Amendă GDPR pentru o firmă care își supraveghea angajații inclusiv în vestiare. Autoritățile au descoperit mai multe nereguli

O firmă din România a primit o amendă GDPR după ce autoritățile au descoperit nereguli privind supravegherea video a angajaților. Camerele erau instalate inclusiv în vestiare, la intrările în toalete și în alte spații utilizate de personal. Investigația Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal s-a încheiat în octombrie 2026. Compania a primit două amenzi și un avertisment pentru încălcarea legislației privind protecția datelor personale.

Amendă GDPR pentru o firmă care avea camere video în vestiare și la intrările în toalete

O amendă GDPR a fost aplicată companiei ASAM SA, după ce autoritățile au identificat mai multe încălcări ale legislației privind protecția datelor personale. Firma produce componente industriale din oțel și aliaje speciale și are o istorie de aproximativ 100 de ani.

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a aplicat două amenzi în valoare totală de 5.000 de euro.

Investigația a început în urma unei reclamații depuse de o persoană care solicitase acces la propriile date personale. Cererea viza inclusiv înregistrările video și informațiile prelucrate în legătură cu activitatea profesională.

Potrivit ANSPDCP, compania nu a oferit un răspuns complet solicitării și nu a comunicat toate informațiile prevăzute de Regulamentul GDPR.

Verificările au arătat și că firma nu dispunea de proceduri interne adecvate pentru soluționarea cererilor privind datele personale.

„De asemenea, s-a constatat că operatorul nu avea adoptate măsuri interne adecvate de facilitare a exercitării drepturilor persoanelor vizate, în sensul art. 12 alin. (1) și (2) din Regulament, în ceea ce privește prelucrările de date prin intermediul sistemului de supraveghere video”, precizează ANSPDCP.

Camerele de supraveghere monitorizau inclusiv spații în care trebuie protejată viața privată

Investigația a identificat probleme privind amplasarea camerelor și condițiile în care erau prelucrate imaginile angajaților. Sistemul de supraveghere fusese modernizat și extins prin contracte succesive.

Compania utiliza un număr semnificativ de camere pentru monitorizarea activității profesionale. Unele dispozitive erau amplasate în vestiare, la intrările în toalete, în sălile de servit masa și în birouri.

Autoritatea a stabilit că firma nu demonstrase îndeplinirea tuturor condițiilor legale pentru această monitorizare.

„Operatorul ASAM SA, în baza unor contracte succesive de modernizare și extindere a sistemului de supraveghere video, a prelucrat datele personale ale angajaților și ale altor persoane vizate în scopul monitorizării activității la locul de muncă, fără a demonstra respectarea tuturor condițiilor prevăzute de art. 6 alin. (1) lit. f), de art.12-13 din Regulament, coroborate cu art. 5 din Legea nr. 190/2018. Astfel, sistemul de supraveghere utilizat de acesta include un număr semnificativ de camere, iar o parte dintre acestea au fost instalate în spații în care trebuie garantat dreptul la viață privată al angajaților (vestiare, intrare la toaletă, săli de servit masa, birouri)”, conform ANSPDCP.

Autoritatea a descoperit și nereguli privind durata stocării imaginilor și evaluarea riscurilor asociate supravegherii video. Înregistrările erau păstrate pentru perioade mai mari de 30 de zile.

Inspectorii au considerat această durată excesivă în raport cu scopurile pentru care erau colectate datele.

O altă încălcare identificată a fost absența unei evaluări de impact asupra protecției datelor. Documentul trebuia întocmit înainte de utilizarea sistemului modernizat de supraveghere.

Evaluarea era necesară deoarece monitorizarea implica prelucrarea sistematică, la scară largă, a imaginilor angajaților.

„Prelucrarea implica monitorizarea sistematică, pe scară largă, a angajaților prin mijloace video, inclusiv prin utilizarea unor funcții inteligente ale camerelor”, precizează ANSPDCP.

Două amenzi în valoare totală de 26.685 de lei și un avertisment

În urma investigației, compania ASAM SA a primit două sancțiuni contravenționale și un avertisment. Valoarea cumulată a amenzilor este de 26.685 de lei, echivalentul a 5.000 de euro.

Sancțiunile au fost stabilite astfel:

• Amendă de 5.337 de lei (1.000 de euro) pentru încălcarea articolului 15, coroborat cu articolul 12 alineatele (1), (2) și (4) din Regulamentul (UE) 2016/679. Aceste prevederi reglementează dreptul de acces la datele personale și obligațiile operatorului privind soluționarea solicitărilor.

• Amendă de 21.348 de lei (4.000 de euro) pentru încălcarea articolului 5 alineatul (1) literele a), c), e) și alineatul (2), articolului 6 alineatul (1) litera f) și articolelor 12-13 din GDPR. Dispozițiile privesc principiile prelucrării datelor, legalitatea acesteia și obligațiile de informare.

• Avertisment pentru încălcarea articolului 35 din Regulamentul (UE) 2016/679, referitor la evaluarea impactului asupra protecției datelor.

Pe lângă aceste sancțiuni, autoritatea a dispus măsuri corective pentru remedierea neregulilor constatate.

Prima măsură corectivă impusă companiei privește respectarea dreptului de acces al persoanei care a formulat reclamația. ASAM SA trebuie să transmită un răspuns complet și o copie a datelor personale solicitate.

Obligația trebuie îndeplinită în conformitate cu articolele 12 și 15 din Regulamentul GDPR.

Compania trebuie să adopte și să implementeze o procedură internă pentru gestionarea cererilor formulate de persoanele vizate. Aceasta trebuie să respecte dispozițiile articolelor 12-22 din regulament.

Procedura trebuie să asigure analizarea și soluționarea fără întârziere a solicitărilor. Răspunsurile trebuie comunicate în termenele prevăzute de lege.

De asemenea, angajații responsabili de prelucrarea datelor trebuie instruiți periodic cu privire la aceste obligații.

Instruirea trebuie să includă și extragerea fără întârziere a imaginilor solicitate din sistemul de supraveghere video.

Atunci când înregistrările conțin datele altor persoane, compania trebuie să aplice măsurile tehnice necesare protejării drepturilor acestora. Obligația rezultă din articolul 15 alineatul (4) din GDPR.

Compania trebuie să elimine camerele din anumite spații și să limiteze stocarea imaginilor

ANSPDCP a impus companiei și modificarea modului în care funcționează sistemul de supraveghere video. Măsurile urmăresc respectarea dreptului la viață privată al angajaților și al celorlalte persoane monitorizate.

Firma trebuie să verifice legalitatea operațiunilor de prelucrare, conform articolelor 5 și 6 din GDPR. Acolo unde este cazul, trebuie respectate și prevederile articolului 9.

Autoritatea a cerut identificarea unor mijloace de monitorizare mai puțin intruzive. Acestea pot presupune demontarea camerelor amplasate în anumite spații.

De asemenea, compania trebuie să analizeze neutilizarea sau dezactivarea unor funcții ale dispozitivelor de supraveghere.

O altă obligație privește stabilirea unei perioade limitate de păstrare a înregistrărilor. Durata trebuie justificată prin scopurile prelucrării și să fie, în principiu, de maximum 30 de zile.

Firma trebuie să asigure informarea completă și corespunzătoare a tuturor persoanelor monitorizate. Informarea trebuie realizată potrivit articolelor 12 și 13 din regulament.

În plus, trebuie respectate condițiile prevăzute de articolul 5 din Legea nr. 190/2018, atunci când acestea sunt aplicabile. Acestea includ și consultarea angajaților sau a reprezentanților lor, după caz.

Ultima măsură corectivă impusă companiei privește evaluarea riscurilor generate de utilizarea sistemului de supraveghere video. ASAM SA trebuie să realizeze sau să finalizeze evaluarea de impact asupra protecției datelor.

Documentul trebuie întocmit potrivit articolului 35 din Regulamentul (UE) 2016/679 și Deciziei președintelui ANSPDCP nr. 174/2018.

Evaluarea trebuie să vizeze operațiunile de prelucrare a datelor personale realizate prin sistemul video utilizat de companie. Aceasta trebuie să țină cont de caracterul sistematic și de amploarea monitorizării angajaților.