunilor de prelucrare a datelor personale prin intermediul sistemului de supraveghere video, prin realizarea/finalizarea evaluării de impact prevăzute de art. 35 din RGPD și Decizia președintelui ANSPDCP nr. 174/2018.

Direcția juridică și comunicare

A.N.S.P.D.C.P