Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat, în luna decembrie 2024, o investigație la operatorul RED&WHITE 2022 MANAGEMENT S.A și a constatat încălcarea prevederilor art. 28 alin. (3) lit. a) din Regulamentul (UE) 2016/679.

Pentru faptele săvârșite s-a aplicat operatorului sancțiunea amenzii în cuantum de 24854,50 lei (echivalentul a 5000 euro).

Investigația la operatorul sancționat a fost demarată ca urmare a unor aspecte sesizate Autorității de către acesta, respectiv de către un împuternicit al operatorului, cu privire la o posibilă încălcare a prevederilor Regulmentului (UE) 2016/679 în contextul derulării unei campanii de crowdfunding (microfinanțare din partea unor persoane fizice).

În cadrul investigației s-a constatat că operatorul, în calitate de acționar majoritar al unei echipe de fotbal, a transmis un email cu privire la posibilitatea finanțării echipei de către suporterii acesteia, către o bază de date formată dintr-un număr foarte mare de email-uri ale unor persoane vizate care cumpăraseră bilete la meciurile echipei. Emailul a fost transmis prin intermediul unei persoane împuternicite a operatorului, iar baza de date utilizată conținea date cu caracter personal (nume, prenume, adresă de email) atât ale susținătorilor clubului (suporteri), cât și ale altor persoane fizice.

În acest context, operatorul nu a făcut dovada elaborării unor instrucțiuni documentate pentru împuternicitul său, cu privire la categoria (suporteri) de persoane vizate din baza de date utilizată, către care persoana împuternicită a transmis email-ul, conceput și aprobat de operator, despre campania de finanțare.

Este de subliniat faptul că Regulamentul (UE) 2016/679 prevede în art. 28 alin. (3) că ”Prelucrarea de către o persoană împuternicită de un operator este reglementată printr-un contract sau alt act juridic în temeiul dreptului Uniunii sau al dreptului intern care are caracter obligatoriu pentru persoana împuternicită de operator în raport cu operatorul şi care stabileşte obiectul şi durata prelucrării, natura şi scopul prelucrării, tipul de date cu caracter personal şi categoriile de persoane vizate şi obligaţiile şi drepturile operatorului. (...)”.

În plus, în articolul anterior menționat se reglementează, printre altele, faptul că respectivul contract sau act juridic prevede în special că persoană împuternicită de operator prelucrează datele cu caracter personal numai pe baza unor ”instrucțiuni documentate din partea operatorului”.

Direcția juridică și comunicare

A.N.S.P.D.C.P.