În primvăvara anului 2024, compania ROMPETROL DOWNSTREAM SRL a fost sancționată contravențional de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) prin procesul-verbal de constatare și sancționare a contravenției nr. 6757/08.04.2024 cu amenda în cuantum de 9935,60 de lei și măsura coercitivă de a implementa mecanisme sau soluții de verificare ori monitorizare a instrucțiunilor/procedurilor de lucru sau a politicilor de protecție a datelor cu caracter personal pe parcursul derulării relațiilor contractuale cu agenții, pentru asigurarea conformității cu RGPD. La baza acestui act de sancționare a stat o informare prin care s-a sesizat Autoritatea că în data de 07.12.2022 la ora 10:26, într-o stație Rompetrol, localizată în Ploiești, Bulevardul București nr. 26, a fost alimentat un autoturism taxi cu GPL. Clientul a mers să plătească in timp ce angajatul agentului de afară îi alimenta mașina. La momentul revenirii la mașină, clientul nu a fost atent că angajatul agentului nu terminase de alimentat, acesta fiind cu spatele la mașină și atent la monitorul pompei, și a plecat, pistolul fiind încă la rezervor. Furtunul a agățat picioarele băiatului, acesta căzând, fără însă a se accidenta. De asemenea, în data de 31.03.2022 un salariat al societății Rompetrol a fost notificat de un amic de prezența pe Facebook a unui material video cu un accident care avusese foc într-o stație Rompetrol, situată la adresa Sos. Chitilei 128A, sector 1, București. Din discuțiile avute cu personalul operațional, dar si din declarațiile celor din stație, reiese ca un angajat, la solicitarea verbală a agentului de Poliție, a furnizat acestuia imaginile care surprindeau accidentul de la pompă, în vederea soluționării cazului. Aceste acțiuni au condus la compromiterea confidențialității datelor cu caracter personal ale unui număr de 2 persoane fizice, prin divulgarea neautorizată a datelor cu caracter personal (imaginea, marca şi numărul de înmatriculare al autoturismului).
În aceste condiții, compania ROMPETROL DOWNSTREAM SRL, prin cererea de chemare în judecată înregistrată pe rolul Tribunalului București – Secția a II-a Contencios Administrativ și Fiscal la data de 29.04.2024, în contradictoriu cu pârâta Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a solicitat anularea procesul-verbal de constatare și sancționare a contravenției nr. 6757/08.04.2024. În motivare, reclamanta a arătat, în esență, că la întocmirea procesului-verbal nu s-a ținut cont de interpretarea art. 83 din RGPD conform deciziei CJUE din cauza C-683/21, sens în care a invocat art. 29, 32 alin. (1) lit. b), 32 alin. (2) și 32 alin. (4) din RGPD. A arătat că s-a reținut culpa persoanei împuternicite, iar referitor la culpa operatorului, s-a indicat neadecvarea măsurilor tehnice și organizatorice pentru fiecare faptă imputată, fără a analiza tehnic și punctual măsurile tehnice și organizatorice efectiv implementate și aplicate. A arătat că reclamanta a luat și implementat măsuri tehnice adecvate, transmise persoanei împuternicite, iar nerespectarea art. 32 din RGPD s-ar datora nerespectării de către persoanele împuternicite a instrucțiunilor, iar nu reclamantei, care, în calitate de operator, și-a îndeplinit toate obligațiile legale. A mai susținut că încălcare art. 29 din RGPD s-a produs prin faptele angajaților împuterniciților, contravenția nefiind aplicabilă reclamantei, care are calitatea de operator. Reclamanta a învederat faptul că a luat măsuri concrete și adecvate prin a se asigura că persoana împuternicită vor face prelucrări doar la cererea operatorului. De asemenea, deține capacitatea tehnică și organizatorică de a asigura confidențialitatea, integritatea, disponibilitatea sistemelor și serviciilor de prelucrare. A criticat faptul că autoritatea pârâtă nu a analizat măsurile adecvate adoptate de reclamantă și nu a ținut cont de natura, domeniul de aplicare, contextul specific al prelucrării datelor. A invocat faptul că o amendă poate fi aplicată în baza acestor texte din Regulament doar dacă operatorul a săvârșit intenționat sau din neglijență o încălcare a acestui text. A mai arătat că a transmis persoanelor împuternicite seturi de reguli obligatorii ce trebuie respectate în anul 2021 și 2022, din care rezultă că este interzisă filmarea sau fotografierea imaginilor de pe monitoarele de supraveghere, transmiterea sau publicarea imaginilor din aceste imagini care conțin date cu caracter personal. În plus, fiecare angajat nou este instruit cu privire la sarcinile ce îi revin în activitățile zilnice din perspectiva protecției datelor cu caracter personal, iar agentul este obligat să susțină periodic, cel puțin o dată pe an, sesiuni de instruire RGPD pentru angajații existenți.
În primăvara anului trecut, Tribunalul București a admis cererea reclamantei:
- Solutia pe scurt: Admite cererea. Anulează procesul-verbal de constatare şi sancţionare a contravenţiei nr. 6757/08.04.2024. Cu drept de recurs în termen de 15 de zile de la comunicare, cererea urmând a se depune la Tribunalul Bucureşti, Secţia a II-a Contencios Administrativ şi Fiscal. Pronunţată prin punerea soluţiei la dispoziţia părţilor prin mijlocirea grefei instanţei, astăzi, 19.03.2025.
În motivare, judecătorul a explicat că reclamanta a comunicat în mod neechivoc persoanei împuternicite faptul că nu este permisă filmarea monitoarelor pe care sunt redate imaginile surprinse de camerele de supraveghere din stații, atât în cadrul seminarelor, cât și prin instrucțiunile transmise, dar și prin e-mail, ulterior sesiunilor de instruire. De asemenea, nu se poate considera că reclamanta și-ar fi dat consimțământul în sensul acestui tip de prelucrare, din moment ce a informat persoanele împuternicite, în mai multe modalități, că o astfel de prelucrare este interzisă. În întâmpinare, autoritatea pârâtă ignoră complet aceste paragrafe din decizia invocată de reclamantă și se limitează la invocarea paragrafelor nr. 49-55. În situația de față, așa cum în mod corect a arătat reclamanta, persoana împuternicită trebuie considerată operator pentru această prelucrare, în conformitate cu paragraful 85, teza finală, din decizia CJUE în cauza C-683/21.
Nemulțumită de soluție, ANSPDCP a atacat-o la instanța superioară. Demersul a fost zadarnic căci, la data de 8 iulie 2026, Curtea de Apel București a respins apelul, soluția fiind definitivă.
