Autoritatea Națională de Supraveghere a finalizat o investigație la operatorul Kaufland România SCS și a constatat încălcarea dispozițiilor art. 29 și art. 32 alin. (1) lit. b), alin. (2) și alin. (4) din Regulamentul General privind Protecția Datelor.
Operatorul Kaufland România SCS a fost sancționat cu amendă în cuantum de 9.893,2 lei (echivalentul sumei de 2000 EURO).
Investigația a fost demarată ca urmare a transmiterii de către operator, în cursul anului 2022, a două notificări de încălcare a securității datelor cu caracter personal în temeiul Regulamentului General privind Protecția Datelor.
Una dintre încălcările securității datelor a constat în accesul neautorizat al unor angajați ai operatorului la datele cu caracter personal ale clienților Kaufland.
Astfel, angajatul operatorului care a preluat plângerea unei petente nu a respectat procedura internă de soluționare a unei reclamații și a permis vizualizarea documentului de către agentul de pază care ulterior a utilizat necorespunzător respectivele date, situație ce a condus la încălcarea confidențialității datelor personale ale petentei.
În cadrul investigației s-a constatat că operatorul nu a asigurat măsuri tehnice și organizatorice adecvate pentru a asigura faptul că orice persoană fizică care acționează sub autoritatea operatorului și care are acces la datele cu caracter personal nu le prelucrează decât la cererea operatorului, încălcându-se prevederile art. 29 și art. 32 din Regulamentul General privind Protecția Datelor.
Cea de-a doua încălcare a securității datelor a constat în transmiterea eronată către un alt destinatar a unei foi de comandă a unui client prin intermediul unor platforme de livrare.
Această situație a condus la divulgarea și accesul neautorizat la datele cu caracter personal (nume, prenume, adresa de e-mail, număr de telefon) ale clientului Kaufland ca urmare a nerespectării la nivelul operatorului a procedurii de lucru în cazul livrărilor prin intermediul platformelor partenere.
Ca atare, Autoritatea Națională de Supraveghere a constatat că operatorul nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării pentru drepturile și libertățile persoanelor fizice, generat în special, în mod accidental sau ilegal, de divulgarea neautorizată a datelor cu caracter personal.
