Autoritatea de Supraveghere din Cipru a aplicat o amendă de 82.000 de euro unui grup de companii care au folosit un instrument automat pentru a monitoriza concediile medicale ale angajaților lor, subliniind că o astfel de prelucrare nu are o bază legală în baza din punct de vedere GDPR. Companiile resepective au efectuat o evaluare a impactului operațiunilor, dar după examinare, Autoritatea a decis că interesul legitim al companiilor nu prevalează asupra intereselor, drepturilor și libertăților angajaților săi. Prin urmare, s-a constatat că prelucrarea nu are niciun temei legal. De asemenea, Autoritatea a menționat că aceste companii nu au putut demonstra incadrarea în nici una din prevederile GDPR care le-ar putea permite să proceseze datele privind sănătatea angajaților. Pe lângă amanedă, Autoritatea a dispus ștergerea tuturor datelor cu caracter personal colectate.

Într-un raport difuzat luni, comisarul Irene Loizidou Nicolaidou a declarat că Autoritatea din Cipru a primit o plângere în iunie 2018 de la sindicatul SEK care susține că LGS Handling Ltd, Louis Travel Ltd și Louis Aviation Ltd au aplicat "Factorul Bradford", un sistem automatizat de gestionare și monitorizare ale zilelor de concediu medical ale angajaților. Sistemul este utilizată în managementul resurselor umane ca mijloc de măsurare a absenteismului angajaților.

Potrivit comisarului, data concediului medical și frecvența concediului medical pentru o persoană, în măsura în care identitatea sa este dezvăluită direct sau indirect, constituie categorii specifice de date cu caracter personal.

„Alimentarea unui sistem automat cu date cu caracter personal, calibrarea acestora folosind„ Factorul Bradford ”și apoi întocmirea profilurilor persoanelor fizice în funcție de datele obținute, este considerată prelucrare a datelor cu caracter personal”, se arată în raport.

Deși companiile în cauză aveau dreptul de a monitoriza frecvența concediilor medicale raportul a spus că „un astfel de drept, nu ar trebui să fie utilizat în mod abuziv și ar trebui să fie, de asemenea, exercitat în limitele stabilite de cadrul legislativ relevant.” „Angajatorii nu pot exercita controlul și supravegherea nelimitată asupra angajaților lor”.

Acordarea unui scor în funcție de concediul medical depășește competența angajatorului, deoarece, în acest fel, ei se transformă în „medic sau profesionist în sănătate și„ pedepsesc” angajații care își iau concediu medical în anumite zile din săptămână sau din lună.”

Autoritatea a amendat LGS Handling cu 70.000 €, Louis Travel cu 10.000 € și Louis Aviation cu 2.000 €.

Raportul a spus că au fost luați în considerare o serie de factori pentru calcularea penalităților, inclusiv numărul de angajați, 818 în total, natura și durata încălcării și cifra de afaceri a companiilor în cauză.

CLICI AICI pentru decizia comisarului (în limba greacă).

Autoritatea Națională de Supraveghere a demarat o investigație în urma primirii unor plângeri prin care s-a reclamat faptul că operatorul Qualitance QBS SA a transmis prin e-mail o informare către 295 de persoane, dezvăluind astfel adresele de e-mail ale celorlalți destinatari și a  constat că operatorul nu a implementat suficiente măsuri de securitate pentru a asigura confidențialitatea datelor personale ale persoanelor vizate, fapt ce a condus la dezvăluirea adreselor de e-mail, contrar obligațiilor prevăzute de art. 32 din RGPD. Destinatarii emailului erau candidați care și-au furnizat datele personale în vederea recrutării pe site-ul operatorului sau prin aplicații on-line.

Operatorul Qualitance QBS SA a fost sancționat contravențional cu amendă în cuantum de 4.867,50 lei (echivalentul a 1.000 EURO). De asemenea, societății Qualitance QBS SA i s-a aplicat și măsura corectivă de a asigura conformitatea operațiunilor de prelucrare a datelor personale cu Regulamentul General privind Protecția Datelor, prin implementarea unor măsuri tehnice și organizatorice adecvate în cazul transmiterii la distanță a datelor personale, inclusiv sub aspectul instruirii regulate a persoanelor care prelucrează date sub autoritatea sa (angajați sau colaboratori).

Cum s-ar fi putut evita această amendă de 1000 Euro?

Simplu, prin trainingul personalului privind utilizarea funcțiilor "TO"(Către), "CC"(Copie de informare) și "BCC" (Copie de informare confidențială).

• “CC:” este precurtarea de la "Carbon Copy" (copie de informare). Orice persoană listată în câmpul CC: al unui mesaj primeşte o copie a mesajului, la expedierea acestuia. Toţi ceilalţi destinatari ai mesajului pot vedea că persoana specificată ca destinatar în “CC:” a primit o copie a mesajului.
• “BCC:" este prescurtarea de la "Blind Carbon Copy" (copie de informare confidenţială). Este similar cu funcţionalitatea “CC:”, cu excepţia că destinatarii din Bcc: sunt invizibili pentru ceilalţi destinatari ai mesajului, inclusiv pentru restul destinatarilor din “Bcc:”.

Procesul de digitalizare atrage după el și metode tehnice avansate de securitate, care cresc gradul de protecție al vieții private, dar trebuie să conștientizăm în primul rând că cea mai mare vulnerabilitate în cadrul unei organizații este chiar resursa umană. Este nevoie să asigurăm educația personalului înainte de a investi în soluții tehnice de securitate.

Această amendă este un semnal de alarmă și ar trebui să ne pună pe gânduri, să analizăm dacă și noi am făcut în trecut această eroare, și, cel mai important, ce putem face în perioada următoare să diminuăm semnificativ riscul de a repeta această greșeală.

O nouă amendă pentru colaborarea insuficientă cu Autoritatea de Supraveghere  tocmai a fost aplicată în România.  Operatorul C&V Water Control S.A. a primit o amendă în cuantum de 9746 lei, echivalentul sumei de 2000 EURO pentru că nu a furnizat informațiile solicitate, încălcând astfel prevederile art. 83 alin. (5) lit. e) corelate cu dispozițiile art. 58 alin. (1) lit. (a) și (e) și art. 58 alin. (2) lit. i) din Regulamentul General privind Protecția Datelor, primind totodată și măsura corectivă de a transmite toate informațiile solicitate prin adresele anterioare.

Nu este o premieră în România aplicarea de amenzi în baza Art. 58 GDPR care prevede obligația operatorului de a furniza orice informații pe care Autoritatea de Supraveghere le solicită în vederea îndeplinirii sarcinilor sale.

În trecut, în România au mai fost aplicate 7 astfel de amenzi, din totalul de 21 aplicate la nivel european, unor operatori de date cu caracter personal care omis să răspundă solicitarilor, încălcând astfel Art.58.

Cel mai îngrijorător lucru este faptul că aceste amenzi nu sunt disuasive și nu au condus la modificări fundamentale în practicile și procedurile operatorilor români, o parte din companiile anchetate preferând să își asume riscuri în privința încălcării art. 58 GDPR. Rămâne de văzut care este limita acestor operatori în privința absorbției amenzilor și dacă sunt afectați în vreun fel de riscul reputațional, în contextul în care nivelul de conștientizare a importanței datelor cu caracter personal în România este în creștere.