06.08.2026

Sancțiune pentru încălcarea RGPD și a Legii nr. 506/2004         

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat, în luna iunie 2026, o investigație la operatorul AMATO BESTSELLER S.R.L și a constatat încălcarea prevederilor art. 32 alin. (4), art. 14 și art. 5 alin. (1) lit. c) raportat la art. 9 din Regulamentul (UE) 2016/679, precum și încălcarea prevederilor art. 12 alin. (1) din Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice.  

Ca atare, operatorul a fost sancționat cu:

- amendă în cuantum de 78.465 lei, echivalentul sumei de 15.000 euro, pentru încălcarea dispozițiilor art. 32 alin. (4) din Regulamentul (UE) 2016/679;

- amendă în cuantum de 52.310 lei, echivalentul sumei de 10.000 euro, pentru încălcarea dispozițiilor art. 14 din Regulamentul (UE) 2016/679;

          - amendă în cuantum de 104.620 lei, echivalentul sumei de 20.000 euro, pentru încălcarea prevederilor art. 5 alin. (1) lit. c) raportat la art. 9 din Regulamentul (UE) 2016/679;

          - amenda în cuantum de 50.000 lei pentru încălcarea prevederilor art. 12 alin. (1) din Legea 506/2004.

Investigația a fost demarată ca urmare a unor sesizări transmise de mai multe persoane vizate, care au semnalat posibile încălcări ale Regulamentului (UE) 2016/679.

În cadrul investigației s-a constatat că operatorul a încălcat dispozițiile art. 32 alin. (4) din RGPD, întrucât nu a luat măsuri pentru a se asigura că orice persoană fizică care acționează sub autoritatea sa și are acces la date cu caracter personal, nu le prelucrează decât la cererea sa. Astfel că, operatorul nu și-a instruit proprii angajați și nu le-a adus la cunoștință proceduri/politici de lucru pentru a prelucra datele cu caracter personal ale persoanelor vizate într-un mod care să asigure securitatea adecvată a acestora, protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare.

Această deficiență a permis ca, pe o perioadă determinată de timp, angajați și foști angajați ai operatorului să aibă acces neautorizat la date cu caracter personal (nume, prenume, număr de telefon, gradul de rudenie a unei persoane vizate cu o alta, profesia, starea civilă, încadrarea unei persoane într-o anumită categorie socială, orașul de domiciliu/reședință, date despre venituri, date familiale și date privind sănătatea/categorii speciale de date cu caracter personal) ce aparțin unui număr considerabil de persoane vizate.

Totodată, s-a constatat că operatorul a încălcat dispozițiile art. 14 din RGPD întrucât nu a asigurat o informare corectă și completă a persoanelor vizate, în acord cu prevederile RGPD.

De asemenea, în cadrul investigației s-au constatat că operatorul a efectuat o prelucrare excesivă de date (inclusiv categorii speciale de date, date privind sănătatea), fără ca acestea să fie adecvate, relevante şi limitate la ceea ce este necesar, în raport cu scopurile în care erau prelucrate, cu încălcarea principiului “reducerii la minimum a datelor” prevăzut de art. 5 alin. (1) lit. c) raportat la art. 9 din RGPD.

În cursul investigației s-a constatat și faptul că operatorul a efectuat comunicări comerciale prin utilizarea unor sisteme automate de apelare şi comunicare care nu necesită intervenția unui operator uman, prin apelarea numărului de telefon și efectuarea de conversații cu un număr semnificativ de persoane vizate, fără ca utilizatorii vizați să-și exprime în prealabil consimţământul expres pentru a primi asemenea comunicări, cu încălcarea prevederilor art. 12 alin. (1) din Legea 506/2004.

În același timp, Autoritatea națională de supraveghere a aplicat și următoarele măsuri corective prin care s-a dispus ca operatorul:

• să includă în toate procedurile/politicile de lucru aplicabile la nivelul operatorului instrucțiuni clare cu privire la fluxul datelor cu caracter personal efectuate la nivelul operatorului, la fluxul documentelor ce conțin date cu caracter personal, pe fiecare scop și metodă de prelucrare în parte, detalierea accesului diferențiat al angajaților la anumite activități care implică date cu caracter personal, precum și instruirea periodică a angajaților/altor persoane fizice/juridice care prelucrează date cu caracter personal sub autoritatea AMATO BESTSELLER SRL;
• să asigure o informare clară, completă și corectă a persoanelor vizate ale căror date cu caracter personal se prelucrează la nivelul operatorului, conform art. 14 din RGPD și în condițiile de transparență menționate la art. 12 din RGPD;
• să prelucreze datele cu caracter personal cu respectarea art. 5 alin. (1) lit. c) din RGPD, pentru fiecare scop în parte;
• să asigure exprimarea în prealabil a unui consimțământ expres al persoanei vizate pentru primirea de comunicări nesolicitate.”

Direcția juridică și comunicare

A.N.S.P.D.C.P